個人情報や機密情報の取り扱いを外部に任せる業務が広がる一方で、委託先を経由した情報漏えいは後を絶ちません。委託した業務であっても、そこで扱う情報の管理責任は委託した側に残ります。だからこそ、委託先を適切に選び、契約で取り決め、任せたあとも運用状況を確認し続ける「委託先管理」が欠かせません。
とはいえ、いざ整備しようとすると「委託先管理とは結局どこからどこまでをやることなのか」「何を確認すればよいのか」が分かりにくいものです。本記事では、委託先管理の定義と対象範囲から、法令上求められる水準、今日から着手できる5つの実施ステップ、評価チェックシートに載せる確認項目の例までを整理します。Excelでの運用に限界を感じたときに検討したい、委託先リスク管理ツールの選び方もあわせて解説します。
目次
一括ダウンロードする
委託先管理とは？定義と対象範囲
委託先管理とは、外部に業務を委託する際に、委託先が情報を安全に取り扱える体制にあるかを確認し、委託後も継続してその状況を監督する一連の取り組みを指します。対象範囲は、委託先を選ぶ「選定」だけにとどまりません。委託内容を取り決める「契約」、そして契約後に運用が守られているかを確かめる「定期的な確認（モニタリング）」までを含みます。
本記事では、情報の取り扱いに関わる委託先管理（情報セキュリティ・個人情報の観点）を中心に解説します。
この「選定・契約・取扱状況の把握」という三つの柱は、個人情報保護法にもとづき個人情報保護委員会が示すガイドラインの考え方とも重なります。委託先管理は一度きりの選定作業ではなく、委託関係が続く間ずっと回し続ける管理サイクルだと捉えると、全体像がつかみやすくなります。
委託・委託元・再委託先の違い（対象範囲）
委託先管理を正しく捉えるために、まず関係する言葉を整理します。個人情報保護法では、個人データの取り扱いの全部または一部を外部に任せることを「委託」と呼びます。
- 委託元：業務を外部に任せる側の企業。委託した情報の管理責任を負い続ける立場です。
- 委託先：委託元から業務を任される側の企業。データ入力、システム開発・運用、コールセンター、印刷・発送など、情報を扱う業務全般が対象になります。
- 再委託先：委託先がさらに別の企業へ業務の一部を任せた場合の、その先の企業。委託元の目が届きにくく、管理の抜け漏れが起きやすい領域です。
重要なのは、業務を委託しても情報の管理責任そのものは委託元に残るという点です。委託先や再委託先で事故が起きても、委託元が監督責任を問われます。そのため委託先管理は、委託先だけでなく、その先の再委託の状況まで視野に入れて設計する必要があります。
委託先管理が必要な理由
ここでは、なぜ委託先管理に取り組む必要があるのかを、法的な責任と実際の被害の両面から確認します。
委託先を含むサプライチェーン全体のリスク管理に、企業が本格的に取り組むようになったのはここ数年のことです。取引先のセキュリティを評価する現場からは、その背景として次のような動きが挙げられています。
背景としては、各省庁が警鐘を鳴らしていることもありますし、IPAが発表している情報セキュリティ10大脅威の中でも、サプライチェーンの弱点を悪用した攻撃が長年にわたって上位にランクインしています。直近では、経済産業省が主導しているサプライチェーン対策の評価制度（SCS評価制度）への関心も高まっていて、それにキャッチアップするためにサプライチェーンをどう評価すればいいのか、という観点でお問い合わせをいただくことも増えてきています。
委託先管理を怠るリスク（自社の損失・信用失墜）
委託先管理が必要な最も大きな理由は、委託元が委託先を監督する法的な責任を負っているためです。個人情報保護法は、個人データの取り扱いを委託する場合、委託先に対して必要かつ適切な監督を行うことを委託元に義務づけています（詳細は後述の法令・ガイドラインの節で解説します）。
監督が不十分なまま委託先で情報漏えいが起きると、被害は自社に跳ね返ります。漏えいした本人への対応や損害賠償といった直接の損失に加え、監督義務を果たしていなかったとして委託元自身の責任が問われ、企業の信用を大きく損ないます。サプライチェーンを狙った攻撃が増えるなか、委託先という自社の外側の弱点をどう管理するかは、経営上のリスク管理そのものになっています。
委託先経由の情報漏えい事故の実例
委託先を起点とする情報漏えいは、実際に大規模なかたちで発生しています。LINEヤフー株式会社は2023年11月27日、委託先を経由した不正アクセスにより個人情報が漏えいしたことを公表しました。同社の発表によると、発端は次のとおりです。
当社関係会社である韓国NAVER Cloud社の委託先かつ当社の委託先でもある企業の従業者が所持するPCがマルウェアに感染したことが契機
出典：不正アクセスによる、情報漏えいに関するお知らせとお詫び｜LINEヤフー株式会社
この事案では、ユーザーに関する情報302,569件、取引先に関する情報86,105件、従業者などに関する情報51,353件が漏えいの対象となりました。委託先の従業員が使う1台のPCがマルウェアに感染したことが、複数の企業をまたいで大規模な漏えいにつながっています。
この事案から得られる教訓は、委託先の端末のマルウェア対策や、再委託先まで含めた情報の受け渡しの把握といった確認を、委託先管理のなかで継続的に行う重要性です。後述する実施手順や評価チェックシートは、こうしたリスクの芽に気づくための仕組みでもあります。
特に再委託は委託元の目が届きにくい領域です。契約で禁じたはずの再委託が無断で行われ、情報の管理が崩れる例もあります。委託先だけでなく、その先の再委託の状況まで管理の対象に含めることが重要です。
委託先管理の進め方【5ステップ】
ここからは、委託先管理を実際にどう進めるかを5つのステップで解説します。各ステップで「何を作り、何をするか」を具体的に示すので、自社の状況に合わせて着手する順番の目安にしてください。
ステップ1 委託先の洗い出し・一覧化
最初に取り組むのは、どの業務を、どの委託先に、どんな情報を渡して任せているかの棚卸しです。部署ごとに個別で契約している委託先が抜けやすいため、全社を横断して漏れなく特定します。成果物として、委託先の一覧表（委託業務の内容、扱う情報の種類、個人情報の有無、再委託の有無などの列を持つ台帳）を作成します。この一覧が、以降のすべての管理の土台になります。
ステップ2 評価基準・チェックシートの作成
次に、委託先の情報セキュリティ体制を確認するための評価基準と、それを問うチェックシートを用意します。評価基準は「自社と同等以上の水準にあるか」を軸に置くのが基本です。
チェックシートには、後述する「委託先評価チェックシートの項目例」のような具体的な確認項目を並べます。すべての委託先に同じ基準を適用すると負担が大きくなるため、扱う情報の重要度に応じて確認の深さを変える設計にしておくと運用が続けやすくなります。
ステップ3 委託先の評価実施
作成したチェックシートを委託先に配布し、回答を回収して評価します。このステップは主に、委託を始める前の選定段階での評価にあたります（委託後の定期的な再評価はステップ5で扱います）。
回答内容を確認し、基準に満たない項目があれば、改善を依頼したり、リスクの大きさによっては委託そのものを見直したりします。回答が返ってこない、内容が形式的で実態が読み取れない、といった問題が起きやすいステップでもあるため、回収と評価の担当・期限をあらかじめ決めておきます。
ステップ4 委託契約・NDAの締結
評価を経て委託すると決めたら、情報の取り扱いに関する取り決めを契約に落とし込みます。秘密保持契約（NDA）を結ぶだけでなく、委託契約そのものに情報管理の条項を盛り込むのが基本です。プライバシーマークの構築・運用指針は、委託契約に次の事項を盛り込むことを求めています。
出典：プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針（JIS Q 15001:2023準拠 ver1.0）J.9.4｜一般財団法人日本情報経済社会推進協会（JIPDEC）
- a）委託者及び受託者の責任の明確化
- b）個人データの安全管理に関する事項
- c）再委託に関する事項
- d）個人データの取扱状況に関する委託者への報告の内容及び頻度
- e）契約内容が遵守されていることを委託者が、定期的に、及び適宜に確認できる事項
- f）契約内容が遵守されなかった場合の措置
- g）事件・事故が発生した場合の報告・連絡に関する事項
- h）契約終了後の措置
特に再委託の可否や事故発生時の連絡、契約終了後のデータ返却・廃棄は、抜けると後々の紛争につながりやすい項目です。契約書のひな形に、これらの事項をあらかじめ組み込んでおくと確実です。
ステップ5 定期モニタリング・再評価
契約して終わりではなく、委託が続く間は取扱状況を定期的に確認します。情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」でも、委託先情報セキュリティ対策状況確認リストによる評価を、年1回以上の頻度で行う機会を設けることが推奨されています。
確認の方法は、チェックシートの再送付だけでなく、委託先への訪問や担当者へのヒアリングを組み合わせると実態を把握しやすくなります。前回からの回答の変化や、契約内容の見直しの要否もあわせて点検し、次の期の管理につなげます。
確認の頻度と深さは、すべての委託先で一律にする必要はなく、委託先ごとのリスクの高さに応じて強弱をつけると、限られた体制でも無理なく続けられます。前掲のIPAガイドラインが示す「年1回以上」を基本の目安としつつ、次のように調整するのが実務的です。
- リスクが高い委託先（大量の個人データや基幹システムの運用を任せる先など）：年1回以上のチェックシート評価に加え、訪問による実地確認や記録・証跡の提出を求めるなど、確認を厚くします。
- リスクが中程度の委託先：年1回程度のチェックシート評価を基本とし、回答内容に変化があれば追加で確認します。
- リスクが低い委託先（個人情報や機密情報の取り扱いが限定的な先など）：契約更新などの節目での確認に軽減し、負担を抑えます。
委託先評価チェックシートの項目例
評価チェックシートは「セキュリティ対策を確認する」といった抽象的な問いでは実態を把握できません。委託先が具体的に答えられる粒度まで落とし込むことが大切です。ここでは、独立行政法人情報処理推進機構（IPA）が中小企業向けに公開している「委託先情報セキュリティ対策状況確認リスト」を参考に、そのまま設問として使える形で、代表的な確認項目を区分ごとに紹介します。
- ガバナンスの整備：セキュリティを担当する部署・責任者を決め、責任と権限を割り当てていますか。守秘義務のルールを定め、遵守させていますか。自社のセキュリティ対応方針を策定し、周知していますか。
- 取引先管理：自社との業務上・システム上の関係を把握していますか。機密情報の取り扱い方法を委託元との間で明確にしていますか。インシデント発生時の役割と責任を明確にしていますか。
- リスクの特定：情報機器・OS・ソフトウェアの情報を把握していますか。機密情報を扱う外部サービスを管理していますか。機密区分に応じた情報の管理ルールを定めていますか。
- 攻撃などの防御：ユーザーIDの発行・変更・削除の手続を定めていますか。パスワード設定のルールを定め、周知していますか。適切なバックアップやセキュリティパッチの適用、マルウェア対策を行っていますか。
- 検知・対応・復旧：ネットワーク接続やデータ転送を監視していますか。セキュリティインシデントへの対応手順・体制を定めていますか。重要なシステムについて、復旧に必要な準備を行っていますか。
IPAが公開する確認リストは全26項目で構成されており、そのまま使うのではなく、自社が委託する業務内容に合わせて項目を加筆・修正して利用することが想定されています。委託先の負担も考え、確認項目は必要な範囲に絞り込むのが実務上のポイントです。
出典・参考資料（1件）
委託先管理に関わる法令・ガイドライン
委託先管理をどの水準で行うべきかは、法令やガイドラインが基準を示しています。ここでは、審査や社内説明の根拠にもなる主なものを確認します。
個人情報保護法の委託先監督義務（第25条）
委託先管理の最も基本的な法的根拠は、個人情報の保護に関する法律（個人情報保護法）第25条です。個人データの取り扱いを委託する事業者に、委託先への監督を義務づけています。
第二十五条（委託先の監督） 個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。
出典：個人情報の保護に関する法律 第25条｜e-Gov法令検索
ここでいう「必要かつ適切な監督」の中身は、個人情報保護委員会のガイドライン（通則編）が具体化しています。同ガイドラインは、委託元が講ずべき措置として「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」の3つを挙げています。前述の5ステップは、この3つの措置に沿ったものです。
ただし、この監督義務が対象とするのは個人データを委託する場合であり、個人情報を扱わない委託でも、後述のガイドラインや業界基準にもとづく管理が求められます。
出典・参考資料（1件）
プライバシーマーク・ISMSで求められること
プライバシーマーク（Pマーク）やISMS（情報セキュリティマネジメントシステム）の認証を取得・運用している企業では、認証基準そのものが委託先の監督を求めています。
プライバシーマークの構築・運用指針（JIS Q 15001:2023準拠）は、委託先選定基準の確立、すべての委託先の特定、委託契約への必要事項の記載、そして委託先の監督を求めています。ISMSの国際規格であるISO/IEC 27001（国内対応規格はJIS Q 27001）でも、供給者との関係における情報セキュリティが管理策として定められています。
さらに、供給者との関係に特化した国際規格として ISO/IEC 27036 シリーズがあります。委託先（供給者）のリスク評価や合意すべきセキュリティ事項の考え方を体系的に示しており、委託先管理の仕組みを設計する際の参考になります。
これらの認証を持つ企業は、更新審査や内部監査で委託先管理の運用状況を確認されるため、記録を残せる形で管理を回しておくことが重要です。
政府・業界のガイドライン（サイバーセキュリティ経営ガイドラインほか）
認証の有無にかかわらず参照したいのが、経済産業省と情報処理推進機構（IPA）が公表する「サイバーセキュリティ経営ガイドライン」です。同ガイドライン（Ver3.0）は、経営者が認識すべき指示の一つとして、サプライチェーン全体の対策を挙げています。
指示９ ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策
出典：サイバーセキュリティ経営ガイドライン Ver3.0 指示9｜経済産業省・独立行政法人情報処理推進機構（IPA）
このほか、業界ごとに委託先管理に関わる基準があります。金融機関であれば金融情報システムセンター（FISC）の安全対策基準、医療機関であれば厚生労働省の「医療情報システムの安全管理に関するガイドライン」、クレジットカード情報を扱う場合はPCI DSSなどです。自社が属する業界の基準を確認し、求められる水準に運用を合わせておくと、監査や取引先からの確認にも対応しやすくなります。
委託先管理でよくある課題と対策
委託先管理は、仕組みを作っても運用が続かず形だけになりやすい業務です。よくつまずくポイントと、その対策を整理します。
- Excelとメールでの管理が限界に達する：委託先が増えるとチェックシートの送付・回収・集計が煩雑になり、ファイルのバージョン管理も難しくなります。対策として、管理する情報を一元化し、配信や集計の手作業を減らせる仕組みへ移行します。
- 担当者に属人化する：委託先ごとの経緯や評価の判断が特定の担当者に依存し、異動や退職で引き継げなくなります。対策として、評価基準と記録を誰が見ても分かる形で残し、進捗や履歴を共有できる状態にします。
- チェックシートが返ってこない・形骸化する：委託先に送っても回答が集まらず、集まっても内容が形式的で実態を読み取れないことがあります。対策として、回答の期限とリマインドの運用を決め、重要度の高い委託先には訪問やヒアリングを併用します。
- 再委託先まで把握できない：委託先の先に情報が渡っていても気づけないことがあります。対策として、契約で再委託の事前報告・承認を取り決め、再委託先の情報も管理対象として台帳に含めます。
これらの課題の多くは、管理する情報の量が増えるほど手作業では追いつかなくなることに起因します。委託先の数が一定を超えたら、専用のツールやサービスの活用を検討する段階に入ります。
委託先管理を効率化するツール・GRCサービスの選び方
こうした手作業の負担を減らす選択肢が、委託先管理に特化したツールや、ガバナンス・リスク・コンプライアンスを統合的に扱うGRCサービスです。委託先へのチェックシート配信・回収・評価・記録といった業務をクラウド上で一元化でき、属人化や集計の手間を減らせます。
委託先管理は、ガバナンス・リスク・コンプライアンス（GRC）全体の取り組みの一部でもあります。委託先管理に限らず、リスク評価や内部統制まで含めてGRCツールを広く比較検討したい場合は、以下の記事で主要製品の機能・料金や失敗しない選び方を確認できます。
委託先管理ツールを選ぶ際の観点
ツールを比較する際は、次の観点を自社の運用に照らして確認すると選びやすくなります。
- チェックシートの柔軟性：自社の評価基準に合わせて設問を作成・カスタマイズできるか。既存のExcel調査票を取り込めるかどうかも、移行のしやすさを左右します。
- 再委託先までの管理：委託先だけでなく、その先の再委託先まで階層的に管理できるか。サプライチェーン全体を見たい場合に重要です。
- 定期評価・履歴管理：年次などの定期評価を一括で依頼・回収でき、過去の回答との比較や履歴の追跡ができるか。
- 自社の規模・体制との適合：専任担当を置きにくい体制でも運用できるか。導入や初期設定の負担、対応言語もあわせて確認します。
委託先リスク管理に対応する主なサービス
ここからは、委託先管理・委託先リスク管理に対応する主なサービスを紹介します。各サービスの特徴を確認し、自社の運用に合うものを検討する際の参考にしてください。
| サービス名 | VendorTrustLink | SecureNavi | Conoris BP | Supplier Risk MT | AuditnQ |
|---|---|---|---|---|---|
| 提供会社 | 株式会社アトミテック | SecureNavi株式会社 | 株式会社Conoris Technologies | 株式会社GRCS | RenderingConsulting株式会社 |
| 位置づけ | 委託先リスク管理に 特化（TPRM） | ISMS/Pマーク運用ツール （委託先管理は一機能） | 委託先リスク管理に 特化（VRM） | 委託先リスク管理に 特化（TPRM） | 委託先リスク管理に 特化（TPRM） |
| 委託先チェックシートの配信・回収 | ● | ● | ● | ● | ● |
| 再委託先の階層管理 | △再委託先評価を簡易登録 | × | ● | ● | ● |
| 定期評価・履歴管理 | ● | × | ● | ● | ● |
| 外部評価データ連携 | × | × | × | ●SecurityScorecard連携 | ●Netskope CCI連携 |
| 料金（初期・月額） | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. VendorTrustLink（株式会社アトミテック）
VendorTrustLinkは、委託先・取引先へのチェックシートの送付から回収、自動採点、履歴管理までをクラウド上で完結できる、委託先リスク管理に特化したサービスです。国際的なリスクマネジメントの指針であるISO 31000に沿った設計を掲げ、Excelでのチェックシート運用からの移行を想定しています。
設問は選択式・自由記述・画像や動画の提出など柔軟に作成でき、委託先は専用アカウントから回答します。回答結果は自動で採点され、経年での比較やレーダーチャートでの可視化に対応します。委託業務の重要度や個人情報の取り扱い区分による分類、未回答者への自動リマインドなど、運用の手間を減らす機能を備えている点も特徴です。
2. SecureNavi（SecureNavi株式会社）
SecureNaviは、ISMS（ISO/IEC 27001）やプライバシーマークの取得・運用をクラウド上で一元管理するツールで、その機能の一つとして外部委託先管理に対応しています。認証運用で分散しがちな規程類や記録類をSaaS上に集約し、セキュリティチェックシートの配信・回答管理を自動化できます。
認証の取得・運用を支援するツールを基盤にしているため、プライバシーマークやISMSの更新・審査をきっかけに委託先管理を整備したい企業と相性が良い設計です。専任のセキュリティ担当を置きにくい企業でも運用しやすいことを訴求しており、認証運用と委託先管理を一つの基盤で回したい場合の候補になります。
3. Conoris BP（株式会社Conoris Technologies）
Conoris BPは、委託先・再委託先へのセキュリティ調査と年次の定期点検を、Excelやメール中心の運用からクラウドへ移行できるベンダーリスク管理ツールです。委託先をプロジェクト別・会社別にツリー状の階層構造で管理でき、再委託先までを見渡せます。
調査票は自由にカスタマイズできるWebフォーム形式で作成・送付します。回収した回答をAIが分析し、リスクのある項目を抽出して社内規程やフレームワークと照合したうえで一覧化する「AIレビューアシスト」により、審査担当者の判断を支援します。年次の定期点検を一括で依頼・回収し、年度間の回答差分を追える点も、継続的な監査サイクルに組み込みやすい特徴です。
4. Supplier Risk MT（株式会社GRCS）
GRC・セキュリティ関連ソリューションを手がける株式会社GRCSが提供する外部委託先リスク管理の支援ツールが、Supplier Risk MT（SRMT）です。委託業務・契約・再委託先などの情報をWeb上で一元管理し、委託先ごとのリスクをスコアやグラフで可視化します。
委託元が点検フォーム（チェックシート）を作成し、委託先がWeb経由で回答する運用を軸に、CSVでの一括登録にも対応します。2025年には外部のセキュリティ評価サービスであるSecurityScorecardとの連携を開始し、委託先の自己申告データと外部評価スコアを組み合わせた分析ができるようになりました。委託・再委託の関係をツリー表示やヒートマップで俯瞰したい企業に向いています。
5. AuditnQ（RenderingConsulting株式会社）
既存のExcelチェックシートを活かしながら委託先管理をクラウド化できるのが、AuditnQです。委託先・再委託先の管理とセキュリティチェック、定期監査を一元化する第三者リスク管理システムで、回答をシステム上で自動抽出・データベース化する設計により、脱Excelの負担を抑えられます。
初回の選定から半年・年次といった定期監査までを一連のプロセスとして管理でき、複数会社の管理機能によりグループ会社を含めた展開にも対応します。2026年には外部のクラウドサービス評価データとの連携機能を追加し、委託先の自己申告に外部の客観的な評価を組み合わせられるようになりました。再委託先まで含めたサプライチェーン全体を管理したい場合の選択肢になります。
まとめ
委託先管理とは、外部に業務を委託する際に委託先の情報セキュリティ体制を確認し、委託後も継続して監督する取り組みです。対象は委託先の選定から契約、定期的なモニタリングまでを含み、その先の再委託先も視野に入れる必要があります。業務を委託しても情報の管理責任は委託元に残るため、個人情報保護法第25条をはじめとする法令・ガイドラインが委託先への監督を求めています。
実務では、委託先の洗い出し、評価基準とチェックシートの作成、評価の実施、契約への必要事項の反映、定期的な再評価という5つのステップで進めます。委託先が増え、Excelやメールでの管理が属人化・形骸化してきたら、委託先リスク管理ツールやGRCサービスの活用を検討する段階です。自社の運用や体制に合ったサービスを選ぶために、まずは各社の資料で機能や特徴を比較してみてください。
よくある質問（FAQ）
Q. 委託先管理と外部委託先管理の違いは何ですか？
A. 委託先管理と外部委託先管理は、ほぼ同じ意味で使われる言葉です。どちらも、外部に業務を委託する際に委託先が情報を安全に扱える体制かを確認し、委託後も継続して監督する取り組みを指します。
「外部委託先管理」は社外の委託先が対象であることを強調した表現で、サプライチェーン全体のリスク管理という文脈で使われることが多い言葉です。本記事で解説している選定・契約・モニタリングという一連の流れは、どちらの呼び方でも共通します。
Q. 個人情報を扱わない委託でも委託先管理は必要ですか？
A. 個人情報を扱わない委託でも、機密情報や自社システムに関わる委託であれば委託先管理は必要です。個人情報保護法第25条の委託先監督義務が対象とするのは個人データを委託する場合ですが、営業秘密・技術情報の受け渡しやシステムの運用を委託する場合も、委託先を経由した情報漏えいやサービス停止のリスクは生じます。
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」も、個人情報に限らずビジネスパートナーや委託先を含めたサプライチェーン全体の状況把握と対策を求めています。扱う情報の種類だけでなく、委託先に渡す情報やアクセス権の重要度に応じて、管理の要否と深さを判断します。
出典・参考資料（1件）
Q. 委託先が少ない小規模な会社でも委託先管理は必要ですか？
A. 委託先が少ない小規模な会社でも、個人データの取り扱いを委託していれば、会社の規模にかかわらず委託先管理は必要です。個人情報保護法第25条の委託先監督義務に、従業員数や委託先の数による除外はありません。
ただし、すべての委託先に同じ負担をかける必要はなく、扱う情報の重要度に応じて確認の深さを変えるのが実務的です。小規模な体制で始める場合は、IPAが中小企業向けに公開している委託先の確認リストなど、公的なひな形を土台にすると無理なく着手できます。
出典・参考資料（2件）
Q. 再委託先はどこまで管理すべきですか？
A. 再委託先は、委託先と同じ水準で管理対象に含め、再委託の事前報告・承認と定期的な確認まで行うのが基本です。個人情報保護委員会のガイドライン（通則編）は、再委託する場合も委託を行う場合と同様に、事前報告を受けまたは承認を行い、定期的に監査を実施することなどを求めています。
実務では、委託契約に再委託の可否と事前承認の手続きを明記し、再委託先の情報も委託先台帳に含めて把握します。ただし、すべての再委託先に同じ深さの管理を課す必要はなく、扱う情報の重要度に応じて確認の頻度や深さを調整するのが現実的です。委託元の責任は再委託先での取り扱いにも及ぶため、目が届きにくい再委託先こそ管理の設計に組み込むことが重要です。
出典・参考資料（1件）
Q. 委託先管理の記録はどれくらいの期間保存すべきですか？
A. 委託先管理の記録は、委託した個人データを保有している期間にわたって保存するのが基本です。プライバシーマークの構築・運用指針は、委託契約書を当該個人データの保有期間にわたって保存することを求めています。
契約書だけでなく、委託先の選定時に評価した記録や定期評価の記録も残しておくと、審査や監査で「委託先を継続的に監督している」ことを説明する裏づけになります。保存期間は、自社の文書管理規程や属する業界の基準ともあわせて定めます。
出典・参考資料（1件）
Q. 監査やPマーク審査で「委託先を監督できている」と説明するには何が必要ですか？
A. 監査やPマーク審査で委託先を監督できていると説明するには、選定・契約・定期評価の各段階を記録として残しておくことが必要です。具体的には、委託先を選定したときの評価記録、情報管理の条項を含む委託契約書やNDA、定期的に実施した評価・モニタリングの結果が、監督を継続している証跡になります。
プライバシーマークやISMSの更新審査・内部監査では運用状況の記録を確認されるため、口頭の運用にとどめず、誰が見ても経緯をたどれる形で残しておくことが重要です。本記事で紹介した5つのステップは、こうした記録が自然に残る流れになっています。
委託先管理サービスの資料・料金を一括チェック
MCB FinTechカタログでは、委託先リスク管理・GRCツールの最新資料をまとめて無料でダウンロードできます。機能や対応範囲を比較し、自社の委託先管理に合うサービス選びにお役立てください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
