外部委託先管理チェックシートはIPAのどこにある？付録5から自社用に作る方法

「外部委託先管理 チェックシート IPA」と検索すると、ガイドラインのページは見つかるのに、肝心のチェックシートがどこにあるのか分かりにくい。そう感じた方は多いはずです。

先に答えを書きます。IPAには「外部委託先管理チェックシート」という名称の独立した資料はありません。ただし、「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の付録5「情報セキュリティ関連規程（サンプル）」の中に、委託管理に関する規程のサンプルと、委託先の対策状況を確認するためのリストが含まれています。探している実体はここにあります。

この記事では、IPA資料のどこを読めばよいか、付録5のサンプルを自社の委託内容に合わせてどう調整するか、そして作った後の回収・確認をどう進めるかを順に整理します。

「中小企業の情報セキュリティ対策ガイドライン」は2026年3月に第4.0版へ改訂されました。付録は8種類ありますが、委託先管理に最も直接関係するのが付録5「情報セキュリティ関連規程（サンプル）」です。

付録5は、社内規程一式のサンプルをまとめたWord文書で、その中に委託管理の章があります。委託先の評価基準、選定、契約の締結、委託先の評価、再委託といった、委託のライフサイクルに沿った規程のサンプルに加えて、委託先の情報セキュリティ対策状況を確認するためのリストが用意されています。委託先へ送る調査票の下敷きを探しているなら、まずここを開くのが近道です。

一方、付録3「5分でできる！情報セキュリティ自社診断」は、自社の対策状況を確認するための資料です。項目自体は委託先評価の参考になりますが、委託先へ送る調査票としては付録5のほうが直接的です。IPAが公開しているチェックツールの全体像と種類ごとの違いは、IPAのセキュリティチェックシートには何がある？自社診断とWebサイト向けの違いで整理しています。

付録5のサンプルを機械的に流用する前に、あわせて読んでおくと項目の意味が立体的になる資料が2つあります。

ガイドライン本編・経営者編の原則と取組6。経営者編は、委託先で発生したインシデントでも委託元が管理責任を問われ得るという立場から、委託先の情報セキュリティ対策まで考慮することを原則の1つに挙げています。また重要な取組の1つとして、委託や外部サービス利用の際に契約などで責任範囲を明確にすることを求めています。付録5の契約関連の項目は、この考え方の実装にあたります。

「サイバーセキュリティ経営ガイドライン」実践のためのプラクティス集のプラクティス9-1。2026年4月に公開された「サイバーセキュリティリスクのある委託先の特定と対策状況の確認」では、製造業の実例をもとに、委託元部署へのアンケートでリスクの有無を調べ、リスクのある委託先に対策状況のアンケートを送り、把握した課題を一覧化して経営者へ報告する、という一連の流れが示されています。回答者の負荷を考えて質問を必要最低限に絞る、回答内容によっては証跡の提出を含む追加質問を行う、といった運用面の勘所も書かれており、「誰に・何を・どこまで聞くか」を決めるうえで参考になります。

サンプルはそのまま全社共通で使うものではなく、自社が委託する業務、預ける情報、システムへのアクセス範囲に応じて調整します。手順は3段階です。

手順1：委託先を棚卸しして濃淡をつける。プラクティス9-1の進め方が参考になります。委託元部署への確認を通じて、どの委託先にインターネット利用があるか、インシデントが起きたとき自社のどの業務が止まるかを整理し、確認の密度を変える対象を決めます。

手順2：確認項目を領域ごとに整理する。付録5の確認リストを土台にすると、委託先向けの確認項目はおおむね次の領域に整理できます。

• 管理体制：責任者・窓口の設置、セキュリティ方針の有無
• 契約：秘密保持、責任範囲、事故時対応の合意
• 情報の取扱い：預けた情報の保存場所、利用範囲、持ち出しの制限
• アクセス制御：利用者の限定、権限の付与・削除、認証方法
• 従業者の管理・教育：取扱いルールの周知、教育の実施
• 端末・ネットワーク：マルウェア対策、更新の適用、通信の保護
• 物理的管理：入退室、書類・媒体の保管
• 再委託：再委託の有無と、再委託先への管理
• インシデント対応：報告経路と期限、復旧手順
• バックアップ・復旧：バックアップの有無と復旧の手順
• 委託終了時：データの返却・削除、アカウントの停止
• 確認・監査：対策状況をどのような方法で確認できるか

すべての委託先に全項目を送る必要はありません。手順1の濃淡に応じて、基本項目のみの委託先と、フル項目で確認する委託先を分けます。具体的な設問の作り方は、取引先評価チェックリストとは？委託先管理で確認すべき項目と運用方法で扱っています。

手順3：確認のタイミングを決める。付録5の規程サンプルでは、委託開始後、確認リストを使って年1回以上の頻度で評価する機会を設ける例が示されています。ただし、これは法律がすべての委託先について年1回の評価を一律に義務付けているという意味ではなく、IPAが示す規程サンプル上の設定例です。自社の規程として採用する場合は、委託する業務や情報の重要度を踏まえて周期を決めます。あわせて、体制変更、再委託の開始、利用システムの変更、インシデントの発生など、定期確認を待たずに再確認する条件も先に決めておくと、運用が迷いません。

個人データの取扱いを委託する場合、委託元は個人情報保護法第25条により、委託先に対して必要かつ適切な監督を行う義務を負います。付録5をはじめとするIPA資料は推奨であるのに対し、こちらは法律上の義務です。

ただし、法律が特定のチェックシートや設問の使用を義務付けているわけではありません。求められているのは、委託先の適切な選定、委託契約の締結、委託先における個人データの取扱状況の把握などを、委託する個人データの内容や規模に応じた方法で行うことです。チェックシートはそのための手段の1つであり、確認の方法や深さは一律ではなく、預けるデータの性質に応じて判断します。迷う場合は、個人情報保護委員会のガイドライン（通則編）やQ&Aを確認してください。

ここまでで調査票はできますが、委託先管理の実務で負荷がかかるのは、作成よりも後の工程です。

誰に送ったか、誰がまだ答えていないか、返ってきた回答を誰が確認したか、不備のあった回答をどう差し戻したか。プラクティス9-1でも、回答を受領した後に追加質問や証跡の依頼を行い、結果を評価して経営者へ報告するところまでが一連の流れとして描かれています。この流れが記録として残っていないと、監査や取引先からの照会の際に「確認したはずだが記録がない」という状態に陥ります。

始めるときはExcelとメールで十分ですし、委託先が数社ならその形で無理なく回ります。負荷が見えてくるのは、委託先が増え、定期確認が重なり、担当者が交代したときです。前回の回答ファイルの所在、差し戻しのやり取りの経緯、確認済みかどうかの判断。ファイルとメールに分散した情報を突き合わせる時間が、確認そのものの時間を上回っていきます。

マモリスは、この「作成から証跡まで」を1つの流れで扱うために作られたサービスです。付録5などを参考にした設問でチェックシートを作り、委託先へログイン不要のURLで依頼し、回答状況と未回答者を一覧で追い、確認・差し戻しの履歴を残す。定期確認には毎週・毎月・毎年から選べる繰り返し依頼の設定が使えるほか、監査前や契約更新前など送信日が決まっている依頼には、指定日時に送る予約送信（有料プランの機能）も利用できます。複数のテンプレートを用意しているので、ゼロから項目を組む前の下敷きにもなります。

第4.0版への改訂では、経済産業省および内閣官房国家サイバー統括室が検討を進めるSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の基本的な考え方が取り込まれ、実践編が全面的に見直されました。付録5の委託先評価基準にも「SCS評価制度の★3／★4」が選択肢として記載されていますが、制度はまだ運用開始前です。現時点で取得状況を確認できる項目ではなく、制度開始後の利用を見越したサンプルとして読む必要があります。委託元が委託先に適切な段階（★）を示し、必要な対策と実施状況を確認するという利用方法が想定されています。

運用が始まった後も、★が確認できれば個別のチェックが不要になるわけではありません。★が示すのは共通基準への適合であり、自社が預けている情報に固有の確認事項は残ります。個社ごとのチェックシートと共通評価をどう組み合わせるかが、今後の委託先管理の検討事項になります。制度の概要はSCS評価制度で委託先管理はどう変わる？で整理しています。

Q1. IPAのどの資料を委託先チェックシートのひな形にすればよいですか

最初に確認したいのは、「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の付録5「情報セキュリティ関連規程（サンプル）」です。委託管理に関する規程と、委託先の対策状況を確認するリストのサンプルが含まれています。「5分でできる！情報セキュリティ自社診断」は自社の対策状況を確認する資料なので、委託先向けには付録5を土台にし、自社診断やガイドライン本編を補足として使うのが分かりやすい方法です。

Q2. チェックシートで確認すれば個人情報保護法の委託先監督は果たせますか

チェックシートによる確認は監督の有力な手段の1つですが、法律が特定の書式や方法を定めているわけではなく、何をもって「必要かつ適切な監督」とするかは、委託する業務や個人データの性質によって変わります。判断に迷う場合は、個人情報保護委員会のガイドラインやQ&Aの確認、専門家への相談も併用してください。

Q3. 委託先が多くて全社に同じチェックシートを送るのが負担です

全社同一である必要はありません。預けている情報やアクセス権の重さで委託先を2〜3段階に分け、段階ごとに項目数を変えるのが一般的です。重要度の低い委託先には基本項目のみ、個人データを預ける委託先にはフル項目、という形で濃淡をつけてください。

Q4. 定期確認のたびに同じ項目を使う意味はありますか

あります。定期確認で見たいのは項目への回答そのものより、前回からの変化です。再委託の発生、体制の変更、利用サービスの入れ替わりは短期間でも起こります。前回回答と比べて差分を見る前提なら、項目が同じであることはむしろ利点になります。

IPAの委託先チェックシートを探すなら、行き先は「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の付録5です。委託管理の規程サンプルと確認リストを土台に、本編の原則・取組6とプラクティス9-1で目的と進め方を押さえ、自社が預けている情報に合わせて項目と確認の濃淡を調整する。付録5では年1回以上の評価例が示されていますが、自社で採用する周期と変更時確認の条件は、委託する業務や情報の重要度に応じて決める。ここまでが「作る」話です。

そして実務の負荷は、作った後の依頼・回収・確認・差し戻し・証跡の流れに集中します。チェックシートを整備するときは、項目の中身と同じくらい、回収後の運用をどう回すかを最初に決めておくことをお勧めします。

• 中小企業の情報セキュリティ対策ガイドライン｜IPA
• 付録5：情報セキュリティ関連規程（サンプル）｜IPA
• プラクティス9-1 サイバーセキュリティリスクのある委託先の特定と対策状況の確認｜IPA
• 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会