データ処理・分析・システム運用を外部ベンダーに委託している企業は少なくありません。便利な一方で、委託したデータのガバナンスが自社の管理外になるリスクがあります。しかも、ベンダーの不適切な取り扱いの責任を、委託元が負うこともあります。本記事では、外部委託しているデータのガバナンスをどう確保するかを解説します。
外部委託データに潜むリスク
データを外部ベンダーに委託すると、そのデータは自社の直接の管理下を離れます。ベンダーがどうデータを扱っているかが見えにくくなり、ガバナンスが効きにくくなります。これが外部委託の根本的なリスクです。
さらに重要なのが、責任の所在です。ベンダーのデータ取り扱いが不適切で、たとえば情報漏洩が起きた場合でも、その責任は委託元の企業が負うケースがあります。「ベンダーがやったこと」では済まされないのです。だからこそ、委託先のガバナンスを確保する仕組みが欠かせません。
委託契約に盛り込むべき5つの要件
外部委託データのガバナンスは、まず契約で要件を定めることから始まります。委託契約には、次の5つを盛り込みましょう。
- ① データ処理の目的制限：委託した目的以外にデータを使用してはならないことを明記する。
- ② セキュリティ要件：暗号化・アクセス管理・インシデント対応の基準を定める。
- ③ 監査権：委託先のデータ取り扱いを監査する権利を契約に含める。
- ④ 再委託の制限：委託先が第三者に再委託する場合の承認プロセスを定める。
- ⑤ データの返還・削除：契約終了時のデータ返還または安全な削除を義務付ける。
これらを契約に明記することで、ベンダーに対してガバナンスの要件を課せます。
「目的制限」と「再委託の制限」がとくに重要
5つの要件の中でも、とくに注意すべきが①の目的制限と④の再委託の制限です。委託したデータが、当初の目的を超えて使われたり、知らないうちに第三者に渡ったりすると、自社のコントロールが完全に失われます。
目的制限では、「このデータは委託した業務のためだけに使う」ことを明確にします。再委託の制限では、ベンダーがさらに別の業者にデータを渡す場合に、自社の承認を必要とします。これらがないと、データがどこまで広がっているか把握できなくなります。データの行き先を自社が把握・コントロールできる状態を保つことが、外部委託のガバナンスの核心です。データ活用ポリシーの考え方はデータ活用ポリシーの作り方と記載すべき内容もあわせてご覧ください。
契約だけでは不十分——定期的な確認
契約で要件を定めることは出発点ですが、それだけでは不十分です。契約書に書いてあっても、実際に守られているかは別問題だからです。定期的に委託先のデータ取り扱い状況を確認する仕組みが必要です。
確認の方法には、いくつかあります。年1〜2回を目安に、次のような方法で委託先の状況を確かめます。
- アンケートによる自己評価：委託先にチェックリストへの回答を求める。
- 現地監査：実際に委託先を訪問し、取り扱いを確認する。
- 第三者認証の確認：委託先が取得しているセキュリティ認証を確認する。
契約と定期確認の両輪で、外部委託データのガバナンスを継続的に確保します。
委託先選定の段階から考える
外部委託データのガバナンスは、実は委託先を選ぶ段階から始まっています。契約や監査でいくら縛っても、もともとデータの扱いがずさんなベンダーでは、リスクは高いままです。委託先を選ぶ際に、データの取り扱い体制を評価することが重要です。
具体的には、セキュリティ認証の取得状況、過去のインシデントの有無、データ取り扱いの方針などを確認します。価格や機能だけでなく、「データを安心して預けられるか」という観点を選定基準に含めましょう。信頼できるベンダーを選ぶことが、外部委託データのガバナンスの土台になります。ベンダーの見極め方はAIベンダーに騙されないための提案書の読み方も参考になります。
外部委託データのガバナンス チェックリスト
- 契約に目的制限を明記したか
- セキュリティ要件を定めたか
- 監査権を契約に含めたか
- 再委託の承認プロセスを定めたか
- 契約終了時のデータ返還・削除を義務付けたか
- 定期的に委託先の取り扱い状況を確認しているか
クラウドサービス利用も「外部委託」
外部委託というと、特定のベンダーへの業務委託を思い浮かべがちですが、クラウドサービスの利用も実質的な外部委託です。データをクラウド上のサービスに預ける以上、そのデータのガバナンスを確保する必要があります。近年、クラウドサービスの利用が当たり前になる中で、この視点はますます重要になっています。
クラウドサービスを使う際も、委託と同じ観点で確認すべきことがあります。データがどこに保管されるか、入力したデータが学習などに使われないか、サービス提供者のセキュリティ体制はどうか——こうした点を、利用規約や契約で確認します。とくに、AIサービスにデータを入力する場合は、そのデータの扱いに注意が必要です。便利だからと無防備に使うのではなく、クラウドサービスも「データを預ける相手」として、適切にガバナンスを効かせることが重要です。AIに社内データを使う際の注意点はAIに社内文書を学習させる際のリスクと対策もあわせてご覧ください。
「丸投げ」せず、関与し続ける
外部委託で陥りやすいのが、「専門家に任せたから安心」と丸投げしてしまうことです。しかし、データのガバナンスの最終責任は、あくまで委託元にあります。委託したからといって、責任まで委託できるわけではありません。委託先に任せつつも、自社が関与し続ける姿勢が重要です。
関与し続けるとは、定期的に状況を確認し、問題があれば指摘し、改善を求めることです。委託先との良好な関係を保ちながらも、「預けたデータがどう扱われているか」に常に関心を持ち続ける。この姿勢があってはじめて、外部委託データのガバナンスは確保されます。委託は責任の放棄ではなく、適切に管理しながら外部の力を活用することだと理解しましょう。自社が当事者意識を持ち続けることが、外部委託を安全に活かす鍵です。
よくある質問
Q. 中小企業でもここまで契約で縛る必要がありますか？
A. 規模を問わず、個人情報や重要データを委託する場合は必要です。漏洩時の責任は委託元が負うため、最低限、目的制限・セキュリティ要件・削除義務は契約に含めるべきです。ひな型を活用すれば、負担を抑えて整えられます。
Q. 大手ベンダーなら安心して任せられますか？
A. 大手でも、契約と確認は必要です。規模が大きくても、再委託の状況やデータの取り扱いは確認すべきです。むしろ大手ほど再委託が多い場合もあるため、データの行き先を把握することが重要です。
Q. 監査権を契約に入れても、実際に監査できますか？
A. 現地監査が難しい場合は、アンケートによる自己評価や、第三者認証の確認で代替できます。重要なのは、何らかの方法で定期的に状況を確認する仕組みを持つことです。監査権は、その根拠になります。
Q. 海外のベンダーに委託する場合の注意点は？
A. 国によってデータ保護の法制度が異なるため、注意が必要です。個人情報を海外に移転する場合は、法的な要件を確認しましょう。データの保管場所や適用される法律を契約で明確にすることが重要です。
Q. 契約終了後のデータはどうすべきですか？
A. 契約で定めた通り、返還または安全な削除を求めます。削除した証明を求めることも有効です。委託先にデータが残り続けると、後々のリスクになります。終了時のデータの扱いは、契約段階で明確にしておきましょう。
まとめ
外部委託したデータも、ガバナンスの責任は委託元にあります。目的制限・セキュリティ・監査権・再委託制限・返還削除を契約に盛り込み、定期的に委託先の状況を確認しましょう。委託先選定の段階からデータの取り扱い体制を評価することが、リスクを抑える土台になります。
DSB Consultingでは、外部委託を含むデータガバナンスの整備を支援しています。相談したい方はデータガバナンス支援をご覧ください。