情シスアウトソーシングで外注できる範囲と残る2つ

経理から回ってきた請求書の束に、誰が契約したのか分からないサービスの月額が混ざっている。解約したら何が止まるのかを聞いても、社内の誰も答えられない。この状態で外注を考えはじめる会社は、めずらしくありません。現状が分からないまま相談が始まるのは、よくあることだと思います。

ただ、業者を選ぶより先に決めておくことが2つあります。ひとつは誰が指示を出すのか、もうひとつは情報が漏れたときに誰が責任を負うのかです。契約書を交わしても、この2つは自社に残ります。

私たちデジタル屋さんも、外部から会社のIT全般を見る仕事をしています。つまり、これを売っている側です。そのうえで、売り手にとって都合の悪いところから順にお話しします。

ここで前提にしているのは、担当者が常時オフィスに座る「常駐型」ではなく、必要なときに連絡して動いてもらう月額型です。

外注すると何が消えて、何が残るのか

消えるほうから見ていくと、手を動かす時間はかなりの部分を外に出せます。

• 新しく入った人のアカウントを作り、辞めた人のアカウントを止める
• パソコンを買って、初期設定をして、渡せる状態にする
• 「メールが開かない」「印刷できない」の一次対応
• 回線やVPN（社外から社内につなぐ仕組み）のトラブル切り分け
• セキュリティ更新が当たっているかの確認

ここが外に出ると、総務や経理の人が「分かる人がいないから明日でいいですか」と言わずに済むようになりますし、担当が休んだ日にパソコンの手配が止まることもなくなります。小さい話に見えますが、10〜50人の会社では毎週のように起きている損だと思います。

一方で、契約しても外に出ていかないものが2つあります。

1つは、誰が指示を出すかです。外注先の担当者に、社内の人が思いついた順に直接お願いしていくと、法律上の扱いが変わってしまう場合があります。

もう1つは、情報が漏れたときの責任です。外注先が原因で漏れても、頼んだ側の会社の責任がなくなるわけではありません。

外注の話は、業務の名前で切り分けて語られることが多いです。ヘルプデスクは出せる、IT戦略は残す、という具合です。ただ、この切り方だと、実際に困ったときに使いにくいように思います。私たちは、業務の名前ではなく責任で切るほうが実務に合うと考えています。

費用の幅も見当を付けておくと判断が速くなります。問い合わせの一次受けだけを引き受ける形なら月に数万円から、会社のIT全体を見て判断まで持つ形なら月に数十万円、というのが今のおおまかな幅です。デジタル屋さんの外部デジタル顧問は月20万円で、これはトップページに出しています。この幅を分けているのは作業量ではなく、判断を持つかどうかです。月額に何時間ぶんが含まれるかの見方は、IT顧問を雇う前に決める3つに書いています。

逆に言えば、この2つさえ自社で持てるなら、残りは全部出してしまってかまいません。全部を自分たちで抱えたまま外注を考えるから、いつまでも踏み切れないのだと思います。

「ついでにこれもお願い」が線を越える

外注の契約には、大きく分けて2つの形があります。仕事の結果を約束してもらう形（業務委託・請負）と、人に来てもらって自社の指示で動いてもらう形（労働者派遣）です。この2つは、雇い主が負う責任の範囲が違います。

問題は、どちらに当たるかが契約書の題名では決まらないことです。厚生労働省は、区分の基準を示したうえでこう書いています。

労働者派遣、請負のいずれに該当するかは、契約形式ではなく、「労働者派遣事業と請負により行われる事業との区分に関する基準」に基づき、実態に即して判断されます。

厚生労働省「労働者派遣事業と請負により行われる事業との区分に関する基準（37号告示）関係疑義応答集」

つまり、契約書に「業務委託」と書いてあっても、日々の頼み方が「うちの社員に指示するのと同じ」になっていれば、実態のほうで判断されます。

これは机上の話ではありません。外注先の人が親切で感じがいいほど、社内の人は気軽に声をかけます。「ついでにこれもお願いできますか」「今すぐ見てもらえますか」。悪気はまったくないのですが、これが積み重なると、頼んでいるのは仕事の結果ではなく、その人の労働時間そのものに近づいていきます。

防ぎ方は法律を覚えることではなく、頼み方を先に決めておくことで、決めるのは次の2つだけです。

1. 依頼のルートを1本にする。社員が思い思いに外注先へ直接言うのではなく、決めた経路に集める
2. 作業の単位で頼む。「今日は8時間いてください」ではなく「この10台の設定をお願いします」の形にする

自社のケースがどちらに当たるかの最終的な判断は、都道府県労働局が実態を見て個別に行います。心配な契約があるなら、そちらか社会保険労務士に確認してください。契約の形を選んだ時点で終わりではなく、日々の頼み方まで含めて形が決まるのだと思います。

漏れたときの責任は、契約しても自社に残る

取引先から「セキュリティ確認シート」が送られてくることがあります。情報セキュリティの責任者は誰か、アクセス権限をどのくらいの頻度で見直しているか、といった質問が並んだ紙です。あれは、相手の会社が自分の義務を果たすために聞いてきています。返す側として何をどう書けるかはSECURITY ACTIONとは？宣言方法と宣言後にやることにまとめました。そこで公開を求められる情報セキュリティ基本方針の中身は、別の記事に分けています。

個人情報保護法は、個人データの取り扱いを外部に委託した場合、委託した側に委託先を監督する義務があると定めています（法第25条）。個人情報保護委員会のガイドライン（通則編）にも「委託先の監督」という項目が置かれています。外に出したから責任も外に出た、という形にはなりません。

ここで見落とされやすい点があります。情シスの外注で外注先が触るのは、多くの場合顧客の名簿ではなく、自社の従業員の情報です。社員のアカウント、社員のパソコンの中身、社員のメール。顧客データを渡していないから関係ない、とはなりません。従業員の情報も個人情報です。

業者選びのときに「ISMSを取得しているか」「Pマークがあるか」を確認する会社は多いです。確認すること自体は正しいのですが、それは相手を選ぶための材料であって、自社の義務の肩代わりにはなりません。相手が認証を持っていても、監督するのは頼んだ側です。

とはいえ、身構えすぎる必要もありません。契約時に、どこまでのデータに触るのか、誰が触るのか、終わったあとにデータをどうするのかを文章にしておく。年に一度、その通りに運用されているか確認する。10〜50人の会社なら、まずはこの水準で十分だと思います。

なお、外部のサービスにデータを預けるときの「委託」と「第三者提供」の違いはAI議事録作成で最初に決める、音声の預け先に、社内で取るべき安全管理措置の中身は顧客管理のエクセル｜作り方と5つの安全管理措置に書いています。

依頼が外注先に直接届く設計にするか

外注したのに、社内の負担があまり減らなかった。この失敗は、作業を出す先ではなく、依頼の流れを決めなかったときに起きます。

よくあるのは、こういう流れです。社員が困ると、これまでどおり社内で一番詳しい人のところへ行きます。その人が話を聞いて外注先へ伝え、外注先が直して、またその人を経由して社員に返ってきます。手を動かす作業はたしかに減りましたが、取り次ぎだけが残ります。1件あたりの時間は短くなっても、席に来る回数は変わりません。

だから契約のときに、社員が外注先へ直接連絡できる形にするかどうかを決めます。直接つなぐなら、連絡先とルールを社員に配る必要があります。社内でいったん受けるなら、受ける人の手間が残ることを承知したうえで、その人の他の仕事を減らします。どちらでもいいのですが、決めないまま始めると、たいていは社内の誰かが取り次ぐ形のまま固まってしまいます。

もう1つ、今なら検討できることがあります。よく来る質問のうち、次のようなものは人が受けなくても回せるようになってきました。

• パスワードを忘れた、ロックがかかった
• 社外から社内につながらない
• ExcelやTeamsの、この操作はどうやるのか

これらは手順が決まっていて、答えが毎回ほぼ同じです。社内向けの案内を整えたり、AIに一次回答をさせたりすると、人に聞く前に片づく割合が上がります。外注する量そのものを減らせる、という意味です。ここを機械に寄せると私たちの請求額も下がるので、売り手からはあまり出てこない話かもしれません。なお、外から入る相手が人なのかツールなのかの見分け方はAI顧問の選び方｜人が来るのか、ツールが来るのかに書いています。

ただし、どこまでを機械に寄せられるかは、実際に来ている質問を1か月ぶん見ないと決まりません。会社によって、質問の中身も偏り方もかなり違います。自社がどちらのタイプかを先に見たい場合は、会社の課題診断で当たりを付けられます。

全社の棚卸しを待たなくていい

外注の話は、たいてい「まず業務の棚卸しから」と言われます。正しいのですが、これができないから半年止まっている会社がとても多いです。棚卸しをしようにも、書き出す元になる資料が1枚もなく、手順書は辞めた人のパソコンの中にあって、そのパソコンは倉庫に置かれたままだったりします。

資料がなくても、お金の記録だけは必ず残っています。請求書とカードの明細をさかのぼると、今この会社が何にいくら払っていて、何を使っているかがかなり見えてきます。

紙でもExcelでもいいので、4つの列を作ります。

• サービスや機器の名前
• 月額または年額
• 請求元（どこから来ている請求か）
• 止めたら何が困るか

4列目は空欄のままでかまいません。空欄が多いこと自体が、今の状態を示しています。半分以上が埋まらないなら、社内だけで判断するのはもう難しい段階かもしれません。埋まらない行があることは、相談するときの弱みではありません。むしろ、そこが最初に手を付ける場所だと分かります。

この紙は1時間ほどでできます。全社の業務を洗い出す作業とは別物なので、待つ必要はありません。この4列は請求書から入る最小の形です。ここに「誰が鍵を持っているか」「どこにデータがあるか」まで足して1枚にしていく手順は情報資産管理台帳の作り方にまとめました。人の仕事のほうを整理する順番は業務の棚卸しは1人分から始めるに、担当者に張り付いた仕事のほどき方は属人化は全部直さなくていいに書いています。担当者が辞めると決まってからの日数の数え方は属人化した担当者の退職｜引き継ぎ日数の数え方にまとめています。

出入りの業者は切らなくていい

長く付き合っている業者さんがいる会社は多いです。社長同士が古い知り合いで、何かあれば来てくれる。外注を考えると、あの人たちを切ることになるのか、という話が必ず出ます。

切る必要はないように思います。ただし、同じ機器やサービスを2社が触る形にはしないでください。同じ機器を両方がいじると、止まったときにどちらの作業が原因かで押し付け合いになり、困るのは頼んだ側です。

分け方は、担当する対象で線を引くのが分かりやすいです。たとえば、機器と回線、それから現地に来てもらう作業は今までの業者さん。アカウントやクラウドのサービス、日々の問い合わせの受け口は新しい外注先。こう分ければ、どちらも仕事が残り、責任の境目もはっきりします。

既存の業者さんには、そのまま伝えて問題ありません。減らすのではなく、これまで手が回っていなかった部分を別で見てもらう、という話です。

毎月、手元に何が増えているか

外注がうまくいっているかを、担当者の感じの良さで判断するのは危ないです。感じは良いのに、1年経っても自社に何も残っていない、ということが起こります。

見るのは、毎月の作業のあとに手元で増えているものです。

• アカウントの一覧（誰が何を使えるか）
• 機器と回線の一覧
• やったことの記録と、次に同じことが起きたときの手順
• 各サービスの管理者が、自社の名前で登録されているか

とくに最後の項目が大事で、クラウドサービスの管理者が外注先の名前で作られていると、契約が終わったときに自社の環境に入れなくなります。作業は毎月きちんと回っているのに、引き継げない状態です。これは、社内の一人に仕事が張り付いていた状態が、そのまま外の会社へ移っただけとも言えます。

アカウントの一覧と並んで抜けやすいのが、契約の更新日です。ドメインや証明書は外注先ではなく自社の名義で持っているはずなので、外に出しても手元に残ります。残った分の集め方はひとり情シスのリスク｜ドメイン・証明書の期限切れにまとめました。

逆にこの4つが毎月増えているなら、その外注先は良い相手だと思います。契約書のどこを見るか、辞めるときに何を確認するかはIT顧問を雇う前に決める3つにまとめています。

最後に

情シスのアウトソーシングで外に出せるのは、手を動かす作業までです。誰が指示を出すのかと、漏れたときに誰が責任を負うのかの2つは、契約しても自社に残ります。

裏を返せば、決めるのはこの2つだけです。ここさえ自社の誰かの名前で持てるなら、あとは出してしまってかまいません。業者選びは、そのあとの話です。AIを使った業務の見直しを外に頼む場合も考え方は同じで、費用の桁と頼まない範囲の決め方はAI導入支援の費用と選び方｜中小企業が先に決める範囲に書いています。国の補助金を使う場合は申請の順番も絡むので、そちらはIT導入補助金2026｜デジタル化・AI導入補助金の申請先を見てください。

外注できる項目として脆弱性対応が挙がっていても、いま結んでいる契約に入っているとは限りません。契約書のどこを読むかはVPN脆弱性｜更新済みでも4割、誰が直すのかに書きました。

まずは請求書をさかのぼって、4列の紙を作ってみてください。それが埋まらない段階の会社にこそ、外の人が要るのだと思います。デジタル屋さんでも、その紙を一緒に埋めるところから始めています。今の状態を整理したい場合は会社の課題診断からどうぞ。

この記事で参照した一次情報

• 厚生労働省「労働者派遣事業と請負により行われる事業との区分に関する基準（37号告示）関係疑義応答集」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4 委託先の監督（法第25条関係）