ITアウトソーシングは何から始めるか：委託の順番・契約条項・出口戦略

要点： 繰り返し発生し、測定できる業務（ヘルプデスク、端末サポート、パッチ適用、監視、バックアップ確認）から委託し、意思決定と業務の知識は社内に残します。契約前に、範囲、サービスレベル、アクセス権、データの帰属、終了時の条件を契約書に入れてください。出口戦略は最初の日に書いておきます。関係が始まったばかりの時期のほうが、はるかに合意しやすいからです。

外部の提供会社にITをどこまで任せるかを決める経営者や情シス担当者に向けた記事です。読み終えると、委託の順番の目安、契約書のチェックリスト、契約に添付できる出口戦略のチェックリストが手に入ります。

ITはどの順番で委託するか

下の順番は、仕様を書きやすく測定しやすい業務から、そうでない業務へと並べたものです。ルールではなく、目安です。社内にIT担当者が全くいない場合は、最初の四つを同時に進めても構いません。

1. ヘルプデスクとエンドユーザー支援。チケット、パスワードリセット、入社時のセットアップ、端末の不具合。件数が多く、測定しやすい業務です。ヘルプデスク委託ガイドを参照してください。
2. パッチ適用と端末管理。OSとアプリの更新、端末の構成とコンプライアンスレポート。毎月のサイクルが決まっています。APACのパッチ管理を参照してください。
3. 監視とアラート対応。サーバー、ネットワーク機器、回線、バックアップジョブ。どのアラートを誰がいつ受けるかを決めます。
4. バックアップの運用と復元テスト。提供会社がジョブを運用し、定期的に復元をテストします。マネージドバックアップとバックアップソフトを参照してください。復旧目標は自社で決めます。RTOとRPOを参照してください。
5. Microsoft 365とID管理。ユーザーのライフサイクル、ライセンス、MFA、条件付きアクセス、メールボックスとTeamsの設定。厳密なアクセス管理が必要です。
6. ネットワークとハードウェアの保守。スイッチ、ファイアウォール、Wi-Fi、メーカー保証、ファームウェア作業。
7. セキュリティ運用。エンドポイント保護、メールセキュリティ、脆弱性スキャン、ログ確認。
8. 計画と助言。ロードマップ、予算、ベンダー選定、リスク管理表。vCIOサービスを参照してください。

ほかをすべて委託しても、次の項目は社内に残してください。

1. 事業上の判断：どのシステムを導入するか、どのリスクを受け入れるか、誰にアクセスを与えるか。
2. 変更の承認：お金、顧客データ、規制対象のプロセスに関わる変更。
3. 業務アプリの知識：提供会社が支えるのは基盤で、業務プロセスは自社チームが持ちます。
4. アカウントの所有：グローバル管理者ロール、ドメインレジストラのログイン、クラウド契約の名義、ライセンス契約は自社で保有します。

何を委託するかをどう決めるか

ITの各業務について、次の問いで確認します。

1. 繰り返し発生するか。繰り返しの業務は、提供会社のツールと手順書に向いています。
2. 測定できるか。目標が書けないものは、履行を求められません。
3. 自社の事業判断が必要か。必要なら判断は残し、実行を委託します。
4. 失敗したらどうなるか。影響が大きいほど、文書化された統制と監査権が必要です。
5. 希少なスキルか、非常勤で足りるか。希少なスキルは、採用より共有のほうが安く済みます。

ITアウトソーシング契約に入れる条項

最終版は弁護士に確認してもらってください。以下は網羅すべき項目のチェックリストで、法的助言ではありません。

1. サービス範囲：対象のシステム、拠点、ユーザー、業務を列挙し、対象外も明記します。
2. サービス時間と窓口：ユーザーがいつ、どう提供会社に連絡するか。
3. サービスレベル：優先度ごとの応答・解決目標、計測方法、未達が続いた場合の措置。SLAとはとSLAとOLAを参照してください。
4. 役割とエスカレーション：双方の担当者と、時間制限付きのエスカレーション経路。
5. 料金と追加費用の発生条件：何が含まれるか、プロジェクト・時間外・訪問の課金方法、ユーザー数の増減の扱い。価格は口頭の見積もりではなく、公開された料金表に結び付けます。
6. 期間・更新・通知：初期期間、自動更新のルール、双方の通知期間。
7. アクセスと認証情報：管理者アカウントの保有者、特権アクセスの付与と記録、回収の方法。
8. データの帰属と所在地：データは常に自社のものです。保管・処理する場所をバックアップも含めて明記します。
9. 守秘とデータ保護：提供会社とその従業員・再委託先の義務、漏えい時の通知期限。
10. 再委託：可否と、再委託先を知らされる権利。
11. セキュリティ義務：自社環境に接する提供会社のシステムに求める最低限の統制。例えばMFA、端末の暗号化、従業員の身元確認。
12. 変更管理：提供会社が単独で行える変更と、承認が必要な変更。
13. 報告とレビュー：月次レポートの内容、四半期レビュー。
14. 事業継続：提供会社自身のサービスが止まったときの対応。
15. 責任と保険：責任の上限、免責、提供会社の保険。原文を出してもらい、確認します。
16. ドキュメント：提供会社は自社のネットワーク、構成、手順書の資料を最新に保ち、要求に応じて引き渡します。
17. 解約権と終了時の支援：下の出口戦略を参照してください。

出口戦略に入れるもの

契約の別紙として添付します。

1. 終了事由の一覧：任意解約、契約違反による解約、期間満了。
2. 引き継ぎ期間：決まった日数の間、提供会社がサービスを続けつつ、次のチームが引き継ぎます。
3. データ返却：チケット履歴、ナレッジベース、資産台帳、構成バックアップ、資料を、読める形式で、合意した期限内に。
4. 管理者権限の移管：提供会社が保有する全アカウントとロールの一覧と、それぞれを削除しパスワードを更新する期日。
5. ライセンス・契約の移管：Microsoft 365、セキュリティ、バックアップ、ドメインの契約を誰が持ち、どう自社または次の会社に移すか。
6. 提供会社ツールの撤去：端末からエージェント、リモートアクセスソフト、監視プローブを外し、書面で確認します。
7. 知識移転セッション：引き継ぐチームへの説明を、合意した時間数だけ行います。
8. 終了支援の費用：後から交渉せず、事前に明記します。
9. 終了後の守秘：データの削除または返却と、削除証明書。
10. 机上テスト：年に一度、上記の項目を今も確認できるかを点検します。

よくある失敗

1. 混乱した状態のまま委託する。現状を先に文書化しないと、提供会社は最初の数か月を実態の把握に使います。
2. 管理者アカウントを自社で持たない。提供会社の名義でテナントを作ると、後の移行が大変です。
3. あいまいな範囲で買う。「ITサポート全般」では、最初のプロジェクトで揉めます。
4. 計測方法のないSLAを書く。
5. 角が立つと思って出口戦略を省く。
6. 業務だけでなく判断まで委託する。リスクと支出の承認は、自社の担当者に残します。

動作の確認方法

1. 90日後、月次レポートを契約のサービスレベルと照らし合わせます。
2. 再発チケットとエスカレーションの件数を数えます。ナレッジが増えれば減るはずです。
3. 各管理者ロールを誰が持っているかを、書面で確認できる状態にします。
4. 社内担当者に、空いた時間とその使い道を聞きます。
5. 出口の別紙を年に一度見直します。

委託先の選び方は、MSP選定スコアカードと香港でのマネージドITサービス会社の選び方を使ってください。

よくある質問

ITアウトソーシングサービスとは何ですか

契約に基づき、外部の提供会社が運用するIT業務です。例として、ヘルプデスク、端末・ネットワーク支援、バックアップ、監視、セキュリティがあります。

ITアウトソーシングの進め方は

一般的な流れは次のとおりです。業務を洗い出して現在の工数を測り、委託する業務を選び、提供会社を絞り込み、パイロットを行い、サービスレベルと出口条項を含む契約を結び、資料と権限を引き継ぎ、30日後と90日後にレビューします。

ITアウトソーシングの例を教えてください

ヘルプデスクの委託、リモート管理によるパッチ適用と監視、復元テスト付きのマネージドバックアップ、Microsoft 365の管理などです。いずれも、内容を説明でき、測定できる業務です。

ITアウトソーシング会社とは何ですか

ITアウトソーシング会社とは、契約に基づいて他の企業のIT業務を運用する提供会社で、マネージドサービスプロバイダーなどがあたります。書面の範囲、サービスレベル、出口条項で比べてください。MSP選定スコアカードが使えます。

マネージド型の契約がどう組み立てられているかは、マネージドサービスのページをご覧ください。

Brocent は香港・シンガポール・中国本土・米国向けのマネージドITサポートのプランとユーザー単価の月額料金を公開しているため、問い合わせ前に比較できます。プランと料金を見る。