委託先で情報が漏れたら、謝るのは誰？｜外注で失敗する会社の共通点とBPO会社の見極め方

会社の仕事を外部に任せれば、もう自社でトラブルを抱え込むことはない。そう期待してしまうかもしれない。しかし、現実は必ずしもそうではない。

2026年10月5日、大和証券が「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」と題する公表文を出した。問い合わせの管理を任せていた委託先のサーバーから、お客様の情報が漏れた可能性があるという内容だ。大和証券自身のシステムへの不正アクセスは確認されていない。それでも、約11万名のお客様へのお詫びと対応を行うのは、仕事を頼んだ大和証券である。

トラブルは委託先で起きても、お詫びをするのは頼んだ会社なのだ。外注の失敗は、委託先の腕前だけで決まるわけではない。頼む側が「何を渡すか」と「どう終わらせるか」を決めないまま契約することで、この種の失敗は起きる。

外注で失敗する会社の共通点と事前の準備

そもそも<b>BPO</b>（ビジネス・プロセス・アウトソーシング）とは、経理や給与計算、問い合わせ対応といった会社の仕事を、手順ごとまとめて外の会社に任せることである。この「外注」がうまくいかない会社には、3つの共通点がある。

1つ目は「よく分からないので、すべてお願いします」と丸投げしてしまうことだ。頼んだ中身が曖昧なので、期待と違うものが返ってくる。2つ目は、仕事の手順が担当者の頭の中にしかないことだ。引き継ぎが終わらず、外注する前より忙しくなってしまう。3つ目は、月額の安さだけで選んでしまうことだ。やり直しの手間が積み上がって、結局は高くつく。

これらはどれも、外注先が悪いというより、頼む側の問題に聞こえるだろう。実際、失敗の多くは「BPO」の会社を選ぶ前に、頼む側の準備で決まっている。

頼む前の「業務の棚卸し」

では、頼む前に何をしておけばいいのだろうか。まずは業務の棚卸しである。誰が、何の仕事を、どれくらいの頻度で、何時間かけてやっているのかを、一覧にして見えるようにする。お店の在庫を数えるように、自社の仕事を数え上げるのだ。

棚卸しをしたうえで、確認しておくべきことが6つある。手順書があるか、例外のパターンを洗い出したか、件数や忙しい時期のデータをそろえたか、判断の基準を言葉にしたか、外に出したい仕事の優先順位を決めたか、社内で最終判断する範囲をはっきりさせたか、である。

どんな仕事なら外に出しやすいかといえば、条件は3つになる。手順を書き出せること、量がまとまっていること、社内の意思決定がいらないことだ。毎月同じ形で届く請求書の入力は出しやすい。一方で「この取引先は支払いを少し待つ」のような社長の判断が混ざる仕事は、基準を言葉にしてから渡す必要がある。準備ができていると見積もりも正確になるため、準備は頼む側の交渉力にもなる。

委託先で起きたトラブルは誰の責任になるのか

冒頭の大和証券の件は、まさに委託先の管理の難しさを示している。大和証券は問い合わせの管理に、スカラコミュニケーションズのFAQシステム「i-ask」を使っていた。よくある質問と回答をまとめて、問い合わせを受け付けるサービスだ。そのサーバーに10月2日の夜から翌朝まで不正アクセスがあった。

被害にあったのは大和証券だけではない。スカラコミュニケーションズの公表文によると、同じサーバーの上で最大5社のシステムが動いていた。その5社分の問い合わせ情報が取られた可能性がある。実際、シチズン時計も約10万名分が対象になり得ると公表した。委託先1社のトラブルが、頼んでいた複数の会社に同時に広がるのだ。

大和証券は、委託先をきちんと選んでいなかったのだろうか。公表文には「委託先の選定・管理に関するルールに基づいてSC社を選定・管理していました」と書かれている。スカラコミュニケーションズは対策として、管理者のログインに多要素認証を入れること、会社ごとの環境を分けることを挙げた。多要素認証とは、パスワードに加えてスマートフォンに届く番号などで本人かを確かめる仕組みだ。書類の審査だけでは、自社のデータがほかの会社と同じサーバーに入っているかどうかまでは見えない。

委託先を狙う攻撃は増え続けている。IPAの「情報セキュリティ10大脅威2026」では、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」だった。これは8年連続で選ばれている。サプライチェーンとは、取引先や委託先まで含めた仕事のつながりのことだ。しかも個人情報保護法の第25条で、仕事を任せた会社は委託先を監督しなければいけないと決まっている。任せたからといって、責任まで外に出せるわけではないのだ。

BPO会社を見極める商談の質問と契約後の進め方

では、「BPO」の会社はどこを見て選べばいいのだろうか。見るべき点は、頼める仕事の範囲がはっきりしているか、ミスを防いで報告する仕組みがあるか、セキュリティと契約の中身、料金の内訳が説明されるか、連絡の取りやすさ、ツールやAIをどれだけ使っているか、仕事の量が増減したときに対応できるか、の7つだ。

これらを商談で確かめるには、2つの質問を持っていけばいい。1つは「対応できない仕事の具体例を教えてください」である。いい会社ほど、できないことをはっきり言う。もう1つは「直近で起きたミスと、そのあとの対応を教えてください」だ。具体的に説明できる会社は、ミスを記録して改善する仕組みが回っている。

セキュリティとAIの活用度

セキュリティについては、再委託があるかどうかと、契約が終わったときにデータをどう返して、どう消すかを聞く。再委託とは、委託先がさらに別の会社に仕事を出すことだ。2026年8月、大阪・関西万博の協会は、再委託先が海外の会社を装ってパスワードを入力させるフィッシングメールをきっかけに、メールのアカウントに入られたと公表した。出演者の写真やスピーチ原稿まで対象になった。協会は、契約が終わったあとのデータの廃棄や消去を、もともと契約で義務づけていた。

契約に書いてあっても、守られているかは分からない。だから「再委託先はどこですか」「消したことをどう報告してもらえますか」まで聞く必要がある。また、AIの使い方も見ておきたい。マネーフォワードが8月に、給与計算をAIと専門スタッフが代わりにやるAI-BPOサービスを発表したように、AIを組み込んだ「BPO」が増えている。商談では「この仕事、御社ならどう効率化しますか」と聞いてみる。人を増やすことしか言えない会社は、長く続けるほど割高になりやすい。

契約したあとの「並走」と「終わり方」

選んで契約したら、あとは任せておけばいいわけではない。契約してからが本番だ。どこまでが委託先の責任で、どこからが自社に残るのかを文書にしておく。たとえば、請求書のチェックは委託先がやっても、最後に支払いを確定するのは自社、という分け方だ。

切り替えの時期は、引き継ぎ、並走、独り立ちの3ステップで進める。並走とは、しばらく社内と委託先の両方で同じ仕事をやって、結果を照らし合わせる期間のことだ。大事なのは「ミスが何か月続けてゼロだったら並走を終える」というように、終わる条件を先に決めておくことである。決めていないと、二重の仕事がいつまでも続く。

委託先を乗り換えるときの注意点もある。シチズン時計の公表文には、問い合わせのシステムをほかのシステムに移している最中だったと書かれている。古いシステムは新しい問い合わせには使っていなかったのに、お客様の情報は残っていて、10月中旬に使うのをやめてから消す予定だった。乗り換えの途中は、古い委託先と新しい委託先の両方に自社の情報がある。乗り換えの計画には、古い委託先のデータをいつ消して、消したことをどう確かめるかまで書いておくのだ。

まとめ ― 選ぶ前に「渡し方」と「終わり方」を決めておく

外注の失敗は、委託先の腕前よりも、頼む側の準備と終わらせ方の設計に原因があることが多い。最後に、外注を成功させるための要点を整理しておく。

• 外注の失敗の多くは頼む側の準備で決まるため、業務の棚卸しから始める。
• 委託先のトラブルでも、お詫びをして責任を問われるのは頼んだ会社である。同じサーバーに何社のデータがあるか、再委託先はどこかまで聞く。
• 商談では「できないこと」と「直近のミス」を聞いて選び、並走を終える条件とデータを消す時期を先に決めておく。