中小企業のITガバナンスポリシー策定ガイド：必須7項目と経営者承認フローの設計方針

「社員がクラウドサービスを勝手に使い始めているが、どう管理すればいいかわからない」「ITに関するルールが属人化していて、担当者が辞めたら困る」

そんな悩みを抱える中小企業の経営者は少なくありません。サイバー攻撃の被害が中小企業に集中し、取引先からのITセキュリティ調査票への回答を求められる機会も増えています。

この記事では、中小企業が策定するITガバナンスポリシーの必須7項目と、経営者が無理なく運用できる承認フローの設計方針を、現場で実践できる具体的な手順で解説します。IT専任担当者がいない環境でも進められる内容です。

ITガバナンスポリシーとは何か？中小企業が押さえるべき基本定義

ITガバナンスポリシーとは、企業がITをどのように活用・管理するかを定めた公式のルール文書です。大企業では「IT統治規程」「情報システム管理規程」と呼ばれることも多く、ISO/IEC 38500（IT統治の国際規格）が示す「方向づけ・評価・監視」の3原則に基づいて策定されます。

中小企業の場合、大企業のような数十ページにわたる厳格な規程集は必要ありません。重要なのは「社員が迷わず行動できるルール」と「経営者が最終判断できる承認経路」の2点を明文化することです。

IT統治の3原則を中小企業の言葉に置き換えると、次のようになります。

・方向づけ（Direction）: どのITを使い、何を禁止するかを経営判断として決める
・評価（Evaluation）: 導入したITが経営目標に貢献しているかを定期的に検証する
・監視（Monitor）: ルールが守られているかを継続的に確認する仕組みを持つ

ポリシーがない状態（Before）では、社員がそれぞれの判断でクラウドサービスを契約し、月次のIT費用が把握できません。退職者のアカウントが残存したまま放置され、セキュリティインシデントが起きても「誰が何をすべきか」が不明瞭なまま対応が後手に回ります。

ポリシーがある状態（After）では、利用可能なクラウドサービスが一覧化され、申請フローが確立されます。IT費用の月次集計が可視化され、退職者のアカウントは翌営業日中に削除できます。インシデント時には担当者が初動対応をすぐに開始できます。

中小企業では「うちのような小さな会社にITガバナンスポリシーが必要か」と疑問を持つ経営者も多いですが、従業員数が10名を超えた段階で、ITの属人化リスクは急速に高まります。警察庁「令和6年版警察白書」によると、ランサムウェア被害の約60%が中小企業に集中しており、「規模が小さいから狙われない」という認識はすでに通用しません。

ITガバナンスポリシーは「大企業の真似事」ではなく、経営を守るための最低限のリスク管理ツールです。IPA（情報処理推進機構）の調査（2025年度執筆時点）では、情報セキュリティポリシーを策定済みの中小企業は全体の約40%にとどまります。裏を返せば、ポリシーを持つだけで取引先や金融機関からの信頼性で競合他社より一歩先を行けます。

中小企業がITガバナンスポリシーを策定すべき3つの理由

理由1：サイバー攻撃の被害が中小企業に集中している

警察庁の報告（2025年版サイバー空間をめぐる脅威の情勢等）によると、ランサムウェア被害の約60%が中小企業です。攻撃者は「対策が甘い中小企業を踏み台にして大企業を狙う」という手法を強化しており、中小企業は直接の被害だけでなく、サプライチェーン攻撃の起点にされるリスクも抱えています。

ITガバナンスポリシーは最初の防衛線です。アクセス権限の最小化、クラウドサービスの承認制、インシデント時の連絡体制を明文化するだけで、被害リスクを大きく下げられます。対策コストと比較すれば、ポリシー策定に費やす数十時間の工数は、1件の情報漏洩事故にかかる被害額（中小企業の場合、平均数百万円超）と比べて圧倒的に割安です。

理由2：取引先・金融機関からのITセキュリティ審査が厳格化している

2024年以降、大企業から中小企業サプライヤーへのセキュリティ調査票送付が急増しています。製造業・物流業では「ITセキュリティポリシーを提出できない業者とは取引しない」という方針を打ち出す大手も出始めました。金融機関のデジタル融資審査でもIT管理体制の有無が評価項目に入るケースが増えています。

ポリシー策定は「コスト」ではなく「受注・融資を獲得するための投資」という視点が重要です。取引先からの調査票に「ポリシーあり」と回答できる企業と「なし」と回答せざるを得ない企業では、入札評価に差がつく局面がすでに生まれています。

理由3：内部統制の整備で経営者が安心して任せられる体制を作れる

従業員数が増えるにつれ、経営者が全てのIT操作を直接確認することは不可能です。ITガバナンスポリシーが整備されていれば、「誰が何のシステムにアクセスできるか」「費用の承認はどのルートで行うか」が文書化され、社員への権限委譲が安心してできます。不正や失敗があった場合でも、ポリシーに基づいた対応ができるため、経営者への影響を最小限に抑えられます。1人情シスや兼任担当者が体調不良や退職で不在になっても、ポリシーが「引き継ぎ書」として機能します。

ITガバナンスポリシーに盛り込む必須7項目

中小企業が最初から完璧なポリシーを作ろうとすると、膨大な作業量に圧倒されて挫折します。以下の7項目を核として、段階的に拡充する方法が現実的です。

1. IT資産管理とアクセス権限の原則

社内で使用しているIT機器（PC、スマートフォン、サーバーなど）とクラウドサービスを一覧化した「IT資産台帳」の整備が出発点です。台帳には「機器の種類・型番・管理番号・利用者・廃棄予定年」を記録します。スプレッドシートで十分機能します。

アクセス権限は「最小権限の原則」に基づいて付与します。業務上必要な最低限のシステムへのアクセスのみを許可し、役職が変わった際や退職時には権限を即座に見直します。退職者のアカウントが残存していると情報漏洩リスクが残り続けるため、「退職日当日にアカウント削除」を手順として明文化することが重要です。

Before：退職した元社員のメールアカウントが3ヶ月後も有効なまま放置。外部からアクセスされたかどうか確認する手段がない状態が続いた。After：退職時チェックリストにアカウント削除を組み込み、総務担当者がIT担当者に依頼する手順を標準化。退職翌営業日中に削除を完了できるようになった。

2. 情報セキュリティの基本方針

ウイルス対策ソフトの導入義務化、OSおよびソフトウェアのアップデート適用ルール、パスワードの最低要件（12文字以上・英数字記号混在など）を定めます。パスワードマネージャーの使用を推奨し、使い回しを禁止することを明記します。

業務用デバイスと個人デバイスの分離ルールも重要です。個人デバイスの業務利用を認める場合は、業務データを個人クラウドに保存しないことを条件として明記します。テレワーク環境では、自宅のWi-Fiルーターのファームウェアを最新に保つことも情報セキュリティ方針に含めます。

3. クラウドサービス利用規程

社員が申請なしにクラウドサービスを契約できる状態（シャドーIT）は、費用の膨張と情報漏洩リスクの両方をもたらします。クラウドサービス利用規程では「新しいクラウドサービスを使用する場合は事前申請が必要」「承認された一覧に掲載されていないサービスは業務利用禁止」という2点を核心ルールとして定めます。

生成AI（ChatGPTなど）の業務利用が急速に広がっている現在、「どの生成AIが承認済みか」「顧客の個人情報を入力してよいか」「生成した文章の著作権はどう扱うか」を明確化することが特に重要です。情報を外に出さない社内専用AI（ローカルLLM）の導入を検討している場合は、その利用ルールも同規程に含めます。

4. 業務データの分類と取扱いルール

社内データを「機密」「社外秘」「一般」の3段階に分類し、それぞれの取扱いルールを定めます。

機密データ（顧客の個人情報、財務データ、契約書）は暗号化保存・アクセスログの記録・持ち出し禁止を徹底します。社外秘データ（社内マニュアル、会議資料）はアクセス権限を部署単位で制限します。一般データは自由に共有可能とすることで、過度な制限による業務効率の低下を防ぎます。データの廃棄ルールも明記し、紙の機密文書はシュレッダー処理、電子データは完全消去ツールを使用する手順を定めます。

5. インシデント対応手順

サイバー攻撃・情報漏洩・システム障害が発生した際の「初動30分で何をすべきか」を手順化します。「発見者→IT担当者→経営者」の連絡経路、被害を拡大させないための一時対応（感染端末のネットワーク切断など）、外部機関（IPA、警察サイバー相談窓口）への報告ルートを明記します。

特にランサムウェア被害時は「バックアップからの復元が可能か」が最重要です。バックアップの取得頻度（毎日1回）・保管場所（オフサイトまたはクラウド）・復元テストの実施サイクル（半年に1回）もポリシーに記載します。

6. 外部委託先のIT管理基準

クラウド会計ソフト、給与計算サービス、ECサイトの運営委託など、中小企業は多くの業務を外部委託しています。委託先のセキュリティ水準がそのまま自社のリスクにつながるため、「委託先に求めるセキュリティ要件」を文書化します。

委託先に確認すべき最低限の項目は、情報セキュリティ認証（ISO 27001やSOC2など）の有無、顧客データの保管場所（国内か海外か）、インシデント発生時の通知義務（24時間以内の連絡など）の3点です。これらを契約書の特約条項に盛り込むことで、委託先のセキュリティ事故が発生した場合の対応責任を明確化できます。

7. 内部統制と監査の仕組み

ポリシーを策定しても、守られているかを確認しなければ数年で形骸化します。年1回の「ITガバナンス内部監査」をポリシーに明記し、経営者が結果報告を受ける仕組みを作ります。

監査のチェック項目は「アクセス権限の見直しが実施されているか」「クラウドサービスの利用申請が漏れなく行われているか」「パスワードポリシーが守られているか」「バックアップが正常に取得されているか」などです。外部のIT顧問や中小企業診断士を活用した年1回の第三者確認も、客観的な評価を得る手段として有効です。

経営者承認フローの設計方針（4ステップ）

ポリシー策定で多くの中小企業が迷うのが「誰が何を承認するか」という権限設計です。以下の4ステップで、経営者の負担を最小化しながら実効性のある承認フローを構築できます。

ステップ1：承認が必要な判断を3つのレベルに分類する

全てのIT判断を経営者が承認すると、現場の動きが止まります。次の3レベルに分類して権限委譲の範囲を決めます。

・Lv.1 現場判断（承認不要）: 既存の承認済みサービスの日常利用、承認済みソフトウェアの定例アップデート
・Lv.2 IT担当者承認: 新規クラウドサービスの試用（月額5,000円以下・試用期間1ヶ月以内）、社内IT機器の設定変更、既存システムのマイナー改修
・Lv.3 経営者承認: 新規クラウドサービスの本格導入、年間IT投資10万円超の発注、外部委託契約の締結・更新、重大インシデント時の外部公表判断

Lv.2とLv.3の境界は自社の規模や経営者の関与意向に合わせて調整します。「月額5,000円以下は試用可」という金額基準を設けることで、現場の自律性を保ちながらコストが膨らむリスクを抑えられます。

ステップ2：申請書式をシンプルに作る

Lv.2・Lv.3の申請は「目的・費用・リスク・代替案」を1枚のシートにまとめる形式にします。複雑な申請書類は作成負担が大きく、現場が申請をスキップする（シャドーITが増える）原因になります。Googleフォームや社内チャットの専用チャンネルで申請を受け付ける運用で十分機能します。申請フォームの記載項目は「サービス名・目的・月額費用・利用開始予定日・セキュリティ確認の有無・代替案との比較」の6項目です。

ステップ3：承認の期限と否認基準を明文化する

「申請から5営業日以内に回答する」「期限内に回答がない場合は否認」というルールを設けることで、承認待ちで業務が止まる事態を防ぎます。否認基準として「個人情報をクラウドに送信する設計のサービス」「セキュリティ認証を持たないサービス」「利用規約でデータを第三者に提供すると明記されているサービス」を事前に定めておくと、審査の一貫性が保たれます。基準が明文化されていると、申請者が事前に自己審査できるため通らない申請が減り、審査負担が下がります。

ステップ4：四半期ごとの報告で経営者が全体を把握する

日常の申請承認はLv.2に委任しつつ、四半期（3ヶ月）に1度、「承認されたサービスの一覧と費用合計」「インシデントの発生件数と対応状況」「ポリシー違反の有無」を経営者に報告する仕組みを作ります。報告書は1枚のサマリー形式とし、経営者が15分以内に全体を把握できる粒度にします。

この4ステップにより、経営者は重要な判断のみに集中でき、日常的なIT管理は現場に委任できる体制が整います。承認フローが機能し始めると「誰が何を使っているか」が可視化され、シャドーITが自然に減少します。

以下の比較表で、ポリシー策定前後の違いを一目で確認できます。

評価軸	ポリシーあり	ポリシーなし
IT費用の把握	月次で一元管理・可視化できる	部署ごとにバラバラで全体像が不明
退職者アカウント	退職翌営業日中に削除できる	担当者が気づくまで放置リスクあり
インシデント対応	初動30分の手順が明文化されている	「誰に連絡するか」から始まる混乱
取引先の信頼	調査票に「ポリシーあり」と回答できる	調査票回答に困り入札評価が下がる
新規サービス導入	申請フローで迅速・安全に導入できる	勝手に試用されシャドーITが蔓延する
権限委譲	ルールがあるので安心して任せられる	全て経営者が確認・判断する負担が続く
監査・内部統制	年1回の内部監査でリスクを早期検出	問題が起きてから発覚する後手対応

よくある質問

Q. 従業員が5名以下の会社でもITガバナンスポリシーは必要ですか？

顧客の個人情報を扱う場合は規模にかかわらず策定を推奨します。5名以下でも退職した元社員のアカウントが残存している状態や、社員それぞれが別々のパスワード管理をしている状態は情報漏洩リスクです。まず「IT資産台帳」と「退職時のアカウント削除手順」の2点だけを明文化するミニマムポリシーから始めることができます。

Q. ポリシー策定にどれくらいの時間がかかりますか？

本記事で紹介した必須7項目を揃えた場合、IT担当者が中心となって作業すれば初版完成まで実働20～40時間程度が目安です。既存のテンプレートを活用すれば半分以下に短縮できます。IPA（情報処理推進機構）が無料公開している「中小企業の情報セキュリティ対策ガイドライン」付属のひな形を使うと効率的です。

Q. 専門家に依頼しないと作れませんか？

初版は社内で作成できます。IT顧問や中小企業診断士への依頼は「完成後の第三者レビュー」に留め、作成自体は自社で行う方がポリシーの理解度も高まります。専門家に初版から依頼する場合の費用は30万円～100万円程度（執筆時点）が相場ですが、IPAのひな形を活用した自社作成＋専門家レビュー（5万円～15万円程度）の組み合わせが費用対効果の高い選択です。

Q. 一度作ったポリシーはいつ更新すればよいですか？

最低でも年1回の定期見直しを推奨します。加えて「新しいクラウドサービスを本格導入したとき」「法令改正があったとき（個人情報保護法など）」「重大なインシデントが発生したとき」はその都度更新します。ポリシーは「作って終わり」ではなく、事業変化に合わせて育てていく文書です。バージョン番号と改訂日をポリシー文書の冒頭に明記する運用で、更新履歴が管理しやすくなります。

Q. 従業員がポリシーを守らない場合はどうすればよいですか？

まず「知らなかった」を防ぐために、ポリシーの周知方法をポリシー自体に定めます（入社時説明・年1回の確認署名など）。違反が発生した場合は就業規則との連携で対応できるよう、「本ポリシーは就業規則の付属規程として位置づける」と明記します。繰り返し違反する社員への対応手順も就業規則側に整備しておくことが重要です。

ITガバナンスポリシー策定前チェックリスト

策定作業に入る前に、以下の項目を確認してください。

・IT資産の現状把握: 社内で使用している機器・クラウドサービスを棚卸ししたことがある
・アカウント管理の実態確認: 退職者のアカウントが現時点で残っていないかを確認した
・費用の一元把握: 月次のIT費用総額（クラウドサービス含む）を把握している
・インシデント連絡先の確認: サイバー攻撃が発生した際に最初に連絡する相手が決まっている
・バックアップの確認: 重要データのバックアップが定期的に取得されており、復元テストを実施したことがある
・承認フローの現状確認: 新しいクラウドサービスを導入する際に、誰の承認が必要か明確になっている
・委託先のリストアップ: 顧客データを預けている外部委託先（クラウドサービス含む）が一覧化されている
・経営者の関与意向確認: ポリシー策定にあたり、経営者がどの判断に直接関与するかを事前に確認した

8項目全てにチェックが入った場合は、今すぐ策定に着手できる準備が整っています。チェックが入らない項目は、ポリシー策定の前に実態調査が必要な箇所です。

本記事のまとめ

中小企業が策定するITガバナンスポリシーのポイントをまとめます。

・基本の定義: 方向づけ・評価・監視の3原則を、自社規模に合った形で文書化する
・策定の理由: サイバー攻撃リスク・取引先審査への対応・内部統制の整備という3つの経営課題を解決できる
・必須7項目: IT資産管理・情報セキュリティ基本方針・クラウド利用規程・データ分類・インシデント対応・委託先管理・内部監査
・承認フロー: 3レベルの権限分類→シンプルな申請書式→承認期限と否認基準の明文化→四半期報告の4ステップで設計する
・着手のポイント: 完璧を目指さず、IT資産台帳とアカウント削除手順の2点から始めて段階的に拡充する

ITガバナンスポリシーは、一度作れば数年間使える経営インフラです。当社では、中小企業のIT統治体制の整備を支援するITコンサルティングサービスを提供しています。ポリシーのひな形提供・レビュー・策定支援を含めたご相談は無料で承っています。

ITガバナンスポリシーの策定支援について無料相談する