ひとり情シスの課題と限界：リスクの整理と外部活用の考え方

ひとり情シスの課題は、担当者が多忙であること自体では判断できません。重要システムの権限、契約更新、障害時の連絡、バックアップからの復旧、基幹システム刷新の意思決定が一人に集中しているなら、担当者の不在が事業停止につながる体制リスクです。

本記事では、単独依存の状態を点検し、守るべき対象に優先順位を付ける方法を解説します。自社で先に是正する対象、経営判断へ上げる対象、外部支援を活用する対象を分けて判断できるようになります。

ひとり情シスの課題は業務量だけでなく、重要情報や判断が一人に集中しているかで整理します。

01Sectionひとり情シスの限界は「業務量」ではなく単独依存で判断する

ひとり情シスは正式な職種区分ではなく、IT運用・統制・改善・プロジェクト業務が実質的に一人へ集中している状態です。従業員数だけで限界を決めることはできません。止められない業務の停止許容時間、管理者権限の集中、代替者の有無、期限がある課題を基準に確認します。

業務を4種類に分けて棚卸しする

日常の問い合わせ件数だけでは負荷を捉え切れません。定常作業に障害対応や更新期限、基幹刷新が重なる構造を可視化します。

体制見直しが必要なサイン

次の状態が重なる場合は、一時的な繁忙ではなく体制の見直しを検討する段階です。

• 重要システムの管理者権限や復旧方法を、一人しか把握していない
• 契約、保守、ドメイン、証明書などの更新期限が個人のメールや記憶に残っている
• 障害時に誰が連絡し、誰が業務停止や切替を判断するか決まっていない
• 定型依頼に追われ、権限棚卸し、バックアップ確認、手順更新が後回しになっている
• 基幹システムの保守終了や刷新案件を、通常運用と同じ担当者の片手間で進めている

資産管理、自己診断、インシデント対応の確認には、IPA「中小企業の情報セキュリティ対策ガイドライン」も参照できます。これは必要人員数を決める資料ではなく、資産・権限・対応手順の抜けを確認する入口として活用できます。

単独依存度を点検する

重要システムの単独管理者、復旧不能、保守終了目前、個人データを扱う委託先管理の未確認がある場合は、該当数にかかわらず優先対応が必要です。

02Section最初に守るべきリスクを採点して優先順位を決める

すべての課題を同時に解決しようとすると、日々の依頼処理に押し戻されます。対象資産と想定事象ごとに、影響と復旧の難しさ、期限を採点し、短期是正・経営判断・外部相談へ振り分けます。

最初に確認する対象は、認証・管理者権限、メールや基幹システムなどの重要業務基盤、バックアップと復旧、契約・保守期限、障害時の連絡体制です。個人データを外部委託している場合は、委託先の管理も別途確認します。

リスク採点表と基幹システムの記入例

採点は比較の補助です。事業影響が大きく復旧が難しい対象や、期限が迫る対象は優先して扱います。

各軸を1〜3点で評価します。合計は比較の補助であり、機械的な優先順位ではありません。停止許容時間、代替手段、取引先との契約上の要件は、業務部門と確認してください。

IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」では、資産管理、バックアップ、資産を基準にしたリスク分析を確認できます。自社の採点表は、こうした確認観点を優先順位付けに使うための補助として作成します。

採点後の振り分け方

共同管理者の設定、台帳更新、連絡網の整備など、担当と期限を決めれば短期に着手できるものは自社内で是正します。一方、保守終了への対応、復旧手段がない重要基盤、基幹刷新の方針は、投資・優先順位・業務停止許容の判断を要するため経営層へ上げます。技術調査、復旧設計、移行計画、テスト設計に社内の知見や時間が足りない場合は、外部相談を並行する選択肢があります。

03Section退職・休職に備え、権限・契約・復旧情報を組織で管理する

退職・休職によって失われやすいのは、手順書だけではありません。クラウドやSaaSの管理者、ドメイン・証明書、ネットワーク設定、バックアップ情報、保守窓口、例外対応の判断履歴が個人にひも付いていると、後任がいても運用を再開できないことがあります。

平時から台帳化する管理項目

重要対象ごとに、少なくとも次の5点を結び付けて管理します。

1. 1業務責任者と停止時の影響
2. 2個人識別可能な共同管理者と代替担当者
3. 3契約名義、保守窓口、更新期限
4. 4設定・手順書・バックアップ情報の保管場所
5. 5障害時の連絡先、初動手順、復旧判断者

退職や長期不在が起きた際は、本人アカウントの変更・無効化を急ぐ前に、業務継続に必要な代替アクセスと緊急連絡経路を確認します。雇用上の手続きは人事・法務の確認対象とし、IT管理では権限、契約、復旧、未完課題の引継ぎに集中します。

委託後も管理主体を手放さない

外部委託を開始しても、自社が契約名義、主要管理者、設定・台帳・手順書の保管先、終了時の返却・引継ぎを確認できる状態を保つ必要があります。委託先の担当者だけが分かる状態に移すと、単独依存の対象が社外へ移るだけです。

システムの構成や設定を組織として説明できなくなるブラックボックス化への対処はシステムのブラックボックス化の原因と解消アプローチで、業務知識が特定の担当者に集中する属人化の解消手順は属人化の原因・リスクと解消の進め方で、それぞれ詳しく解説しています。

04Section基幹システム刷新は通常運用と分けて体制化する

基幹システム刷新は、製品を選んで設定するだけの作業ではありません。業務部門の例外処理、データ、権限、移行、テスト、稼働後の運用までを扱います。通常運用の片手間に置くと、要件の取りこぼしや判断の滞留が起きやすくなります。

先に押さえたい5つの用語

• 要件定義：新しい仕組みで実現したい業務、利用者、データ、例外処理、優先順位を合意できる形にする工程です。
• 非機能要件：性能、可用性、権限、セキュリティ、バックアップ、復旧、保守など、画面や帳票以外の必要条件です。
• PMO：進捗、課題、会議、関係者調整を支え、判断が必要な事項を見える化する役割です。経営・業務上の最終判断を代行するものではありません。
• 受入：自社が業務要件、テスト基準、運用条件を満たすか確認し、稼働へ進むか判断することです。
• 検収：契約書と個別仕様に基づいて、成果物や作業を確認する扱いです。対象、方法、時期は契約条件により異なります。

上流工程でリスクを明らかにし、利用企業と支援側で対策を合意する考え方は、IPA「要件定義・システム再構築」も参考になります。

工程ごとに自社の判断と外部の作業を分ける

外部支援を活用しても、投資目的、業務要件、受入判断などの最終判断は自社で担います。

次の表は、自社の合意形成と発注条件の整理に使う補助です。民間企業に一律に適用される規程ではないため、対象業務、既存契約、法規制、システム構成に合わせて調整してください。

役割分担をより具体的に検討する際は、基幹システム刷新を外部と進める際の考え方も参照してください。

05Section外部活用は「任せる作業」と「自社に残す判断」を分ける

外部活用は必要な作業や専門性を補う手段です。優先順位や重要な承認・受入判断は自社側に残します。

外部活用は、採用の代替や丸投げではなく、負荷削減、専門性の補完、刷新の推進力を必要な範囲で調達する方法です。まず、何を減らしたいのかを定型業務、専門課題、プロジェクト推進に分けます。

どの類型でも、対象外業務、代替要員、重大障害時の連絡、再委託、変更時の扱い、終了時の引継ぎが書面で確認できない候補は保留します。特に、自社側で投資目的、業務要件、権限承認、重大障害の事業判断、受入・検収の担当者を置けない場合は、委託範囲を広げる前に社内の責任者を定める必要があります。

06Section費用・契約・受入は同じ前提条件で比較する

外部支援の費用は、対象業務、利用者・端末・拠点・システム数、対応時間、緊急対応、オンサイト、初期引継ぎ、成果物、契約期間で変わります。公開情報だけでは同じ条件で比較しにくいため、支援類型を混ぜず、条件をそろえた見積比較が必要です。

初年度総費用と比較条件をそろえる

候補ごとに同じ支援類型・対象範囲・契約期間を記入します。対象外条件が異なる案は、金額順位ではなく別案として扱います。

初年度比較額は、次の式で整理します。

初年度比較額 ＝ 初期費用 ＋ 継続費用 ＋ 追加費用見込み ＋ 移行・引継ぎ費 ＋ 自社工数換算額

自社工数換算額は、「要件整理・定例・データ準備・テスト・受入の合計時間 × 社内換算単価」です。換算単価を置かない場合でも、時間は別枠で記録すると、外注費だけでは見えない負担を比較できます。

請負・準委任では確認の中心を分ける

e-Gov法令検索「民法」では、請負は仕事の完成を約する契約として、準委任は法律行為でない事務の委託に委任の規定を準用するものとして整理されています。

導入・刷新支援を請負として整理する場合は、成果物、レビュー、テスト、受入条件、変更時の協議方法を中心に確認します。継続運用支援を準委任として整理する場合は、対象業務、対応体制・時間、対応実績、定例報告、エスカレーション、手順書更新を継続的に確認します。仕様、プロジェクト管理、検収方法などの論点は、IPA「情報システム・モデル取引・契約書（第二版）」も参考になります。

07Section30日・90日・継続改善で体制リスクを減らす

30日・90日は全資産の整備完了を保証する期限ではありません。資産数、拠点、既存台帳、基幹システムの複雑性、取引先要件に応じて、重要対象から順に進めるための目安です。

経営層へ相談する際は、個人の業務量ではなく、次の事実を1枚にまとめます。

• 停止すると影響が出る業務・システムと、代替手段の有無
• 単独管理者、復旧未確認、契約・保守期限などの未解決事項
• 放置した場合の停止、権限不備、契約失効、刷新遅延のリスク
• 自社での複数担当化、定型業務の移管、スポット支援、刷新支援という選択肢
• 優先順位、責任者、予算化、外部相談について求める判断

事業影響が大きく復旧が難しい対象や、保守終了・契約期限が迫る対象がある場合は、30日・90日の計画を待たずに経営判断と外部相談を並行します。一方、重要対象の共同管理、連絡網、台帳、復旧手順が確認でき、期限付きの重大課題も管理できている場合は、定型業務の手順化や継続的な改善から進められます。

基幹システム刷新の体制・依頼条件を整理したい場合

単独依存の解消と基幹システム刷新を並行して進める場合は、対象範囲、社内に残す判断、必要な支援作業、受入条件を整理したうえで、導入支援の候補を比較します。

ERP導入564社掲載

ERP導入の支援先を探す