IT資産台帳の実務ガイド｜抜け漏れを防ぐチェックリストと記録項目を整える

# IT資産台帳の記録項目とチェックリスト｜入力漏れを防ぎ監査で再現できる形にする

IT資産台帳には行が並んでいるのに、いざ退職者の端末を回収しようとすると利用者が古い。売却しようとするとシリアル番号がない。監査でデータ消去を説明しようとすると証明書と端末が結び付かない。この状態は、担当者の注意力だけでは解消できません。必要な項目をライフサイクルごとに定義し、入力時点、形式、正本、確認方法、完了条件まで揃える必要があります。

本記事では、総務・情報システム・購買・人事・経理・内部統制の担当者向けに、IT資産台帳のデータ辞書と実務チェックリストを設計します。購入、受入、設定、貸与、利用、回収、消去、売却・返却・廃棄の各段階で何を記録するか、空欄や「不明」をどう扱うか、棚卸しで何を証拠にするかを具体化します。Excelでも専用システムでも使える考え方です。

チェックリストの前にデータ辞書を作る

項目名だけを決めても、担当者によって意味が変わります。「所有者」が会社なのか利用者なのか、「状態」が外観なのか利用状況なのか、「処分日」が搬出日なのか証明書受領日なのかを統一しなければ、同じ列に異なる情報が入ります。

データ辞書には、項目ごとに次を定義します。

•項目名と業務上の意味
•データ形式と最大文字数
•選択肢またはコード体系
•入力が必須になる状態
•値を確定する担当者
•正本となるシステム・書類・現物
•更新が必要になるイベント
•入力検証と重複条件
•閲覧・更新できる権限
•保存期間と削除条件
•不明・例外を許す条件
•変更履歴の要否

例えば「利用者ID」は、人事システムの従業員IDを正本とし、貸与中では必須、共有端末では空欄を許可して代わりに業務責任者を必須にする、と定義します。「利用者名」の自由入力を主な識別子にすると、同姓同名、改姓、表記揺れ、退職後の再利用で誤りが起きます。

共通項目は資産を一意に追跡できる粒度にする

すべてのIT資産に共通する項目は、個体、所有、所在、状態、責任を説明するために使います。機器の種類によって値が存在しない場合は、空欄と「未確認」を区別します。

識別・分類

•社内資産ID：発番後に変更・再利用しない一意なID
•資産種別：PC、スマートフォン、タブレット、サーバー、媒体など
•メーカー、製品名、型番、構成
•シリアル番号、IMEI、MACアドレスなど該当する識別子
•資産ラベルのコードと貼付状態
•会社独自の標準モデル・世代・用途分類
•親資産ID：セット品、構成品、代替機との関係

所有・契約

•所有区分：購入、リース、レンタル、借用、個人所有
•法的所有者または貸主
•購入・契約日、契約開始日、満了日、返却期限
•購買番号、注文番号、請求書番号、契約番号
•取得価額、通貨、費用部門、会計資産番号
•保証期限、保守契約、通信契約

所在・責任

•現在のライフサイクル状態
•物理的な保管・利用場所
•利用者ID、所属部門、業務責任者
•現物保管者と台帳更新担当
•貸与日、返却予定日、最終確認日
•社外持出し、海外利用、共有利用などの区分

社内資産IDは必須かつ一意にし、シリアル番号やIMEIは形式を検証します。IMEIを扱う機器だけ15桁を求め、PCへ架空のゼロを入力させない設計が必要です。値が存在しない場合は「対象外」、確認できていない場合は「未確認」として意味を分けます。

購入・契約時のチェックリスト

購入時点では個体番号が未定でも、なぜ必要か、誰が費用を負担し、どの契約条件で取得するかを確定できます。

申請時に確認する

•[ ] 申請者、利用部門、予定利用者が特定されている
•[ ] 新規、増員、故障交換、更新などの理由が選択されている
•[ ] 必要日、利用期間、利用場所が入力されている
•[ ] 扱う情報区分と必要なセキュリティ要件がある
•[ ] 標準機で対応できない理由が説明されている
•[ ] 再利用可能な社内在庫を先に確認している
•[ ] 予算、費用部門、承認者が確定している

発注・契約時に確認する

•[ ] 承認済み品目・数量・金額と注文内容が一致する
•[ ] 購入、リース、レンタル、借用の区分が正しい
•[ ] 仕入先、注文番号、納品先、納期が記録されている
•[ ] 保証・保守・通信の条件が記録されている
•[ ] リース満了日、返却期限、残価・違約条件がある
•[ ] 中古品は品質、ロック、バッテリー、付属品条件がある
•[ ] 分納・取消し・仕様変更を履歴として残せる

申請番号と発注番号を資産予定レコードへ結び、納品後に個体レコードへ引き継ぎます。発注取消しは行を削除せず、取消理由と承認者を残します。

受入・検品時のチェックリスト

受入では、注文内容と現物を照合し、会社が管理責任を引き受ける個体を確定します。納品書の数量だけではなく、個体識別番号の集合まで一致させます。

現物確認

•[ ] 注文番号と納品書が一致する
•[ ] 箱数、端末数、分納残数を数えた
•[ ] メーカー、型番、容量、色、構成が注文どおりである
•[ ] シリアル番号・IMEIを現物から読み取った
•[ ] 既存台帳との重複がない
•[ ] 資産ラベルを貼付し、現物と台帳を再照合した
•[ ] 外観破損、起動、ロック、付属品を基準に沿って確認した
•[ ] 合格、不合格、保留を個体単位で記録した

記録する証拠

•[ ] 納品日、受入担当、確認日時
•[ ] 納品書または受入案件番号
•[ ] 個体識別番号の読取データ
•[ ] 不合格・保留の写真と理由
•[ ] 仕入先への連絡、交換・返品の期限
•[ ] 受入後の保管場所と保管責任者

一括登録ファイルを使う場合は、列数、文字コード、日付形式、重複、必須値を取込前に検証し、成功件数と失敗件数を表示します。一部だけ失敗したとき、全件成功と誤認しないようエラーファイルを保存します。

初期設定・セキュリティのチェックリスト

台帳登録済みでも、セキュリティ設定が未完了なら貸与可能ではありません。設定結果は自己申告ではなく、MDMやEDRの記録、設定ログなど確認可能な証拠と結び付けます。

設定項目

•[ ] 承認済みOS・ファームウェアへ更新した
•[ ] ストレージ暗号化が有効である
•[ ] MDM・EDRへ正しい資産IDで登録した
•[ ] 回復キー・管理者資格情報を適切に保管した
•[ ] 自動ロック、更新、ログ、遠隔消去を設定した
•[ ] 必要な業務アプリと構成を適用した
•[ ] 不要な初期アカウントや試用ソフトを削除した
•[ ] 通信、VPN、証明書、バックアップを確認した

記録項目

•[ ] 設定テンプレートとバージョン
•[ ] 実施者、実施日時、検証者
•[ ] MDM・EDR側の端末ID
•[ ] 設定成功・失敗と失敗理由
•[ ] 例外内容、代替策、承認者、失効日

例外を恒久化させないため、失効日が来たら再確認キューへ入れます。設定結果が不明な端末を「問題なし」と記録せず、未確認状態のまま貸与を停止します。

貸与・利用開始時のチェックリスト

貸与は端末を渡した時ではなく、利用者と個体の関係、受領、返却義務を確認した時に完了します。

引渡し前

•[ ] 貸与申請が承認済みである
•[ ] 利用者IDが人事システムの有効な在籍者と一致する
•[ ] 利用部門と費用部門が確定している
•[ ] 端末が設定完了・貸与可能状態である
•[ ] 端末と付属品の状態を記録した
•[ ] 利用場所、社外持出し、海外利用の条件を確認した

引渡し後

•[ ] 利用者が資産IDと個体を確認した
•[ ] 引渡日、利用開始日、返却予定日を記録した
•[ ] 付属品一覧を確認した
•[ ] 利用規程と事故時の連絡方法を案内した
•[ ] 対面・宅配の受領証拠を保存した
•[ ] 旧端末がある場合、回収案件を同時に作成した

共有端末では利用者IDを架空の「共有」にせず、設置場所、業務責任者、日常点検者を必須にします。宅配は配送完了だけでなく、本人の受領確認を取得します。

利用中の変更・点検チェックリスト

台帳はイベントが起きた時に更新します。月末の一括修正だけに依存すると、異動・休職・修理の途中で所在が失われます。

変更イベント

•[ ] 人事異動で部門・責任者・費用部門を見直した
•[ ] 勤務地変更で利用場所・持出し区分を更新した
•[ ] 修理中の元端末と代替機を別資産として関連付けた
•[ ] メーカー交換で交換前後の個体識別番号を残した
•[ ] OS・MDM・暗号化の不適合に担当者と期限を付けた
•[ ] 長期未接続端末の所在と利用継続を確認した
•[ ] 休職・契約変更で返却または保管方法を決めた
•[ ] 紛失・盗難を事故案件へ連携した

定期点検

•[ ] 利用者が在籍し、所属が最新である
•[ ] MDM・EDRで一定期間内に接続している
•[ ] OSサポート期限と更新状況を確認した
•[ ] 保証・保守・通信契約の期限を確認した
•[ ] 返却予定日や例外失効日を超えていない
•[ ] 利用されない端末を回収候補へ移した

自動連携値と手動確認値を区別し、最終同期日時を記録します。連携が止まった場合、古い値を最新として見せないことが重要です。

異動・退職・回収時のチェックリスト

回収対象は利用者の申告だけでなく、台帳上の割当資産を基に作ります。PC以外のスマートフォン、SIM、認証トークン、ドックなども含めます。

回収依頼

•[ ] 人事イベント、最終勤務日、契約終了日を確認した
•[ ] 対象者へ割り当てられた全資産を抽出した
•[ ] 返却期限、返却先、対面・宅配方法を案内した
•[ ] 在宅勤務者へ梱包材と配送方法を提供した
•[ ] 上長、人事、情報システムの連絡先を設定した
•[ ] 期限超過時のエスカレーション条件がある

現物受領

•[ ] 資産IDとシリアル番号を現物で照合した
•[ ] 利用者、回収者、日時、場所を記録した
•[ ] 外観、起動、バッテリー、安全状態を記録した
•[ ] 付属品、SIM、記録媒体を確認した
•[ ] アクティベーションロックやパスコードを確認した
•[ ] 破損・不足・紛失を通常回収と分けた
•[ ] アカウント、回線、ライセンス停止と連携した

「発送済み」「配送中」「受領済み」を分け、輸送中の管理責任を説明できるようにします。未返却は台帳から外さず、期限超過日数と次の担当を記録します。

データ消去・処分判定時のチェックリスト

回収、消去、処分は別工程です。回収済みだから安全、消去済みだから資産処理も終了、とみなさないようにします。

データ消去

•[ ] 対象資産と消去作業票の個体IDが一致する
•[ ] データ区分・媒体に適した消去方式を選んだ
•[ ] 必要なデータ移行と承認を確認した
•[ ] 消去ツール・方式・実施者・日時を記録した
•[ ] 成功・失敗・再処理を個体単位で記録した
•[ ] 消去証跡を資産IDへ紐付けた
•[ ] 失敗品を成功品から物理的に隔離した
•[ ] MDM・IdP・回線・ライセンスから解除した

処分判定

•[ ] 再利用可能性、社内需要、性能基準を確認した
•[ ] リース・レンタルの返却義務を確認した
•[ ] 売却見込み額と検品・物流・保管費を比較した
•[ ] 故障・膨張など安全上の問題を確認した
•[ ] 再利用、売却、返却、廃棄の理由コードを記録した
•[ ] 判定者とは別の承認者が確認した

個人情報保護委員会の個人情報の保護に関する法律についてのガイドライン（通則編）は、機器・電子媒体の廃棄時に復元できない手段で個人データを削除し、委託時には実施状況を確認することを安全管理措置の例として挙げています。証明書を受け取るだけでなく、対象個体と結果を照合します。

売却・返却・廃棄と終了時のチェックリスト

社外搬出時は、承認対象、梱包対象、引渡し明細、消去証跡の個体ID集合を照合します。台数が同じでも別個体が混ざる可能性があるため、件数だけでは不十分です。

引渡し時

•[ ] 承認済み対象と梱包対象が一致する
•[ ] 箱・パレット・引渡し単位と個体一覧を結び付けた
•[ ] 引渡先、運送会社、日時、受領者を記録した
•[ ] 売却価格または処分費用の明細がある
•[ ] 所有権移転、危険負担、事故時連絡を確認した
•[ ] 受領書、返却確認、廃棄証明を回収した

終了時

•[ ] 全対象資産が最終状態に到達した
•[ ] 消去失敗・証跡不足・所在不明がゼロである
•[ ] 売却代金または処分費を請求・入金と照合した
•[ ] 固定資産除却、リース返却、契約解約を完了した
•[ ] 台帳の所有・所在・状態を終了へ更新した
•[ ] 実行者とは別の確認者が完了を承認した
•[ ] 保存期間と次回監査対象を設定した

未完了項目がある場合、資産状態だけを終了へ進めず、保留理由、担当者、解消期限を残します。

空欄・不明・対象外を明確に区別する

入力漏れを避けるため、全空欄を禁止すると架空の値が入ります。「0000」「なし」「後で」「担当者不明」などが同じ意味で使われれば検証できません。

値の状態を次のように分けます。

•確定：正本または現物で確認した値
•推定：暫定的な値で、根拠と確認期限がある
•未確認：確認作業が未完了で、担当者と期限がある
•不明：調査したが確定できず、調査内容と承認がある
•対象外：その資産種別・状態では値が存在しない
•例外：標準値を満たさず、代替策と失効日がある

「不明」は便利な逃げ道にせず、使用できる項目と承認者を限定します。一意性や所有関係のような重要項目は、不明のまま貸与・売却へ進めない制約を設けます。

入力検証を人の注意力からシステムへ移す

チェックリストは重要ですが、毎回人が目視する項目は可能な範囲で自動検証します。

自動化しやすい検証

•社内資産ID、シリアル番号、IMEIの重複
•日付の前後関係：発注前の納品、回収前の消去など
•貸与中なのに利用者IDがないレコード
•終了済みなのに保管場所や有効契約が残るレコード
•リース満了日・返却期限・保証期限の接近
•人事上退職済みなのに貸与中の端末
•MDMに存在しない貸与中端末、台帳にないMDM端末
•消去証跡なしで売却・返却・廃棄へ進む操作
•売却対象一覧と証明書一覧の個体差分
•一般担当者による重要履歴の削除・上書き

警告だけで進める項目と、処理を停止する項目を分けます。例えば保管場所の補足不足は警告、消去未確認の売却は停止とします。停止を解除できる管理者操作にも理由と履歴を残します。

棚卸しチェックリストと証跡

棚卸しは台帳を見てチェックを付ける作業ではなく、独立した情報源で現物・利用者・システムを照合する作業です。

棚卸し開始前

•[ ] 基準日時点の対象一覧を凍結した
•[ ] 対象範囲、除外、確認方法を承認した
•[ ] 台帳更新担当と現物確認担当を可能な範囲で分けた
•[ ] 拠点・部門・資産種別ごとの予定件数を確定した
•[ ] 長期未接続、退職者、持出し端末を重点対象にした

確認時

•[ ] 資産ラベルだけでなく個体識別番号も確認した
•[ ] 現物、利用者回答、MDMなど二つ以上の根拠を使った
•[ ] 確認者、日時、方法、場所を記録した
•[ ] 代理回答・写真確認・遠隔確認を区別した
•[ ] 未発見を確認済みにせず差異として登録した

差異是正時

•[ ] 登録漏れ、二重登録、所在誤り、状態誤りへ分類した
•[ ] 紛失・盗難の可能性を事故対応へ連携した
•[ ] 修正前後、根拠、実施者、承認者を記録した
•[ ] 原因と再発防止、解消期限を設定した
•[ ] 是正後に別担当者が再確認した

棚卸し証跡には、単なるチェックマークではなく、基準日時、対象母集団、抽出条件、確認方法、差異一覧、是正結果、承認を残します。

サンプル監査は母集団と抽出理由を残す

全件確認が難しい月次監査では、無作為抽出とリスク抽出を組み合わせます。例えば管理資産1,000台から、無作為30台に加え、退職者貸与全件、90日以上未接続全件、消去証跡未確認全件、手動訂正された資産20台を確認します。

結果を「50台確認、問題なし」とせず、母集団の確定日時、抽出方法、対象ID、確認項目、例外、是正を保存します。問題が見つかった場合は、同じ原因がある母集団へ確認範囲を広げます。例えばシリアル番号の転記誤りが一件見つかったなら、同じ一括登録ファイルから登録された全件を再検査します。

IPAの中小企業の情報セキュリティ対策ガイドラインは、資産管理台帳のサンプルを含む実践資料を公開しています。NIST Cybersecurity Framework 2.0のCoreでも、Governの役割・方針とIdentifyの資産管理が整理されています。テンプレートをそのまま使うのではなく、自社のライフサイクル、責任者、完了条件へ対応付けてください。

月次品質レビューのチェックリスト

台帳の件数が合うかだけでなく、重要項目の完全性、正確性、適時性を確認します。

•[ ] 理論残高と有効資産件数が一致する
•[ ] 資産IDと個体識別番号の重複がない
•[ ] 貸与中資産の利用者・部門・所在が有効である
•[ ] 退職・契約終了者の貸与資産が回収工程にある
•[ ] MDMと台帳の未照合資産に担当者が付いている
•[ ] 回収期限・消去期限・処分期限の超過を確認した
•[ ] 消去済み件数と証跡対象件数が一致する
•[ ] 売却・返却・廃棄の対象集合が明細と一致する
•[ ] 重要な手動訂正と例外承認をレビューした
•[ ] 「不明」「未確認」「対象外」の異常増加がない
•[ ] 差異に原因、担当、解消期限、再確認がある
•[ ] 前月の再発防止策が実施され、効果を確認した

完全性率だけを高める目標にすると、仮入力が増えることがあります。空欄率だけでなく、正本との一致率、期限超過、訂正率、例外滞留を組み合わせます。

まとめ：記録項目は次の判断に必要な証拠から逆算する

IT資産台帳の項目は、多ければよいわけではありません。購入、貸与、回収、消去、処分の各判断に必要な情報と証拠から逆算し、データ辞書で意味、形式、正本、必須時点、更新責任を固定します。チェックリストは、作業の抜け漏れを防ぐだけでなく、次工程へ渡してよいかを判定するゲートとして使います。

売却判定に進んだ端末は、台帳のモデル・状態・数量を整えた上で、[中古端末の買取相場を確認する](/kaitori-search)と処理コストを比較すると、判断根拠を記録しやすくなります。まずは現在の台帳から、利用者不明、個体識別番号なし、回収期限超過、消去証跡なしの四つを抽出し、それぞれに担当者と解消期限を付けるところから改善を始めてください。