Claude Codeを使った開発フロー 実案件の10ステップと人の判断
要約： VAONは受託案件で、要件の整理からリリースまでの10ステップにClaude Codeを使っています。下書き、読み直し、テスト作成はAIが担います。仕様の確定、計画の承認、コードの承認、リリースの判断はシニアエンジニアが行います。お客様には画面キャプチャ付きのチェックリストで受入テストをしていただき、各バージョンはリリース前にセキュリティ確認を通します。
目次
- Claude Codeとは何か、なぜツールだけでなく手順が必要なのか
- 依頼からリリースまでの10ステップ
- コードを書く前に：要件の整理、仕様確定、画面
- なぜコードを書く前に計画を「攻撃」するのか
- コードからプルリクエストへ：テストを同梱し、3段階でレビューする
- AIが大半を書いたシステムを、お客様はどう検収するのか
- リリース前のセキュリティ確認では何をするのか
- シニアエンジニアは何を判断しているのか
- このフローが向かない場合
- よくあるご質問
1. Claude Codeとは何か、なぜツールだけでなく手順が必要なのか
Claude Codeは、Anthropic社が提供するAIコーディングツールです。ターミナルやエディタ上で動き、リポジトリ全体を読み、ファイルを編集し、コマンドを実行し、プルリクエストまで作成できます。
便利なツールですが、便利であることと、お客様の案件で安全に使えることは別の話です。2026年にお客様からいただいた質問で特に多かったものの一つが、「AIが書いたコードは誰が確認するのですか」でした。
この質問への答えは、ツールの名前ではありません。どの工程で、誰が、何を承認し、どんな記録を残すかです。そこでVAONでは、10のステップごとに「AIが行うこと」と「責任者が判断すること」を分けて定めています。現在、多くの案件でこの基準を適用していますが、すべての案件ではまだありません。
2. 依頼からリリースまでの10ステップ
VAONのClaude Codeを使った開発フローは10ステップで構成され、AIだけで判断を完結させるステップはありません。
| # | ステップ | AIが行うこと | 人が判断すること | お客様にお渡しするもの |
|---|---|---|---|---|
| 1 | 依頼内容の整理 | 確認事項、曖昧な点の洗い出し | どの質問をお客様に確認するか | 確認事項リスト |
| 2 | 仕様確定 | 要件定義書の下書き | お客様とVAONで合意 | 合意済みの要件定義書 |
| 3 | 画面設計（必要な場合） | ワイヤーフレーム、モックの下書き | お客様が画面ごとに承認 | ワイヤーフレーム、モック |
| 4 | 実装計画 | 作業分割、対象ファイル、リスク | テックリードが承認 | フェーズ別の計画 |
| 5 | 計画のレビュー | 計画を崩す側に立って質問 | テックリードが修正 | 修正済みの計画 |
| 6 | 実装 | 計画に沿ってコードを書く | エンジニアが部分ごとに確認 | 単体テスト、E2Eテスト付きのコード |
| 7 | プルリクエストのレビュー | セルフレビュー、AIレビュー | 別の担当者が確認してからマージ | レビュー記録 |
| 8 | テスト環境への反映 | CI/CDが自動実行 | エンジニアが先に確認 | お客様用のテスト環境 |
| 9 | 受入テスト | 利用者視点のチェックリスト作成 | お客様が確認し、結果をキャプチャ | キャプチャ付きチェックリスト |
| 10 | セキュリティ確認、リリース | 変更部分のセキュリティ確認 | 人が結果を読み、リリースを判断 | リリースノート |
この表で最も大切なのは「人が判断すること」の列です。この列がなければ、フローはAIへの指示が並んでいるだけになります。
3. コードを書く前に：要件の整理、仕様確定、画面
コードを書く前の段階では、AIをお客様の意図を推測するためではなく、要件の抜けを見つけるために使います。最初の3ステップの目的は、双方が同じものを思い描いている状態をつくることです。
依頼内容の整理では、エンジニアとClaudeがいただいた資料を一緒に読みます。AIは確認事項を挙げるのが得意です。既存データはどこにあるか、誰が承認するのか、エラー時にどうするか、といった点です。エンジニアはその中から、お客様にしか答えられない質問だけを残します。
次に、打ち合わせの記録からAIが要件定義書の下書きを作り、エンジニアが修正したうえで、お客様に書面でご確認いただきます。新規案件では、この作業をVAONの仕様確定フェーズ（通常1〜2週間）の中で行います。
必要に応じて、AIでワイヤーフレームやモックの下書きを作り、早い段階で実際の画面をご覧いただきます。オフショア開発の失敗の多くが仕様に起因する理由は、オフショア開発が失敗する本当の理由は、仕様書にあるで詳しくご説明しています。
4. なぜコードを書く前に計画を「攻撃」するのか
計画の段階で1行を直すほうが、書き終えたモジュールを直すよりはるかに安く済むためです。AIを使う場合、この差はさらに大きくなります。AIはコードを速く書くので、誤った計画も速く誤ったコードになります。
仕様が確定すると、エンジニアはClaudeで実装計画を作ります。フェーズ分け、変更するファイル、完了条件、リスクを記載します。Claude Codeにはプランモードがあり、この状態ではAIはファイルを読んで提案するだけで、人が承認するまで何も変更しません。
そのうえで、2段階のレビューを行います。
- レッドチーム： AIが計画を失敗させる側に立って質問します。たとえば、データ移行が途中で止まったらどう戻すか、アクセス権が必要以上に広がっていないか、といった点です。
- 検証： AIが仕様と照らし合わせて計画を確認します。仕様から答えが出ない点は、推測せずにお客様へ確認します。
2段階の結果はテックリードまたはシニアエンジニアが読み、何を直すかを決めます。作成者以外の担当者がレビューし、確認した計画だけが実装に進みます。
5. コードからプルリクエストへ：テストを同梱し、3段階でレビューする
VAONでは、AIが書いたコードは、テストがなく、別の担当者が読んでいない状態ではメインブランチに入りません。メインブランチは保護されており、レビューなしではマージできません。
実装では、Claudeが計画のフェーズごとにコードを書きます。単体テストとE2Eテスト（実際の利用者と同じ流れで画面を通しで確認するテスト）は、コードと同じプルリクエストに含めます。エンジニアはプッシュする前に実行し、内容を読み、必要な修正を行います。
各プルリクエストは、次の3段階でレビューします。
- セルフレビュー： 作成者が差分全体を読み直します。
- AIレビュー： プロジェクトのレビュー基準に沿って、Claudeが差分を確認します。
- 別担当者による確認： 別のエンジニアがレビューし、チームリーダーがマージを判断します。
あわせて、すべての案件で、プルリクエストごとに自動チェックを実行しています。シークレットスキャン、依存パッケージのスキャン、静的解析です。AIが書いたコードを人がどう確認しているかは、AIが書いたコードのレビュー手順をご覧ください。
6. AIが大半を書いたシステムを、お客様はどう検収するのか
受入テストは、開発者ではなく利用者の視点で書いたチェックリストに沿って行い、各項目に結果の画面キャプチャを残していただきます。自動テストがあると十分に思えるため、軽く扱われやすい工程です。
マージ後、CI/CDがテスト環境へ自動で反映します。まずVAONのエンジニアが確認し、問題がなければお客様にご連絡します。
チェックリストは、合意済みの要件定義書からClaudeが下書きし、エンジニアが修正します。1項目は次のような形です。
| 項目 | 操作 | 期待する結果 | 実際の結果 | キャプチャ |
|---|---|---|---|---|
| 注文登録 | 電話番号を空欄のまま「保存」を押す | 電話番号欄の下にエラーが表示される | （ご記入） | （添付） |
キャプチャには2つの役割があります。不具合が最初の報告で正確に伝わり、「その前にどこを押しましたか」と聞き直す必要がなくなります。また、どのバージョンをどう検収したかの記録が、双方に残ります。
7. リリース前のセキュリティ確認では何をするのか
リリース前のセキュリティ確認は、このフローを適用している案件で、バージョンごとに実施する独立した確認工程です。Claude Codeには、現在のブランチの変更をセキュリティの観点で確認する/security-reviewコマンドがあります。
この工程は2つの作業で構成されます。まず、AIがそのバージョンの変更全体をセキュリティの観点で確認します。次に、人がその結果を読み、実際の問題と誤検知を切り分け、リリースするか、先に修正するかを判断します。
この確認は、すべての案件で動いている次の基盤の上に成り立っています。
- プルリクエストごとのシークレットスキャン、依存パッケージのスキャン、静的解析
- プルリクエストごとに、AIが変更部分をセキュリティの観点で確認し、人が結果を読むこと（コードをAIに渡す許可をいただいている場合）
- AIが提案したパッケージ名を、インストール前に確認すること（AIは存在しないパッケージ名を挙げることがあるため）
- 会社が管理する共通のClaude Code設定（禁止コマンド、サンドボックス、承認済みのMCPサーバー）
- 開発環境に本番の鍵を置かないこと
AIによるセキュリティ確認は、人の確認を補うものであり、置き換えるものではありません。誤検知もあれば、見落としもあります。この手順はNIST SSDF（SP 800-218）を参考にしていますが、特定の枠組みへの準拠をうたうものではありません。
8. シニアエンジニアは何を判断しているのか
VAONのシニアエンジニアは、間違えると影響が大きい事項を判断します。範囲、アーキテクチャ、トレードオフ、そしてリリースの可否です。CTOとテックリードは、すべての案件に関わります。
| 領域 | AIが得意なこと | シニアが判断を持つこと |
|---|---|---|
| 仕様 | 確認事項の洗い出し、資料間の矛盾の発見 | どの質問をお客様にするか、範囲をどこまでにするか |
| 計画 | 作業分割、リスクの洗い出し | アーキテクチャ、順序、トレードオフ |
| コード | 速く書くこと、テストの作成 | 業務ルールに合っているか |
| セキュリティ | すべての変更を素早く確認すること | どの指摘が本物か、リリースするか |
AIは速度を上げ、シニアは基準を守ります。レビューとテストの記録はすべての案件で保存しており、お客様もご覧いただけます。
9. このフローが向かない場合
10ステップのフローは、あらゆる作業に向くわけではなく、VAONも一律には適用していません。次の3つの場合は、あらかじめお伝えしています。
- ごく小さな修正。 文言を1か所直すのに、計画のレッドチームは不要です。変更の大きさに応じて工程を省きます。
- ソースコードをAIツールに渡す許可をいただいていない場合。 AIレビューとAIによるセキュリティ確認は実行せず、自動チェックと人のレビューだけになります。
- 業務についての質問に答えられる方が、お客様側にいらっしゃらない場合。 業務を知る人の代わりは、AIには務まりません。その方がいないと、仕様は推測で埋めることになります。
また、VAONの正社員は15名です。短期間で数十名規模の体制が必要な案件は、お引き受けできないことがあります。
10. よくあるご質問
Claude Codeを使うと、開発費は安くなりますか。 安くなる部分と、変わらない部分があります。下書き、繰り返しの多いコード、テストの作成はAIで速くなります。一方で、業務の分析、仕様確定、レビュー、お客様との受入テストには引き続き人が必要で、VAONはこれらの工程を削りません。そのため、一律の削減率はお約束していません。お見積りは、要件定義書で合意した範囲にもとづいて作成します。
自社のソースコードがAIの学習に使われることはありますか。 作業開始前に、どのデータを使ってよいか、誰が閲覧できるか、コードをAIツールに渡してよいかをお客様と取り決めます。許可をいただいていない場合、VAONはコードやデータをAIツールに渡しません。Claude Codeでの権限やデータの扱いは、Claude Codeを業務で使うためのルールにまとめています。
AIが書いたコードに不具合があった場合、責任は誰にありますか。 責任の範囲は、案件ごとの契約で定めます。VAONは、「AIが書いた」ことを理由に責任の範囲が変わるとは考えていません。AIが書いたコードも、人が書いたコードと同じレビュー、テスト、セキュリティ確認を通します。問題が起きた際には、照合できる記録が双方に残っています。
VAONに依頼するには、Claude Codeの知識が必要ですか。 必要ありません。お客様に扱っていただくのは、要件定義書、モック、テスト環境、チェックリストで、通常の開発案件と同じです。違いは、お渡しする記録が多いことです。承認済みの計画、レビュー記録、キャプチャ付きのテスト結果、リリースノートを、いつでもご確認いただけます。
すでに稼働中のシステムでも、このフローは使えますか。 使えますが、最初の工程が変わります。既存システムでは、ソースコードを読み、運用担当の方にお話を伺い、現状を計測したうえで、改修部分の仕様を確定します。AIによってコードを読む速度は上がります。ただし、コードからわかるのはシステムが何をしているかであり、なぜそうしているかではありません。そのため、業務担当の方への確認は欠かせません。
今日からできることが一つあります。AIを使う開発会社とお取引がある場合は、「AIが書いたコードを、どの工程で、どなたが読んでいますか。その記録はどこで見られますか」と尋ねてみてください。返ってくる答えで、その会社にあるのが手順なのか、ツールだけなのかがわかります。確認したい質問の一覧は、AI駆動開発を外注する前に確認する12項目にまとめています。
このフローを貴社の案件に当てはめるとどうなるか、無料相談（60分）でご説明します。CEOが同席します。資料のご準備は不要で、ご契約を前提としたものではありません。
執筆者： ダン・ヴァン・ルアン（Đặng Văn Luân）、VAON 創業者・CEO。ハノイ工科大学 HEDSPI 卒業。FPT Softwareを経て、Digital Plus（東京）で5年間、1,000万人が利用するシステムの開発に携わる。その後8年間、従業員120名のITアウトソーシング企業でCOOを務め、ISO 9001・ISO 27001に基づく管理体制を構築。業界経験15年。
参考資料
- Claude Code Docs「Common workflows：Plan before editing」：https://code.claude.com/docs/en/common-workflows（2026年10月29日確認）
- Claude Code Docs「Security」：https://code.claude.com/docs/en/security（2026年10月29日確認）
