委託先管理やAI利用、情報セキュリティの場面で、「ガイドライン準拠チェック」という言葉を見かける機会が増えました。各種ガイドラインや法令を参照し、求められている内容を確認項目に置き換えてチェックリストにまとめる。情シス、総務、法務、個人情報保護管理者、委託先管理の担当者にとって、すでに日常的な作業になっているかもしれません。
ただし、ここでいう「ガイドライン準拠チェック」は、特定のガイドラインへの準拠を保証するものではありません。チェックリストを作って回答を集めたからといって、それだけで、法令やガイドライン上の確認・評価、認証取得、監査対応が完了するわけではありません。
実務で重要なのは、ガイドラインの内容を確認項目に落とし込むことだけではなく、誰に何を確認し、どの根拠を見て、自社としてどう判断したのかを残すことです。
この記事では、主なガイドラインが実際に何を求めているのかを確認したうえで、ガイドライン準拠チェックで手元に残しておきたいものを考えます。
「ガイドライン準拠チェック」が指すもの
ガイドライン準拠チェックは、ひとつの決まった様式を指す言葉ではありません。確認したい対象によって、参照する文書が変わります。
情報セキュリティの場面では、セキュリティガイドラインを参考にしたチェックリストとして、経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」を参照することが多くなります。AIの利用が関わる場面では、AIガイドラインに沿ったチェックリストとして、総務省・経済産業省の「AI事業者ガイドライン」が出発点になります。委託先や取引先が相手であれば、委託先管理のガイドラインや個人情報を扱う委託先向けチェックリストとして、個人情報保護法と関連ガイドラインを土台にすることになります。
参照先は異なりますが、これらに共通しているのは、確認項目を並べることそのものではなく、確認した結果をどう把握し、どう扱うかに重きを置いている点です。
ガイドラインは「確認したこと」をどこまで求めているか
主な文書を、それぞれ見ていきます。
サイバーセキュリティ経営ガイドライン Ver.3.0
経済産業省とIPAは2023年3月に「サイバーセキュリティ経営ガイドラインVer3.0」を発行しています。経営者が認識すべき3原則と重要10項目で構成され、Ver3.0ではサプライチェーン全体にわたる対策の推進が主要な改訂点となっています。
委託先に関わるのは、指示9「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」です。ここでガイドラインが示しているのは、確認すれば終わりという姿勢ではありません。サプライチェーンに参加する企業がそれぞれ実施すべき対策を定め、監査又は自己点検等の実施を通じてその実効性を担保すること、契約書において責任主体を明確化することが示されています。
IPAが公開する「実践のためのプラクティス集 第4版」では、委託すべき範囲の明確化とその管理、ITサービスの委託におけるセキュリティ対策を契約と第三者検証で担保すること、サプライチェーンで連携する各社が自社ですべきことを実施する体制の構築といったプラクティスが示されています。確認項目を投げるだけでなく、その回答をどう確かめるかまでを含んでいます。
AI事業者ガイドライン 第1.2版
総務省と経済産業省は、AI事業者ガイドライン第1.2版を最新版として公開しています。2024年4月の初版以降、複数回の更新を経た令和8年3月31日版にあたります。AI開発者・AI提供者・AI利用者を対象とし、AIの便益を生かしつつ、人間の判断を適切に介在させるという考え方が示されています。
このガイドラインには、別添としてチェックリストとワークシートが用意されています。注目したいのは、その使い方についての記述です。各事業者の事業内容やAIポリシー等の状況に合った独自のチェックリストを作成・更新したうえで活用すること、掲載されている項目を必ずしも全て採用する必要はなく、自社に必要な項目を判断のうえ活用することが有効である、と示されています。
ガイドライン自身が、項目をそのまま写し取るのではなく、自社で取捨と判断を行うことを前提にしている、ということです。委託先がAIをどう使っているかを確かめるAIガイドラインに沿ったチェックリストを作る場合も、同じ姿勢が求められます。
個人情報保護法（通則編・委託先の監督）
個人データの取扱いを外部に委託する場合、個人情報を扱う委託先向けチェックリストの土台になるのが、個人情報保護法の委託先の監督です。法第25条は、個人データの取扱いを委託する場合に、委託先に対する必要かつ適切な監督を求めています。個人情報保護委員会のガイドライン（通則編）では、委託先の監督に関して、適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握といった要素が示されています。
ここでも、契約を結べば義務を果たし終えたことになる、という整理にはなっていません。通則編は、委託先における取扱状況を把握するために、定期的に監査を行う等により、委託契約で盛り込んだ内容の実施の程度を調査したうえで、委託の内容等の見直しを検討することを含めて適切に評価することが望ましい、としています。
なお、これらの記述には、法的な義務として求められる事項と、ガイドライン上で望ましいとされる事項が混在しています。チェックリストを作る際は、どの項目がどちらに当たるのかを取り違えないよう注意が必要です。
セキュリティ・AI利用・委託先管理で確認すべき項目
ガイドライン準拠チェックでは、参照するガイドラインによって確認項目が変わります。
ただし、実務で確認すべき項目は、大きく分けると「セキュリティ管理」「AI利用」「委託先管理・個人情報」の3つに分けられます。サプライチェーン全体を見据える場合は、SCS評価制度を見据えた委託先管理もあわせて参考になります。
セキュリティ管理で確認する項目
セキュリティ管理では、自社や委託先が基本的な管理体制を整えているかを確認します。
たとえば、次のような項目です。
- セキュリティ管理責任者が決まっているか
- 情報セキュリティに関する社内規程があるか
- アクセス権限を業務上必要な範囲に限定しているか
- アカウントの追加・変更・削除の手順があるか
- ログを取得・保管しているか
- バックアップを定期的に取得しているか
- インシデント発生時の連絡体制や対応手順があるか
- 従業員へのセキュリティ教育を実施しているか
- 外部サービスやクラウドサービスの利用状況を管理しているか
- 再委託や外部委託の管理ルールがあるか
ここで重要なのは、「ありますか」と聞くだけで終わらせないことです。
たとえば、規程があると回答された場合は、その規程がいつ作成され、実際に運用されているのかを確認する必要があります。インシデント対応手順がある場合も、連絡先や責任者が最新の状態になっているかを見ておく必要があります。
AI利用で確認する項目
AI利用では、AIを使っているかどうかだけでなく、どの業務で、どの情報を入力し、出力結果をどのように確認しているかを見る必要があります。
たとえば、次のような項目です。
- 業務でAIサービスを利用しているか
- 利用しているAIサービス名は何か
- どの業務でAIを利用しているか
- AIに入力している情報の種類は何か
- 個人情報や機密情報を入力していないか
- 利用しているプランや契約条件を確認しているか
- 入力データが学習や二次利用に使われる条件を確認しているか
- 社内のAI利用ルールがあるか
- AIの出力結果を人が確認しているか
- 著作権、誤情報、機密情報混入への確認手順があるか
- 委託先が自社業務でAIを利用する場合の報告・承認ルールがあるか
委託先がAIを利用している場合、「AIを使っていますか」と聞くだけでは不十分です。
何に使っているのか、どの情報を入力しているのか、利用条件を誰が確認しているのか、出力結果をどう扱っているのかまで確認しなければ、リスクの判断ができません。確認項目の詳しい立て方は、委託先のAI利用確認で確認すべきこともあわせてご覧ください。
委託先管理・個人情報で確認する項目
委託先管理では、委託先がどの情報を扱い、どの範囲の業務を行い、どのような安全管理措置を取っているかを確認します。
たとえば、次のような項目です。
- 委託している業務の範囲は何か
- 委託先が取り扱う個人情報・機密情報の種類は何か
- 委託先に提供している情報は業務上必要な範囲に限定されているか
- 委託契約や秘密保持契約に安全管理に関する条項があるか
- 委託先の安全管理措置を事前に確認しているか
- 委託先の取扱状況を定期的に確認しているか
- 再委託の有無を確認しているか
- 再委託を行う場合の事前報告・承認ルールがあるか
- 再委託先の管理方法を確認しているか
- 第三者認証やセキュリティポリシーなどの証跡資料を確認しているか
- 前回確認時から委託内容や利用サービスに変更がないか
委託先評価の具体的な進め方は、取引先評価チェックリストで確認すべき項目も参考になります。個人情報や機密情報を扱う委託先では、チェックシートを一度回収して終わりにするのではなく、定期確認や変更時確認につなげることが重要です（年次更新で前回回答との差分を確認する考え方）。
確認項目に落とし込むだけでは、何が残らないのか
上記のように、ガイドラインを参考にすると、セキュリティ管理、AI利用、委託先管理について多くの確認項目を作ることができます。
ただし、項目を増やすだけでは、ガイドライン準拠チェックとして十分とは言えません。
3つの文書に共通していたのは、確認項目を用意することよりも、確認した結果を把握し、その実効性や実施の程度を確かめ、評価するところに重きが置かれている点でした。
ここに、チェックリスト化だけでは届かない部分があります。ガイドラインの記述を確認項目に置き換え、回答に丸をつけていくと、「どの項目が、どういう回答だったか」は手元に残ります。しかし、次の3つは、項目と回答の一覧からは抜け落ちがちです。
ひとつ目は、誰に何を確認したのか。相手と項目の対応です。ふたつ目は、どの根拠を見て、その回答にしたのか。回答の裏づけとなった資料です。みっつ目は、自社として、その回答をどう判断したのか。そのまま許容したのか、条件をつけたのか、差し戻したのかという経緯です。
この3つが残っていないと、監督や把握を行った実効性を、あとから示すことが難しくなります。年に一度の更新や、委託先が入れ替わったときに、前回どう判断したのかをたどれず、毎回ゼロから確認し直すことにもなります（セキュリティチェック業務が属人化する原因）。
残すべきは「確認の経緯」
ガイドライン準拠チェックで手元に残しておきたいのは、項目への回答そのものよりも、確認の経緯だと考えられます。具体的には、次のような記録です。
確認項目として、誰に、何を確認したか。回答根拠・証跡資料として、その回答を裏づける規程、認証、画面、契約書などの資料。そして判断履歴として、自社がその回答をどう評価し、どう扱ったか。
これらは、ガイドラインや法令が用いている「実施の程度の調査」「実効性の担保」「取扱状況の把握」「適切な評価」といった表現に、そのまま対応していきます。確認の経緯が残っていれば、求められているのが項目への回答ではなく、確認と判断のプロセスそのものだという要請に向き合えます。
ガイドラインに沿った確認項目を、運用まで見直したい方へ
ガイドラインの内容をチェック項目に落とし込むだけでは、実務では十分とは言えません。
回答根拠、証跡資料、差し戻し、確認コメント、前回との差分まで残せる状態にしておくことで、あとから確認の経緯を説明しやすくなります。
マモリスの無料診断では、現在のチェックシート管理がどの段階にあるかを確認できます。
無料・登録不要・約3分
チェックシート運用の状況を診断します
記事の話を自社の運用に置き換えると、どのあたりに当てはまるでしょうか。回答は集まっているか、集まったあとの確認まで追えているか、その記録が残っているか。こうした点を 10 問で確かめる診断を用意しています。登録は不要で、3 分ほどで終わり、結果はその場で表示されます。
Excel・メール運用で難しくなる場面
セキュリティチェックシートをガイドラインに沿って運用する場合でも、Excelやメールでまわすことはできます。委託先の数が限られ、確認の頻度も高くないうちは、それで十分に運用できます。
難しくなるのは、規模が大きくなってからです。回答そのものは集まっても、その裏づけとなった資料、差し戻しのやり取り、自社としてどう判断したかというメモが、それぞれ別の場所に残ることになります。確認の経緯としてひとつながりにたどれなくなり、あとから実効性を示そうとしたときに、資料を集め直すところから始めることになります。再委託の有無や、委託先でのAI利用の有無のように、回答だけでなく裏取りが必要な項目では、この負担がとくに大きくなります。Excel運用の限界については、セキュリティチェックをExcelで管理する限界でも取り上げています。
マモリスでできること
マモリスは、こうしたチェックシート運用を管理するためのツールです。確認項目の作成・配布・回収に加えて、回答に根拠資料を添付する、確認済みと差し戻しを記録する、自社としての判断履歴を残す、PDFで証跡を保管する、といった運用に対応しています。年に一度の更新では、前回の回答と判断を参照しながら確認を進められます。
ここで明確にしておきたいことがあります。マモリスは、ガイドラインへの準拠や、認証の取得、監査の通過を保証するツールではありません。マモリスが残すのは、誰に何を確認し、どの根拠を見て、自社としてどう判断したかという、確認の経緯です。その経緯が手元にそろっていることが、ガイドラインや法令が求める把握や評価に向き合うための土台になります。準拠しているかどうかを判断するのは、あくまで自社であり、必要に応じて専門家や監査の役割です。
ガイドラインに沿ったチェックシート運用を見直したい場合は、まず現在の管理状況を確認するところから始められます。
マモリスの無料診断では、チェックシートの作成、依頼、回収、確認、差し戻し、履歴管理がどの程度整っているかを確認できます。
無料・登録不要・約3分
チェックシート運用の状況を診断します
記事の話を自社の運用に置き換えると、どのあたりに当てはまるでしょうか。回答は集まっているか、集まったあとの確認まで追えているか、その記録が残っているか。こうした点を 10 問で確かめる診断を用意しています。登録は不要で、3 分ほどで終わり、結果はその場で表示されます。
まとめ
ガイドライン準拠チェックは、ガイドラインの記述を確認項目に置き換えた時点で終わる作業ではありません。今回見てきたいずれの文書も、確認項目を用意することよりも、確認した結果をどう把握し、どう評価したかに重きを置いていました。
確認したという事実だけでなく、誰に何を確認し、どの根拠を見て、自社としてどう判断したのか。その経緯が残っているかどうかは、その場では見えにくく、次の更新や、委託先が変わったときに、はじめて効いてきます。手元のチェックリストが、回答の一覧で終わっているのか、確認の経緯まで残せているのか。一度、見直してみる価値はありそうです。
よくある質問（FAQ）
Q1. ガイドライン準拠チェックを行えば、ガイドラインに準拠したことになりますか？
いいえ。チェックを行っただけで、特定のガイドラインへの準拠が保証されるわけではありません。
ガイドライン準拠チェックは、ガイドラインを参考に、自社や委託先の状況を確認し、回答根拠や証跡資料、判断履歴を残すための取り組みです。
実際に準拠しているかどうかは、対象となるガイドライン、業務内容、リスク、運用状況によって個別に判断する必要があります。
Q2. どのガイドラインを参考にすればよいですか？
目的によって異なります。
AI利用を確認したい場合は、総務省・経済産業省のAI事業者ガイドラインが参考になります。
サイバーセキュリティ対策やサプライチェーン管理を確認したい場合は、経済産業省・IPAのサイバーセキュリティ経営ガイドラインが参考になります。
個人情報を委託先に扱わせる場合は、個人情報保護委員会の個人情報保護法ガイドライン通則編が参考になります。
一つのガイドラインだけでなく、自社の目的に応じて複数のガイドラインを組み合わせて確認項目を組み立てることもあります。
Q3. チェックシートはExcelで作っても問題ありませんか？
少数の確認であれば、Excelでも運用できます。
ただし、確認対象が増えたり、証跡資料、差し戻し、前回との差分確認が必要になったりすると、Excelやメールだけでは管理が重くなっていきます。
特に、回答ファイル、添付資料、確認コメント、差し戻し履歴が分散すると、あとから確認の経緯を追いにくくなります。
Q4. AI利用確認では何を聞けばよいですか？
まず、AI利用の有無、利用しているサービス名、利用目的、入力している情報を確認します。
そのうえで、個人情報や機密情報を入力していないか、契約プランやデータ利用条件を確認しているか、社内ルールがあるか、AIの出力結果を人が確認しているかを確認します。
委託先がAIを利用する場合は、事前報告や承認のルールがあるかも確認対象になります。
Q5. 委託先管理では、どのような証跡を残すべきですか？
委託先の回答内容に応じて、契約書、セキュリティ規程、個人情報保護方針、教育実施記録、アクセス管理の運用記録、インシデント対応手順、第三者認証の証明書などが証跡になり得ます。
すべての委託先に同じ証跡を求める必要はありません。
取り扱う情報の重要度や委託業務のリスクに応じて、必要な証跡を決めることが重要です。
本記事の根拠（出典）
正確性確認のため参照した一次資料です。本文中のガイドライン・法令関連の記述は以下に基づいています。
- AI事業者ガイドライン（第1.2版）｜総務省・経済産業省。最新版ページで本編、概要、別添、チェックリスト、ワークシートが公開されています。
- サイバーセキュリティ経営ガイドライン Ver.3.0｜経済産業省・IPA。経営者が認識すべき3原則と重要10項目で構成され、サプライチェーン全体の対策や状況把握に関する指示が含まれています。
- サイバーセキュリティ経営ガイドライン Ver.3.0 実践のためのプラクティス集 第4版｜IPA。重要10項目を実務に落とし込む際のプラクティスとして参照しています。
- 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会。委託先の監督、委託先の選定、委託契約、委託先における個人データ取扱状況の把握に関する記述を参照しています。