SCS評価制度の​取引先管理｜​取引先に​★3と​★4の​どちらを​求めるかの​決め方

SCS評価制度で取引先に★3と★4のどちらを求めるかは、制度構築方針が示す例では、2つの問いで決まります。取引先が止まったときに自社の重要な業務に許容できない遅れが出るかと、取引先へのサイバー攻撃で自社の機密などの情報管理に重大な影響が出るか（渡している機密や、つないでいるシステムの範囲で見る）です。この記事は、発注側（大企業・中堅）の情報システム・セキュリティ推進・調達の担当者に向けて、2つの問いに答える事実のそろえ方から毎年の把握までの手順と、自分たちで決めるか外に頼むかの判断材料を整理します。

段階の​割り​当てが​発注側で​決まらない​理由

取引先ごとの段階が決まらない主な理由は2つあります。判断に要る事実が社内の別々の場所にあり、取引先の一覧も部署ごとに分かれていることと、「許容できない遅れ」「重大な影響」の物差しがまだ決まっていないことです。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、2社間の取引で発注者が受注者に適切な対策の段階を示し、両者で実施状況を確かめることを想定した任意の制度で、個社間の商取引に規制措置を講じるものではありません（経済産業省・内閣官房の注意喚起）。経済産業省と内閣官房国家サイバー統括室の制度構築方針は、発注者の役割として、対応が望ましい段階を示し、取引先が取得しているかを確かめることを挙げています（制度構築方針 p12）。★3・★4の運用開始は2027年3月頃の予定です（IPA よくある質問 A1-1）。

従業員1,000名以上の企業でサプライチェーン管理・調達・セキュリティ推進の業務に携わる担当者109名への2026年3月のインターネット調査では、段階の評価を取引条件に組み込む意向は71.6%で、そのうち52.6%が★4以上を想定していました（キヤノンITソリューションズの調査）。

制度構築方針は、割り当ての考え方の例として2つの問いを置いています（p15）。取引先の事業が止まったときに、自社の事業継続上重要な業務に許容できない遅れなどが生じうるか（事業継続）。取引先へのサイバー攻撃などで、自社の機密などの情報管理に重大な影響が生じうるか（情報管理）。どちらかが「はい」なら★4、どちらも「いいえ」なら★3です。

この2つに答える事実は部署ごとに散っています。品目と代わりの有無は調達に、秘密保持の取り決めは法務や契約の担当に、社内のシステムへの接続は情報システムの担当にあります。取引先の一覧も購買・情報システム・経理で別々で、同じ取引先が別の名前やコードで登録されていることがあります。

取引先ごとの​段階を​自分たちで​決める​手順

1. 取引先の一覧を一つにそろえる

購買のベンダーコード、情報システムの委託先の一覧、経理の取引先コードを並べ、同じ会社を一行にまとめて、部署ごとのコードとの対応を残します。照合のキーに法人番号を使うと、表記ゆれや同名の別会社による取り違えを避けられます。法人番号は国内で登記した法人などに付く番号で、海外の取引先や個人事業主には無いことがあるので、その場合は社内コード・社名・国と都市で持ちます。手順は法人番号で名寄せする方法にまとめています。

2. 2つの問いに答える事実を集める

制度構築方針は考慮すべき観点の例として、供給の中断による自社への影響範囲・同業他社からの調達可否・在庫確保の困難さと、取引先から自社の重要な機密情報やシステムへのアクセスの可否と範囲を挙げています（p15）。事実は、たとえば次の場所にあります。

集める事実	置いてある場所の例	使う問い
品目と、代わりの調達先の有無	品目マスタ、発注の実績	事業継続
在庫の持ち方と、代わりを確保できるまでの時間	調達・生産管理の担当者	事業継続
止まったときに止まる製品・業務	生産計画、事業部の担当者	事業継続
秘密保持の取り決めと、渡している機密	法務・契約の担当の契約の一覧	情報管理
社内のシステムへの接続と、その範囲	情報システムのアクセスの一覧	情報管理

この流れは、受発注など事業上重要な業務の多くがIT基盤に依存している取引先を前提にしています（p15）。前提に当たるかも確かめておきます。

3. 物差しを決める

2つの問いにある「許容できない遅れ」と「重大な影響」を、自社の言葉で決めます。たとえば、主力製品の出荷が何日止まれば許容できないか、どの図面や顧客データを渡していれば重大とみなすか、です。

注意したいのは、代わりの調達先の有無だけで事業継続の問いに答えないことです。1社にしか頼めないかだけで分けると、品番の大半が1社にしか頼めない会社では、ほとんどの取引先が★4に寄ることがあります。問いは、代わりがあるかそのものではなく、許容できない遅れが生じうるかで、代わりの有無はその観点の一つです。在庫の持ち方と、代わりを確保できるまでの時間まで見て判断します。

単発・一過性の調達や、市販品など市場で容易に代わりが手に入るもののうち、重要度が相対的に高いとは言えないものは、この流れの対象から外すことも考えられるとされています（p15）。外す基準もここで決めます。

4. 割り当てる

取引先ごとに2つの問いに答え、段階と根拠を書きます。根拠は「止まると主力製品の出荷が止まる」のように、集めた事実で書きます。

以下は理解のための設例です。実在の企業のデータではありません。 部品を仕入れて製品を組み立てるメーカーが、取引先5社に段階を割り当てた場合です。

取引先（設例）	止まったときの遅れ	機密とシステム	段階と根拠
A社（加工部品）	頼めるのは1社だけ。在庫は1週間分、代わりの認定に半年	図面を渡す	★4。出荷が止まり、遅れを許容できない
B社（樹脂部品）	頼めるのは1社だけ。在庫は3か月分、金型は自社のもので1か月で移せる	仕様書だけ。システムにはつながない	★3。遅れは許容でき、情報管理の影響も小さい
C社（設計の委託）	止まっても社内で引き取れる	新製品の図面を渡し、設計データにアクセスできる	★4。情報管理に重大な影響が生じうる
D社（事務用品の通販）	市販品で、ほかの店から買える	なし	対象外
E社（梱包材）	頼めるのは1社だけ。在庫は6週間分で、その間に代わりを確保できるか分からない	システムにはつながない	判断が分かれる。確保にかかる時間を確かめて決める

A社・B社・E社は、どれも1社にしか頼めない取引先です。代わりの有無だけで分ければ3社とも★4ですが、遅れを許容できるかで見ると、段階が分かれます。

5. 判断が分かれる取引先を扱う

段階が決まらない取引先は、設例のE社のように、無理に決めず理由を添えて一覧にし、事実を確かめてから決めます。事実が集まらない取引先も、推測で段階を付けず、確かめる先として残します。

制度構築方針は、★3の要求事項では足りない取引先に★4を求めたり対策を上乗せしたりする調整の例も示しています（p15）。再委託先に段階を求めるかは、元の発注者ではなく直接の取引先が判断するとしています（p14）。

6. 要請を、理由と費用の扱いとともに伝える

全国の中小企業4,191社への2024年度の調査では、発注元から情報セキュリティに関する要請を受けた経験がある企業は1割強で、要請の8割は秘密保持のための措置（79.6%）でした（IPAの2024年度の実態調査）。★3・★4の要請は、2024年度の調査で要請の中心だった秘密保持の措置より、求める範囲が広い要請です。

経済産業省と公正取引委員会は、制度にもとづく対策の要請について、独占禁止法と中小受託取引適正化法（取適法）の上で問題とならない想定事例と解説を作っています。解説では、要請が合理的な範囲を超えた負担を課すものではないことや価格交渉の考え方を扱い、想定事例では、発注側が費用負担の考え方を説明し、価格交渉に積極的に対応する旨を周知しています（p36）。費用負担の考え方の説明とは別に、取引先ごとの根拠は、要請の理由を説明する材料になります。

すぐに★3・★4を取るのが難しい取引先には、要求事項・評価基準をチェックリストとして配ることも考えられるとされています（p12）。★3は要求事項26件・専門家確認付き自己評価・有効期間1年、★4は43件・第三者評価・有効期間3年で（p13）、求める段階によって取引先の負担が変わります。

7. 毎年把握する

自社が★4を目指すなら、★4の要求事項に、自社に影響を及ぼしうる取引先の対策状況を年1回以上把握することが含まれます（要求事項・評価基準2-1-3・p14）。対象は、重要な機密情報を提供・共有している、事業継続にとって重要である、内部システムにアクセスできる、のいずれかに当たる取引先で、方法の例は、段階の取得状況の確認、訪問による点検、チェックシートの回答です。

★3・★4を取った企業は、名前・所在地・適用範囲などが台帳に登録され、事務局のWebページなどで検索できるようになる予定です（p25）。事業部単位などでも申請できるため（p12）、適用範囲が自社との取引の部分を含むかも見ます。★3の有効期間は1年なので（p13）、期限も毎年確かめます。台帳を表計算で持つときの限界はExcel台帳のデータベース化に整理しています。

自分たちで​決められる​ケースと、​その​限界

取引先の一覧が一つにまとまり、取引先が少なく、調達・法務・情報システムの担当者にすぐ聞けるなら、この手順を表計算で回せば足ります。

限界が来るのは、取引先と、一覧を持つ部署が増えたときです。突き合わせの手間が増え、部署をまたぐ聞き取りは担当者の手が空くのを待つことになります。根拠を書き残さずに割り当てると、翌年も同じ聞き取りを繰り返し、取引先に理由を問われても答えられません。

AIを​使うと​何が​変わるか

AIで変わるのは、事実をそろえて割り当ての下書きを作るまでの作業です。一覧の名寄せ、契約やアクセスの一覧と取引先の結び付け、段階と根拠の下書き、判断が分かれる取引先の洗い出しを、AIが全件で処理できます。

役割は、名寄せと割り当ての下書きはAI、根拠が事実と合うかの確認は人、最終の判断は発注側、と分けます。事実を確かめられない取引先に推測で段階を付けない規律も要ります。

ゴムマリは、製造業の現場で、部品の生産拠点の一覧を気象庁などの発表と突き合わせ、影響しうる取引先と部品の一覧を出す仕組みを作りました。この災害の影響の一覧の仕組みで使う、部品と取引先と生産拠点の対応は、段階の割り当てで事業継続の問いに答える材料と同じものです。

自力と​外注、​どちらを​選ぶか

分かれ目は、取引先の一覧が部署ごとに分かれているかと、根拠を残す必要があるかです。

	自分たちで決める	外に頼む
向く状況	一覧が一つ／取引先が少ない／担当者にすぐ聞ける	一覧が部署ごとに別々／取引先が多い／期限がある
かかるもの	調達・法務・情報システムの担当者の時間	費用と、物差しを決める打合せの時間
残るもの	担当者の判断（根拠の記録は体制次第）	取引先ごとの段階と根拠、判断が分かれる取引先と理由
発注側に残る仕事	すべて	物差しの決定、最終の判断、取引先への要請

外に頼むときは、取引先のセキュリティを評価してもらうのか、取引先ごとに求める段階を決めてもらうのかを分けて考えます。頼む先には、根拠が取引先ごとに残るか、渡す一覧をどう扱うかを確かめてください。

次のうち、当てはまるものが多いほど、外に頼む価値が大きくなります。

• 購買・情報システム・経理で取引先の一覧が別々で、同じ取引先が別の名前やコードで登録されている
• どの取引先に機密を渡し、どの取引先が社内のシステムにつないでいるかが、一覧になっていない
• 事実を持つ部署が複数あり、取引先ごとに聞いて回る時間が取れない
• ★3・★4の運用開始（2027年3月頃の予定）までに、要請を決めておきたい
• 自社で★4を目指していて、重要な取引先の対策状況を年1回以上把握する仕組みも要る

次の​一歩

ゴムマリのSCS評価制度の取引先管理は、部署ごとの取引先の一覧をお預かりし、名寄せした一覧、取引先ごとに求める段階（★3・★4・対象外）と根拠、判断が分かれる取引先、★3・★4をまだ取れない取引先に配るチェックリストと回収表の型、毎年の把握に使う台帳の形をお返しします。価格と納期は、お預かりする一覧の分量を確かめて、着手前に確定します。

チェックリストの回収と督促、運用開始（2027年3月頃の予定）の後の★3・★4の取得状況と有効期限の確認といった毎年の把握は、業務AIエージェント導入で自社の中の仕組みにできます。

※SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房が方針を定め、独立行政法人情報処理推進機構（IPA）が運営する制度です。ゴムマリは制度の運営主体とは関係のない民間の会社で、取引先のセキュリティの評価そのものは行いません。

関連記事: 法人番号で名寄せする方法／名寄せ・整形の実務／Excel台帳のデータベース化／サプライチェーンマップの作り方