BPO委託先のセキュリティは何を確認する？契約前のチェック項目

BPOで顧客情報や従業員情報を預ける場合は、認証や設備の有無だけで委託先を決めず、「誰が、どの情報へ、どこからアクセスし、問題が起きたらどう連絡するか」まで確認する必要があります。選定時の資料確認だけで終わらせず、契約と運用に落とし込むことが大切です。

個人情報保護委員会のガイドラインでは、個人データを委託する会社にも委託先を監督する責任が示されています。外注したからといって、情報管理まで委託先任せにはできません。

セキュリティの確認は、委託先へ質問票を送る前に、自社が何を預けるのかを整理するところから始まります。氏名や連絡先を含む顧客情報、給与やマイナンバーを扱う労務情報、取引条件が分かる受発注データでは、必要な管理が異なります。

同じデータ入力でも、匿名化したアンケート結果をExcelへ入力する業務と、本人確認書類を見ながら顧客システムへ登録する業務では、情報が漏れたときの影響も、委託先へ求める対策も変わります。まずは情報、作業、利用するシステムの三つを一続きで把握します。

データ入力の外注範囲を決めるときも、入力件数だけでなく、元データの受け取りから納品後の削除まで確認すると、必要な対策を具体化しやすくなります。

認証や社内規程は、管理体制を知る手がかりになります。ただし、委託する業務でその仕組みがどう使われるかは別に確認が必要です。たとえば入退室を管理していても、作業端末から私用メールへ送信できる状態なら、預ける業務に合った対策とは言い切れません。

確認したいのは、作業場所への入退室、端末の持ち出し、アクセス権限、操作記録、紙やデータの保管・廃棄、従業者への教育などです。回答は「対策しています」で終わらせず、今回の業務で誰が実施し、記録をどのように残すのかまで聞きます。

電話対応を委託すると、録音、受付記録、顧客システムなど複数の場所に情報が残る場合があります。電話対応を外注するときの切り分け方と合わせて、保存先と閲覧者を工程ごとに確認してください。

契約書や仕様書には、委託する業務の目的、扱える情報、複製や持ち出しの可否、保管期間、業務終了後の返却・削除を記載します。再委託を認める条件や、再委託先にも同等の管理を求める方法も確認が必要です。

情報漏えいなどが起きた場合は、第一報の期限、連絡先、報告する内容、原因調査への協力、影響範囲の確認方法を決めておきます。個人情報保護委員会は、委託先で個人データの漏えいが起きた場合、原則として委託元と委託先の双方に報告義務があると案内しています。事故が起きてから連絡経路を探す状態は避けるべきです。

損害賠償の条項だけを細かくしても、初動が遅ければ影響は広がります。責任の所在と同時に、検知から報告、一次対応までの実務を決めることが重要です。

契約締結は確認の終点ではありません。担当者、作業場所、利用システム、再委託先などに変更があれば、開始時に確認した前提が崩れることがあります。月次報告や定例会で変更の有無を確認し、必要に応じて操作記録や教育実施の状況を見ます。

個人情報保護委員会は、委託先の取扱状況を把握する方法について、必ず立入検査を行う必要はなく、扱うデータの内容や規模に応じた方法を取ればよいとしています。すべての委託先へ同じ監査を課すのではなく、情報の重要度と業務量に合わせて確認方法を決めます。

委託範囲を追加するときも再確認が必要です。最初は氏名と電話番号だけだった業務に、住所や決済関連の情報が加われば、アクセスできる人や保存方法を見直します。

専用席、閉じたネットワーク、作業場所の制限、二名での確認、詳細な操作記録などを求めると、必要な設備や人員が変わります。見積もり後に要件を追加すると、費用や開始時期を調整し直すことになりかねません。

見積もりを依頼するときは、業務量や納期と一緒に、預ける情報、利用するシステム、必須の管理条件を伝えてください。要件が固まっていない場合は、「個人情報を含む紙を受け取り、システムへ入力する」など、現在の作業をそのまま説明するところから始められます。

安全性と費用を比べるには、各社へ同じ条件を渡すことが前提です。必要以上に厳しい条件を一律に課すのではなく、情報の重要度に応じて譲れない条件を先に決めると、委託先から現実的な運用案を受け取りやすくなります。