業務委託と委託先の管理（outsourcing / supplier management）
業務を外部に任せること。任せても責任は委託する側に残るので、委託先が決まりを守っているかを確かめる必要がある。
もう少し詳しい説明
任せても責任は残る
業務を外部に任せることを業務委託と呼びます。
| 業務 | 責任 | |
|---|---|---|
| 委託する側 | 任せる | 残る |
| 委託先 | 行う | 契約で定めた範囲で負う |
ここが最も問われるところです。 任せたから確かめなくてよい、という形にはなりません。
確かめることの中身
| 段階 | すること |
|---|---|
| 選ぶとき | 任せられる相手かを確かめる（体制、実績、認証） |
| 契約するとき | 守ってもらうことを文書で定める |
| 行っている間 | 決まりどおりに行われているかを確かめる |
| 終わるとき | 預けたデータが返却または削除されたことを確かめる |
最後の段階が抜けやすいところです。 契約が終わったあとも、委託先にデータが残っていることがあります。
契約で定めること
| 定めること | 中身 |
|---|---|
| 秘密保持 | 知った情報を外に出さない |
| 取り扱う範囲 | どのデータを、何のために使えるか |
| 再委託の扱い | 別の会社に任せてよいか。認める場合の条件 |
| 従業者の管理 | 委託先の中で、誰が触れるか |
| 事故が起きたときの連絡 | いつ、誰に、何を知らせるか |
| 確かめる権利 | 委託する側が、状況を確かめられること（監査の受入れ） |
| 終了時の扱い | データの返却または削除 |
「確かめる権利」を契約に入れておかないと、確かめられません。 後から求めても、応じる義務がない形になります。
再委託
委託先が、さらに別の会社に任せる形です。
| 扱い | 中身 |
|---|---|
| 認めない | 契約で禁じる |
| 事前の承認を条件に認める | どこに任せるかを把握できる |
| 条件なしで認める | どこまで広がっているか分からなくなる |
再委託先でも、委託する側の責任は及びます。 把握できない形にすると、事故が起きたときに経路がたどれません。
何段も重なっている場合があります。 その連なり全体を把握するのが、サプライチェーン攻撃への備えにもなります。
確かめ方
| 方法 | 中身 | 負担 |
|---|---|---|
| 報告を受ける | 委託先が自分で確かめた結果を出してもらう | 軽い |
| 質問書に答えてもらう | 項目を決めて回答を得る | 中くらい |
| 現地で確かめる | 実際に行って見る | 重い |
| 第三者の認証を確かめる | 外部の審査を受けていることで代える | 軽い |
| 第三者の監査の報告書を受け取る | 委託先が受けた監査の結果を使う | 軽い |
すべての委託先に現地で確かめることはできません。 扱うデータの重さで、確かめ方を分ける形になります。
| 扱うデータ | 向く確かめ方 |
|---|---|
| 個人データ、重要な情報 | 現地での確認を含める |
| 影響が小さいもの | 報告や認証の確認 |
任せ方の種類
| 契約の形 | 任せるもの | 指示できるか |
|---|---|---|
| 請負契約 | 仕事の完成 | 作業の進め方を直接指示しない |
| 準委任契約 | 作業そのもの | 完成の責任は負わない |
| 派遣契約 | 労働者の派遣 | 直接指示できる |
請負契約で作業を直接指示すると、形が実態と合わなくなります（契約の種類のページで扱っています）。
監査で見るところ
| 確かめること | 中身 |
|---|---|
| 委託先を選ぶ基準があるか | その場の判断で決めていないか |
| 契約に必要な条項があるか | 秘密保持、再委託、確かめる権利 |
| 確かめた記録があるか | 契約だけで終わっていないか |
| 指摘した点が直されたか | 是正の記録 |
| 再委託先を把握しているか | どこまで広がっているか |
契約書があることと、確かめていることは別です。 契約を結んだ時点で止まっている場合が、指摘される形になります。
試験ではこう出る
科目A（旧・午前）では、責任が残ることが問われます。任せても確かめる責任は残る、という部分が答えの軸です。
再委託の扱いも出ます。委託する側の責任が再委託先にも及ぶ、という部分です。
午後や応用情報（システム監査、セキュリティ）では、確かめる手立てを書かせる形で出ます。
| 問われ方 | 答えの向き |
|---|---|
| 委託先に対して何を確かめるか | 決まりどおり行われているか（記録で） |
| 契約に何を定めるか | 秘密保持、再委託の扱い、確かめる権利 |
| 何が不足しているか | 契約だけで、確かめた記録が無い |
関連する用語
- サプライチェーン攻撃
- 取引先を経由して狙う攻撃。委託先の管理と結び付く
- 契約の種類（請負契約・準委任契約・派遣契約）
- 任せ方の違い。指示できる範囲が変わる
- 管理策と代替の管理策
- 委託先に求める手立て
- 個人情報保護法
- 個人データを委託するときの決まり
- システム監査
- 委託先の状況を確かめる活動
ミニクイズ
個人データを含む業務を外部に委託した場合の、委託する側の責任に関する記述のうち、最も適切なものはどれか。
正解は 4番：委託したあとも、委託先が適切に取り扱っているかを確かめる責任が残る
業務を外部に任せても、委託する側の責任はなくなりません。委託先が適切に取り扱っているかを確かめる責任が残ります。契約書に条項を入れることは必要な手立ての1つですが、それだけで確認が不要になるわけではありません。再委託された場合も、委託する側は再委託先の取扱いまで把握しておく必要があります。そのため、再委託を認めるかどうかを契約で定める形が取られます。
この分野をまとめて解く → 法務とシステム監査のミニテスト（全24問）
最終更新：2026-11-09