情シス担当者が退職するとき、何を引き継ぐ？後任がいない企業の確認リスト

引き継ぎに使えるのは、退職日ではなく最終出勤日までです。期間の定めのない雇用では、退職の申し入れから2週間で雇用が終了すると民法に定められています（民法627条1項）。有給休暇の消化が重なると、引き継ぎに使える出勤日はさらに短くなります。退職日と最終出勤日を分けて記録し、予定を最終出勤日から逆算します。

情シスの担当者が1人だけの、いわゆる「ひとり情シス」の場合は、社内に受け手がいないまま退職日を迎えやすくなります。後任が未定でも、次の役割は空けないようにします。

• 承認者：引き継ぎの完了と、残るリスクの扱いを判断する人。経営者または管理部門の責任者が担います。
• 暫定窓口：退職後に社内の問い合わせを受ける人。
• 受け手：管理者権限と手順を受け取り、実際に操作する人。社内の兼務者のほか、外部の支援先が担う場合もあります。
• ベンダー連絡者：保守会社や販売店へ、担当者の変更を連絡する人。

全システムを同じ優先度で扱わず、給与、請求、顧客対応など、止まったときの影響が大きいものから確認します。最終出勤日までに確認できない項目は、期限と担当を付けて承認者へ報告します。

引き継ぎ表は、システムや契約ごとに1行で作り、「対象 / 現在の担当 / 移管先 / 期限 / 確認方法 / 未解決事項」を列にします。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、付録として資産管理台帳のサンプルがあり、一覧のひな形に使えます。

重要なのは「確認方法」の列です。手順書があっても、管理画面の変更や権限の不足で再現できないことがあります。資料を受け取った時点ではなく、確認方法に書いた操作を受け手が実施できた時点を完了とします。

SaaS、ドメイン、DNS、クラウド、ネットワーク機器、端末管理、バックアップを一覧にします。担当者の記憶だけに頼らず、請求書、クレジットカードの明細、経費精算の記録と照合すると、一覧から漏れた契約を見つけやすくなります。契約ごとに、契約名義、更新日、解約期限、保守窓口を記録します。

特に確認したいのは、次のように個人に結びついた状態です。

• 個人のメールアドレスで登録した管理者アカウント：退職後、パスワード再設定や更新の通知が会社に届かなくなります。
• 個人のスマートフォンだけで受ける多要素認証：本人がいないと管理画面にログインできなくなります。
• 個人のクレジットカードで支払っている契約：退職後に支払方法の変更が必要になり、手続きが遅れると更新が止まるおそれがあります。
• 管理者が退職者1人だけのサービス：権限を移す前にアカウントを止めると、誰も管理画面に入れなくなります。

これらを会社が管理する連絡先とアカウントへ移し、主要なサービスでは管理者を2人以上にします。パスワードは引き継ぎ表に平文で書かず、会社が管理するパスワード管理ツールなど、閲覧できる人を限定した方法で渡します。新しい管理者でのログイン確認は最終出勤日までに済ませ、旧担当者の権限は会社が定めた利用終了日時に停止します。

資産情報は、端末とネットワーク機器を中心に整理します。パソコンやスマートフォンは、利用者、機種、購入日またはリースの満了日、保管場所、暗号化や端末管理ツールへの登録状況を記録します。ルーター、無線LANのアクセスポイント、UTMなどのネットワーク機器は、設置場所、管理画面への入り方、設定のバックアップの有無、保守契約を確認します。退職者自身に貸与している端末、ICカード、鍵も、返却日と返却先を決めます。

退職者が行っていた作業を洗い出し、発生する頻度と必要な承認で分けます。頻度によって、引き継ぎ方が変わります。

手順書には、管理画面の入口、必要な権限、正常に終わったことの確認方法、失敗したときの連絡先を書きます。最終出勤日までに、受け手が退職者の立ち会いのもとで一度実行しておくと、手順の抜けが見つかります。年1回の作業は引き継ぎ期間中に発生しないことが多いため、前回の作業記録や請求書から手順を再現しておきます。

障害対応は、影響範囲の確認、社内への連絡、保守会社への連絡、復旧の確認という順番と、それぞれの担当を記録します。バックアップは、取得していることに加えて、対象、保存先、復元の手順、直近に復元を試した日を確認します。営業時間外の対応は、既存の保守契約の範囲と連絡経路を確認します。連絡体制を決める際は、IPAのガイドライン第4.0版の付録「中小企業のためのセキュリティインシデント対応の手引き」も参考になります。

退職者が担っていた入退社のアカウント処理も、受け手へ移します。人事から誰へ、いつ入退社を通知するかを決め、通知を受けた人がアカウントの発行・停止を行い、別の人が完了を確認する流れにします。

退職する社員のアカウントは、会社が定めた利用終了日時にサインインを停止します。メールや共有ファイルの保全・移管は停止とは別に管理し、移管が終わっていないことを理由に本人のアクセスを残しません。Microsoft 365の公式手順でも、サインインの停止を先に行い、メールボックスの保存やOneDriveの引き継ぎはその後に進めます。保存が必要なデータは業務の責任者が判断します。ライセンスの解除やアカウントの削除でデータが消えるまでの期間は製品によって異なるため、保全・移管が済むまでは解除・削除を行わず、各製品の公式手順を確認します。

退職する情シス担当者本人も例外ではありません。管理者権限の移管と、受け手によるログイン確認は最終出勤日までに済ませ、会社が定めた利用終了日時に本人のアクセスを停止します。移管が終わらない項目があっても停止日は延ばさず、会社側の管理者が引き継いで進めます。本人が知っていた共有アカウントのパスワードは、停止と同時に変更します。対象サービスの洗い出しと担当の決め方は、SaaSアカウント管理の実務で詳しく扱っています。

承認者が各項目の完了を確認します。未完了の項目は、期限と当面の対策を記録して残します。

後任が決まっていない場合は、退職後の運用を誰が担うかを最終出勤日までに決めます。選択肢は、専任の後任の採用、社内の兼務、外部支援の3つです。退職が迫っている場合は、後任・兼務者・外部の支援先が最終出勤日までに受け手として引き継ぎに立ち会えるかどうかも判断の材料になります。

実際には、問い合わせの受付は社内の兼務者、専門的な判断と棚卸しは外部支援、というように組み合わせることもあります。体制の選び方の全体像はIT担当者がいない中小企業の90日ロードマップ、費用の比べ方は情シス外注の費用と選び方で扱っています。

外部に引き継ぐ場合は、できれば最終出勤日より前に支援先を決め、引き継ぎに同席してもらいます。退職後は、資料に書かれていない経緯や設定の理由を本人に確認できなくなるためです。採用までの一時的な支援であれば、新任者へ渡す台帳・手順・未解決事項の一覧を終了条件にします。

Malakeでは、外部IT責任者・IT顧問として、契約範囲に応じてSaaS・端末・権限の棚卸し、IT台帳・入退社手順・運用ルールの整備、ベンダーの選定と進行管理を支援しています。初回相談（無料、オンラインで30〜45分程度）では、最終出勤日、把握できているシステムと契約、未確認の事項を伺い、支援の範囲を確認します。