日本市場・GTM

セキュリティチェックシートの回答は「×」の行から整える

用語

CRM（顧客管理システム）

公開 2026年11月8日

現場の担当者は乗り気。部長は様子見。そして情シスが懸念している。

日本の商談でよく見る並びです。CRM（顧客管理システム）の上では「提案済み」なのに、相手の社内ではまだ情シスの確認が終わっていない。

その確認の中身は、たいてい1枚のExcelです。セキュリティチェックシート。百数十行の質問に、○か×か、補足を書いて返す。

売る側はここを「書類仕事」として扱いがちです。開発やインフラの担当に回して、返ってきたら送る。○が多ければ大丈夫だろう、と。

でも、手を入れるべきは○の数ではありません。

セキュリティチェックシートの回答は、「×」と書いた行から整えます。 情シスは×の行を、導入後に自分たちが引き受ける作業として読むからです。

この記事は、SaaSや業務システムを売る側で、セキュリティチェックシートを返してから商談が静かになった経験がある方に向けています。回答の担当者と期日を商談ステージで追う方法は、契約書と同じ考え方で「本社の契約書をそのまま出すと、日本の商談は法務で止まる」に書きました。ここでは回答の中身、特に×の行を扱います。

情シスは4割強の購買で検討に加わっている

IDEATECHとデマジェン総研の北川裕康氏の共同調査（2026年6月9日公表、調査は2026年5月25〜26日、有効回答330。年間契約額500万円以上のB2B業務ソフトウェア・SaaSまたはITインフラ・セキュリティ商材の購買に2名以上で関与した人へのインターネット調査）では、検討に関与した専門部門の1位が情報システムで42.2%でした。経理・財務38.2%、セキュリティ37.2%が続きます（複数回答、n=325）。

調査PRを事業とする会社の企画なので、比率は目安として読みます。いつ関与したかは聞いていません。それでも、情シスが判子を押すだけの部署ではないことは分かります。

同じ調査で、営業と接触する前に自社だけでは判断が難しかった項目の1位は「導入後の運用負荷の見積もり」で56.3%でした。機能比較の47.1%より上です。

買い手が自力で見積もりにくいのは、機能ではなく、入れたあとに誰が何をやるか。セキュリティチェックシートは、その問いを情シスが文書で出してくる場面だと私は見ています。

返す時間は短く、×の説明をその場で書く余裕はない

SecureNaviの調査（2026年2月19日公表、調査は2026年1〜2月、インターネット調査、情報システム・セキュリティ部門680名を含む計780名）では、セキュリティチェックシートへの回答依頼が増えていると答えた人が約7割でした。

回答期日として求められる日数は「2〜3営業日」が35%で最も多く、「4〜7営業日」28%、「当日〜1営業日」13%と合わせて、76%が1週間以内です。

SecureNaviはセキュリティチェックの業務を効率化するサービスの会社なので、「依頼が増えて大変」という結論は事業と同じ向きです。そこは割り引いて読みます。

ただ、期日の短さは売る側の実感とも合います。2〜3営業日で百数十行。社内の技術担当は、○の行は過去の回答から写し、×の行は「非対応」とだけ書いて返してきがちです。

×だけで返すと、情シスは作業量を自分で見積もるしかない

例えば「利用者の自動追加・削除（SCIMなどのプロビジョニング）に対応しているか」に×と書いたとします。

情シスが考えるのは、入社と退職のたびに誰がこのツールのアカウントを手で足し引きするのか。棚卸しを何か月おきにやるのか。退職者のアカウントが残っていたら、監査で誰が説明するのか。

この作業の見積もりがつかないと、情シスは稟議に「懸念あり」と書くしかありません。断る理由ではなく、判断できない理由として。

懸念が付いた稟議を上に通すのは、起案した現場の担当者です。その労力を前に手が止まれば、売る側から見ると返事が来なくなります。

×の数そのものは、多くの場合それほど問題になりません。すべてに対応している製品はないからです。問題になりやすいのは、×の後ろにある作業が見えないことです。

×で返す行には、3つのことを書く

×の行ごとに、次の3つを補足欄に書きます。

1つ目は、代わりの手段。「非対応」で終わらせず、同じリスクを別の方法でどこまで抑えているか。例えば「自動プロビジョニングは非対応。管理画面から利用者一覧をCSVで出力でき、最終ログイン日を確認できる」。

2つ目は、買い手側に残る作業。代わりの手段を使うと、相手の誰が何をすることになるか。「退職時に管理者がアカウントを無効化する」。

3つ目は、その頻度と担当の目安。「月1回、利用部門の管理者が一覧を確認する運用を想定」のように。所要時間を添えるなら、自社で実際に試した数字だけにします。試していなければ書かずに「御社の人数で一緒に見積もります」とします。

例はあくまで書き方の型です。自社製品で何ができるかは、製品担当に必ず確かめてください。

この3つが揃うと、情シスは稟議に「懸念あり」ではなく「運用で対応。担当と頻度は別紙」と書けます。判断できない項目が、判断済みの項目に変わります。

○の行にも同じ考え方が要る場面があります。「設定すれば対応」の○です。誰が設定するのか、初期設定はこちらでやるのか。ここが空欄だと、○は情シスにとって半分×です。

補足は製品側が書き、営業は提出前に読む

×の補足は、製品仕様と表示の責任に関わります。営業が想像で書き足すと、受注後に「書いてあった」で揉めます。

分担はこう決めます。補足の原文は製品・セキュリティの担当が書き、文言はセキュリティの責任者が承認する。案件ごとに書き換えてよいのは、頻度と担当の目安だけ。

営業の役割は、提出前に×の行を読むことです。どの×に何が書いてあるかを言えないと、相手の担当者が社内で説明するときの材料を渡せません。

やめた方がいいのは、×を減らすために○の条件を曖昧に書くことです。情シスとの関係は、導入後の更新の場面まで続きます。

回答ライブラリは×の行から整え、行ごとに確認日を持つ

期日が2〜3営業日なら、×の説明をその都度書いている時間はありません。

過去の回答を貯めて使い回している会社は多いと思います。整えるときは、○の行より×の行を先にします。○は写せば済みますが、×の補足は一度きちんと書かないと、毎回「非対応」の一言に戻ります。

記録はライブラリの側に持たせます。行ごとに、最終確認日、担当者、追加質問が来た回数。四半期ごとに製品のリリース内容と照らして、×が○に変わった行や代わりの手段が変わった行を直します。追加質問が多い行は、補足を厚くするか、製品への要望として上げる候補です。

CRMの取引側には新しい項目を足しません。返したシートへのリンクを置き、情シスの確認がどこまで進んだかは、取引ですでに持っている承認の進捗で追います。営業に行ごとの入力はさせません。

日本の商談で何が承認を止めるかの全体像は、レベニューアーキテクチャとはに置いています。

セキュリティチェックシートの×の行は、買い手にとって導入後に引き受ける作業の一覧です。 ×で返す行には、代わりの手段、相手に残る作業、その頻度と担当を書きます。

直近で返したセキュリティチェックシートを1枚開いて、×の行の補足欄を読んでみてください。「非対応」の一言で終わっている行があれば、相手の稟議で「懸念あり」になっているかもしれない場所です。