BPOセキュリティとは？情報漏えいリスクと委託先の選び方・契約・監督を解説

BPOセキュリティとは、業務を外部のBPO事業者に任せるときに、委託先で扱われる個人情報や機密情報が漏えいしないよう、委託元と委託先の双方が講じる対策のことです。委託先の対策に頼り切るのではなく、委託元が委託先の選定、契約、委託後の確認までを担う点が特徴で、個人情報保護法も委託元に必要かつ適切な監督を求めています。委託先からの漏えいは実際に起きており、個人情報保護委員会は2025年3月、通知書の印刷・発送を受託していた事業者に対し、約308万人分の個人データの漏えいを受けて指導を行いました。この記事では、BPOで想定される情報漏えいのリスクと実際の事案、委託元の法的な責任と漏えい時の報告、委託先の選び方と認証の見方、契約書に盛り込む条項、委託後の監督の進め方までを順に整理します。

目次

開く

閉じる

1. BPOセキュリティとは｜委託先に渡した情報を守る仕組みと、想定される3つのリスク
2. 実際に起きた委託先からの情報漏えい｜個人情報保護委員会が指導したイセトー事案
3. 委託元に求められる監督と漏えい時の報告｜個人情報保護法第25条・第26条
4. 委託先選定で確認する4つのポイントと、認証・報告書の見方
5. セキュリティ対策を契約に落とし込む｜条項とリスク区分
6. BPOセキュリティでよくある失敗パターンと対策
7. 委託後の監督の進め方｜年間サイクル・指標・委託先台帳
8. 契約の更新・終了時に見直すこと｜データの返却・消去と委託先の変更
9. よくある質問(FAQ)
10. まとめ｜BPOセキュリティで押さえたい5つのこと
11. 参考文献

BPOセキュリティとは｜委託先に渡した情報を守る仕組みと、想定される3つのリスク

BPOセキュリティとは、業務を委託する際に、委託先で扱われる個人情報や機密情報を漏えい・改ざん・紛失から守るために、委託元と委託先の双方が講じる対策です。

対策の主体は委託先だけではありません。委託元が委託先を選び、契約で安全管理のルールを決め、委託後も運用状況を確かめるという一連の監督までが含まれます。BPOでは、経理や給与計算、コールセンターのように、顧客や従業員の個人情報、取引先との機密情報を日常的に扱う業務を任せることが多く、委託先の管理が甘いと、委託元の信用や法令対応に直接影響します。

委託先から情報が漏れる経路は、サイバー攻撃、ヒューマンエラー、内部不正の3つに分けられます(後述)。どの経路でも、委託先に守ってほしい安全管理のルール(情報の保管場所、再委託の条件、事故時の報告期限、契約終了時のデータ消去など)は、契約書や別紙の覚書に書いて初めて、守ってもらう根拠になります。一方、委託先との契約書には、取引条件や取り扱う情報の範囲などが含まれるため、契約書そのものも機密情報です。紙やファイルサーバーで管理していると、誰がいつ閲覧したか、どれが最新版かを追いにくくなります。

そこで、契約の締結と保管を電子契約サービスで行い、閲覧できる人の絞り込みや操作の記録を使う方法があります。委託先との契約書の管理に使えるサービスの役割の違いを、次の表で整理しました。優劣ではなく、自社の状況に合うものを選ぶための比較です。

表の内容は、各サービスの商品ページ(2026年10月16日確認)に掲載されている情報をもとにしています。料金はプランによって異なるため、資料や公式サイトで確認してください。

委託先ごとに契約書の閲覧範囲を分け、誰がいつ何をしたかも残したい場合の一例が、電子印鑑GMOサイン(運営会社はGMOグローバルサイン・ホールディングス株式会社)です。商品ページでは、メール認証の立会人型と電子証明書の当事者型の両方に対応していること、文書やフォルダごとに閲覧制限をかけ、ユーザーごとに操作の権限を設定できること、いつ・どの文書に・どんな処理を行ったかを記録する操作ログ管理機能があること、標準搭載のワンタイムパスワードによる二要素認証が紹介されています。注意点として、機能やオプションが豊富な分、すべてを使う場合はオプション料金が高額になることがあるため、必要な機能を絞って確認してください。対応するプランやオプションは資料で確認でき、料金はプランによって異なるため、詳しくは資料や公式サイトで確認してください。

契約件数や取引先の情報が可視化されるようになったことで、法務を統括するホールディングスカンパニーとして、契約管理の精度と効率が大きく向上しました。

日建レンタコム株式会社 出典：電子印鑑GMOサイン導入事例

BPOで想定される3つの情報漏えいリスク

契約書の話の前提になる、委託先からの情報漏えいのリスクを整理します。原因で分けると次の3つで、どれも委託元が事前に確認できる項目があります。

リスク	起こり方	委託元が事前に確認すること
サイバー攻撃	委託先のVPN機器やサーバーが不正アクセスを受け、データがランサムウェアで暗号化されたり、窃取されたりする	ソフトウェアや機器のアップデート方針、アクセス制御、ログの取得と保存
ヒューマンエラー	メールの誤送信、書類や記録媒体の置き忘れ、設定ミス。大量の定型業務を扱うため、1回のミスの影響が広がりやすい	データの受け渡し方法(暗号化の有無)、作業場所のルール、教育の実施記録
内部不正	権限のある従業員による、顧客データの不正な持ち出し	アクセス権限の範囲、操作ログの取得、持ち込み・持ち出しの制限

IPAが公表する「情報セキュリティ10大脅威 2026」の組織向けでは、「サプライチェーンや委託先を狙った攻撃」が2位に挙げられています(2019年に初めて選ばれ、8年連続8回目)。自社の対策が十分でも、委託先が侵入口になる場合があるということです(IPA「情報セキュリティ10大脅威 2026」)。

「セキュリティBPO」との違い

検索結果では、似た言葉の「セキュリティBPO」も表示されます。意味が異なるため、整理しておきます。

言葉	意味	本記事での扱い
BPOセキュリティ	業務を委託する際に、委託先に渡した情報を守るための対策と、委託元による委託先の監督	本記事の中心テーマ
セキュリティBPO	不審な通信の監視や脆弱性の診断など、セキュリティの運用そのものを外部の専門事業者に任せること	別のテーマ。依頼する場合も、任せる範囲と責任の分担を契約で確認する点は共通

実際に起きた委託先からの情報漏えい｜個人情報保護委員会が指導したイセトー事案

2024年5月、通知書の印刷・発送を受託していた会社のサーバーが不正アクセスを受け、約308万人分の個人データが漏えいし、個人情報保護委員会が指導を行いました。

個人情報保護委員会の公表資料(2025年3月19日)によると、この事案は、株式会社イセトーが金融機関や地方公共団体などの取引先から委託を受けて通知書の印刷・発送を行っていたところ、同社のサーバーが第三者から不正アクセスを受け、個人データを含む電子ファイルがランサムウェアにより暗号化されたうえ、窃取されたファイルがダークウェブ上に公開されたというものです。同委員会は同日、個人情報保護法第147条に基づく指導を行いました。

漏えいした個人データの本人数は、委託を受けて取り扱っていたデータだけで合計3,076,477人(民間事業者の委託分2,509,886人、行政機関等の委託分566,561人)で、うち要配慮個人情報が含まれる本人数は13,150人でした。影響を受けた委託元は41団体(民間事業者32団体、行政機関等9団体)で、再委託元を含めると約100団体に及んでいます。

公表資料に示された主な事実と、そこから委託元が自社の委託先について確認できることを整理しました。

公表資料に示された事実	委託元が自社の委託先で確認できること
個人データは業務系ネットワークでのみ保管するという社内ルールがあったが、委託元との契約書等には記載がなく、規程にも明文化されていなかった	個人データの保管場所や取扱いのルールを、契約書や仕様書に書き、委託先から文書で示してもらう
全56部署のうち3部署が保管ルールを守らず、個人データを基幹系のネットワーク上のサーバーにコピーして業務を行っていた	ルールどおりに運用されているかを、報告や監査、チェックシートで定期的に確かめる
不正アクセスの侵入経路となったVPN機器は2021年4月以降アップデートされておらず、必要なログも十分に取得されていなかった	アップデートの方針と、ログの取得・保存期間を、選定時のチェックシートで確認する
不正利用された管理者アカウントは、2017年2月から同じパスワードを使い続けていた	管理者権限のパスワード管理や多要素認証の導入状況を確認する
定期的な監査や点検が十分に行われず、不適切な取扱いを長期間にわたり発見・是正できなかった	委託先任せにせず、委託元も取扱状況の報告を受け、監査できる権利を契約に入れる

この事案で個人情報保護委員会が指導の対象としたのは委託先のイセトーであり、本記事は特定の企業を評価するものではありません。ただ、公表資料は、保管ルールが守られていれば漏えいは発生していなかったであろうと指摘し、取扱状況を把握する体制が整っていなかったことで影響が拡大した、としています。委託先の内部ルールが契約に書かれていなかったことや、ルールの遵守状況を確かめる仕組みが弱かったことは、どの委託先でも起こりうる点です。次の章以降で、委託元が行う選定、契約、監督の進め方を整理します(個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について」)。

委託元に求められる監督と漏えい時の報告｜個人情報保護法第25条・第26条

個人情報保護法第25条は、個人データの取扱いを委託する場合に、委託先への必要かつ適切な監督を委託元に求めています。委託先に任せきりにはできません。

個人情報保護委員会のガイドライン(通則編)は、委託する個人データの内容や、漏えい等が起きた場合に本人が被る権利利益の侵害の大きさ、委託する事業の規模・性質などに起因するリスクに応じて、次の3つの措置を講じるよう示しています。あわせて、委託する業務に必要のない個人データは提供しないことが当然とされています(個人情報保護委員会「ガイドライン(通則編)」)。

1. 適切な委託先の選定：委託先の安全管理措置が、少なくとも委託元に求められるものと同等であることを、あらかじめ確認する。
2. 委託契約の締結：安全管理措置の内容に加え、委託先での取扱状況を委託元が合理的に把握できることを、契約に盛り込むことが望ましい。
3. 委託先における取扱状況の把握：定期的な監査などで、契約で定めた内容の実施の程度を調べ、委託内容の見直しの検討を含めて評価することが望ましい。

委託先が再委託を行おうとする場合も、委託元が再委託の相手方、業務内容、取扱方法などについて事前報告を受けるか承認を行い、必要に応じて定期的な監査を実施することが望ましいとされています。再委託先がさらに再委託を行う場合も同様です。

ガイドラインが「必要かつ適切な監督を行っていない事例」として挙げる4つ

• 個人データの安全管理措置の状況を、契約締結時やそれ以後も把握せずに委託した結果、委託先が漏えいした場合
• 必要な安全管理措置の内容を委託先に指示しなかった結果、委託先が漏えいした場合
• 再委託の条件に関する指示を行わず、委託先の取扱状況の確認も怠った結果、再委託先が漏えいした場合
• 契約に再委託の実施状況を把握することが盛り込まれているのに、報告を求めるなどの措置を行わず、委託元が知らない再委託が行われて再委託先が漏えいした場合

BPOの現場では、この4つがそのまま起こりやすい場面です。選定時の確認、契約への明記、報告の受領、再委託の管理のどれかが抜けると、監督を果たしていない状態になりえます。

委託先で漏えいが起きたときに、委託元が受ける影響

委託先で起きた漏えいでも、委託元は次のような影響を受けます。前述のイセトー事案でも、影響を受けた委託元は41団体、再委託元を含めると約100団体に及びました。

• 本人や取引先への対応：漏えいの対象になった本人への通知や、問い合わせ・お詫びへの対応が必要になる場合があり、顧客や取引先からの信頼にも影響する。
• 調査と再発防止の負担：委託先と協力して、漏えいした情報の範囲の特定、原因の調査、再発防止策の確認を行う。
• 法令上の対応：個人情報保護委員会への報告や本人への通知に加え、同委員会は、必要な指導・助言(法第147条)や、規定に違反し個人の権利利益を保護するため必要があると認めるときの勧告・命令(法第148条)を行うことができる。

漏えいが起きたときの報告義務

同法第26条は、個人の権利利益を害するおそれが大きい漏えい等が生じたときに、個人情報保護委員会への報告と本人への通知を求めています。他の事業者から個人データの取扱いの委託を受けた事業者が、委託元へ規則で定める通知をした場合は、委託先の報告義務が免除されます。委託先が委託元に早く連絡しなければ、委託元は期限内の報告が難しくなるため、委託先から委託元への連絡の期限と内容を契約で決めておくことが重要です。

個人情報保護委員会が示している、報告が義務付けられる主な場合は次のとおりです(個人情報保護委員会「漏えい等の対応とお役立ち資料」)。

報告が必要な場合	個人情報保護委員会が示す例
要配慮個人情報が含まれる個人データの漏えい等(またはそのおそれ)	従業員の健康診断等の結果を含む個人データが漏えいした場合
不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等	ECサイトからクレジットカード番号を含む個人データが漏えいした場合
不正の目的をもって行われたおそれがある行為による漏えい等	不正アクセスによる漏えい、ランサムウェアによる暗号化、従業者による不正な持ち出し
本人の数が1,000人を超える漏えい等(またはそのおそれ)	システムの設定ミスで、1,000人を超える個人データがインターネット上で閲覧できる状態になった場合

報告の期限について、同委員会のページでは、まず速報を発覚日から3-5日以内に、次に確報を発覚日から30日以内に行うこととされています。不正の目的をもって行われたおそれがある場合の確報は、発覚日から60日以内です。3-5日という短い期間で委託元が動くには、委託先からの連絡を受ける窓口と、連絡を受けた後の社内の判断の流れを、あらかじめ決めておく必要があります。

※本記事は一般的な情報提供を目的としたものであり、法的助言ではありません。個別の契約や事案が個人情報保護法に適合するかどうかは、個人情報保護委員会の最新のガイドラインを確認し、必要に応じて弁護士などの専門家にご相談ください。

委託先ごと・契約ごとに、取扱状況を把握できる条項、再委託の条件、報告の期限を確認できなければ、ここまでの監督は回りません。紙や電子に散らばった契約書を、契約先ごとにまとめて確認できる状態にしたい場合には、契約書をデータ化して管理するサービスも選択肢になります。

委託先選定で確認する4つのポイントと、認証・報告書の見方

委託先の選定では、方針と体制、物理的な対策、技術的な対策、事故対応と再委託の管理の4点を、同じ質問で複数の候補に確認します。認証の有無は入口にすぎません。

委託先に渡す情報の種類を棚卸しする

委託先の選定に入る前に、委託する業務で、どんな情報を、どこまで渡すのかを整理します。渡す情報の種類によって、漏えいしたときの影響や、確認すべき水準が変わるためです。

情報の種類	例	委託元が注意すること
一般の個人情報	氏名、住所、連絡先	業務に必要な項目と範囲に絞って渡す
要配慮個人情報	健康診断の結果、診療・調剤情報	漏えいすると、人数にかかわらず報告の対象になる。渡す必要があるかを再確認し、アクセスできる人を最小限にする
財産的被害のおそれがある情報	クレジットカード番号、送金・決済機能のあるサービスのログインIDとパスワードの組み合わせ	漏えいすると、人数にかかわらず報告の対象になる。保管場所と受け渡し方法を契約で決める
取引先の機密情報	契約書、価格表、設計や企画の資料	秘密保持契約と安全管理措置の両方で守り、再委託の可否と範囲を決める

プライバシーマーク・ISMS・SOC2報告書の違い

委託先の体制を外から確かめる手がかりとして、第三者による認証や報告書があります。ただし、対象や意味が異なるため、違いを理解したうえで確認することが大切です。

名称	対象	確認するときのポイント
プライバシーマーク	個人情報の取扱い体制。付与は法人単位で、有効期間は2年間(JIPDEC)	有効期間内か、更新が続いているかを確認する
ISMS認証(ISO/IEC 27001、JIS Q 27001)	情報セキュリティのマネジメントの仕組み。組織が定めた範囲(拠点・部門・業務)を対象に認証される	委託する業務の拠点・部門が認証の範囲に含まれているかを、認証書や、組織名・部門名・登録範囲で検索できるISMS-ACの認証取得組織検索で確認する
ISMSクラウドセキュリティ認証(ISO/IEC 27017)	ISMS認証に加えて、クラウドサービス固有の管理策が実施されていることを認証するもの(ISMS-AC)	委託先がクラウド上で業務を行う場合に、追加で確認すると役立つ
SOC2報告書	受託業務に関する内部統制を、監査人が評価した報告書	認証ではなく報告書。対象期間と指摘事項の有無まで読む

これらはいずれも「一定の仕組みがある」ことを示す目安で、個々の業務で事故が起きないことを保証するものではありません。認証の有無は選定の入口と考え、委託する業務そのものの運用をあわせて確認する姿勢が欠かせません(JIPDEC「プライバシーマーク制度」、ISMS-AC「ISMS適合性評価制度」)。

4つの観点と、候補に聞く質問の例

前章のイセトー事案で指摘された点も踏まえ、確認する観点を次の表にまとめました。事前にチェックシートにして、複数の候補に同じ質問を投げて比べると判断しやすくなります。委託先に渡す情報は、委託する業務に必要な範囲に絞ることも前提です。

確認の観点	確認すること	候補に聞く質問の例
方針と体制	情報セキュリティ方針、責任者、従業員教育。認証の範囲と有効期限。取扱いルールが文書になっているか	認証の範囲に今回の業務を行う拠点は含まれますか。個人データの保管場所のルールは規程に明文化されていますか。
物理的対策	入退室管理、監視カメラ、私物や記録媒体の持ち込み制限、書類の保管・廃棄の方法	作業エリアへの私物の持ち込みはどう制限していますか。書類はどの方法で廃棄しますか。
技術的対策	データの受け渡し方法の暗号化、アクセス制御、多要素認証、操作ログの取得と保存期間、アップデートの方針、管理者権限のパスワード管理	当社のデータは他社と分離された環境で扱いますか。VPN機器やサーバーのアップデートはどのくらいの頻度で行っていますか。
事故対応と再委託	事故時の連絡手順と第一報までの目安時間、原因調査・復旧の手順、再委託の有無と管理方法、バックアップ	事故発生から当社への第一報までの目安時間は決まっていますか。再委託先はどこで、どう管理していますか。

可能であれば、作業場所の見学や、チェックシートの回答に対する証跡(教育の実施記録、内部監査の結果など)の提出を依頼し、説明と実態が一致しているかを確かめましょう。在宅で業務を行う委託先の場合は、自宅での作業ルールの確認が加わります(詳しくは、bpo 在宅とは？在宅BPOで任せられる業務と運用設計、セキュリティ対策を解説で整理しています)。委託先がSaaSなどのクラウドサービスを使って業務を行う場合は、利用者と提供者の責任範囲を、SaaSセキュリティとは｜利用者の責任範囲とリスク・対策の基本で確認できます。

セキュリティ対策を契約に落とし込む｜条項とリスク区分

選定時に確認した安全管理の内容は、委託契約書か別紙の覚書に書いて初めて、委託先に守ってもらう根拠になります。

秘密保持契約(NDA)だけでは、情報を漏らさない義務は定められても、具体的な管理方法や監査の権利、事故時の対応までは決まっていないことが多くあります。個人情報保護委員会も、一般的な業務委託契約にはセキュリティに関する項目が含まれていないことが多いため、確認のうえで盛り込む必要があるとしています(個人情報保護委員会「適切な委託先の選定 委託先を監督してますか？」)。契約全般の進め方や主要条文は、BPO契約とは｜業務委託の進め方・主要条文・委託先監督まで実務ガイドで解説しています。ここでは、セキュリティに関する条項に絞って整理します。

条項	定めておく内容の例
安全管理措置・取扱いルール	アクセス制御、暗号化、作業場所の管理などの対策を守る義務。個人データの保管場所や持ち出し禁止など、委託先の内部ルールを契約書または別紙で示すこと
目的外利用の禁止	委託業務以外の目的でデータを使わないこと、複製の制限
再委託	再委託は委託元の事前承認を必要とすること、再委託先にも同等の義務を課すこと、再委託先の一覧の定期提出
監査・報告	委託元が監査や立ち入り確認、資料提出を求められること、定期報告の頻度
事故時の対応	事故発覚から委託元への報告期限、報告内容、調査・再発防止への協力義務
契約終了時の扱い	データの返却または消去の方法、消去したことを示す証明書の提出
損害賠償・責任分担	事故が起きた場合の費用負担や責任の範囲

委託する業務のリスクに応じて条項の強さを変える

すべての委託先に同じ厳しさの条項を求めると、交渉が進まなかったり、管理する側の負担が大きくなりすぎたりします。ガイドラインも、リスクに応じた措置を求めています。そこで、委託する業務で扱う情報の重要度と量に応じて、委託先をいくつかの段階に分ける考え方が有効です。

リスク区分	業務の例	監督の目安
高	給与計算、コールセンター、個人情報を含むデータ入力、通知書の印刷・発送	立ち入りを含む定期監査、短い事故報告期限、再委託の原則禁止
中	経理の記帳代行、社内システムの保守	年1回のチェックシート回答と証跡の提出、再委託は事前承認制
低	個人情報をほとんど含まない資料作成や調査	契約時の確認と更新時の自己点検報告

区分ごとに条項のひな形を用意しておくと、契約交渉のたびに一から考えずに済みます。条項を決めたら、法務、事業部門、委託先との間で承認と締結を進めます。このとき、契約書を閲覧・ダウンロードできる人を絞り、アクセスの記録を残せるかも安全対策の一部です。契約書案の承認から締結までをオンラインで行い、アクセスできる人も絞りたい場合の一例が、freeeサイン(運営会社はfreeeサイン株式会社)です。商品ページでは、弁護士監修の電子契約サービスであること、IPアドレス制限や二要素認証でアクセスできるユーザーを制限できること、ファイルや通信が暗号化されていること、サーバーが外部によるセキュリティ診断を受けていることが紹介されています。注意点として、ワークフローや権限管理を使えるプランは限られるため、必要な機能がどのプランで使えるかを資料で確認してください。料金はプランによって異なるため、詳しくは資料や公式サイトで確認してください。

freeeサインで契約締結の90%を電子化することに成功

弘栄設備工業株式会社(導入事例の見出し) 出典：freeeサイン導入事例一覧

BPOセキュリティでよくある失敗パターンと対策

BPOセキュリティの失敗は、委託先の悪意よりも、委託元の確認不足や、契約と現場の運用のずれから生まれます。よくあるパターンを整理しました。

失敗パターン	起こりやすい問題	対策
認証があるだけで安心してしまう	委託した業務の拠点が認証範囲外のまま、実際の運用が確認されない	認証の範囲を確認し、業務単位の運用をチェックシートや見学で確かめる
NDAだけで契約を済ませる	監査の権利や事故時の報告期限がなく、事故の発覚が遅れる	安全管理措置、監査、事故対応、契約終了時の扱いを業務委託契約に明記する
委託先内部のルールを契約に書かない	ルールが明文化されておらず、現場で守られていなくても委託元が気づけない	保管場所や持ち出し禁止などのルールを文書で示してもらい、遵守状況の報告を受ける
再委託を把握していない	知らない会社にデータが渡り、そこから漏えいする	再委託は事前承認制にし、再委託先の一覧を定期的に提出してもらう
契約したら見直さない	数年前の条項のまま、新しいクラウドサービスの利用や在宅勤務がルール外で行われる	更新時期を管理し、業務内容の変化にあわせて条項を見直す
契約終了時のデータを放置する	取引終了後も委託先にデータが残り、後から漏えいする	返却・消去の方法を契約で決め、消去証明書を受け取って保管する
委託元側の受け渡しが甘い	自社からの送付時に暗号化せずメールで送ってしまう	受け渡し方法を双方で決め、委託元の社内ルールにも反映する

特に見落とされやすいのが、契約終了時と委託元側の受け渡しです。BPOセキュリティというと委託先の対策ばかりに目が向きがちですが、データを送る側の自社の運用や、取引が終わった後のデータの行方も、監督の範囲に含めて考える必要があります。

もう1つ、委託先が増えるほど起こりやすいのが、「どの委託先と、どの安全管理条項で契約したのか」を後から追えなくなることです。紙の契約書や、取引先ごとに別の電子契約サービスで締結した契約書が混在していると、監査の前に契約書を探すだけで時間がかかります。紙や他社サービスで締結した契約書も含めて一か所にまとめて確認したい場合の一例が、マネーフォワード クラウド契約(運営会社は株式会社マネーフォワード)です。商品ページでは、契約書の作成から申請・承認、締結、保存、管理までひとつで完結できること、紙の契約書や他社の電子契約サービスで締結した契約書も取り込んで一元管理できること、契約書の送信料・保管料の追加課金がないことが紹介されています。注意点として、ハンコの印影にもう少し工夫の余地があるという声があります。料金はプランによって異なるため、詳しくは資料や公式サイトで確認してください。

営業活動においては見積書を出して、その後に注文書、そして最後に請求書と複数の書類が存在するため、それらをクラウド上で一元管理できるのは、非常に便利だなと感じています。

株式会社ワンオールシステム(IT・メディア、11-50名) 出典：マネーフォワード クラウド契約導入事例

委託後の監督の進め方｜年間サイクル・指標・委託先台帳

委託後の監督は、委託先の一覧づくりから、定期報告、監査、改善の確認、契約更新時の見直しまでを、年間の計画として回すと無理なく続けられます。

1. 委託先の一覧(台帳)を作る：委託先ごとに、扱う情報、リスク区分、契約書の保管場所、更新日、再委託の有無をまとめる。
2. 定期報告を受け取る：リスク区分に応じて、チェックシートの回答、教育の実施記録、事故やヒヤリハットの件数などを提出してもらう。
3. 監査を行う：リスクの高い委託先には、書面だけでなく、立ち入りやオンラインでの確認を行い、契約条項どおりに運用されているかを確かめる。
4. 結果を記録し改善を求める：指摘事項と改善の期限を記録し、次回の監査で改善状況を確認する。
5. 契約更新時に見直す：監査結果や業務内容の変化を踏まえ、条項の追加や委託先の変更を検討する。

効果を測る指標としては、定期報告の提出率、監査での指摘件数とその改善率、事故報告から委託元が把握するまでの時間、契約更新時に条項を見直した委託先の割合などが考えられます。数字で追うことで、どの委託先に手厚い監督が必要か、社内のどの手順が抜けているかが見えやすくなります。

委託先台帳に持っておきたい項目

項目	記録する内容	使う場面
委託先と業務	委託先名、委託する業務、渡している情報の種類と量	リスク区分の判断、監査の優先順位づけ
契約書	契約の種類、契約書の保管場所、更新日、安全管理・報告期限・消去の条項の有無	更新時の見直し、事故時の連絡経路の確認
再委託	再委託の有無、再委託先の名称と業務内容、承認の記録	再委託先まで含めた監督の確認
認証・報告書	認証の種類、範囲、有効期限、報告書の対象期間	選定時と更新時の確認
監督の履歴	直近の報告・監査の日付、指摘事項、改善の期限と状況	次回の監査計画、委託元としての監督の記録

台帳の項目のうち、契約書に関わるもの(契約の種類、再委託の条件、更新日、報告期限)は、契約書を開かないと確認できない状態になりがちです。紙の契約書も含めて契約書をデータ化し、委託先ごとにまとめて検索や期限の通知に使いたい場合の一例が、Contract One(運営会社はSansan株式会社)です。商品ページでは、紙・PDF・電子契約の契約書をAI-OCRと専門スタッフの確認によってデータ化できること、データ化した契約情報を全文検索でき、契約期限が近づいたときにアラートで通知する機能があること、親契約・個別契約の関係を自動でひも付けて契約先ごとにまとめられること、シングルサインオンや二要素認証、IPアドレス制限といったセキュリティ機能を備えることが紹介されています。注意点として、導入時に業務フローの見直しが必要な場合があります。料金はプランによって異なるため、詳しくは資料や公式サイトで確認してください。

Contract Oneを導入したことで、契約書を一元管理できるようになり、全社統一の契約書管理マスターデータを構築でき、関連情報の把握や検索も容易になりました。

イオンマーケティング株式会社 総務部ご担当者様 出典：Sansan株式会社ニュースリリース(2026年1月22日)

ここまでの内容を、自社の委託先管理に引きつけて確認してみましょう。

※本記事は一般的な情報提供を目的としたものであり、法的助言ではありません。個別の契約や事案が個人情報保護法に適合するかどうかは、個人情報保護委員会の最新のガイドラインを確認し、必要に応じて弁護士などの専門家にご相談ください。

契約の更新・終了時に見直すこと｜データの返却・消去と委託先の変更

契約の更新時には監督で見つかった課題を条項に反映し、終了時にはデータの返却・消去を確認します。委託先を変える場合も、旧委託先に残る情報を確認します。

タイミング	確認すること
契約の更新時	監査での指摘事項や、委託する業務の変化(新しいクラウドサービスの利用、在宅勤務の開始など)を踏まえ、条項の追加や、リスク区分の見直しを行う。再委託先に変更がないかも確認する
契約の終了時	預けたデータの返却または消去を確認し、消去したことを示す証明書を受け取る。委託先が再委託先に預けたデータや、紙の書類、バックアップも対象に含めて確認する
委託先を変えるとき	新しい委託先への引き継ぎ範囲を決め、旧委託先に付与していたアクセス権限や共有フォルダの権限を削除する。旧委託先に残る情報の消去を、終了時と同様に確認する

更新日や終了日、消去証明書の受領は、後から示せる形で記録しておく必要があります。契約金額や契約期間を台帳に手入力せずに管理したい場合の一例が、SMBCクラウドサイン(運営会社はSMBCクラウドサイン株式会社)です。商品ページでは、契約金額や契約期間を自動で読み取って登録するAI契約書管理機能があること、検索機能が電子帳簿保存法の検索要件を満たすこと、メガバンクの厳格なセキュリティ基準で定期的にモニタリングされていることが紹介されています。注意点として、フォルダ管理の自由度が低いという声があります。料金はプランによって異なるため、詳しくは資料や公式サイトで確認してください。

今は社内システムで稟議を回し、SMBCクラウドサインを利用して発注するという流れになったので、どんな発注をしているのかがシステム上ですぐにわかります。いきなり請求書が届いて混乱するようなこともなくなりました。

株式会社山一建設 経理部 平野陽一氏(発注書での利用事例) 出典：SMBCクラウドサイン導入事例

よくある質問(FAQ)

Q1. BPOセキュリティとは何ですか？

A. 業務を外部に委託する際に、委託先で扱われる個人情報や機密情報を漏えいや紛失から守るための対策です。委託先の対策だけでなく、委託元が委託先を選び、契約でルールを決め、運用状況を確認する監督も含まれます。「セキュリティBPO」は、セキュリティの運用そのものを外部に任せることを指し、意味が異なります。

Q2. BPOではどのような情報漏えいが起こりますか？

A. 委託先のサーバーやVPN機器を狙ったサイバー攻撃、メールの誤送信や書類の置き忘れなどのヒューマンエラー、権限のある従業員による不正な持ち出しの3つが想定されます。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。個人情報保護委員会が2025年3月に指導した事案では、委託先のサーバーへの不正アクセスにより、委託を受けて取り扱っていた約308万人分の個人データが漏えいしました。

Q3. プライバシーマークやISMS認証があれば委託先は安心ですか？

A. 認証は一定の管理の仕組みがあることを示す目安になりますが、事故が起きないことを保証するものではありません。ISMS認証は組織が定めた範囲を対象にするため、委託する業務の拠点が認証の範囲に含まれているかを認証書で確認し、業務ごとの運用もあわせて確かめることが大切です。

Q4. 委託元にはどのような法的義務がありますか？

A. 個人情報保護法第25条により、個人データの取扱いを委託する場合、委託先に対して必要かつ適切な監督を行う義務があります。個人情報保護委員会のガイドラインでは、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握が具体的な措置として示されています。漏えい等が起きた場合の報告は同法第26条に定められています。

Q5. 委託先で情報漏えいが起きたとき、委託元は何をしますか？

A. 要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合などは、個人情報保護委員会への報告が必要です。同委員会のページでは、速報を発覚日から3-5日以内、確報を30日以内(不正の目的のおそれがある場合は60日以内)に行うとされています。委託先から委託元への連絡の期限と窓口を、契約で決めておくことが重要です。

Q6. 委託先との契約書はどのように管理すればよいですか？

A. 委託先ごとに、扱う情報、リスク区分、主な安全管理の条項、更新日をすぐに確認できる状態にしておくことが重要です。契約書そのものも機密情報を含むため、閲覧できる人を絞り、操作の記録を残せる形で保管します。委託先が多い場合は、検索や更新期限の通知、閲覧権限の管理ができる契約書管理や電子契約のサービスを使うと、監査や定期的な見直しを効率よく進められます。

まとめ｜BPOセキュリティで押さえたい5つのこと

BPOセキュリティは、委託先の対策を確認して終わりではなく、選定、契約、継続的な確認、契約終了までを通した委託元の監督によって成り立ちます。最後に、押さえておきたいポイントを整理します。

1. 情報漏えいのリスクは、サイバー攻撃、ヒューマンエラー、内部不正の3つ。委託先が侵入口になった事案も実際に起きている。
2. 委託元には個人情報保護法第25条の監督義務がある。委託先の選定、契約の締結、取扱状況の把握の3つの措置を、渡す情報の範囲とリスクに応じて講じる。
3. 認証は選定の入口と考え、認証の範囲と有効期限を確認したうえで、方針・物理・技術・事故対応と再委託の4つの観点で確かめる。
4. 保管ルール、再委託、監査、事故時の報告期限、契約終了時のデータ消去を契約に明記し、年間サイクルで確認する。漏えい時の速報は3-5日以内に間に合うよう連絡経路を決めておく。
5. 委託先との契約書の閲覧権限と更新日を管理できる状態にするため、電子契約や契約書管理のサービスの資料を取り寄せて検討する。

参考文献

• 個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について(令和7年3月19日)」 https://www.ppc.go.jp/news/press/2024/250319_houdou/
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会「適切な委託先の選定 委託先を監督してますか？」 https://www.ppc.go.jp/files/pdf/Itakusaki_chakuganten.pdf
• e-Gov法令検索「個人情報の保護に関する法律」 https://laws.e-gov.go.jp/law/415AC0000000057
• 独立行政法人情報処理推進機構(IPA)「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
• 一般財団法人日本情報経済社会推進協会(JIPDEC)「プライバシーマーク制度」 https://privacymark.jp/system/about/index.html
• 一般社団法人情報マネジメントシステム認定センター(ISMS-AC)「ISMS適合性評価制度」 https://isms.jp/isms.html
• 一般社団法人情報マネジメントシステム認定センター(ISMS-AC)「ISMSクラウドセキュリティ認証」 https://isms.jp/isms-cls.html
• 一般社団法人情報マネジメントシステム認定センター(ISMS-AC)「ISMS認証取得組織検索」 https://isms.jp/lst/ind/index.html