セキュリティチェックは誰が担当する？委託先確認の役割分担表と兼務の例

委託先へのセキュリティチェックは、一つの部署だけで終わらせるより、作業ごとに担当を決めたほうが進めやすくなります。技術面の確認は情シス、契約面の確認は法務や総務、といった分担です。そのうえで、取引を続けるかどうかの判断は、社内規程で権限を持つ人が会社として行います。

この記事では、委託先や取引先へチェックシートを送り、回答を確認して取引を判断する側の役割分担を扱います。取引先から届いたチェックシートに回答する側の進め方は、取引先からセキュリティチェックシートが届いたらで、設問ごとの社内の確認先とあわせて紹介しています。

この記事では、委託先へのセキュリティチェックを次の5つの作業に分けて考えます。この区分は、担当を決めやすくするためにこの記事で設けた設計例で、法令やガイドラインが指定した分類ではありません。

作業	内容
依頼	どの委託先・どの業務を確認するかを決め、チェックシートを送り、期限を決める
技術面の確認	アクセス管理や脆弱性への対応などの回答と資料を確認し、不足している点と代わりの対策を示す
契約面の確認	再委託、事故が起きたときの連絡、契約終了時の扱いなど、契約の条項と回答の食い違いを確認する
判断	取引を続けるか、条件を付けるか、見送るかを決める
進行管理	回答の催促、関係部署への確認の依頼、記録の保管

経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が担当幹部に指示すべき事項として、サイバーセキュリティリスクの管理に関する各関係者の役割と責任を明確にしたうえで、管理体制を作ることを挙げています。法律上の義務ではありませんが、担当を決めるときの出発点になります。

5つの作業ごとに、担当と、作業の結果として残すものを並べた例です。部署名は例なので、自社の業務内容と権限に合わせて置き換えてください。

作業	担当の例	残すもの
依頼	委託元の事業部門、購買	依頼日、依頼したチェックシート、期限
技術面の確認	情シス、セキュリティ担当	確認した設問、追加で求めた資料、所見
契約面の確認	法務、総務、個人情報の担当	確認した条項、契約との食い違い
判断	社内規程で定めた承認権限者（部門長、事業責任者など）	判断、理由、付けた条件、判断日
進行管理	主管担当（上のいずれかの担当が兼ねてもよい）	進捗、各作業の担当と日付

技術面の確認で、回答をどう判断するかの基準づくりは、セキュリティチェックシートの回答をどう確認するかで解説しています。

取引を続けるか、条件を付けるか、見送るかの判断は、社内規程や承認ルールに基づいて、権限を持つ人が会社として行います。チェックシートを確認した担当者が、一人で取引の可否まで背負う形にはしません。案件の重さによって、部門長、情報セキュリティの責任者、事業責任者などに判断を任せ、重大なリスクや例外的な扱いは経営層に上げる、といった決め方があります。

主管をどの部署にするかに、決まった正解はありません。システムの運用を委託するなら情シス、製造の外注なら品質管理や購買、個人情報を扱う業務の委託なら総務、というように、委託の内容によって適した主管は変わります。大事なのは、主管がすべてを判断することではなく、技術面・契約面の所見を集めて判断者につなぐ進行役がはっきりしていることです。

専任の部署がない会社では、一人が複数の作業を兼ねることになります。兼務でかまいませんが、どの作業として確認したのかと、誰が判断したのかは分けて残します。

体制	依頼	技術面の確認	契約面の確認	判断	進行管理
実務担当1名＋社外支援＋社内の判断者	実務担当	実務担当が回答と資料を確認し、社外のIT支援先に所見を求める	実務担当	社長などの判断者	実務担当
実務担当1名＋社内の判断者	実務担当	実務担当（判断できない点の扱いは下記）	実務担当	社長などの判断者	実務担当

技術面で判断できない回答があった場合は、まず委託先に補足の説明や資料を求めます。それでも判断できない点が残れば、分からない点として判断者に共有し、必要に応じて社内で詳しい人や社外の専門家に相談します。相談先をどこにするかは、会社ごとに決めます。分からない点を推測で埋めず、「何が確認できなかったか」を記録に残しておくと、判断者が条件を付けるかどうかを決めやすくなります。

担当を決めても、判断の基準と理由が残っていなければ、担当者が替わったときに同じ判断ができません。次の3つを残しておきます。

• 判断の基準：何がそろっていれば取引を続けるか、どの場合に条件を付けるか
• 判断の理由：なぜその判断にしたか、何が確認できなかったか
• 確認した人と日付：どの作業として、誰がいつ確認したか

判断の理由が担当者の頭の中だけに残る状態がなぜ起きるのかは、セキュリティチェック業務はなぜ属人化するのかで扱っています。

委託先確認の運用全体が今どの程度回っているかを点検したい場合は、次の診断も使えます。

起きやすい形	起きやすいこと	抜けている作業
情シスに全部任せる	技術面は確認できても、取引を続けるかの判断まで情シスが背負う	判断
総務・法務が全部見る	規程や契約とは合っていても、技術的に足りているかが分からない	技術面の確認
取引の担当者が回答の確認まで抱える	分からない回答をそのまま受け取り、条件を付けないまま取引が進む	技術面・契約面の確認、判断

役割分担を決めたあと、委託先とのやり取りと確認の記録を一か所で扱いたい場合は、チェックシートのツールで試す方法があります。マモリスでは、委託先はログイン不要・無料で回答できます。

1. 無料登録し、委託先確認のチェックシートを1つ作る。設問は、技術面・契約面・業務の内容など、確認する作業ごとのまとまり（質問グループ）に分ける
2. 次の確認時期が近い委託先1社に回答を依頼する。依頼するときに選ぶ「依頼者」は、回答者に届くメールとチェックシートに、回答を依頼した人として表示される設定です。進行管理を担う担当者を選んでおくと、委託先からの問い合わせ先が分かりやすくなります。社内の担当の割り当てや権限の設定にはなりません
3. 届いた回答を開き、確認した設問に確認済みのチェックを付ける。追加で必要な資料や説明は、回答者向けのコメントを付けて差し戻して依頼する。社内の所見や判断の理由は、回答者には表示されない備考欄か、社内の管理表に残す

Q1. 委託先へのセキュリティチェックは、どの部署が主管すべきですか？

決まった正解はありません。委託の内容によって、情シス・品質管理・総務・購買などが主管する形があり得ます。主管がすべてを判断するのではなく、技術面・契約面の所見を集めて判断者につなぐ進行役をはっきりさせることが大切です。

Q2. 取引を続けるかどうかの最終判断は誰が行いますか？

社内の承認ルールに基づき、取引やリスクを承認する権限を持つ人が行います。案件によって、事業責任者、部門長、情報セキュリティの責任者、経営者などが考えられます。

Q3. 専任の担当者がいない会社は、どこから始めればよいですか？

まず、最終判断を誰が行うかを決め、判断の理由を短くても記録に残すところから始めます。作業ごとの担当は、兼務のままでかまいません。判断の基準と理由が残っていれば、担当者が替わっても引き継げます。

Q4. 取引先から届いたチェックシートに回答する場合も、同じ分担でよいですか？

回答する場合は、設問の内容ごとに社内の確認先が変わります。技術的な設問は情シス、規程や契約に関する設問は総務・法務、というように設問を割り振り、取りまとめ役が全体を見直す形になります。進め方は、この記事の冒頭で紹介した記事で詳しく説明しています。

本記事は、以下の情報をもとに作成しています（2026年10月15日確認）。

• サイバーセキュリティ経営ガイドライン Ver3.0（PDF）｜経済産業省
• サイバーセキュリティ経営ガイドラインと支援ツール｜経済産業省
• チェックシートの回答者を設定する｜マモリス操作マニュアル
• 回答者の回答内容を確認する｜マモリス操作マニュアル