はじめに

前回の総論では、部門をまたぐリスクについて、その判断を誰が担い、取締役会がどう監督するのかを考えました（注1）。そこで提案したのは、判断の対象と基準を定めること、部門の意見が割れたときの決定者を決めておくこと、そして通常の方針と例外を見直す条件を定めておくことの三つです。本稿では、この枠組みを、業務の委託という具体的な判断に当てはめます。

業務を外部に委託することは、多くの会社にとって合理的な選択です。専門の事業者に任せれば、自社で仕組みを持つより早く、安く、質の高いサービスを使えます。しかし、業務を委託しても、委託元に残る判断があります。どの事業者を選ぶか。どの情報を、どこまで預けるか。預けた情報がどう扱われているかを、どう確かめるか。そして、委託をいつ続け、変え、終えるか。

本稿は、2026年10月に公表された委託先経由の漏えい事案と、TOPIX100の構成企業99社の有価証券報告書の開示を手がかりに、委託元に残るこれらの判断を、誰が担い、どう見直すのかを考えます。

1. 委託先経由の漏えいは、何が違うのか

2026年10月6日、FAQシステム「i-ask」を提供するスカラコミュニケーションズは、同システムが不正アクセスを受けたと公表しました。同社によれば、10月2日夜から3日朝にかけて、第三者がi-askの管理サイトに不正にログインし、サーバに不正なプログラムを設置しました。そして、同じサーバ上で稼働していた利用企業最大5社のシステム環境のデータベースから、問い合わせ情報が取得された可能性があります。対象は、問い合わせ単位の延べ件数で最大71万3,126件です（注2）。

委託先経由の漏えいには、自社のシステムからの漏えいとは異なる特徴が二つあります。

一つは、一つの侵害が、委託先を通じて複数の会社に同時に波及しうることです。i-askの事案では、同じサーバ上で複数の利用企業のシステムが稼働しており、一度の不正アクセスで、最大5社の問い合わせ情報が取得された可能性があります。なお、情報処理推進機構（IPA）が毎年公表している「情報セキュリティ10大脅威」の2026年版でも、「サプライチェーンや委託先を狙った攻撃」が組織編の2位に選ばれています（注3）。この順位は、事故の件数ではなく、選考会の審議と投票によって決まるものです。

もう一つは、委託先に保存される情報の範囲が、委託した業務の名前からは分かりにくいことです。問い合わせの仕組みには、入力フォームの定型の項目や、他のサービスから連携されたデータに加え、利用者が自由記述欄に書き込んだ情報も保存されえます。後で見るように、i-askの事案では、口座番号や、運転に関するアラートの情報まで、問い合わせの仕組みに保存されていました。

2. 委託元に残る判断は、どこで行われているか

個人情報保護法は、個人データの取扱いを委託する場合、委託元に対して、委託先への必要かつ適切な監督を求めています（注4）。個人情報保護委員会のガイドラインは、その内容として、適切な委託先を選ぶこと、委託契約を結ぶこと、委託先における個人データの取扱状況を把握することの三つを挙げています。委託先がさらに別の事業者に再委託する場合については、委託元が、再委託の相手方、再委託する業務の内容、再委託先での個人データの取扱方法について、事前に報告を受けるか承認を行い、再委託先の監督や安全管理措置の実施を確認することが望ましいとしています（注4）。委託しても、委託元の責任がなくなるわけではありません。

一方で、委託の判断は、一つの部門では完結しません。どの事業者のサービスを使うかを決めるのは、多くの場合、そのサービスを使う事業部門や、調達を担う部門です。委託先のセキュリティを確認するのは情報セキュリティの部門、契約の条項を整えるのは法務の部門です。そして、委託先にどの情報を預けるかは、サービスをどう設計し、どう運用するかによって決まります。

部門ごとの判断には、それぞれ合理性があります。

しかし、全体として「この業務を、この事業者に、この範囲の情報とともに任せてよいか」を判断し、その判断をいつ見直すのかを決める役割は、どこかが担わなければなりません。

こうした判断を支える仕組みも整いつつあります。経済産業省と内閣官房国家サイバー統括室は、2026年3月、取引先のセキュリティ対策を共通の基準で可視化する「サプライチェーン強化に向けたセキュリティ対策評価制度」の制度構築方針を公表し、2026年度末ごろの制度開始を目指しています（注5）。委託先を選び、確かめるための材料は増えていきます。ただし、委託先の対策の水準が分かっても、自社がどの情報をどこまで預けるのか、委託をいつ終えるのかは、委託元が自ら決めなければなりません。

3. 委託先のリスクは、どう説明されているか

本章では、二つのことを確かめます。一つは、同じ委託先の事故について、委託元がどのような判断を説明したか。もう一つは、日本の大企業が、委託先のリスクを有価証券報告書でどう開示しているかです。

3-1. 同じ委託先の事故を、委託元はどう説明したか

(1) 確認の方法

i-askの事案で影響を受けた委託元のうち、2026年10月8日時点で公表を確認できた3社（大和証券、シチズン時計、損害保険ジャパン）について、公表文を比べました。委託元は、委託先の公表、報道、各社のニュースリリースから探しました。委託先の公表は「最大5社」としており、ほかの委託元が公表しているかどうかは確認できていません。

比べたのは、公表文に書かれた内容です。各社の社内でどのような判断が行われたか、対応が適切だったかは、公表文からは評価できません。公表文に書かれていないことも、判断していないことを意味しません。

(2) 結果

3社の説明には、共通点がありました。いずれも10月3日に委託先から連絡を受け、委託先の名前を明示し、委託先管理の見直しを表明しています。

(3) 業務の名前から、預けている情報の範囲は分からない

その一方で、三つの委託は、いずれも「問い合わせへの対応」という業務でありながら、保存されていた情報には幅がありました。保存されていた情報には、口座番号（大和証券）や、勤務先、ドライバーID、運転アラートの情報（損保ジャパン）が含まれていました。これらが定型の入力項目によるものか、他のサービスとの連携によるものかは、公表文からは分かりません。シチズン時計は、問い合わせ欄に口座やカードの情報が書かれていた場合には、それも対象になりうると説明しており、自由記述欄を通じて情報が入りうることを示しています。損保ジャパンは、口座やカードなどの情報は含まれないと明記しました。「問い合わせ対応」という業務の名前だけでは、委託先にどのような情報が、どれだけ蓄積されているかは分かりません。

(4) 新規の利用をやめても、管理は終わらない

利用の終了と保存情報の削除に触れていたのは、シチズン時計だけでした。同社は、公表時点で別のシステムへの移行を進めており、旧システムは新規の受付には使わず、一部の継続対応に限って利用していると説明しています。漏えいのおそれがあるのは、10月3日時点で旧システムに保存されていた問い合わせ情報でした。新規の受付に使わなくなった後も、システムに情報が残っている限り、その管理は続きます。

(5) 別の委託先の事案から

損保ジャパンは、2026年5月11日、損害調査業務の一部を委託していた新日本検定協会がサイバー攻撃を受け、顧客の情報が外部に漏えいしたおそれがあると公表しました。損保ジャパンはこの公表の中で、本件の判明後、新日本検定協会への新規の損害調査依頼を停止していると明記しています（注7）。i-askの事案の公表では、利用の継続について触れていません。同じ会社でも、事案によって、委託の継続について説明する内容は異なります。

Chubb損害保険は、2026年9月、FAX送信サービスを利用していた日本テレネットのサーバが不正アクセスを受け、顧客の情報が漏えいしたおそれがあると公表しました。漏えいのおそれがあるのは、2016年から2018年の間に同社から日本テレネットに提供したデータでした（注8）。過去に委託先に提供したデータが、長い期間、委託先のサーバに保存されていたことになります。

3-2. TOPIX100は、委託先のリスクをどう開示しているか

(1) 確認の方法

個別の事案で見えた論点は、日本の大企業の開示の中でどう扱われているのでしょうか。総論と同じく、2026年8月31日時点のTOPIX100の構成企業99社を対象に、2025年10月から2026年9月までに提出された最新の有価証券報告書を、EDINETから取得しました（注11、注12）。確認したのは、「サステナビリティに関する考え方及び取組」と「事業等のリスク」の2項目です。

まず、「委託」「アウトソーシング」「外注」「サードパーティ」などの語と、サイバー攻撃、情報漏えい、不正アクセス、個人情報、情報セキュリティなどの情報リスクの語が同じ文に現れる記載を抜き出し、全件を目視で確認しました。委託の終了時の扱いについては、情報リスクの語を伴わずに書かれている可能性もあるため、返却、削除、消去、廃棄、契約終了、取引終了などの語が、委託や取引先などの語の前後300字以内に現れる箇所を別に抜き出し、前後の文脈を確認しました。

そのうえで、①委託先経由の情報リスクに触れているか、②委託先管理の対策をどう書いているか（実施の時点や方法が分かる具体的な対策か、管理を強化するという方針か）、③再委託に触れているか、④委託の終了時のデータの返却・削除に触れているかを判定しました。金融は、東証33業種の銀行業、保険業、証券・商品先物取引業、その他金融業としています。

(2) 結果

委託先経由の情報リスクに触れていたのは、99社のうち32社でした。金融では14社中13社が触れている一方、金融以外では85社中19社にとどまります。銀行については、金融庁の監督指針が、外部委託先の選定、契約内容、責任部署を明確にしたうえでのモニタリング、漏えい事故が起きたときの報告体制、再委託先への監督の確認などを、監督上の着眼点として示しています（注13）。金融で記載が多いことには、こうした監督上の要請も影響していると考えられます。

委託先管理について、実施の時点や方法が分かる具体的な対策を書いていたのは10社でした。たとえば、キヤノンはクラウドサービスを利用する前にセキュリティリスクを評価して利用を許可し、利用開始後も確認するプロセスを、みずほフィナンシャルグループは外部委託先やクラウド事業者のサイバーセキュリティリスクの管理態勢を契約締結時と契約期間中に定期的に確認していることを、KDDIは業務委託先に対する定期的な監査や教育を、それぞれ説明しています。委託の入口（選定や利用前の評価）と、委託している間（定期的な確認や監査）について、具体的に書いている会社があったことになります。

再委託に触れていたのは2社でした。りそなホールディングスは、外部委託先が再委託している場合や、委託先がサービスの提供を受けている場合を含めて、委託先のリスクを記載しています。

委託の終了時のデータの返却や削除については、今回確認した2項目では、該当する記載を確認できませんでした。追加の検索で抜き出した箇所は、環境の取り組みにおける廃棄物や、事業・投資からの撤退など、別の文脈のものでした。委託の終了に近い記載としては、重要な外部委託先のサービス撤退などで委託業務の継続が困難になるリスク（SOMPOホールディングス）がありましたが、預けたデータの扱いについての記載ではありませんでした。

(3) 開示から見えること

この結果を委託の段階に沿って見ると、入口と、委託している間の管理については具体的な記載がある一方、出口、つまり委託を終えるときに預けた情報をどうするかについては、今回確認した範囲では記載が見当たりませんでした。

ただし、有価証券報告書の「事業等のリスク」は、委託先管理の手順を詳しく書く場所ではありません。記載がないことは、取り組みがないことを意味しません。実際、委託の終了時の管理は、規制の側では具体的に示されています。金融庁が2024年10月に公表した「金融分野におけるサイバーセキュリティに関するガイドライン」は、サードパーティとの契約に、再委託の手続、データの所在・保管・保持・移転・廃棄に関する取決め、契約終了の条件と終了時の取決めを明記すること、そして取引終了時のデータ廃棄やアクセス遮断などの管理プロセスを整備することを、基本的な対応事項として挙げています（注14）。委託の出口は、管理の実務として具体的に定められるものです。

開示に表れにくいからこそ、委託の出口が実際に管理されているかどうかは、経営が社内の報告を通じて確かめる必要があります。本章の前半で見た、新規の受付に使わなくなったシステムに情報が残っていた例や、過去に提供したデータが長期間委託先に保存されていた例は、その確認が必要な場面を示しています。

(4) この確認の限界

本章の前半の比較は、3社の公表文と、2つの別の事案に限られます。公表文に書かれていたのは、説明された対応や方針までで、各社の社内で誰が判断したのか、説明の違いが何によるのかは分かりません。

後半の確認は、有価証券報告書の2項目を対象とし、検索語による抽出と目視による判定にもとづいています。検索語に含まれない表現による記載は見落としている可能性があります。また、統合報告書やサステナビリティレポートなど、ほかの開示資料は対象にしていません。

4. 委託の判断を、経営と取締役会につなぐ

総論で提案した三つを、委託の判断に当てはめます。

4-1. 何を任せ、何を預けるか

一つ目は、委託する業務と、預ける情報の範囲を把握することです。i-askの事案が示すように、問い合わせの仕組みには、業務の名前からは分かりにくい幅広い情報が蓄積されえます。委託元は、委託先のサーバにどの情報が、どれだけの期間保存されているのかを把握し、必要のない情報は預けない、あるいは一定の期間が過ぎたら消す設計にしておく必要があります。自由記述欄に口座やカードの情報を書かないよう利用者に案内することも、その一つです。

あわせて、委託先がさらに別の事業者に業務を再委託しているかどうかも把握しておく必要があります。契約の相手方だけを把握していても、預けた情報がどこにあるのかを把握したことにはならないからです。

IPAが2026年4月に公表した実践例では、ある製造業の情報システム部長が、調達の情報が集まる法務部と相談し、委託元の部署へのアンケートを通じて、主要な委託先と、そのサイバーセキュリティ上のリスクの有無を洗い出しています（注9）。そのアンケートの例には、委託先が「他社と業務環境を共有」しているかどうかを確認する項目も含まれていました。委託先の一覧を部門をまたいで作ることが、預けている情報の所在を把握する出発点になります。前述の金融庁のガイドラインは、こうした一覧（台帳）で管理する項目の例として、委託先の名称、提供される商品・サービスや機能、自社のシステムへのアクセスの程度に加えて、委託先が保持・処理する自社のデータの種類や機密性、その場所を挙げています（注14）。金融機関向けの文書ですが、金融以外の会社にとっても、預けている情報の所在を把握するための項目として参考になります。

4-2. 意見が割れたとき、誰が決めるのか

二つ目は、決定者を決めておくことです。委託の可否では、使いやすさと費用を重視する事業部門と、対策の水準を重視する情報セキュリティの部門の意見が割れることがあります。そのとき、全社の視点で結論を出す人と、その人が判断に必要な情報と権限を持つことを定めておきます。

特に難しいのは、委託先に懸念があっても、すぐには変えられない場合です。代わりの事業者への移行には時間がかかり、委託を止めれば業務が止まることもあります。先のIPAの実践例では、対策に懸念がある委託先について、現場の判断で即座に委託先を変えるのは難しいため、調査結果を経営者に報告し、組織としてのリスク対応方針を検討することとしています（注9）。別の実践例では、輸送機器メーカーが、委託先の規模や体制に応じて求める対策を分け、セミナーや問い合わせ窓口で支援しながら、改善に一定の期間を見込み、取引を継続する方針を示しています（注10）。

これらの例が示すのは、委託先の管理が「基準に満たなければ切る」という判断だけではないことです。条件を付けて続ける、改善の期限を設ける、支援する、といった選択肢があります。ただし、改善期限を設けたり、経営が継続を承認したりしても、法令上求められる措置が免除されるわけではありません。継続を判断する際には、利用範囲の制限や追加の対策を含め、必要な安全管理措置が確保されているかを確認する必要があります。

二つの実践例が示しているのは、経営への報告や改善の期間を設ける実践までで、誰が継続を最終的に承認するのかまでは書かれていません。本稿は、懸念のある委託の継続を認めるときには、承認者を定めたうえで、次の五つを記録しておくことを提案します。

委託先で事故が起きたときに、利用を続けるのか、新規の依頼を止めるのか、別の事業者に移すのかも、同じように判断の権限と条件を平時に決めておくことが重要です。

4-3. 見直しと報告の条件

三つ目は、見直しの機会を決めておくことです。委託の判断を見直すべき機会は、委託先の事故だけではありません。契約の更新、業務の終了、システムの移行、再委託先の変更も、預けている情報と委託の条件を見直す機会です。

特に見落とされやすいのが、利用を縮小したり終えたりした後の情報と、過去に預けた情報です。前章で見たとおり、今回確認した有価証券報告書の2項目でも、委託の終了時のデータの扱いについての記載は確認できませんでした。シチズン時計の事例が示すように、新規の受付に使わなくなった後も、システムに情報が残っている限り、管理は続きます。Chubb損保の事例のように、過去に提供したデータが長期間、委託先に残っていることもあります。

委託を終えるときには、利用の停止、契約の終了、情報の返却、削除の完了を、それぞれ別の出来事として確かめる必要があります。返却を受けたとしても、委託先にコピーやバックアップ、再委託先のデータが残っていることがあるからです。返却の要否と、委託先に残るデータの削除や保存の条件を確かめ、その記録を残す。これを、委託の手続きの最後の工程として定めておきます。そのためには、終了時になってから交渉するのではなく、委託を始めるときの契約で、データの所在と廃棄の取決め、再委託の手続、契約終了の条件と終了時の取決めを定めておくことが前提になります。金融庁のガイドラインも、これらを契約に明記すべき事項として挙げ、重要な委託先については、契約関係の終了に備えた出口戦略を事前に策定することを、対応が望ましい事項としています（注14）。継続中の委託についても、過去に預けた情報が、いまも委託先に保存されている必要があるのかを、定期的に見直す必要があります。

取締役会は、個々の委託先を選ぶわけではありません。しかし、重要な情報を預けている委託先の一覧と、委託先への集中の度合いに加えて、重要な委託での改善の遅れ、期限を過ぎた例外、そして業務の停止や情報漏えいにつながりうる影響の大きさについては、定期的な報告を通じて監督できます。終了した委託で削除が確認できていないものの状況も、報告の対象に含めるべきです。あわせて、委託先での重大な事故や、重要な委託での改善期限の超過については、定期報告を待たずに報告する条件も定めておきます。

結論

業務を委託しても、委託元に残る判断があります。どの事業者を選ぶか、どの情報をどこまで預けるか、取扱いの状況をどう確かめるか、そして委託をいつ続け、変え、終えるか。

TOPIX100の有価証券報告書の2項目を確認すると、委託先経由の情報リスクに触れていたのは32社で、金融では14社中13社、金融以外では85社中19社でした。委託先の選定や委託中の確認について具体的な対策を書いている会社が10社あった一方、再委託に触れていたのは2社で、委託の終了時のデータの扱いについての記載は確認できませんでした。

同じ委託先の事故について委託元3社の説明を比べると、委託先からの連絡日、委託先名の明示、管理の見直しの表明には共通点がありました。一方で、「問い合わせ対応」という同じ業務の名前の下で、保存されていた情報の範囲には幅がありました。また、新規の受付に使わなくなったシステムに情報が残っていた例や、過去に提供したデータが長期間委託先に保存されていた例は、新規の利用をやめた後や、情報を提供してから時間が経った後も、保存されている情報を管理する必要があることを示しています。

本稿の提案は、委託について、預ける情報の範囲と再委託の有無を把握すること、懸念がある委託や事故が起きた委託を続けるかどうかを、誰が、何を根拠に、どの期限で決めるのかを定めておくこと、そして契約更新から委託の終了後までの見直しと報告の条件を定めておくことです。何を、どこまで任せるか。その判断は、委託を始めるときだけでなく、続ける間も、終えるときも、問われ続けます。

AIに何をさせ、どのデータへのアクセスを許すのか。これもまた、委託と同じく、任せる範囲をどう決めるかという問いです。

結びに

カタリスは、経営コンサルティングに加えて、事業承継投資を手がけています。会社を引き継ぐとき、私たちはその会社の委託関係も引き継ぎます。どの委託先に、どの情報を預けてきたのか。終わった委託のデータは、委託先に残っていないか。こうした点を確かめることは、引き継いだ後の守りの判断の出発点になると、私たちは考えています。