ツール導入が社内審査で止まる原因｜先に揃えておく資料

「導入したいツールが、社内の審査で止まったまま動かない」「何を出せばよいのか分からず、やり取りだけが続いている」——ツールを増やそうとするたびに繰り返される足止めです。審査が長引く原因の多くは、ツールの問題ではなく、出すべき資料が揃っていないことにあります。聞かれてから集め始めると、そこから数週間かかります。この記事では、先に揃えておく資料と、進め方の順序を整理します。

契約の直前で止まる

ツールの導入が止まる場所は、ほぼ決まっています。比較と稟議を終えて、契約に進む直前です。そこで初めて情報システムの部門が関わり、確認の工程が始まります。そして数週間が過ぎます。

止まる理由は、確認の内容が重いことではありません。必要な情報が揃っていないまま、確認が始まるためです。提供者に問い合わせ、回答を待ち、追加の質問をする往復が発生します。

この往復は、担当者の善意では短くなりません。質問の量が多く、専門的な用語も含まれるためです。何百項目もの表が提供者に渡され、営業の担当者が答えられずに社内で調べる。この構造が、期間を長くします。

さらに、審査する側にも事情があります。セキュリティの専門の担当が置かれていない企業も多くあります。他の業務と並行して確認するため、着手までに時間がかかります。作業の負担そのものが、遅れの原因になっています。

対策は、順番を変えることです。契約の直前ではなく、候補を絞る段階で確認を始めます。

この記事では、確認される項目と、先に揃えておく資料を整理します。あわせて、外国でデータを扱う場合の追加の論点にも触れます。

止まる期間の相場も知っておきます。準備がない状態では、1か月から3か月かかることがあります。施策の開始の時期を先に約束していると、この期間が致命的になります。約束する前に、審査の工程を計画に入れておく必要があります。

審査の目的を理解する

まず、審査の目的を理解しておきます。目的は、相手が自社の方針に従えるかの確認です。

使われる道具が、確認のための質問票です。取引先や委託先やクラウドの提供者の対策を確かめるための質問の一覧です。

つまり、審査は相手を疑う工程ではありません。自社が負う責任を果たせる相手かを確かめる工程です。

この理解があると、依頼の仕方が変わります。提供者に対しても、目的を説明して協力を求める形になります。

審査する側の立場も見えてきます。事故が起きたときに責任を負うのは、導入した自社の側です。

だから慎重になります。邪魔をしているのではなく、自社を守っているという理解が必要です。

自社が負う責任の内容も確かめておきます。委託先で事故が起きた場合、監督の義務を果たしていたかが問われます。審査は、その監督の一部として行われているという理解が正確です。形式的な手続きではなく、責任を果たすための工程になっています。

確認される項目の中心

では、何が確認されるのか。中心となる項目は決まっています。

1つ目が、データの暗号化です。保存している状態と、通信している状態の両方について問われます。

2つ目が、接続元を限定する機能です。特定の場所からしか接続できないようにできるかという確認です。

3つ目が、操作の記録です。誰がいつどのファイルを操作したかの記録が残るかを問われます。

4つ目が、第三者による認証です。情報セキュリティに関する認証を取得しているかどうかが確認されます。

この4つは、ほぼすべての審査で問われます。候補を絞る段階で、この4つだけでも確かめておく価値があります。

確認の項目	問われる内容	候補の段階での確かめ方
暗号化	保存時と通信時の両方の状態	公開されている仕様の資料
接続元の制限	接続できる場所を限定できるか	機能の一覧か問い合わせ
操作の記録	誰がいつ何をしたかが残るか	管理者向けの機能の説明
第三者の認証	情報セキュリティの認証の取得	提供者のサイトの記載
データの保管先	どの国で保管されるか	利用の規約か仕様の資料
再委託	別の事業者に委託しているか	規約の記載か問い合わせ

項目の背景も知っておくと、代替の提案ができます。接続元の制限が求められるのは、認証の情報が漏れた場合の被害を抑えるためです。機能がなくても、別の手段で同じ目的を満たせる場合があります。目的を理解していれば、代替の運用を提案する余地が生まれます。

権限の設計も問われます。担当者ごとに見られる範囲を分けられるかという確認です。全員が全部を見られる仕組みは、機密の情報を扱う業務では通りません。役割ごとの権限を設定できるかを、候補の段階で確かめます。

準備1 利用の場面を明確にする

審査を早く通すために、導入する部門が準備すべきことがあります。1つ目が、利用の場面の明確化です。

説明するのは3点です。どんなデータを、誰が、どのように扱うのか。

この説明があると、審査の範囲が絞られます。顧客の個人情報を扱わないのであれば、確認する項目が減ります。

逆に、説明がないと最も厳しい前提で審査されます。個人情報も機密の情報も扱う可能性があるとして、全項目が対象になります。

だから、扱わないことを明示するのが有効です。扱うデータを限定する運用にすれば、審査の負担も導入の危険も下がります。

説明は1枚にまとめます。データの種類、扱う担当者、業務の流れの3つを書けば足ります。

説明の書き方にも工夫があります。扱うデータの例を具体的に挙げると、審査する側の判断が早くなります。記事の下書きと公開済みの内容だけを扱う、といった具体の記述が有効です。抽象的な説明では、最も広い範囲を想定して審査されます。

準備2 要件を仕分ける

2つ目の準備が、要件の仕分けです。情報システムの部門と、事前に要件を分けておきます。

分けるのは2種類です。絶対に満たさなければならない要件と、できれば満たしてほしい要件です。

この仕分けがないと、審査が全項目の判定になります。1つでも満たさない項目があれば否と判断される形です。

仕分けがあれば、判断が可能になります。望ましい要件を満たさなくても、代替の運用で補える場合があります。

仕分けは、審査の前に行います。候補を絞る段階で情報システムの部門に相談し、必須の要件を聞きます。

この相談が、後の工程を大きく短くします。必須の要件を満たさない候補を、比較の段階で外せます。

仕分けの結果は記録に残します。口頭で聞いた必須の要件は、担当者が変わると失われます。必須と望ましいの2つに分けた一覧を、双方で持っておきます。次の導入のときにも、同じ一覧を使えます。

準備3 標準の資料を取り寄せる

3つ目が、提供者の標準の回答資料です。多くの提供者は、標準の資料を用意しています。

これを先に取り寄せます。自社の質問票を渡す前に、標準の資料で答えられる項目を埋めます。

残った項目だけを追加で質問します。これだけで、提供者側の作業も自社の待ち時間も大幅に減ります。

標準の資料には、認証の取得の状況や、データの保管先も記載されています。候補を絞る段階の判断にも使えます。

依頼の仕方も簡単です。セキュリティに関する標準の回答資料があるかを、営業の担当者に聞くだけです。

この一手間が、期間を数週間縮めます。資料の存在を知らずに質問票を渡すのが、最も遠回りな進め方です。

資料の内容も確かめておきます。更新の日付が古い資料は、現状と合っていない可能性があります。いつ時点の情報かを確認し、古い場合は最新版を依頼します。数年前の資料をそのまま審査に出すと、差し戻される原因になります。

長引く原因は依頼の仕方

審査が長引く原因を、もう一段掘っておきます。事前の調整なしに、提供者へ質問票を丸投げすることです。

この形では、提供者が全項目を調べることになります。技術的な用語を含む数百の項目に、営業の担当者が答えられません。

さらに、情報システムの部門との要件のすり合わせも不十分なままです。何が必須なのかが決まっていないため、回答が返っても判断できません。

結果として、往復が繰り返されます。1回の往復に1週間かかれば、3往復で1か月が過ぎます。

改善の方法は明確です。依頼のときに期限と背景を明確に伝え、標準の資料を先に確認する段階的な進め方です。

期限を伝えることも効きます。いつまでに回答が必要かを示さないと、他の依頼の後回しにされます。

提供者の側の事情も理解しておきます。同じような質問票が多数の顧客から届いており、対応の順番が決まっています。契約の見込みが具体的な案件から優先されるのは、自然な判断です。導入の意思と時期を伝えることが、対応を早める要素になります。

外国でデータを扱う場合

ここから、見落とされやすい論点に入ります。データが外国で保管される場合の確認です。

個人データの取扱いを委託する場合、委託そのものは第三者への提供に当たりません。ただし、委託先を監督する義務が生じます。

委託先が外国にある場合は、扱いが変わります。外国にある第三者に委託する場合は、本人の同意を得る必要があるとされています。

例外もあります。同等の水準にあると認められる国にある相手や、基準に適合する体制を整備している相手への提供です。

だから、保管される国の確認が必要になります。どの国で処理されるのかを、規約か仕様の資料で確かめます。

この確認は、審査の項目としても問われます。先に調べておけば、審査の段階で止まりません。

確認したことは記録として残します。どの資料の何ページに書かれていたかまで書いておきます。規約は改定されるため、確認した時点の記録が後の証拠になります。改定の通知を受け取る仕組みも、あわせて確かめておきます。

提供に当たらない場合の義務

さらに複雑な論点があります。第三者への提供に当たらない場合でも、義務が生じることです。

クラウドの利用については、提供に当たらない場合があります。提供者が個人データを取り扱わない仕組みになっている場合です。

しかし、提供に当たらない場合でも、外国で個人データを取り扱うときは外的な環境を把握する義務が生じます。

つまり、どちらの場合でも国の確認は避けられません。提供に当たるかどうかの判断とは別に、把握の義務が残ります。

再委託がある場合は、確認がさらに増えます。外国の相手が別の外国の相手に再委託する場合、監督の義務とあわせた措置の確保が求められます。

実務では、規約の記載を確かめます。再委託の有無と、その相手の所在が書かれているかを見ます。

判断は自分だけで行わないほうがよいです。提供に当たるかどうかの判断には、専門的な検討が必要になります。社内の法務か顧問の専門家に、仕組みの説明を添えて相談します。1度確認しておけば、同種のサービスについては自分で判断できます。

契約で確かめること

契約の段階でも、確かめる項目があります。審査を通った後にも作業が残ります。

1つ目が、データの帰属です。入力したデータの権利がどちらにあるかを確かめます。

2つ目が、学習への利用です。入力した内容が、提供者の側の改善に使われるかどうかです。

3つ目が、解約したときの扱いです。データを取り出せるか、削除されるか、いつまで保管されるか。

4つ目が、事故が起きたときの連絡です。どのくらいの期間で連絡が来るのかを確かめます。

5つ目が、責任の範囲です。損害が生じた場合の上限が定められていることが多くあります。

確認の順番も決めておきます。学習への利用と解約時の扱いは、業務への影響が特に大きい項目です。この2つは、契約の前に必ず文書で確かめておきます。後から変更を求めても、標準の契約では応じてもらえないことが多いです。

解約の条件も見ておきます。年間の契約で途中の解約ができない形が一般的です。試験的に使う期間を設けられるかを、契約の前に確かめます。合わなかった場合に抜けられる形にしておくと、導入の判断が軽くなります。

候補を絞る段階での確認

以上を、候補を絞る段階に組み込みます。比較の表に、確認の列を足すだけで足ります。

足す列は4つです。第三者の認証の有無、データの保管される国、接続元の制限の機能、標準の資料の有無。

この4つは、公開されている情報で埋まることが多いです。提供者のサイトを見るだけで、大半が判断できます。

埋まらない項目は、営業の担当者に聞きます。候補の段階での問い合わせなので、負担も小さく済みます。

この列を見て、候補を外す判断もあります。必須の要件を満たさないツールは、機能が優れていても導入できません。

早く外せば、比較の労力も節約できます。機能の比較に時間をかけた後で外すのが、最も無駄が大きい進め方です。

調べる時間の目安も持っておきます。4つの列を埋める作業は、1つの候補について20分ほどです。3つの候補でも1時間で終わるため、比較の作業に無理なく組み込めます。この1時間が、後の数週間を節約します。

情報システムの部門との関係

この工程は、関係の作り方でも変わります。審査を受ける相手ではなく、一緒に選ぶ相手として関わります。

有効なのは、候補の段階での相談です。3つの候補を持って行き、どれが通りやすいかを聞く形です。

この相談は、相手にとっても好都合です。決まった後に否と言う役より、選ぶ段階で助言する役のほうが負担が軽くなります。

過去の審査の記録も聞きます。同種のツールで過去に通ったものがあれば、判断が早くなります。

社内の基準の書面があるなら、それも受け取ります。基準を先に読んでおけば、候補の段階で判断できます。

この関係ができると、次の導入も速くなります。1度目の丁寧な進め方が、2度目以降の速さを作ります。

相談のときの持ち物も決めておきます。候補の一覧と、扱うデータの説明と、導入したい時期です。この3つがあれば、その場で助言が得られることが多くなります。手ぶらで相談すると、確認してから回答するという形になります。

すでに使っているツールの棚卸し

新規の導入と並行して、既存のツールも見直します。審査を通さずに使われているツールが存在することがあります。

無償で始められるサービスが典型です。担当者が個人の判断で使い始め、そのまま業務に定着している形です。

この状態は、危険が把握されていないという点で問題です。顧客の情報が入力されていても、誰も確認していません。

棚卸しの方法は簡単です。担当者に、使っているサービスを挙げてもらいます。責任を問う形にしないことが、正確な回答を得る条件です。

挙がったものを、危険の大きさで並べます。顧客の情報を扱うものから順に、契約と仕様を確かめます。

この作業は、一度やれば形が残ります。一覧を持っておけば、以後は追加のときに1行足すだけで済みます。

棚卸しの頻度も決めます。半年に1度、部門ごとに使っているサービスを確認します。無償で始められるサービスは増えやすいため、定期の確認が必要になります。一覧の更新だけなら、10分ほどで終わる作業です。

見つかったものの扱いも決めておきます。すぐに止めるのではなく、危険の大きさで対応を分けます。顧客の情報を扱っているものだけを優先し、他は次の更新の時期に合わせます。一斉に止めると業務が回らなくなり、隠れて使われる結果になります。

審査を短くする社内の工夫

組織として工夫できることもあります。審査の型を作っておく形です。

有効なのは、審査の水準を分けることです。顧客の情報を扱うものと、扱わないもので確認の深さを変えます。

扱わないツールについては、簡易な確認で足ります。すべてを同じ水準で審査すると、負担が大きくなりすぎます。

過去の審査の記録を残すのも効きます。同じ提供者の別のサービスであれば、確認の一部を省けます。

標準の質問票を軽くする工夫もあります。項目を絞り、判断に必要なものだけに限定します。

この改善は、情報システムの部門と一緒に進めます。負担を軽くする提案であれば、協力を得やすくなります。

• 契約の直前になってから、情報システムの部門に相談する
• 提供者の標準の資料を確かめずに、数百項目の質問票を渡す
• 扱うデータの種類を説明せず、最も厳しい前提で審査させる
• 必須の要件を確かめないまま、機能だけで候補を絞る
• 無償で始められるサービスを、審査を通さずに業務で使い続ける

型を作るときは、実例から始めます。過去に審査した数件を振り返り、何に時間がかかったかを確かめます。時間がかかった項目に絞って改善すれば、効果が実感できる形になります。全体の見直しから始めると、着手そのものが重くなります。

止まったときの動き方

それでも止まる場面はあります。そのときの動き方も決めておきます。

最初に確かめるのは、何が原因で止まっているかです。提供者の回答待ちか、社内の判断待ちか、要件を満たしていないのか。

提供者の回答待ちであれば、期限を伝え直します。背景と期限を明確にすると、優先して対応されます。

社内の判断待ちであれば、判断に必要な情報を確かめます。足りない情報があれば、こちらから用意します。

要件を満たしていない場合は、代替の運用を提案します。扱うデータを限定する、機能の一部だけを使う、期間を限って試す。

それでも通らない場合は、別の候補に切り替えます。1つのツールに固執して数か月を失うのが、最も損失が大きい選択です。

• 確認される中心の項目は、暗号化と接続元の制限と操作の記録と第三者の認証
• 提供者の標準の回答資料を先に取り寄せると、往復の回数が大幅に減る
• 外国で個人データを扱う場合は、提供に当たらない場合でも外的な環境の把握が必要

期間の見通しも共有します。止まっていることを社内に伝えないと、担当者の怠慢と見なされます。何が原因でいつまでに解決する見込みかを、週に1度共有します。進捗の共有があれば、待つ側も別の準備を進められます。

導入の計画に組み込む

最後に、計画への組み込み方です。審査の期間を、最初から計画に入れます。

目安としては、1か月から2か月を見込みます。準備を整えた場合でも、社内の判断の工程には時間がかかります。

この期間を計画に入れておけば、施策の開始の時期を現実的に設定できます。

逆に、入れていないと予定が崩れます。催しの直前に使い始める計画は、間に合わない危険が高くなります。

契約の更新の時期も見込みます。年度の区切りに合わせるなら、その3か月前には審査を始めます。

この見込みが、施策の実行力を左右します。審査を工程として認識することが、導入を速くする最初の一歩です。

計画に入れる形も具体化します。施策の開始の時期から逆算し、審査の開始の日を決めます。2か月前を目安にすれば、多くの場合は間に合います。急ぎの案件では、既存の審査を通ったサービスから選ぶ判断もあります。

まとめ

ツールの導入が止まるのは、審査を最後の工程に置いているためです。確認される項目は決まっており、暗号化と接続元の制限と操作の記録と第三者の認証が中心になります。候補を絞る段階で情報システムの部門に相談し、必須の要件を聞いておきます。提供者の標準の回答資料を先に取り寄せ、残った項目だけを質問する形にすれば往復が減ります。扱うデータの種類を1枚で説明すれば、審査の範囲そのものが絞られます。外国でデータを扱う場合は、保管される国と再委託の確認が加わります。審査を工程として計画に組み込めば、導入の時期を現実的に設定できます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。