経理の外部委託｜アクセス権限の渡し方と、契約が終わった日のデータの戻し方

経理の外部委託は、契約書に判を押した時点では何も始まりません。実際に業務が動き出すのは、会計ソフトのIDを発行し、銀行の照会画面を見せ、請求書のPDFが入ったフォルダを共有した瞬間です。外部委託で本当に渡しているのは業務ではなく、社内の情報が見える範囲だと私は考えています。

ところが、この「見える範囲」の設計は、契約の話し合いではほとんど議題になりません。契約書には「委託先は善良な管理者の注意をもって情報を管理する」と書いてあり、双方それで納得します。そのあと現場では、無料ライセンスの数が足りないという理由で1つのIDを共有し、担当者が交代しても誰も権限一覧を見直さないまま2年が経ちます。

この記事は預けたあとの運用に絞っています。委託・準委任・派遣といった契約の型と、責任が誰にあるかの整理は経理を委託するに書きました。外注できる業務の範囲や費用は経理の外注を、社内で担当者が代わるときの引き継ぎは経理の引き継ぎをご覧ください。ここでは、権限を渡した日から契約が終わる日までの4場面を扱います。

1｜業務ごとに、渡す権限と渡さない権限を分ける

まず前提として、経理の外部委託で権限を「全部渡す」必要がある業務はほとんどありません。多くのソフトは閲覧・入力・承認・管理者の4段階くらいに権限が分かれていて、委託先の仕事はたいてい入力までで足りるからです。

業務ごとに整理すると、次のようになります。

とくにお金を動かす操作は、絶対に外に出さないでください。振込データを作るところまでと、それを承認して実行するところは、まったく性質が違う作業です。ここを分ける理由は不信ではなく、分けておかないと事故が起きたときに原因の切り分けができないからです。詳しくは支払代行とはに書きました。

マイナンバーだけは、他の情報と扱いが違います。番号法（行政手続における特定の個人を識別するための番号の利用等に関する法律）で収集・保管・廃棄まで縛りがあり、委託する場合も委託元に監督の責任が残ります。実務上は、給与計算を出してもマイナンバーは渡さないという組み方ができないかを先に検討しています。年末調整や法定調書の作成まで含めて出す場合は、専用のクラウドサービスに限定して預け、他の資料と同じフォルダに置かないのが安全です。

「見せる資料」ではなく「見える範囲」で考える

ここでよくある行き違いを1つ。「必要な資料はこちらから送ります」という進め方は、一見すると安全に見えて、実は事故の確率が上がります。送る側が毎回ファイルを選び、メールに添付し、宛先を選ぶ工程が増えるからです。誤送信は、都度の手作業がいちばん多い工程で起きます。

フォルダの権限を最初に設計して「この範囲は常に見えている」状態にしておくほうが、月次の手数も、事故の確率も下がります。設計に時間がかかるのは最初の1回だけです。

2｜権限は「会社」ではなく「アカウント1つずつ」に渡す

私が最初に確認するのはここです。委託先の担当者ごとに、別々のIDが発行されているか。

1つのIDを委託先のチームで共有していると、次のことが全部できなくなります。

• 誰が操作したか分からない。 会計ソフトの操作ログは残りますが、そこに出るのは共有IDの名前だけです。事故が起きた日に、範囲を特定するための手がかりが消えます。
• 1人だけ止めることができない。 委託先の担当者が1人抜けたときに、パスワードを変えれば全員が止まります。だから運用上、誰も変えません。
• 棚卸しができない。 IDの一覧を見ても、いま実際に何人が使っているのか分かりません。

共有IDになる理由は、ほぼ例外なくライセンス費用です。会計ソフトの追加ユーザーが1人あたり月額数千円かかるので、2人分で済ませたい。気持ちは分かりますが、ここは費用で解決してよい数少ない箇所だと申し上げています。年間で数万円の話と、事故が起きた日に範囲を特定できない状態とを比べる話です。

棚卸しは、頻度より「突き合わせる相手」を決める

権限の棚卸しは、やろうと決めても続きません。続かない理由は面倒だからではなく、誰と誰の一覧を突き合わせるのかが決まっていないからです。実務では次の形にしています。

契約書に「担当者を変更する場合は事前に通知する」と入れてある会社は多いのですが、実際には通知が遅れます。悪意ではなく、業務の引き継ぎが優先されて、通知が後回しになるだけです。通知を待つ運用ではなく、こちらから名簿を求める運用にしておくと止まりません。

3｜退職・担当交代のときに、止め忘れるのはどこか

社内の退職手続きは人事が主導します。ところが経理まわりのアカウントは、人事が持っている貸与物の台帳に載っていないことが多く、ここが抜けます。私が実際に「残っていた」のを見た順に並べます。

1. 共有リンク。 クラウドストレージで「リンクを知っている全員が閲覧可」にしたまま配ったURL。アカウントを止めてもリンクは生きています。退職者の私物端末に残ったブックマークから、そのまま開けます。
2. メールの転送設定。 請求書が届くメールアドレスから個人宛に転送をかけていた場合、本人のアカウントを削除しても、転送設定自体は別の場所に残ることがあります。
3. ネットバンキングの照会用ID。 振込権限のあるIDは真っ先に止まりますが、照会だけのIDは「見るだけだから」と後回しになります。残高と取引先の全履歴が見えるIDです。
4. 法人カードのオンライン明細。 カード自体は回収しても、明細サイトのログインが本人のメールアドレスに紐づいたまま残ります。
5. 税務・給与ソフトの体験版や旧バージョン。 使わなくなったのに、データを入れたまま端末に残っています。

これは委託先側の退職でも同じです。ですので契約書には「担当者が退職・異動した場合、当日中にアカウントを停止し、その旨を書面で報告する」という粒度まで入れておくのが確実です。「速やかに」では動きません。そのうえで、報告が来なくても四半期の棚卸しで拾える形にしておきます。

4｜事故が起きた日に、何時間で何をするか

ここは、起きてから考えると必ず遅れます。よくある型は次の4つです。

• 誤送信。他社宛の請求書を、別の取引先に送ってしまった
• 紛失。証憑を入れた端末やUSBが見当たらない
• アカウントの乗っ取り。委託先のメールが不正アクセスを受けた
• 再委託先での漏えい。委託先がさらに外に出していた作業で起きた

4つ目は、契約時に再委託の可否を決めていない場合に起きます。この点は経理を委託するに書きました。

個人データの漏えい等が起きた場合、個人情報保護法上、一定の類型では個人情報保護委員会への報告と、本人への通知が義務になります（同法第26条）。報告は速報と確報の2段階で、速報は事態を知った後速やかに、確報は原則30日以内（不正の目的による行為が疑われる場合は60日以内）とされています。対象となる類型や手続の詳細は個人情報保護委員会のガイドラインをご確認ください。

ここで実務上いちばん大事なのは、この義務を負うのは委託元、つまり自社であるということです。委託先で起きた事故でも、報告する主体は原則として委託元になります。だからこそ、委託先から自社へ「いつ、どう伝わるか」を先に決めておく必要があります。

連絡先は、必ず人と携帯番号で持ってください。委託先の代表メールアドレスしか知らない状態だと、金曜の夜に起きた事故が月曜まで動きません。当社では契約開始時に、双方の一次連絡者と、その人が捕まらないときの二次連絡者まで決めてお渡ししています。

5｜契約が終わった日に、何がどの形式で戻ってくるか

ここが、いちばん抜けます。契約書には「契約終了時、委託先は受領した資料およびデータを返還または破棄する」と書いてある。双方それで合意している。ところが形式が書いていない。

形式を決めていないと、契約終了時に届くのは試算表と総勘定元帳のPDFです。読めますが、次の委託先も社内の担当者も、そこから業務を再開できません。返してもらうべきものを具体的に並べます。

返却の期限も入れておきます。「契約終了日から◯営業日以内」と書いておかないと、担当者が離任した後の作業になり、後回しになります。

クラウド会計なら、そもそも「返却」が起きない

この問題がいちばん軽くなるのは、会計データが最初から自社のテナントにある場合です。freeeやマネーフォワードのように、契約者が自社で、委託先はそこにユーザーとして招かれている形なら、契約が終わった日にやることは権限を剥がすことだけです。データは動きません。

逆に、委託先の環境で処理してもらっている場合は、返却が発生します。インストール型の会計ソフトを委託先が持っている形が典型です。この場合は、自社に同じソフトが無いと開けない、という事態も起こります。委託先を選ぶ段階で確認しておく項目です。クラウド会計を使ったままの外注についてはクラウド会計×経理代行に書きました。

シメゴの場合と、正直に申し上げること

当社では、原則としてお客様の会計環境にこちらがユーザーとして入る形で作業します。担当者ごとに個別のIDをいただき、振込の承認と実行はお客様に残していただきます。契約開始時に、権限の一覧と一次連絡者を書面でお渡しします。

そのうえで、3点を先にお伝えしています。

• 権限を絞るほど、こちらからの質問は増えます。 見える範囲が狭いと、自分で確認できないことが増えるからです。手間ゼロと事故ゼロは両立しません。どこで線を引くかを一緒に決めさせてください。
• 事故の確率をゼロにする方法はありません。 外に出しても、社内に置いても同じです。決められるのは、起きたときに何時間で止まるかと、範囲を特定できるかどうかだけです。
• 契約が終わる日の話は、始まる前にさせてください。 出口の条件を先に決めておくほうが、途中で乗り換えたくなったときのお客様の自由度が上がります。当社としては、乗り換えにくくすることで契約を維持したいとは考えていません。

まとめ

経理の外部委託でトラブルになるのは、契約書の文言よりも、渡したあとの運用です。決めることは4つあります。業務ごとに渡す権限と残す権限を分けること。担当者ごとに個別のIDにすること。退職や交代の日に何を止めるかを一覧にしておくこと。契約が終わった日に、何がどの形式で戻るかを先に決めておくこと。

どれも、始まる前なら30分で決まります。始まってからだと、誰も言い出せないまま2年が過ぎます。

いまお使いのソフトと、いま誰にどこまで見えているか。無料コスト診断では、業務の並びと合わせてこの点も拝見し、渡す範囲の案の形でお返ししています。

※本記事は一般的な実務の整理であり、個別の契約内容・情報管理体制について結論を保証するものではありません。個人情報の取扱い、漏えい等が発生した場合の報告義務の要否と手続については、個人情報保護委員会が公表するガイドラインおよび最新の法令をご確認のうえ、必要に応じて弁護士等の専門家にご相談ください。個人データの取扱いを外部に委託する場合、委託した側には個人情報保護法上の必要かつ適切な監督が求められます。税務代理・税務書類の作成・税務相談は税理士法第2条第1項に定める税理士の業務であり、当社では行いません。労働社会保険諸法令に基づく申請書等の作成・提出代行は社会保険労務士の業務であり、当社では行いません。