ISMSの委託先評価｜初めての担当者向けに確認項目と進め方を紹介
外部の会社へ仕事を頼むとき、料金や納期は確認していても、渡した名簿や資料がその後どう扱われるかまでは分からないことがあります。ISMSの委託先評価では、預ける情報の扱いを確かめ、安心して仕事を任せられるかを社内で判断します。 例えば案内の発送を頼むなら、名簿を使う人、保管方法、発送後の削除、困ったときの連絡先が確認の対象です。相手の回答を集めるだけでなく、不明な点を解消し、依頼を判断した記録も残します。 この記事では、初めての担当者向けに、委託先への質問、回答が曖昧なときの聞き方、記録の例、依頼後の見直しを紹介します。
この記事でわかること
- 委託先へ質問する前に、任せる仕事と渡す情報を整理する
- 相手には情報の扱いと連絡先を、具体的な質問で確かめる
- 回答と未確認の点を残し、分からないことを社内へ相談する
- 依頼中の変更や、仕事が終わるときの資料の扱いも確認する
委託先評価とは、預ける情報を安心して任せられるか確かめること
委託先評価は、外部の会社やサービスに仕事を頼む前に、預ける情報の扱いを確かめ、依頼してよいかを判断することです。ISMSは会社で情報の守り方を決め、見直していく仕組みで、外部へ預ける情報もその対象になります。
例えば、案内状の宛名印刷を頼むときは、相手へ名簿を渡します。料金や仕上がりだけでなく、名簿を誰が使い、どこに保管し、印刷後にどうするかが分かっていれば、情報の扱いも含めて依頼を判断できます。
初めて担当する場合は、社内にある委託先一覧や確認票を使うと、過去に何を聞いたかが分かります。前任者や情報管理の担当者に、相談先と最終的に依頼を決める責任者も聞いておくと、回答を集めた後に迷わず進められます。
イソログに寄せられたリアルな声
以下は編集部が作成した相談例です。
VOICES
イソログに寄せられたリアルな声
ISO取得を検討する担当者の悩みや気づきを、横にスライドして確認できます。
取引先名だけの一覧に、何を書き足せばよいですか
広告制作業／16人
イソログ相談例
前の担当者から取引先名を引き継ぎましたが、どの会社に何の情報を渡しているかは分かりません。
仕事を依頼している部署に、任せている仕事と渡す資料を聞いて書き足します。「A社に案内の発送を依頼し、参加者名簿を渡している」と分かれば、誰に何を確認するかを考えられます。
長く付き合っている会社にも、改めて聞くのでしょうか
卸売業／24人
イソログ相談例
宛名の印刷を毎年同じ会社へ頼んでいます。担当者が替わり、名簿を使い終えた後の扱いを誰も説明できませんでした。
今の窓口へ、誰が名簿を使い、仕事の後にどうするかを聞きます。以前の回答が残っていれば、変更の有無を確かめる形でも進められます。長い取引でも、現在の扱いが分からない点は確認して記録します。
「対応しています」という返事だけでは、よく分かりません
研修サービス業／12人
イソログ相談例
資料の保管について聞いたところ、対応済みという返事でした。実際の扱いが分からず、記録に何を書くか迷っています。
「資料を見られるのはどの担当者ですか」のように、知りたいことを一つに絞って聞き直します。説明資料や案内ページも教えてもらい、確認できた内容と、まだ回答がない点を分けて残します。
個別の質問票に回答してもらえない場合は、どうしますか
小売業／29人
イソログ相談例
店舗でファイルを保管するサービスを使いたいのですが、個別の質問票には回答できないと案内されました。
利用案内や情報の扱いを説明したページで、保管・利用・終了時の扱いを確認します。説明が見つからない点は窓口へ質問し、それでも分からない点を社内の情報管理担当へ伝えて、利用前に判断してもらいます。
納品は終わりましたが、預けた資料はどうなるのでしょうか
製造業／38人
イソログ相談例
外部へ頼んだ作業が終わりました。資料を返してもらうのか、相手が処分するのかは決まっていません。
依頼時の約束を見直し、返却や削除の方法・予定を窓口と決め、終わった連絡まで受け取ります。次の依頼では、終了時の扱いを先に決めておくと、納品後に改めて相談する手間を減らせます。
相手に聞く前に、任せる仕事と渡す情報を整理する
相手の会社名だけでは、どんな質問が必要かは決まりません。「何の仕事を頼み、どの情報を渡すか」が分かると、確認したい内容が具体的になります。注文書や請求書で分からない部分は、実際に依頼している部署の担当者に聞きます。
例えば、次のように仕事と情報を組み合わせて書き出せます。資料の洗い出し方は、会社の情報を書き出す手順と例でも紹介しています。
| 任せる仕事 | 渡す情報の例 | 社内で聞く相手の例 |
|---|---|---|
| 名刺の印刷 | 社員の氏名、部署、仕事用の連絡先 | 総務の発注担当 |
| 研修案内の発送 | 参加者の氏名と送付先 | 研修の運営担当 |
| 社内資料をネット上に保管 | 会議資料、社内向けのお知らせ | サービスを使う部署の担当 |
発送に使う名簿に、社内用のメモが一緒に入っていることもあります。送付先には不要なメモなら、渡す情報から外せます。担当部署と中身を見て、今回の仕事に必要な項目だけを渡せる形に整えます。
すでに使っているネット上の保管サービスも、会社の情報を預けているなら一覧に加えます。まず一つの部署で調べ、他に依頼先があるかも聞くと、社内で確認する範囲を広げられます。
委託先に聞きたい、情報の扱いと連絡先
委託先には、頼む仕事と渡す情報を伝えたうえで、その情報をどう扱うか聞きます。「情報管理はできていますか」という広い質問より、「今回渡す名簿は、誰が使いますか」のほうが、具体的な回答を受け取りやすくなります。
社内の確認票があれば、情報管理の担当者と今回の仕事に関係する項目を選びます。案内の発送を頼む場合は、次のような質問が考えられます。
| 聞きたいこと | 質問の例 |
|---|---|
| 情報を見る人 | 渡した名簿は、どの担当の方が使いますか |
| 保管と利用 | 名簿はどこで保管し、今回の発送にどう使いますか |
| ほかの会社への依頼 | 今回の仕事や名簿の扱いを、ほかの会社にも任せますか |
| 困ったときの窓口 | 資料の紛失などが起きた場合、どなたから当社の誰へ連絡しますか |
| 仕事が終わった後 | 名簿はいつ返却・削除しますか。終わったことをどう知らせてもらえますか |
「適切に管理しています」だけでは分からない場合は、「名簿を見るのは発送担当の方だけですか」と、場面を絞って聞き直します。説明資料や案内ページも受け取り、何を読んで確認したかを残します。
ネット上のサービスでは、個別の質問票に回答してもらえないこともあります。その場合は、公開された利用案内や説明資料で確認し、足りない点を問い合わせ窓口へ聞きます。回答の形式が違っても、預ける情報の扱いが分かるかどうかを見ます。
回答を集めても、不明な点が残る場合はあります。分かったことと分からなかったことを分け、情報を渡す前に社内の責任者へ共有すると、追加で聞くことや依頼条件を判断できます。
回答だけでなく、依頼の判断と残る確認も記録する
確認の記録には、相手の回答と、社内で依頼をどう判断したかを残します。回答が届いた日だけでは、何が解決し、何がまだ分からないかを次の担当者が読み取れません。
次は、研修サービス会社が案内の発送を頼む架空例です。会社名・人名・日付は説明用の仮設定です。まだ回答を待っている質問と、その後に確認する人も記入しています。
| 項目 | 記入例 |
|---|---|
| 相手と依頼内容 | A社へ研修案内の印刷・発送を依頼予定 |
| 渡す情報 | 参加者の氏名と送付先。社内用メモは渡さない |
| 確認した日・相手・資料 | 6月3日、A社の窓口へメールで質問。回答と資料の取扱案内を受領 |
| 分かったこと | 名簿は発送担当が使い、今回の発送終了後に削除するとの回答 |
| まだ聞くこと | 削除後、当社へどのように知らせてもらえるかを追加で質問する |
| 次の行動と担当 | 総務の佐藤が返事を確かめ、情報管理担当へ共有。責任者が確認してから依頼する |
追加の返事が来たら、「6月5日、削除後はメールで知らせると回答。責任者が内容を確認し、依頼を了承」のように追記します。回答メールや資料の保存場所も添えると、後から説明の内容を確かめられます。
相手が回答した内容と、社内で決めた内容は書き分けます。確認票を読めば、誰が次に何をするかまで分かる形にしておくと、担当者が替わっても続きから進められます。保存方法は、ISMSの文書・記録管理の基本も参考になります。
依頼内容が変わったときと、仕事が終わるときの確認
一度確認していても、依頼する仕事が変われば、預ける情報も変わることがあります。例えば印刷だけだった依頼に発送を加えるなら、新しく宛名情報を渡すことになります。追加の仕事を始める前に、その情報の使い方と終了後の扱いを確認します。
社内で決めた定期的な見直しに加え、渡す資料が増える、仕事の一部を別の会社へ任せる、連絡窓口が替わるといった場面も、確認のきっかけになります。前回の記録を見ながら変わる点を聞き、社内の担当者や責任者へ共有します。
仕事やサービスの利用が終わるときは、資料の返却・削除・処分が、依頼時の約束どおりに済んだかを確認します。「削除する予定」という連絡だけで完了にせず、実施した結果も受け取って記録に残します。
IPAが公開した製造業V社の実践例では、社内の関係部署を通じて委託先を調べ、相手への質問で分かった課題を経営者に報告し、会社として対応を検討しています。質問への回答を集めるだけで終えず、社内で判断する人へつなぐ点は、確認手順を考える参考になります。
ISMSの委託先評価のよくある質問
すべての委託先に、同じ質問を送る必要がある？
いいえ、任せる仕事と渡す情報に合わせて、必要な質問を選びます。名刺の印刷と社内資料の保管では、確認したい内容が違います。社内の確認票をもとに、今回の依頼に関係する項目を情報管理の担当者と選びます。
質問票に回答してもらえない場合は、どうする？
公開されている利用案内や説明資料で確認し、足りない点を問い合わせ窓口へ聞きます。それでも情報の扱いが分からない場合は、不明な点を社内の責任者へ伝え、情報を渡す前に依頼してよいか判断してもらいます。
ISMS認証がある会社なら、そのまま依頼してよい？
認証があるという理由だけで、確認を省くことはできません。今回の仕事で渡す資料をどう扱うか、困ったときに誰へ連絡するかなど、自社に必要な内容も確認します。認証の情報は判断材料の一つとして使い、社内の手順で依頼を決めます。
一度確認した委託先は、いつ見直す？
社内で決めた定期的な時期と、任せる仕事・渡す情報・窓口などが変わるときに見直します。例えば印刷に発送を追加するなら、新しく渡す宛名情報の扱いを、依頼前に確認します。
委託先の確認を含め、ISMSの運用を相談する
委託先評価は、任せる仕事と渡す情報を整理すると、相手に聞きたいことが具体的になります。情報の扱いと連絡先を聞き、回答と不明な点を社内で共有して、依頼を判断します。依頼中の変更や終了後の扱いまで記録すると、次回の確認にも使えます。
ISOトラストは、ISO27001（ISMS）の取得から取得後の運用まで支援しています。委託先を確認する手順や社内の役割分担に迷う場合は、現在の確認票と困っている場面を伝え、どのような支援を受けられるか相談できます。
