業務部門は「簡単なツールなのに、なぜ導入できないのか」と感じ、情シスは「運用や安全性を考えずに持ち込まれる」と感じることがあります。対立が続くと、現場は個人契約やExcelへ戻り、情シスから見えない仕組みが増えます。
両者は反対の目的を持っているのではなく、異なる失敗へ責任を負っています。
守ろうとしているものが違う
| 業務部門 |
情シス |
| 顧客対応の速度 |
情報漏えいの防止 |
| 現場の入力負担 |
権限とアカウント管理 |
| 変更の柔軟性 |
保守性と標準化 |
| 小さく早い試行 |
全社への影響 |
| 目の前の業務成果 |
障害・退職・契約終了後の運用 |
同じ「良いシステム」という言葉でも、評価基準が異なります。
対立がシャドーITを増やす流れ
現場が課題を申請する
→ 審査条件と回答日が分からない
→ 顧客対応や締め日は待ってくれない
→ 個人契約・ローカルExcelで暫定対応する
→ 情シスから利用実態が見えなくなる
→ 発見後に禁止が強化される
→ 現場がさらに相談しにくくなる
シャドーITを現場の規律だけの問題にすると、この循環を見落とします。正規ルートを利用するための時間と情報が過大なら、非公式手段を選ぶ便益が上回ります。
専門用語で伝えるほど相手の判断材料が減る
業務部門が「使いやすい」とだけ伝えても、扱うデータや権限が分かりません。情シスが「セキュリティ上難しい」とだけ返しても、どのリスクが解消できればよいか分かりません。
StarとGriesemerは、異なる視点を持つ人々が協働するために、各立場へ適応できながら同一性を保つ「境界物」の役割を論じました。Institutional Ecology, Translations and Boundary Objects
業務改善では、共通の業務フロー、データ一覧、権限表、例外例が、両部門をつなぐ材料になります。
機能ではなく業務シナリオで確認する
誰が：宿泊施設の現場担当者
何を：清掃完了と追加費用
いつ：作業終了時
どこへ：案件台帳
誰が見る：運営責任者と経理
問題時：修正履歴を残し、締め後は承認を取る
扱う情報：氏名、施設、金額、証憑
この単位なら、現場便益とセキュリティ要件を同じ対象について検討できます。
申請時に最低限揃える情報
| 項目 |
確認する理由 |
| 解決したい業務 |
既存ツールや業務変更で代替できるか |
| 利用者と管理者 |
退職・異動時に誰が管理するか |
| 扱うデータ |
機密性と契約条件を判断するため |
| 外部連携 |
データがどこへ渡るかを確認するため |
| 必要な期限 |
試行・暫定対応・本利用を分けるため |
| 問題時の代替 |
停止しても業務を継続できるか |
製品比較表を詳細に作る前に、業務とデータの流れを揃えます。
リスクに応じて審査を分ける
すべてのツールを同じ重さで審査すると、小さな試行まで滞留します。
| 区分 |
例 |
進め方 |
| 低 |
公開情報のみ、個人利用、外部連携なし |
登録制で短期試行 |
| 中 |
社内情報、複数人利用、既存SaaS連携 |
権限・契約・ログを確認して限定試行 |
| 高 |
個人情報、決済、会計確定、顧客データ |
専門レビューと障害時運用を含めて承認 |
区分は製品名ではなく、実際の利用方法で決めます。同じ生成AIでも、公開文の要約と顧客情報の入力ではリスクが異なります。
導入審査に期限と段階を作る
情報収集
利用目的、データ、利用者、外部連携、契約者を確認します。
小規模試行
非機密データや限定アカウントで試します。試行中の禁止事項を明確にします。
本利用判定
権限、ログ、バックアップ、退職者対応、障害時運用を確認します。
定期レビュー
利用者、データ、費用、代替手段を見直します。
申請後にいつ返答されるか分からない状態をなくします。
回答は承認・却下だけでなく、次の4種類に分けます。
- そのまま試行できる
- 条件付きで試行できる
- 追加情報が必要
- 現状では利用できず、代替案を提示する
「検討中」のまま止めず、次に誰が何をいつまでに行うかを残します。
禁止するなら代替手段を示す
現場が解決したい問題を残したままツールだけ禁止すると、別の非公式手段へ移ります。
- 使用できる既存ツール
- 追加設定で対応できる範囲
- 期限付きの暫定運用
- 正式導入に必要な条件
- 解決できない場合の判断者
安全性と業務継続を両方扱います。
共通の評価指標を置く
- 申請から回答までの日数
- 非公式ツールや個人ファイルの数
- 同じデータの再入力回数
- 権限不備と退職者アカウント
- 障害時に復旧できた時間
- 現場の作業削減と問い合わせ件数
情シスの承認件数や現場の利用率だけで評価しません。
導入後90日で見直す
審査時の想定と実際の使われ方は変わります。導入後に次を確認します。
- 申請した目的に使われているか
- 利用者・管理者・連携先が増えていないか
- 個人情報や機密情報の範囲が変わっていないか
- 旧Excelや別ツールが残っていないか
- 問い合わせと障害が誰へ集中しているか
- 費用に対して業務時間・誤り・待ち時間が減ったか
未利用なら契約を見直し、利用が拡大しているなら権限や運用を本利用向けに更新します。承認した時点を完了にしません。
まとめ
情シスと業務部門の対立は、どちらかが業務を理解していないからだけではありません。現場は速度と便益、情シスは安全性と継続運用へ責任を持っています。
機能要望と禁止理由をぶつけるのではなく、共通の業務シナリオ、データ、権限、問題時の戻し方で判断します。
複数SaaSの接続はSaaSと会計ソフトを連携する方法、部署間の部分最適は部署をまたぐ業務改善が進まない理由で解説しています。シクミAIでは、現場の業務シナリオと管理要件を同じ表に置き、導入後の運用まで整理します。
