取引先から「SCS評価制度の★を取ってほしい」と言われたが、どう受け止めればよいか分からない

長く部品を納めている発注元から、案内の文書が届く。「サプライチェーン全体のセキュリティを高めるため、お取引先の皆さまには、SCS評価制度の★3の取得をお願いしたい」。担当者に電話で聞くと、時期はこれから詰めるという。取れなかったらどうなるのか、と聞きかけて、やめた。応じますと返すべきなのか、まだ分かりませんと返してよいのか。返事の文面が決まらないまま、文書は机の上にある——この辞典が扱うのは、その場面である。

• 取引先から「★3を取ってほしい」と言われた。制度の名前を聞いたのは、そのときが初めてだった。
• 依頼の文には★の数だけが書かれていて、いつまでに取るのか、取るまでの間はどうするのかには触れていない。
• 「取れない場合は、取引のあり方を考えることになるかもしれない」と、口頭で添えられた。どこまでの意味で言われたのかを測りかねている。
• 調べてみると、申請の受付はまだ始まっていなかった。すぐに取れと言われているのか、先の話なのかが、文面からは読み取れない。
• 対策に費用がかかるとして、それを見積もりや単価の話に乗せてよいものか、言い出しにくい。
• 別の取引先からは、何も言われていない。一社のために取るものなのか、取引先の全部に関わるものなのか、見当がつかない。

断るかどうかの手前で、依頼の文に書かれていない事柄が何なのかが、まだ見えていない場面である。

この場面で浮かぶのは、たいてい「この依頼に、応じるか応じないかで返事をする」という考えである。

そう受け止めるのには経緯がある。大きな取引先とのやりとりでは、これまでもセキュリティについてのチェックシートが届き、並んだ設問に「はい」「いいえ」で答えて返してきた。届いた条件に答えを返す形には慣れている。しかも相手は売上の大きな取引先で、依頼の言葉が丁寧でも、条件として読むのが自然である。

だから返事の中身は二つに割れやすい。取引を守るには、言われたとおり取ると返すしかない、という考え。任意の制度だと聞いたので、うちの規模では難しいと返してよい、という考え。向きは逆でも、どちらも依頼を「はいかいいえで答える条件」として受け取っている。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、会社のセキュリティ対策の段階を★の数で示す制度で、運営はIPA（情報処理推進機構）が行う。IPAの「よくある質問」は、★の取得は任意だとしたうえで、こう答えている。「★の取得を取引上の要件とするかどうかは、契約当事者間で決定されるものであり、本制度自体が★の取得を義務付けるものではありません。」

一方で、取引先に★を求めるという使い方は、制度のはじめから想定されている。国の制度構築方針（2026年3月）は、制度の対象を示す図に、こう注を付けている。「発注者は、対応が望ましい段階[★3・★4等]を提示したうえで、取引先における★の取得有無を確認する。」発注元から依頼が届いたのは、制度が描いている流れのとおりである。

その★は、求める水準を取引先に短く伝えるための印である。「よくある質問」も、制度の目的を、委託元から委託先に対して「求めるセキュリティ水準を分かりやすく提示し」と書いている。★3なら26項目、★4なら43項目の要求事項が、一つの印に畳まれている。だから依頼は一行で届く。そして、短く伝えるための印であるぶん、印の中に入っていない事柄が残る。

いつまでに取るのか。取れるまでの間、何で確かめるのか。★3でよいのか、★4が要るのか。対策にかかる費用を、取引の中でどう扱うのか。国の資料は、この四つのどれについても、二社のあいだで決める事柄として書いている。

時期から見ると、2026年11月の時点で★を持っている会社はまだ無い。IPAによれば、★3・★4の登録申請の受付は2027年3月に始まる予定で、取得した会社の公表は2027年4月以降とされている。どれも予定であり、計画に遅れが出れば受付開始の時期を見直す、とIPAの運営審議委員会の資料にある。依頼する側の手元にも、★を持った取引先はまだ一社も無い。取ってほしいという依頼は、いまの時点では必ず、先の日付についての話になる。

取れるまでの間については、制度構築方針が先の注に続けて書いている。「(取引先において直ちに★を取得することが困難な場合等においては、発注者が取引先に対して配布するセキュリティ対策のチェックリストとして本制度の要求事項・評価基準を活用することも考えられる。)」「よくある質問」も、「本制度において、全ての要求事項・評価基準を満たしていないことを理由に、直ちに取引停止等が求められるものではありません。」と答え、要求事項・評価基準を共通のチェックリストとして使って対策の状況を確かめる使い方も想定している。ただし、★の取得状況を取引の上でどう扱うかは、ここでも契約の当事者が決める、とされている。

段階については、制度構築方針が、取引先を★4と★3のどちらに割り当てるかの考え方を、例として流れ図で示している。受発注のような重要な業務の多くがITに頼っている取引先であることを前提に、その取引先の事業が止まったとき、自社の重要な業務に許容できない遅れが出るか。その取引先が攻撃を受けたとき、自社の機密の情報の管理に重大な影響が出るか。どちらかに当てはまれば★4、どちらでもなければ★3、という流れである。

費用について、国の資料に出てくる金額は、IPAに払う登録料だけである（★3は2万円で1年ごと、2028年3月31日までは1万円。★4は6万円で3年ごと）。確認をする専門家や評価機関への支払い、対策そのものにかかる費用については、国の資料に目安が無い。そのうえで制度構築方針は、導入を進めるための策を並べた図の中に、取引先への要請についての考え方として、次の一文を置いている。「発注元企業は、★取得による価格交渉に積極的に対応する必要がありかつ委託先にこれを周知する必要がある等」。

公正取引委員会と経済産業省が2022年10月に出した文書（「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」）は、取引先に対策を求めること自体は直ちに独占禁止法上の問題となるものではない、としている。そのうえで、取引上の地位が相手に優越している側の要請は、方法や内容によっては問題となることもある、と書き、おそれのある例の一つに、次の形を挙げている。「取引の相手方に対し、有償のセキュリティサービスの利用やセキュリティの認証の取得を要請したにもかかわらず、コスト上昇分の取引価格への反映の必要性について、価格の交渉の場において明示的に協議することなく、従来どおりに取引価格を据え置くこと」。この文書は、下請法が2026年1月に取適法（中小受託取引適正化法）へ改められる前のものである。取適法が当てはまるかどうかは、取引の種類と双方の規模で決まる。

経済産業省と公正取引委員会は、SCS評価制度に合わせて、この文書を補う「問題とならない」想定事例も作っている。制度構築方針に載っている概要では、発注する側が説明会を開き、費用負担の考え方や、セキュリティ対策が価格交渉の対象になることを伝える。受ける側は、対策にかかったコストについて価格交渉をして合意し、その結果を双方が書面に残す。筋書きの中には、受ける側の会社が、別の取引先との価格交渉に向けて、取引かけこみ寺などの支援機関に相談する場面も入っている。取引かけこみ寺は中小企業庁の委託事業で、取引上の悩みを相談員や弁護士が受け付けている（相談は無料で、匿名でもできる）。

つまり、★の依頼は、二社のあいだで決める事柄の一行目にあたる。印が示すのは目指す段階で、時期も、取れるまでの間の確かめ方も、費用の扱いも、空欄のまま届いている。応じるか断るかで返そうとすると文面が決まらないのは、この空欄を残したまま、印にだけ答えようとしているからである。

しかも、空欄を埋める材料は、依頼する側にもまだそろっていない。登録申請の手引は2026年11月末頃、確認をする専門家の公表は2027年1月以降の予定である。空いているのは、こちらの手元だけではない。

考える単位を、依頼の一行から、その中の空欄に移す。取るか断るかを決める話から、「依頼の中の空欄を、相手と一つずつ埋める」話に変わる。

四つの空欄は、性質がそれぞれ違う。時期は国の予定に縛られていて、二社で決められるのは「受付が始まってから、いつまでに」の部分になる。どの段階か、取れるまでの間は何で確かめるかは、相手が物差しを持っている話で、聞かなければ分からない。費用は、国の資料が「価格交渉に積極的に対応する必要」と書き、交渉の場で協議して結果を書面に残す流れを描いている話である。

そう分けると、返事の形も変わる。目指す段階を受け止めたうえで、空欄ごとに、自社の今の状態と、相手に確かめたいことを並べて返す、という形がとれる。制度構築方針は、取引先の★の取得を確かめることや、取れない場合にチェックリストで状況を確かめることを、発注者の役割として描いている。空欄を埋めにいく返事は、相手のその役割の側から見ても、使える材料になる。

空欄をどこから埋めるかで、道が分かれる。目指す段階と時期から埋める道、取れるまでの間の答え方から埋める道、段階そのものを確かめる道がある。

A案：★3を目標に置き、受付が始まってから「いつまでに」を相手とすり合わせる

制度構築方針は、★3を「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策として、基礎的な組織的対策とシステム防御策を中心に実施」する段階としている。依頼が★3なら、目指す段階そのものをすり合わせる余地は小さく、決める幅が残るのは時期のほうである。

IPAの運営審議委員会の資料は、★3を取る会社の動きを順に描いている。公表された評価用のガイド類を見て、自社の対策の状況を要求事項・評価基準に照らし、自己評価をする。2027年1月以降、社内の専門家に確認を頼むなら研修を受け、社外の専門家に頼むなら契約を結んで、自己評価の確認を受ける。2027年3月以降に、IPAに登録を申請する。この順番に自社の今の状態を重ねると、「受付の開始から、この頃までに」という形の見込みを、自社の側から相手に返せるようになる。

返すときに添えられるのは、見込みとその前提である。今の自社の状態を要求事項に当てはめて、決まっていない項目がどれだけあるか。確認を頼む専門家を社内に置くのか、外に頼むのか。そして、その見込みが国の予定の上に立っていること。

取ったあとの期間も、すり合わせる事柄に入る。★3の有効期間は1年で、毎年出し直す。「よくある質問」は、取引の期間が1年を超える場合について、例えば契約の満了までは必要な★の評価を維持し続けることを求める、といった運用が考えられる、と答えている。

• 向く場面：求められたのが★3、または段階の指定がない依頼を受けた会社。取引がこの先も続く見込みで、取ること自体には異論がない会社。
• 割に合わないこと：返した見込みは、国の予定の上に立っている。予定が動けば、伝えた時期も動くことになる。会社が対策を整えるのにかかる期間の目安は国の資料に無く、見込みは自社で当てはめた結果に頼る。★3を取るには、★3で定められたすべての要求事項・評価基準を満たす必要があり、決めて書く項目が残っていれば、見込みどおりには進まない。確認をする専門家に払う費用は契約で決まるもので、その専門家の公表も2027年1月以降の予定のため、今の時点では見積もる先が定まっていない。取ったあとも、1年ごとの出し直しが続く。
• 始める前に要ること：IPAのページから、要求事項・評価基準の表と自己評価等ガイドを手元に置くこと。依頼の文書に、時期と、どの取引についての話かが書かれているかを確かめておくこと。

B案：★が取れるまでの間は、国の要求事項・評価基準をチェックリストとして使い、項目ごとの今の状態で答える

★が取れない間も、相手は取引先の状況を知りたい。国の資料は、その間の確かめ方として、制度の要求事項・評価基準をチェックリストとして使う道を書いている。これを、依頼を受けた側から先に使う道である。

IPAは、評価基準ごとに満たしたとされる条件と確かめ方を書いた自己評価等ガイドと、自己評価の結果を書き込む様式（アセスメントシート）のテンプレートを公開している。テンプレートは、登録するかどうかに関わりなくダウンロードできる。★3の26項目について、決まっていて書いたものがある、やってはいるが書いたものが無い、まだ決まっていない、を分けて書けば、★が取れるまでの間に、今の状態を相手に示す一枚になる。

「よくある質問」がこの使い方を「共通のチェックリスト」と呼んでいるとおり、国の物差しで答えた一枚は、別の取引先から同じような問いが来たときにも、同じ物差しで答えたものとして出せる。取引先ごとに違う設問へ一から答え直す手間が、その分だけ減る。

• 向く場面：相手が、今の時点で何らかの答えを求めている会社。★を取るかどうか、取るならいつかを、まだ決めきれていない会社。複数の取引先から、セキュリティについて聞かれている会社。
• 割に合わないこと：チェックリストで答えても、★を取ったことにはならない。専門家の確認を経ていない、自社による申告である。相手がそれで足りるとするか、どこまで重く見るかは、相手が決める。また、項目ごとに正直に書くほど、「まだ決まっていない」の欄も相手に渡ることになり、その欄をいつまでに埋めるのかを、あわせて聞かれることもある。表の版は改められることがあり（2026年10月にVer.1.1になった）、答えた一枚もそれに合わせて見直すことになる。
• 始める前に要ること：★が取れるまでの間はこの形で答えてよいかを、先に相手に確かめること。相手が独自のチェックシートを使っているなら、それと国の表のどちらで答えるかも、あわせて聞いておくこと。

C案：★4を求められたら、その取引に★4が要るのかを、国の流れ図に沿って相手と確かめる

★4は、評価機関による第三者評価で取る段階である。要求事項は43項目で、実地の審査と技術の検証を含み、有効期間は3年。評価機関に払う費用は契約で決まり、国の資料に目安は無い。★3とは、準備の重さが一段違う。

先に挙げた流れ図について、制度構築方針は、★3では足りない場合に★4を求めたり、項目に対策を上乗せしたりすることも想定される、としている。あわせて、単発・一過性の調達や、市販品のように市場で代わりが見つかりやすい調達などのうち、重要度が相対的に高いとは言えないものは、この流れの対象から外すことも考えられる、と注記している。

この流れ図を手元に置いて、相手に聞く。依頼は、どの取引（どの品目、どの業務）についての話か。その取引でこちらが止まると、相手のどの業務に遅れが出るのか。こちらに渡している情報のうち、どれを重く見ているのか。答えが流れ図の★4の側に当てはまれば、★4が要る理由が二社で共有される。当てはまらない部分があれば、★3で足りるのか、★3に一部を上乗せする形でよいのかを話す材料になる。

依頼の背景が、相手の側の事情にあることもある。★4の要求事項には「重要な取引先におけるセキュリティ対策状況の把握」があり、制度構築方針は、★4の対象となった会社から、重要な機密情報が渡っている先の取引先にも一定の適用が期待される、と図で示している。相手自身が★4を求められていて、そのために取引先の状況を把握する必要がある場合、相手に要るのが★4そのものなのか、取引先としての状況が分かる答えなのかも、確かめる事柄に入る。

• 向く場面：★4を求められた会社。依頼の対象が、一部の品目や業務に限られた取引の会社。相手自身も、さらに上の取引先から★を求められていると聞いている会社。
• 割に合わないこと：流れ図は国が示した例であり、どの段階を求めるかを決めるのは相手である。確かめた結果、★4が要ると分かることもあり、その場合は★3より重い準備がそのまま残る。評価機関の公表は2026年12月下旬の予定で、★4の評価を頼む先もまだ公表されていない。聞き方によっては、依頼を渋っているように受け取られることもあり、何のために確かめたいのかを先に伝える手間がかかる。
• 始める前に要ること：制度構築方針の、★3・★4の適用の考え方を示した頁（3.3.3）を手元に置くこと。自社が相手に納めている物、引き受けている業務、預かっている情報を、取引ごとに書き出しておくこと。

B案は今の時点の答え方を、A案は時期を、C案は段階を受け持つ。依頼の中の空欄のうち、どれから先に埋めることになるかは、相手が求めている時期と、求められた段階で変わる。費用の扱いは、どの道を取っても、価格の交渉の場に残る。

届いた依頼の文書を横に置いて、紙に四行書く。口頭で言われたのなら、言われた言葉を書き起こしたものを横に置く。

• どの段階か（★3か、★4か）
• いつまでに
• 取れるまでの間、何で答えるか
• 費用を、取引の中でどう扱うか

それぞれの横に、依頼の文書に書かれていることを写す。書かれている行と、書かれていない行に分かれる。書かれていない行が、相手に確かめる事柄である。

書かれていない行が三つあれば、返事は三つの問いを含む形になる。時期の行には、申請の受付が2027年3月に始まる予定であることを、国の予定として書き添えておける。

この四行で分かるのは、依頼の中のどこが空いているかである。空いた所をどう埋めるか、返事をいつ、どの形で出すかは、そこから先の話になる。

「相手が示した★4の理由と、自社のシステムの実際が合っているのか判断がつかない」「チェックリストで答えるとして、どの項目を『決まっている』と書いてよいのか見分けられない」「時期の見込みを出そうにも、自社の対策がどこまでできているのかが分からない」——空欄を並べても、埋める中身は会社ごとに変わる。納めている物も、預かっている情報も、使っているシステムも、一社ごとに違う。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちに届いた★の依頼のうち、どこが空欄で、自社の今の状態ならどう答えられるのか」——その読み分けを一緒に考えるところまでが、この辞典の役割である。