IT担当者がいない中小企業は何から始める？外部IT責任者と90日ロードマップ

IT担当者がいない企業では、パソコンの不調、アカウントの発行・停止、SaaSの更新案内、取引先から届くセキュリティの質問票といった対応が、経営者や総務に集まりがちです。問い合わせに答えられていても、管理者権限や障害時の窓口が分からなければ、運用は続けにくくなります。

最初に確認するのは、次の4点です。

• 業務が止まると影響が大きいサービス：メール、ファイル共有、会計・給与、顧客管理など
• 会社が使える管理者権限：誰が管理者か、その人以外もログインできるか
• 契約と保守の窓口：契約名義、更新日、障害時の連絡先
• 直近の入退社予定：アカウントの発行・停止と、端末の準備・回収が必要な時期

未確認の事項には確認の担当と期限を付け、社内の承認者と問い合わせの受付窓口を決めます。担当者の退職がきっかけの場合は、退職前の引き継ぎチェックリストを使い、権限と手順を受け手が実際に操作できるところまで確認します。

兼務では、手順が決まった作業から担当を決めます。設定変更は手順・権限・承認の条件をそろえてから任せ、専門的な判断が必要な作業には相談先を設けます。

兼務者に判断を集中させず、予算とリスクの受け入れは経営側、業務の受け入れは部門の責任者、技術的な判断は専門の担当という分担を明記します。

兼務の限界は、対応時間の記録から判断します。本来業務を圧迫している、未処理の依頼が積み上がっている、特定の人しか復旧できない、といった状態が続く場合は、作業の一部を外部に任せるか、判断を担う人を置くかを検討します。

中小企業や成長企業では、パソコンの購入、SaaSの契約、アカウント発行、システム開発、セキュリティ対応が、それぞれ別の担当者やベンダーへ分かれがちです。個々の作業が完了していても、全体の優先順位を決める人がいなければ、費用とリスクは少しずつ積み上がります。

外部IT責任者は、問い合わせの代行に加えて、事業計画と現場の制約を確認し、何を先に直すか、誰が決めるか、どこまで外部へ任せるかを継続して管理します。

従業員数だけで導入時期を決める必要はありません。次の状態が複数重なったときは、ITの判断を担う人を決める時期です。

1. 契約と権限の全体像を説明できない
   誰がどのSaaSを契約し、退職者の権限がいつ消えるかを一つの台帳で確認できない。
2. 経営者や管理部長へIT判断が集中している
   日常的な問い合わせと投資判断が同じ人に集まり、重要案件の検討が後回しになる。
3. ベンダーごとに説明が異なる
   開発会社、ネットワーク会社、SaaS販売会社の提案を横断して比較する基準がない。
4. 監査・取引先質問票への回答に時間がかかる
   規程はあっても、実際の設定やログを示す証跡がそろわない。
5. AIや自動化の試行が増えたが運用へ移らない
   試作の評価基準、入力データ、承認者、保守担当が決まっていない。

一つだけなら担当者の改善で解消できる場合があります。複数にまたがる場合は、個別対応より先に責任と判断の流れを設計したほうが、手戻りを抑えられます。

最初の1か月は、IT戦略書を作るより先に、現在の契約、資産、権限、担当者を確認します。ここで推測を混ぜると、その後の優先順位を誤りやすくなります。

• サービス台帳：サービス名、契約者、管理者、費用、更新日、保存データ、解約手順
• アカウント管理：入社・異動・退職時の発行と停止、特権管理者、共有アカウント
• 端末とネットワーク：会社支給端末、暗号化、更新状況、紛失時の停止方法
• データとバックアップ：重要データの保管先、復元責任者、復元確認の実施日
• ベンダーと障害連絡：契約窓口、保守範囲、緊急連絡先、依存サービス

この段階で優先するのは、管理者が分からないサービス、退職者に残っている権限、MFAの未設定、バックアップから復元できない状態など、事故時の影響が大きく短期間で直せる項目です。IPAの中小企業向けガイドラインも、経営者の関与と段階的な対策を重視しています。

棚卸しの結果をそのまま長い課題の一覧にしても、運用は変わりにくいものです。影響度、発生可能性、対応工数、事業上の期限を基準に、今四半期に扱う項目を絞ります。

各施策には、意思決定者、実行者、確認者、相談先を一人ずつ紐づけます。小規模組織では兼務して構いませんが、「誰かが見るはず」という状態は残しません。外部IT責任者は進行と技術判断を担い、業務上の受入判断は社内の責任者が行います。

3か月目の目的は、外部担当者がいなくても状況を追える運営を作ることです。月次会議では、作業の件数を並べるだけで終わらせず、事業への影響と未解決のリスクを確かめ、次に決めることを明らかにします。

その材料になるのが月次IT報告です。冒頭に、対象月、対象範囲（全社、特定の拠点やシステムなど）、作成者、内容を確認した日を書きます。対象範囲を変えた月は、前月と比べられるようにその旨も残します。次の8項目を基本とし、1枚で概要を追える程度にまとめます。

費用が分からない項目は「要見積」「未確認」と書き、0円として合計に含めません。確認できた金額だけを足した場合は、総額ではなく小計と書きます。費用を比べるときは、対象期間、人数・範囲、税の扱い、初期・継続・別途の費用、見積の状況をそろえます。見積の条件のそろえ方は、システムの見積もり・ベンダー提案の比較方法で扱っています。率で示す指標には、分母・対象・時点を添えます。

指標は、経営会議での判断に影響するものに絞ります。作業の件数や詳細な作業ログは報告の根拠として残し、経営向けの要約とは分けて管理します。

月次IT報告は、作業の報告に終わらせず、経営会議で決める事項を、事業への影響・判断案・費用・期限・担当とともに示すものです。会議では事項ごとに「決定」「追加確認」「保留」のいずれかを記録し、次回にその結果を確かめます。

次の表は、契約更新・保守期限・復元確認を想定した記入例です。

契約更新の例では、更新の申出期限が判断の基準になります。料金だけでなく、利用状況や解約・数量変更の条件も確かめる方法は、ITコスト適正化の記事で扱っています。保守期限の例で承認したのは調査と見積の取得までで、本番の変更や移行の承認とは分けて記録します。復元未確認の例では、試験の条件と担当を決めてから実施を判断します。試験の進め方と結果の記録は、バックアップ復元テストの進め方で扱っています。

月次の判断には、次の4つの立場が関わります。小規模な組織では1人が複数を兼ねても構いませんが、誰が何を決めるかは分けて書きます。

• 経営・承認者：予算、優先順位、残るリスクの扱いを決める
• 業務の責任者：止まったときの業務への影響、欠かせない業務、変更の結果を受け入れるかを確かめる
• 社内のIT担当・外部IT責任者：事実と選択肢を整理し、技術的な条件、担当、記録、進行を管理する
• ベンダー・保守事業者：契約の範囲で、見積、調査、作業とその結果を示す

運営は、次の順で回します。

1. 会議の前に、根拠、未確認の事項、判断案を報告にまとめる
2. 会議で、事項ごとに決定・追加確認・保留を記録する
3. 決めた事項に担当と期限を付けて実行する
4. 次回の会議で、結果と残るリスクを確かめ、判断を見直す

保留した事項は、理由、暫定策、再判断の期限、担当とともに次回へ持ち越します。調査や見積の取得を承認しても、解約、停止、本番の変更を承認したことにはなりません。

月次会議は平時の判断の場です。障害、セキュリティ事故の疑い、緊急の脆弱性対応は会議まで待たずに扱えるよう、緊急時の連絡先、代わりに判断する人、臨時に承認する経路を別に決めておきます。緊急で判断した内容は、次の月次報告で経緯と残る課題を確かめます。

90日間の完了は、資料の納品ではなく、次の状態を社内で確認できることです。

外部支援は、採用までの一時的な代替にも、社内責任者を補完する継続体制にも使えます。選ぶときは、費用に加えて、社内に残す判断と、社内で担う作業の量を基準にします。

• 専任採用が向く状態：日々の判断量が多く、事業固有のシステムや組織事情を継続的に蓄積する必要がある。
• 社内兼務が向く状態：対象が限定され、業務責任者がIT判断に必要な時間を確保できる。
• 外部IT責任者が向く状態：複数領域を横断する判断が必要だが、専任採用ほどの業務量はない、または採用前に運営の型を作りたい。

社内の業務責任者と外部IT責任者を組み合わせ、運用が増えた段階で社内で担う割合を上げていく形は、無理なく始めやすい方法の一つです。その場合は、引き継げる形の台帳、判断の記録、手順書を、契約上の成果物に含めます。

外部支援を使う場合は、採用までのつなぎとして使うのか、社内の責任者を補う形で続けるのかを、契約の前に決めます。目的によって、終了の条件と残す成果物が変わるためです。

採用が遅れる、採用をやめて外部支援を続けるといった変更が起きた場合は、その時点で契約範囲を見直します。一時支援のつもりで始めても終了条件を決めていなければ、何をもって完了とするかが曖昧になります。体制ごとの費用の比べ方は情シス外注の費用と選び方で扱っています。

提案資料の見栄えより、判断と実装の責任範囲を確認します。「顧問」「コンサルティング」という名称が同じでも、会議への参加だけで終わる契約と、設定変更やベンダー調整まで行う契約では成果が異なります。

外部の支援先へ相談する前に、次の情報を整理しておくと、支援の範囲と費用を同じ条件で比べられます。資料がそろっていなくても、分かることと未確認の事項を分けておけば、相談の入口になります。

• 会社の規模：社員数、拠点数、端末の台数
• 利用中のサービス：メール、ファイル共有、会計などの主要なサービスと、管理者の把握状況
• 現在の担当：問い合わせを受けている人、兼務している作業と、かかっている時間
• 困っている業務：止まっている作業、繰り返し起きている問題
• 期限：担当者の退職、採用、監査、契約更新などの予定
• 予算と承認者：予算の制約と、社内で契約や優先順位を承認できる責任者

相談の場では、外部に任せたい作業と、社内に残す判断を分けて伝えます。「何から始めればよいか分からない」という段階でも、上の情報があれば、支援先は最初の90日で扱う範囲を具体的に提案しやすくなります。