取引先から届く確認票が埋まらない原因｜安全の証明を用意する

「受注が決まりかけたところで、確認票が届いた」「項目が50を超えていて、答えられる欄が半分もない」——大手や公的な機関との取引で必ず通る関門です。確認票は、届いてから調べて埋める書類ではありません。答えられない項目があること自体が、選定から外れる理由になります。この記事では、先に揃えておく資料と、回答の作り方を整理します。

なぜ確認されるようになったのか

この確認が広がった背景は、攻撃の手口の変化にあります。公的な機関がまとめる脅威の一覧では、取引の連なりの弱点を悪用した攻撃が上位に入り続けています。対策が固い大企業を直接狙う代わりに、取引先を足がかりにする手口です。

この構図では、規模の小さい会社が狙われます。予算も人も限られており、対策が薄くなりがちです。そこから侵入して、本来の標的である取引先に到達する。この経路が現実に使われています。

だからこそ、発注する側は取引先の状況を確かめます。自社の対策を固めても、取引先が入口になれば意味がありません。つまり確認は疑いではなく、自社を守る必要から来ています。

さらに、再委託の場合はもう1段深くなります。発注する側は、再委託によって生じる脅威に対しても安全が確保されることの担保を求めます。つまり、こちらが外部に出す先についても答えられる必要があります。

この構造を理解すると、確認票への向き合い方が変わります。「面倒な手続き」ではなく、取引の条件です。答えられる状態を作ることは、営業の準備の一部だと考えてください。

場面	問われること	揃えておくもの
新規の取引の前	全般の対策の状況	規程の一覧と適用の範囲
個人情報を扱う場合	取得から廃棄までの扱い	取扱いの手順と教育の記録
再委託がある場合	委託先の管理	委託先の一覧と契約の条項
事故があった場合	報告の体制と期限	連絡の経路と担当
定期の見直し	更新と点検の実態	点検の記録と日付

「規程があります」では足りない

確認票への回答でよくあるのが、各項目に「規程があります」と書く形です。これでは足りません。受け取った側は、内容、適用の範囲、最新版の管理、運用の実態を判断できないためです。

たとえば「情報セキュリティの方針を定めていますか」に「はい」と答えたとします。受け取った側は次に「いつ制定したか」「誰が承認したか」「どの範囲に適用されるか」を知りたくなります。追加の質問が来て、往復が増えます。

往復が増えると、期限に間に合わなくなります。そして答えの精度が低い会社という印象が残ります。同じ「はい」でも、根拠を添えられるかどうかで受け取り方が変わります。

効く書き方は、いつ、誰が、どこまでを添えることです。「2025年4月に代表の承認で制定。全社の従業員と業務委託の者に適用。年1回見直し、直近は2026年4月」。この形なら、追加の質問が来ません。

この書き方をするには、実際にその記録が必要です。つまり、確認票に答える作業は記録を整える作業と一体になっています。書けないのは、記録がないからです。

何から揃えるか

すべてを一度に整えるのは無理です。優先順位を付けます。判断の軸は、聞かれる頻度と作る手間の2つです。頻繁に聞かれて作りやすいものから始めます。

最初に作るべきは、情報セキュリティの基本の方針です。ほぼすべての確認票で問われます。内容は数頁で足ります。何を守るか、誰が責任を持つか、どの範囲に適用するか、違反した場合どうするか。

次が、個人情報の取扱いの手順です。取得、利用、保管、提供、廃棄の各段階で何をするかを書きます。個人情報を扱う取引では、必ず問われる項目です。

3つ目が、委託先の一覧です。どの会社に何を任せているか、契約に安全管理の条項があるか。再委託の確認に答えるための土台になります。作るのは表1枚で足ります。

4つ目が、事故があったときの連絡の経路です。誰が第一報を受け、誰が判断し、取引先にいつ知らせるか。この3つを1枚に書いておけば、多くの項目に答えられます。

自己宣言の制度を使う

公的な機関が運営する自己宣言の制度があります。専用の頁から企業が自ら申請する形で、手続きは比較的簡単です。専門的な知識がなくても取り組める設計になっています。

この制度を使う利点は3つあります。1つ目は、確認票に書ける実績になること。2つ目は、宣言のために確かめる項目がそのまま対策の点検になること。3つ目は、費用がかからないことです。

宣言の段階は複数あり、取り組みの深さに応じて選べます。まず基本の段階を宣言し、対策が進んだら次の段階に進む。小さく始めて積み上げられる形になっています。

認証の制度と比べると、位置づけが違います。第三者が審査する認証は費用と期間がかかりますが、対外的な信頼は高くなります。自己宣言は手軽な代わりに第三者の審査を経ていません。

判断の目安としては、取引先から認証を求められているなら認証、そうでなければ自己宣言から始める。多くの中小の会社では、自己宣言で足りる場面が相当な割合を占めるでしょう。

公的な手引きを土台にする

何を書けばよいか分からないときは、公的な機関が出している中小企業向けの手引きを土台にしてください。対策の項目が体系的に整理されており、そのまま自社の規程の骨組みに使えます。

この手引きを使う利点は、網羅性が保証されていることです。自分で考えて書くと、必ず抜けが出ます。確認票の項目はこうした手引きを参照して作られていることが多いため、土台をそろえておくと答えやすくなります。

加えて、回答の中で参照できます。「公的な機関の手引きに沿って整備しています」と書けば、相手方はその内容を知っているため説明が短くて済みます。独自の枠組みで説明するより、はるかに伝わります。

使い方は、手引きの項目を一覧にして自社の状況を「できている」「一部」「未着手」に分ける形です。この一覧そのものが、何から手を付けるかの計画になります。

注意点は、全部をできている状態にする必要はないことです。できていない項目があっても、それを把握していつまでに対応するかを示せれば多くの場合は受け入れられます。把握していないことが問題になります。

答えられない項目への向き合い方

確認票には、自社の規模では対応できない項目も含まれます。専任の担当を置いているか、24時間の監視をしているか、第三者の認証を持っているか。こうした項目に正直に答えることが基本です。

答え方には工夫があります。「いいえ」だけで終わらせず、代わりに何をしているかを添えます。「専任は置いていないが、情報を管理する責任者を役員の中から指名している」という形です。

さらに、いつまでに何をするかを添えられると強くなります。「2026年度中に自己宣言の次の段階を目指す」といった記述です。現状ができていなくても、方向が示されていれば評価が変わります。

避けるべきは、できていないことをできていると書くことです。監査や事故が起きたときに、その回答が問題になります。契約の解除や損害の賠償につながる可能性もあります。正直さは、長い目では有利です。

分からない項目については、質問してよいことも押さえてください。「この項目はどこまでを指しますか」と確かめる。適当に答えるより、確かめる姿勢のほうが評価されます。多くの場合、担当者は答えてくれます。

よくある質問

答えられない項目が多いと必ず外されますか

必ずではありません。できていない項目を把握しており、代わりの措置と今後の予定を示せれば受け入れられることがあります。問題になるのは、状況を把握していないことです。

認証を取る必要がありますか

取引先から求められている場合は必要です。そうでなければ、公的な機関の自己宣言の制度から始めるのが現実的でしょう。費用がかからず、確かめる項目がそのまま点検になります。

同じ確認票が何社からも来る場合はどうしますか

回答の雛形を作っておいてください。項目の表現は会社ごとに違いますが、問われている内容は重なります。根拠となる記録を1か所にまとめておけば、回答の時間が大きく縮みます。

外部に委託している部分はどう答えますか

委託先の一覧と、契約に安全管理の条項があるかを示します。再委託がある場合は、その先についても担保を求められることがあります。一覧を先に作っておくのが確実です。

回答した内容は守る義務がありますか

契約の一部として扱われる場合があります。回答と実態が違えば、監査や事故のときに問題になります。できていないことをできていると書かないでください。

回答の雛形を作る

同じ種類の確認票は、何社からも届きます。毎回ゼロから答えていると、1件あたり数時間かかります。雛形を作れば、数十分で終わります。この差は、営業の速さに直結します。

雛形の作り方は、項目ごとに「回答の文」と「根拠の場所」を対で持つ形です。回答の文はそのまま貼れる形にし、根拠の場所には規程の名前と該当する条を書きます。

項目の分類は、5つ程度で足ります。組織と体制、個人情報の扱い、情報の管理と持ち出し、委託先の管理、事故への対応。確認票の項目は、多くがこの5つに収まります。

雛形には更新の日付を入れてください。規程を見直したら、雛形の回答も直す必要があります。古い回答をそのまま出すと、実態と食い違います。年1回、雛形を見直す日を決めるのが実務的でしょう。

誰が管理するかも決めます。多くの会社では、総務か情報を管理する部署が持ちます。営業が直接答えると、会社ごとに違う内容になります。窓口を1か所にまとめてください。

営業の場面で先に出す

確認票が来るのを待つのではなく、こちらから先に示すという手があります。提案の資料にセキュリティの状況をまとめた1枚を添える。これで、確認の工程が短くなります。

この形の利点は3つあります。1つ目は、選定の途中で確認が止まらないこと。2つ目は、整えている会社だという印象になること。3つ目は、対応していない競合との差になることです。

載せる内容は1枚に収めます。情報セキュリティの方針の有無と制定の年、個人情報の取扱いの手順の有無、自己宣言や認証の状況、委託先の管理の方法、事故時の連絡の経路。これだけで、多くの確認に足ります。

公開できる範囲には気をつけてください。使っている道具の名前、設定の詳細、担当者の連絡先。これらは攻撃の手がかりになる情報です。枠組みは示しても、中身は示さない形にします。

この1枚を作ると、副産物があります。自社の状況が整理されるため、何が足りないかが分かります。営業の資料を作る作業が、そのまま対策の点検になります。

委託先の管理をどう示すか

再委託の確認は、答えるのが難しい項目です。自社の対策なら把握していますが、委託先の対策までは見ていないことが多いためです。ここは、先に一覧を作ることで解けます。

一覧に書く内容は4つです。委託先の名称、任せている業務の内容、個人情報を渡しているか、契約に安全管理の条項があるか。この4列の表を作れば、多くの項目に答えられます。

作ってみると、問題が見つかります。契約に安全管理の条項がない委託先、個人情報を渡しているのに取り決めがない相手。一覧を作る作業自体が、リスクの洗い出しになります。

見つかった問題への対応は、契約の更新の機会に条項を足す形が現実的です。すべてを一度に直そうとすると相手方との交渉が同時に発生します。更新の時期に合わせて順に直してください。

マーケティングの現場では、委託先が多くなりがちです。制作会社、ライター、広告の代理店、各種の道具の提供者。道具の提供者も委託先に当たる場合があるため、一覧から漏らさないでください。

使っている道具を棚卸しする

確認票では、外部の道具や仕組みについても問われます。どのサービスを使っているか、そこにどのデータを置いているか、どこの国のサーバーにあるか。答えるには、棚卸しが前提になります。

マーケティングの部門は、この棚卸しが難しい部門です。解析の道具、配信の仕組み、図を作る道具、画面を共有する仕組み。現場の判断で導入したものが多く、全体の把握が難しくなっています。

棚卸しの方法は2つあります。1つは、経費の記録から支払っている先を洗い出すこと。もう1つは、担当者に使っている道具を書き出してもらうことです。無料のものは前者では見つからないため、両方が必要です。

一覧には、どのデータを置いているかを書いてください。顧客の名前が入っているか、連絡先が入っているか、社外に出せない資料が入っているか。この情報が、確認票の回答の中心になります。

棚卸しの結果、使っていない道具が見つかります。契約が続いているのに誰も使っていないもの、試したまま残っているもの。解約すれば、答える対象が減り費用も下がります。

事故のときの体制を1枚にする

確認票で必ず問われるのが、事故が起きたときの体制です。そして、多くの会社でここが最も薄い部分になっています。起きてから考える前提になっているためです。

書くべきことは3つで足ります。1つ目は誰が第一報を受けるか。2つ目は誰が判断するか。3つ目は取引先にいつ知らせるかです。この3つを1枚に書けば、多くの項目に答えられます。

個人情報が漏れた場合については、報告と通知の期限が法令で定められています。この期限を1枚に書き込んでおくと、実際に起きたときにも役に立ちます。確認票への回答としても、具体性が示せます。

取引先への連絡については、契約の中に期限が書かれている場合があります。「24時間以内に通知する」といった条項です。この条項を1枚に反映しておかないと、実際の場面で守れません。

そして、この1枚を関係する人が見られる場所に置く。誰かの手元にあるだけでは、その人が不在のときに機能しません。壁に貼る形でも構いません。

教育の記録を残す

確認票でよく問われるのに見落とされているのが、従業員への教育です。規程を作っても、現場が知らなければ意味がありません。確認する側も、この点を見ています。

問われるのは3点です。教育を実施しているか、どのくらいの頻度か、そして実施した記録があるか。3つ目が抜けていると、「やっています」と答えても根拠が示せません。

実施の形は、凝ったものでなくて構いません。年1回、30分の説明の場を設ける。資料は数枚で足ります。怪しいメールへの対応、情報の持ち出しの禁止、事故のときの連絡先。この3点を伝えれば実質的な意味があります。

記録として残すのは、実施した日付、参加した人の一覧、使った資料です。この3つを1つのフォルダにまとめておけば、確認票の回答にそのまま根拠として書けます。

新しく入った人への対応も問われます。年1回の場に間に合わない人が出るため、入社のときの手続きにこの説明を組み込んでおく。受け取ったことの署名をもらえば、記録としても機能します。

やってはいけない対応

確認票への対応で、後から大きな問題になる型があります。共通しているのは、その場を通すために実態と違うことを書いていることです。

• できていない項目を、できていると書く
• 各項目に「規程があります」とだけ書き、根拠を添えない
• 営業が個別に答え、会社ごとに違う内容になる
• 使っている道具の設定の詳細まで書いて渡す
• 回答したあと、規程を見直したのに雛形を直さない

1つ目は、最も重い問題になります。回答が契約の一部として扱われる場合、実態との食い違いは契約の解除や賠償につながる可能性があります。できていないことは、正直に書いてください。

4つ目は、善意で起きます。詳しく答えたほうが親切だと考えて、設定の詳細まで書く。しかしその情報は、攻撃の手がかりになります。枠組みは示しても、中身は示さない線を守ってください。

• 回答は契約の一部として扱われる場合がある。実態と合わせる
• 設定の詳細や道具の名前は、攻撃の手がかりになる
• 規程を見直したら、回答の雛形も直す

準備の手順

最後に、確認票が来る前に揃える手順を示します。3か月程度で、多くの項目に答えられる状態になります。

着手前に確かめること

準備に入る前に、次の項目を確かめてください。現状を把握しないまま規程を作ると、実態と合わない文書ができます。

• 過去に届いた確認票を集め、問われた項目を洗い出したか
• 公的な手引きの項目で、自社の状況を採点したか
• 情報セキュリティの基本の方針があるか。制定の日と承認者が書かれているか
• 委託先の一覧があるか。契約に安全管理の条項があるか確かめたか
• 使っている外部の道具を、無料のものまで含めて洗い出したか
• 各道具にどのデータを置いているかを把握しているか
• 事故のときの連絡の経路が1枚にまとまっているか
• 回答の窓口を1か所に決め、雛形の更新の担当を決めたか

1つ目から始めるのが、いちばん効率がよいでしょう。過去に届いた確認票には、実際に問われる項目が並んでいます。架空の想定で準備するより、実物を見るほうが早く正確です。

まとめ

取引先からの確認は、取引の連なりの弱点を狙う攻撃が増えたことから広がりました。疑われているのではなく、発注する側が自社を守る必要から来ています。答えられないことは、選定から外れる理由になり得ます。来る前に揃えておけば、数分で終わる作業です。

回答では、「規程があります」だけでは足りません。いつ、誰が、どこまでを添えてください。揃える順番は、基本の方針、個人情報の取扱いの手順、委託先と道具の一覧、事故のときの体制。公的な機関の手引きを土台にし、自己宣言の制度から始めるのが現実的です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。