営業代行に顧客リストやCRMへのアクセス権を渡す場面は珍しくない。だが、その裏には情報漏えいや不正アクセスといったリスクが常に潜んでいる。情報システム部門としては、契約前にどこまでセキュリティ体制を確認すべきか、実務的な観点から押さえておきたい。

情報システム部門が関与すべき理由

営業部門は成果を優先するあまり、セキュリティ面のチェックが後回しになりがちだ。だからこそ、契約前の段階で情報システム部門が関与し、リスクの洗い出しをしておく意義は大きい。目安として、契約締結の2〜3週間前にはセキュリティ確認のプロセスを開始しておくと、後工程での手戻りを防ぎやすい。

確認すべきセキュリティ項目

代行会社を選定する際は、以下のような項目を確認しておきたい。

項目確認内容
情報管理体制ISMS認証やプライバシーマークの取得状況
アクセス権限管理担当者ごとのアクセス範囲の制御
端末管理業務端末のセキュリティ対策状況
委託先管理再委託の有無とその管理体制

これらは自己申告だけでなく、可能であれば規程やチェックリストの提示を求めるのが望ましい。

データ連携時の注意点

CRMや顧客リストを共有する際は、必要最小限の情報のみを渡す原則を守りたい。

  • アクセス権限を業務に必要な範囲に限定する
  • ダウンロード・エクスポート機能を制限する
  • ログを取得し、定期的に確認する(月1回程度の棚卸しが一つの目安)

ポイント：顧客の氏名や連絡先だけでなく、契約内容や購買履歴まで渡す必要があるかは、都度精査したほうがよい。

契約・体制面でのチェックポイント

契約書には秘密保持義務、データの保管期間、契約終了後のデータ返却・削除義務を明記してもらう。再委託を行う場合は、再委託先にも同等のセキュリティ水準を求める条項があるかも確認しておきたい。

インシデント発生時の対応フロー

万が一情報漏えいなどが発生した場合の報告ルートと初動対応を、契約前に取り決めておくことが重要だ。

  • 発覚から一次報告までの時間の目安(24時間以内が一つの基準とされる)
  • 社内の窓口(情報システム部門・法務部門)
  • 顧客への通知が必要な場合の手順

これらが事前に整理されていれば、実際にトラブルが起きた際の被害を最小限に抑えやすくなる。

よくある質問

Q. 営業代行にプライバシーマークの取得は必須ですか。 A. 必須ではないが、取得している会社のほうが情報管理体制の目安として評価しやすい傾向がある。

Q. CRMへのアクセス権はどこまで渡すべきですか。 A. 業務に必要な範囲に限定し、エクスポート機能などは制限しておくのが基本になる。氏名・連絡先の範囲を超えて渡す必要があるかは、案件ごとに判断したい。

Q. 情報漏えいが発生した場合、誰が責任を負いますか。 A. 契約内容によって異なるため、事前に責任分界点を契約書上で明確にしておく必要がある。

あわせて読みたい

契約やリスク管理の観点で、関連する記事です。

契約・法務・リスク管理の記事は「営業代行の契約書で必ず確認すべき5つの条項」に一覧でまとめています。費用・選び方・導入手順をまとめて確認するには営業代行の検討ガイドが便利です。契約条件の実例として、ラクスルBPOのBtoB営業代行は最低契約期間を設けていません。