TOPIX100構成企業99社の委託先セキュリティ管理｜公開情報から確認できた12項目を集計

委託先やサプライヤーのセキュリティ管理について、企業はさまざまな公式情報を公開しています。その取り組みが公式サイトや公開資料からどこまで具体的に読み取れるかは、企業によって差があります。

本調査では、2026年7月31日時点でTOPIX100を構成していた99社を対象に、委託先・サプライチェーンのセキュリティ管理に関する12項目を、同一の基準で確認しました。

ここで確認したのは「各社が実際に委託先管理を実施しているか」ではありません。調べたのは「一般公開されている企業公式Webページや公式資料から、その取り組みを明示的に確認できるか」です。この違いは本調査を読むうえで前提になるため、結果を紹介する前に触れておきます。

指数名称はTOPIX100ですが、2026年7月31日時点のJPX公式構成銘柄一覧は99社でした。SCSK（証券コード9719）は同年3月12日に上場廃止となっています。本調査では、基準日の公式構成銘柄99社をそのまま母集団としました。

各社について、次の12項目を確認しました。カッコ内は本調査での識別名です。

1. 委託先管理（outsourcing_management）
2. 委託先の情報セキュリティ管理（outsourcing_security_management）
3. 取引開始前・選定時評価（pre_selection_assessment）
4. 契約上のセキュリティ要求（contract_security_requirements）
5. 契約後の継続モニタリング（ongoing_monitoring）
6. 定期評価・定期確認（periodic_assessment）
7. 再委託先管理（subcontractor_management）
8. セキュリティ事故等の報告義務（incident_reporting）
9. サプライチェーンセキュリティ（supply_chain_security）
10. サプライヤーへの具体的セキュリティ要求（supplier_security_requirements）
11. 個人データを扱う委託先の監督（personal_data_processor_supervision）
12. セキュリティ質問票・セルフアセスメント（security_questionnaire）

各項目の判定は、YES・NO_PUBLIC_EVIDENCE・UNCLEARの3値です。YESは公式情報から明示的な記載を確認できた場合、NO_PUBLIC_EVIDENCEは今回確認した公開情報からは明示的な記載を確認できなかった場合、UNCLEARは記載はあるものの判定基準を満たすか確定できなかった場合を指します。

NO_PUBLIC_EVIDENCEは「その企業が当該管理を実施していない」ことを意味しません。あくまで、今回確認した公開情報の範囲では直接的な記載を確認できなかった、という意味です。

99社全体での集計は次のとおりです。YESは公開情報から明示的に確認できた企業数を表します。

項目	YES	NO_PUBLIC_EVIDENCE	UNCLEAR	YES率
委託先管理	18	81	0	18.2%
委託先の情報セキュリティ管理	29	70	0	29.3%
取引開始前・選定時評価	29	68	2	29.3%
契約上のセキュリティ要求	25	73	1	25.3%
契約後の継続モニタリング	52	45	2	52.5%
定期評価・定期確認	24	73	2	24.2%
再委託先管理	10	87	2	10.1%
セキュリティ事故等の報告義務	3	96	0	3.0%
サプライチェーンセキュリティ	40	58	1	40.4%
サプライヤーへの具体的セキュリティ要求	31	67	1	31.3%
個人データを扱う委託先の監督	62	36	1	62.6%
セキュリティ質問票・セルフアセスメント	18	80	1	18.2%

12項目それぞれで、確認できた企業数には差があります。次のセクションから、その差をどう読むかを順に説明します。

12項目それぞれについて、公開情報から確認できた企業の割合（YES率）は次のとおりでした。個人データを扱う委託先の監督が62.6%、契約後の継続モニタリングが52.5%、サプライチェーンセキュリティが40.4%、サプライヤーへの具体的セキュリティ要求が31.3%、委託先の情報セキュリティ管理と取引開始前・選定時評価がともに29.3%、契約上のセキュリティ要求が25.3%、定期評価・定期確認が24.2%、委託先管理とセキュリティ質問票がともに18.2%、再委託先管理が10.1%、セキュリティ事故等の報告義務が3.0%です。確認できた割合には、12項目で3.0%から62.6%までの差がありました。

ここで注意が必要なのは、この並びを「委託先管理の成熟度」や「管理レベルが下がっていく順序」として読むことはできない点です。12項目はそれぞれ対象範囲（scope）が異なります。委託先（outsourcing vendor）を対象にした項目、サプライヤーを対象にした項目、取引先や第三者を対象にした項目、個人データの処理委託先に限定した項目が混在しています。数値の大小は、本調査の判定基準のもとで、各項目を公開情報から確認できた割合の違いを示しています。対象範囲が異なるため、割合をそのまま項目間で比較することはできません。

12項目のなかで確認できた企業数が最も多かったのは、個人データを扱う委託先の監督で、62社・62.6%でした。

この62社には、プライバシーポリシーや個人情報保護方針で個人データ処理委託先の監督を確認した企業が含まれます。本調査では、こうした個人データに限定した監督を、委託先の情報セキュリティ管理全般とは分けて集計しました。

一方で、個人データに限らず委託先を広く対象とした情報セキュリティ管理（委託先の情報セキュリティ管理）は、29社・29.3%でした。この差は本調査で分けて扱った重要な部分です。

本調査では、プライバシーポリシー上の個人データ委託先監督を、サイバーセキュリティ全般の委託先管理へそのまま当てはめることはしていません。「個人データを扱う委託先の監督を公開している」ことと、「委託先の情報セキュリティ管理全般を公開している」ことは別の事象として集計しています。62.6%という数値を「委託先セキュリティ管理を公開している企業が62.6%」と読むと、対象範囲を取り違えることになります。

契約後の継続モニタリングは52社・52.5%、定期評価・定期確認は24社・24.2%でした。本調査では、この2つを別項目として扱っています。

継続モニタリングは「委託先を継続的に確認・監督する」という記載を対象にしています。定期評価は「毎年」「年1回」「定期的に評価・監査する」といった、周期性が明示された記載を対象にしています。

「継続的に確認する」と「一定の周期で確認する」は、公開情報上の表現としては近く見えますが、示している運用は異なります。周期性が明示されていない記載を定期評価のYESに含めると、実際より広く数えてしまいます。そのため、周期・頻度が直接読み取れる場合だけを定期評価のYESとし、周期の記載がないものは継続モニタリング側で扱いました。この分離により、継続モニタリング（52.5%）と定期評価（24.2%）のあいだに差が生まれています。

セキュリティ質問票・セルフアセスメントは、18社・18.2%でした。委託先へ質問票を送り、回答を集めて確認するという運用は、チェックシート業務と重なる領域です。

本調査では、この項目の判定を厳しめに置いています。単に「評価する」「監査する」と書かれているだけでは質問票のYESにはしていません。SAQ（セルフアセスメント質問票）、セルフアセスメント、質問票、アンケート調査といった、質問票にあたる手段が明示されている場合だけをYESとしました。

「評価」という言葉は、質問票を使う場合も、監査や訪問確認を使う場合も含みます。手段まで公開情報から特定できないものを質問票に数えると、範囲が広がりすぎます。手段が明示されている場合に限ったため、18.2%という数値になっています。

今回の12項目のなかで最も少なかったのが、セキュリティ事故等の報告義務です。委託先・サプライヤー・第三者等で発生したセキュリティ事故やデータ侵害等について、対象企業へ直接報告・通知する義務を公式資料から確認できたのは、3社・3.0%でした。

この判定も厳しめに置いています。YESにしたのは、委託先やサプライヤー側で起きたセキュリティインシデントを、対象企業の指定窓口へ報告・通知する義務が公式資料から確認できた場合だけです。次のようなものは、この項目のYESには含めていません。

• 内部通報制度や苦情制度全般
• 行動規範違反全般の報告
• 社内向けの報告体制
• 製品事故の報告

これらは委託先由来のセキュリティ事故の通知義務とは対象が異なるため、除外しました。

ここで注意したいのは、3社という数字が「対象企業のほとんどは報告義務を設定していない」ことを示すものではない点です。3社は、公開情報から報告・通知義務を直接確認できた企業が3社だったという意味です。委託先由来のセキュリティ事故の通知義務を契約書などの非公開文書で定めている場合、本調査の対象である公開情報からは確認できないためです。この項目に限らず、確認できた企業数が少ないことと、取り組んでいる企業が少ないことは、本調査では同じではありません。

本調査は企業を評価・比較する調査ではないため、個別企業名は挙げません。かわりに、どのような記載をYESの根拠として扱ったか、判定基準を一般化して示します。以下は実在企業の文章そのものではなく、判定の考え方を説明するための例です。

• 「委託先を継続的に監督する」という記載 → 継続モニタリングのYES根拠になり得ます。ただし周期・頻度の記載がなければ、定期評価のYESにはしていません。
• 「毎年セルフアセスメントを実施する」という記載 → 周期性が明示されているため、定期評価のYES根拠になり得ます。
• 「委託先・サプライヤーへ質問票（アンケート）で確認する」という記載 → セキュリティ質問票のYES根拠になり得ます。手段が質問票と特定できることが条件です。
• 「委託先で発生したセキュリティインシデントを委託元へ通知することを求める」という記載 → セキュリティ事故等の報告義務のYES根拠になり得ます。委託先由来の事故を委託元企業へ通知する義務であることが条件です。
• 「個人データの取扱いを委託する際に、委託先を監督する」という記載 → 個人データを扱う委託先の監督のYES根拠になり得ます。この根拠は個人データ処理に限定し、委託先の情報セキュリティ管理全般へは当てはめていません。

このように、記載の対象範囲と具体性を確認したうえで判定しています。範囲や手段があいまいなものは、より広い項目でのみ扱い、具体的な項目のYESには含めていません。

本調査は次の手順で行いました。調査の再現性と根拠の追跡可能性を重視しています。

対象は2026年7月31日時点のJPX公式構成銘柄一覧に基づく99社です。指数名称はTOPIX100ですが、基準日時点の公式構成銘柄は99社でした（SCSK・証券コード9719は同年3月12日に上場廃止）。

判定の材料は、各社が一般公開している公式情報に限定しました。具体的には、公式Webページ、プライバシーポリシー・個人情報保護方針、情報セキュリティ方針、サイバーセキュリティ関連ページ、調達・サプライヤー行動規範、サステナビリティ資料、統合報告書、有価証券報告書や海外開示（Form 20-F等）といった公式開示です。外部のまとめ記事や解説記事は根拠として使用していません。

各社について12項目を、YES・NO_PUBLIC_EVIDENCE・UNCLEARの3値で判定しました。判定にあたっては、次の分離を徹底しています。

• 委託先（outsourcing vendor）・サプライヤー・取引先・第三者・個人データ処理委託先という対象範囲（scope）を区別し、範囲の異なる根拠を別項目へ当てはめない
• 継続モニタリング（継続性）と定期評価（周期性）を分ける
• 評価・監査（手段を問わない）とセキュリティ質問票（質問票という手段の明示）を分ける
• 委託先の監視と、契約上の要求事項を分ける
• 個人データ委託先の監督と、委託先の情報セキュリティ管理全般を分ける
• コンプライアンス通報・苦情制度と、セキュリティ事故の通知義務を分ける

根拠については、公式PDFの場合は本文とページ番号まで確認しました。また、現行の公式ページ・現行の方針にもとづく根拠をCURRENT、過去年度の資料だけで確認できた根拠をHISTORICAL_ONLYとして区別し、現行の裏付けを確認できない項目はYESにしていません。

判定後には複数段階の監査を行いました。まず、99社×12項目＝1,188件の判定のうち、YESとUNCLEARにあたる354件のエビデンスについて、対象範囲・現行性・ページ番号などを再確認しました。

NO_PUBLIC_EVIDENCEについては、全件を一律に再検索したものではありません。検索漏れを抑えるため、対象を絞ったバックフィル監査とサンプル再検索を行いました。内訳は、個人データを扱う委託先の監督がNO_PUBLIC_EVIDENCEだった企業のうち32社を対象としたプライバシー系のバックフィル監査、10社を対象としたバッチ単位の再監査、最終品質監査でのNO_PUBLIC_EVIDENCE企業20社のサンプル再検索です。いずれも、プライバシー、情報セキュリティ、サイバーセキュリティ、調達・サプライヤー、サステナビリティ、統合報告書といった経路で確認し、直接の根拠を確認できた場合のみ判定を更新しました。したがって、NO_PUBLIC_EVIDENCEのすべてを再検索し尽くしたわけではありません。

URLについては、形式の確認と調査時点での公式ページ到達を確認しています。ただし、将来のサイト改修によるリンク切れは起こり得るため、再利用時には再確認が必要です。

本調査は、対象企業が一般公開している公式Webページ・公開資料を一定の基準で確認したものです。各企業が実際に行っている委託先管理・サプライヤー管理の有無、成熟度、実効性を評価するものではありません。また、公開情報から確認できなかった項目についても、当該企業がその取り組みを実施していないことを意味しません。

企業ごとの判定結果は、企業を評価・比較・ランキングする目的では公開していません。本調査の目的は、TOPIX100構成企業の公式公開情報を同一基準で確認したときに、どの情報がどの程度公開されているのかという全体の傾向を把握することにあります。

業種別の集計についても、企業数が少ない業種では個別企業を推定できる可能性があるため、本記事では業種別の内訳は扱わず、99社全体の集計を中心にしています。

TOPIX100構成企業99社の公式公開情報を同一基準で確認したところ、委託先・サプライヤーのセキュリティ管理は、企業によって異なる形で公開されていることが見えてきました。

個人データを扱う委託先の監督（62.6%）や契約後の継続モニタリング（52.5%）は、公開情報から確認できた企業が相対的に多く見られました。一方で、セキュリティ質問票（18.2%）、再委託先管理（10.1%）、セキュリティ事故等の報告義務（3.0%）といった具体的な運用にあたる項目は、公開情報から確認できた企業が少なくなりました。各項目は対象範囲が異なるため、この差は、本調査の判定基準のもとで各項目を公開情報から確認できた割合の違いを示すものです。

委託先へのセキュリティ確認を継続・定期的に行う場合、チェックシートの作成、回答依頼、未回答の把握、催促、回答確認、差し戻し、履歴管理といった工程が繰り返し発生します。こうした工程を継続して管理する方法の一つとして、専用システムを利用する方法があります。

マモリスは、こうした繰り返し発生するチェックシート業務を、作成・依頼・回収・確認・差し戻し・証跡の保管まで通して扱えるプラットフォームです。委託先へのセキュリティチェックシートの作成から、回答依頼、未回答の催促、回答内容の確認、回答履歴の保管までをまとめて管理したい場合の選択肢になります。回答者はログイン不要・無料で回答できるため、社外の委託先やサプライヤーへ依頼を出す際の負担を抑えられます。

※本調査は2026年7月31日時点のJPX公式構成銘柄99社を対象に、委託先・サプライチェーンのセキュリティ管理に関する12項目を、公開情報から確認できるかという基準で集計したものです。各社の実施有無・成熟度・実効性を評価するものではありません。