Pマークの委託先管理で残す記録とは？構築・運用指針J.9.4との対応と記入例

プライバシーマークを取得・更新している会社で委託先管理を担当していると、「委託先をどう選び、どう監督しているか」を記録で説明する場面があります。チェックシートを回収してフォルダに保存していても、何を基準に選び、何を確認し、なぜ委託を続けると判断したのかが記録でたどれなければ、説明は担当者の記憶頼みになります。

この記事では、Pマークの構築・運用指針（JIS Q 15001:2023準拠）のJ.9.4「委託先の監督」が求めている内容を確認したうえで、選定から再確認までの各段階に残す記録の例を、架空の委託先1件の記入例とあわせて紹介します。J.9.4が求めていることと、この記事が提案する記録の例は、分けて書いています。

委託先の監督には、法令、Pマークの要求事項、各社の運用という、性格の違う3つが関わります。

根拠	性格	委託先管理で示されていること（要約）
個人情報保護法 第25条	法律上の義務（個人データの取扱いを委託する個人情報取扱事業者）	委託先に対する必要かつ適切な監督
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4	法の解釈を示すガイドライン	適切な委託先の選定、委託契約の締結、委託先での個人データの取扱状況の把握。選定時に委託先の安全管理措置をあらかじめ確認することを求め、契約に取扱状況の把握を盛り込むことや、定期的な監査などによる評価は「望ましい」としている
プライバシーマーク 構築・運用指針【JIS Q 15001:2023準拠】J.9.4	Pマークの付与を受ける事業者に求められる事項	次の節で説明
この記事の記録例・項目例・記入例	運用の一例	法令や制度が定めた様式ではない

この記事で紹介する記録の例は、J.9.4の要求に沿って運用していることを、後から自社で確かめやすくするための一例です。この形で記録すれば審査で問題がない、という基準ではありません。

構築・運用指針のJ.9.4は、個人データの取扱いの全部または一部を委託する場合について、次の事項を示しています（要約）。

1. 十分な個人データの保護水準を満たしている者を選ぶための委託先選定基準を確立し、委託先を選定する
2. 特定した利用目的の範囲内で委託契約を結ぶ
3. 次の事項を盛り込んだ契約を結ぶ
   • a) 委託者と受託者の責任の明確化
   • b) 個人データの安全管理に関する事項
   • c) 再委託に関する事項
   • d) 個人データの取扱状況に関する委託者への報告の内容と頻度
   • e) 契約内容が守られていることを、委託者が定期的に、また適宜に確認できる事項
   • f) 契約内容が守られなかった場合の措置
   • g) 事件・事故が起きた場合の報告・連絡に関する事項
   • h) 契約終了後の措置
4. すべての委託先を漏れなく特定する
5. 委託契約書を、その個人データの保有期間にわたって保存する
6. 委託契約に基づき、委託先を適切に監督する

あわせて留意事項として、委託先選定基準には「少なくとも委託する業務について、自社と同等以上の個人情報保護の水準にあること」「契約に定める事項に対応できることを客観的に確認できること」を含めるとしています。同じ留意事項では、個人データに対する要求事項であっても、J.3.1.1（個人情報の特定）で特定した個人情報が対象になるとされています。個人情報保護法が対象にする「個人データ」の範囲と、Pマークの指針がJ.9.4の対象にする範囲は同じではないため、委託先の一覧を作るときは、自社でJ.3.1.1により特定した個人情報を扱う委託かどうかで確かめます。

また、J.4.5.5「文書化した情報のうち、記録の管理」では、記録の管理の手順を内部規程として文書化することが示されています。どの記録をどこに、どのように残すかは、自社の内部規程で決めることになります。

J.9.4の各項目に対して、この記事が提案する記録の例を段階ごとに並べると、次のようになります。左の列はJ.9.4の該当項目、右の列はこの記事の提案です。

段階	J.9.4の該当項目	この記事が提案する記録の例
選定	1（選定基準の確立と選定）、留意事項	選定基準（版と日付）、基準に照らして確認した資料、確認した人と日付、基準を満たすと判断した理由
契約	2（利用目的の範囲内での契約）、3（a〜hの事項）	委託契約書、a〜hの各事項が契約書のどの条項にあるかの対応
契約書の保存	5（保有期間にわたる保存）	契約書の保存場所と、保存すべき期間の目安（対象の個人データの保有期間）
委託先の一覧	4（全委託先の特定）	委託先と委託業務の一覧
確認・追加確認	6（契約に基づく監督）。3のd・eは、監督の手がかりとなる契約上の事項	委託先からの報告・回答・提出資料、確認した人と日付、追加で求めた資料とその結果
判断	6	委託を続けるか、条件を付けるかの判断と、その理由
承認	J.9.4に直接の記載はない（自社の内部規程で定める場合）	承認した人と日付
再確認	6。3のeは、定期的・適宜の確認を契約に盛り込む事項	次に確認する時期、時期を待たずに確認するきっかけ（再委託先の変更など）、再確認の結果

選定の記録で抜けやすいのは、「選定基準を満たすと判断した根拠」です。J.9.4の留意事項は、契約に定める事項に対応できることを客観的に確認できることを、選定基準に含めるとしています。委託先から受け取った資料や回答のうち、どれを見て基準を満たすと判断したのかを残しておくと、後から選定の経緯を説明しやすくなります。

契約書そのものに加えて、J.9.4の3に挙げられたa〜hの事項が、契約書のどの条項に書かれているかの対応を残しておくと、契約の見直しや確認のときに探す手間が減ります。委託先が用意したひな形の契約書を使っている場合も、a〜hがそろっているかを確認した記録があると、確認した事実を説明できます。

J.9.4の6は、委託契約に基づいて委託先を適切に監督することを求めています。どのような方法で監督するかは、委託する業務や個人データの内容に応じて各社が決めます。チェックシートで確認する場合は、回答を受け取った事実だけでなく、誰がどの回答と資料を確認したか、不明点について何を追加で求め、どう解消したかを残します。回答をどう判断するかの基準づくりは、セキュリティチェックシートの回答をどう確認するかで扱っています。

確認した結果をもとに、委託を続けるか、条件を付けるかを判断します。判断の結果だけでなく、なぜその判断にしたのかの理由を残しておくと、担当者が替わっても経緯を引き継げます。承認の手順はJ.9.4には直接書かれていないため、承認を設けるかどうか、誰が承認するかは自社の内部規程で決めます。

J.9.4の3のeは、契約内容が守られていることを委託者が定期的に、また適宜に確認できる事項を、契約に盛り込むよう求めています。判断した時点で、次にいつ確認するか、どのような変化があれば時期を待たずに確認するかを決めて残しておくと、再確認の実施記録につなげられます。年1回の確認と、委託先の状況が変わったときの確認の分け方は、委託先管理は年1回で足りるかで解説しています。

架空の委託先1件について、記録を時系列に並べた例です。記入例はこの記事で作った一例で、制度が指定する様式ではありません。この例では、委託契約で「委託先は、再委託先を追加する前に委託元へ連絡し、委託元は定めた手順で確認する」と取り決めているものとします。これはこの例の契約条件で、すべての契約に共通する法律上の義務ではありません。

日付	段階	記録した内容	記録の保存場所
2026/4/3	選定	架空B社（給与計算、従業員の個人データあり）。選定基準 第3版に照らし、提出資料（体制図、安全管理措置の説明書）と回答を確認。基準を満たすと判断。確認者：総務 山田	選定記録フォルダ、回答のPDF
2026/4/10	契約	委託契約を締結。a〜hの対応：a＝第2条、b＝第5条、c＝第6条、d＝第7条、e＝第8条、f＝第11条、g＝第9条、h＝第12条	契約書フォルダ
2026/4/10	委託先の一覧	委託先一覧に追加	委託先一覧
2027/3/15	確認	委託先から、再委託先を1社追加する予定との連絡を受ける。再委託する業務の範囲と、再委託先の安全管理措置の資料を受け取り、確認を始める	回答のPDF
2027/3/29	追加確認・判断	契約で定めた手順に沿って資料を確認し、再委託先の追加を認めると判断。理由：再委託する業務の範囲が契約の範囲内で、再委託先の安全管理措置が契約上の再委託の条件を満たしていることを資料で確認できたため	確認記録
2027/3/29	再確認の予定	次回の確認：2028年3月。再委託先の変更や業務範囲の変更があれば、その時点で確認	委託先一覧

Excelでも、上の記録は管理できます。委託先の数が少なく、担当者が決まっていて、記録の保存場所のルールが守られているなら、Excelの一覧と保存フォルダで十分に回ります。項目の例は次のとおりです。

区分	項目の例
委託先と業務	委託先名、委託業務、扱う個人データ、担当部署
選定	選定基準の版、選定日、確認者、判断の理由、根拠資料の保存場所
契約	契約日、契約終了日、契約書の保存場所、a〜hの対応条項
確認	直近の確認日、確認者、追加確認の内容、判断、判断の理由
再確認	次回の確認予定、時期を待たずに確認するきっかけ

見直しを考えるきっかけになるのは、根拠資料と判断の理由が別々の場所にあって毎回探す必要がある、前回と今回の回答を複数のファイルを突き合わせて確かめている、担当者が替わるたびに経緯を組み立て直している、といった状態です。同じ委託先に複数の業務を委託している場合の一覧の分け方や、回答とのひも付け方は、委託先管理台帳の作り方で紹介しています。

記録がそろっているかは、委託先の数ではなく、1件の委託先について最初から最後まで記録をたどれるかで確かめます。

1. 直近で確認を終えた委託先を1件選ぶ
2. 選定基準、選定時の根拠資料、契約書（a〜hの対応）、確認の記録、追加確認、判断と理由、次回の確認予定を、順にたどる
3. 途中で記録が途切れた箇所や、担当者に聞かないと分からない箇所を書き出す
4. 見つかった不足を、「ルールが決まっていない」「記録する項目が決まっていない」「記録はあるが場所が分かれている」「担当がはっきりしない」に分け、それぞれ内部規程の見直し、項目の追加、保存場所の決定、担当の決定につなげる

委託先管理の運用全体が今どの程度回っているかを先に確かめたい場合は、次の診断も使えます。

マモリスは、チェックシートの作成・依頼・回答・確認・差し戻し・記録の保管を扱うサービスです。委託先の選定基準、委託を続けるかどうかの判断、承認の権限は、各社が自社の内部規程で決めることです。マモリスはPマークへの適合を判定したり、審査の結果を保証したりするものではありません。

確認の段階では、委託先にログイン不要のURLから回答してもらい、資料はファイル添付の設問で受け取れます。回答を開いて設問ごとに確認済みのチェックを付け、不明点はコメントを付けて差し戻せます。確認した回答はPDFで保存できるため、上の一覧の「記録の保存場所」にひも付けられます。

試す場合は、次の順番で進めると、自社の確認業務に合うかを判断しやすくなります。

1. 無料登録し、自社の選定基準や確認したい項目をもとに、チェックシートを作る（複数のテンプレートから始めることもできます。根拠資料はファイル添付の設問にします）
2. 次の確認時期が近い委託先1社に回答を依頼する
3. 届いた回答を確認し、設問ごとの確認済みのチェック、コメント、差し戻しを試す。確認を終えた回答をPDFで保存し、記録の保存場所に置く

Q1. Pマークの委託先管理の記録は、Excelで管理してもよいですか？

構築・運用指針は、記録を管理するツールを指定していません。Excelでも、項目と保存場所のルールを決めれば記録は残せます。見直しの判断は、ツールの種類ではなく、1件の委託先について選定から再確認までの記録をたどれるかどうかで行います。

Q2. 委託先からチェックシートを回収すれば、監督したことになりますか？

回収しただけでは、何を確認し、どう判断したかが残りません。回答や資料の内容を確認し、不明点があれば追加で確認し、その結果をもとに判断して、判断の理由を記録します。

Q3. 委託先は毎年確認しなければいけませんか？

J.9.4は、契約内容が守られていることを委託者が定期的に、また適宜に確認できる事項を契約に盛り込むよう求めていますが、年1回などの頻度は示していません。個人情報保護委員会の通則編も、定期的な監査などにより取扱状況を評価することを「望ましい」としています。委託する業務や個人データの内容、契約を踏まえて、確認の時期を自社で決めます。

Q4. この記事の記入例どおりに記録すれば、審査で問題ありませんか？

記入例は、記録をそろえるときの一例で、制度が定めた様式ではありません。審査での確認内容や指摘は、各社の個人情報保護マネジメントシステムの内容によって変わります。自社の内部規程と構築・運用指針に照らして、必要な記録を決めてください。

本記事は、以下の一次情報をもとに作成しています（2026年10月14日確認）。

• プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 ver1.0】（PDF）｜JIPDEC
• 構築・運用指針の掲載ページ｜JIPDEC
• 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会