クラウド運用の契約で決めておくこと（範囲・対応時間・責任）

クラウドの運用を外部に頼む契約では、少なくとも「どこまでを頼むか（範囲）」「いつ、どれだけ早く対応するか（対応の時間）」「何が起きたら誰が責任を持つか（責任）」の3つを、測れる言葉で決めておきます。あわせて、報告の中身と、契約が終わるときの引き継ぎも決めておくと、運用の会社を替えるときにも困りません。この記事は一般的な考え方の説明です。契約の条項の個別の判断は、弁護士などの専門家にご確認ください。

契約の形は、準委任と請負のどちらですか

クラウドの運用の契約は、準委任の形をとることが多くあります。運用は「この作業を毎月行う」という仕事で、決まった物を完成させて引き渡す仕事ではないためです。

民法では、請負は、当事者の一方がある仕事を完成することを約束し、相手方がその結果に対して報酬を支払う契約とされています（第632条）。これに対して委任の規定は、法律行為でない事務の委託にも準用され（第656条、準委任）、任された人は、善良な管理者の注意をもって事務を処理する義務を負います（第644条）。

出典：民法（e-Gov 法令検索）

準委任では、作業を注意深く行うことが約束の中身になり、障害をゼロにすることや、決まった結果を出すことまでは、契約に書かない限り約束されません。そのため、どの作業を、どの水準で行うかを具体的に書いておくことが大切です。一方、構成の作り直しや移行のように、終わりと成果物がはっきりした仕事は、請負の形で別に契約することもあります。どちらの形がふさわしいかは、仕事の中身で決まります。

範囲は、どう書けばよいですか

範囲は、「対象」と「作業の種類」の2つの軸で書き分けます。対象は、運用するアカウントやサブスクリプション、サービスの一覧です。作業の種類は、次のように分けておくと、抜けや重なりに気づきやすくなります。

あわせて、範囲に入らないことも書いておきます。たとえば「アプリケーションの不具合の修正は含まない」「新しいシステムの構築は別の見積もり」といった書き方です。範囲に入らないことが書いていないと、障害のときに「そこまで頼んでいたはず」という食い違いが起きやすくなります。

範囲の考え方は、運用を「見張る」「受けて切り分ける」「直して再発を防ぐ」の3つの層に分けると整理しやすくなります。層の考え方は、クラウド運用を外部に頼むときの会社の選び方で説明しています。

対応の時間は、どう決めればよいですか

対応の時間は、受付の時間帯と、知らせを受けてから対応を始めるまでの目安を、業務への影響の大きさに応じて決めます。「迅速に対応する」のような言葉だけでは、守れたかどうかを確かめられません。

• 受付の時間帯：平日の営業時間だけか、夜間・休日も受けるか
• 対応を始めるまでの目安：影響の大きさ（業務が止まっている・一部に影響・影響が小さい）ごとに分けて決めます
• 連絡の方法：電話、メール、チャットのどれで、誰に連絡するか
• 測り方：どの記録をもとに、守れたかどうかを確かめるか

数字の決め方や、守れなかったときの扱いは、SLA（サービスレベル合意）の決め方で説明しています。なお、クラウドの事業者が公表している稼働率の保証（SLA）は、事業者のサービスについての約束で、運用の会社の作業の速さを約束するものではありません。両者を分けて考えます。事業者の SLA の読み方は、クラウドのSLA（稼働率の保証）の読み方にまとめています。

責任は、3者でどう分ければよいですか

クラウドの運用では、クラウドの事業者、運用の会社、利用する自社の3者が関わります。契約では、運用の会社と自社の間の分け方を書きますが、その前提として、事業者が受け持つ範囲を確かめておきます。

クラウドの事業者は、責任共有モデルに沿って、データセンターや基盤を受け持ちます。運用の会社は、契約で決めた作業を受け持ちます。自社は、どのデータを置くか、誰に権限を渡すかといった最終的な判断と、運用の会社を監督する役割を持ちます。総務省のガイドブックも、設定の作業を委託してミスが起きた場合でも、最終的な責任は利用者が負うため、委託先を監督することを挙げています。

出典：クラウドの設定ミス対策ガイドブック（総務省、2024年4月）

契約に書いておきたい責任の項目には、次のようなものがあります。

• 損害賠償：上限の額や、対象になる損害の範囲
• 権限とアカウント：運用の会社に渡す権限の範囲と、アカウントの持ち主が自社であること
• 秘密の保持と個人データ：預ける情報の扱い、個人データを扱う場合の安全管理
• 再委託：運用の会社が、ほかの会社に作業を頼む場合の条件と、事前の承諾

セキュリティの条項の考え方は、委託先とのセキュリティの取り決め。契約に書いておくことでも説明しています。責任の範囲の決め方は契約全体の中で判断が要るため、個別の判断は弁護士などの専門家にご確認ください。

報告と、契約の終わり方も決めておく

最後に、報告の中身と、契約が終わるときの引き継ぎを決めておきます。運用の会社は、いつか替わることがあるためです。

報告は、起きたことと対応、変更した設定、次に手を打つべきことの提案、を毎月受け取る形が基本です。契約が終わるときは、手順書、構成図、設定の記録、監視の設定の一覧を引き渡すこと、運用の会社に渡した権限とアクセスキーを確実に取り消すことを、契約に書いておきます。引き継ぎの進め方は、開発会社を替えるときの引き継ぎと、そろえておく資料が参考になります。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、運用管理の月額のメニューごとに、対応の範囲と時間、報告の中身をあらかじめ書面でお示ししています。夜間・休日の知らせの受付と一次対応は、当社の手順書にもとづいて外部の専門の会社が行い、原因の調査と恒久の対策は当社が営業時間内に受け持ちます。料金の目安は料金の目安に載せています。運用の会社をすでにお使いで、契約や運用の状態を第三者の立場で確かめたい場合は、システム監査でお受けします（当社が構築・運用している環境は対象にしません）。