退職者・異動者の端末回収の実務ガイド｜抜け漏れを防ぐチェックリストと記録項目を整える
退職者・異動者の端末回収の実務ガイド｜抜け漏れを防ぐチェックリストと記録項目を整える
退職や異動の端末回収は、最終出社日にノートPCを受け取れば終わる仕事ではありません。スマートフォン、タブレット、予備機、SIM、認証器、外部媒体、付属品が自宅や拠点へ分散し、業務アカウント、共有権限、端末内データも別に残ります。回収だけを先に進めると必要な業務記録を失い、アカウントだけを止めると現物やデータが未管理になります。
安全なオフボーディングは、人事イベントを一つのcase_idへ結び、端末、アカウント、データ、物流、返却差を別の状態で管理することです。退職と異動、雇用者と委託者、通常と緊急では手順が違います。本稿では、人事、上長、情報システム、総務、法務・監査が使える時系列チェックリストと記録項目を整理します。
手順1：人事イベントを正本から開始する
口頭連絡や本人のメールだけで処理を始めず、人事または契約管理の正式イベントを起点にします。
- offboarding_case_id
- 対象者・所属組織・雇用区分
- 退職・異動・休職・契約終了の種類
- 最終業務日時・最終出社日・契約終了日
- 通知解禁日時・機密区分
- 上長・人事・IT・総務・法務の担当
- 通常・緊急・保全対象の区分
最終業務日時と退職日が違う場合、アクセス停止と給与・人事手続の日付を分けます。本人へ通知する前にアカウントを止める必要がある緊急ケースは、権限者と理由を記録します。
手順2：対象者に紐づく資産を横断検索する
資産台帳だけでなく、MDM、通信契約、ID管理、貸出、修理、在宅勤務、拠点台帳を照合します。
対象資産の例は次です。
- ノートPC・デスクトップ・VDI端末
- スマートフォン・タブレット・予備機
- SIM・eSIM・モバイルルーター
- USB・SSD・メモリーカード
- セキュリティキー・ICカード・入館証
- 充電器・ドック・ディスプレイ等
- 紙資料・鍵・印章
- 個人所有端末上の業務領域
asset_id、serial・IMEI、契約番号、電話番号、利用者、現在地、返却状態を一覧にします。合計台数だけでなく一台ごとに確認します。
手順3：アカウントと権限を棚卸しする
ディレクトリの主アカウントだけでなく、SaaS、クラウド、VPN、共有メール、開発、決済、管理者、API鍵を確認します。
- 人事・勤怠・経費
- メール・チャット・会議
- ファイル・文書・CRM
- VPN・Wi-Fi・端末管理
- クラウド・ソースコード・CI/CD
- 会計・銀行・決済・請求
- 顧客・委託先・管理画面
- 共有アカウント・秘密情報・APIトークン
IPAの日常における情報セキュリティ対策でも、不要なサービスやユーザーアカウントの停止・削除が案内されています。停止、所有者移管、保持、削除をサービスごとに決めます。
手順4：退職・異動・緊急のフローを分ける
通常退職では引継ぎ期間を取り、最終業務時刻にアクセスを止めます。異動では全停止ではなく、旧部門権限を外し、新部門へ必要最小限を付与します。
緊急退職、重大な利益相反、紛失・不正疑いでは、本人通知より前に認証・セッション・鍵を止める場合があります。人事・法務・セキュリティの承認を得て、時刻と範囲を記録します。
休職・長期休業は、停止・保留・返却の期間を決めます。復職を理由に管理者権限を残し続けず、再開時に再承認します。
手順5：引継ぎとデータ保全を端末回収から分ける
端末回収前に、業務文書、案件、承認、顧客連絡、共有フォルダの引継ぎを完了します。ただし、上長が本人の私的領域を無制限に閲覧できるわけではありません。
データを次へ分けます。
- 組織が保有すべき業務記録
- 法務・監査・紛争で保全する記録
- チームへ移管する共有データ
- 利用目的・保存期限に従う人事データ
- 削除対象となる不要データ
- 私的データ・個人アカウント
個人情報保護委員会の退職者からの消去請求に関するFAQも示すように、退職者情報は利用目的の達成状況などに応じた判断が必要です。全部を即時削除・永久保存のどちらにもせず、法務・個人情報担当と保存根拠、範囲、期限を確認します。
手順6：アクセス停止の時刻と依存関係を決める
最終業務時刻に、主アカウント停止だけでなく、セッション、トークン、証明書、API鍵、転送、復旧先を処理します。
順序例は次です。
- 緊急・保全判断を確定する
- 管理者・決済・VPN等の高権限を停止する
- 主IDとアクティブセッションを無効化する
- MFA・パスキー・証明書・トークンを失効する
- 共有権限・グループ・代理権限を外す
- メール・電話・案件の業務移管を設定する
- 自動転送・復旧先・外部連携を確認する
共有アカウントのパスワードを変えるだけでなく、利用者を個別IDへ移します。サービス停止が遅れる場合は代替措置と期限を記録します。
手順7：回収案内に品目・期限・梱包を明記する
「貸与品を返してください」だけでは、SIM、鍵、充電器が漏れます。本人へ対象一覧を提示し、間違いを申告できるようにします。
案内内容は次です。
- 返却対象のasset_id・品目・付属品
- 返却期限・場所・予約方法
- 店頭持込・集荷・配送の選択
- 梱包・電源・電池異常の注意
- 送料負担・伝票・箱ID
- 紛失・破損・未所持の申告
- 返却後の受領確認方法
- 私物・私的アカウントの扱い
返却案内へ業務データを私的クラウドへ移す指示を入れません。必要データは承認された引継ぎ経路を使います。
手順8：在宅・海外・休職者の物流を設計する
在宅勤務者には、本人確認済み住所へ回収キットを送り、箱ID、封印、集荷日を結びます。住所は回収目的に必要な範囲で物流事業者へ共有します。
電池膨張、発熱、焼損、浸水などの申告があれば、通常宅配で返送させず、運送事業者と安全担当へ確認します。本人が危険品を開封・分解しない案内を行います。
海外返却では、輸出入、電池、データ、関税、輸送可否が関係します。現地返却・消去・保管を含め、法務・物流・現地担当が最新条件を確認します。急いで個人の手荷物へ入れさせません。
手順9：受領は箱・個体・付属品で照合する
配送追跡の配達完了は端末回収完了ではありません。受領拠点で次を確認します。
- shipment・container・封印
- asset_id・serial・IMEI
- 機種・容量・電話番号・SIM
- 付属品・鍵・認証器
- 外装破損・水濡れ
- 電池異常・安全隔離
- 契約・利用者・人事case
予定外、欠品、番号違い、別社員資産を例外へ分けます。受領数を予定数へ上書きしません。受領確認を本人・人事・上長へ必要な範囲で返します。
手順10：回収後のデータ処理を状態管理する
回収端末は、業務データ保全、消去、再利用、返却、売却、廃棄のどれへ進むかを決めます。
個人情報保護委員会のデータ消去に関する注意喚起を参照し、不要データは適切に消去し、委託時は必要な監督を行います。
記録項目は次です。
- data_disposition：保全、移管、消去、破壊
- legal_hold・保存根拠・期限
- erasure_method・tool_version
- executed_at・operator・vendor
- success・failed・quarantined
- certificate_id・原本・保存期限
- 再利用・返却・売却・処理の行先
保全対象を消去せず、消去対象を「念のため」永久保存しません。失敗端末を再配布・売却へ進めません。
手順11：SIM・eSIM・回線・電話番号を別に処理する
端末を受け取っても、回線、eSIM、電話転送、SMS認証が残ることがあります。
- 回線停止・名義・請求終了
- SIM回収・破棄・再発行
- eSIM削除・キャリア手続
- 電話番号の引継ぎ・案内
- SMSをMFAに使うサービスの変更
- 端末紛失時の回線・IMEI対応
回線停止日を最終業務と合わせ、業務継続が必要な番号は個人ではなく組織へ移管します。旧利用者が復旧コードを受け取れないよう変更します。
手順12：未返却・紛失・破損を一つにまとめない
未返却には、配送中、本人未発送、所在不明、紛失、警察・保険対応、修理中などがあります。状態と次回期限を分けます。
未返却時の確認項目は次です。
- 最後に確認した人・場所・時刻
- MDM・暗号化・ロック状態
- リモートロック・ワイプの可否と結果
- 回線・セッション・トークン停止
- データ・顧客・認証情報の影響
- 警察・保険・契約・法務の対応
- 本人・上長・人事との連絡記録
リモートワイプ指示を出しただけで消去済みにせず、実行確認と未到達を分けます。紛失は情報セキュリティ事故評価へ接続します。
手順13：異動では旧権限の剥奪と新権限付与を分ける
異動者へ新部門権限を追加するだけでは、旧部門の顧客、会計、管理者権限が残ります。旧権限の削除を独立タスクにします。
異動前後で次を比較します。
- 所属・上長・職務
- 端末・電話番号・拠点
- グループ・共有フォルダ
- 業務アプリ・管理者権限
- 顧客・案件・承認権限
- 物理入館・鍵・印章
- データ引継ぎと保持期限
新権限は職務開始日に付与し、期限付きの引継ぎ権限には自動失効を設定します。権限差分を新旧上長が確認します。
手順14：委託・派遣・外部者も同じ人事イベントへ入れる
社員台帳だけを起点にすると、委託者、派遣、インターン、取引先常駐の端末・アカウントが漏れます。契約管理とID管理を連携します。
契約終了、担当交代、プロジェクト終了をtriggerにし、貸与主体、回収主体、データ責任、アカウント停止を決めます。所属会社が端末を回収しても、自社SaaS・VPN・共有権限の停止は自社責任です。
再委託者を含む名簿・端末・アカウントを契約責任者が確認します。契約延長時も権限を無期限にせず、期限を更新・再承認します。
完了漏れを見つける突合表を用意する
担当ごとのチェックがすべて緑でも、対象そのものが一覧から漏れていれば事故は見つかりません。完了判定では、人事イベント数、対象者数、貸与資産数、管理対象アカウント数、受領個体数を別々の母数として固定し、差分理由を記録します。たとえば「退職者10名に対して主ID停止10件」だけでは、共有IDや修理中端末の扱いを証明できません。
発見経路も残します。人事台帳から見つかった資産、MDMだけに残っていた資産、本人申告で追加した付属品、上長が管理していた共有アカウントを区別すると、どの正本が弱いか分かります。毎回MDMで未登録PCが見つかるなら、退職処理を厳しくするだけでなく、配布時の台帳登録を直すべきです。終了処理で見つけた原因を入社・貸与・異動の上流へ戻すことで、次回の回収負荷を減らせます。
証跡はスクリーンショットだけに依存せず、可能ならシステムのイベントID、実行者、実行日時、対象ID、結果コードを保存します。画面表示は後から変わり、同名者や再利用アカウントを誤認し得ます。保存期限と閲覧権限も定め、人事情報を含むcase全体を誰でも検索できる共有フォルダへ置かないようにします。
突合表には、予定数、完了数、例外数、未確認数、次回期限、責任者を置きます。例外は完了数へ含めず、「海外拠点で現地処理中」「配送中」「法務保全中」のように根拠資料へ結びます。同じ担当者が実行と最終承認を兼ねる高権限作業は、別の確認者が標本ではなく全件を確認します。
caseを閉じた後も、停止漏れ、返却差、消去失敗、期限超過を月次で集計します。速さだけを評価すると、確認前に完了へ寄せる行動が起きます。平均回収日数と同時に、期限内回収率、個体一致率、停止漏れ率、再オープン率、証跡充足率を見ます。再利用・売却可能と判定した端末だけは、機種、容量、状態、台数を統一して販売相場を確認すると、保全・消去未完了の端末は価格比較へ出しません。
ケーススタディ：退職10名、異動5名、端末22台
月末に退職10名、異動5名があり、PC15台、スマートフォン7台、セキュリティキー10個を対象とします。
事前照合
資産台帳ではPC14台でしたが、MDMで予備PC1台を発見しました。スマートフォン7台のうち1台は修理業者、1台は海外在宅者にあります。合計だけを合わせず、所在・責任者を分けます。
最終業務日
退職10名の主ID、VPN、セッション、MFAを停止し、異動5名は旧部門権限を外して新権限を付与します。共有メールの所有者とAPI鍵を移管します。
回収結果
国内でPC14台・電話6台・キー10個を受領、海外の電話1台は承認済み現地回収、修理中1台は業者受領証を確認しました。配送追跡だけで完了せず、個体受領・消去・契約返却を別に追います。
完了条件
端末22台の所在、アカウント停止、回線、業務データ保全、消去または再利用状態、未解決例外の責任者・期限がそろった時点でcaseを閉じます。
このケースで端末回収率だけを見ると、修理中や海外回収を含めた解釈が担当者ごとに変わります。そこで「物理受領済み」「正当な第三者保管を証跡確認済み」「未回収」を分け、回収率の分子を物理受領済みに固定します。第三者保管は別指標で追い、返却・消去の完了まで期限を残します。
また、異動5名は退職者と別集計にします。アカウントが有効でも正しい状態になり得るため、停止件数ではなく旧権限削除、新権限承認、期限付き引継ぎ権限の失効予約を確認します。人事caseを無理に一つの「完了」へ押し込まず、資産、アクセス、データ、回線の各状態が完了条件を満たしたかで閉じることが重要です。
時系列チェックリスト
退職・異動決定時
- 正式なcase_id、種類、日時、機密区分を登録した
- 人事・上長・IT・総務・法務の担当を決めた
- 端末・SIM・認証器・媒体を横断検索した
- アカウント・管理者・API鍵を横断検索した
- 通常・緊急・保全のフローを選んだ
最終業務日前
- 業務データ・案件・承認を移管した
- 保存・消去・法務保全の範囲を決めた
- 停止時刻とサービス依存関係を確認した
- 対象品目・期限・梱包を本人へ案内した
- 在宅・海外・危険品の回収方法を決めた
最終業務日
- 高権限、主ID、セッション、MFAを停止した
- 共有権限・転送・復旧先を変更した
- 回線・SIM・電話番号を処理した
- 異動者の旧権限を削除した
- 端末の発送・持込・受領を記録した
回収後
- 箱・個体・付属品を照合した
- データ・安全・識別を隔離した
- 保全、消去、再利用、返却を実行した
- 未返却・紛失を事故手順へ接続した
- 一件をcaseから最終処理まで再現した
まとめ：退職日ではなく、端末・権限・データの三つを閉じる
退職者・異動者の回収は、端末受領だけでもアカウント停止だけでも完了しません。正式な人事イベントから、資産、権限、データ、物流、回線を一つのcase_idへ結びます。
通常退職、異動、緊急、休職、外部委託を分け、最終業務日時に必要なアクセスを失効します。回収端末は箱・個体で照合し、データ・安全・識別を隔離します。保存すべき業務記録と不要データを法務・個人情報担当と区別します。
退職10名・異動5名の例では、資産台帳だけでは見えない予備機や修理中・海外端末を発見できました。全資産の所在、全権限の状態、データの最終処理、未解決例外の責任者と期限がそろって初めてオフボーディングを閉じることができます。
