ISMSは管理システムの第三者評価
情報セキュリティを組織的に管理する仕組みが規格に適合するかを第三者が評価します。
根拠1を確認結論は、認証の有無を入口にし、事業者・対象範囲・有効性を確認した後、自社業務のID、権限、再委託、事故、終了を実運用で確かめることです。認証なしの場合も同じ確認軸で証拠を評価します。
経理代行・ISMS・Pマーク確認ガイド
ISMSやプライバシーマークがあれば、経理代行は自動的に安全と言い切れるのでしょうか。認証は、一定の仕組みを第三者が評価した重要な材料です。しかし、認証書に記載された事業者と契約相手が同じか、委託予定の拠点・業務・システムが対象範囲に含まれるか、有効期限内かを確認しなければ、自社の委託判断には直結しません。さらに、個別ID、権限、在宅勤務、再委託、事故連絡、終了時の返却・削除は、自社が実際に渡すデータと運用に合わせて確認する必要があります。 この記事はISMS・Pマークの認証範囲を委託予定業務へ重ねる方法を扱います。個別対策の証跡はNo.578、在宅勤務の実運用はNo.580で確認します。
認証確認表には、認証名、事業者名、登録番号、有効期限、対象組織、所在地、事業・業務、適用範囲を記載します。別欄に、契約法人、実務担当拠点、利用システム、在宅勤務、再委託先、扱うデータ、会社に残す承認を置きます。二つを重ね、含まれる、一部含まれる、対象外、不明に分けます。対象外だから直ちに不可とせず、同等の規程、設定、ログ、点検、契約条件で補えるかを確認します。認証があっても、自社条件とずれる部分は追加対策を求めます。
QUICK ANSWER
認証書の名義、有効性、対象拠点・業務・システムを確認し、自社の委託範囲と一行ずつ照合します。
| 確認区分 | 見る範囲 | 完了条件 |
|---|---|---|
| 認証事業者と契約相手 | 法人名・商号・所在地・契約相手・関連会社・提供主体 | 認証主体と処理主体の関係が分かる |
| 対象組織・所在地 | 本社・支店・センター・在宅・海外・クラウド環境・除外組織 | 実務担当の場所が範囲内か説明できる |
| 対象業務・システム | 事業・サービス・業務工程・情報資産・利用システム・除外 | どの工程が認証管理下か分かる |
| 登録番号・有効性 | 登録番号・初回登録・有効期限・更新・一時停止・認証機関 | 現在有効な登録を確認できる |
| 個人情報の範囲 | 顧客・取引先・従業員・給与・口座・マイナンバー・目的・委託 | 目的と取扱条件を説明できる |
認証は一定のマネジメントシステムを評価する材料です。個別の支払、給与、ファイル共有等が自動的に保証されるとは扱いません。
EVIDENCE & DECISION
各制度の公式説明と、委託先監督の考え方を参照します。

グループ会社の認証を契約法人の認証と誤認する
認証外の拠点や在宅担当が処理する
会社全体の認証でも経理代行サービスが対象外である
古い認証書や失効情報で判断する
法人名・商号・所在地・契約相手・関連会社・提供主体が提案書、メール、管理画面、担当者説明へ分散し、グループ会社の認証を契約法人の認証と誤認する理由と現在の状態を比較表から追えないためです。
本社・支店・センター・在宅・海外・クラウド環境・除外組織が提案書、メール、管理画面、担当者説明へ分散し、認証外の拠点や在宅担当が処理する理由と現在の状態を比較表から追えないためです。
事業・サービス・業務工程・情報資産・利用システム・除外が提案書、メール、管理画面、担当者説明へ分散し、会社全体の認証でも経理代行サービスが対象外である理由と現在の状態を比較表から追えないためです。
登録番号・初回登録・有効期限・更新・一時停止・認証機関が提案書、メール、管理画面、担当者説明へ分散し、古い認証書や失効情報で判断する理由と現在の状態を比較表から追えないためです。
関係会社の場合は役割を説明してもらいます
対象外は別証拠で評価します
一部対象は工程を分けます
確認日を記録します
不要項目は共有しません
認証名と運用証拠を別欄にします
VISUAL GUIDE
登録情報を確認し、その後に自社業務の日常統制を確かめます。
認証事業者と契約相手は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「法人名・商号・所在地・契約相手・関連会社・提供主体」を認証書、契約相手、実際の処理体制へ重ね、グループ会社の認証を契約法人の認証と誤認する可能性を除きます。
認証事業者と契約相手について「登録情報と契約書の法人を照合する」作業を行います。第1項(認証の見方)の認証書・登録情報・契約書・体制図を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
認証事業者と契約相手が認証範囲外でも、その事実だけで不合格にはしません。第1項(認証の見方)の例外対応では関係会社の場合は役割を説明してもらいます。認証事業者と契約相手に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
認証事業者と契約相手は「認証主体と処理主体の関係が分かる」ところまで確認します。第1項(認証の見方)は契約相手変更時に確認します。第1項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
対象組織・所在地は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「本社・支店・センター・在宅・海外・クラウド環境・除外組織」を認証書、契約相手、実際の処理体制へ重ね、認証外の拠点や在宅担当が処理する可能性を除きます。
対象組織・所在地について「担当拠点を認証範囲図へ重ねる」作業を行います。第2項(認証の見方)の適用範囲・拠点一覧・担当体制を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
対象組織・所在地が認証範囲外でも、その事実だけで不合格にはしません。第2項(認証の見方)の例外対応では対象外は別証拠で評価します。対象組織・所在地に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
対象組織・所在地は「実務担当の場所が範囲内か説明できる」ところまで確認します。第2項(認証の見方)は拠点追加時に照合します。第2項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
対象業務・システムは認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「事業・サービス・業務工程・情報資産・利用システム・除外」を認証書、契約相手、実際の処理体制へ重ね、会社全体の認証でも経理代行サービスが対象外である可能性を除きます。
対象業務・システムについて「委託予定業務と適用範囲を照合する」作業を行います。第3項(認証の見方)の適用範囲・サービス仕様・構成図を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
対象業務・システムが認証範囲外でも、その事実だけで不合格にはしません。第3項(認証の見方)の例外対応では一部対象は工程を分けます。対象業務・システムに同等の規程、設定、点検、契約条件があるかを別欄で評価します。
対象業務・システムは「どの工程が認証管理下か分かる」ところまで確認します。第3項(認証の見方)はサービス変更時に確認します。第3項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
登録番号・有効性は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「登録番号・初回登録・有効期限・更新・一時停止・認証機関」を認証書、契約相手、実際の処理体制へ重ね、古い認証書や失効情報で判断する可能性を除きます。
登録番号・有効性について「公式登録情報と認証書を確認する」作業を行います。第4項(認証の見方)の認証書・登録検索・更新案内を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
登録番号・有効性が認証範囲外でも、その事実だけで不合格にはしません。第4項(認証の見方)の例外対応では確認日を記録します。登録番号・有効性に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
登録番号・有効性は「現在有効な登録を確認できる」ところまで確認します。第4項(認証の見方)は契約更新時に確認します。第4項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
個人情報の範囲は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「顧客・取引先・従業員・給与・口座・マイナンバー・目的・委託」を認証書、契約相手、実際の処理体制へ重ね、Pマークがあっても自社が渡す特定情報の条件を見ない可能性を除きます。
個人情報の範囲について「扱う個人情報を業務別に確認する」作業を行います。第5項(認証の見方)の個人情報一覧・取扱規程・業務表を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
個人情報の範囲が認証範囲外でも、その事実だけで不合格にはしません。第5項(認証の見方)の例外対応では不要項目は共有しません。個人情報の範囲に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
個人情報の範囲は「目的と取扱条件を説明できる」ところまで確認します。第5項(認証の見方)はデータ追加前に判断します。第5項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
個別ID・権限・ログは認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「利用者・個別ID・認証・最小権限・管理者・ログ・レビュー・停止」を認証書、契約相手、実際の処理体制へ重ね、認証の存在を理由に現行設定を確認しない可能性を除きます。
個別ID・権限・ログについて「日常の権限管理を証拠で確認する」作業を行います。第6項(認証の見方)の利用者台帳・権限表・ログ・点検票を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
個別ID・権限・ログが認証範囲外でも、その事実だけで不合格にはしません。第6項(認証の見方)の例外対応では認証名と運用証拠を別欄にします。個別ID・権限・ログに同等の規程、設定、点検、契約条件があるかを別欄で評価します。
個別ID・権限・ログは「現担当者のアクセスを追跡できる」ところまで確認します。第6項(認証の見方)は担当変更時に見直します。第6項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
再委託と事故対応は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「再委託先・業務・所在地・選定・監督・第一報・調査協力・是正」を認証書、契約相手、実際の処理体制へ重ね、認証範囲外の再委託先や連絡条件を見落とす可能性を除きます。
再委託と事故対応について「供給網と事故連絡を別に確認する」作業を行います。第7項(認証の見方)の再委託一覧・事故手順・契約を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
再委託と事故対応が認証範囲外でも、その事実だけで不合格にはしません。第7項(認証の見方)の例外対応では重要条件を契約へ反映します。再委託と事故対応に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
再委託と事故対応は「関係事業者と初動を把握できる」ところまで確認します。第7項(認証の見方)は再委託追加前に確認します。第7項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
終了・返却・削除は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「返却対象・形式・期限・作業用複製・バックアップ・ID停止・削除確認」を認証書、契約相手、実際の処理体制へ重ね、認証があっても自社データの終了手順が決まらない可能性を除きます。
終了・返却・削除について「終了条件を契約前に合意する」作業を行います。第8項(認証の見方)の返却一覧・削除確認・停止記録を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
終了・返却・削除が認証範囲外でも、その事実だけで不合格にはしません。第8項(認証の見方)の例外対応では返却と削除を別工程にします。終了・返却・削除に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
終了・返却・削除は「終了後のデータと権限を閉じられる」ところまで確認します。第8項(認証の見方)は終了前に手順を再確認します。第8項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
審査結果と是正は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「審査日・審査範囲・指摘・観察事項・是正期限・完了確認・次回審査」を認証書、契約相手、実際の処理体制へ重ね、認証が有効でも審査上の課題を見落とす可能性を除きます。
審査結果と是正について「開示可能な範囲で審査結果と是正状況を確認する」作業を行います。第9項(認証の見方)の審査概要・是正記録・完了確認を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
審査結果と是正が認証範囲外でも、その事実だけで不合格にはしません。第9項(認証の見方)の例外対応では顧客情報を含む部分は要約で確認します。審査結果と是正に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
審査結果と是正は「重要な課題の扱いと完了状況が分かる」ところまで確認します。第9項(認証の見方)は認証更新時と重要変更時に確認します。第9項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
認証条件の契約反映は認証マークの表示ではなく、公式登録情報から確認を始めます。対象範囲は「対象業務・安全管理・再委託・事故連絡・監査協力・返却・削除・変更通知」を認証書、契約相手、実際の処理体制へ重ね、認証説明と契約上の義務がつながらない可能性を除きます。
認証条件の契約反映について「認証で確認した条件を契約条項へ対応させる」作業を行います。第10項(認証の見方)の確認表・提案書・契約条項・変更合意を同じ確認日でそろえ、認証範囲に含まれる部分と個別の運用証拠が必要な部分を線引きします。
認証条件の契約反映が認証範囲外でも、その事実だけで不合格にはしません。第10項(認証の見方)の例外対応では認証範囲外の統制も書面化します。認証条件の契約反映に同等の規程、設定、点検、契約条件があるかを別欄で評価します。
認証条件の契約反映は「重要条件の反映先を示せる」ところまで確認します。第10項(認証の見方)は契約締結前と更新前に照合します。第10項(認証の見方)の結論には認証上の扱い、日常運用、契約への反映先を分けて記録します。
契約法人が認証を取得していても、実際の担当拠点や経理代行業務が対象範囲に含まれるとは限りません。登録情報、認証書、担当所在地、利用システムを並べ、含まれる範囲と個別確認が必要な範囲を分けます。
当社は認証の有無だけに頼らず、個別ID、権限レビュー、再委託、事故連絡、データ返却の運用を確認できる形でご案内します。会社側の最終承認と専門判断は委託範囲から外します。
SEARCH INTENT GUIDE
この記事はISMS・Pマークの認証範囲を委託予定業務へ重ねる方法を扱います。個別対策の証跡はNo.578、在宅勤務の実運用はNo.580で確認します。
契約法人、拠点、業務、システムが認証範囲に含まれるか
設定・ログ等の証拠はNo.578、在宅環境はNo.580で個別確認
認証で確認できる範囲と、追加証拠・契約条件が必要な範囲を線引きした状態
認証の有無だけを選定条件にせず、自社の委託工程との重なりと日常運用を別々に評価します。
会社は、認証名だけで採用を決めず、認証事業者、対象組織、所在地、業務、システム、有効期限と委託予定範囲の一致を確認します。
代行先は、認証の対象範囲と対象外を示し、個別ID、権限レビュー、再委託、事故連絡、データ返却等の日常運用を別資料で説明します。
READY-TO-USE TEMPLATE
認証は有力な確認材料ですが、委託予定の業務が認証範囲に含まれるか、日常運用が自社条件に合うかを分けて見ます。
| 確認軸 | 認証資料で見ること | 実運用で追加確認すること | 判断結果 |
|---|---|---|---|
| 認証事業者 | 法人名・登録情報 | 契約相手との一致 | 一致・関係説明・不一致 |
| 対象範囲 | 組織・所在地・業務・適用範囲 | 担当拠点と経理代行業務 | 含む・一部・対象外 |
| 有効性 | 認証番号・有効期限 | 更新中・一時停止等の状況 | 有効・要確認 |
| 個人情報 | 制度が評価する管理の対象 | 給与・マイナンバー等の扱い | 条件適合・追加対策 |
| アクセス | 管理方針・統制の枠組み | 個別ID・権限・ログ・停止 | 運用確認済み・不足 |
| 外部委託 | 供給者・委託先管理の仕組み | 再委託先・対象業務・監督 | 許容・条件付き・不可 |
| 事故対応 | インシデント管理の仕組み | 第一報・証拠保全・顧客協力 | 契約反映済み・未反映 |
| 終了時 | 資産・情報の管理方針 | 返却形式・削除・ID停止・証明 | 手順合意・要修正 |
| 審査・是正 | 審査日・対象範囲・課題 | 是正内容・完了確認 | 完了・継続・未確認 |
| 契約反映 | 再委託・事故・返却等の条件 | 提案書・契約の対応箇所 | 反映済み・要修正 |
公式登録情報の確認日、認証書の有効期限、対象範囲の原文、自社工程との対応を記録します。範囲外は代替統制と契約条項を別欄へ記載してください。
認証確認表の列は、認証名、事業者、登録番号、有効期限、対象組織、所在地、対象業務、担当拠点、委託業務、範囲内外、追加証拠、補完策、契約反映、判定です。認証欄と実運用欄を分けます。
対象は契約法人・処理拠点・委託業務・利用システムの組合せで数えます。範囲一致率は「認証又は同等証拠で確認できた組合せ÷対象組合せ」で算出し、認証の有無だけを分子にしません。
契約法人一致率
委託業務包含率
登録確認率
日常統制確認率
再委託把握率
終了条件合意率
SERVICE
当社は、契約主体、担当体制、対象業務、利用システム、ID・権限、再委託、事故連絡、終了時の返却・削除をご説明します。認証だけで判断せず、自社が渡すデータと会社に残す承認に合わせて確認条件を整理します。
認証範囲、自社条件、追加証拠、補完策を評価
認証情報と日常運用の対象内外を説明
取引・支払・人事・月次数値の承認と、法務・税務・労務・技術上の専門判断を担当
対応範囲は資料量、件数、利用システム、締め、例外処理を確認して事前にご案内します。専門資格が必要な判断・書類作成・代理手続きは当社サービスの範囲外です。
PRICE
記帳・給与計算・請求書発行をセットにした、規模に合わせて選べる月額プランです。業務量や資料の状態を確認したうえで、必要な範囲をご案内します。
横にスワイプしてプランを確認できます
〜5名・小規模事業者向け
記帳・給与計算・請求書発行をセットで
〜10名・中小規模向け
記帳・給与計算・請求書発行をセットで
〜15名・成長企業向け
記帳・給与計算・請求書発行をセットで
仕訳数・人数・請求書の件数を超える場合は追加費用が発生します。詳しくはお問い合わせください。
料金ページを見る →FAQ
A. 目的と評価対象が異なるため単純な上下ではありません。自社の委託業務、情報、拠点が対象範囲に含まれるかを確認します。
A. 認証の有無は判断材料の一つです。規程、設定、台帳、ログ、再委託、事故、終了を同じ確認軸で評価します。
A. 公式の登録情報、事業者名、登録番号、有効期限、対象範囲を確認し、契約相手・実務担当との関係を見ます。
A. 直ちに危険とは限りません。対象外の理由と、同等の規程・設定・点検・契約条件で補えるかを確認します。
本文の判断軸と、確認に使った一次情報の対応を示します。
公式情報は、ISMS適合性評価制度とプライバシーマーク制度の目的、登録・制度資料、個人データ委託時の監督を確認するために使用しています。 記事中の質問数、表の列、判定区分、確認順、時間又は期限は、公的機関が一律に定めた様式ではなく、各社が委託範囲、データの重要度、契約、社内規程に合わせて調整する実務提案です。
経理代行・ISMS・Pマーク確認ガイドでは、参照先の最新版と自社規程・実態を確認し、認証制度の最新登録・適用範囲は各制度の公式情報と認証書で確認してください。契約上の保証、監査権、個人情報の法的評価は弁護士等へ、技術的統制は情報セキュリティ専門家へ相談してください。
現在の資料量、利用システム、困っている工程を伺い、外注できる範囲と料金の目安を整理します。資料が完全にそろっていなくても、分かる範囲からご相談いただけます。
無料相談・お見積りはこちら