セキュリティチェックシートの運用課題とは？ Excel・フォームの限界と解決ツール

セキュリティチェックシートの運用課題を、回収前・回収後・保管・監査の段階に分けて解説。
Excel・メール・汎用フォームで対応できる範囲と、送付・回収管理ツール、回答支援ツール、第三者評価サービスの違い、ツール選定の判断材料をまとめます。

取引先から戻ってきたセキュリティチェックシートを確認しようとして、どれが最新版か分からなくなる。
未回答の会社に催促のメールを送り、差し戻した分の再提出を待つ。回答ファイルは個別のメールに、添付の証明書はまた別の場所に置かれている。
こうした手間は、Excelやメール、フォームそのものが悪いから起きているわけではありません。送付先や種類が増え、差し戻しや担当者の交代が重なってくると、もともとの運用が現場の複雑さに追いつかなくなっていきます。

この記事では、回収前と回収後それぞれで起きる課題を分けて見たうえで、Excel・フォーム・専用ツールが向いている範囲の違いと、ツールを選ぶときの判断材料を示します。

委託先やビジネスパートナーのセキュリティ対策状況を把握しておくことの重要性は、経済産業省とIPAのサイバーセキュリティ経営ガイドライン Ver 3.0でも、重要10項目の指示9として示されています。

法的な義務として定められたものではありませんが、こうした背景もあって、自社の取引先へチェックシートを送る運用は珍しくありません。

負担になりやすいのは、送ること自体よりも、その後の確認や管理の工程です。

回収前の作業は、チェックシートを用意して送るまでの一連の流れになります。設問の追加や改訂を反映してシートを更新し、今年度の対象企業と送付先の担当者を確認する。
Excelで運用している場合は、取引先ごとに宛先と添付ファイルを確認しながら、メールで送る作業が発生します。

ここで気をつけたいのが、他社向けのファイルを誤って添付してしまうリスクです。
必ず起きるわけではありませんが、宛先とファイルを取り違えないよう、送付前の確認に時間を割くことになります。
送ったあとは、回答期限が近づいた会社を見ながら、まだ返ってきていない相手に催促の連絡を入れる。送付先だけでなく、送付回数やチェックシートの種類が増えるほど、誰に何をいつ送ったかを追いかける作業が積み上がっていきます。

負担が大きくなりやすいのは、回答が戻ってきたあとの工程です。
ここで押さえておきたいのは、回答が届いたことと、回答の中身を確認し終えたことは別だという点です。
受信トレイにファイルが揃っても、それぞれの内容に目を通し、足りない項目や記載の食い違いを見つけて初めて、確認が済んだといえます。

回答に不備があれば、相手に差し戻して直してもらうことになります。
すると修正版のファイルが新たに届き、元のファイルと混ざっていく。どれが最終的に確認すべき版なのか、ファイル名や受信日時を頼りに見分ける場面が出てきます。
回答ファイルは各社からのメールに散らばり、誰がどこまで確認したかは管理台帳の側に手で書き込む。
回答そのものと、その確認状況を記録する台帳が別々に育っていくため、両方を突き合わせる手間が残ります。

回答や、添付として提出された証明書・規程の写しは、共有フォルダやメール、担当者の手元など複数の場所に分かれて残りやすいものです。
監査や社内の点検で過去の確認結果をたどるとき、必要な情報を探し直すことになります。
例外として受け入れた回答の判断理由がメールや記憶の中にしか残っていなかったり、担当者の交代でその判断が十分に引き継がれなかったりすることもあります。

ここまで課題を挙げてきましたが、Excelとメールでの運用がいつも問題になるわけではありません。
対象となる取引先が少なく、送る頻度も低い。使うチェックシートの種類が限られていて、担当者もおおむね固定されている。
差し戻しがほとんど発生せず、回答ファイルや添付資料、進捗を共有フォルダなどでまとめて見られている。
こうした状況であれば、無理に専用のツールを入れる必要はありません。
慣れた手順で回せているなら、それを変えること自体がかえって負担になることもあります。

一方で、送付先や送付回数が増え、複数の種類のチェックシートを使い分けるようになると、手作業の比重が上がっていきます。回答ファイルの管理と台帳の更新が別々の操作になり、複数の担当者が同じ案件を確認するようになると、最新の状況をそろえるのに手間がかかります。
差し戻しや再提出が続けて発生し、年に一度の更新もあるとなると、追いかける対象が一気に増えます。
Excelのセキュリティが低いという話ではありませんし、いずれ破綻すると決まっているわけでもありません。
ただ、扱う情報量が増えるにつれて、確認漏れを防ぐための見直しに時間がかかるようになっていきます。

GoogleフォームやMicrosoft Formsのような汎用フォームを使うと、回答をオンラインで受け取れるようになります。
各社からの回答が一か所に集まるため、Excelファイルを個別に添付して送り合う作業を減らせます。比較的低いコストで始められるのも利点です。

ただ、フォームは回答を集めるところに向いている分、回収後の管理には工夫がいります。
会社ごとに確認が済んだかどうかは、フォームの回答とは別に記録する必要が出てきます。
差し戻して再回答してもらう流れや、その進捗を追う仕組みも、標準のままでは整っていないことが多いものです。
添付資料と確認状況、再提出をひとまとめに扱おうとすると、別の台帳を併用したり、自動化の設定を組んだりする手間が出てきます。差し戻しができないわけでも、再回答が不可能なわけでもありませんが、回収後まで含めて回そうとすると、フォーム単体では足りない部分が見えてきます。

GoogleフォームやMicrosoft Formsでチェックシート業務を運用するときに起きやすい課題は、別記事でも詳しく整理しています。未回答管理、催促、差し戻し、添付資料、年次更新まで含めて確認したい場合は、「Microsoft FormsやGoogleフォームでは回らない？ チェックシート業務の落とし穴」も参考になります。

ここまでの三つの手段を、項目ごとに並べると次のようになります。

項目	Excel＋メール	汎用フォーム	専用の送付・回収管理ツール
初期費用	既存のソフトで始められ、追加費用は少ない	無料〜低コストで始めやすい	利用料がかかる。料金体系は製品による
設問の自由度	自社の様式をそのまま使える	入力形式の自由度はフォームの仕様による	自社の設問を構成できるかは製品による
回答の集約	各社のファイルが個別に届く	回答が一か所に集まる	回答を一覧でまとめて扱える（製品による）
期限管理	手元の台帳で管理する	標準機能だけでは、回答企業ごとの期限や進捗の管理に工夫がいる	回答ごとに期限を設定できる製品が多い
自動リマインド	手作業で催促する	標準では用意されていないことが多い	期限に応じた自動リマインドを持つ製品がある
確認状況の管理	台帳に手で記録する	回収済み・確認済みなどの状態は、別に記録する必要がある	確認状況を画面上で追える製品がある
差し戻し・再回答	メールでやり取りし、版が増えやすい	工夫しないと進捗を追いにくい	差し戻しと再回答を扱える製品がある
添付ファイルの管理	別フォルダに分散しやすい	添付の扱いはフォームの仕様による	回答と添付をまとめて管理できる製品がある
複数担当者での共有	共有フォルダ等で工夫する	共有範囲の設定に注意がいる	複数担当での共有を想定した製品がある
向いているケース	件数・種類が少なく差し戻しも少ない運用	オンラインで回答を集めたいが回収後は別管理でよい運用	送付・催促・確認・差し戻しを複数の担当者で管理し、回収後まで一か所で扱いたい運用

専用ツールの欄をすべて「製品による」と添えているのは、同じ分類でも機能の範囲が製品ごとに異なるためです。
導入を検討するときは、分類だけでなく個別の機能を確認しておくと、認識のずれを避けられます。

セキュリティチェックに関わるツールと一括りにされがちですが、目的や使う立場はそれぞれ異なります。
調べてみると、回答する側を支援するツールと、送って回収する側を管理するツールが同じ並びで出てくることもあり、見分けにくいところです。導入を考えるなら、自社がどの立場で何をしたいのかを先に決めておくと選びやすくなります。

自社がチェックシートを作り、取引先へ送り、回答状況を見ながら回収し、戻ってきた回答を確認して、必要なら差し戻す。この一連の流れを扱うのが、送付・回収・管理のためのツールです。チェックシートを送る側、発注者や委託元の立場で使うことを想定しています。この記事の後半で紹介するマモリスも、ここに含まれます。

これに対して回答支援ツールは、他社から届いたExcelなどのチェックシートへの回答を進めやすくするためのものです。過去の回答や社内の情報をもとに回答案を作る手助けをし、主に取引先から回答を求められたサプライヤー側が使います。送付・回収管理ツールとは、使う人の立場が反対側にあります。

もう一つ、第三者によるセキュリティ評価サービスという種類があります。共通の質問票や評価基準をもとに、専門家やサービスの運営者が各社を評価し、その情報をプラットフォーム上で参照・共有して利用します。例としてはAssuredなどがあります。自社で独自の設問を作って取引先へ直接送るツールとは、評価する主体も目的も異なります。

専用ツールが必要になるかどうかは、次のような状況がどれだけ重なっているかで見当がつきます。

1. チェックシートの種類や送付回数が増えている
2. 未回答の会社の確認や催促を手作業で行っている
3. 差し戻しや再提出が続けて発生している
4. 回答ファイル、添付資料、管理台帳が別々の場所に分かれている
5. 複数の担当者で確認していて、進捗を把握しにくい

一つ当てはまったから必ず導入すべき、という話ではありません。
どれか一つだけなら、今の運用で足りることも多いものです。
これらが複数重なり、手作業や確認漏れの心配が増えてきたときに、専用ツールを比較する意味が出てきます。

Excelやメール、汎用フォームでの運用では、回収したあとの確認や差し戻し、添付ファイルの管理が、それぞれ別の場所に分かれてしまいがちです。
回答は届いても、その内容を確認し、不備を直してもらい、添付資料まで揃えて残しておく工程が、台帳やフォルダ、メールに散らばっていきます。

マモリスでは、各種チェックシートの作成から送付、回収、確認、差し戻しまでを、一つのサービス上で管理できます。ここまで挙げてきた運用負担に沿って、何ができるかを見ていきます。

送付前の準備では、チェックシートを用意する手間を軽くします。設問は一から作れるほか、用意されたテンプレートを基に、自社の確認内容や既存のチェックシートに沿わせてフォームを構成することもできます。送付先は個別に登録できるほか、CSVでの一括登録にも対応しているため、複数の回答者を登録する際の手作業を減らせます。回答期限も、この段階で設定しておけます。

送ったあとは、催促や状況確認の手作業を減らせます。回答者側はアカウントの登録が不要で、利用料金もかかりません。送る相手に新しく登録してもらう手間がない分、依頼の際のやり取りも軽くなります。
設定した期限に応じてリマインドメールが自動で送られ、回答済みか未回答かといった状況を一覧で確認できます。誰にいつ催促したかを手元の台帳で追いかける場面を、減らしていけます。

回収したあとは、確認と差し戻しを同じ場所で扱えます。戻ってきた回答の内容をそのまま確認し、不備があれば差し戻して再回答を求められます。添付ファイルは回答とまとめて管理できるため、回答本体と証明書が別のフォルダに分かれてしまう状況を避けやすくなります。回答内容はPDFとして出力でき、同じチェックシートを繰り返し送ることもできるため、定期的に同じ確認を行う運用にも使えます。

マモリスが向いているのは、次のような場合です。

• 自社で用意したチェックシートを使いたい。
• 回答者にアカウントを作ってもらいたくない。
• 期限と回答状況を一覧で把握したい。
• 催促メールを手作業で作って送る回数を減らしたい。
• 回答と添付ファイルを同じ場所で管理したい。
• 回収したあとの確認や差し戻しまで、同じサービス上で済ませたい。

こうした希望が重なるほど、専用ツールを使う利点が出てきます。

一方で、目的によってはマモリスとは別の種類の製品を選んだほうがよい場合もあります。
他社から届いたExcelへの回答をAIで自動化したい、専門家による第三者評価を受けたい、セキュリティスコアを取得したい、GRC全体を一つにまとめて管理したい、前年の回答との差分を自動で抽出したい、リスクの判定を自動化したい。こうしたことが主な目的であれば、回答支援ツールや第三者評価サービス、別の管理基盤など、マモリスとは異なるカテゴリの製品が候補になります。
マモリスは、自社の設問で送って回収し、確認するまでを扱う製品であって、これらすべてをこなす製品ではありません。

適切な管理方法は、取引先の数だけで決まるものではありません。
送付の回数やシートの種類、差し戻しの頻度、関わる担当者の数といった、運用の複雑さのほうが負担に効いてきます。
チェックシートの運用を見直すときは、送って回収するまでの工程だけでなく、回収したあとの確認や保管の工程まで含めて見ておくと、どこに手間がかかっているかが見えてきます。

なお、2026年3月には、取引先のセキュリティ対策を共通基準で可視化するSCS評価制度の構築方針が公表されました。
2026年度末頃の開始が予定されていますが、任意制度であり、特定製品の導入を求めるものではありません。

Excelとメール、汎用フォーム、専用ツールには、それぞれ向いている範囲があります。
回答する側を支援するツールと、送って回収する側を管理するツールを混同しないこと。
そのうえで、自社が抱えている課題に合った種類の手段を選ぶことが、遠回りを避けることにつながります。

Q1. セキュリティチェックシートの主な運用課題は何ですか？

送付や回収そのものよりも、回収したあとの工程で負担が大きくなりやすい点です。回答が届いたことと、内容を確認し終えたことは別で、不備があれば差し戻し、修正版が増えていきます。回答ファイルと管理台帳が分かれ、確認状況の共有にも手間がかかります。

Q2. Excelのままでも管理できますか？

対象企業が少なく、送付頻度も低く、差し戻しがほとんど発生しない運用であれば、Excelとメールでも十分に回せます。Excelが古い、セキュリティが低いという話ではありません。送付先や種類、差し戻し、担当者の数が増え、確認漏れを防ぐ手間がかさんできたときに、別の手段を検討する余地が出てきます。

Q3. GoogleフォームやMicrosoft Formsでも運用できますか？

回答をオンラインで集める用途には向いており、低コストで始められます。ただ、会社ごとの確認状況や差し戻しの進捗、添付資料の管理までを一体で扱うには、別の台帳や設定の工夫がいります。差し戻しや再回答ができないわけではありませんが、回収後の管理まで含めるとフォーム単体では足りない部分が出てきます。
フォーム運用で起きやすい具体的な課題については、「Microsoft FormsやGoogleフォームでは回らない？ チェックシート業務の落とし穴」で、未回答管理・催促・差し戻し・添付資料・年次更新の観点から詳しく解説しています。

Q4. 回答支援ツールと管理ツールの違いは何ですか？

使う立場が反対です。回答支援ツールは、他社から届いたチェックシートに答える側が、回答を進めやすくするために使います。送付・回収管理ツールは、自社が取引先へ送り、回答状況を見て確認や差し戻しを行う側が使います。送る側か答える側かで、選ぶものが変わります。

Q5. 専用ツールを検討する目安は何ですか？

種類や送付回数の増加、手作業での催促、続く差し戻し、回答ファイル・添付資料・台帳の分散、複数担当での進捗把握のしにくさなどが目安です。一つの条件だけで判断せず、複数の課題が重なり、手作業や確認漏れの負担が増えているかを確認することが大切です。