委託先管理は年1回で足りる？AI・SaaS・再委託の変更確認を解説

委託先にセキュリティチェックシートを送り、回答を回収して、確認する。
多くの会社で、この一連の作業は年に一度のものとして組まれています。
前年の回答と見比べて、大きな問題がなければそこで一区切り、という流れです。

この年次確認そのものは、委託先全体の状況を把握するうえで役立ちます。ただ、回答はあくまで提出された時点の状況を写したものです。その後、委託先の側では一年のうちにいくつかの変化が起きていきます。
本記事では、委託先管理を「年に一度提出してもらう書類」としてではなく、「委託先の変化を追うための運用」として捉え直すと、どんな整理ができるかを見ていきます。

年1回の委託先への年次確認は、取引している委託先をまとめて見渡すうえで有効な場面があります。どこにどんな委託先がいて、どんなデータを預けているのか。普段は意識しにくい全体像を、定期的に棚卸しできます。

一方で、回答時点から状況が動くことは珍しくありません。たとえば、回答後に新しい生成AIツールを業務に取り入れた。別のSaaSに乗り換えた。一部の作業を別の会社へ再委託することにした。担当者が替わり、アクセス権限の持ち方が変わった。預かっている個人情報の使い方が、当初より広がった。こうした変化は、次の年次確認のタイミングまで委託元に伝わらないこともあります。

これは年次確認が不要だという話ではありません。全体を定期的に確認する機会は引き続き必要です。そのうえで、確認した内容と実際の状況のあいだに、時間の経過とともにずれが生まれていく、という前提を持っておくと考えやすくなります。

AI利用やSaaSの導入、再委託といった変化は、現場主導で進みやすいという特徴があります。

生成AIツールやSaaSの多くは、無料または低価格で試せます。現場の担当者が「まず使ってみる」かたちで導入し、便利だったので定着する、という流れは自然なものです。再委託についても、繁忙期に一部の作業を別の会社へ回す、といった判断が現場レベルで進むことがあります。契約や体制、使うツールの変更が、日々の業務のなかで少しずつ積み重なっていきます。

これらは委託先の側に悪意があるわけではなく、業務を回すための前向きな判断であることがほとんどです。ただ、こうした変化が委託元に報告されないまま進むと、委託元が把握しているデータの保存先、アクセス権限、再委託先などの確認ポイントが、いつのまにか変わっていることになります。委託先を責めるのではなく、変化が伝わりにくい構造があると捉えておくと、確認のしかたを考えやすくなります。

ここで、年次確認と変更時確認を別々の役割として整理してみます。

年次確認は、委託先全体の棚卸しです。取引先を一通り見渡し、預けているデータや体制を定期的に確かめる場として機能します。一方の変更時確認は、重要な変化が起きたときに、その箇所だけを改めて確かめるものです。AI利用確認やSaaS利用確認、再委託先の確認といった個別のテーマは、変化があったときにこそ意味を持ちます。

ここで気をつけたいのは、変更時確認を加えると確認作業が増えてしまう、という点です。毎回すべての項目を最初から聞き直すと、委託先にも委託元にも負担がかかります。変更時確認は、変わった内容に応じて確認する範囲を絞るのが現実的です。年次でまとめて見て、期中は重要な変更だけを追う。この組み合わせで、委託先の変更管理を無理のない形に近づけられます。

変更時確認で押さえておきたい項目は、おおむね次のように整理できます。

• AI利用の開始・変更：新たに生成AIツールを業務に使い始めた、利用するAIサービスを切り替えた、扱うデータの範囲が変わった
• 利用SaaS・クラウドの変更：データの保存先となるSaaSやクラウドサービスを変更した、新しいサービスを追加した
• 再委託先の追加・変更：作業の一部を新たに別の会社へ再委託した、既存の再委託先を変更した
• 個人情報・機密情報を扱う範囲の変更：預けているデータの種類や量、使い方が当初より広がった
• 担当者・権限・運用ルールの変更：窓口や作業担当者が替わった、アクセス権限の持ち方や社内ルールが変わった

すべての変更を毎回詳しく確認する必要はありません。委託している業務の内容や、預けているデータの重要度に照らして、確認したい変更を絞り込んでおくと、変更時確認を運用に組み込みやすくなります。

特に生成AIやAI搭載SaaSの利用は、委託開始時には使っていなくても、取引継続中に使い始めることがあります。AI利用に絞って確認項目を整理したい場合は、委託先のAI利用を確認するチェックリストもあわせて確認してください。

委託先の変化を確認しておくことの重要性は、近年の公的資料からもうかがえます。

IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として、1位に「ランサム攻撃による被害」、2位に「サプライチェーンや委託先を狙った攻撃」、3位に「AIの利用をめぐるサイバーリスク」が挙げられています。サプライチェーンや委託先を狙った攻撃は、2019年の初選出以降、8年連続で10大脅威に入っており、AIの利用をめぐるサイバーリスクは2026年に初めて選出されました。委託先管理やサプライチェーンリスク、AI利用は、実務担当者にとって無視しにくいテーマになりつつあると言えます。

また、AIの利用環境は変化が速い分野です。AI事業者ガイドライン第1.2版は、委託先の変更時確認を直接求めるものではありません。ただ、AIエージェントなど新しい技術動向が反映されていることからも、AIの利用環境が短期間で変わり得ることは分かります。委託先のAI利用についても、一度確認して終わりにするのではなく、利用するツールや対象データが変わったときに再確認できるようにしておくと整理しやすくなります。なお、このガイドラインは法律そのものではなく、AIを安全安心に活用するための指針として、総務省・経済産業省が2026年3月31日に公表したものです。

個人データを扱う委託先については、個人情報保護委員会の「個人情報保護法ガイドライン 通則編」の考え方も参考になります。委託先における安全管理措置や個人データの取扱状況を、委託元が把握できる状態にしておくことは重要です。再委託が関係する場合も、委託元がその状況を確認できるようにしておくと、後から経緯をたどりやすくなります。

なお、これらの資料は、年1回の確認では足りないと直接述べているわけではありません。ただ、いずれも委託先の状況を継続的に確認できる運用の重要性につながる内容だと読めます。

変更時確認を始めると、新しい論点が出てきます。年次チェックの回答と、期中に発生した変更確認を、どこで管理するかという点です。

年次の回答はExcelのファイルにまとめてあり、期中の変更確認はそのつどメールでやり取りする、という形になると、ひとつの委託先に関する情報が複数の場所に分かれていきます。差し戻しや再確認のやり取りはメールのスレッドに残りますが、件数が増えると、いつ・何を・どう確認したのかがメールの中に埋もれていきます。

そうなると、前回から何が変わったのかを後から追いにくくなります。監査の準備や社内への説明の場面で、「この委託先の再委託先の変更は、いつ確認したか」を探そうとして、メールとファイルを行き来して探し直すことになりがちです。Excelやメールが小規模なら扱いやすい一方で、変更確認の履歴が分かれてしまう点は、件数が増えるほど負担になりやすいところです。

私たちがマモリスを開発しているのは、こうした「年次確認と変更時確認が別々になりがち」という課題に向き合ってきたからです。

マモリスでは、変更時確認用のチェックシートを作成し、回答依頼・回収・確認・差し戻しを一元管理できます。設問は6種類の形式から選べ、設問ごとに説明文や資料URL、YouTube URL、ファイル添付を加えたり、質問グループでまとめたりできます。テンプレートの検索・プレビューや、回答者管理、CSVインポート、グループ管理といった機能もあり、確認したい変更の内容に合わせてチェックシートを用意しやすくなっています。

変更時確認では、前回回答をプリセットして、前回からの変更点を確認しやすくできます。差し戻しコメントを残せるため、再確認の経緯を追いやすくなります。確認済みチェックにより、どこまで確認したかを整理しやすくなり、PDF保存により、確認した内容を証跡として残しやすくなります。繰り返し依頼を使えば、定期的な確認を続けやすくなります。回答者側も下書き保存や差し戻し対応ができるため、再提出までの流れを進めやすくなります。

こうした機能を通じて、年次確認と変更時確認を、同じチェックシート運用の中で扱いやすくなります。マモリスは、セキュリティチェックシートだけでなく、繰り返し発生するチェックシート業務を管理するためのツールとして使っていただけます。

委託先への年次確認は、これからも必要な作業です。全体を定期的に見渡す機会として、年に一度の確認には意味があります。

そのうえで、委託先の状況は期中にも変わります。AI利用やSaaS、再委託、担当者、取扱データの範囲は、一年のあいだに動きうるものです。重要な変更が起きたときに確認できる運用を、年次確認と別に用意しておくことが重要になりつつあります。

チェックシート運用を「一度送って回収するもの」ではなく、「委託先の変化を追うための運用」として捉え直す。その視点を持っておくと、委託先の変更確認を日々の業務に無理なく組み込みやすくなります。

また、SCS評価制度をきっかけに委託先管理全体の確認履歴を整える重要性や、委託先管理の運用をどこから手をつけるべきかについては、別記事でも解説しています。

Q1. 委託先管理は年1回の確認だけで足りますか？

年次確認は委託先全体を把握するうえで役立ちますが、回答は提出時点の状況を写したものです。AI利用やSaaS、再委託、担当者などは期中にも変わります。年次確認をなくす必要はなく、重要な変更が起きたときに確認できる運用を併せて用意しておくと考えやすくなります。

Q2. 変更時確認とは、具体的に何を確認するのですか？

委託先で起きた重要な変化を、その箇所に絞って改めて確認するものです。AI利用の開始・変更、利用SaaSやクラウドの変更、再委託先の追加・変更、扱う個人情報の範囲の変更、担当者や権限・運用ルールの変更などが対象になります。変わった内容に応じて確認範囲を絞るのが現実的です。

Q3. 変更があるたびに、すべての項目を聞き直す必要がありますか？

毎回すべてを最初から確認すると、委託先にも委託元にも負担がかかります。委託している業務の内容や預けているデータの重要度に照らして、確認したい変更を絞り込んでおくと、変更時確認を無理なく運用に組み込みやすくなります。

Q4. 委託先のAI利用は、どのように確認しておくとよいですか？

AIの利用環境は変化が速い分野です。利用するAIツールや対象データが変わったときに再確認できるようにしておくと、委託先のAI利用状況を整理しやすくなります。年次確認に加えて、AI利用の開始・変更時に確認する項目を決めておくと運用しやすくなります。

Q5. 再委託先の変更は、どこまで把握しておくべきですか？

個人データを扱う業務では、委託先における取扱状況を委託元が把握できる状態にしておくことが重要です。再委託が関係する場合も、再委託先の追加・変更や業務範囲を確認できるようにしておくと、後から経緯をたどりやすくなります。

Q6. Excelやメールで変更確認を回すと、何が難しくなりますか？

年次の回答はファイル、期中の変更確認はメール、と分かれると、ひとつの委託先の情報が複数の場所に散らばります。差し戻しや再確認のやり取りがメールに埋もれ、前回から何が変わったかを追いにくくなり、監査や社内説明の場面で探し直すことになりやすい点が課題になります。

マモリスは、セキュリティチェックシートだけでなく、繰り返し発生するチェックシート業務を管理するためのツールです。繰り返し依頼や前回回答のプリセットにより、年次確認と変更時確認を続けやすくなります。委託先の変更確認の仕組みを整えたい方に向けて、資料をご用意しています。

出典

• IPA プレスリリース「情報セキュリティ10大脅威 2026」を決定（2026年1月29日）
• IPA「情報セキュリティ10大脅威 2026」
• 経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」