LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

情シスの業務をアウトソーシングしたいが、社内に分かる人がいなくなるのではないか——。人手が足りない情報システム部門の担当者や、ITの担当を兼ねる管理部門の担当者には、こうした不安がつきものです。情シスのアウトソーシングは、PCやアカウントの管理、社員からの問い合わせの対応、サーバーやネットワークの運用といった業務の一部または全部を、外部の事業者に委託することです。

人手の不足を補える一方で、社内に知識が残りにくい、やり取りの手間が増えるといったデメリットもあります。本記事では、情シスの業務のアウトソーシングを検討している担当者に向けて、メリットとデメリットを同じ表で比べ、デメリットごとに範囲・契約・引き継ぎで抑える方法を整理します。

情シスのアウトソーシングとは

情シスのアウトソーシングには、頼み方の形がいくつかあります。どの形を選ぶかで、メリットとデメリットの出方も変わります。

• 一部の委託：ヘルプデスクやPCの準備など、手順の決まった業務だけを頼む形
• 運用の委託：サーバーやネットワークの監視、バックアップなどの運用をまとめて頼む形
• 外部サービスの利用：メールやファイルの共有などをクラウドサービスに切り替え、仕組みの運用ごと事業者に預ける形
• 働き方の違い：常駐・訪問・リモートの3つがあり、費用の決まり方も変わります。詳しくは情シス代行の費用の決まり方で扱っています

IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、ITの技術に詳しい人材がいない場合、自社でシステムを構築・運用するよりも外部サービスを利用したほうがコスト面から有利な場合がある、としています。^*1 同時に、安易に利用せず、利用規約や情報セキュリティ対策を十分に検討するよう求めています。^*1 アウトソーシングは得になる場面がある一方で、頼み方を誤ると負担が増えるもの、という前提で比べていきます。

メリットとデメリットの比較

情シスのアウトソーシングのメリットとデメリットを、観点ごとに同じ重さで並べると次の表のようになります。右の列は、それぞれのデメリットを抑える方法です。どの方法も、範囲・契約・引き継ぎのどれかで先に決めておくことに行き着きます。

表の中で見落としやすいのは「情報の扱い」の行です。IPAのガイドラインは、委託先に渡した情報が漏えいした場合、それが委託先の不備だったとしても、委託元としての管理責任を問われるとしています。^*1 アウトソーシングで作業は減らせても、責任までは減りません。

外部に頼むか社内で続けるかは、場面で分かれます。

• 外部に頼むのが向く場面：手順の決まった業務の量が多い、担当者が1人で休みが取れない、夜間や休日の対応が要る
• 社内で続けるほうがよい場面：業務の手順がまだ決まっていない、事業の中身に深く関わる仕組みを作り込んでいる最中である
• 先に棚卸しが要る場面：頼む範囲を説明できる人が社内にいない。頼む前に業務を書き出す

デメリットを範囲で抑える方法

デメリットの多くは、頼む範囲があいまいなまま契約したときに大きくなります。経済産業省の「システム管理基準」は、外部委託の管理として、IT戦略に基づいて外部委託の利用計画を立てることや、委託先の選定の基準と方法を定めることを挙げています。^*2 情シスの業務でも、何を頼み、何を社内に残すかを決めてから事業者を選びます。

• ITの方針と予算：何に投資し、何を変えるかを決める仕事
• 承認：アカウントの発行や機器の購入、設定の変更を認める仕事
• 委託先の管理：事業者の作業を確かめ、契約どおりかを評価する仕事
• 社内の窓口：社員からの依頼を受けて、事業者に伝える仕事

上の4つは、アウトソーシングしても社内に残す仕事です。頼める業務と社内に残す業務の分け方は、情シスの業務一覧で業務ごとに整理しています。1か月の仕事を書き出して量の多い順に並べると、頼む範囲を事業者に説明しやすくなります。範囲の一覧には頼まない業務も書いておくと、追加の費用が出たときに話し合う基準になります。

デメリットを契約と引き継ぎで抑える

範囲が決まったら、デメリットを抑える決めごとを契約に書きます。IPAのガイドラインは、業務の一部を外部に委託する場合、契約書に情報セキュリティに関する「委託先の責任や実施すべき対策を明記し、合意する」ことを求めています。^*1 次の項目は、契約の前に事業者と確かめておきます。

• 情報セキュリティの責任と対策：委託先が行う対策と、自社が行う対策の分け方
• 秘密保持：重要な情報の受け渡しを伴う契約に、秘密保持の条項を入れる^*1
• 事故のときの連絡：通知の義務と連絡先を文書にし、役割の分担を事業者と合意しておく^*1
• 実施の状況の確かめ方：定期的な報告の形と、作業の結果を受け入れる検収のやり方^*2
• 追加の作業：範囲の外の依頼が出たときの見積もりと承認の手続き

知識が社内に残りにくいというデメリットは、引き継ぎの取り決めで抑えます。システム管理基準は、保守で必要な情報として、ハードウェアやソフトウェアの構成管理情報、システム構成図、プログラム一覧などを挙げています。^*2 情シスのアウトソーシングでも、機器とアカウントの台帳、ネットワークの構成図、作業の手順書を、更新した版で受け取れるようにしておきます。

契約を終えるときの取り決めも欠かせません。IPAのガイドラインは、取引先との契約終了時に機密性の高い情報やアクセス権を回収または破棄すること、そのために責任者と期限を決めてチェックシートで運用し、記録を残すことを挙げています。^*1 この手順があれば、事業者を替えるときの引き継ぎも進めやすくなります。

外部に頼むときに確認しておきたい点

相談の前に、次の5点を社内で整理しておくと、事業者ごとの提案を同じ条件で比べられます。どれも、メリットとデメリットの表の右の列と対応しています。

• 範囲：頼む業務と頼まない業務。社内に残す方針・承認・委託先の管理
• 期間：契約の期間と、前任者と並行して作業する引き継ぎの期間
• 体制：社内の窓口と、事業者の担当者が交代するときの決まり
• 費用の決まり方：決まった業務の月額か、作業の時間か。範囲の外の作業の扱い
• 引き継ぎ：台帳・構成図・手順書を受け取る時期と形。契約を終えるときの情報とアクセス権の回収

システム管理基準は、委託先を複数の候補から選ぶことや、契約の実施状況を評価して維持することも挙げています。^*2 1社に決める前に、同じ範囲の一覧で複数の事業者から提案を取り、契約の後も定期的に見直す場を設けておくと、デメリットが大きくなる前に手を打てます。

まとめ：アウトソーシングの前に確かめる3つの点

情シスのアウトソーシングで確かめておきたい点は、3つに整理できます。第一に、メリットとデメリットを観点ごとに並べ、自社で大きくなりそうなデメリットを先に見つけること。第二に、頼む業務と頼まない業務を一覧にし、方針・承認・委託先の管理は社内に残すこと。第三に、情報セキュリティの責任や追加の手続きを契約に書き、台帳や手順書を受け取る引き継ぎと、契約を終えるときの回収の手順を決めておくことです。この3点を押さえておけば、頼んだ後に「社内で誰も分からない」という事態を避けやすくなります。範囲の決め方に迷う場合は、外部の手を借りて整理するのも一つの選択肢です。

よくある質問

出典

1. *1　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：第1部の原則2（委託先の情報セキュリティ対策）と重要7項目の取組6（委託や外部サービス利用の際の責任の明確化）、自社診断の項目22（秘密保持条項）、第3部の取引先/外部情報サービスの管理（事故時の役割、契約終了時の情報とアクセス権の回収）を参照（2026年10月確認）
2. *2　参考：経済産業省「システム管理基準」（令和5年4月26日）（https://www.meti.go.jp/policy/netsecurity/sys-kansa/sys-kanri-2023.pdf）。出典：Ⅱ.2.6 外部委託管理（外部委託利用計画、選定基準、複数候補からの選定、契約の維持、検収）と、保守の体制整備の管理活動（保守で必要な情報の連携）を参照（2026年10月確認）

Tweet