保守契約を更新する前に。取引先からの要求と今のサービスを照合する

保守契約の更新は、単に期限が来たからという理由だけで進めると、実際に必要なサービスと合致しないリスクがあります。まずは取引先が提示する要求内容を文書で取得し、現在自社が受けている保守範囲と照らし合わせることが重要です。

その上で、通知期間や過去の変更履歴を確認し、ギャップがないかを整理すれば、更新すべきか、条件変更すべきか、あるいは新規ベンダーを検討すべきかの判断材料が揃います。

---

取引先の要求内容を正確に把握する

提供サービスの明細を取得する

取引先に対して、現在提供しているサービスの明細書や作業範囲一覧を正式に提出してもらいましょう。文書化された資料は、後で比較検証する際の基準になるだけでなく、曖昧な口頭説明と違い、誤解を防ぎます。取得した明細書には、障害対応時間、パッチ適用の頻度、リモート監視の有無など、具体的な項目ごとに記載されているか確認してください。

もし項目が抜けている場合は、追加で質問し、書面での回答を求めることがポイントです。

さらに、提供サービスの範囲がどのシステム・デバイスに適用されるかを明示した図や一覧表があれば、後の資産管理台帳との照合がスムーズになります。取引先側の担当者に「サービス対象機器リスト」や「対象システム構成図」の提供を依頼し、受領したら必ず保存場所とバージョン管理を行いましょう。

対象機器・システムの範囲は？

取引先が保守対象としている機器やシステムは、実際に自社で運用しているものと一致していますか？まずは自社の資産管理台帳（ハードウェア、ソフトウェア、クラウドサービス）を最新の状態にし、取引先が提示した対象リストと突き合わせます。差異が見つかった場合は、なぜその機器が除外されたのか、追加保守は可能かを具体的に質問してください。

この作業は、サプライチェーン全体のリスクを把握するうえでも重要です。たとえば、古いサーバーが保守対象外になっていると、脆弱性が放置される可能性があります。対象外の機器については、内部で代替保守体制を整えるか、別途見積もりを取る必要があります。

要求の根拠と優先度を確認する

取引先が新たに提示する要件（例：24時間365日の監視追加、リモートパッチ適用の自動化など）は、どのような背景で提案されたのでしょうか。まずはその根拠となるリスク評価や業界標準を文書で求めます。根拠が明確であれば、投資対効果を検討しやすくなります。

また、要件ごとの優先度を取引先と協議し、必須項目とオプション項目を分けて整理します。優先度が低い項目は、次回の更新時に再検討することで、現在の予算に合わせた最適な契約内容に調整できます。優先度の合意は、後の契約交渉での根拠資料として活用できます。

---

自社で受けている保守範囲を整理する

現在の契約書と実績を照合する

保守契約書は、法的な枠組みとサービス内容を示す重要な文書です。まずは最新の契約書を取り出し、取引先が提供したサービス明細と照らし合わせます。契約書に記載されたサービスレベル（SLA）や対応時間、対象範囲が実際の運用実績と合致しているかをチェックしてください。

実績データは、障害対応履歴やパッチ適用レポート、定期点検報告書などから抽出できます。これらを一覧にまとめ、契約書上の項目と比較し、過不足を可視化します。過不足がある場合は、取引先に説明を求め、次回更新時に修正を交渉材料にしましょう。

資産管理台帳とサービス対象を突き合わせ

自社の資産管理台帳は、ハードウェア・ソフトウェア・クラウドリソースを網羅した一覧です。これを取引先が提示した保守対象リストと突き合わせることで、実際に保守が行き届いている資産と未カバーの資産を明確に把握できます。突き合わせは、Excelや専用ツールで「対象/未対象」フラグを付けるだけで簡単に行えます。

突き合わせ結果をもとに、未カバー資産のリスク評価を行い、追加保守が必要かどうかを判断します。たとえば、重要業務システムが未対象であれば、緊急に保守範囲に組み込むべきです。逆に、不要な資産が保守対象となっている場合は、コスト削減の余地があります。

保守レベル（障害対応・パッチ適用）を明示

保守サービスは、障害対応の迅速さやパッチ適用の頻度など、レベルが細分化されています。自社で求めるレベルと取引先が提供できるレベルを表形式で整理し、ギャップを明確にします。たとえば、障害発生時の初動時間を「数時間以内」や「1日以内」など、具体的な目標は取引先と協議の上で設定してください。設定した目標は業務への影響度に直結します。

パッチ適用については、月次か随時か、テスト環境での検証有無など、具体的なプロセスを確認してください。これらの情報は、契約更新時にレベルアップやダウングレードの交渉材料となります。自社のリスク許容度に合わせて、最適な保守レベルを選定しましょう。

---

変更履歴と通知期間をチェックする

過去のサービス変更記録を集める

保守サービスは、契約期間中に機能追加や範囲変更が行われることがあります。取引先に過去の変更記録（追加機能、対象機器の増減、料金改定など）を求め、一覧化します。変更があった際の文書（通知メールや変更合意書）を保存しておくと、後で証拠として活用できます。

集めた記録を時系列で整理し、どのタイミングでどのような変更が行われたかを可視化します。その際、変更理由や影響範囲が明記されているかをチェックし、説明が不十分な変更は取引先に説明を求めるべきポイントです。変更頻度が高い場合は、契約条件の見直しを検討するサインとなります。

通知期間の規定と実績を比較する

契約書やサービスレベル協定（SLA）に、変更や料金改定の事前通知期間が規定されていることがあります。まずはその規定期間（例：30日、60日など）を確認し、実際に取引先が通知した日付と比較します。規定期間は契約ごとに異なるため、必ず契約書で確認してください。

通知が規定期間を下回っていたケースがあれば、取引先のコンプライアンス遵守状況に疑問が生じます。逆に、十分な余裕をもって通知されている場合は、計画的な対応が可能です。通知期間の実績を表にまとめ、次回更新時の交渉材料として活用しましょう。

遅延や抜け漏れがあったケースを洗い出す

過去に保守対象外の機器が突然障害を起こしたが、取引先からの対応が遅れたケースや、料金改定が予告なしに適用されたケースがないか、社内のインシデントログや会計データをレビューします。具体的な事例をリスト化し、影響度（業務停止時間、追加コスト）を評価します。

このような遅延や抜け漏れの実績は、取引先の信頼性を測る重要な指標です。問題が頻発している場合は、契約更新時に厳格な通知義務やペナルティ条項を盛り込むことを検討してください。逆に問題が少ない場合は、現行条件の維持や軽微な改善で十分です。

---

比較結果を踏まえて次の判断を行う

継続・改訂・新規選定の判断基準

取引先の要求と自社の実態を照らし合わせた結果、以下の3つのシナリオを検討します。① 現行の保守範囲とレベルが十分で、変更要求も合理的であれば「継続」を選択。② 重要なギャップや頻繁な変更が見られ、改善余地が大きい場合は「条件改訂」で交渉。③ 重大な不一致や信頼性の問題がある場合は「新規ベンダー選定」を検討します。

判断基準は、業務影響度、コスト効果、リスク許容度の3点です。業務影響度が高い項目は優先的にカバーし、コストは予算と比較し、リスクはIPAのガイドラインに沿って評価します。このフレームワークを社内で共有し、意思決定を透明化しましょう。

社内合意と意思決定プロセス

判断が固まったら、関係部門（経営層、情報システム、財務）に対して資料を提示し、合意を得ます。合意プロセスは、まず部門長のレビュー、次に経営会議での最終承認という二段階が望ましいです。合意内容は、更新の是非、条件改訂の要点、予算配分を明記した議事録として残します。

また、合意後は取引先へ正式な意思表示（更新通知書、条件変更提案書）を文書で送付し、相手側の受諾を得る手続きを踏みます。この際、期限を設定し、期限内に返答がない場合は次のステップ（新規選定など）に移行する旨を明記しておくと、交渉が円滑に進みます。

専門家への最終確認と相談のタイミング

最終的な判断を下す前に、情報セキュリティの専門家や外部コンサルタントにレビューを依頼することをおすすめします。特に、サプライチェーンリスクや法的要件（IPAガイドラインに基づく最低基準）に関しては、第三者の視点で確認すると見落としが減ります。

相談のタイミングは、社内合意が取れた直後がベストです。専門家からのフィードバックを受けて、必要ならば条件を微調整し、最終的な契約書に反映させます。最終的に契約書が完成したら、保存場所とバージョン管理を徹底し、次回更新時のベース資料として活用してください。