IT担当者の引き継ぎの進め方｜一人情シスの退職に備える管理者権限・契約・機器の棚卸し表と引き継ぐ順番【中小企業向け】

「社内のITを一人で見てくれていた社員から、退職の申し出があった」。人数の少ない会社では、パソコンの設定、ネットワークや複合機の管理、クラウドサービスの契約、ホームページやメールのドメインの管理まで、一人の担当者が受け持っていることが珍しくありません。総務や経理と兼ねている会社も多いでしょう。その人が辞めるとき、会社が心配するのは「管理者のパスワードが分からなくならないか」「どのサービスにいくら払っているのか誰も知らないのではないか」「障害が起きたら誰に連絡すればよいのか」ではないでしょうか。

この記事では、IT担当者が一人か二人の中小企業向けに、IT担当者の引き継ぎを整理します。IT担当者の仕事の棚卸し表、管理者ID・契約・機器の3つの台帳、残り期間別の引き継ぐ順番、管理者権限の渡し方、後任がいないときの分け方、日ごろの備えの順に説明します。公的な内容は、独立行政法人情報処理推進機構（IPA）の資料と個人情報保護委員会のガイドラインを2026年10月24日に原本で確認したものだけを載せています。私たちの考えやおすすめは、そうと分かるように書いています。

なお、この記事は引き継ぎの段取りを扱うもので、個別のシステムの設定方法やセキュリティ製品の選び方は扱いません。総務・労務の引き継ぎは「総務・労務の引き継ぎの進め方」、会社全体の引き継ぎの進め方は「中小企業の業務引継ぎの進め方」の記事で整理しています。

IT担当者の引き継ぎが、ほかの仕事より難しい3つの理由

IT担当者の引き継ぎには、ほかの事務の仕事にはない難しさが3つあると私たちは考えています（私たちの整理です）。

• 仕事の多くが「何も起きないこと」で成り立っている：更新の適用、バックアップ、契約の更新は、うまくいっている間は誰の目にも見えません。担当者がいなくなって初めて、止まっていたことに気づきます。
• 権限と契約が担当者の名前にひもづいている：管理者のID、サービスの契約者のメールアドレス、更新の通知の宛先が担当者個人になっていると、本人がいなくなった時点で会社が手を出せなくなります。
• 障害のときの仕事は、引き継ぎの期間中に起きないことが多い：ネットワークが止まった、パソコンがウイルスに感染した、といったときの動き方は、実際に起きないと後任が経験できません。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者に向けて、担当者に任せきりにすることなく、経営者が自社の情報セキュリティについて明確な方針を示すとともに自ら実行していくことが必要だとしています^[1]。IT担当者の引き継ぎは、担当者の頭の中にあった会社のITを、経営者が見える形にし直す機会でもあります。

このガイドラインは2026年9月30日に第4.0版に改訂され、はじめに取り組む対策が「情報セキュリティ5か条」に「バックアップを取ろう！」を加えた「情報セキュリティ6か条」になりました^[2]。前の版を見て作った社内の決まりがある会社は、引き継ぎに合わせて見直すとよいでしょう。

手順1：IT担当者の仕事を棚卸しする（毎日・毎月・年に1回・人が動いたとき・障害のとき）

最初にやることは、操作を教えることではなく、IT担当者の仕事を全部書き出すことです。前任者の頭の中にある仕事を、「いつやるか」で5つに分けて一覧にします。下の表は、中小企業でよくある仕事を並べた例です（私たちの整理です。自社にない仕事は消し、ある仕事を足してください）。

書き出すときは、仕事の名前のほかに「何の機器・サービスについて」「どこで操作するか」「外部の誰と分担しているか」を1行ずつ書きます。前任者のメールの受信箱にある請求書・更新の通知・保守会社とのやり取り、クレジットカードの明細を見ながら進めると、前任者自身が忘れている契約を拾いやすくなります。業務の書き出し方は「業務棚卸しのやり方」の記事で詳しく説明しています。

手順2：管理者ID・契約・機器の3つの台帳を作る

棚卸しの次に、IT担当者の引き継ぎの中心になる3つの台帳を作ります。IPAのガイドラインは、IT資産管理として、何の機器やソフトウェアが、どこで、誰によって使われているかの把握、購入・廃棄・更新の履歴管理、ライセンスや契約の期限管理、セキュリティ更新の状況確認を挙げ、付録の「資産管理台帳（サンプル）」を参考に一覧表や管理台帳の作成から始めることを勧めています^[1]。下の表は、その考え方を引き継ぎ向けに3つに分けた例です（分け方は私たちの整理です）。

ガイドラインは、各拠点のネットワークについて構成機器や保守事業者の情報を整理し、ネットワーク図（構成図）を作成・版管理して、構成を変えるたびに更新することも勧めています^[1]。図がない会社は、引き継ぎの期間中に前任者と一緒に、手書きでもよいので1枚にしておくことをおすすめします（私たちのおすすめです）。

私たちがとくに気をつけてほしいと考えているのは、契約の台帳の「名義と通知の宛先」です。ドメインやクラウドサービスの更新の通知が前任者のメールアドレスにしか届かない状態のままだと、本人が辞めたあとに更新の期限や支払いの失敗に誰も気づかず、ホームページやメールが止まるおそれがあります。宛先は個人ではなく、会社で受け取れるアドレスに変えておきます。

手順3：残り期間に合わせて、引き継ぐ順番を決める

引き継ぎの期間は、いつも十分にあるとは限りません。私たちは、「本人がいなくなると会社が手を出せなくなるもの（管理者権限・契約の名義）」から順に引き継ぐことをおすすめしています。残りの期間別の目安は次のとおりです（私たちの考えです）。

退職までの日数がほとんどない場合の動き方は「急な退職で引き継ぎができないときの対策」の記事で、引き継ぎ書の項目と書き方は「引き継ぎ書の作り方」の記事で扱っています。

管理者IDとパスワードの渡し方：「教えてもらう」ではなく「登録し直す」

IT担当者の引き継ぎでは、手順と一緒に「会社のITを動かせる権限」が動きます。私たちは、前任者のIDとパスワードを後任が教えてもらって使い続けるのではなく、後任や経営者を管理者として新しく登録し、前任者の権限を外す順番をおすすめしています（私たちの考えです）。

IPAのガイドラインは、ユーザーIDや管理者IDの発行から削除までを管理するプロセスを定めること、共有IDはなるべく使わず、やむを得ず使う場合は利用したユーザーを特定できる仕組みを整えること、異動や退職に伴う権限の変更・削除漏れや特定の役職員への権限の集中を防ぐために権限を見直すルールを定めることを挙げています^[1]。IPAの「組織における内部不正防止ガイドライン」も、異動又は退職により不要となった利用者ID及びアクセス権はただちに削除しなければならないとしています^[5]。

個人データを扱うシステムについては、個人情報保護委員会のガイドラインが、技術的安全管理措置として、担当者と扱う範囲を限定するアクセス制御と、システムを使う従業者が正当なアクセス権を持つ者であることを識別した結果にもとづいて認証することを求めています^[7]。顧客名簿や給与のデータが入ったサービスの管理者を、辞めた人のIDのままにしておくことは避けてください。

IPAのガイドラインは、退職や任期満了のときに情報や機器・ID・鍵などを回収し、復元できない方法でデータを消去して、チェックリストや証跡で実行状況を見えるようにすることを勧めています^[1]。パスワードの保管の方法（紙・ファイル・パスワード管理アプリなど）についても、それぞれの違いを理解したうえで自社に合った管理ルールを定めることを勧めています^[1]。

「管理者が一人だけ」の状態を、引き継ぎで終わらせる

IPAの内部不正防止ガイドラインは、システム管理者は大きな権限を持っているので、1人の管理者に権限が集中している場合は、情報システムの破壊や重要情報の削除などによって事業継続が不可能となる恐れがあるとしています^[5]。複数の管理者を任命して互いに確認できるようにすることが望まれ、管理者が一人しかいない場合は、操作の履歴などを管理者以外の者が確認するといった代替手段でリスクを下げるとしています^[5]。履歴が取れない場合は、管理者の作業内容を記録し、定期的に上司などが確認する方法も挙げています^[5]。

同じガイドラインの事例集には、システム管理者を担当する社員が1人しかいなかった中小企業で、管理者が社長のパソコンの設定を変えて社長宛てのメールを自分のメールアカウントに転送して読んでいた、という例が載っています^[5]。担当者を疑うためではなく、担当者自身を守るためにも、引き継ぎをきっかけに次の3つを決めておくことをおすすめします（私たちのおすすめです）。

• 主なサービスの管理者を2人以上にする（経営者と担当者など）。経営者が日常の操作をしなくても、ログインできる状態にしておく。
• 管理者の操作の履歴を見られるサービスは、経営者が月に一度、履歴の画面を開いて見る。
• 契約の追加・解約、管理者の追加・削除は、経営者の承認を得てから行う決まりにする。

後任がいないときは、仕事を3つに分ける

小さな会社では、IT担当者の後任がすぐに見つからないことがよくあります。IPAのガイドラインの付録「中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック」は、基本的な対策のためにセキュリティ担当者を兼務でも1人は確保すること、内部だけで実施が難しい対策は外部の専門家に相談することを勧めています^[3]。知見のある社員がいなくても、少しでも関連する業務の経験がある人（パソコンの導入を担当した人など）に兼務させる方法も挙げています^[3]。棚卸し表の仕事を次の3つに分けると、当面の体制を決めやすくなります（分け方は私たちの考えです）。

外部に頼む先の一つに、IPAの「サイバーセキュリティお助け隊サービス」制度があります。中小企業に対するサイバー攻撃への対処として不可欠なサービスをワンパッケージにまとめて民間の事業者が提供するもので、IPAは2021年春から制度を始め、自社で利用する場合はデジタル化・AI導入補助金による導入支援制度も用意されています^[8]。対象となるサービスと条件は、IPAのページで確かめてください。

日ごろの備え：会社のITを「一人だけが知っている」状態にしない

IPAの2024年度の調査（中小企業4,191件の回答）では、情報セキュリティ対策をルール化して従業員に明示している企業は「実施している」と「一部実施している」を合わせて39.2％、セキュリティ事故に備えて緊急時の体制整備や対応手順を準備している企業は39.8％でした^[6]。同じ調査では、専門の部署や担当者がある企業、または兼務でも担当者が任命されている企業は、そうでない企業に比べて、取引先からセキュリティ対策の要請を受けた割合が約5〜6倍、要請に応じたことが取引につながったと答えた割合が約2倍高いという分析も示されています^[6]。担当者を決めることは、守りだけでなく取引の面でも意味があるといえます。

私たちは、退職の予定がなくても、次の3つを日ごろから行っておくことをおすすめしています（私たちの考えです）。

• 3つの台帳（管理者ID・契約・機器）を、経営者も見られる場所に置く。契約の更新や機器の入れ替えのたびに書き足す。
• 年に一度、IPAの「5分でできる！情報セキュリティ自社診断」^[4]で自社の状態を点検し、その結果を経営者と担当者で見る。第4.0版では、外部から内部ネットワークへの不要な通信の遮断や、ウェブサイトの安全な運用が診断項目に加わりました^[2]。
• 社員の入社・退職のときのアカウントの発行と停止を、担当者以外の人にも一度やってもらう。休暇や病気のときの代わりにもなる。

生成AIのサービスも、引き継ぎの台帳に入れておくべき契約の一つです。誰がどのサービスに登録し、どの情報を入力してよいかという決まりは、「生成AIの社内ルールの作り方」の記事で整理しています。手順書づくりに時間を取れないときは、前任者に作業をしながら説明してもらい、その録音をもとに下書きを作る方法があります（「引き継ぎマニュアルをAIで作る方法」の記事で説明しています）。その場合も、パスワードや管理者の情報は入力しないでください。

IT担当者の引き継ぎのチェック表

まとめ：手順より先に、権限と契約と機器の台帳

IT担当者の引き継ぎで会社が困るのは、「設定の操作が分からない」ことよりも、「管理者としてログインできない」「契約の更新に気づかなかった」「どこに何の機器があるか分からない」ことだと私たちは考えています。だからこそ、手順を細かく書く前に、管理者ID・契約・機器の3つの台帳を作り、名義と管理者を会社のものに戻す順番をおすすめします。

その土台になるのが、IT担当者の仕事の棚卸しです。棚卸し表があれば、後任が決まっていなくても、経営者・社内の兼務・外部に仕事を分けることができます。会社全体の引き継ぎの進め方は「中小企業の業務引継ぎの進め方」の記事で、総務・労務の引き継ぎは「総務・労務の引き継ぎの進め方」の記事で整理しています。

私たちEnbitoは、業務の棚卸しから始める業務改善とAI活用の支援を行っており、縁SCANは社員への聞き取りをもとに業務を見える化するための道具です。セキュリティ製品の選定や個別のシステムの設定は、保守を頼んでいる会社やIPAの相談窓口などに確かめてください。

よくある質問

Q.IT担当者（一人情シス）の引き継ぎは、何から始めればよいですか？

A.IT担当者の仕事を「毎日・毎月・年に1回・人が動いたとき・障害のとき」に分けて書き出し、そのうえで管理者ID・契約・機器の3つの台帳を作ることから始めるのがおすすめです（私たちの考えです）。IPAの中小企業向けガイドラインも、ライセンスや契約の期限を含めたIT資産の把握と、ユーザーIDと管理者IDの発行・変更・削除の手続を定めることを求めています^[1]。

Q.辞めるIT担当者から、管理者のパスワードを聞いておけば十分ですか？

A.十分ではありません。経営者か後任を管理者として新しく登録し、ログインできることを確かめてから前任者の権限を外す順番をおすすめします（私たちの考えです）。IPAのガイドラインは、異動又は退職により不要となった利用者ID及びアクセス権はただちに削除しなければならないとしています^[5]。共有していたパスワードは変更し、多要素認証の端末や回復用の連絡先が前任者個人のものなら会社のものに変えてください。

Q.IT担当者の後任がいない場合は、どうすればよいですか？

A.仕事を「経営者が持つ（管理者権限・契約・支払い）」「社内のほかの人が兼ねる（問い合わせ・アカウントの発行と停止）」「外部に頼む（保守・障害対応・監視）」の3つに分ける方法をおすすめします（私たちの考えです）。IPAの付録のガイドブックも、担当者を兼務でも1人は確保し、内部だけで難しい対策は外部の専門家に相談することを勧めています^[3]。

Q.管理者が一人しかいないことは、なぜ問題なのですか？

A.IPAの内部不正防止ガイドラインは、1人の管理者に権限が集中していると、情報システムの破壊や重要情報の削除などによって事業継続が不可能となる恐れがあるとしています^[5]。一人しかいない場合は、操作の履歴などを管理者以外の者が確認する代替手段を示しています^[5]。本人が急に辞めたり病気になったりしたときに会社が手を出せなくなる点でも、管理者は2人以上にしておくのが安心です（私たちの考えです）。