給与計算アウトソーシングのセキュリティ確認

給与計算アウトソーシングのセキュリティは、10項目の質問で見極められます。アウトソーシングとは、給与計算を外部の会社に任せることです。給与のデータには、社員の名前・住所・給与額・マイナンバーが入っています。それを外に渡して大丈夫なのか、不安になるのは当然です。

任せる会社に聞くべき10項目を、専門の知識がなくても使える質問の形で紹介します。

安全な会社かどうかは、「証明の有無」より「どこまで守れているか」で判断できる

情報の守り方について、第三者が「この会社は大丈夫」と認めた証明があります。ただ、持っているだけでは足りません。何を見ればよいかを、先に説明します。

安全性を認める第三者の証明には、どんな種類があるのか？

代表的な証明は2つあります。

1つ目は「プライバシーマーク」です。個人情報の扱い方が、日本の規格（JIS Q 15001）に沿っているかを審査し、合格した会社に与えられます。運営は日本情報経済社会推進協会（JIPDEC）で、有効期間は2年間です。付与されるのは、会社（法人）単位です。

2つ目は「ISMS（アイエスエムエス）」です。パソコンやネットワークなど、情報の守り方の全体を審査する仕組みです。有効期間は3年間で、途中で年1回の審査があります。

給与計算では名前や住所などの個人情報を扱うため、1つ目は「個人情報の扱い方」を、2つ目は「システムを含めた守り方」を確かめる材料になります。

証明を見るときの3つのポイント

証明は、持っているかどうかより、次の3点で確認します。

• 対象の範囲：給与計算をしている部署やシステムが、審査の対象に入っているか。ISMSは、会社ごとに審査の対象が違います。公式サイトで確認できます
• 有効期限：期限が切れていないか。Pマークは登録番号、ISMSは登録証で確かめます
• 会社の名前：親会社や関連会社が取得していても、給与計算をする会社が対象とは限りません。契約する会社そのものが取得しているかを確認します

質問の例は「給与計算を行う部署と使うシステムは、審査の対象に入っていますか」「今の有効期限はいつですか」の2つです。答えがはっきりしないときは、登録証のコピーを見せてもらいます。

証明がない会社を見極める2つの材料

証明がないからといって、すぐに避ける必要はありません。見るポイントは2つです。

1つ目は、決まりが書面になっているかです。データの保管場所、持ち出しの禁止、データを見られる人の範囲が文書で決まっていれば、口頭だけの説明より確認しやすくなります。

2つ目は、第三者のチェックを受けているかです。社内で点検する頻度、外部の会社による診断の有無、取引先から確認を受けた実績を聞いてください。同じ質問に文書で答えられるかを見ると、会社ごとの差が分かります。

任せる会社に聞く質問は、10項目にまとめられる

確認することは多く見えますが、「保管」「見られる人」「別の会社への依頼」「事故のとき」「契約が終わるとき」の5つに分けると、10項目で整理できます。この順に聞くと、漏れがありません。

データの置き場所と送り方を確かめる4つの質問

データの置き場所と送り方は、情報が漏れやすい場面です。次の4つを聞きます。

• ①置き場所：データを国内のどこに、どのサービスで保管しているか
• ②鍵のかけ方（暗号化）：データに鍵をかけ、第三者が見ても読めない状態にしているか。保管中と、やり取りの途中の両方を確認します
• ③送り方：専用のシステムか、社外から安全につなぐ専用の通り道（VPN）か。メール添付で送らせないか
• ④紙の資料：給与明細などの紙は、どこにしまい、どう処分するか

紙は見落としやすい点です。明細の印刷や郵送を任せる場合は、封筒に入れて送る担当者と、保管する期間まで聞きます。

当社の例では、給与データの扱いに、VPN、Googleのクラウドストレージ（インターネット上の保管場所）、見られる人の管理、暗号化した通信を使っています。経済産業省のDX認定事業者でもあります。DX認定は、デジタルを活用した経営に取り組む会社を国が認める制度で、前の章の「情報の守り方の証明」とは別の制度です。

データを見られる人と、仕事を別の会社に回していないかを確かめる3つの質問

給与データを見られる人が絞られているかが、社内の不正や操作ミスを防ぐ要点です。

• ⑤見られる人の範囲：データを見たり直したりできる担当者は誰か。見られる人を増やす・外すときのルールはあるか
• ⑥記録：誰がいつ何を見たかの記録（ログ）を残しているか。何か月分、保管するか
• ⑦別の会社への依頼：任せた仕事を、さらに別の会社に任せていないか。任せている場合、その会社をどう管理しているか

⑦は特に大事です。マイナンバーを扱う仕事では、任された会社がさらに別の会社に任せるには、最初に頼んだ会社の許可が必要だと、番号法第10条に定められています（出典：個人情報保護委員会）。別の会社に渡ったデータまで含めて、誰が扱うのかを契約の前に確認します。

事故が起きたときと、契約が終わるときを確かめる3つの質問

事故のときと契約が終わるときの取り決めは、契約書に書かれていないと、後から決めるのが難しくなります。

• ⑧連絡の手順：漏れた可能性が出たとき、誰に、どの順で、いつまでに知らせるか
• ⑨責任の分け方：損害の賠償や、かかる費用を誰がどこまで負うか
• ⑩契約が終わるとき：渡したデータの返し方、消すまでの期間、消したことを示す書類（廃棄証明書）を出してもらえるか

⑧は、連絡までの目安の時間まで決めておくと、自社が本人への連絡や関係機関への報告を判断する時間を確保できます。⑨と⑩は、契約書の条文で確かめてください。

10項目の質問リストを見積もりの依頼に添えると、返ってくる答えの質で、会社を比べられます。

自社だけで給与計算を続けても、情報が漏れる心配はなくならない

外に任せるのが不安なのは自然です。ただ、自社で続けている場合にも、情報が漏れる危険は残ります。同じ基準で比べてみます。外注の考え方全般は、給与計算の外注の基本も参考になります。

担当者が1人だけの会社で起きやすい3つの問題

自社で回しているから安全、とは限りません。よくある問題は3つです。

• ①担当者が1人だけ：データを見られるのが1人で、ミスも不正も、ほかの人が気づけない
• ②メールや共有フォルダで受け渡し：誤って別の人に送ったり、退職した人が見られる状態のまま残ったりする
• ③紙で管理：給与明細やマイナンバーの書類を、机や棚に置いたままになり、盗まれたり、なくしたりしても備えがない

当社が支援した会社には、給与計算が1人体制で、担当者が辞めてしまう危険が見つかり、短期間で外注に切り替えた例があります（自社調べ・2025年時点）。1人の担当者に頼る問題は、給与計算の属人化で詳しく説明しています。

社内で続ける場合も、見られる人を絞る、送り方を決める、書類に鍵をかけて保管する、という3つの対策でリスクは下げられます。外注するかどうかは、この対策を自社で続けられるかも含めて判断します。

外注しても、会社の責任はなくなるのか？残る3つの仕事

任せた会社のミスで情報が漏れても、頼んだ会社の責任がなくなるわけではありません。個人情報保護法の第25条は、個人のデータの扱いを外部に任せるとき、任せた先をきちんと見張ることを求めています。

見張るために必要なことは、次の3つです（出典：個人情報保護委員会）。

• 会社を選ぶ：情報を守る体制がある会社かを調べる
• 契約を結ぶ：守るべきことを契約書に入れる
• 実施状況を確かめる：契約どおりに守られているかを、定期的に確認する

マイナンバーを含む場合は、番号法の第11条も、任せた先を見張ることを求めています。外注して変わるのは、日々のデータを扱う人です。変わらないのは、見張る責任です。前の章の10項目は、この3つを実行するための材料になります。確認した内容は、質問と答え、確認した日、担当者を一覧にして残してください。経営陣への説明や、あとから確認を受けるときの根拠になります。

任せる会社を選ぶ前に、自社でもデータの扱いを整えておく

任せる会社の守りが固くても、自社側の扱いに穴があれば、情報は漏れます。従業員が100〜300名の会社で、まず整えたいのは2つです。

給与データの送り方は、メール添付をやめて専用の方法にする3つのルール

従業員が100〜300名いる会社では、1回の送り間違いで、数百人分の名前・住所・給与額が外に出るおそれがあります。送り方は、次の3つで決めます。

• 方法を限る：任せる会社が指定した専用のシステム、VPN、鍵をかけたファイルのどれかに限る
• パスワードは別で送る：ファイルとパスワードは、別の方法で伝える
• 記録を残す：送る人と送り先を決め、送った記録を残す

送り間違いを防ぐために、宛先を2人で確認する、ファイル名に個人名を入れない、という工夫も有効です。任せる会社が専用のシステムを用意しているときは、メールでの送付を例外として扱い、例外を認める担当者を決めておきます。切り替える時期は、会社を選ぶのと同時に決めると、移行が1回で済みます。

データを見られる人は名簿で決め、退職時にすぐ外す3つの基本

給与のデータを見られる人を決め、退職や異動の日に、見られる権限を外す仕組みを作ります。基本は3つです。

• 名簿で管理する：見られる役職や担当者を、名簿に書いて管理する
• 当日に外す：退職や異動の当日に、アカウントと共有フォルダの権限を削除する
• 定期的に見直す：3か月に1回、見られる人の一覧を見直す

給与のデータを扱うパソコンにも、画面のロック、持ち出しの禁止、私物のパソコンで見ることの禁止という3つのルールを決めると、管理が実際に守られます。外注したあとも、任せた会社から届く給与計算の結果を確認する担当者は社内に残ります。その担当者の見られる範囲は、特に厳しく管理してください。

経営陣や情報システムの担当者に、外注の安全性を説明するときも、自社の備えまで含めて話せます。

給与計算アウトソーシングのセキュリティは、10項目の質問で見極められる

大事な点は3つです。

• 安全性の証明は、持っているかではなく、対象の範囲・有効期限・会社の名前で見る
• 保管・見られる人・別の会社への依頼・事故のとき・契約が終わるときの10項目を、見積もりの依頼と一緒に質問する
• 外注しても見張る責任は自社に残るため、データの送り方と見られる人の管理を、自社でも整える

確認は、証明の対象範囲、10項目、自社の備えの順に進めると、短い時間で会社を絞り込めます。まずは10項目の質問リストを添えて、2〜3社に見積もりを依頼してください。

給与計算のよくある質問

給与計算アウトソーシングのセキュリティについて、よく寄せられる質問をまとめました。

株式会社みらいパートナーズ

公式サイト： https://www.mirai-ps.com/

給与計算代行サービス： https://www.mirai-ps.com/payroll/

料金シミュレーター： https://www.mirai-ps.com/payroll-simulator/

お問い合わせ： 0120-778-781（平日 9:00-17:00）

「スピード給与計算アウトソーシング」は、導入315社・過去3万人超の対応実績を持つ給与計算代行サービスとして、業界最速クラス最短3分レスポンス、最短1ヶ月導入、DX認定企業としての運用体制で、中小企業の給与計算課題を解決しています。

出典・関連リンク

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年10月2日参照）
• 個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」（2026年10月2日参照）
• JIPDEC「プライバシーマーク制度について」（2026年10月2日参照）
• ISMS-AC「ISMS適合性評価制度」（2026年10月2日参照）
• JIPDEC「ISMS認証の取得」（2026年10月2日参照）
• みらいパートナーズ「給与計算の属人化」
• みらいパートナーズ「給与計算の外注」