外部委託先（ベンダーやサプライヤー、システム開発会社、業務委託を請け負うBPO事業者など）の評価は、自社が預ける個人データや機密情報の安全、委託業務の品質、そして自社の信用を守るための実務です。委託した後も委託元の責任がなくなるわけではないため、「どの委託先に、何を、どこまで任せてよいか」を客観的な基準で見極める必要があります。
ところが、いざ評価に取りかかると「何を基準に見ればいいのか」で手が止まりがちです。評価という仕事は、見るべき項目が決まらないと一歩も進みません。上司や監査に説明できる評価の型が手元にないまま、感覚で委託先を選んでしまうケースも少なくありません。
この記事では、外部委託先を評価するときに見るべき評価項目の一覧を、そのまま自社のチェックシートに転記できる粒度でまず示します。そのうえで、各項目の確認手段とスコアリングの考え方、リスクの大きさに応じた評価の使い分け、選定から契約・継続管理までの進め方、契約に盛り込むべき条項、そして委託先監督の法的根拠までを、実務目線で解説します。
目次
一括ダウンロードする
外部委託先の評価項目一覧
ここからは、外部委託先の評価で見るべき項目を一覧で示します。自社の委託先評価チェックシートを作る際は、この表を出発点にして、委託する業務内容に合わせて項目を取捨選択してください。左から順に、評価カテゴリ・主な評価項目・確認する内容・主な確認手段を並べています。
| 評価カテゴリ | 主な評価項目 | 確認する内容 | 主な確認手段 |
|---|---|---|---|
| 実績・専門性 | 委託業務の実績、対応領域の知見、担当者の経験 | 同種業務の受託実績、業界での対応年数、要員のスキル・資格 | 実績資料、事例、提案書、面談 |
| 信用・経営基盤 | 企業としての信用、反社会的勢力との関係の有無 | 設立年数、株主構成、係争・行政処分の有無、反社チェック | 登記情報、信用調査、反社チェックサービス |
| 財務健全性 | 継続的にサービスを提供できる財務状態か | 売上・利益の推移、自己資本、支払能力 | 決算書、信用調査レポート |
| 体制・人材 | 依頼業務に対応できる規模・要員がいるか | 担当部門の人員、責任者の明確さ、教育体制 | 体制図、質問票、面談 |
| 情報セキュリティ | 預ける情報を保護する技術的・組織的対策があるか | アクセス制御、暗号化、ログ管理、インシデント対応体制 | セキュリティチェックシート、質問票、実地監査 |
| 認証・第三者評価 | 客観的な水準を示す認証・評価を取得しているか | ISMS（JIS Q 27001）、プライバシーマーク（JIS Q 15001）、SOC報告書、PCI DSS など | 認証登録番号の確認、認証書・報告書の提示 |
| コンプライアンス・法令順守 | 関連法令・業界規制を守る意識と体制があるか | 社内規程、コンプライアンス研修、法令対応の実績 | 規程類、質問票、公表情報 |
| 安全管理措置 | 個人データ等を扱う場合の組織的・人的・物理的・技術的措置 | 取扱規程、従業者の監督、入退室管理、機器の管理 | チェックシート、質問票、実地監査 |
| 再委託の管理 | 再委託の有無・範囲と、再委託先の管理状況 | 再委託の事前承認、再委託先への監督、契約への反映 | 契約書、質問票、体制ヒアリング |
| 事業継続性（BCP） | 障害・災害時にも委託業務を継続できるか | バックアップ、代替手段、復旧目標、緊急連絡体制 | BCP・災害対策の資料、質問票 |
| 対応品質・コミュニケーション | 認識のずれなく円滑にやり取りできるか | 報告・連絡の頻度と手段、問い合わせへの応答、サービス水準（SLA） | 面談、トライアル、既存取引先の評判 |
| コスト・費用対効果 | 委託費用が業務内容に見合っているか | 見積の内訳と透明性、追加費用の有無、他社水準との比較 | 相見積、料金表、契約条件 |
表のうち「情報セキュリティ」は技術面の対策（アクセス制御・暗号化など）を独立して見る観点、「安全管理措置」は個人データを扱う場合に個人情報保護法が求める組織的・人的・物理的・技術的の4区分を網羅する観点です。両者は技術面で重なるため、個人データを扱わない委託では安全管理措置の行を省くなど、委託内容に合わせて調整するとよいでしょう。
この記事では情報保護・情報セキュリティの観点を中心に掘り下げますが、業務品質・納期・コストといった観点も、SLAや継続的なモニタリングで同じように評価・管理の対象になります。
個人データの取扱いを委託する場合、委託先の選定基準の考え方は公的な指針にも示されています。プライバシーマーク制度の指針では、委託先選定基準に含めるべき内容として次のように定めています。
委託先選定基準には、次の内容を含むこと。・少なくとも委託する当該業務に関しては、自社と同等以上の個人情報保護の水準にあること。・契約に規定する事項に対応可能なことを客観的に確認できること。
出典：プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針（JIS Q 15001:2023準拠 ver1.0）J.9.4｜一般財団法人日本情報経済社会推進協会（JIPDEC）
「自社と同等以上の水準」という考え方は、個人データを預ける委託先を選ぶうえでの分かりやすい目安になります。評価項目を自社基準で作るときも、この水準を満たせるかどうかを軸に据えると、判断がぶれにくくなります。
各評価項目の判定・確認手段とスコアリング
ここからは、一覧に挙げた項目をどう確認し、どう合否を判定するかを掘り下げます。項目を並べるだけでは評価になりません。何をもって「問題なし」とするかの基準と、確認の手段をセットで決めておくことが、評価の再現性につながります。
確認手段（質問票・認証確認・SOC報告書・実地監査）
確認手段は、大きく4つに整理できます。委託先に自己申告してもらうチェックシート・質問票、第三者が水準を保証する認証・評価の確認、内部統制の報告書であるSOC報告書の確認、そして自社が現地で確かめる実地監査です。上の表の「確認手段」列が各項目への割り当て、この節はそれぞれの手段の使い分けを扱います。
- チェックシート・質問票：委託先に安全管理措置や体制を自己申告してもらう方法です。項目を網羅的に確認できる一方、回答の正確性は委託先に依存するため、重要な委託先には裏づけ資料の提出を求めます。
- 認証・第三者評価の確認：ISMS（情報セキュリティマネジメントシステム、JIS Q 27001）やプライバシーマーク（JIS Q 15001）の登録の有無を確認します。認証は第三者が一定水準を保証するものなので、自己申告より客観性が高い確認手段になります。
- SOC報告書の確認：委託業務の内部統制について、受託会社が用意する報告書を確認する方法です。財務報告に関わる委託業務での活用が中心となるため、詳しくは後半の「内部統制の観点」で扱います。
- 実地監査（オンサイト）：重要度の高い委託先に対し、現地で運用状況を直接確認する方法です。書面では見えない実態を把握できますが、工数がかかるため、リスクの高い委託先に絞って実施するのが一般的です。
認証を取得している委託先については、その認証で保証される範囲の質問を簡略化する運用も実務では見られます。個人情報保護委員会のガイドライン（通則編）も、委託する個人データの内容や規模に応じて確認の方法を調整することを認めているため、リスクに応じて質問票の重さを変える工夫は理にかなっています。
ただし「認証があれば無条件で省略してよい」という規範があるわけではないので、認証の対象範囲と自社の委託内容が一致しているかは確認しておく必要があります。
出典・参考資料（2件）
質問票による自己申告は網羅的に確認できる一方、委託先の数が増えるほど、配布・回収・精査の負担が膨らみます。数百社・数千社規模の委託先を見るときにこの負担が壁になる実態について、SecurityScorecardの藤本氏は次のように語っています。
従来、大手の製造業の企業様がグループ会社や取引先のサイバーセキュリティ状況を把握しようとすると、セキュリティのガイドラインを作って周知し、守れているかどうかは年に1回、設問数の多いアンケートを取る、というアンケート依存の管理手法しかありませんでした。グループ会社まではそれでやれていても、そこから先の取引先数百社・数千社をどう見ればいいのか、というところで手詰まりになっている企業様が非常に多い状況でした。
このように、外部から委託先のセキュリティを評価する仕組みは、質問票の自己申告を補う確認手段になります。委託先の数が多い場合は、こうした外部評価を取り込める委託先リスク管理サービスの活用も、記事後半で紹介する選択肢の一つです。
スコアリング・重み付けの考え方
上司や監査に説明できる評価にするには、判定を点数として可視化しておくと便利です。各項目を段階評価し、重要度に応じて重み付けして合計するのがスコアリングの基本になります。
- 各項目を段階評価する：たとえば「満たしている＝2点／一部＝1点／満たしていない＝0点」のように、判定を数値に置き換えます。判定の根拠（提出資料・認証番号など）も併記しておくと、後から検証できます。
- 重要度で重み付けする：預ける情報の機微さや業務の重要性が高い項目（情報セキュリティ・安全管理措置など）には大きい係数を掛けます。すべての項目を横並びにせず、自社にとって外せない項目の配点を厚くします。
- 合格ラインと必須条件を分ける：合計点の合格ラインに加えて、「この項目が0点なら総合点にかかわらず不可」という必須条件（足切り）を設けると、重大な欠落を見逃しません。
たとえば情報セキュリティの項目なら、「ISMSなどの第三者認証があり対象範囲も一致＝2点／自己申告のみで裏づけ資料あり＝1点／規程が確認できない＝0点」のように判定文を決めておくと、評価者による差が出にくくなります。この判定文を項目ごとに用意したものが、そのまま評価シートの採点基準になります。
点数の付け方そのものに決まった正解はありません。自社の委託内容とリスク許容度に合わせて配点を設計し、評価者が変わっても同じ結果になるよう、判定基準を言語化しておくことが客観性の担保になります。
リスクの大きさで評価の深さを変える
委託先が増えると、すべての委託先を同じ深さで評価するのは現実的ではありません。そこで、委託先ごとのリスクの大きさに応じて評価の深さを変える「リスクベース・アプローチ」を取り入れます。限られたリソースを、リスクの高い委託先に重点的に配分する考え方です。
リスクの大きさは、預ける情報の機微さ（個人データ・機密情報の有無や量）、業務の重要度（止まると自社業務に大きな支障が出るか）、再委託の有無などで判断します。判断の結果をもとに、たとえば次のように評価の深さを分けます。
- 高リスク：詳細な質問票に加えて、証跡資料の提出や実地監査まで踏み込んで確認します。
- 中リスク：標準的な質問票と認証の確認を中心に据えます。
- 低リスク：簡易な質問票や認証確認にとどめます。
個人情報保護委員会のガイドライン（通則編）も、委託する個人データの内容や規模などに応じて、監督の方法を適切なものにすることを求めています。金融機関を対象とする金融庁の監督指針でも、リスク管理の観点から委託先を管理する考え方が示されており、リスクベースの評価は実務・当局の双方で標準的な進め方になっています。
出典・参考資料（1件）
一括ダウンロードする
選定・契約・運用・終了のフェーズ別の進め方
評価項目と判定基準が決まったら、実際の委託の流れに沿って評価を組み込みます。委託先評価は選定時に一度行って終わりではなく、契約・運用・終了の各フェーズで続く継続的な取り組みです。
- 選定フェーズ：委託する業務と求める水準を明確にしたうえで、評価項目に沿って候補を比較し、合格ラインを満たす委託先を選びます。RFP（提案依頼）→一次評価→面談・必要に応じた監査→社内稟議、という順で進めるのが一般的です。
- 契約フェーズ：評価で確認した内容を契約に落とし込みます。安全管理措置や再委託の条件、監査権などを明記し、口約束にしないことが重要です（詳しくは次の章で扱います）。
- 運用フェーズ：委託開始後も、定期的な再評価やモニタリングで委託先の状況を把握します。取扱状況の報告を受け、必要に応じて監査を行います。
- 終了フェーズ：委託を終える際は、預けた情報・データの返却や消去、機器・アカウントの回収を確認します。契約終了後の措置を契約段階で決めておくと、この段階でつまずきません。
定期評価・形骸化防止（選定基準の見直し）
継続管理でつまずきやすいのが、評価の形骸化です。毎年同じ質問票を送るだけで中身を見なくなると、リスクの変化を見逃します。個人情報保護委員会のガイドライン（通則編）も、取扱状況の把握について次のように示しています。
委託先における委託された個人データの取扱状況を把握するためには、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査した上で、委託の内容等の見直しを検討することを含め、適切に評価することが望ましい。
出典：個人情報の保護に関する法律についてのガイドライン（通則編）3-4-4｜個人情報保護委員会
形骸化を防ぐには、評価頻度をリスクに応じて設定し、委託内容が変わったタイミングで再評価する運用が有効です。委託業務の範囲や再委託の状況が変われば、以前の評価は前提が崩れています。前年との回答差分を確認し、変化した点に的を絞って掘り下げると、限られた時間でも実効性のある再評価ができます。
契約に盛り込むべき条項
評価で確認した内容は、契約に明記してはじめて実効性を持ちます。委託した後も委託元の責任がなくなるわけではないため、委託先に守ってもらう事項を契約で担保しておくことが欠かせません。委託契約に盛り込むべき主な条項は次のとおりです。
- 安全管理措置：委託先が講じるべき組織的・人的・物理的・技術的な措置を、委託元と同等の水準で定めます。
- 再委託の条件と事前承認：再委託の可否、承認の手続き、再委託先への監督義務を明記します。
- 秘密保持：預ける情報の目的外利用の禁止と、秘密保持の範囲・期間を定めます。
- 取扱状況の報告と監査権：委託元が取扱状況を把握できるよう、定期的な報告と、必要な場合に監査を行える権利を確保します。
- 事故・漏えい時の対応：インシデント発生時の報告義務・報告期限・是正の手順を取り決めます。
- 契約終了後の措置：委託終了時のデータの返却・消去、機器・アカウントの回収をあらかじめ決めておきます。
- サービス水準（SLA）：委託業務の品質・レベル・解約条件など、サービス内容に関する事項を取り決めます。
個人データを委託する場合は、契約で「委託先での取扱状況を委託元が合理的に把握できること」を盛り込むことが望ましいとされています。プライバシーマークの指針でも、委託契約に含める事項として、責任の明確化・安全管理・再委託・取扱状況の報告・定期的な確認・事故時の報告・契約終了後の措置などが挙げられています。契約書のひな形を作る際の確認リストとして活用できます。
出典・参考資料（2件）
委託先監督の法的根拠（関連法令・ガイドライン）
外部委託先の評価は、実務上の必要だけでなく、法令やガイドラインが求める監督義務でもあります。ここでは、評価の裏づけとなる主な根拠を、名前だけでなく「そこで何が求められるか」の中身まで確認します。
個人情報保護法の委託先監督義務
個人データの取扱いを委託する場合、個人情報保護法（個人情報の保護に関する法律）は、委託元に委託先の監督を義務づけています。委託先の監督を定める第25条は次のとおりです。
第二十五条 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
出典：個人情報の保護に関する法律（平成十五年法律第五十七号）第25条｜e-Gov法令検索
この「必要かつ適切な監督」の中身は、個人情報保護委員会のガイドライン（通則編）で、適切な委託先の選定・委託契約の締結・取扱状況の把握の3つに整理されています。委託先評価は、このうち選定と取扱状況の把握を実務に落とし込む取り組みにあたります。
この監督義務が対象とするのは、個人データの取扱いを委託する場面です。財務の健全性や供給継続性など、個人データと直接関わらない評価項目まで個人情報保護法を根拠にできるわけではない点には注意が必要です。
情報セキュリティ・金融領域のガイドライン
情報セキュリティの観点では、経済産業省とIPAの「サイバーセキュリティ経営ガイドライン（Ver 3.0）」も、委託先を含めたサプライチェーン全体の対策を求めています。指示9「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」として、委託先の状況把握や、契約における役割・責任範囲の明確化を経営課題に位置づけている点が特徴です。
金融機関の場合は、当局がより具体的に外部委託先の管理を求めています。金融庁の監督指針では、外部委託を独立した項目として扱い、委託先の選定・契約内容・監査・緊急対応・再委託先の監督などを着眼点として挙げています。
- 主要行等向けの総合的な監督指針：III-3-3-4「外部委託」で、外部委託の意義・主な着眼点・監督手法を規定。
- 中小・地域金融機関向けの総合的な監督指針：II-3-2-4「外部委託」で、同様の観点を規定。
また、金融機関のシステム安全対策の実務では、公益財団法人金融情報システムセンター（FISC）が発行する「金融機関等コンピュータシステムの安全対策基準・解説書」（第14版）が事実上の標準として参照され、外部委託先管理の項目も含みます。これらは金融機関を対象とする規範ですが、外部委託を管理する考え方として、他業種の実務にも参考になります。
決済カード情報を扱う場合は、PCI Security Standards Councilが策定する情報セキュリティ基準のPCI DSSも、委託先を含む確認の対象になります。
出典・参考資料（5件）
内部統制の観点（J-SOX・SOC報告書の活用）
財務報告に係る内部統制（J-SOX）の対象になる上場企業などでは、委託業務も内部統制の評価範囲に含まれます。財務報告に係る内部統制の評価及び監査に関する実施基準は、委託業務の評価について次のように示しています。
委託業務に関しては、委託者が責任を有しており、委託業務に係る内部統制についても評価の範囲に含まれる。委託業務が、企業の重要な業務プロセスの一部を構成している場合には、経営者は、当該業務を提供している外部の受託会社の業務に関し、その内部統制の有効性を評価しなければならない。
出典：財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年4月7日改訂）｜金融庁 企業会計審議会
そのうえで実施基準は、受託会社から内部統制の評価結果を記載した報告書等を入手し、自らの判断で委託業務の評価の代替手段とすることができるとしています。この「報告書等」にあたるのがSOC報告書で、正式には日本公認会計士協会の保証業務実務指針3402「受託業務に係る内部統制の保証報告書に関する実務指針」にもとづく報告書です。
委託先に個別の監査を求める代わりに、SOC報告書を確認することで評価の負担を抑えられます。
一括ダウンロードする
評価・監督の運用を効率化する委託先リスク管理サービス
ここまで見てきた質問票の配布・回収、認証や報告書の確認、スコアリング、定期評価を手作業やExcel・メールで回すと、委託先が増えるほど運用が重くなります。こうした委託先評価・監督の運用を支えるのが、委託先リスク管理（TPRM／VRM）サービスです。次の表で、委託先評価に適したサービスの特徴を整理します。
| サービス名 | VendorTrustLink | Conoris BP | Supplier Risk MT | AuditnQ | Assured |
|---|---|---|---|---|---|
| 提供会社 | 株式会社アトミテック | 株式会社Conoris Technologies | 株式会社GRCS | RenderingConsulting株式会社 | 株式会社アシュアード |
| 評価情報の入手方式 | 自社チェックシート型 （外部スキャン・自動診断なし） | 自社チェックシート型 （AIレビューアシストで回答分析） | 自社点検フォーム型 ＋外部レーティング連携 | 自社Excel調査票取込型 ＋第三者評価連携 | 第三者評価DB参照型 （自社で評価実施が不要） |
| 再委託先の階層管理 | △簡易登録（契約情報管理内） | ●ツリー階層で管理 | ●ツリー表示に対応 | ●再委託先（Nth Party）管理 | ×第三者評価型のため非該当 |
| 外部評価データの活用 | × | × | ●SecurityScorecard連携 | ●Netskope CCI連携 | ●第三者評価が本体機能 |
| 提供形態 | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） |
| 料金（初期・月額） | 要問い合わせ （アカウント数×委託先数） | 要問い合わせ （管理企業数により変動） | 要問い合わせ （ユーザーライセンス制） | 要問い合わせ （初期費用＋月額） | 要問い合わせ （従量／定額課金） |
| 無料トライアル | あり（期間非公開） | あり（期間非公開） | 公表なし | 公表なし | 公表なし |
| 向いているケース | 紙・Excelのチェックシート運用を クラウドに移したい | 再委託先まで階層管理し 年次点検を効率化したい | 自己申告に外部スコアを 組み合わせたい（金融実績） | 既存のExcel調査票を 活かして脱Excelしたい | 自社評価の負担を抑え 評価済み情報を活用したい |
| 詳細情報 | 公式資料を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
1. VendorTrustLink（株式会社アトミテック）
VendorTrustLinkは、委託先・取引先へのチェックシートの送付・回収・採点・履歴管理をクラウド上で自動化する委託先リスク管理サービスです。情報漏えいやコンプライアンス違反といった委託先起因のリスクを、アンケート型チェックシートを中心に可視化・一元管理することをコア機能としています。国際的なリスクマネジメントの考え方であるISO 31000に準拠した設計を掲げている点も特徴です。
チェックシートの運用を紙やExcelからクラウドへ載せ替えたい企業に向いています。2024年10月にβ版を提供開始し、2025年4月に正式リリースされた比較的新しいサービスで、評価業務の効率化を目的に導入を検討する委託元企業を主な対象としています。
2. Conoris BP（株式会社Conoris Technologies）
委託先・再委託先へのセキュリティ調査と年次の定期点検を、Excel・メール中心の運用からクラウドプラットフォームに一元化するのがConoris BPです。委託先をプロジェクト別・会社別にツリー状の階層で管理でき、再委託先まで含めたサプライチェーン全体を見通せます。
調査票は自由にカスタマイズできるWebフォーム形式で作成・送付し、回収した回答はAIレビューアシスト機能が自動で分析します。リスクのある項目を抽出して社内規程やISO 27001などと照合し、一覧化して審査担当者の判断を支援する仕組みです。最終判断は人が行うため、AIはあくまで審査の下支えとして働きます。再委託先の階層管理や年次点検の一括依頼・回収を重視する企業に適しています。
3. Supplier Risk MT（株式会社GRCS）
GRCSが提供するSupplier Risk MT（SRMT）は、委託業務・契約・再委託先などの情報をWeb上で一元管理し、委託先ごとのセキュリティリスクをスコアやグラフで可視化するツールです。委託元が作成した点検フォームに委託先が回答する運用を軸に、多角的な分析とビジネス判断を支援します。
特徴は、委託先の自己申告データに外部評価を組み合わせられる点です。2025年4月にSecurityScorecardとの機能連携が追加され、AIを活用した外部からのセキュリティスコアをSRMT上で取得できるようになりました。委託先の申告と外部の客観評価を突き合わせて分析したい企業に向いています。委託・再委託関係のツリー表示や、リスクを可視化する散布図表示にも対応しています。
4. AuditnQ（RenderingConsulting株式会社）
既存のExcelチェックシート資産を活かしたまま、脱Excelを進めたい企業に向くのがAuditnQです。委託先に既存のExcel調査票をそのまま回答させ、その回答をシステムが自動で抽出・データベース化する設計で、初回選定から定期監査までの管理を統合します。再委託先（Nth Party）まで含めたサプライチェーン全体の管理に対応します。
2026年2月にはNetskopeのクラウドサービス評価データ（CCI）との連携機能が追加され、委託先の自己申告に外部の客観的な評価スコアを組み合わせられるようになりました。運営会社は2023年設立のスタートアップで、料金や導入実績などは公式に非開示となっているため、導入検討時は個別の問い合わせで確認するとよいでしょう。
5. Assured（株式会社アシュアード）
これまで紹介したサービスが「自社で委託先に質問票を送って評価する」方式なのに対し、Assuredは評価済みの情報を参照する第三者評価型のプラットフォームです。アシュアードの専門チームが約120項目の独自質問票にもとづいてSaaS・クラウドサービスを評価し、その結果レポートをデータベース化しているため、顧客企業は自社で個別に評価を実施せずに済みます。
もともとは自社が利用するクラウドサービスの評価が中心でしたが、2025年6月からは取引先企業そのもののセキュリティを評価する「Assured企業評価」も提供し、委託先評価の用途にも広がっています。クラウドサービスの評価では竹中工務店で工数を42%削減した事例も公表されており、金融機関を含む導入実績があります。自社で質問票を運用する負担を抑え、評価済みの情報を活用したい企業に適しています。
ここで取り上げた委託先リスク管理サービスは、企業のガバナンス・リスク・コンプライアンス（GRC）を支えるツール群の一角でもあります。委託先の評価・監督にとどまらず、リスク管理やコンプライアンス全体を見渡してツールを比較・検討したい場合は、以下の記事で選び方や機能まで詳しく解説しています。
まとめ
外部委託先の評価は、まず「何を見るか」という評価項目を決めることから始まります。実績・信用・財務・情報セキュリティ・認証・再委託の管理・コストといった項目を、確認内容と確認手段とセットで一覧化すれば、自社の評価シートの土台ができあがります。
そのうえで、判定基準とスコアリングで客観性を持たせ、リスクの大きさに応じて評価の深さを変えれば、委託先が増えても回る運用になります。個人情報保護法の委託先監督義務をはじめとする法的根拠を踏まえて契約に条項を落とし込み、定期評価で形骸化を防ぐことが、委託先起因のリスクから自社を守る近道です。
質問票の運用や定期評価の負担が重い場合は、委託先リスク管理サービスの活用も検討してみてください。気になるサービスの資料は、下記からまとめて請求して比較できます。
一括ダウンロードする
よくある質問（FAQ）
Q. 外部委託先の評価とは何ですか？
A. 外部委託先の評価とは、業務を委託するベンダーやシステム開発会社などが、預ける情報の安全・業務の品質・経営の安定性の面で信頼できるかを、客観的な基準で見極める取り組みです。実績・信用・財務・情報セキュリティ・認証・再委託の管理といった項目を、確認内容と確認手段とセットで評価します。
委託した後も委託元の責任はなくならないため、選定時だけでなく契約・運用・終了の各フェーズを通じて継続的に行う点が特徴です。
Q. 外部委託先の評価は法律で義務づけられているのですか？
A. 外部委託先の評価そのものを直接命じる単一の法律はありませんが、個人データの取扱いを委託する場合は、個人情報保護法第25条が委託元に「委託先の監督」を義務づけており、その一環として適切な委託先の選定が求められます。加えて、金融機関には金融庁の監督指針が外部委託先の管理を求め、上場企業などでは財務報告に係る内部統制（J-SOX）の評価範囲に委託業務が含まれます。
自社がどの規制の対象になるかによって、評価の根拠となる枠組みが変わります。
Q. 業務を委託した後も、委託元に委託先を管理する責任は残りますか？
A. 委託した後も委託元の責任はなくなりません。個人データの委託では委託元に「必要かつ適切な監督」を続ける義務があり、財務報告の内部統制でも委託業務の評価責任は委託者（委託元）が負います。そのため、選定して契約したら終わりではなく、定期的な再評価やモニタリングで委託先の取扱状況を把握し続ける必要があります。
個人情報保護法のガイドライン（通則編）も、この「必要かつ適切な監督」を、適切な委託先の選定・委託契約の締結・取扱状況の把握の3つで整理しています。
出典・参考資料（2件）
Q. 委託先の選定基準でよく聞く「自社と同等以上の水準」とは、法律で定められた基準ですか？
A. 「自社と同等以上の個人情報保護の水準」という表現は、法律そのものではなく、プライバシーマーク制度の構築・運用指針（JIS Q 15001準拠）が、委託先選定基準に含める内容として示しているものです。個人情報保護法のガイドライン（通則編）は委託先に「自らが講ずべき安全管理措置と同等」の措置を求めており、「以上」という言い回しはPマークの指針に由来します。
細かな出所の違いはあるものの、実務では個人データを預ける委託先を選ぶ際の分かりやすい目安として使えます。
出典・参考資料（2件）
Q. 外部委託先の評価はどのくらいの頻度で行えばよいですか？
A. 決まった頻度の定めはなく、委託先のリスクの大きさに応じて評価の間隔を変えるのが実務の基本です。個人データや機密情報を多く預ける高リスクの委託先は評価頻度を高く、リスクの低い委託先は間隔を広げます。加えて、委託業務の範囲や再委託の状況が変わったときは、以前の評価の前提が崩れるため、頻度にかかわらず再評価します。
個人情報保護法のガイドライン（通則編）も、定期的な監査などで取扱状況を把握し、委託内容の見直しを検討することが望ましいとしています。
Q. ISMSやプライバシーマークを取得している委託先なら、評価を省略してもよいですか？
A. 認証の取得は評価を省略してよい根拠にはなりませんが、リスクに応じて質問票の一部を簡略化する判断材料にはなります。ISMS（JIS Q 27001）やプライバシーマーク（JIS Q 15001）は第三者が一定の水準を保証するため、委託先の自己申告より客観性が高い確認手段です。
ただし、認証の対象範囲と自社が委託する業務内容が一致しているかは別途確認が必要で、認証があれば無条件で確認を省いてよいという規範があるわけではありません。
Q. 委託先の評価をExcelやメールで管理していますが、専用ツールに切り替えるべきなのはどんなときですか？
A. 委託先の数が増え、質問票の配布・回収・採点・履歴管理を手作業で回すのが負担になってきたときが、専用ツール導入を検討する目安です。委託先リスク管理（TPRM／VRM）サービスを使うと、チェックシートの送付から採点・定期評価までをクラウド上で一元化でき、再委託先を含めたサプライチェーン全体も見通しやすくなります。
評価項目や判定基準の型が固まったうえで、運用の効率を上げたい段階で有効な選択肢になります。
委託先リスク管理サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、委託先リスク管理・GRC関連サービスの最新資料をまとめて請求できます。気になるサービスの機能や料金を比較し、自社の委託先評価の運用に合うものを効率的に見つけられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
