委託先100社のセキュリティチェックは、年次更新に年間19〜31営業日かかる試算

委託先へのセキュリティチェックに、年間どのくらい時間をつかっているか。業務ごとの作業時間を計測していない場合、年間の総工数は把握しにくくなります。

「シートを送って、返ってきたら確認する」——そう聞けば軽い業務に聞こえます。しかし工程を分解すると、印象が変わります。この記事では、委託元が委託先へセキュリティチェックを依頼・回収・確認する業務を対象に、工数の試算例と、年次更新でも作業がなくならない理由、見直しの進め方を解説します。

シートの内容確認と修正。送付先リストの準備と登録。シートの送付。回答が揃っているかの確認と名簿との突き合わせ。まだ返ってきていない委託先への催促メール、あるいは電話。届いた回答の内容確認と、不備がある場合のやりとり。最終的な保管と台帳への記録。

一つひとつは軽い作業です。しかし合計すると、無視できない数字になります。

以下は、委託先1社に対する初回確認を3〜5時間、年次更新を1.5〜2.5時間と仮定した試算例です。実際の工数は、設問数、回答内容、不備の件数、催促回数、社内の確認工程などによって変わります。この時間は、本記事で工数を考えるために設定したモデルケースであり、公的統計や業界平均を示すものではありません。また、1営業日を8時間、1人月を160時間として換算しています。

1社あたりの試算条件に対象社数をかけると、全体の工数が見えてきます。

100社を確認する場合の工数試算：

• 100社を新たに確認する初回対応：300〜500時間（約38〜63営業日、約1.9〜3.1人月）
• 100社を年1回更新する場合：年間150〜250時間（約19〜31営業日、約0.9〜1.6人月）

年次更新だけでも、担当者1人の約1〜1.6か月分の稼働時間に相当します。本来であれば、リスク評価や委託先との関係構築といった、より判断を要する業務に充てたい時間です。

500社を新たに確認する場合は約9〜16人月、500社を年1回更新する場合は年間約5〜8人月に相当する試算です。

工程ごとの作業時間を個別に計測していない場合、こうした工数は見えにくくなります。特に年次更新に伴う工数は、対象社数に応じて毎年繰り返し発生します。担当者が30〜50社を管理しているなら、年次更新だけで年間45〜125時間になる計算です。自社の対象社数に1社あたりの工数をかけてみると、その数字が見えてきます。

工数を人件費に換算する方法は、Excelでのチェックシート管理にかかる人件費は？運用コストの試算方法で解説しています。

「初回は大変でも、2回目からは楽になるはず」——多くの担当者がそう考えます。実際、シートの設計や送付先の初回登録にかかる時間は、2回目以降は減らせます。

一方で、送付先の確認、回答依頼、未回答先への催促、回答内容の確認、不備への対応、履歴の保存は毎回発生します。そのため、「前年との差分を見るだけ」で完了するとは限りません。

さらに、前回の回答ファイルがどのフォルダにあるか誰も把握していない、担当者の交代で引き継ぎが途切れている、送付先の名簿が更新されていない——こうした状態では、前回の回答や判断経緯を探す作業が残り、年次更新で得られるはずの負担軽減を十分に活かせません。

工程を分解すると、もう一つのことが見えてきます。

セキュリティリスクを評価し、回答内容を確認して問題の有無を判断する作業は、運用方法を変えても残ります。一方、未回答先の特定、催促対象者の抽出、台帳への転記、過去履歴の探索などは、運用方法によって短くできる可能性があります。

年度や部署ごとにファイル名、保存場所、進捗台帳が異なる場合もあります。確認項目は同じでも、回答ファイルと送付履歴、差し戻しの経緯が別々の場所に残ると、次回の確認時に探し直す作業が発生します。

見直しの対象を「判断」ではなく「判断以外の作業」に絞ると、どこから手をつけるべきかが見えやすくなります。

工数の積み上がりだけが問題ではありません。

回答の確認に十分な時間を割けない状態が続くと、「前回もYESだったから、今回もYES」という運用に近づいていきます。YESという回答だけでは、実施状況や根拠資料まで確認できない場合があります。

インシデントが発生した際に、どの情報をもとに、誰が、どのような基準で確認したのかを説明できなければ、確認方法や判断過程について説明を求められる可能性があります。

IPAの「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に挙げられています。こうした攻撃が継続的な脅威となる中、委託先の対策状況を確認する重要性は高まっています。SCS評価制度でも、取引契約などにおいて、委託元が委託先に必要な対策の段階を示し、その実施状況を確認する利用が想定されています。

担当者個人の工夫だけでは解決しにくい問題です。

対象社数が少なく、設問数や更新頻度が限られ、担当者も固定されている場合は、Excelとメールによる運用でも成り立ちます。問題は、対象社数が増え、年次更新が重なり、担当者の交代が挟まっても、同じやり方を続けたときに起きます。情報の分散や履歴の断絶が起きやすくなります。

必要なのは個人の努力ではなく、仕組みの見直しです。送付・回収・履歴管理が一箇所で完結する環境、担当者が変わっても引き継がれる回答の文脈。これらが整えば、「判断以外の作業」を減らしやすくなります。

マモリスは、チェックシートの作成から、依頼、回収、確認、差し戻し、証跡保管までを一つのシステムで扱えるプラットフォームです。

回答者はログイン不要のURLから無料で回答できるため、委託先にアカウント作成を求める必要がありません。回答状況は一覧で把握でき、期限前の催促メール送信に加えて、回答前・回答中の回答者への回答催促メール一括送信も使えます。

年次更新には、繰り返し依頼（毎週・毎月・毎年から選択）と、前回のテキスト・選択肢回答を初期値として引き継ぐ設定が使えます（添付ファイルは引き継ぎの対象外です）。回答内容や確認状況、差し戻し時のコメント履歴はシステム上で確認できます。回答内容はPDFとして保存できます。

導入後に業務がどう変わるかは、マモリスを導入すると、セキュリティチェック業務はどう変わるかで解説しています。

この業務は毎年繰り返されます。委託先の数だけ、年度の数だけ。運用方法を変えなければ、同じ工程が来年も繰り返され、同程度の工数が発生する可能性があります。100社規模の年次更新で年間19〜31営業日。同じ100社を毎年1回更新する場合、5年間では約94〜156営業日分に積み上がる試算です。

「今は忙しいから後で」という判断も、一つの選択です。ただ、仕組みを見直すなら、早いほど累積の負担は小さくなります。

まずは、自社でどれだけの工数が発生しているのかを把握することから始めてみてください。その数字を見たとき、見直すべきか、このまま続けるかの判断がしやすくなります。

Q1. 委託先1社あたりのセキュリティチェック工数はどれくらいですか？

本記事では、初回確認を3〜5時間、年次更新を1.5〜2.5時間と仮定して試算しています。実際の工数は、設問数、回答内容、不備の件数、催促回数、社内の確認工程などによって変わるため、自社の実測値と照らし合わせ、試算の目安として参照してください。

Q2. 年次更新でも作業が残るのはなぜですか？

シートの設計や送付先の初回登録は2回目以降に減らせますが、回答依頼、催促、回答内容の確認、不備への対応、履歴の保存は毎回発生するためです。前回の回答や判断経緯を探す作業が加わると、負担はさらに増えます。

Q3. 自社の工数はどう測ればよいですか？

まず、送付・催促・回収確認・内容確認・保管の各工程に分けて、1社あたりの所要時間を数社分だけ記録してみてください。その平均に対象社数をかけると、年間の概算が出せます。全件の厳密な計測より、工程別の概算のほうが着手しやすい方法です。

Q4. システムを導入した場合、どの作業が残りますか？

回答内容を確認し、問題の有無を判断する作業は残ります。短くしやすいのは、未回答先の特定、催促、台帳への転記、過去履歴の探索といった判断以外の作業です。

参考リンク

• 情報セキュリティ10大脅威 2026（IPA）
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）（IPA）