Blog
再委託先（Nth Party）を、プロジェクトのグラフで持つ
再委託先とは、委託先がさらに業務・情報・システムを預ける相手です。4th party、その先は再々委託先、まとめて Nth party と呼ばれます。預けることと責任を渡すことは別で、相手が増えても監督と説明は委託元に残ります。禁止・承諾、個情法と番号法の差、DORA や ISMS が何を求めているかは、公式note「【2026年最新】再委託とは？再委託先の禁止・承諾・再々委託まで、再委託先管理で見るべき点」に書いています。このページでは定義は繰り返さず、回答や契約に埋もれた再委託先を、AuditnQでどのように管理するかを書きます。
AuditnQは当社の委託先管理システムです。直接の委託先（3rd Party）だけでなく、再委託先以降（Nth Party）もプロジェクトのつながりとして持てます。単純な社名を羅列する名簿ではなく、誰が誰に何を何処に預けているかを連なる鎖で管理します。
直接の相手をプロジェクトとマスタに載せる回し方は、委託先管理とは？Excel質問票を活用したAuditnQへの一元管理に書いています。こちらはその先です。
再委託先まで見えないと、何が困るか
noteで書いた「持つべき状態」は、名前が言える、何を預けどこで処理しているかが言える、変更の履歴が残る、でした。それを口頭ではなく、きちんとした台帳のうえで、もう一段先まで先まで管理して説明するのは難しいということです。
業者集中が説明できない。
プロジェクトごとに直接の委託先だけを見ていると、別経路の先が同じ1社でも気づけません。その1社が止まると、複数のプロジェクトが同時に止まります。
拠点の偏りが説明できない。
分かるのが本社所在地だけだと、実際のサービス提供場所やデータ処理場所の寄りが見えません。契約先は分散しているのに、処理は一箇所、ということが起きます。
監査で説明しきれない。
「再委託の管理はどうしていますか」に、契約条項のコピーだけでは足りません。誰が、どのプロジェクトで、いつから、どの業務を扱っているか。台帳に出てこないと、監督したことになりにくい、とnoteでも書きました。
災害の備えも、拠点が見えていないと話が始まりません。AuditnQでは、委託先・再委託先の、実際のサービス提供拠点まで管理可能です。よって、地域的な被災による委託先/再委託先以降の拠点を即座に確認できるので、自社の事業への影響を想定することができます。
回答Excelと契約書だけにある状態
再委託は、禁止も承諾も「（契約には）書いてある」ことが多いです。困るのは、委託先の一覧に出てこないことです。
セキュリティチェックシートの自由記述や別表、「再委託の有無」の1セル、契約書の別紙、担当者の頭の中。定期監査で「変更なし」と返ってきても、その「なし」が再委託先を含むのか分かりません。「再委託なし」と書いてあるのに、実体はクラウドや認証基盤の上で動いている、も典型です。
AuditnQでは、いま使っているExcelの調査票をFormatとして取り込み、返ってきたファイルをプロジェクトにアップロードすることも可能です。送付・回収・突合は、委託先管理の記事で書いたとおりです。再委託先管理に必要なのは、その先です。回答の別表や契約の別紙にいる名前を、プロジェクトのつながりとして残す入れ物です。Excelを捨てる話ではなく、埋もれていて管理できていない先を、あとから辿れる形に移す話です。
プロジェクトの再委託グラフ（3rd → Nth）
再委託先（Nth Party）管理では、直接の委託先だけでなく、その先をサプライチェーンとして持ちます。プロジェクトで委託先が確定したあと、その下に再委託先を登録します。3rd の下に 4th、その下に 5th、と線でつなぎます。
プロジェクトに再委託先を線でつないだ画面
載せるのは社名だけではありません。どのプロジェクトの、どの委託の先か。いつからその関係か。可能なら、何を預け、どこで処理・保管しているか。noteが「点と線」「木ではなく網」と書いたのは、この持ち方です。
階層の数字は、そのプロジェクト・その経路での位置です。同じ会社が、あるプロジェクトでは直接委託先（3rd）、別のプロジェクトでは再々委託先（5th）、ということがあります。企業マスタに「この会社は4th party」など固定は出来ません。固定すると、別経路に同じ社が現れたときに、同一企業として扱いにくくなります。
情報の入口は、既にあるもので足ります。チェックシートの別表、契約の別紙、公開されている sub-processor list。プロジェクトごとに確定する再委託を、そのプロジェクトのグラフデータとして載せます。全社で共通して測る依存量は、あとからマスタ側で見ます。
マスタへの集約と、業者集中
契約が決まった委託先、継続して使う相手は、委託先のマスタへ残します。再委託先も、同じ企業ノードとして寄せます。名寄せできないと、表記ゆれの別会社に見えて、集中が消えます。
リスク分析では、委託先と再委託先を対象に、契約集中を見ます。ある企業への直接委託と再委託を合わせた結果、契約数または費用の偏りが過剰ではないか。
委託先と再委託先を合わせた契約集中の画面
個別のプロジェクトでは把握しきれない偏りを、全社の線をつないで浮かび上がらせます。
「このSaaSの下に同じクラウドが何件乗っているか」「別部門の委託先の先が、実は1社か」。名簿の社数では分かりません。プロジェクトの線をマスタに集約して、初めて説明できます。
地理は、委託先拠点の説明まで
分析のもう一面は場所です。本社所在地ではなく、サービス提供場所やデータ処理場所の寄りです。リスク分析では、場所集中（半径20km以内のクラスタ化など）を可視化できます。
再委託先を含むサービス提供拠点の地域集中
自社へのサービス提供拠点が特定の地域に偏っていないか、ビジュアルで確認し、対策を検討します。
これは「委託先・再委託先の拠点を、自社が持っているデータで説明する」機能です。noteが求めていた「どこで処理・保管しているかが言える」を、プロジェクトの場所として残した結果を見る、という位置づけです。
拠点が未登録なら、分析は弱いままです。回答や契約から場所が取れるものはプロジェクト側で持ち、不足はマスタで後追いします。登記住所だけを災害の材料にしない、本社と現場を混同しない、は運用上の注意です。
定義・禁止・承諾の詳細はnote
再委託を出していいか、個別承諾か包括承諾か、承諾書に何を揃えるかは、規格と契約の話です。本ページでは一般論に留め、断定しません。本編は公式note「再委託とは？再委託先の禁止・承諾・再々委託まで、再委託先管理で見るべき点」です。
AuditnQ側の役割は、決めた範囲と日付、いま誰がつながっているかを、プロジェクトのグラフとマスタに残すことです。書いて終わりの禁止条項と、台帳に出てこない再委託先を、同じ場所で見られるようにします。
AuditnQへのご興味がある方へ
ご不明な点の確認や、画面の流れを確認したい場合は、資料請求またはお問い合わせください。再委託先管理の機能概要はサービスページにもあります。