IT業務を外部委託するときのポイント：情シス・開発・保守

最初に決めるのは「何のために委託するか」

IT業務の外部委託は、目的によって最適な形が大きく変わります。「担当者が退職して回らない」「本来の企画業務に時間を使いたい」「専門スキルが社内にない」「夜間・休日の対応を任せたい」――同じ「外部委託」でも、求めるものは人手なのか、専門性なのか、対応時間なのかで、委託範囲も契約の形も、委託先に求める条件も違ってきます。

目的があいまいなまま委託を始めると、「頼んだつもりの作業がやられていない」「社内に何も残らない」といった不満につながりがちです。まずは委託で解決したい課題を一文で書き出し、関係者と共有しておくことをおすすめします。

委託に向く業務・向かない業務

すべての業務が外部委託に向くわけではありません。一般的には、次のような傾向があります。

委託に向く業務

• 手順や判断基準を言葉にできる定型業務：アカウントの発行・削除、PCのキッティング、問い合わせの一次対応など
• 専門性が必要だが、社内で常時は必要ない業務：クラウド基盤の構築、セキュリティ診断、システム移行など
• 量や時期に波がある業務：繁忙期の開発、入退社が集中する時期のヘルプデスク対応など
• 継続的な監視・保守：OSやミドルウェアの更新、ログやバックアップの確認、障害時の一次切り分けなど

委託に向かない（社内に残すべき）業務

• IT投資の優先順位づけや予算の決定など、経営判断そのもの
• 業務部門との調整を通じて「何を作るか・何をやめるか」を決める仕事
• 委託先の成果を評価し、契約を見直す仕事

ポイントは、「作業」は委託できても、「判断と責任」は社内に残るという点です。この線引きは、後述する「社内に残すべき役割」とも直結します。

部分委託と全面委託の考え方

委託範囲は大きく「部分委託」と「全面委託」に分けられます。

初めて外部委託を検討する場合は、効果を確かめやすい部分委託から始め、うまくいった範囲を段階的に広げていく進め方が現実的です。全面委託を選ぶ場合でも、委託先が作成した手順書や構成情報を社内で保管し、いつでも内容を確認できる状態を保つことが重要です。

リモートと常駐（オンサイト）の使い分け

作業場所も重要な選択肢です。開発や保守、監視の多くはリモートで対応できますが、PCの設置・交換、ネットワーク機器の作業、来訪者や社員への対面サポートなど、現地でしかできない業務もあります。

• リモートが向く業務：開発、クラウドやサーバーの運用、監視、チャットやチケットで完結する問い合わせ対応
• 常駐・訪問が向く業務：機器のセットアップ、社内ネットワークの障害対応、対面でのヘルプデスク

日常はリモートで対応し、必要なときだけ訪問する、あるいは週の一部だけ常駐するといった組み合わせも可能です。

なお、常駐型の業務委託では、発注者が委託先の担当者に直接、作業の進め方や勤務時間を指示しないことが重要です。指揮命令は委託先の責任者を通じて行う必要があり、実態として発注者が直接指示している場合は、いわゆる「偽装請負」と判断されるおそれがあります。詳しくはシステム開発の請負契約と準委任契約の違いで解説しています。

引き継ぎとドキュメントが成否を分ける

外部委託がうまくいくかどうかは、開始時の引き継ぎでほぼ決まると言っても過言ではありません。少なくとも次の情報は、委託開始前に整理しておきましょう。

• システム・機器・アカウントの一覧（構成図、利用中のクラウドサービス、契約の更新日を含む）
• 日次・月次の定常作業と、その手順書
• 過去の障害や問い合わせの記録、よくある質問
• 保守契約やライセンス、ベンダーの連絡先
• 判断に迷ったときのエスカレーション先と、緊急時の連絡ルール

手順書がない場合は、引き継ぎ期間中に委託先と一緒に作成していくのも有効です。大切なのは、ドキュメントを委託先の手元だけに置かず、社内でも保管・閲覧できるようにしておくこと。そうしておけば、委託先を変更する場合や、将来業務を社内に戻す場合にも困りません。

情報セキュリティ：NDA・権限・ログ

外部委託では、社外の人が社内のシステムや情報に触れることになります。最低限、次の3点は委託開始前に取り決めておきましょう。

1. 秘密保持契約（NDA）と契約上の取り決め

秘密保持の範囲、委託終了時のデータの返却・削除、再委託の可否と条件などを契約で明確にします。個人データの取扱いを委託する場合、個人情報保護法第25条は、委託元に対して委託先への「必要かつ適切な監督」を求めています（出典：個人情報の保護に関する法律（e-Gov法令検索））。

2. 権限は必要最小限に

委託先の担当者には個人ごとのアカウントを発行し、共有アカウントは避けます。付与する権限は業務に必要な範囲に限り、委託範囲の変更時や担当者の交代時には必ず見直します。管理者権限を使う作業は、事前申請や作業後の報告をルール化しておくと安心です。

3. 作業ログと定期的な確認

誰が・いつ・何をしたかを後から確認できるよう、作業記録やアクセスログを残します。ログは取るだけでなく、定期的に確認する担当者を社内で決めておくことが大切です。

社内のセキュリティ対策全体の考え方は、独立行政法人情報処理推進機構（IPA）の中小企業の情報セキュリティ対策ガイドラインも参考になります。

委託先の選び方

価格だけで委託先を選ぶと、品質や対応範囲で後悔することがあります。次のような観点で比較すると判断しやすくなります。

• 自社と近い規模・業種・システム構成での対応経験があるか
• 委託範囲・対応時間・連絡方法が、契約書や仕様書で具体的に定義されているか
• 担当者が交代するときの引き継ぎ方法が決まっているか
• 作業内容や問い合わせ件数などを、定期的に報告してくれるか
• セキュリティに関する社内ルールや、再委託の有無を説明できるか
• 保守だけでなく、改善や将来のシステム更新についても相談できるか

可能であれば、本格的な契約の前に、小さな範囲や短い期間で試してみると、コミュニケーションの相性や対応品質を確かめられます。

社内に残すべき役割

外部委託を進めても、社内にゼロにしてはいけない役割があります。専任である必要はありませんが、次の役割は必ず社内の誰かが担うようにしましょう。

• 窓口・責任者：委託先との連絡窓口となり、優先順位を判断する人
• 評価者：報告内容を確認し、契約どおりに業務が行われているかを評価する人
• 情報資産の管理者：アカウント、ライセンス、契約、ドキュメントの所在を把握している人
• 企画者：業務部門の要望を聞き、IT投資の方向性を考える人

これらの役割を社内に残すことで、委託先に依存しすぎず、必要に応じて委託先や委託範囲を見直せる状態を保てます。

まとめ

• 委託の目的（人手・専門性・対応時間）を明確にしてから、範囲と形を決める
• 部分委託から始め、効果を確かめながら範囲を広げるのが現実的
• リモートと常駐は業務ごとに使い分け、常駐でも指揮命令は委託先の責任者を通す
• 引き継ぎ資料は社内でも保管し、NDA・最小権限・ログの3点を事前に取り決める
• 「判断・評価・情報資産の管理」は社内に残す

コエラーン・テクノロジー（Koelearn Technology）では、IT業務委託として、情シス・ヘルプデスク代行、エンジニア常駐（オンサイト）、長期運用保守まで、必要な範囲だけを切り出してお任せいただけます。委託範囲の整理からでもお気軽にご相談ください。