委託先・クラウドサービスの管理をどう確かめるか

委託先とクラウドサービスの管理は、選ぶとき、契約するとき、使っている間の3つの場面で、何を確かめるかを決めておくことが基本です。業務やシステムを外に任せても、管理の責任がなくなるわけではありません。外部の報告書や制度を上手に使いながら、自社で設定し管理する範囲は自社で確かめる、という考え方で整理します。

なぜ委託先の管理が問われるのか

システムの開発、運用、データの保管を外部に任せる会社が増え、クラウドやSaaSを使わない会社は少なくなっています。任せた先で起きた事故や設定の誤りも、利用する会社の業務と顧客に影響します。

内部統制の分野でも、外部への委託は確認の対象です。金融庁の内部統制の実施基準は、IT全般統制の例に「外部委託に関する契約の管理」を挙げ、2023年4月の改訂では、ITの委託業務に係る統制の重要性が増していることや、クラウドなどの技術の活用にあたってのセキュリティの確保が示されました。財務報告に関わる業務を委託している場合、委託業務に係る内部統制も評価の範囲に含まれるとされています。

出典：財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）（金融庁、2023年4月7日）

経済産業省の「システム管理基準」（2023年4月26日改訂）も、クラウドサービスを含む外部サービスの管理を一つの領域として置き、利用計画の策定、選定と契約、運用管理、評価、サービスレベル管理に分けて示しています。

出典：システム管理基準（経済産業省、2023年4月26日）

個人情報を委託するときに、法律は何を求めているか

個人情報保護法 第25条は、個人データの取扱いの全部または一部を委託する場合に、委託した個人データの安全管理が図られるよう、委託を受けた者に対して必要かつ適切な監督を行うことを、個人情報取扱事業者に求めています。自社の安全管理措置は第23条、従業者の監督は第24条に定めがあります。

出典：個人情報の保護に関する法律（e-Gov法令検索）

個人情報保護委員会のガイドライン（通則編）は、委託先の監督として講じる措置を、次の3つに整理しています。

1. 適切な委託先の選定：委託先の安全管理措置が、委託元に求められるものと少なくとも同等であることを、あらかじめ確かめる
2. 委託契約の締結：双方が合意した安全管理措置と、委託元が委託先の取扱状況を把握できることを、契約に盛り込む（望ましいとされる事項）
3. 委託先における個人データ取扱状況の把握：定期的な監査などで、契約の内容がどこまで実施されているかを確かめる

委託先が再委託をする場合についても、事前に報告を受けるか承認を行うことなどが望ましいとされています。

なお、2026年7月17日に公布された改正個人情報保護法では、委託を受けた事業者が、委託された業務の遂行に必要な範囲を超えて個人データを取り扱ってはならないことなど、委託先に関する規律が整えられました。施行は原則として公布の日から2年を超えない範囲内とされ、政令・規則・ガイドラインは個人情報保護委員会で検討が続いています。個別の判断は、弁護士などの専門家にご確認ください。

出典：個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）、令和8年 改正個人情報保護法について（個人情報保護委員会）

クラウドサービスは、いつも「委託」に当たるのか

個人情報保護委員会のQ&Aでは、クラウドサービスの利用が委託に当たるかどうかは、保存するデータに個人データが含まれるかではなく、サービスを提供する事業者が個人データを取り扱うこととなっているかどうかで判断するとされています。契約で事業者が個人データを取り扱わない旨が定められ、適切にアクセスが制御されている場合などは、委託に当たらず、第25条の監督の義務はかからないとされます。その場合でも、利用する会社は自らの安全管理措置の一環として、適切な措置を講じる必要があるとされています。

外国の事業者のクラウドを使う場合や、外国にあるサーバに保存される場合は、その国の個人情報の保護に関する制度を把握したうえで安全管理措置を講じ、講じた措置を本人が知り得る状態に置くことが求められるとされています。個別の判断は、弁護士などの専門家にご確認ください。

出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会。Q7-53・Q7-54）

どちらに当たるかは、契約の内容とサービスの形で変わります。個別の判断は、弁護士などの専門家にご確認ください。

選ぶとき・契約するときに、何を確かめるか

委託先やサービスを選ぶときと契約するときに、確かめておきたいことの例です。

契約の終わり方も、選ぶときに確かめておきます。データを取り出せる形式や期間を決めていないと、別のサービスに移りにくくなる（ベンダーロックイン）ことがあります。契約の条項の書き方は、弁護士などの専門家にご確認ください。

SOC報告書とは、何を示すものか

SOC報告書とは、業務を受託する会社の内部統制について、監査法人などの独立した第三者が評価した結果をまとめた報告書のことです。受託する会社が委託元ごとに個別の監査を受ける代わりに、一つの報告書を多くの委託元に示せるようにするものです。米国公認会計士協会（AICPA）の基準による報告書のほか、日本では日本公認会計士協会の実務指針にもとづく報告書も作られています。

報告書には、ある基準日の時点で内部統制がデザインされているかを示す「タイプ1」と、一定の期間にわたって運用されていたかまで示す「タイプ2」があります。使っている間の管理を確かめる材料としては、期間の運用まで扱うタイプ2のほうが情報が多くなります。

出典：保証業務実務指針3402（日本公認会計士協会）、保証業務実務指針3702（日本公認会計士協会、2023年3月16日最終改正）（2026年8月に改正の公開草案が公表されています）

金融庁の実施基準でも、経営者は委託業務に係る内部統制の評価結果を記載した報告書等を受託会社から入手し、自らの判断で委託業務の評価の代替手段とすることが考えられる、とされています。

SOC報告書を受け取ったら、どこを読むか

報告書があることだけで安心せず、次の点を読みます。

1. 対象の範囲：自社が使っているサービスや拠点が含まれているか
2. 対象の期間：自社が確かめたい期間と重なっているか
3. 例外事項：評価の中で見つかった不備と、その内容
4. 委託元が実施すべき統制：委託元の側で行うことが前提とされている管理（アカウントの管理など）

4つ目は見落とされやすい点です。報告書の評価は、委託元が自社の側の管理を行っていることを前提にしていることがあります。

ISMAPは、どんな制度か

ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府がクラウドサービスを調達するときのセキュリティの水準を確保するため、要求を満たすクラウドサービスをあらかじめ評価して登録する制度です。2020年6月に運用が始まり、登録されたサービスは公式サイトのリストで公開されています。リスクの小さな業務や情報の処理に使うSaaSを対象とする仕組み（ISMAP-LIU、2022年11月に運用開始）もあります。

出典：ISMAP（政府情報システムのためのセキュリティ評価制度）公式サイト、令和6年版 情報通信白書「クラウドサービスの安全性確保に関する取組」（総務省）

民間の会社がサービスを選ぶときにも、ISMAPに登録されているかは参考の一つになります。ただし、登録はサービスの側の評価であり、自社がどう設定して使うかの評価ではありません。

自社が確かめる範囲は、どこまでか

クラウドの安全は、提供する事業者と利用する会社が責任を分け合って守る、という考え方があります。総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月）は、これを責任共有モデルとして説明し、SaaSでは利用者のアカウントや業務データの設定などが、IaaSでは仮想環境の上で動くOSを含むソフトウェアの管理が、利用する側の責任の例として示されています。

出典：クラウドサービス利用・提供における適切な設定のためのガイドラインの概要（総務省、2022年10月）

SaaSを例に、確かめる範囲を分けると次のようになります。

• 事業者の側：SOC報告書、ISMAPの登録、認証の取得状況、契約とSLAで確かめる
• 自社の側：アカウントと権限、多要素認証（MFA）、共有の設定、データの持ち出しの設定、ログの取得を、自社で確かめる

外部の報告書は事業者の側の確認の手間を減らしますが、自社の側の設定の誤りは、自社でしか見つけられません。アカウントの管理はアクセス権の棚卸しと特権IDの管理の進め方、サービスの選び方は業務システムはSaaSで足りるか、個別に開発するかもご覧ください。

当社のご支援

アメリア・テクノロジーのシステム監査では、委託先とクラウドサービスの一覧、契約と報告書、自社の側の設定を照らし合わせ、確かめきれていない範囲と、改善の優先順位をご報告します。法令にもとづく監査ではなく、合意した範囲で確かめた結果のご報告です。当社が開発・運用に関わったサービスは監査の対象にせず、改善の作業は監査とは別の担当が行います。改善をどこに頼むかは、お客様が自由に決められます。