IT・情報セキュリティ・システム統合――便利さとリスクをどう見極めるか

M&A後のPMIで、意外に判断が難しいのがITとシステム統合です。

買収側の立場から対象会社を見ると、会計ソフト、販売管理、在庫管理、給与・勤怠、人事、ワークフロー、グループウェア、ファイルサーバー、クラウドストレージ、ネットバンキング、メール、顧客管理、EC、予約管理、工程管理――こうした仕組みの一つひとつが、自社グループのやり方とは違って見えてきます。

そこで頭をよぎるのが、次のような疑問です。

• 「親会社と同じシステムに統一したほうがよいのではないか」
• 「会計ソフトだけでも早く入れ替えたい」
• 「クラウド化すれば、数字も管理も早くなるのではないか」
• 「対象会社の古いサーバーやPCを、このまま使ってよいのか」
• 「そもそも、誰がどのデータにアクセスできるのか分からない」

こうした不安は、単なるIT部門の悩みではありません。

本質にあるのは、買収した会社をどの粒度で見える化し、どの情報を経営判断に使い、どのリスクを許容し、どの業務を現場に残すのか、という経営管理の問題です。

だからこそ、システム統合を便利さだけで決めてはいけません。効率化、情報管理、内部統制、現場負荷、費用、データ品質、業務継続、サイバーリスク。これらを同時に見ておかないと、かえって月次決算が遅れ、現場が止まり、情報漏えいのリスクを高めてしまうことすらあります。

IT統合は「システムを入れ替えること」ではない

PMIにおけるIT統合は、対象会社のシステムを親会社と同じものに入れ替える、という単純な作業ではありません。

本来の目的は、買収後の会社を「経営できる状態」にすることにあります。そのためには、まず次のような問いから始める必要があります。

• どの数字を、いつ、誰が、どの会議体で見るのか
• 月次決算に必要なデータは、どの業務から発生しているのか
• 売上、仕入、在庫、債権、債務、給与、固定資産のデータは信頼できるのか
• 親会社報告に必要な項目は、対象会社のシステムから取れるのか
• データを加工しないと使えない場合、その加工は誰が行い、どう検証するのか
• 退職者や前経営者が持っていたID、パスワード、管理者権限は残っていないか
• システム停止、ランサムウェア、情報漏えい、クラウド障害が起きたとき、事業を継続できるのか

ITは、業務フローと内部統制を支える「道具」です。しかし、道具を入れ替えただけでは、統制は強くなりません。

むしろ、業務を理解しないままシステムを導入すると、現場はExcelで補助簿を作り続け、システムの外で重要情報が流れ、管理がかえって分散してしまうことがあります。

業務フローを理解する目的は、適切な内部統制の整備と全体最適化にあります。典型的な業務フローを知らなければリスクは特定しにくく、逆に、自社には不要な重複チェックを減らす判断も難しくなります。

PMIでITが問題になる典型場面

買収後にIT・システムの問題が表面化する場面は、いくつかの型に分かれます。

1. 月次決算に必要なデータが取れない

対象会社では、業務そのものは回っていても、経営判断に使えるデータが整っていないことがあります。たとえば、こうしたケースです。

• 販売管理システムはあるが、会計システムと連携していない
• 在庫管理は現場のExcelで、経理は月末にまとめて入力している
• 売上は請求ベース、在庫は出荷ベース、会計は入金ベースで管理されている
• 部門別、案件別、取引先別、商品別の粒度が、親会社報告に合わない
• データはあるが、コード体系やマスタが整理されていない
• どのデータをどう加工すれば月次資料になるかを、経理担当者一人だけが知っている

月次決算の精度とスピードは、経理だけで決まるものではありません。売掛金、棚卸資産、買掛金、給与、現金預金、借入金といった勘定科目は、それぞれ営業、購買、総務、経理などの業務担当者と結びついており、部門間の協力とデータ連携が欠かせないからです。

ですから、IT統合を考えるときに、会計ソフトだけを見ていては不十分です。売上がどこで発生し、在庫がどこで動き、請求・入金・支払・給与・固定資産がどのシステムやExcelに記録され、どのタイミングで会計に反映されるのか。そこまで確認しておく必要があります。

2. ID・権限・パスワード管理が曖昧

M&A後に、もっとも早く確認すべきものの一つが、IDとアクセス権限です。現場では、次のような状態がしばしば見られます。

• 退職者のIDが残っている
• 前経営者や外部ベンダーが、管理者権限を持ったままになっている
• 共用IDでログインしており、誰が処理したか分からない
• ネットバンキング、会計ソフト、給与ソフト、クラウドストレージの管理者が不明
• パスワードが紙やExcelで共有されている
• 人事異動や退職の際に、権限を削除するルールがない

システムIDの管理が不十分だと、不正アクセスによる情報漏えいだけでなく、不正行為を行った者を特定できず、隠蔽が容易になる可能性もあります。IDの追加・変更・削除は申請と承認を通じて管理し、各部門で年1回以上はIDの棚卸しを行うことが望まれます。

ID管理は、情報セキュリティだけの話ではなく、会計統制にも直結します。売上計上、支払先登録、単価変更、在庫調整、給与マスタ変更、固定資産登録といった処理を誰が実施したか追跡できなければ、数字の信頼性そのものを担保できません。

3. 古いシステム・サポート切れソフトを使い続けている

中小企業の買収では、古いOS、更新されていない会計ソフト、保守契約のないサーバー、個人所有のPC、期限切れのウイルス対策ソフト、ライセンスの不明なソフトウェアが残っていることがあります。

有償ソフトウェアの不正利用やライセンスの使い回し、サポート期間が終了したOS・ソフトウェアの継続利用は、PMIで必ず確認すべきITリスクです。サポート終了後のソフトウェアは、不具合や脆弱性が見つかっても修正プログラムが提供されず、外部から攻撃を受ける危険性が高まります。

これは、単なるIT資産管理の問題にとどまりません。サーバーが止まれば受発注が止まり、会計データが消えれば月次決算が止まり、ランサムウェアに感染すれば取引先や金融機関への説明が必要になります。

IPAは、中小企業向けに情報セキュリティ対策の考え方や段階的な方策を示す「中小企業の情報セキュリティ対策ガイドライン」を公表しています。2026年3月27日に第4.0版が公開され、2026年6月1日には文言の一部修正が行われました。第4.0版では、バックアップの追加、クラウドサービスの安全な利用、セキュリティインシデントへの対応なども、関連資料として示されています。

出典：IPA（情報処理推進機構）｜中小企業の情報セキュリティ対策ガイドライン

4. クラウドサービスやSaaSが現場判断で使われている

近年は、会計、勤怠、給与、請求、ワークフロー、チャット、ファイル共有、CRM、電子契約など、多くの業務がクラウド化しています。

クラウドは確かに便利です。ただし、PMIでは次の点を一つずつ確認しなければなりません。

• 誰が契約者か
• 管理者権限は誰が持っているか
• データはどこに保存されているか
• 退職者のアカウントは削除されているか
• 個人アカウントや無料プランで業務データを扱っていないか
• 二要素認証やログ管理は有効か
• データのバックアップやエクスポートはできるか
• サービス終了時にデータを取り出せるか
• 個人情報や営業秘密を扱う場合、契約・委託先管理・安全管理措置は足りているか

クラウド型のワークフローシステムを使う場合でも、承認者・承認日付のログ、ログや業務データの改ざん防止、承認者IDの共有防止、バックアップ・リカバリ体制、データの網羅的な保存、承認対象取引の抽出可能性などを確認する必要があります。クラウドに保管するデータの管理が適切か、IT全般統制の評価に耐えうるか、という観点も大切です。

クラウド化は、紙やExcelを減らし、承認を早め、データ連携を容易にします。一方で、管理者が不明のクラウド、退職者IDが残るクラウド、バックアップできないクラウド、契約条件を確認していないクラウドは、いずれもPMI後の経営リスクになります。

システム統合の4つの選択肢

買収後のシステム方針は、「統合する／しない」の二択ですぐに決めるべきものではありません。実務上は、少なくとも次の4段階で考えます。

1. 当面は対象会社のシステムを残す

対象会社の業務が安定しており、親会社が必要とする月次報告や資金繰り情報も取得できるのであれば、当面はシステムを残すという判断もあり得ます。

とりわけ、業種固有の販売管理、生産管理、在庫管理、予約管理、あるいは医療・介護・建設・製造などの専門システムは、無理に入れ替えると現場が混乱します。

ただし、残す場合でも、最低限の統制は欠かせません。

• システム責任者を明確にする
• 管理者権限を棚卸しする
• バックアップを確認する
• 保守契約とサポート期限を確認する
• 月次決算に必要なデータ抽出方法を文書化する
• 親会社報告に必要な加工ロジックを残す
• セキュリティアップデートの責任者を決める

「システムを残す」ことと「放置する」ことは違います。残すのであれば、残す理由、残す期間、残す条件を、きちんと決めておく必要があります。

2. データ連携・レポーティングだけを整える

次に、基幹システムは入れ替えず、親会社報告に必要なデータ連携や管理資料だけを整える、という方法があります。

たとえば、対象会社の販売・在庫・会計システムは維持したまま、月次で次のようなデータを取得していきます。

• 試算表
• 売上明細
• 粗利・案件別採算
• 売掛金年齢表
• 在庫一覧と滞留在庫
• 買掛金・未払金一覧
• 資金繰り表
• 借入・返済予定
• 人員数・人件費・残業時間
• 主要KPI

この方法は、現場負荷を抑えながら、買収側の経営管理に必要な情報を早く整えるうえで有効です。

ただし、データ抽出が手作業に依存すると、担当者が替わった瞬間に止まってしまいます。抽出手順、加工方法、チェック方法、保存場所、報告期限を、あらかじめ標準化しておく必要があります。

3. 一部の共通システムだけ導入する

全社的な基幹システム統合まではせず、会計、ワークフロー、勤怠、経費精算、電子契約、チャット、ファイル共有など、一部の共通システムだけを導入する方法もあります。

この場合、導入する対象は「経営管理に効く領域」から選ぶのが基本です。

• 月次決算が遅いなら、会計・請求・経費精算
• 承認が曖昧なら、ワークフロー
• 労務リスクがあるなら、勤怠・給与
• 契約管理が弱いなら、電子契約・契約台帳
• 案件別採算が見えないなら、原価管理・案件管理
• 情報共有が弱いなら、グループウェアやファイル管理

ここで気をつけたいのは、システムを現場の既存業務に無理に合わせすぎないことです。対象会社の属人的な例外処理をそのままシステム化すると、非効率な業務をかえって固定化してしまいます。

4. 基幹システムを全面統合する

最後に、親会社またはグループ標準のERP、販売管理、在庫管理、人事給与、会計システムへ全面的に統合する方法があります。これは、次のような場合に検討されます。

• 対象会社をグループ経営に深く組み込む
• 複数社をロールアップし、同一の管理基盤に載せる
• 連結、監査、開示、J-SOX対応の水準を求める
• 対象会社の既存システムが老朽化し、更新が避けられない
• シナジー実装のため、受発注、在庫、顧客、商品マスタを統一する必要がある
• 対象会社単独では、IT保守・セキュリティ対応が難しい

ただし、全面統合は効果が大きい一方で、リスクもまた大きくなります。

• 導入コストが大きい
• 現場教育に時間がかかる
• マスタ整備が重い
• 過去データの移行に手間がかかる
• 一時的に業務が遅くなる
• 対象会社の強みである独自運用を失う可能性がある
• システム稼働の遅延が、月次決算や請求に影響する
• 現場がExcelや旧システムを、裏で使い続ける可能性がある

全面統合は、PMIの初期段階で無理に実行するよりも、Day1でリスクを抑え、100日程度で管理要件を整理し、その後に段階的に進めるほうが、実務的な場合があります。

「システム導入だけで内部統制が強くなる」は誤解

システムを入れれば内部統制が強くなる――この考え方は危険です。

確かに、システムには統制を強める力があります。

• 承認ログが残る
• 入力必須項目を設定できる
• 権限ごとに操作を制限できる
• マスタ変更履歴を残せる
• 請求・入金・会計を連携できる
• 在庫差異や異常値を抽出できる
• バックアップを自動化できる

しかし、次のような状態では、システムは統制として機能しません。

• 共用IDを使っている
• 管理者権限が多すぎる
• 承認者が実態を見ずに承認している
• マスタ変更の承認ルールがない
• システム外のExcelで重要な計算をしている
• データ連携後のチェックがない
• ログを誰も見ていない
• バックアップはあるが、復旧テストをしていない
• 外部ベンダー任せで、自社側に理解者がいない

ITを利用した情報システムでは、いったん適切な業務処理統制を組み込めば、継続して機能するという性質があります。ただし、その有効性は、土台となるIT全般統制の有効性に大きく左右されます。IT全般統制には、認証、特権ID管理、本番プログラム・データへのアクセス制限、ID申請承認、異動・退職時を含むアクセス権限の定期確認、監視、外部委託先管理などが含まれます。

つまり、システム統合は、内部統制の設計とセットでなければ意味がありません。「誰が入力するか」「誰が承認するか」「誰が変更できるか」「誰が照合するか」「どのログを確認するか」。ここまで決めて、はじめて統制になります。

情報セキュリティは「IT部門だけ」の仕事ではない

情報セキュリティは、IT部門だけが守るものではありません。従業員一人ひとりの行動が、そのままリスクになります。

• 不審メールを開く
• 私物PCで業務データを扱う
• クラウドストレージに顧客情報を置く
• パスワードを使い回す
• 退職者のアカウントを削除しない
• 暗号化されていないPCを持ち出す
• USBメモリでデータを移す
• チャットで契約情報や個人情報を送る
• 古いソフトを更新しない

情報セキュリティ規程を作っても、従業員が読んでいなければ機能しません。実務では、全従業員が共通して知っておくべきルールを抜き出し、「なぜそのルールが必要なのか」まで説明する通達・細則・ハンドブックに落とし込むことが有効です。

PMIでは、買収側が高度なセキュリティ規程をそのまま押し付けるよりも、対象会社の現場で実際に起きやすい行動を前提に、守るべき最低限のルールを先に定めるほうが効果的です。たとえば、Day1から次のルールを明確にしておきます。

• 不審メール・不審なPCの挙動は、直ちに報告する
• 会社データを、個人クラウドや私物端末に保存しない
• 退職者・異動者のIDを、速やかに停止する
• 管理者権限を限定する
• 重要データはバックアップを取る
• PCやスマートフォンを持ち出す場合の承認を決める
• ネットバンキング、会計、給与、販売管理の権限を棚卸しする
• 個人情報・営業秘密を送付する場合の方法を決める
• インシデント発生時の連絡先を決める

ここで問われるのは、「ルールを作ったか」ではありません。「現場が迷わず行動できるか」です。

個人情報・営業秘密・顧客データの扱いは早期に確認する

対象会社が持っているデータには、買収後の企業価値そのものが含まれています。

• 顧客名簿
• 見積履歴
• 購買履歴
• 契約条件
• 技術情報
• 図面
• レシピ
• 製造条件
• 原価情報
• 従業員情報
• 給与情報
• 健康情報
• マイナンバー関連情報
• 取引先担当者情報

これらは、売上シナジーやコストシナジーの源泉になる一方で、ひとたび漏えいすれば、信用毀損、損害賠償、行政対応、取引停止につながりかねません。

個人情報保護委員会は、個人データの漏えい等報告について、速報は発覚日から3〜5日以内、確報は発覚日から30日以内、不正目的のおそれがある場合は60日以内と案内しています。個人データを扱うシステム統合やクラウド利用では、漏えい時の報告要否、本人への通知、初動対応を、あらかじめ整理しておく必要があります。

出典：個人情報保護委員会｜漏えい等の対応とお役立ち資料

また、内閣官房国家サイバー統括室は、サイバーセキュリティ関係法令Q&Aハンドブックにおいて、平時のサイバーセキュリティ対策、インシデント発生時の対応、クラウド、テレワーク、データ消去、ランサムウェア、デジタル・フォレンジック、不正アクセス、個人データ、安全管理措置などの論点を整理しています。

出典：内閣官房国家サイバー統括室｜サイバーセキュリティ関係法令Q&Aハンドブック

PMIでは、個人情報や営業秘密の有無を「ある／ない」で終わらせてはいけません。どこに保存され、誰がアクセスでき、どのシステムに連携され、退職時にどう回収され、外部委託先がどう管理しているのか。そこまで確認すべきです。

データ移行で失敗しないための実務ポイント

システム統合で、もっとも見落とされやすいのがデータ移行です。

システムを切り替えるだけなら、ベンダーに任せればよいように見えます。しかし、PMIにおけるデータ移行は、経営管理の前提そのものを移し替える作業です。確認すべき論点は、多岐にわたります。

• 得意先コード、仕入先コード、商品コード、部門コード、案件コードは統一するのか
• 同一取引先が、複数名義で登録されていないか
• 取引停止先、反社チェック済み先、与信限度額は、どう移すのか
• 過去の売上・原価・在庫・債権債務データは、何年分移すのか
• 移さないデータは、どこで閲覧可能にするのか
• 売掛金・買掛金・在庫・固定資産の移行残高は、会計残高と一致するのか
• 移行後に、旧システムと新システムで二重処理が起きないか
• 移行前後の締め日、請求日、支払日、棚卸日をどう設計するか
• 移行作業中にバックアップを取るか
• 移行に失敗した場合、旧システムへ戻せるか
• 移行データに個人情報や営業秘密が含まれる場合、移行業者との契約やアクセス管理は十分か

データ移行は、IT部門だけで判断できるものではありません。経理、営業、購買、在庫、総務、人事、現場責任者が、それぞれ移行対象データの意味を確認する必要があります。

特に重要なのが、会計残高との突合です。売掛金、買掛金、在庫、固定資産、前払金、未払金、仮払金などは、移行後の月次決算に直結します。ここがずれると、システム移行後に「数字が合わない」という問題が発生し、PMIそのものへの信頼を損なってしまいます。

クロージング前のIT統合作業には注意が必要

サイニングからクロージングまでの期間に、IT統合の準備を進めておきたい、という場面があります。

システムの互換性、データ項目、運用体制、ベンダー契約、セキュリティ状況などを確認しておくことは、Day1以降の混乱を防ぐうえで確かに重要です。

ただし、クロージング前は、まだ買収が完了していません。競争会社同士の案件や、独占禁止法上の届出が関係する案件では、情報交換や統合作業が過度に進むと、問題になり得ます。

クロージング後すぐに統合効果を出すため、買主が事前に提携・統合準備を進める場合でも、顧客情報や価格・原価情報など、通常の独立した競争者であれば行わないような営業情報の交換には注意が必要です。一方、企業統合に向けたシステム統合作業として、互換性や機能の重複関係を確認するためにITチームがミーティングを行うといったことは、買収実行に必要な範囲で許容される場合があります。

したがって、クロージング前のIT確認は、目的、参加者、共有する情報、資料管理、守秘、競争上重要な情報の遮断を設計したうえで行うべきです。法務論点が絡む場合は、弁護士等と連携しながら、PMI準備と法令遵守の線引きを明確にしておく必要があります。

Day1で確認すべきIT・情報セキュリティ項目

買収初日に、システム統合を完了させる必要はありません。しかし、Day1で最低限確認しておかなければならない項目はあります。

まず、事業継続に関わるシステムを洗い出します。

• 会計
• 販売管理
• 購買管理
• 在庫管理
• 給与・勤怠
• ネットバンキング
• メール
• ファイルサーバー
• クラウドストレージ
• 顧客管理
• 予約・EC・受注システム
• 生産・工程管理
• 電子契約
• グループウェア

そのうえで、それぞれについて次の点を確認します。

• 管理者は誰か
• ベンダーは誰か
• 契約者は誰か
• 保守契約はあるか
• サポート期限はいつか
• バックアップはあるか
• 復旧手順はあるか
• 管理者IDと一般IDは分かれているか
• 退職者・前経営者・外部者のIDは残っていないか
• パスワードは共有されていないか
• 多要素認証は設定されているか
• データの保存場所は社内かクラウドか
• 個人情報や営業秘密は含まれているか
• 障害時の連絡先は分かるか

Day1では、「便利にする」よりも、「止めない・漏らさない・消さない・勝手に変えない」を優先します。とりわけ、ネットバンキング、給与、人事、会計、顧客データ、管理者権限は、早期に棚卸しすべきです。

ここを曖昧にしたままシナジーや業務効率化を語っても、経営管理の土台は不安定なままです。

100日以内に整えるべきIT管理方針

Day1の緊急確認が終わったら、100日程度を目安に、IT管理方針を整えていきます。

中小企業では、ITシステムの調達、運用保守、情報セキュリティの責任者が不在であることが多く、全社最適の観点からシステム投資を判断するのが難しい場合があります。そのため、ITシステムの管理責任者を明確にし、会社と従業員が適切かつ安全にITシステムを導入・活用するための基準やルールを「IT管理方針」として定め、周知することが望まれます。

100日以内に整えるべき主な項目は、次のとおりです。

1. システム台帳・IT資産台帳

どのシステムを、誰が、何のために使っているのかを一覧化します。

• システム名
• 業務目的
• 利用部門
• 利用人数
• 管理者
• ベンダー
• 契約形態
• 月額・年額費用
• データ内容
• 個人情報・営業秘密の有無
• 連携先
• バックアップ方法
• サポート期限
• 更新予定
• 代替手段

この台帳がない会社では、そもそもシステム統合の優先順位を決められません。

2. 権限管理ルール

IDの追加・変更・削除、管理者権限、退職者対応、定期棚卸しのルールを決めます。特に、会計・販売・在庫・給与・ネットバンキング・クラウドストレージは、職務権限と連動させるべきです。

権限管理の目的は、単にアクセスを制限することではありません。誰が何を判断し、誰が何を入力し、誰が何を承認し、誰が何を確認するのかを明確にすることにあります。

3. バックアップ・復旧方針

バックアップは、取っているだけでは足りません。実際に復旧できるかどうかまで確認する必要があります。

• 対象データ
• 頻度
• 保存場所
• 世代管理
• オフラインまたは分離保管の有無
• 復旧手順
• 復旧時間の目標
• 復旧テスト
• ランサムウェア時の対応
• ベンダーへの連絡先

IPAの中小企業向けガイドライン第4.0版でも、はじめに取り組む情報セキュリティ対策に、バックアップが追加されています。PMIにおいても、バックアップは「できればやる」ものではなく、事業継続と月次決算を守るための最低限の管理項目です。

出典：IPA（情報処理推進機構）｜中小企業の情報セキュリティ対策ガイドライン

4. クラウド・SaaS利用ルール

クラウド利用は、現場任せにしないことが何より重要です。

• 新規契約の承認
• 無料サービス利用の可否
• 個人アカウント利用の禁止
• 保存してよいデータの範囲
• 管理者権限
• 多要素認証
• ログ確認
• データエクスポート
• 退職者アカウントの削除
• 契約終了時のデータ返却・削除
• 外部委託先管理
• 個人情報・営業秘密の取扱い

クラウドは、うまく使えばPMIを早めてくれます。しかし、ルールがなければ、重要な情報が会社の管理外へ散らばっていきます。

5. インシデント対応ルート

不審メール、ウイルス感染、情報漏えい、誤送信、端末紛失、ランサムウェア、システム停止などが起きたとき、誰に報告するのかを決めておきます。

大切なのは、従業員が「少しおかしい」と感じた段階で報告できることです。パソコンの不審な挙動をIT部門へ早期に連絡しなければ、ウイルス感染がネットワーク上の他のPCやサーバーに広がり、損害が大きくなるリスクがあります。

中小企業が自力で監視・初動対応の体制を持つことが難しい場合は、IPAが普及を進める「サイバーセキュリティお助け隊サービス」のように、中小企業向けにサイバー攻撃への対処に必要なサービスをワンパッケージで提供する制度も、確認の対象になります。

出典：IPA（情報処理推進機構）｜サイバーセキュリティお助け隊サービス制度

IT投資は「費用対効果」だけでなく「リスク低減効果」で見る

システム統合やクラウド導入は、費用が見えやすい一方で、効果は見えにくい投資です。

費用の側は、見積書に並びます。

• 初期導入費
• 月額利用料
• ライセンス費
• ベンダー費用
• データ移行費
• 教育費
• 運用保守費
• 外部専門家費用
• 一時的な業務低下
• 現場の残業
• 旧システム解約費
• 並行稼働費

一方で、効果のほうは、単純な削減額だけではありません。

• 月次決算が早くなる
• 予実管理ができる
• 資金繰り予測が改善する
• 売掛金の回収が早くなる
• 在庫差異が見える
• 不正・誤謬を防げる
• 権限管理が明確になる
• 監査・金融機関への説明に耐えやすくなる
• 従業員の属人業務が減る
• システム障害時の復旧力が上がる
• 情報漏えいリスクが下がる

したがって、IT投資の判断では、「何円削減できるか」だけでなく、「どの経営判断が早くなるか」「どのリスクを下げるか」「誰の属人性を減らすか」「どの説明責任を果たしやすくするか」まで見ておく必要があります。

経済産業省のサイバーセキュリティ経営ガイドラインでは、経営者が認識すべき事項や、CISO等に指示すべき事項が整理されています。サプライチェーン全体への目配り、クラウド等の最新技術と留意点、復旧計画・体制、被害報告・公表への備えなども、改訂のポイントとして示されています。

出典：経済産業省｜サイバーセキュリティ経営ガイドラインを改訂しました

PMIでは、IT投資を「便利な道具の導入」ではなく、買収後の経営基盤への投資として評価することが必要です。

経理・財務とITを分断しない

システム統合をIT部門だけに任せると、経営管理に使えないシステムになってしまうことがあります。逆に、経理・財務だけで決めると、現場業務やセキュリティを見落とします。

PMIでは、経理・財務、IT、現場、経営企画、人事、法務、そして外部専門家が連携する必要があります。

会計財務業務とIT部門の連携は、システム設計に欠かせません。会計財務部門の中にIT担当グループを置き、長期的・継続的にITシステムの改良を検討・実施していく、という実務もあります。

経理は、単なる計算部門ではありません。買収後の数字を、経営判断に使える形へ整える部門です。その数字がどのシステムから生まれ、どの業務フローで承認され、どのデータ連携で会計に入るのか。そこを理解しなければ、PMI後の経営管理は安定しません。

システム統合を急ぐべき場合、急がないほうがよい場合

IT統合には、急ぐべきものと、急がないほうがよいものがあります。

急ぐべきものは、リスクの高い領域です。

• 退職者IDの削除
• 管理者権限の棚卸し
• ネットバンキング権限の見直し
• サポート切れOS・ソフトの確認
• バックアップの確認
• 不審メールへの対応
• 情報漏えい時の報告ルート
• 個人情報・営業秘密の保存場所の確認
• ライセンス違反の確認
• 重要システムの保守契約の確認

一方、急がないほうがよいものもあります。

• 現場固有の基幹システムの全面入替
• 販売・在庫・生産システムの一斉統合
• 長年使ってきた業種特化システムの置換
• 対象会社の現場フローを十分に理解しないままのERP導入
• 親会社書式への全面統一
• 過去データの完全移行

これらは、十分な業務理解、マスタ整理、データ検証、教育、並行稼働、カットオーバー計画があってはじめて成り立ちます。買収直後の不安定な時期に無理に進めると、事業継続や従業員の信頼に悪影響を与えてしまいます。

PMIで重要なのは、早く統合することではありません。経営上必要な情報と統制を早期に確保し、対象会社の強みを壊さず、段階的に仕組みへ移していくことです。

専門家に相談すべき局面

IT・情報セキュリティ・システム統合には、自社だけで進められる部分もあります。しかし、次のような場合は、外部専門家を交えて整理したほうがよいことがあります。

• 対象会社のシステム全体像が分からない
• 会計・販売・在庫・給与データの流れを説明できない
• 月次決算に必要なデータが、どこから来るのか不明
• 管理者権限や退職者IDが棚卸しされていない
• クラウドサービスやSaaSが、現場任せで使われている
• 個人情報や営業秘密の保存場所が分からない
• 古いサーバーやサポート切れソフトが残っている
• システム統合をしたいが、現場負荷やコストが読めない
• データ移行後に、残高やマスタが合うか不安がある
• 親会社報告、連結、監査、J-SOX対応の水準に引き上げる必要がある
• サイバーインシデントや情報漏えい時の初動体制がない
• クロージング前の情報共有やシステム統合準備に、法務上の懸念がある

外部専門家の価値は、システムを選ぶことだけにあるのではありません。現状の業務フロー、データ、権限、内部統制、セキュリティ、月次決算、資金繰り、親会社報告をつなげて、どの順番で整えるべきかを整理すること。ここにこそ、その本領があります。

ITは、PMIを早める力を持っています。しかし、IT自体を目的にしてしまうと、現場を疲弊させ、数字を不安定にし、情報管理をかえって弱くしてしまいます。

買収後の会社を、勘や属人性ではなく、数字・事実・仕組みで経営できる状態へ近づけていく。そのために、IT・情報セキュリティ・システム統合を、経営管理PMIの一部として設計することが大切です。

犬飼公認会計士・税理士事務所では、M&A後のPMIにおける月次決算、管理資料、業務フロー、内部統制、ITシステム方針、情報セキュリティ、権限設計、会計・税務論点の整理について、経営判断に使える形で支援しています。買収後のシステムを統合すべきか、どこまでクラウド化すべきか、まず何を確認すべきか――こうした点を整理したい場合は、犬飼公認会計士・税理士事務所HPのお問い合わせページからご相談ください。

この記事の振り返り

論点	確認すべきポイント
IT統合の目的	システムを入れ替えることではなく、買収後の会社を数字・事実・仕組みで経営できる状態にすること
初期判断	すぐ全面統合するのではなく、残す・連携する・一部導入する・全面統合する選択肢を比較する
月次決算との関係	会計データだけでなく、販売、購買、在庫、給与、固定資産などの業務データの流れを確認する
ID・権限管理	管理者権限、退職者ID、共用ID、ネットバンキング権限、クラウド権限を早期に棚卸しする
古いシステム	サポート切れOS・ソフト、保守契約のないサーバー、ライセンス不明ソフトを確認する
クラウド利用	契約者、管理者、保存データ、ログ、バックアップ、データ取出し、個人情報管理を確認する
内部統制	システム導入だけでは統制は強くならず、承認、権限、ログ、照合、バックアップを設計する
情報セキュリティ	規程だけでなく、従業員が守るべきルールと「なぜ必要か」を分かる形にする
個人情報・営業秘密	保存場所、アクセス権限、外部委託先、漏えい時の報告・本人通知を確認する
データ移行	マスタ、過去データ、会計残高、移行手順、バックアップ、復旧手順を事前に検証する
クロージング前準備	システム互換性確認などは有効だが、競争上重要な情報交換やガンジャンピングに注意する
Day1対応	事業継続、権限、バックアップ、重要システム、連絡先を優先確認する
100日対応	システム台帳、IT資産台帳、権限管理、クラウド利用ルール、インシデント対応を整える
IT投資判断	費用削減だけでなく、月次早期化、リスク低減、説明可能性、属人化解消で評価する
相談の目安	システム全体像、権限、データ連携、セキュリティ、月次決算への影響が整理できない場合