取引先・監査で調査報告書を求められたとき — 何を頼めばよいか

よくある場面

• 取引先・大手顧客のベンダー審査 — 継続取引や新規契約の条件として
• 親会社・グループ本社からの要求 — グループ全体の棚卸しの一環として
• 入札・調達の要件 — 提出書類のひとつとして
• 保険の加入・更新 — 質問票の裏付けとして
• 資本提携・M&A の事前確認 — 相手方からの依頼で
• 認証審査の準備 — 社内の点検に外部の視点を足したいとき

共通しているのは、社内の自己申告だけでは通らなくなったという状況です。

まず先方に確認したい 4 つ

ここが決まると、必要なメニューはほぼ決まります。 分からないまま見積を取ると、後から「求めていたものと違う」となりがちです。

1. 誰が読むのか — 取引先の情報システム部門か、購買・法務か、監査を担当する第三者か
2. 何の証跡として使うのか — 質問票の裏付けか、提出書類そのものか
3. 対象はどこまでか — 会社のドメイン全体か、特定のサービス・システムに限るか
4. 期限と頻度 — 今回限りか、毎年求められるのか

とくに 3 番目は見積に直結します。 「御社のシステム全部」と言われても、実際には取引に使うサービスだけが対象ということが少なくありません。

先方の言い方から見分ける

各メニューの深さの違いは調査の3層で整理しています。 迷ったときは、先方の文面をそのままお送りいただければ、 どの層に当たるかのご相談から承ります。

当社が出せるもの・出せないもの

体裁の実物はサンプル報告書（架空）でご確認いただけます。 提出前に社内で回覧する場合は、報告書の読み方もあわせてどうぞ。

「安全だと証明してほしい」と言われたら

外部調査で分かるのは、その時点で外から見えた事実です。 「問題が何も無い」ことの証明ではありません。これはどの調査会社でも同じです。

報告書には調査範囲と制限事項の章があり、 「何を調べ、何を調べていないか」が書かれています。 提出先に対しては、この章がそのまま説明になります。 範囲を書かずに「問題ありませんでした」とだけ伝えるより、 範囲つきの事実のほうが審査では扱いやすいことが多いです。

報告書を「追及の材料」ではなく「観測の記録」として読む考え方は、 境界を観測として読むで説明しています。

期限が近いとき

契約前の調査着手は行いません。 基本契約（枠）と個別契約（範囲・料金・納期）を先に固めます。 理由はなぜ基本契約が先かをご覧ください。

そのうえで、調査自体の目安日数は次のとおりです（着手後・代表ドメイン 1 件）。

• ライト調査 — 3〜5 営業日
• 攻撃面パッケージ — 7〜10 営業日
• 脆弱性診断 — 10〜15 営業日

期限が厳しい場合の現実的な進め方は次のとおりです。

• 範囲を絞る — 取引に使うドメイン 1 件に限定すれば、着手も納品も早くなります
• 先に軽い層から — まずライト調査で提出し、必要に応じて攻撃面を追加する
• 先方に段取りを伝える — 「第三者による調査を発注済み、報告書は◯月◯日提出予定」と中間回答すれば、待ってもらえることがあります

期限が決まっている場合は、その日付を最初にお知らせください。 間に合う範囲での組み方をご提案します。

提出するときの注意

• そのまま渡してよいかを確認する — 報告書には社内向けの詳細（ホスト名の一覧など）が含まれます。 社外に出す範囲は御社でご判断ください。
• 要約が必要なら相談する — 提出用の説明が必要な場合、コンサルティング・監査対応として別途承ります。
• 実施日を明記する — 外から見える状態は変わります。いつ時点の観測かが、報告書の価値を決めます。

毎年求められるなら

取引先の審査が定期的にある場合、その都度ゼロから見積を取るより、 年間の枠で押さえたほうが手間もコストも読みやすくなります。

• 年間フォロー枠 — 初回調査のあと、年 2 回・4 回の再調査をまとめて契約
• 再調査・定期確認 — 前回報告書との差分を整理
• グループ会社・複数ドメイン — 子会社分もまとめて求められる場合

関連記事

• 調査の3層 — どの深さが必要かの地図
• 調査依頼の進め方 — 契約から納品までの流れ
• ペンテストと標準メニューの境界 — 侵入実証を求められた場合
• クラウドにログインしない調査 — 外から見える範囲と見えない範囲