LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

辞める社員が管理者のアカウントを持ったまま、最終出社日が近づいている。後を頼む外部の技術者に、どの資料をどこまで渡してよいのか分からない——。社員の退職で空いた仕事を社外の人に任せる現場では、こうした迷いが起こりがちです。外部人材活用で退職の引き継ぎを進めるとは、社員が担当していた作業を、業務委託などで加わる社外の技術者に引き継いでもらうことを指します。

引き継ぎ先を社外に求めれば、後任の採用が決まるのを待たずに作業を続けられます。ただし万能ではなく、社員どうしの引き継ぎでは気にしなかったアカウントや秘密保持の扱いを、改めて決めなければなりません。本記事では、開発の現場を預かるマネージャーに向けて、社員どうしの引き継ぎとの違い、退職者が持っているものの書き出し方、アカウントを切り替える順番、資料を渡すときの記録、つまずきやすい点、そして外部に委託するときに確認しておきたい点を整理します。

退職者から外部人材への引き継ぎとは

退職者から引き継ぐものは、大きく3つに分けられます。1つ目は作業そのもので、毎月の定期作業や、途中まで進んでいる改修がこれに当たります。2つ目は、その作業のために退職者に渡していたアカウントと権限です。3つ目は、作業に使っていた資料やデータです。社員どうしの引き継ぎなら、2つ目と3つ目は社内のルールの中で渡せます。受け取る人が社外の人になると、この2つの渡し方を決め直すことになります。

使える日数にも限りがあります。民法第627条第1項は、期間の定めのない雇用、つまり期間を決めずに雇われている場合について、社員の側からも会社の側からもいつでも解約を申し入れることができ、雇用は「解約の申入れの日から二週間を経過することによって終了する」と定めています。^*1 退職の申出を受けてから最終日までの間に、外部人材を探し、契約を結び、作業を引き継いでもらう——この日程を先に組んでおかないと、退職者がいるうちに終わらない作業が出てきます。

アカウントや資料の渡し方を決めるときに手がかりにしやすいのが、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」です。2026年3月27日に第4.0版が公開され、^*3 その付録5に情報セキュリティ関連規程のサンプル（以下、ひな形）があります。ひな形は、必要な対策を選択して編集すれば、自社の規程として使える形になっています。退職と社外の人に関わる定めは、人に関する決まり（人的対策）の章と、社内の情報やデータの管理、誰に何を使わせるか（アクセス制御）を決める章に分かれています。

社員どうしの引き継ぎとの違い

いちばん大きな違いは、秘密保持の約束を誰と結ぶかです。ひな形の人的対策は、従業員を雇用する際には守秘義務ルールを説明のうえで誓約書を提出させるとし、続けて「社外要員については、当該企業と秘密保持契約を締結する」としています。^*2 社員は本人の誓約書、社外の人はその人が所属する会社との契約、という分け方です。

資料の渡し方も変わります。ひな形は、社外秘または極秘の情報ファイルを社外に共有する場合は「秘密保持に関する合意をした相手とのみ共有する」としています。^*2 社員どうしなら共有フォルダの場所を教えれば済むところ、外部人材には秘密保持契約が先で、資料はその後です。退職者が「急ぐから先に送っておく」と個人の判断で資料を送ってしまうと、この順番が崩れます。

情報を使う人の決め方も見直しが要ります。ひな形では、社内の情報やデータ（情報資産）を使えるのは、それらをまとめた情報資産管理台帳の利用者範囲欄に示された部門の従業員とされています。^*2 このままでは社外の人は利用者に含まれません。引き継ぎの前に、外部人材にどの情報資産を使ってもらうかを決め、台帳を書き直しておくと、あとで誰に何を渡したかを確かめやすくなります。

退職者が持っているものの書き出し

引き継ぎは、退職者が持っているものを書き出すところから始まります。作業の一覧は本人に書いてもらえますが、アカウントや契約の名義は本人も忘れていることがあります。ひな形には、退職者の名前が載りやすい一覧が3つあるので、それぞれの一覧から退職者の名前を探すと抜けが減ります。

外部情報システム一覧は、社外の組織が管理・提供していて、自社がつないだり使ったりしている情報システムの一覧です。クラウドサービスの提供者もここに入ります。載せる内容として、ひな形は利用・管理者情報（利用・管理部署、責任者名など）や、保守契約情報（契約期間、事業者名、契約番号、連絡先など）を挙げています。^*2 責任者名に退職者の名前が書かれているサービスは、その人が辞めると、事業者からの連絡を受ける人がいなくなります。

特権アカウント（管理者の権限を持つアカウント）については、ひな形は、組織内で特権アカウントを保有する者を一覧化して正確に把握するとしています。^*2 一覧のどこに退職者の名前があるかを見れば、外部人材に渡す権限と、社内の別の人に移す権限を分けて考えられます。

アカウントを切り替える順番

最初に決めておきたいのは、退職者のアカウントを外部人材に使わせないことです。ひな形は、利用者の認証に用いるアカウントは利用者1名につき1つを発行し、同一アカウントの他者との共有と、複数の利用者が共有するアカウントの発行を禁止しています。^*2 退職者のIDとパスワードをそのまま外部人材に伝えるやり方は、この定めに合いません。

特権アカウントには、さらに細かい定めがあります。ひな形は、社員か社外の人かを問わず、付与する相手を業務上必要な人に限り、役割に応じた必要最低限の権限だけを付与するとしています。付与・変更・削除には情報セキュリティ責任者とシステム管理者の承認が要り、管理者が組織を退職した場合などは、速やかに特権アカウントを削除または無効化するとしています。^*2

この2つの定めに沿うと、順番は次のようになります。まず、秘密保持契約を結んだうえで、外部人材のアカウントを新しく発行します。次に、退職者がいるうちに、外部人材に自分のアカウントで実際に作業してもらいます。権限が足りない操作があれば、この段階で分かります。最後に、退職者のアカウントを削除または無効化します。削除を先にすると作業が止まり、削除を後回しにすると使われないアカウントが残ります。

資料を渡すときの記録

資料を外部人材に渡すときは、渡したことを記録に残します。ひな形は、社外秘または極秘の情報ファイルを社外へ転送する場合は送信履歴を残し、共有の記録を残すとしたうえで、記録に含める内容を7つ挙げています。

引き継ぎでは、資料を送る人が退職者本人になりがちです。本人が辞めたあとに「何をいつ誰に送ったか」を確かめようとしても、聞く相手がいません。送る役は社内に残る担当者にするか、少なくとも承認者を社内の人にしておくと、退職後も7つの内容を社内で確かめられます。

退職者から返してもらうものも、同じ時期に確かめます。ひな形の人的対策は、在職中に交付された業務に関連する資料、個人情報、顧客・取引先から交付を受けた資料、それらの複製物の一切を退職時に返還するとしています。返還の確認には退職時のチェックリストを使い、返還物には資料や媒体、情報機器、アクセス権（IDおよび鍵）などが含まれるとしています。^*2 退職者に渡していた資料のうち、返ってきたものと外部人材に渡したものを照らし合わせると、行方の分からない資料が見つかりやすくなります。

つまずきやすい点

一つめは、退職者のアカウントを「引き継ぎ用」に残してしまうことです。外部人材が同じアカウントを使うと、ある操作をしたのが退職者なのか外部人材なのかが記録から分からなくなります。やむを得ず共有のIDが必要な場合でも、ひな形は、共有IDを利用したユーザーを特定できるようにするとしています。^*2

二つめは、退職者1人に集まっていた権限を、そのまま外部人材1人に移すことです。ひな形のアクセス制御方針は、特定の情報資産へのアクセス権が同一人物に集中することで起こりうる不正行為などを考え、複数名に分散して付与するとしています。^*2 1人に権限が集まっていたからこそ、退職で作業が止まりかけたはずです。引き継ぎは、権限を2人以上に分け直す機会にもなります。

三つめは、開発と本番の操作を同じ人に任せることです。ひな形は、システム開発を担当する者が本番環境（実際に業務で使っているシステム）で管理者の権限を使って操作することを禁止しています。^*2 退職者が改修と本番のサーバー管理を兼ねていた場合、外部人材に両方を渡すとこの定めに合わなくなります。本番の操作は社内の人に残すか、改修とは別の人に任せます。

外部に委託するときに確認しておきたい点

外部人材活用で退職者の仕事を引き継ぐときは、任せる作業と期間を先に書き出してから声をかけます。「月次の請求データの取り込みと確認を6か月」「在庫管理システムの画面の改修を3か月」——このくらいまで書けていれば、求める経験も決まり、アカウントに付ける権限も決めやすくなります。

改修を頼むなら、文書の更新も作業に含めておきます。ひな形は、情報システムのハードウェアやソフトウェアを変更する際の工程として、変更後の仕様書、操作手順書、運用手順書などの関連文書の作成を挙げています。^*2 退職者しか知らなかった手順を、外部人材が改修のたびに文書に残していけば、次に担当が変わるときの引き継ぎも短くなります。

管理者の権限を誰に渡すかの承認は、社内の人が行ってください。権限の一覧を外部人材に任せきりにすると、契約が終わるときに何を削除すればよいかを社内の誰も答えられなくなります。

業務委託で加わる人を受け入れるときの手続きは業務委託エンジニアの受け入れで決める5つの手続きで扱っています。

退職日から後任の採用日程を逆算する方法はエンジニア中途採用の欠員補充｜退職日から逆算する後任の採用日程にまとめました。

業務委託の人が離任するときの情報漏えい対策は業務委託エンジニアの離任時に情報漏えいを防ぐ3つの対策で整理しています。

まとめ：退職の引き継ぎで確かめておきたい3つの点

外部人材活用で退職者の引き継ぎを進めるうえで、確かめておきたい点は3つに整理できます。第一に、3つの一覧から退職者の名前を探し、本人も忘れている契約や権限まで洗い出すこと。第二に、新しいアカウントで外部人材に作業してもらってから、退職者のアカウントを止めること。第三に、渡した資料と返ってきた資料を記録で照らし合わせることです。この3点を踏まえておけば、「辞めた人のアカウントが残ったまま、誰が何を持っているのか分からない」という事態を避けやすくなります。引き継ぎ先となる人の探し方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：e-Gov法令検索「民法」（https://laws.e-gov.go.jp/law/129AC0000000089）。出典：民法（明治29年法律第89号）第627条第1項（期間の定めのない雇用の解約の申入れ）を参照。e-Gov法令APIで条文を取得（確認日2026年9月29日）（2026年9月確認）
2. *2　参考：IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録5「情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx）。出典：IPA（独立行政法人情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録5。冒頭の説明、組織的対策の5.1・5.4・5.6・5.7・6.1・6.2.1・6.2.2・6.7、人的対策の1（雇用条件）・3（雇用の終了）、物理的対策の6.3（媒体の再利用）、技術的対策の6.5（情報システムの変更）を参照（確認日2026年9月29日）（2026年9月確認）
3. *3　参考：IPA「中小企業の情報セキュリティ対策ガイドライン」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：IPA「中小企業の情報セキュリティ対策ガイドライン」のページ。第4.0版の公開日（2026年3月27日）の確認として参照（確認日2026年9月29日）（2026年9月確認）

Tweet