中小企業に必要な「説明できる法務体制」とは

取引先・顧客に説明できる文書と記録を整える

メタディスクリプション中小企業に求められるのは、完璧な法務部門ではなく、取引先・顧客・行政・認証機関に対して「何を決め、どう運用し、どの記録で確認できるか」を説明できる体制です。契約、個人情報、クラウド、委託先、セキュリティ、事故対応を、文書と記録で整える実務を解説します。

1. これからの中小企業法務は「説明できること」が信用になる

中小企業の法務体制というと、契約書の作成や確認を思い浮かべる方が多いと思います。しかし現在、取引先や顧客が本当に確認したいのは、契約書の有無だけではありません。

「個人情報をどこに保管しているのか」「クラウドサービスを誰が承認しているのか」「委託先にどのような安全管理を求めているのか」「事故が起きたとき、誰が判断し、いつ報告するのか」「情報セキュリティ教育や点検を実施した記録はあるのか」

こうした問いに、根拠資料を示して答えられる会社が、これからの取引で信頼されます。

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の上位に、ランサム攻撃、サプライチェーンや委託先を狙った攻撃、AIの利用をめぐるサイバーリスクが挙げられています。つまり、リスクは自社の内部だけで完結せず、取引先、委託先、クラウド、AI利用まで広がっています。

さらに、経済産業省と内閣官房国家サイバー統括室は、サプライチェーン全体のセキュリティ水準を可視化するSCS評価制度の構築方針を2026年3月に公表し、2026年度末頃の制度開始を目指すとしています。この制度は、取引契約等において委託元が委託先に必要な対策段階を提示し、実施状況を確認することを想定しています。

ただし、SCS評価制度は任意の制度であり、個社間の商取引を直接規制するものではなく、特定のセキュリティ製品の導入を必須とするものでもありません。制度や営業トークに振り回されるのではなく、まず自社の文書と記録を整え、説明できる状態を作ることが重要です。

2. 「説明できる法務体制」とは何か

山崎行政書士事務所が中小企業法務の現場で重視している「説明できる法務体制」とは、次の3つがそろっている状態です。

要素	意味	具体例
文書	会社として決めたルール	契約書、規程、方針、マニュアル、覚書
記録	ルールを実行した証拠	点検記録、教育記録、承認記録、ログ、議事録
台帳	現状を一覧で把握する資料	個人情報台帳、委託先台帳、クラウド台帳、情報資産台帳

多くの会社は、文書だけを作って安心してしまいます。しかし、取引先や顧客に説明するときに重要なのは、「その文書どおりに運用していることを、どの記録で確認できるか」です。

例えば、個人情報保護規程に「委託先を適切に監督する」と書いてあっても、委託先一覧、契約書、再委託確認、セキュリティチェック、更新時の確認記録がなければ、実際に監督しているとは説明しにくいのです。

3. 中小企業でよくある「説明できない」状態

実務でよく見かけるのは、次のような状態です。

状態	問題点
契約書はあるが、どの情報を委託先に渡しているか不明	個人情報・秘密情報の管理説明ができない
プライバシーポリシーはあるが、個人情報管理台帳がない	取得・利用・保管・廃棄の実態を説明できない
クラウドを使っているが、管理者や保存データを把握していない	設定ミスや退職者アカウントのリスクを説明できない
セキュリティ研修を口頭で行っているが、記録がない	実施した証拠を示せない
委託先に「ちゃんとやってください」と言っているだけ	事故時に報告・調査協力・ログ提出を求めにくい
事故対応マニュアルはあるが、訓練記録がない	事故時に本当に動けるか説明できない

法務体制とは、契約書の棚をきれいにすることではありません。会社のリスクに対して、誰が、何を、いつ、どの根拠で判断し、どの記録を残すかを整えることです。

4. まず整えるべき文書と記録

中小企業が最初に整えるべき文書と記録は、次のとおりです。

分野	整える文書	残す記録
経営方針	情報セキュリティ基本方針、個人情報保護方針	経営者承認記録、公開日、改定履歴
契約	取引基本契約書、業務委託契約書、秘密保持契約書	契約締結日、更新日、相手方、対象業務
個人情報	個人情報保護規程、プライバシーポリシー	個人情報管理台帳、開示請求対応記録、廃棄記録
クラウド	クラウド利用基準、SaaS承認ルール	クラウド/SaaS台帳、管理者一覧、MFA設定確認記録
委託先	委託先管理規程、個人情報取扱覚書	委託先台帳、チェックシート、再委託確認記録
セキュリティ	情報セキュリティ規程、端末・アカウント管理ルール	権限棚卸し記録、教育記録、バックアップ復元テスト記録
AI利用	生成AI利用規程	利用承認記録、入力禁止情報の周知記録
事故対応	インシデント対応規程、事故対応チェックリスト	事故対応台帳、初動記録、報告記録、再発防止記録

IPAの中小企業向けガイドライン第4.0版では、情報セキュリティ基本方針、情報セキュリティ関連規程、資産管理台帳、クラウド安全利用の手引き、インシデント対応の手引きなど、中小企業がすぐに使える資料群が整理されています。これは、まさに「説明できる体制」を作るための実務素材です。

また、SECURITY ACTIONの二つ星では、5分でできる情報セキュリティ自社診断で自社の状況を把握した上で、情報セキュリティ基本方針を定め、外部に公開することが求められています。取引先へ「まず基本方針を公開しています」と説明する入口として有効です。

5. 個人情報は「台帳」と「記録」がなければ説明できない

個人情報保護法対応で重要なのは、プライバシーポリシーだけではありません。個人データをどこで、誰が、何の目的で、どの権限で取り扱っているかを把握できることが重要です。

個人情報保護委員会のガイドラインでは、個人データの適正な取扱いのために基本方針を策定すること、取扱規程を整備すること、組織体制を整備すること、漏えい等事案に対応する体制を整えること、取扱状況を把握し安全管理措置を見直すことが示されています。また、個人データの利用・出力状況、媒体の持ち運び、削除・廃棄、ログイン実績、アクセスログなどの記録を通じて検証可能にする考え方も示されています。

最低限、次の台帳は整備すべきです。

台帳	記載項目
個人情報管理台帳	取得元、利用目的、保存場所、管理部署、保管期間、廃棄方法
個人データ提供・委託台帳	提供先、委託先、対象データ、契約の有無、再委託の有無
開示請求・苦情対応台帳	受付日、本人確認、対応内容、回答日
廃棄・削除記録	対象データ、廃棄方法、実施者、確認者、実施日

漏えい等が発生した場合、個人情報保護委員会への報告は、速報が発覚日から3〜5日以内、確報が発覚日から30日以内、不正な目的で行われたおそれがある場合は60日以内と案内されています。また、要配慮個人情報、財産的被害のおそれ、不正目的のおそれ、1,000人超の漏えい等が報告対象として整理されています。

プライバシーマーク付与事業者の場合は、PMK500上の事故等の報告も重要です。事故等には、漏えい、紛失、滅失・き損、改ざん、不正・不適正取得、目的外利用・提供、不正利用、開示等の求め等の拒否、これらのおそれまで含まれ、原則30日以内の報告、重大類型では概ね3〜5日以内の速報が規定されています。

6. クラウド利用は「規約を読んでいます」では足りない

中小企業では、会計、勤怠、給与、CRM、メール配信、チャット、ファイル共有など、多くの業務がクラウドに移っています。しかし、クラウド利用について説明を求められたときに、サービス名しか答えられない会社は少なくありません。

個人情報保護委員会は、クラウドサービスを利用して個人データを取り扱う場合、その利用が個人データ取扱いの委託に該当するかを判断し、委託に該当する場合は委託先に対する必要かつ適切な監督を行う必要があると注意喚起しています。サービス機能だけでなくセキュリティ対策を理解・確認し、役割や責任分担を規約や契約等で客観的に明確化することも求められています。

クラウド/SaaS台帳には、少なくとも次を記録します。

項目	内容
サービス名	利用しているクラウド・SaaS
利用目的	何の業務で使うか
保存データ	個人情報、顧客情報、営業秘密の有無
管理者	管理者アカウントの責任者
MFA	多要素認証の設定状況
ログ	アクセスログ・操作ログの取得可否
契約	利用規約、DPA、個人情報取扱条項、SLA
退会時処理	データ返還・削除の方法
委託・再委託	クラウド事業者や再委託先の関係

取引先から「当社の情報をどのクラウドに保存していますか」と聞かれたとき、台帳で即答できることが、説明できる法務体制です。

7. 生成AIは「使ってよいか」ではなく「何を入力してよいか」を決める

生成AIは、中小企業にとって業務効率化の大きな武器です。しかし、個人情報、顧客情報、契約書、見積情報、営業秘密、未公開の技術情報を安易に入力すると、個人情報保護、秘密保持、著作権、契約違反の問題が生じます。

個人情報保護委員会は、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、利用目的達成に必要な範囲内であることを十分確認すること、本人同意なく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合には個人情報保護法違反となる可能性があること、生成AIサービス提供事業者が個人データを機械学習に利用しないこと等を確認することを示しています。

中小企業でまず作るべきAI利用ルールは、難しいものではありません。

ルール	内容
入力禁止情報	個人情報、顧客情報、認証情報、未公開情報、契約上の秘密情報
利用可能業務	文章案、一般調査、社内アイデア出し、要約補助
確認責任	出力結果をそのまま顧客提出しない
利用サービス	会社が承認したサービスのみ
記録	業務利用範囲、責任者、教育記録

生成AI規程は、従業員を縛るためではなく、安心して使うためのルールです。

8. 委託先管理は、契約書とチェックシートを連動させる

サプライチェーンリスクが高まる中、取引先からセキュリティチェックシートの提出を求められる機会は増えています。逆に、自社が委託元である場合には、委託先に対して必要な確認を行う必要があります。

NIST Cybersecurity Framework 2.0でも、サイバーリスク管理を組織全体のガバナンスに位置付け、サプライチェーンのサイバーリスク要求事項を契約や合意に組み込むこと、重要なサプライヤーを把握し、インシデント対応や復旧活動に関係者を含めることが示されています。

委託契約や個人情報取扱覚書には、少なくとも次の条項を検討します。

条項	実務上の目的
秘密保持	秘密情報・個人情報・認証情報の保護
安全管理措置	アクセス制御、MFA、暗号化、ログ、バックアップ
再委託	事前承認、再委託先への同等義務
事故報告	漏えい確定前の「おそれ」「疑い」の段階での報告
調査協力	ログ提出、原因調査、証拠保全、再発防止
データ返還・削除	契約終了時の情報残存を防止
生成AI利用	委託業務でのAI利用可否、入力禁止情報

チェックシートだけ送って終わりでは不十分です。チェックシートで確認した内容を、契約条項、仕様書、発注書、業務手順、更新時確認に反映させることが重要です。

9. セキュリティ要求を出す側も、取引適正化の記録が必要

委託先に対して、ISMS取得、脆弱性診断、EDR導入、ログ保存、多要素認証、バックアップなどを求める場面は増えています。これは必要な管理です。

ただし、発注者が一方的に高度なセキュリティ要求を追加し、その費用や工数を委託先に押し付けると、取引適正化の観点で問題になります。

2026年1月1日から、従来の下請法は取適法へ改正され、適用基準への従業員基準の追加、特定運送委託の追加、協議に応じない一方的な代金決定の禁止、手形払等の禁止などが整理されています。また、発注内容等の明示義務、取引記録を電磁的記録等で作成し2年間保存する義務も示されています。

公正取引委員会・中小企業庁の下請法ガイドブックでも、親事業者が下請事業者にISO認証取得を要請し、その取得費用を考慮せず一方的に下請代金を据え置く事例は、買いたたきの観点で問題になり得るものとして示されていました。取適法後の実務でも、セキュリティ要求を出す場合は、仕様、費用、納期、協議経緯を文書と記録で残すべきです。

10. ISMS・Pマークは「取得するか」より「説明に使えるか」

ISMSやプライバシーマークは、取得すれば終わりではありません。重要なのは、認証の考え方を日常の文書と記録に落とし込むことです。

ISMSは、情報の機密性・完全性・可用性を保護するための体系的な仕組みであり、技術的対策だけでなく、従業員の教育・訓練、組織体制の整備も含むものとされています。また、ISMS認証により、情報セキュリティを確保する仕組みを持ち、維持・継続的改善していることを顧客や取引先に対して客観的に示すことができます。

ただし、中小企業がいきなり認証取得を目指す必要があるとは限りません。まずは、ISMSやPマークの考え方を参考に、基本方針、規程、台帳、記録、点検、改善の流れを作ることが現実的です。

11. 取引先・顧客に説明するための「提出用パッケージ」

中小企業では、必要な資料を毎回ゼロから作るのではなく、取引先・顧客説明用のパッケージを準備しておくと実務が安定します。

提出・提示する資料	内容
情報セキュリティ基本方針	経営者名で公開できる基本姿勢
個人情報保護方針	個人情報の取扱方針、問い合わせ窓口
セキュリティ対策概要	MFA、バックアップ、アクセス管理、教育、委託先管理の概要
委託先管理の説明	委託先選定、契約、再委託、事故報告の管理方法
クラウド利用概要	利用サービス、保存データ、管理者、ログ、削除方法
教育・点検記録のサマリー	研修日、対象者、点検項目、是正状況
インシデント対応体制	連絡窓口、初動手順、報告判断、再発防止
認証・自己宣言	ISMS、Pマーク、SECURITY ACTION等がある場合の証跡

注意すべき点は、外部に出す資料には、詳細なネットワーク構成、脆弱性、管理者ID、検知ルール、バックアップ保管場所など、攻撃に悪用される情報を記載しないことです。説明責任と情報秘匿のバランスが必要です。

12. 90日で作る「説明できる法務体制」

中小企業が最初の90日で取り組むなら、次の順番が現実的です。

第1段階：30日以内に棚卸しする

契約書、委託先、個人情報、クラウド、情報資産、管理者アカウントを一覧化します。ここで重要なのは、完璧な台帳を作ることではなく、「どこに何があるか分からない状態」から脱することです。

第2段階：60日以内に基本文書を作る

情報セキュリティ基本方針、個人情報保護方針、クラウド利用基準、委託先管理ルール、生成AI利用ルール、インシデント対応手順を整えます。既存の契約書には、事故報告、調査協力、再委託、データ削除、生成AI利用の条項を追加・修正します。

第3段階：90日以内に記録運用を始める

教育記録、権限棚卸し記録、バックアップ復元テスト記録、クラウド設定確認記録、委託先チェック記録を残します。1回でも記録が残れば、次回以降の改善点が見えます。

第4段階：取引先説明用資料を作る

外部に出せる範囲で、セキュリティ体制の概要資料を作成します。これは営業資料にもなり、入札、業務委託、個人情報取扱業務、クラウド利用業務で役立ちます。

13. まとめ：中小企業に必要なのは「立派な法務部」ではなく「根拠を示せる仕組み」

中小企業に必要な法務体制は、大企業のような分厚い規程集ではありません。必要なのは、取引先や顧客から問われたときに、次のことを説明できる仕組みです。

「当社は何を守るべき情報として管理しているか」「誰が責任者か」「どの契約・規程に基づいて管理しているか」「どの台帳で現状を把握しているか」「どの記録で運用を確認できるか」「事故時に、誰が、いつ、何を判断するか」

契約書、規程、台帳、記録、ログ、教育、事故対応がつながったとき、会社は初めて「説明できる法務体制」を持つことになります。

山崎行政書士事務所では、行政書士として対応できる範囲で、契約書、個人情報保護規程、情報セキュリティ基本方針、クラウド利用基準、生成AI利用規程、委託先管理文書、インシデント対応規程、取引先説明用資料の整備を支援しています。紛争性のある交渉、訴訟対応、税務・労務判断、専門的フォレンジック調査が必要な場合は、弁護士、税理士、社会保険労務士、IT専門事業者等と連携し、会社を現実に守る体制づくりを支援します。