契約はまとまった。
そのあとに、情報システム部からExcelが届く

▶ 60秒スライド要約 この記事の8枚版もあります。60秒で読めます。 スライドを見る →

Quick Answers

SOC 2レポートを送っても、なぜ確認が終わらないのですか

求められているものが違うからです。SOC 2レポートは、こちらが定めた範囲について監査法人が意見を述べた保証報告書です。届いたシートは先方が自社の基準として持っている項目表で、担当者はその1行ごとに対応状況を記録し、自分の名前で社内に上げなければなりません。誰も監査法人を疑ってはいません。ただ、レポートは「対応状況」の欄には貼れないのです。

英語で回答してはいけませんか

送ること自体は問題ありません。暫定回答としては受け取ってもらえます。ただし、それで審査は閉じません。埋め終えたシートは稟議の添付として社内を回るので、日本語版は誰かが必ず作ることになります。こちらが作らなければ、窓口の担当者が夜に作る。そしてその人は、自分では書いていない暗号化や再委託先の記述を、社内に対して保証する側に回ります。

TL;DR

商用条件の話はもう終わっています。そこへ情報システム部門からブックが1つ届き、それが往復しているあいだ、1〜2か月動かなくなる。多くの場合、これはセキュリティの問題でも商談の問題でもありません。同時に3つのことが起きています。先方が必要としているのは監査の結論ではなく、自社の項目表の1行ごとの対応状況であること。埋め終えたシートは稟議の添付になるので、日本語で埋まっていること自体が要件になること。そして147行目に答えられる人は本社にいて、時差の向こうで、自社の用語とシートの用語のあいだを往復していること。1往復に1週間かかります。抜け道はひとつで、最初の1枚を日本語できちんと埋め、それを版を管理した社内資産として持ち、次からは差分だけを直すことです。

Key Takeaways

• シートは先方の基準であって、こちらの基準ではない。認証書は「自社の制度が審査された」ことを示します。シートが聞いているのは、147行目について何をしているか、しかも先方の言葉で、です。
• 日本語は礼儀ではなく書式要件。埋め終えたシートは承認のために社内を回ります。言語の違う様式は、良い回答が翻訳待ちなのではなく、手続き上は未完成の様式として扱われます。
• 答えを持っているのは本社。日本側だけでは埋まらないので、判断に迷う行が出るたびに太平洋を越えるメールになり、そこで1週間が消えます。
• 遅延は「決まったあと」に来る。社内ではもう受注扱いになっているので、誰もこの時間を見込んでいません。
• 1度きちんと埋めれば、次からはプロジェクトではなくなる。2社目のシートは、順番と列名が違うだけで、聞いていることの大半は同じです。

「これを埋めていただけますか」

メールは木曜の午後に届きます。本文は3行で、文面は丁寧そのものです。添付されているのは「情報セキュリティチェックシート.xlsx」で、購買の最終承認に上げる前に情報システム部門でベンダー評価を済ませる必要がある、と書いてあります。

開くとタブが4つ。1枚目は会社概要。2枚目は12行目から始まって200行を超えたあたりまで続きます。組織的な方針、アクセス制御、保存時と通信時の暗号化、ログの保管期間、再委託先の管理、データの越境移転、インシデント発生時の通知期限、従業員のバックグラウンドチェック、データセンターへの物理的な入退室、記録媒体の廃棄方法。どの行の右側にも、狭い列が3つ並んでいます。対応状況（対応済み／一部対応／未対応／該当なし）、具体的な対応内容、根拠資料。

無茶な項目はひとつもありません。ほとんどは自社の製品ですでに満たしていることです。それなのに、それをどう書けばいいのかが分からない。

ここに書いた流れは、日本参入の支援で繰り返し見てきたパターンを合成したものです。特定の顧客や特定の取引先の事例ではありません。

認証書は、聞かれていない質問に答えている

本社の反応はだいたい決まっています。すでに手元にあるもので返す。SOC 2 Type IIレポート、ISO/IEC 27001の認証書、トラストページへのリンク、そしてセキュリティ担当との打ち合わせの提案。この対応は間違いではありませんし、市場によってはこれで話が終わります。日本では、丁重なお礼と一緒に同じExcelがもう一度届きます。ときには「お手数ですがシートのほうもお願いします」という一文が添えられて。

ずれているのは文化ではなく、書類の性質です。AICPAはSOCの一連の報告書を、外部委託に伴うリスクを利用者が「評価し対処する」ために必要な情報を提供する保証報告書と説明しています。こちらが定めたシステムの記述と範囲について、監査法人が意見を述べる文書です。届いたシートはその反対側にある文書です。先方のセキュリティ部門が自社のガバナンスのために作った管理項目の一覧で、担当者は1行ごとに状況を記録し、その下に自分の名前を置きます。

認証も同じところでずれます。日本でISO/IEC 27001が読まれるときの基準点は、多くの場合JIS Q 27001とISMS適合性評価制度です。ISMS-ACが認定した認証機関が、その組織が規格に沿って情報セキュリティマネジメントシステムを導入し運用していることを認証する仕組みで、これは宣言した適用範囲のなかでのマネジメントシステムについての証明です。88行目に書かれた月数だけ監査ログを保管しているかどうかについては、何も言っていません。

なぜ日本語でなければならないのか

埋め終えたブックは、送ってきた人の手元には留まりません。社内申請の添付資料になり、購買の他の書類と同じ稟議のルートを上がっていきます。読むのは、製品の評価にはまったく関わっていない人たちです。情報システムの担当者がセキュリティの欄を確認し、その上長が承認し、法務は再委託と越境移転の行を見ます。金融機関や決済事業者であれば、リスク管理や内部監査の部署も目を通します。

その誰も、この案件に自分から手を挙げたわけではありません。英語の添付は、その全員に差し戻す理由を与えます。本社から見えにくいのはここです。シートは「様式」であって、言語の違う様式は、内容の良い回答が翻訳を待っている状態ではありません。手続き上は、未記入の様式と同じ扱いになります。

言語の問題の下には、用語の問題があります。日本の企業が使うセキュリティチェックシートは、20年以上にわたる公的なガイダンスのなかで固まってきた国内の語彙で組み立てられています。IPAは情報セキュリティ対策ベンチマークという、25問の設問に答えて自社の取り組み状況を評価する自己診断ツールを公開しています。中小企業向けのセキュリティガイドラインの付録は、自社診断のチェックシートとExcelの管理台帳という形で配られています。項目表とブックは、取引先が思いつきで作った様式ではなく、この国では標準的な形です。金融機関に売るなら、参照されるのはFISCの「金融機関等コンピュータシステムの安全対策基準・解説書」で、第14版が2026年3月に公表されています。

取引先はシートをゼロから書いているわけではありません。この語彙から組み立てています。自社のセキュリティ体制の用語で書いた回答は、その語彙の上に写し取られて初めて回答として成立する。そして、その写し取りの作業は、たいてい誰の担当にもなっていません。

2か月はどこに消えているのか

あとから「なぜ2か月かかったのか」と聞くと、セキュリティ審査に時間がかかりました、という答えが返ってきます。事実ではありますが、何も説明していません。時間のほとんどは審査には使われていない。使われているのは往復で、往復には決まったリズムがあります。

147行目に答えられる人は本社にいます。セキュリティエンジニアか、コンプライアンス関連の問い合わせ窓口を持っている人です。東京より8〜16時間遅れた場所にいて、しかもこれはその人の本業ではありません。日本時間の夕方に質問を投げ、翌朝に回答が返り、そこから出てきた確認事項をその晩また送る。この形を2、3回繰り返すと1週間が終わっています。

返ってきた答えは、次にシートへ書き込まれます。ここがもうひとつの翻訳作業です。「ログは12か月保管しています」という一文を、保管期間を定めた規程文書が存在することを前提にして、その文書名を書かせようとしている列に入れなければならない。結局、3つのセルを埋めて2つに保留の印を付けた状態で送り返し、担当者が備考欄にコメントを足して、また同じ循環が始まります。

4往復は珍しくありません。8週間かかることもあります。これは測った統計ではなく、同じ光景を何度も見てきたという観察です。そして数字そのものは本質ではありません。本質は、コストが往復の回数にほぼ比例していて、それ以外の要因があまり効かないことです。自社の実測値がいくつであれ、往復を半分にすれば期間も半分に近づきます。

最初の1枚を、日本語できちんと埋める

2枚目のシートは、1枚目と同じではありません。順番が違い、列の見出しが違い、1枚目の取引先が聞かなかった項目が1つ2つ入っています。それでも、聞いていることの大半は重なります。この重なりが唯一の勝ち筋なのですが、たいていの会社は使いません。1枚目が「割り込み仕事」として処理され、契約が締結された日に営業フォルダの奥へ消えるからです。

どうせ1枚目には回答するのですから、そのついでに次のものを作っておきます。

1. 送り返した添付ではなく、日本語の原本を1つ持つ。設問、日本語の回答、その元になった英語の文を並べて置く。本社は自社の名前で何が書かれているかを確認でき、日本側は本社を待たずに出せます。
2. 回答ごとに根拠の参照先を書いておく。SOC 2レポートのどのセクションか、どの規程か、認証書の適用範囲のどの記載か。往復を実際に減らすのはこの部分です。「根拠を見せてください」という質問が、すでに書いてある参照に変わります。
3. 「対応済み」と書けなかった行を記録に残す。書けた行より価値があります。日本の大企業がこれからも聞いてくる項目の一覧が、無料で手に入っているのと同じです。
4. 両側を読める人に文言を確認してもらう。自社のセキュリティ文書とシートの語彙は別の文体で、その対応づけは行ごとの判断になります。
5. 日本時間で動く担当者を決めておく。戻ってきたシートを翌週ではなくその日のうちに返せる人がいることは、資料をどれだけ揃えるかより効きます。

ここまでのどれも、今持っていないコンプライアンス体制を必要としません。必要なのは、回答セットを毎回ゼロから書き直すメール添付ではなく、版を持った社内資産として扱うことです。周辺の文書にも同じ効果が及びます。セキュリティとデータの取り扱いのページと利用規約・プライバシーポリシーは根拠資料の欄から常に参照されますし、取引先登録の様式が求める会社情報は、たいてい同じ週に依頼されます。

事態を悪くする4つのやり方

シートを機械翻訳してそのまま返す。設問を読むぶんには問題ありません。回答には向きません。回答は自社名を冠して社内を回る文書だからです。セキュリティの回答欄で機械翻訳の匂いがする日本語に出会った担当者は、他にも急いで済ませたところがあるのではないかと考え始めます。この疑いを解くコストは高い。

止めたくない一心で営業が埋める。セキュリティのシートでは、遅い回答より誤った回答のほうが高くつきます。しかも商談中には表面化しません。表面化するのは更新のときか、障害が起きたときで、そのときそこにあるのは、取引先の誰かが承認した文書です。

空欄のまま返す。空欄は中立ではありません。担当者がこちらに聞き直さなければならない質問が1つ増えるということで、往復が1回増えます。該当なし、と1行の理由を添えれば、それは社内に上げられる答えになります。

「一部対応」を負けだと考える。その区分があるのは、すべての行を満たすベンダーが存在しないからです。予定を添えた正直な一部対応は、通したいがための対応済みより審査を通りやすく、1年後に戻ってきません。

そのExcelが本当に伝えていること

セキュリティチェックシートは、契約の前に置かれた障害物ではありません。取引先がこちらを「候補」ではなく「取引先」として扱い始めた地点です。あのシートが存在するのは、その会社の誰かがこの選定について個人として説明責任を負うからで、日本ではその責任がシートという形で記録されます。

つまり、同じことがまた起きます。2社目でも、5社目でも。更新のときにも、先方の社内基準が改定されたという理由でシートが再発行されます。そして年度末が近づけば、同じ承認者の時間を他の案件と奪い合うことになります。毎回これを突発の緊急事態として処理する会社は、毎回きっちり同じ2か月を払います。

日本のパイプラインに「セキュリティ審査中」のような名前のステージで止まっている案件があるなら、両者のあいだで実際に何が動いているかを見てください。動いているのがExcelで、それが週に1回くらいのペースで太平洋を渡っているなら、詰まっているのは自社のセキュリティ水準ではありません。

Japan Readiness Check では、日本語で出している資料を社内の確認担当者と同じ読み方で見ていきます。セキュリティとデータの取り扱いのページ、利用規約、取引先登録で求められる会社情報。そして、先方の承認手続きが「引用できるもの」を切らす地点をお伝えします。

よくある質問