セキュリティチェックシートの回答｜正直な「いいえ」の書き方

いちばんの不安から片づけます。セキュリティチェックシートは、合格点を取る試験ではありません。取引先が、仕事を預ける相手のリスクを把握するための確認です。だから「いいえ」がある状態は、想定の範囲内です。すべて「はい」の会社ばかりなら、そもそもシートを配る必要がありません。

シートの目的がリスクの把握である以上、「いいえ」への自然な続きは、取引の打ち切りではなく「この項目はいつ頃対応予定ですか」という確認です。怖いのは「いいえ」ではなく、あとで実態と違うと分かる「はい」のほうです。立入確認や事故のときに食い違いが出ると、シート全体の信頼が崩れます。

空欄のまま出すのは、ありですか

もう1つ、無回答も避けたい選択です。期限を過ぎて出さない、分からない項目を空欄のまま出す。これは「把握できていない」という答えとして読まれます。分からない項目には、分からないなりの書き方があるので、順に見ていきます。

届いたその日に1問目から埋め始めると、途中で手戻りします。先に3つだけ、送り主に確認しておくと後が楽です。

• 期限と提出形式。ファイルで返すのか、Webフォームか。期限がきついときは、この時点で相談する
• 設問の意味が分からないときの聞き先。用語を推測で解釈して答えると、あとで食い違いが出る
• 証跡（規程や設定画面など）の添付が要るか。要るなら、どの項目に何が要るか

聞くことは失点ではありません。推測で埋めた回答より、確認してから書かれた回答のほうが信用されやすいはずです。

設問を上から順に埋めるのではなく、先に全部へ目を通して4つに仕分けます。何十問あっても、仕分けだけなら1時間もかからないことが多いです。

仕分けると、たいてい「対応済み」が思ったより多いことに気づきます。ウイルス対策、OSの自動更新、パスワードの使い回し禁止。名前で聞かれると分からなくても、中身はすでにやっていた、という項目が一定数あります。

未対応の項目は、「いいえ」の一語で終わらせず、現状と改善予定と時期を1文ずつ添えます。「いいえ」を出せる形にするのは、この3点セットです。受け取る側はこれで、リスクを把握できている会社だと判断できます。

コツは、頻度・範囲・記録のどれかを入れることです。「やっています」だけの回答は、やっていない回答と区別が付かないので、確認が差し戻しの形で返ってきます。

設問の言葉が大げさに見えて、「いいえ」にしてしまう例があります。たとえば「情報セキュリティの責任者を定めていますか」。専任のセキュリティ責任者はいなくても、代表が最終責任を持つと決めて周知しているなら、「代表取締役を最終責任者と定めています」と書けます。設問の言葉を、自社の実態に引き寄せて答える。これは読み替えであって、うそではありません。

境界線は1つです。いま聞かれたら、実物を見せられるか。決めごとが文書やメールに残っている、設定画面を開けば確認できる。それなら読み替えて「はい」と書けます。逆に、「導入する予定がある」を「導入済み」と書く、決めていないことを「定めています」と書くのは、実物が無いので、うそになります。予定は予定のまま、3点セットで書いてください。

迷ったら、「はい」に一言添える形が無難です。「はい（代表を最終責任者として周知。専任の担当者は置いていません）」のように、実態をそのまま見せる書き方なら、読み替えの判断ごと相手に渡せます。

証跡を求められると、立派な規程集を作らなければと考えがちですが、逆です。いま社内にあるものを、そのまま添えるのがいちばん強い証跡です。実際に使われている形跡があるものは、この提出のために作った書類より信用されます。

• 入社時に配っている注意事項のメモ、社内チャットで流したルールの告知
• ウイルス対策やバックアップの管理画面のスクリーンショット
• 朝礼や研修で使った資料と、実施した日付が分かるもの

何も無い項目は、無いと書いて構いません。証跡が無いことと、対策をやっていないことは別の話なので、「実施しているが記録は残していない。今後は○○に記録する」という書き方が実態に合います。

シートは1回で終わりません。別の取引先からも届き、同じ取引先からも定期的に届きます。いちばん効く準備は、今回の回答の控えを、設問と一緒に残しておくことです。次のシートは設問の言葉が違っても中身は重なるので、控えがそのまま下書きになります。

共通の評価制度で、シートは無くなりますか

この「会社ごとにばらばらのシートが届く」状態には、国の側にも動きがあります。経済産業省などが2026年3月に方針を公表した「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）で、対策の状態を共通の基準で評価して、星の数で段階的に示す仕組みです。複数の取引先から別々の対策を求められるという受注側の負担は、この制度が挙げている課題の1つで、2026年度末頃の制度開始を目指すとされています（経済産業省の2026年3月27日の発表、2026年9月確認）。

ただ、いま届いているシートへの答えが変わるわけではありません。これは任意の制度で、経済産業省は「評価を取得していないと商取引が規制される」といった勧誘を、制度の趣旨と異なるものとして注意喚起しています（2026年9月確認）。当面の準備としては、回答の控えを整えるほうが先です。控えが整っている会社は、この先どの形式で聞かれても答えられます。

仕分けで見つかった未対応の項目は、社内で予算を相談する材料になります。「セキュリティ対策をやりたい」という起案は通りにくくても、「取引先からこの項目を確認されていて、未対応と回答した。○月までに対応すると書いた」という起案なら、判断する側が、やるかどうかを決められます。

シートへの回答期限と、社内で予算を決める時期は、たいてい合いません。回答は3点セットでいったん出し、予算の話は自社のペースで進めて構いません。回答に書いた時期が近づいたら、進み具合をそのまま次の回答に反映します。

今日から動くなら、順番は3つです。

1. 01取引先に、期限・聞き先・証跡の要否の3つを確認する
2. 02設問全体に目を通して、対応済み・一部対応・未対応・該当なしの4つに仕分ける
3. 03未対応は、現状・改善予定・時期の3点セットで書く。書き終えたら控えを残す

シートをきっかけに社内の状態を整えるなら、アカウントまわりから手を付けるのが定石です。社内の共有アカウントは共有アカウントのやめ方に、社外の委託先に渡しているアカウントは業務委託先のアカウントと権限にまとめています。

当社はIT環境の整備を支援しています。届いたシートの仕分けと、回答の下書きを一緒に作るところだけでも構いません。必要でしたらお問い合わせからお声がけください。