委託先の認証だけで安心できるか？ 契約業務と監査対象の照合
候補の会社から立派な認証書が届いた。調達担当は安心し、現場は利用開始を急ぐ。しかし今回頼むのは、その会社が新しく始めたサービスだ。受け取った証拠は、新サービスで扱う情報や運用まで含んでいるのだろうか。
委託先の確認で必要なのは、安心できるマークを集めることではない。任せたい処理に対して、どこまで証拠があり、何が残っているかを確かめることである。証拠が合えば同じ調査を繰り返す必要はない。一致しない部分が重要なら、そこを追加確認する。
本稿は情報を扱う委託先の選定を想定した実務案であり、個別契約の法的な適否を判定するものではない。認証や監査報告が存在することと、今回の委託に必要な条件がそろうことを分けて考える。
最初に調べるのは、委託先より委託内容
公開済みのカタログ原稿を渡してレイアウトを整えてもらう仕事と、顧客情報を保存し、日々の申請処理まで任せる仕事では、止まったときの影響も、扱う権限も違う。同じ会社だからという理由だけで確認の深さを統一すると、重要な箇所を見落とすか、軽い取引に過大な負担をかける。
まず、渡す情報、委託先ができる操作、利用するサービス、処理する拠点や再委託の経路を書き出す。利用が止まったとき、自社で仕事を続けられるかも確かめる。会社概要を読む前に、どの失敗を避けたいのかを具体化する作業だ。
米国NISTのサプライチェーン・リスク管理指針 SP 800-161 Rev.1は、組織のリスク管理と製品・サービスの調達を結び付けている。2024年更新版を参照しているが、日本のすべての企業に一律の法的義務を定める資料ではない。質問票の設問数を増やすより、調達するものとリスクを結び付ける点が参考になる。
委託内容が決まったら、今回使う機能に関係する報告の例外と、資料の対象外にある処理を確かめます。利用者側の通知を前提とする統制なら、自社でその通知を行えるかも条件です。認証の有無だけで合否を決めず、委託処理に対応する証拠と未確認の範囲を分けます。
認証とSOC報告は、同じ証拠ではない
ISO/IEC 27001の公式説明は、情報セキュリティのマネジメントシステムを扱う。これを、個々の製品に脆弱性がないことの証明と読むのは飛躍になる。契約する組織・サービスと認証の対象範囲がどう対応するかを確かめたい。
一方、SOC 2はサービス組織の統制についての報告である。「SOC認証がある」という言い方だけで内容を把握したつもりにならず、どのシステムと基準を、どの時点または期間について扱った報告かを見る。これらを同じ一枚の合格証として数えると、証拠の違いが消えてしまう。
AICPAのSOC 2報告レビュー用チェックリストは、対象期間、例外、利用者側に関わる統制などの確認を助ける資料だ。Type 1は特定時点でのシステムの記述と統制の設計を対象とする。Type 2は一定期間を対象とし、統制の運用の有効性も含む。設計が適切であることと、期間を通じて動いたことを区別して読む。ここで必要なのは名称の暗記ではなく、報告が自分の問いへ答えているかを読むことである。 AICPA刊行誌による報告種類の説明
たとえば、以前の期間を対象に問題がなかった報告でも、その後に処理基盤が変わっていれば、変更後について追加の説明が必要になる。逆に、長い質問票の内容を既存の報告で確認できるなら、同じ回答を別書式へ転記させる価値は小さい。
同じ委託先でも、選ぶ対応が変わる
架空の例として、経費申請の添付書類を保管するサービスを考える。受け取った報告に利用する保管機能が含まれ、重要な例外の影響も整理でき、自社が設定するアクセス権の担当も決まっている。この場合、独自の現地調査を必ず追加するのではなく、確認できた証拠と残る条件を記録して契約判断へ進める。
条件を変えよう。保管だけでなく、委託先の担当者による内容確認を新たに頼む。報告は従来の保管機能しか扱っていない。この場合、会社の知名度が同じでも、閲覧する人、作業環境、再委託先、終了後の情報の扱いについて確認が要る。
さらに、追加情報を得られないまま本番の書類を渡す必要があるなら、未確認の重要な経路を残している。試行を公開情報や架空データへ限定する、対象業務を縮める、他の候補を検討するといった案を比較する。「書類がないから即失格」と「マークがあるから無条件合格」の間に、委託範囲を変える選択がある。
例外があるときは、件数より失敗の経路を読む
報告に例外が一件あるから危険で、ゼロ件なら安全という比較はできない。今回使わない機能で生じた例外なのか、渡す情報を誰でも閲覧できる状態につながるのかで意味が変わる。対象の統制、発生した期間、補う仕組み、改善の確認状況をつなげて読む。
委託先の「改善しました」という回答も、そのまま第三者による確認と同じ扱いにはしない。回答が何を説明し、どこから先が未検証かを区別する。契約の判断をする人へ、例外の件数ではなく、利用開始時点に何が残るかを渡す必要がある。
同時に、利用者側が行う設定も落とせない。委託先に権限管理機能があっても、自社で退職者の利用を止める担当が決まっていなければ、その機能があるだけで目的を満たしたとは言えない。委託先の評価を終える前に、自社側の作業を誰が引き受けるか確認する。
この分担を曖昧にしておくと、事故が起きた後に双方が「相手の管理だと思った」と言う余地が残る。質問票に合格したことより、実際に設定し、変化を連絡し、終了時に引き上げる担当が決まっていることが、利用の条件になる。
利用者側の作業についても、用語を一括りにしない方がよい。AICPAの資料は、提供者が約束を満たすために利用者へ求める補完的な統制と、利用者がサービスの便益を得るために行う責任を区別している。自社のアクセス権設定が必要というだけで、すべてを前者の専門用語へ当てはめず、実際の報告にどう記載されているかを読む。
資料を十分に出せない小さな委託先にも、同じ考え方を適用できる。ただし、大きな企業と同じ書式を持たないことだけを理由に、運用が悪いと断定しない。限定した処理についての説明、担当者への確認、試行時の記録など、必要な問いへ答える別の証拠があるかを考える。逆に、重要な情報を扱う経路が分からなければ、会社が小さいからと確認を省く理由にもならない。
例えば公開原稿の整形だけを頼むなら、その仕事の範囲で確認を終えられる場合がある。しかし顧客情報の処理を追加するなら、同じ相手との取引実績だけでは足りない。追加する情報と権限に合わせて利用条件を変える。確認の深さは、取引先への好感や一律の質問数ではなく、任せる仕事から決める。
こうした代替証拠を受け入れるか、残る不確実性を理由に利用を見送るかは、自社の責任者が判断する。確認担当が不明点を隠して合格にすることも、資料がそろうまで無期限に止めることも避けたい。何が分かれば次の判断へ進めるかを、委託先にも具体的に伝える。
一度の審査で、関係の変化まで承認しない
NISTのSP 1326（2026年）は、供給者の事前調査に関する短いガイドで、供給関係や下位の供給者も視野に入れている。企業の公開情報や自己申告だけで、すべての経路を見通せるとは限らない。これは確認を際限なく広げる理由ではなく、重要な依存を選んで調べる理由になる。
本稿の提案は、契約開始時の資料一式を保管して終わらせず、再確認のきっかけも合意することだ。扱う情報の変更、新しい再委託、重大な運用変更など、最初の証拠と実際の利用が離れる場面を対象にする。すべてを毎回最初から調べ直すより、変わった範囲とその影響を追う。
次の候補会社へ求める資料は、「持っている認証を全部」ではなく、「この処理と情報の扱いを確認できる証拠」である。対象が合い、残る自社作業を引き受けられるなら既存の証拠を利用する。重要な委託範囲が抜けるなら、その部分を確認するか、渡す仕事を狭める。マークの有無から、委託内容に対応した判断へ進めたい。