「あの人しか分からない」で止まる会社

ある日の経営会議で、社内で使っているビジネスチャットの設定を変えようとしたときのことです。管理者のIDとパスワードが必要になったのですが、その場にいた誰も、それを知りませんでした。社長は「小山さん、分かる？」「田上くんに聞いてくれるか」と、思い当たる社員の名前を次々に挙げていきます。結局、当時登録作業をしたらしい人物にメッセージを送り、返信を待つしかありませんでした。

これは、地方で車の販売を手がける従業員25名規模の会社での一場面です。新車も中古車も扱い、レンタカーや車検、保険まで幅広く回している、地域では名の知れた会社です。行動力のある社長で、銀行との融資交渉には自らフットワーク軽く動きます。ところが、日々の管理業務――勤怠も、経理も、そしてITも――は「気になってはいるが手が回らない」まま、社長の頭の中や、誰かの個人アカウントの中に散らばっていました。

この記事のテーマは、多くの中小企業が見落としている「IT権限の属人化」です。IT担当者がいない中小企業で、会社のデータやアカウントが個人の持ち物のように扱われ、退職者のIDすら放置される――この状態がなぜ危ないのか、そしてどこから手を付ければいいのかを、実例をもとに解き明かします。

結論を先にお伝えすると、これは「セキュリティソフトを入れれば済む」話ではありません。労務も経理もITも、すべてが社長個人や特定の誰かに紐づいているという、会社全体の属人化の一部として起きています。だから、直すべきは道具ではなく「誰が何を管理するか」の設計です。

IT担当者がいなくても使える「情報セキュリティの型」

「IT担当者がいないから、対策は難しい」と感じる会社は多いですが、実は中小企業がそのまま使える公的な指針があります。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」です。専任者がいなくても取り組める対策が、経営者向けに整理されています。

退職者アカウントの放置や、管理者IDが誰にも分からない状態は、ガイドラインでも基本の「アクセス権限の管理」に当たる論点です。まずはIPAの「SECURITY ACTION（対策の自己宣言）」の一つ星から始めるだけでも、最低限の型が入ります。これは各種の公的支援の要件にもなりつつあります。

参考（IPA 独立行政法人 情報処理推進機構）：中小企業の情報セキュリティ対策ガイドライン ／ SECURITY ACTION

管理者IDが社内の誰にも分からない、という現実

この会社の状態を一言でいえば、「会社の情報インフラの鍵を、誰が持っているのか誰も知らない」でした。ビジネスチャットの管理者権限も、各種クラウドサービスのログイン情報も、その多くが特定の社員の個人メールアドレスで登録され、そのまま放置されていたのです。

問題は、これが例外ではなく「常態」だったことです。新しいツールが必要になるたびに、たまたま手が空いていた人が、自分の個人アドレスで登録してしまう。組織図も権限の分担表もないので、「誰がどの権限を持っているか」を管理する発想そのものがありません。その人が異動すれば分からなくなり、辞めれば追えなくなります。

私たちが会議の場で権限を一つずつ洗い出していくと、「このアカウントは誰の？」「これは前にいた人のでは？」という会話が何度も出てきました。会社の心臓部にあたる情報が、私物のポケットに入ったまま、あちこちに散らばっている状態だったのです。

属人化は、IT権限にも同じ形で現れる

なぜこうなるのか。根本原因は、IT特有の問題ではありません。この会社では、あらゆる管理業務が「社長の頭の中」に集約されていたことにあります。

労務を例に取ると、就業規則には「有給は3日前までに申請」と書いてあるのに、実際には当日の欠勤連絡で通ってしまう。タイムカードは打刻されているのに、誰も集計していない。ルールはあるのに、それを回す「担当」と「仕組み」が存在しないのです。これはITとまったく同じ構造でした。ツールはあるのに、それを管理する担当と権限設計がない。だから個人アカウントで場当たり的に登録され、放置される。

つまり、経営の意思決定が社長個人に集中し、権限を分けて任せる発想が育たないと、その歪みは労務にも経理にもITにも、同じ形で染み出していきます。IT権限の属人化は、独立した問題ではなく、会社全体の属人化が「たまたまITという場所に現れたもの」なのです。

この視点に立つと、「情報漏洩対策」を中小企業がセキュリティソフトの導入だけで解決しようとしても、うまくいかない理由が見えてきます。鍵をかける以前に、そもそも鍵を誰が持っているのかが決まっていないからです。

退職者のアカウントが「金庫の鍵」を握ったまま

もう一つ、見過ごせない盲点があります。それは、辞めた人のアカウントが生きたまま残っていることです。

会社のデータが個人のメールアカウントに紐づいて管理されていると、その人が退職しても、アカウントを止めない限りアクセス権は残り続けます。私たちが会議で指摘したのは、こういう構造でした。「今、その気になれば、会社のデータをそのまま丸ごと持ち出して、他所へ渡すことすらできてしまう」。しかも、履歴が個人アカウントごとに散らばっているため、「いつ、誰が持ち出したのか」という形跡すら追えません。

事業計画書や売上のデータ、顧客情報――これらは会社の資産であり、いわば金庫の中身です。その金庫の鍵を、辞めた人が握ったまま、会社は気づいていない。悪意がある・ないの問題ではありません。検知も追跡もできない状態そのものが、経営リスクなのです。銀行に事業計画を出して融資を交渉している最中の会社にとって、情報管理の甘さは、信用の面でも足を引っ張りかねません。

「正しいものを、正しい場所に」戻す進め方

では、どこから手を付けるのか。私たちがこの会社に提案したのは、まず管理者権限を集約し、会社の器（うつわ）を先に作ることでした。

本来あるべき形は、会社という大きな箱を用意し、その中に一人ひとりの社員アカウントを入れていく形です。個人が勝手に道具を持ち込むのではなく、会社が発行したアカウントで働いてもらう。こうするだけで、退職時にはその一つを止めれば済み、持ち出しの検知もできるようになります。

具体的な受け皿として提案したのが、月額2,000円程度で使えるクラウド型のグループウェアへの一元化です。高額なシステムを無理に入れる必要はありません。中小企業が現場で本当に回せる、ちょうどいい仕組みで十分です。大切なのは道具の豪華さではなく、「正しいものを、正しい場所に収める」という設計思想のほうです。

とはいえ、社内にIT担当者がいない会社に「あとはご自身で整備してください」と資料を渡して帰っても、何も進みません。そこで私たちは、一時的に会社のIT業務担当者という立場に入り、アカウントの棚卸しと再設計そのものを引き受けることにしました。アドバイスをして資料を置いていくだけでは、組織は変わりません。現場の中に入り、泥臭く一緒に手を動かしてこそ、仕組みは根づいていきます。

棚卸しで確認すべきことは、そう複雑ではありません。

そのうえで、8月1日の訪問を起点に、2〜3か月かけて段階的に整えていくロードマップを作ることで合意しました。一度に全部を変えるのではなく、現場が混乱しない順番で、着実に器を作り替えていく計画です。

整理すると、目指す変化はこうなります。

その場で下された、権限を託す決断

この提案に対して、社長の反応は早いものでした。「一時的に私たちがIT業務担当者に入ります」という申し出に、「そうしよう、それでいい」と、その場で即断したのです。

これは、小さな一言に見えて、実は大きな前進でした。アカウント権限というのは、会社の機微そのものです。それを外部の私たちに預けるという判断を、ためらいなく下せたのは、これまでの伴走で積み上げてきた信頼があったからにほかなりません。そして何より、これまで「誰も所在を把握していない」というモヤモヤした不安のまま放置されてきたIT権限が、初めて「会社として管理すべき資産だ」という共通認識に変わった瞬間でした。社長の頭の中と、誰かの個人アカウントに散らばっていた鍵が、会社の器に集められる道筋が、この日はっきりと引かれたのです。

行動力があり、攻めの経営には迷いなく動ける社長ほど、足元の管理業務は後回しになりがちです。その空白を、責める代わりに一緒に埋める。社長が本業と成長に集中できるよう、裏側を整える。この会社が踏み出した一歩は、まさにその入り口でした。

まとめ

IT担当者がいない中小企業のリスクは、道具の問題ではなく、会社全体の属人化の一部として捉えると本質が見えてきます。要点は次の3つです。

① IT権限の属人化は、経営の属人化の「写し鏡」

労務も経理もITも、担当と権限設計がないまま個人に紐づけば、同じように崩れます。IT単体の対策ではなく、「誰が何を管理するか」を会社として決めることが出発点です。

その出発点から先、どの業務に手を付けると効果が出やすいかは、中小企業の業務効率化で、小さく始めて広げる進め方としてまとめています。権限の棚卸しを飛ばすと、あとから始めるどの効率化も途中で止まります。

✓ あわせて読みたい業務効率化は何から始める？中小企業の進め方とツール・補助金業務効率化は「なくす・まとめる・そろえる・まかせる」の順で進めます。棚卸しでやめる仕事を決め、情報と権限を整え、標準化してからツールに渡す。…

② 放置された退職者アカウントは、検知できない経営リスク

辞めた人のIDが生きていると、データの持ち出しも追跡もできません。会社の資産を守る鍵が、社外に渡ったまま気づけない状態そのものが危険です。

会社データを個人アカウントに置くリスクと法人の箱への移し方は、会社データの個人Gmail依存｜情報漏洩リスクと移行で解説していますので、そちらもご覧ください。

✓ あわせて読みたい会社データの個人Gmail依存｜情報漏洩リスクと法人アカウントへ移す手順会社データが個人Gmailに依存していると、退職者のデータ持ち出しや書類紛失が起こります。25名規模の実例をもとに、法人名義のデータ管理環境…

③ 会社の「器」を作り、正しい場所に情報を収める

高額なシステムは不要です。会社名義のアカウントに一元化し、社員をその中に配置する。この設計思想さえ通せば、月額数千円の仕組みでも十分に守れます。中小企業のうちに、情報漏洩を防ぐアカウント管理の土台を整えておくことが、後々の大きな安心につながります。

情報を一か所に集約する仕組みづくりは、グループウェア・情報共有の効率化｜会議とメールを減らすで取り上げていますので、あわせてご一読ください。

✓ あわせて読みたいグループウェアの選び方｜費用と補助金、会議とメールを減らす手順グループウェアの選び方は3点で決まります。メール機能は含まれるのか、クラウドかオンプレミスか、他ツールと連携させるか。費用の目安と補助金の対…

最後に

もし「自社のツールの管理者が誰か、実は分からない」「辞めた社員のアカウントがそのままかもしれない」と、この記事を読んで心当たりが浮かんだなら、それは決して珍しいことではありません。行動力のある経営者ほど、足元の管理は後回しになりがちだからです。

大切なのは、問題が起きる前に、会社の鍵の在り処を自分たちの手に取り戻しておくことです。何から手を付ければいいか分からないという段階でも構いません。まずは今の状態を一緒に棚卸しするところから始められます。同じような不安を抱えていらっしゃるなら、一度ご相談ください。会社の裏側を整え、社長が本業に集中できる体制づくりを、隣で一緒に進めていきます。