「会社の売上や銀行明細、給与情報を外部へ共有しても大丈夫なのだろうか。」
「オンラインの経理代行で情報漏洩が起きないか心配だ。」
経理代行を検討するとき、料金や業務範囲と同じくらい気になるのが、情報管理の安全性です。
経理代行では、請求書や領収書だけでなく、銀行口座、取引先、給与など、会社の重要な情報を外部へ共有します。そのため、「秘密保持契約があるから安心」と判断するのではなく、誰がどの情報へアクセスし、どのように管理するのかまで確認する必要があります。
経理代行の安全性は、対面かオンラインかだけでは決まりません。
アクセス権限、アカウント管理、二段階認証、再委託、契約終了時のデータ削除、問題発生時の連絡体制などが、実際の運用として整っているかが重要です。
この記事では、経理代行の契約前に確認したいセキュリティ対策を8つのポイントに分けて解説します。
経理代行の業務内容や導入の流れを先に確認したい方は、以下の記事をご覧ください。
合わせて読みたい：経理代行とは？業務内容・導入の流れを解説
経理代行で共有する主な情報
経理代行へ共有する情報は、依頼する業務によって異なります。
主な情報には、次のようなものがあります。
- 請求書や領収書
- 銀行口座やクレジットカードの明細
- 売上・仕入データ
- 取引先名や振込先口座
- 売掛金・買掛金の残高
- 給与明細や勤怠データ
- 従業員の氏名や住所
- 経費精算の申請内容
- 会計ソフト内の仕訳や月次資料
- 契約書や発注書
取引先情報や給与情報には、個人情報が含まれる場合があります。また、銀行残高や支払予定、利益率などは、社内でも閲覧できる人を限定していることが多い情報です。
そのため、すべての担当者がすべての資料を見られる状態ではなく、担当業務に応じて閲覧範囲を分けることが重要です。
例えば、記帳担当者には会計資料への権限を付与し、給与情報は給与計算を担当する人だけが閲覧できるようにします。会社側でも、経理代行へ共有する前に、業務に不要な個人情報が含まれていないか確認します。
経理代行を安心して利用するために必要な仕組みや、会社側が処理状況を把握できる体制については、以下の記事で解説しています。
合わせて読みたい：経理代行は安心して任せられる？不安を解消する5つの理由
オンラインかどうかだけで安全性を判断しない
オンラインの経理代行では、クラウド会計、クラウドストレージ、チャット、Web会議などを利用します。
インターネットを利用する以上、不正アクセスや誤送信などへの対策は必要です。ただし、紙の資料や対面でのやり取りにも、紛失、置き忘れ、誤配、無断閲覧などのリスクがあります。
大切なのは、オンラインか対面かではなく、利用する方法に合った管理ルールが整っているかです。
IPAのクラウドサービス安全利用の手引きでも、クラウドサービスの安全性は事業者だけに任せるものではなく、サービス提供者と利用者がそれぞれの役割を理解し、対策を実施することで維持されると説明されています。
オンラインで経理業務を進める仕組みや、資料共有の流れについては、以下の記事で解説しています。
合わせて読みたい：オンラインの経理代行でも大丈夫？遠隔対応の仕組みとメリットを解説
契約前に確認したい8つのポイント
1．必要最小限のアクセス権限になっているか
最初に確認したいのは、誰がどの情報へアクセスできるのかです。
経理代行会社の担当者であっても、業務に関係のない情報まで閲覧できる必要はありません。
契約前には、次の点を確認します。
- 担当者以外も顧客データを閲覧できるか
- 給与情報へアクセスできる人を限定しているか
- 会計ソフトで付与する権限の範囲
- データを端末へダウンロードできるか
- 担当変更や退職時に権限を解除する手順
- アクセス権限を定期的に見直しているか
会計ソフトによっては、閲覧、入力、承認、設定変更などの権限を分けられます。
「作業に必要だから管理者権限を付ける」のではなく、委託する業務に必要な範囲までに抑えることが基本です。
給与計算を依頼しない場合は、給与関連のフォルダやデータを共有対象から外すなど、情報の種類ごとに範囲を分けます。
2．個人アカウントで管理されているか
複数人で一つのIDとパスワードを使う共有アカウントは、誰が操作したのか分かりにくくなります。
誤った処理や不正な操作が発生しても、原因を確認できない可能性があります。
原則として、担当者ごとに個人アカウントを発行し、次の情報を確認できる状態が望まれます。
- 誰がログインしたか
- いつ操作したか
- どのデータを追加・変更したか
- 誰がファイルを閲覧・ダウンロードしたか
- いつアカウントを停止したか
やむを得ず共有アカウントを利用する場合は、利用者を限定し、操作履歴を別の方法で残す必要があります。
会社側も、退職者や異動した社員のアカウントを残さないようにします。経理代行会社へ発行したアカウントについても、契約終了や担当変更の際に速やかに停止します。
3．二段階認証とパスワード管理が行われているか
パスワードが漏れた場合に備え、二段階認証や多要素認証を利用できるか確認します。
特に、次のサービスでは認証設定が重要です。
- クラウド会計
- インターネットバンキング
- クラウドストレージ
- 経費精算システム
- 給与計算システム
- メールやチャット
確認したいのは、二段階認証を「利用できるか」だけではありません。
実際に有効化しているか、認証端末を誰が管理しているか、担当者が変わった場合にどう切り替えるかまで確認します。
また、パスワードをメールやチャットへ直接記載したり、同じパスワードを複数サービスで使い回したりする運用は避けます。
経理代行へログイン情報を渡す場合も、現在使用している社員個人のアカウントをそのまま共有せず、委託先用のアカウントを発行できないか検討します。
4．クラウドストレージの管理主体が明確か
請求書や領収書をクラウドストレージで共有する場合は、そのフォルダを誰が管理するのかを確認します。
経理代行会社が用意したフォルダだけに資料を保存していると、契約終了時に会社側がアクセスできなくなる可能性があります。
次の点を決めておくと安心です。
- フォルダの所有者は誰か
- 会社側の管理者は誰か
- 閲覧・編集・ダウンロードの権限
- 外部共有リンクの有効期限
- 誤って削除した場合の復元方法
- バックアップの有無
- 契約終了後も会社がデータを取得できるか
IPAのチェックシートでも、利用者の範囲、認証、バックアップ、利用終了時のデータ確保、保存先などを確認項目として挙げています。
会社の資料は、経理代行会社だけが管理する状態にせず、会社側でも保管場所とアクセス状況を把握できるようにします。
5．再委託の有無と管理責任が明確か
契約した経理代行会社が、業務の一部を別の事業者や個人へ委託することがあります。
再委託そのものが直ちに問題になるわけではありませんが、顧客が知らない範囲まで情報が共有される状態は避けなければなりません。
契約前には、次の内容を確認します。
- 再委託を行う可能性があるか
- どの業務を再委託するか
- 再委託先が扱う情報
- 再委託に事前承諾が必要か
- 再委託先の選定基準
- 再委託先への秘密保持義務
- 問題発生時に誰が責任を持つか
特に、給与やマイナンバーを含む情報を取り扱う場合は、共有範囲を慎重に確認する必要があります。
個人情報保護委員会も、特定個人情報の再委託では、委託元の許諾や再委託先への適切な監督が必要になると説明しています。
再委託がある場合でも、「再委託先が管理するため分からない」ではなく、契約先の経理代行会社が管理責任を負う範囲を確認します。
6．契約終了後のデータ返却・削除方法が決まっているか
契約中の管理方法だけでなく、契約終了後の扱いも重要です。
契約前に確認したいのは、次の項目です。
- どのデータを返却してもらえるか
- どの形式で受け取れるか
- 返却までにかかる期間
- 経理代行会社側のデータをいつ削除するか
- バックアップデータも削除対象になるか
- 法令上保存が必要な資料をどう扱うか
- 削除完了をどのように確認するか
会計ソフト内のデータだけでなく、共有フォルダ、作業用ファイル、メール添付、チャットで受け渡した資料なども確認対象です。
個人情報保護委員会の案内でも、個人番号関係事務の委託終了時には、情報を委託元へ返却するか委託先で廃棄し、終了後に情報を保有していないことを確認する考え方が示されています。
削除時期や方法が契約書に記載されていない場合は、契約前に取り扱いを確認します。
7．問題発生時の連絡・対応体制があるか
どれだけ対策を行っても、誤送信、不正アクセス、端末の紛失などの可能性を完全になくすことはできません。
そのため、事故を起こさない対策だけでなく、発生した場合の対応を確認します。
主な確認項目は次のとおりです。
- 顧客への連絡窓口
- 最初の報告を行う期限
- 事実確認を担当する人
- 影響範囲を調査する方法
- アカウント停止などの初動対応
- 顧客への経過報告の頻度
- 原因調査と再発防止策
- 損害が発生した場合の責任範囲
事故の詳細がすべて判明するまで連絡しない運用では、被害の拡大を防ぐ対応が遅れる可能性があります。
委託先で個人データの漏洩などが起きた場合に備え、委託元と委託先の間で報告・連絡体制を整えておく必要性は、個人情報保護委員会の案内でも示されています。
「問題が起きたことを誰が、いつ、どの方法で知らせるか」を契約前に確認します。
8．顧客側でも必要な対策を行えるか
経理代行会社がセキュリティ対策を行っていても、会社側の管理が不十分であれば情報漏洩は防げません。
会社側では、次のような対応が必要です。
- 不要な情報を共有しない
- 委託業務に必要な権限だけを付与する
- 二段階認証を有効にする
- 退職者や異動者の権限を解除する
- 共有フォルダの公開範囲を確認する
- メールの宛先や添付ファイルを確認する
- 不審なログイン通知を放置しない
- 社内の窓口担当者を決める
- 定期的に権限や運用を見直す
セキュリティ対策は、経理代行会社へ任せて終わりではありません。
例えば、会社側が全社員に管理者権限を付与していたり、複数人で同じパスワードを使用したりしていれば、経理代行会社だけが対策しても十分とはいえません。
資料提出、連絡方法、権限管理など、導入後に決めておきたい運用ルールについては、以下の記事で解説しています。
合わせて読みたい：経理代行を導入した後に決めるべき5つの運用ルール
契約前のセキュリティチェックリスト
経理代行会社を比較するときは、「セキュリティ対策をしていますか」と質問するだけでは、具体的な運用が分かりません。
次の項目を確認し、曖昧な点は契約前に質問します。
| 確認項目 | 確認したい内容 |
|---|---|
| アクセス権限 | 誰がどの情報を閲覧・編集できるか |
| アカウント | 担当者ごとの個人アカウントになっているか |
| 認証方法 | 二段階認証を利用し、パスワードを適切に管理しているか |
| データ保管 | 保存場所、管理者、バックアップ、共有範囲が明確か |
| 再委託 | 再委託の有無、対象業務、事前承諾、管理責任が明確か |
| 契約終了時 | データの返却形式、削除時期、バックアップの扱いが決まっているか |
| 事故対応 | 連絡期限、窓口、初動対応、経過報告の方法が決まっているか |
| 顧客側の役割 | 会社側で行う権限管理や認証設定が説明されているか |
プライバシーポリシーや秘密保持契約があることは、一つの確認材料です。
ただし、文書が存在するだけでなく、実際の業務でどのように運用されているかを確認します。
契約書の内容、引き継ぎ、導入後の運用など、経理代行で失敗を防ぐために確認したい全体像については、以下の記事で解説しています。
合わせて読みたい：経理代行で失敗しないための完全ガイド｜導入前後に知っておきたい注意点
公認会計士の視点｜確認すべきなのは制度の有無より実際の運用
経理代行の安全性を確認するとき、認証の取得状況や規程の有無だけを見て判断することがあります。
こうした情報は比較材料になりますが、それだけで安全性を判断することはできません。
実務では、
- 給与データを誰が閲覧できるか
- 担当者が退職した日に権限を解除できるか
- 誤送信が起きたときにすぐ報告されるか
- 契約終了後に作業用データが残らないか
といった具体的な運用の方が重要です。
契約前の説明で、質問に対して具体的な手順や責任者まで回答できるかを確認すると、実際の管理体制を判断しやすくなります。
よくある質問
Q1. オンラインの経理代行は対面より危険ですか？
オンラインだから一律に危険とは限りません。
オンラインでは不正アクセスや誤送信への対策が必要ですが、アクセス履歴を残したり、利用者ごとに権限を分けたりしやすい面もあります。
対面や紙での運用にも、紛失、誤配、無断閲覧などのリスクがあります。
利用方法にかかわらず、情報の共有範囲、アクセス権限、認証方法、事故対応が整っているかで判断します。
Q2. セキュリティ認証を取得している会社なら安心ですか？
認証の取得状況は、比較材料の一つになります。
ただし、取得していることだけで、今回依頼する業務の運用まで安全だと判断することはできません。
実際に誰がデータへアクセスするのか、再委託があるのか、契約終了後にどのように削除するのかも確認します。
認証の有無だけでなく、具体的な運用内容と契約条件を合わせて判断することが大切です。
Q3. インターネットバンキングのIDやパスワードを共有してもよいですか？
社員個人が使用しているIDやパスワードを、そのまま共有する運用は避けた方が安全です。
利用している銀行で、振込データの作成者と承認者を分けられる場合は、経理代行側には必要な権限だけを付与します。
振込データだけを経理代行側が作成し、会社側が取り込み、承認・実行する方法もあります。
具体的な運用は、銀行の機能と経理代行会社の対応範囲を確認して決めます。
Q4. 情報漏洩が発生した場合は何を確認すべきですか？
まず、どの情報が、いつ、どの範囲へ漏洩した可能性があるのかを確認します。
同時に、該当アカウントの停止、パスワード変更、共有リンクの無効化など、被害拡大を防ぐ対応を行います。
契約前には、経理代行会社からの報告期限、連絡窓口、調査方法、顧客への経過報告、再発防止策、責任範囲を確認しておくことが重要です。
まとめ
経理代行では、請求書、銀行明細、取引先情報、給与情報など、会社の重要なデータを共有します。
安心して利用するためには、経理代行会社が「セキュリティ対策をしている」と説明しているだけでなく、次の内容を具体的に確認する必要があります。
- 必要最小限のアクセス権限になっているか
- 担当者ごとの個人アカウントを利用しているか
- 二段階認証やパスワード管理を行っているか
- クラウドストレージの管理主体が明確か
- 再委託の有無と管理責任が明確か
- 契約終了後のデータ返却・削除方法が決まっているか
- 問題発生時の連絡・対応体制があるか
- 顧客側で行う対策が整理されているか
セキュリティ対策は、経理代行会社だけが行うものではありません。
会社側も共有範囲や権限を定期的に確認し、不要なアカウントを停止するなど、双方で安全な運用を維持する必要があります。
経理代行を利用する場合、対応する業務範囲や情報管理体制によって料金が異なることがあります。料金相場や費用の内訳について詳しく知りたい方は、以下の記事もあわせてご覧ください。
合わせて読みたい：経理代行の費用はいくら？料金相場と内訳を解説
経理代行サブスクサービス「まるまる経理」では、業務上必要な担当者にアクセスを限定し、パスワード管理、アクセス制御、通信の暗号化、バックアップなどの安全管理措置を行う方針を定めています。また、外部事業者へ業務を委託する場合は、契約により安全管理と秘密保持を求め、適切に監督する方針です。