【2026年2月20日】企業様向けブレストセミナーを開催しました！

情報システム部だけでリードするのではなく、業務部門の「IT好き」な人を巻き込み、協力体制を築く。大企業ベンダーは業務要件定義をうまくしてくれる場合もあるでしょうが、小規模のベンダーは「パッケージを売らないと稼げない」ため、お客様の要件をきっちり整理できないのが現状だと思われる。ユーザー側で業務フロー作成等を通じて、現状を「見える化」することが重要。
なお、弊社では、単に我々が代理で業務フロー作成をするのではなく、お客様に「見える化」の方法を一緒に覚えてもらうことを大事にしている。

「外注」か「内製」かをゼロ百で決めるのはなく、例えば、アドオン・スクラッチが必要な「プログラム」（ユーザー側から見てブラックボックス）はベンダー開発に任せ、パッケージの「設定方法」は学びながらユーザー側で把握できるように切り分けをするのもよい。

業界用語で話が通じるからといって、「分かっているだろう」とベンダー任せにするのは危険です。
ベンダーは業界やシステムには詳しくても、「自社の課題や実現したい姿」まで理解しているとは限りません。
また、業務改革や低コストで最適なシステム導入を実現してくれる保証もありません。
ベンダーはあくまでシステムの専門家であり、業務プロセスや内部統制、組織体制といった領域は本来企業側が考えるべきものです。
この点は、経営層にも共有しておくことが重要。

いきなりすべてを網羅することは難しいので、順に対応するとよい。
許容範囲を考える際には、会社・事業にとって「守るべき」ものをきっちり洗い出すことが大事。
また、重要性の定義を大中小、濃淡を付けて線引きし、対応順序を考えるとよい。

「今回はここまで」と区切りをつけながら対策するしかない。相手（サプライヤー）の都合もあるため、相手のセキュリティを厳しくしなくてはいけない部分に対する対策や、クラウド利用など、多くのサプライヤーに関わる対策から着手することをおすすめする。

まずは自社の基本（星3レベル）を固める。星４レベルを顧客から要求された場合を想定するとしても、応えるために「前段階」の星3レベルをまずはクリアすることが肝要。

現場の人は大変だとは思いますが、要求されたレベルを勝手に下げるわけにはいかないため、サプライヤーごとのチェックリストで、対応を依頼するべき。

リスク管理上、相手が個人でも一定の基準は必須。守れない場合は取引不可とするなど、毅然としたルール運用を行うべき。

既存の認証と今回のチェックリストは別物。
１つのチェックで、両方網羅できる様にまとめるのも良い。