システムの操作マニュアルを作成・管理する【Pマーク取得の基礎知識】

【2026年10月時点の注記】
本記事は2017年12月の公開時点の情報をもとにしています。JIS Q 15001は2023年に改正され、プライバシーマークでは2024年10月1日から「構築・運用指針【JIS Q 15001:2023準拠】」に基づく申請受付が始まっています。
仕事を覚えたての頃は特に業務内容を示したマニュアルがあると心強く感じるものです。マニュアルとは従業員が行うべきことを明確に理解し、ミスを犯すことなく処理するうえで非常に重要なものです。
プライバシーマーク(Pマーク)(Pマーク)取得会社の中には個人情報を入力したり利用・管理したりするための独自のシステムを活用しているところもあります。たとえば自社でWebシステムを開発してその中で個人情報の処理を行っていたり、あるいは汎用ソフトウェアを利用していたりすることもあります。
コンピュータ上の処理が求められる業務は特にマニュアルなどの操作手順書がないとその業務の担当者が業務を覚えて実行するのは困難ですし、できるとしてもミスが発生しやすいといえます。
そこでプライバシーマーク(Pマーク)取得会社は個人情報を処理する情報システムを活用する場合、原則として操作マニュアルを作成し、管理することが求められます。
この記事のポイント
- 個人情報を処理する情報システムを活用する場合、原則として操作マニュアルを作成し、管理することが求められる
- 操作マニュアルの作成方法は、対象となるシステムや担当者のITスキルなどの状況を考慮して計画し、その計画に沿って作成する
- 作成したマニュアルは担当する従業員に周知し、可能であればマニュアルの意図や目的、内容について説明する
- 操作方法や業務の手順などが変更された場合は、必要に応じて更新し、常に最新の状態にしておく
操作マニュアルを作成する
操作マニュアルといっても、どれほど詳しく手順を記載するかとか、どんな形式のマニュアルにするかというのは一律に決められるものではありません。
対象となるシステムによっては簡単なマニュアルで済むこともありますし、逆に簡単なシステムであっても担当者のITスキルを考慮して具体的なマニュアルが必要だと判断される場合もあるかもしれません。
プライバシーマーク(Pマーク)取得会社は一切の状況を考慮し、操作マニュアルの作成方法を計画し、そして計画に沿ってマニュアルを作成することになります。
操作マニュアルを周知する
操作マニュアルを作成しても、その存在を担当する従業員に知らせなければ作った意味がありません。また「これを確認して作業してください」と言ってただマニュアルを渡しても、その内容に理解できない点があればやはり活用されません。
最も適切なのはマニュアルを作成したことを周知し、可能であれば時間を割いてそのマニュアルの意図や目的、そして内容について説明するというやり方です。こうすれば従業員もそのマニュアルに沿って処理をすることを正しく認識することができます。
操作マニュアルを更新する
一度運用を開始したシステムでも途中で操作方法や業務の手順などが変更されることがあります。ありがちなのは、システム自体は変更になったのにマニュアルのほうが変更されておらず、結果的に内容があてにならないため次第にマニュアルが活用されなくなってしまうというパターンです。
プライバシーマーク(Pマーク)で作成する種々の手順書が状況の変化に応じて更新されるのと同様、個人情報を処理する情報システムの操作マニュアルも必要に応じて更新し、常に最新の状態にしておく必要があるのです。
まとめ
この記事のまとめ
- マニュアルは作成するだけでなく、関係者に周知し、変更があるたびに更新する必要がある
- 業務で使っているシステムの操作マニュアルが、ただしく活用されているかを振り返る
皆さんがもし業務で何かのシステムの操作マニュアルを使っている場合、そのマニュアルはただしく活用されているでしょうか。マニュアルは作成するだけでなく、関係者に周知し、変更があるたびに更新する必要があります。
・こちらの記事もおすすめです
→【Pマークって日本だけ?】
株式会社UPFについて(2026年10月1日時点)
株式会社UPFは、プライバシーマーク(Pマーク)・ISMS(ISO/IEC 27001)・AIMS(ISO/IEC 42001)・TISAXなどの認証の取得・運用支援と、セキュリティ監査、AI利用ガイドラインの策定支援を行う情報セキュリティの専門会社です。
- 創業:2005年5月(認証取得支援は2009年から)
- 支援実績:累計5,695社(うちプライバシーマーク4,261社、ISMS 1,199社)
- 継続率:95%(2020〜2026年平均。初めてUPFを利用したお客様が、次回の更新もUPFに依頼した割合)
- 体制:プライバシーマーク審査機関(JIPDEC)の現役審査員が在籍(自らがコンサルティングを担当する企業の審査は行いません)。年間2,000件を超える審査関連の情報が社内に集まります
- 自社でも取得:プライバシーマーク、ISMS(ISO/IEC 27001)、ISO/IEC 27701
- 拠点:東京(本社)・名古屋・福岡。全国の企業に対応
- 数字の定義と根拠:UPFの支援実績・継続率などの数字の定義と根拠
この記事を書いた人
株式会社UPF
同じテーマの記事はこちら
「預かる側」が問われている——委託先経由の漏えいが相次ぐなか、受託企業がいま整えておきたい5つのこと
日本経済新聞が随時更新している個人情報漏えいの公表企業一覧(2026年10月20日更新時点の78本)を見出しで確認すると、委託先・外部サービスなど、自社の外にある事業者の関与が示されたものが22本ありました。一つの攻撃が多数の公表につながる「連鎖」を踏まえ、取引先から個人データを預かる受託企業がいま整えておきたい5つのことを、個人情報保護委員会の資料をもとに整理します。 […]
「入らせない」——侵入経路の約5割はVPN機器。不正アクセスを防ぐために、いま優先する5つの対策
2026年上半期のランサムウェア被害報告は123件で半期として最多、被害組織の約6割は中小企業、侵入経路の約5割はVPN機器(警察庁)。個人情報保護委員会と警察庁の資料をもとに、不正アクセスを防ぐためにいま優先する5つの対策をまとめた、連載の最終回です。 […]
「退会しても、情報は残っている」——相次ぐ個人情報漏えいに、利用者・経営者・支援会社の3つの立場から私が考えたこと
タイムズカー、スカイチケット、ブックオフ、デジタル庁と、大規模な個人情報漏えいの発表が相次いでいます。退会しても情報が残っていることがある現実を踏まえ、利用者・経営者・Pマーク/ISMSの支援会社という3つの立場から、いまできる備えをUPF代表の仲手川が考えます。 […]
「間違えて渡さない」——件数で最多の漏えい、誤送付・誤交付を「注意」ではなく「仕組み」で減らす
個人情報保護委員会に報告された漏えい等事案の76.9%は紙媒体のみ。件数で見るといまも最多の誤送付・誤交付を、人の注意ではなく「止まる・間違えにくい・広がらない・報告される」の4つの仕組みで減らす方法を、個人情報保護委員会の資料をもとにまとめたコラムです。 […]
持っていない情報は、漏れない——「持たない」を仕組みにする、個人データの棚卸しと保存期間の決め方
持っていない情報は漏れません。個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。個人情報保護委員会の資料をもとに、棚卸しから保存期間の設定、消去までを仕組みにする4つのステップをまとめたコラムです。 […]