RESOURCE

SCS対応の予算が通らないときの考え方｜経営層への説明の組み立て方｜ハチマルヤ合同会社（808）

2026.07.30

「SCS評価制度への対応が必要です」

こう説明したときに返ってくる経営層の言葉は、だいたい次のどれかです。

「取引先から言われてから動けばいいのでは？」
「まだ始まってもいない制度に、先に金を使う理由は？」
「取得したら売上は増えるのか？」

これらは無理解から出た質問ではありません。経営判断として妥当な問いです。そして正直に言えば、この3つに完璧な答えを返すことは、現時点では誰にもできません。制度の運用が始まっておらず、調達要件化の実例もまだ蓄積されていないためです。

SCS評価制度とは、経済産業省・IPA（情報処理推進機構）が整備を進める、サプライチェーン全体のセキュリティ対策レベルを★1〜★5で可視化する共通の評価制度です。取引先から自社のセキュリティ水準を問われる場面で、共通のものさしとして使われることが想定されています。
この記事は、その制度への対応予算が社内で通らない、、、という段階の担当者に向けたものです。

だからこそ、「必ず必要になります」と言い切る説明は失敗します。不確実性を認めた上で、それでも今動く合理性をどう組み立てるか。この記事では、ハチマルヤ合同会社（808）のコンサルタントが、その考え方を解説します。

そもそも、なぜ予算が通らないのか

原因を「説明が下手だから」と考えると、対処を誤ります。実際に多いのは次の3パターンです。

パターン1：判断材料が足りない

「制度があるので対応が必要です」という説明だけでは、経営層は判断できません。必要なのは、自社の現在地（何件が未対応か）、必要な金額、対応しない場合に起きうることの3点です。これは資料の作り方で解決できます。

パターン2：優先順位の競争に負けている

必要性は理解されているが、DX投資・人材採用・設備更新といった他の案件と並べたときに、順位が下になっているケースです。この場合、資料の書き方を改善しても通りません。必要なのは「予算枠を奪う」ことではなく、「予算枠を使わずに進められる部分を切り出す」ことです（後述）。

パターン3：投資対効果を説明できていない

SCS取得は基本的に守りの投資であり、直接的な売上増には結びつきません。「売上が増えないなら後回し」という判断に対して、比較の土俵を変える必要があります（後述）。

自社がどのパターンかを見極めないまま資料を作り直しても、同じ結果になります。

「取引先に言われてから動けばいい」への答え

最も多い反論です。そして経営判断としては筋が通っています。不確実なものに先行投資するより、確定してから動くほうが合理的に見えるからです。

これに対して「いや、必ず要求されます」と返すのは、根拠がない以上おすすめしません。代わりに、時間差の構造を示します。

論点は「必要になるか」ではなく「間に合うか」

SCS評価制度の★3・★4の申請受付は、2026年度末（2027年1〜3月）に開始される見込みです。[※1] 一方、ゼロから対応を始めた場合、現状把握から申請準備まで、規模にもよりますがおおむね6〜10ヶ月を見込む必要があります。

つまり、取引先から要請を受けてから着手すると、その後6〜10ヶ月間は「対応中です」としか答えられない期間が発生します。

この期間に何が起きるかは、取引先の判断次第です。待ってくれるかもしれませんし、他社に切り替えるかもしれません。ここでコントロールできないリスクを負うかどうかが、実際の論点です。

「無駄になるかもしれない」への答え

仮に取引先から要請が来なかった場合、SCS対応は無駄になるのでしょうか。

ここで重要なのは、★3の要求事項26件の中身です。[※1] 内容は、ID・パスワードの管理ルール、アクセス権の管理、バックアップ、パッチ適用の手続、マルウェア対策、インシデント対応手順など、セキュリティ対策として一般的に必要とされる項目で構成されています。

制度対応のためだけの特殊な作業ではありません。仮にSCS評価を取得しなくても、これらの整備は自社のセキュリティ水準の向上そのものです。「制度が要件化されなければ完全に無駄になる投資」ではない、という点は説明の材料になります。

「取得しても売上は増えない」への答え

その通りです。SCS取得は守りの投資であり、直接的な売上増は見込めません。ここを曖昧にすると信頼を失います。

代わりに、比較の土俵を変えます。

未取得のまま発生し続けるコストと比較する

SCS評価を取得しない場合でも、セキュリティに関するコストはゼロにはなりません。

取引先ごとの個別対応が発生し続ける：多くの企業は、取引先から独自のセキュリティ調査票やチェックシートへの回答を求められています。取引先の数だけフォーマットが異なり、その都度、社内の情報を集めて回答する工数が発生します。共通の評価制度で「★3取得済み」と示せる状態は、この個別対応の削減につながる可能性があります。

インシデント発生時の損失：バックアップ体制やインシデント対応手順が未整備の状態でランサムウェア被害などが発生した場合、事業停止期間・復旧費用・取引先への影響が生じます。要求事項26件の多くは、この種の損失を減らすための対策です。

「売上を増やす」ではなく「選択肢を失わない」

経営層への提示としては、「取得すれば売上が増える」ではなく、「未取得であることを理由に候補から外される事態を避ける」という位置づけが正確です。攻めの投資ではなく、事業継続のための必要条件として整理します。

予算が取れない場合の現実的な進め方

「必要性は分かるが、今期の予算枠がない」——このケースが最も多いかもしれません。

ここで有効なのは、予算を要求せずに進められる範囲を先に切り出すアプローチです。

要求事項26件のうち、費用がかからないものは何か

★3の要求事項26件を性質で分けると、次の3種類になります。[※1]

種類	内容の例	必要なもの
ルール策定・文書化	パスワードの設定・管理ルール、アクセス権の管理ルール、セキュリティ対応方針、守秘義務のルール	社内工数のみ
設定変更・運用の見直し	アカウントロック制御、ID発行・削除の手続、バックアップの運用見直し	社内工数のみ
技術的整備・外部支援	ネットワークの分離と境界防護、接続・データ転送の監視	予算が必要な場合あり

予算が必要になるのは3つ目に限られます。1つ目・2つ目は、担当者の工数だけで着手できる項目です。

段階的に進める提案の形

この構造を使うと、稟議は次のように分割できます。

第1段階（予算ゼロ）：ギャップ分析の実施と、ルール策定・設定変更で対応できる項目の整備。必要なのは担当者の稼働時間の確保のみ。

第2段階（予算計上）：第1段階の結果として残った「技術的整備が必要な項目」について、具体的な金額を提示して申請。

この形にすると、最初の稟議は「予算」ではなく「工数の割り当て」の承認になります。金額がゼロなら、他の投資案件との予算枠の競争を避けられます。そして第2段階では、「26件中◯件はすでに完了済み、残り◯件に◯◯円」という具体的な数字で申請できるため、精度も説得力も上がります。

自社が★3と★4のどちらを目指すべきかによって、必要な対応範囲は変わります。

説明資料の組み立て方

以上を踏まえた資料の構成です。A4で2〜3枚に収めます。

1枚目：判断に必要な材料を集約する

冒頭に「承認いただきたいこと」を明記します。第1段階なら「予算措置なし、担当者◯名の稼働時間の確保」です。

続けて、次の3点を簡潔に記載します。

現在地：要求事項26件のうち、対応済み・一部対応・未対応の内訳。ギャップ分析の結果です。

時間の構造：申請開始時期と、準備に要する期間。取引先の要請を受けてから着手した場合に生じる空白期間。

投資の性質：セキュリティ対策として一般的に必要な項目で構成されており、制度が要件化されなくても自社の対策水準向上に寄与すること。

2枚目以降：想定質問への回答を先回りする

経営層から出そうな質問と回答を、資料の後半にQ&A形式で入れておきます。会議の場で即答できないと、その場で結論が出ずに持ち帰りになるためです。

経営層から返ってくる厳しい質問への備え

「調達要件になる確率はどのくらいか」

正直に「確定的な予測はできない」と答えるのが誠実です。その上で、判断材料として次を提示します。制度の設計目的がサプライチェーン全体のセキュリティ水準の可視化であること、評価レベルが公開の共通基準として設計されていること。要件化を断定はできませんが、そのために作られた仕組みであることは説明できます。

「制度が変わる可能性はないのか」

要求事項・評価基準はIPAから正式に公開済みです。[※1] ただし、要求事項の解説書は2026年10月頃に公開予定とされており、運用の詳細は今後具体化される部分があります。この点も含めて「現時点で確定している範囲」と「今後具体化される範囲」を分けて伝えると、誠実さが伝わります。

「他社はどうしているのか」

制度の運用開始前のため、業界全体の対応状況を示す確定的なデータは乏しい状況です。ここで憶測の他社動向を語ると、後で事実と異なった場合に信頼を失います。「確定データはない」と述べた上で、自社の商流構造から必要性を説明するほうが安全です。

「担当者の工数はどのくらい取られるのか」

第1段階（ギャップ分析＋ルール整備）で、担当者1名が業務時間の2〜3割程度を数ヶ月——これが準備段階の稼働イメージです。実際の工数は現状の整備状況によって変わるため、ギャップ分析で見積もるのが確実です。
ここを過少申告すると、後で「聞いていた話と違う」となり、次の承認が得られにくくなります。

経営層を「対応主体」として巻き込む

SCS評価制度の要求事項には、セキュリティ推進を担当する部署・役員の決定、セキュリティ対応方針の策定が含まれます。[※1] ★4ではさらに、セキュリティ対策推進計画の策定と経営層への定期報告が追加されます。[※1]

つまり経営層は、予算を承認する立場であると同時に、要求事項の対象でもあります。「担当者が対応して報告する」構造ではなく、「経営層自身の関与が要件に含まれている」ことを伝えると、議論の位置づけが変わります。

あわせて、月次または四半期の会議に報告枠を確保しておくと、進捗の可視化と次の意思決定の高速化につながります。★4を目指す場合は、この報告の仕組み自体が要求事項に含まれます。

まとめ

予算が通らない原因は3パターン。説明不足・優先順位の競争・投資対効果のどれかを見極める
「取引先に言われてから」への答えは、要請から着手までの空白期間（6〜10ヶ月）というリスク構造
要求事項26件は一般的なセキュリティ対策で構成されており、制度が要件化されなくても無駄にはならない
売上増は見込めない。比較対象を「未取得のまま発生し続ける個別対応コスト」に変える
予算枠がない場合は、費用がかからない項目（ルール策定・設定変更）を先に進め、予算申請は第2段階に分割する
確度の低い予測は断定しない。「確定していること」と「不確実なこと」を分けて示すほうが信頼される

よくある質問（FAQ）

Q1：取引先から何も言われていない段階では、動く必要はないのでは？

判断の分かれ目は「要請を受けてから着手した場合、その期間をどう説明するか」です。準備に6〜10ヶ月かかるため、要請から取得までの間、対応中という状態が続きます。この期間を許容できるかどうかは、取引先との関係性と代替可能性によります。取引先が容易に切り替えられる業種であれば、リスクは相対的に高くなります。

Q2：予算ゼロで、どこまで進められますか？

要求事項26件のうち、ルール策定・文書化と設定変更で対応できる項目は、社内工数のみで進められます。具体的にどの項目が該当するかは、自社の現状によって変わるため、ギャップ分析で確認するのが確実です。ギャップ分析自体も、IPA公開の要求事項・評価基準を使えば自社で実施できます。

Q3：ISO27001を取得済みなのに、なぜ別途対応が必要なのですか？

ISO27001はリスクベース（自社のリスク分析に基づいて対策を選択する）、SCS評価制度はベースライン型（定められた要求事項を満たす）という違いがあります。ISMSの取り組みで満たせる項目は多くありますが、要求事項ごとの適合確認は別途必要です。ギャップ分析を行えば「ISMSでカバーできている項目」と「追加対応が必要な項目」を数字で示せます。

Q4：経営層が「セキュリティは情シスの仕事」という認識です。

SCS評価制度の要求事項には、セキュリティ推進部門・役員の決定や対応方針の策定といった経営層マターが含まれます。また取引先管理に関する項目は、営業・調達・法務が関わらないと対応できません。「情シス単独では要求事項を満たせない構造になっている」ことを、要求事項の内容とともに示すのが有効です。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。ギャップ分析の実施から経営層向け説明の設計、対策の実施・申請準備まで、「必要性は分かっているが社内が動かない」という段階からご相談を受け付けています。まずはお気軽に無料相談をご利用ください。