セキュリティチェックシートの催促|未回答管理と回答がない場合
ホームお役立ち情報セキュリティチェック委託先からセキュリティチェックシートが返ってこないとき|催促のルールと回答がない場合の判断

委託先からセキュリティチェックシートが返ってこないとき|催促のルールと回答がない場合の判断

回答期限を過ぎたのに、委託先からチェックシートが返ってこない。一覧を見ると、未回答のまま残っている会社が何社もある。——このとき、多くの担当者がまず考えるのは催促メールの文面です。

ただ、文面を考える前に決めておくべきことがあります。いつから催促を始めるのか、誰に何回送るのか、それでも返ってこない場合にどう扱うのか。この記事では、期限前のリマインドから期限後の催促、未回答の管理、そして回答が得られないまま残った場合の扱いまでを、委託先管理の担当者向けに解説します。

セキュリティチェックシートそのものの目的や項目例については、セキュリティチェックシートとは?目的・項目例・作り方から運用まで解説をご覧ください。

この記事では委託先へのセキュリティチェックシートを対象にしています。社内の点検や協力会社への依頼を含む、チェックシート全般の回収管理の設計については、チェックシートの回収管理|未回答の把握と催促の進め方で解説しています。

「返ってこない」を分解する

未回答という状態は、ひとつの原因から生まれるものではありません。催促を送る前に、どの状態にあるのかを切り分けます。未回答の理由は依頼側の画面や一覧上のステータスだけでは判断できませんが、宛先や担当者、回答の進み具合を確認することで明らかになる場合があります。

状況最初に確認すること
依頼自体が届いていない宛先の誤り、送信エラーの有無、迷惑メールへの振り分け
担当者が変わっている異動・退職の有無、後任者、現在の窓口
依頼内容が理解されていない回答してほしい範囲、提出期限、提出方法
委託先の社内確認や承認で止まっている実際の回答担当者、社内の確認・承認の進み具合
回答には着手している完了予定日、回答に困っている設問の有無

このうち、依頼が届いていない場合と担当者が変わっている場合は、催促を重ねても状況は動きません。同じ宛先に督促を送り続けるより、送信先そのものを確認するほうが早く解決します。

逆に、回答に着手しているものの特定の設問で止まっている場合は、催促ではなく設問の補足説明が必要です。「返ってこない」という一語で扱わず、状態ごとに次の一手を変えることが出発点になります。

期限前のリマインドと期限後の催促は別の工程

期限前のリマインドと、期限後の催促は目的と文面が異なります。

期限前のリマインドは、依頼を受けたことを忘れている相手に、期限が近いことを知らせるものです。相手にはまだ遅れがないため、文面も事務的な通知で足ります。

期限後の催促は、期限を過ぎているという事実を伝え、いつまでに回答できるかの返答を求めるものです。相手の状況を確認する要素が加わり、回数を重ねる場合には送信先や差出人を変える判断も出てきます。

期限前に気づいてもらえれば、期限後の催促に進まずに済む場合があります。そのため、期限前のリマインドを催促とは別の工程として運用に組み込んでおきます。

催促のルールを事前に決める

催促をその場の判断で送ると、送られる委託先と送られない委託先が出ます。担当者が変わると基準も変わり、いつ誰に送ったのかが後から追えなくなります。次の項目は、依頼を出す前に決めておけるものです。

  • 催促の起算点をいつにするか(期限当日か、期限翌日か、翌営業日か)
  • 何日遅れたら1回目を送るか
  • 催促の間隔と、送る上限回数
  • 休業日や長期休暇をどう扱うか(相手の休業期間中は起算しない、など)
  • 誰に送るか(回答担当者のみか、依頼窓口や上長を含めるか)
  • 誰の名前で送るか(担当者名か、部門名か)
  • 何回目から、どこへエスカレーションするか
  • 重要度や委託開始時期によってルールを変えるか
  • 相手から期限延長の申し出があった場合、誰が新しい期限を決めてよいか

すべての委託先に同じルールを当てはめる必要はありません。たとえば「通常」「重要」「委託開始前」の3つに分け、委託開始前の確認は開始日から逆算して催促を早める、重要な委託先は2回目からエスカレーションを含める、といった使い分けが実務に合います。

期限延長を誰が決めてよいかは、催促の回数と同じくらい先に決めておく価値があります。担当者の判断で延ばせる範囲と、上長の承認が要る範囲が曖昧だと、延長の可否が担当者ごとにぶれるためです。延長した場合に何を記録するかは、後述の「催促しても回答がない場合の扱い」で扱います。

催促メールの文面

ルールが決まっていれば、文面はそれほど悩むものではありません。1回目は、対象のチェックシート、当初の回答期限、現在の状況確認、回答が難しい場合の連絡依頼の4つの要素で足ります。

件名:【ご確認のお願い】セキュリティチェックシートのご回答について

○○株式会社 ○○様

お世話になっております。株式会社○○の○○です。

先日ご依頼しております「○○チェックシート」につきまして、○月○日を回答期限としてご案内しておりましたが、本日時点でご回答を確認できておりません。

ご多忙のところ恐れ入りますが、現在のご状況をお知らせいただけますでしょうか。

なお、設問の内容についてご不明な点がある場合や、すぐのご回答が難しい場合は、回答可能な時期とあわせて本メールへご返信ください。

2回目以降は、これに新たな回答期限と、回答が得られない場合の社内での取り扱いを加えます。

件名:【再度のお願い】セキュリティチェックシートのご回答について

○○株式会社 ○○様

お世話になっております。株式会社○○の○○です。

「○○チェックシート」につきまして、○月○日を回答期限としてご案内し、○月○日にも状況確認のご連絡を差し上げましたが、本日時点でご回答を確認できておりません。

恐れ入りますが、○月○日までにご回答いただくか、ご回答が難しい場合は、回答可能な時期をお知らせください。

期日までにご回答またはご連絡がない場合は、回答を得られていない状況を社内の委託先管理責任者へ報告いたします。

最終段落には、自社で実際に行う手続きだけを記載します。「ご回答がない場合は取引を停止いたします」と書いたものの、社内でそのような判断がされていなければ、後から立場が苦しくなります。実際に行う手続きの範囲で書くことが、相手にとっても自社にとっても確かな伝え方になります。

一覧に持たせるのは、状態だけではない

催促のルールを決めても、誰が未回答なのかが分からなければ運用できません。管理する情報は、性質の違う4つに分かれます。

システム上で把握できる状態

回答前、回答中、回答済みという進み具合です。依頼をシステムから送っている場合は、依頼側でこの状態を確認できます。一方、メールにファイルを添付して送っている運用では、相手が着手しているのか、まだ開いてもいないのかを依頼側から判別できません。この差が、催促の精度に直結します。

確認によって把握した状態

委託先に問い合わせて分かった情報です。委託先の社内確認中、回答期限の調整中、担当者の変更あり、といった内容がここに入ります。システム上は「回答前」のままでも、実際には社内承認を待っているだけ、という状態は珍しくありません。

催促の履歴

送信日、送信先、何回目か、返答があったかどうか。担当者が変わったときに引き継げるかどうかは、この履歴が残っているかで決まります。

次の対応

再連絡の予定日、エスカレーション先、合意した新しい期限。一覧に「次にいつ、何をするか」まで持たせておくと、未回答が放置されにくくなります。

未回答一覧は、遅れている会社を並べるための表ではありません。それぞれの状態と、次の一手が見える状態を保つためのものです。

無料・登録不要・約3分

セキュリティチェック運用の状況を診断します

経済産業省やIPAのチェックシートを参照していても、回答を集めたあとに「どれを確認し終えたか」「誰が判断したか」までは別で管理していることが多いと思います。
自社のセキュリティチェック運用が今どうなっているかは、10問の診断で確かめられます。登録は不要で、結果はその場で出ます

催促しても回答がない場合の扱い

催促を重ねても回答が得られない場合、進み方は次の4つに分かれます。

  • 新しい期限を合意して回答を待つ——相手から事情の説明があり、回答の意思が確認できる場合
  • 連絡先や担当者を変更して再依頼する——宛先や窓口に問題があった場合
  • 自社の営業担当者や、先方の管理部門へエスカレーションする——実務担当者間のやりとりで動かない場合
  • 回答を得られない状態を、取引判断の権限者へ報告する——上記を尽くしても状況が変わらない場合

チェックシートの回答が得られないことをもって、担当者が取引の可否を決めるものではありません。取引や委託の継続については、社内の判断権限に従って決定します。担当者の役割は、そこまでに何をしたかを事実として残し、判断できる状態で上げることです。

期限を延長した場合は、次の内容を判断記録として残します。

  • 延長の理由(相手から説明された事情)
  • 合意した新しい期限
  • 合意した相手(会社名・担当者名)
  • 次回の確認日
  • 延長を承認した自社の担当者

前章の一覧が「次にいつ対応するか」を管理するためのものであるのに対し、こちらは「誰と、なぜ、どの期限で合意したのか」を後から説明するための記録です。同じ日付を扱っていても、目的が違います。

回答が得られないまま委託を続ける判断をした場合も、その判断をした事実と理由を残します。翌年の確認時や監査の場面で、当時の経緯を説明できる状態を保つためです。

なお、回答が届いた後は、回収済みにして終わりではありません。空欄や「対応予定」といった判断に迷う回答を確認し、確認済み・差し戻し・条件付きでの受け付けに分けて判断していきます。詳しくはセキュリティチェックシートの回答をどう確認するか|空欄・「対応予定」・条件付き回答の判断基準で解説しています。

催促を減らすのは、依頼側の設計

催促の件数が多いとき、原因が依頼側にあることも少なくありません。

設問数が多く一度で回答しきれない、何を答えればよいか分からない設問がある、期限までの猶予が短い、宛先が実際の回答担当者ではない、資料を集めないと答えられないのに中断できない——いずれも、相手側の対応だけでなく、依頼の設計によって生じる場合があります。

回答しやすさを上げる工夫としては、設問ごとに記入例や補足説明を添える、参考資料のURLやファイルを依頼に含める、回答を途中で保存して後日再開できるようにする、社内で資料を集める時間を見込んだ期限を設定する、といったものがあります。相手が回答できる状態を作っておくほうが、催促を重ねるより結果的に早く回収できます。

Excelとメールで催促を続けると、状況が見えにくくなる

ここまでの運用は、Excelとメールでも組み立てられます。委託先が数社で、依頼から回収までを1人が担当しているうちは、管理表に催促の日付を書き足していく形で回ります。

委託先の数が増えると、状況の置き場所が分かれていきます。誰に何回催促したかは送信済みメールの中に、相手から聞いた事情は担当者の記憶やメモに、新しい期限は管理表に——それぞれ残ってはいるものの、担当者が異動すると引き継げるのは管理表の部分だけになります。相手から「その件は先月ご連絡しましたが」と言われて、送信済みメールを遡ることになる場面も出てきます。

マモリスで回答状況の管理と催促を行う

マモリスは、チェックシートの作成から回答依頼、回収、確認、証跡保管までを扱うプラットフォームです。この記事で扱った回収・催促の場面では、次のように使えます。

依頼した回答の状況は一覧で確認でき、回答前・回答中・回答済みの状態を依頼側から把握できます。回答期限の前には、10日前・3日前・当日にリマインドメールが自動送信されます。期限を過ぎた場合は、回答前・回答中の回答者に対して、一括で催促メールをまとめて送信できます。

回答者はログイン不要のURLから回答でき、下書きを保存して後日再開できます。回答に必要な資料のURLやファイル、設問ごとの記入例を依頼に含められるため、「何を答えればよいか分からず止まっている」状態を減らしやすくなります。チェックシートの依頼内容と提出された回答は履歴として保管され、回答結果をPDFで保存できます。

一方で、相手から聞いた事情や合意した新しい期限、エスカレーションの判断といった内容は、システムの状態表示だけでは表せません。この部分は、社内の管理表や記録とあわせて残す形になります。

まとめ

チェックシートが返ってこないときに必要なのは、催促メールの文面よりも、その前後の運用です。まず「返ってこない」を状態ごとに切り分け、期限前のリマインドと期限後の催促を別の工程として組み込む。催促の起算点・回数・送信先・エスカレーションの段階を事前に決めておく。未回答の一覧には、現在の状態だけでなく、確認して分かった事情と次の対応まで持たせる。そして、期限を延長した場合や回答が得られないまま進めた場合は、その判断の理由を記録に残す。この積み重ねが、回答が届いた後の確認業務の土台になります。

よくある質問(FAQ)

Q1. 期限を過ぎたら、何日後に催促すべきですか?

一律の正解はありません。期限翌営業日に状況を確認する運用もあれば、数営業日の猶予を設ける運用もあります。委託開始日、委託先の重要度、回答に必要な作業量を踏まえて、自社の起算点と送信日を決めます。重要なのは、担当者がその都度決めるのではなく、期限当日・翌日・翌営業日のどこから数えるかを事前に統一しておくことです。

Q2. 催促は何回まで送るべきですか?

同じ宛先に同じ内容を送り続けても、状況は変わりにくいものです。2回目までは同じ担当者へ、3回目以降は送信先や差出人を変える、あるいはエスカレーションに切り替える、という段階を先に決めておきます。上限回数だけを決めて、それを超えた後の扱いを決めていないと、未回答のまま放置されます。

Q3. 催促メールは誰の名前で送るのがよいですか?

1回目は依頼を出した担当者名で問題ありません。回数を重ねる場合や、相手の社内で止まっている可能性がある場合は、部門名での送信や、自社の営業担当者を経由した連絡に切り替える判断があります。誰の名前で送るかを段階ごとに決めておくと、その都度迷わずに済みます。

Q4. 何度催促しても回答がない委託先は、どう扱えばよいですか?

担当者の判断で取引の可否を決めるものではありません。依頼日、催促の日時と回数、送信先、相手からの返答の有無を記録としてまとめ、社内の判断権限を持つ人へ報告します。回答が得られないまま委託を続ける判断になった場合も、その判断をした事実と理由を残しておくと、翌年の確認や監査の場面で経緯を説明しやすくなります。

マモリスは、Excelやメールでやり取りされていた
チェックシートの登録、配布、回収、管理を
すべてオンラインで完結させるクラウドサービスです

上部へスクロール