退職・異動時の端末回収フロー｜人事確定からアクセス停止・受領・消去まで

退職者対応を最終勤務日のチェックリストだけで行うと、在宅端末が発送されない、旧部門の共有権限が残る、MDMから先に削除して遠隔操作できない、回収した端末が消去待ちのまま倉庫に滞留するといった問題が起きます。必要なのは、人事イベントから完了までの状態と、各担当が次工程へ渡す条件を固定することです。

本記事では、人事、上長、情報システム、資産管理、セキュリティ、総務の担当者向けに、退職・異動・休職・委託終了の確定、対象資産・権限の抽出、通知、業務引継ぎ、アクセス停止、端末発送・受領、差異、BYOD解除、データ消去、再配布・売却、案件終了までを標準業務フローにします。通常退職、即時停止、在宅勤務、本人連絡不能の分岐も含めます。

状態を人・アクセス・現物・データの四系統で管理する

一つの「対応済み」では、何が終わったか分かりません。オフボーディング案件の下に四つの状態を持ちます。

人事状態

• 予定、承認待ち、確定、延期、取消し、発効、終了

アクセス状態

• 対象抽出、変更計画、停止予約、停止中、確認待ち、完了、例外

現物状態

• 回収対象、返却案内、発送待ち、配送中、受領、差異、紛失、検品完了

データ・資産状態

• 引継ぎ待ち、保全、消去待ち、消去中、証跡確定、再配布・売却・返却・廃棄、終了

四系統の全対象が完了または承認済み例外になったときだけ案件を閉じます。

工程1：人事イベント確定で案件を自動生成する

開始トリガーは人事システムの承認済みイベントです。本人や上長のメールは補足として扱い、日付・雇用区分の正本にしません。

必須情報

• 従業員・契約者ID、氏名、雇用区分
• 退職・異動・休職・契約終了の種別
• 現所属、異動先、上長、費用部門
• 確定日、最終勤務日、発効日時
• 在宅・海外・有給消化など回収条件
• 通常・機密・高リスクの取扱区分
• 取消し・延期時の更新通知先

確定イベントを受けたら一意な案件IDを作り、人事、資産、IAM、MDM、総務の担当キューへ同時に配信します。退職情報の閲覧範囲は必要最小限にします。

工程2：資産・権限・契約を自動抽出して母集団を凍結する

人事IDを軸に、複数の正本から対象を抽出します。

抽出元

• IT資産台帳：PC、スマートフォン、媒体、付属品
• MDM・EDR：端末、利用者、最終接続、準拠状態
• IdP・IAM：アカウント、グループ、ロール、セッション
• SaaS・クラウド：所有データ、共有、特権、APIキー
• 通信・購買：SIM、回線、ライセンス、契約
• 総務・入館：カード、鍵、トークン、法人カード
• ヘルプデスク：修理中、代替機、一時貸与

抽出時点の一覧を保存し、本人・上長・各担当が差異を追加できるようにします。後から対象を削除する場合は、理由・正本・承認を残します。

工程3：リスクと終了方式を判定する

通常フロー、即時停止、休職時の一時停止、異動時の差分変更を選びます。

判定要素

• 退職・異動の種類と発効時刻
• 特権、機密データ、顧客・本番環境へのアクセス
• 在宅、海外、長期休暇、本人連絡の可否
• 端末所有区分と所在
• 紛争、事故、法的保全の必要性
• 業務引継ぎとサービス継続への影響

高リスク案件は通知、停止、入館、現物確保、証拠保全を時刻同期します。通常案件は本人へ十分な返却期間を確保します。

工程4：最終勤務日から逆算してタスクとSLAを作る

各対象に担当者、期限、完了条件を割り当てます。

例となる日程

• 10営業日前：本人へ返却資産一覧と方法を通知
• 7営業日前：上長が業務・データ引継ぎ先を確定
• 5営業日前：宅配資材・集荷・対面予約を確定
• 3営業日前：共有秘密・外部アカウント変更を準備
• 2営業日前：未回答・未発送を本人と上長へ再通知
• 最終勤務日：アクセス・入館を停止、対面回収または発送確認
• 翌営業日：全系統の未完了をエスカレーション
• 3営業日後：配送・受領・停止結果を再照合

期限は営業日だけでなく時刻まで設定します。システムのバッチ反映がある場合、開始時刻と完了確認時刻を分けます。

工程5：本人・上長へ返却と引継ぎを通知する

通知には一般的な退職案内ではなく、本人固有の対象を載せます。

通知内容

• 資産ID、機器名、付属品の返却一覧
• 返却期限、返却先、対面・宅配方法
• 梱包、集荷、送料、追跡番号の手順
• 会社データを個人領域へ移さない注意
• 業務データ・メール・所有権の引継ぎ方法
• BYODの仕事用領域削除と個人領域への影響
• 未返却、紛失、破損時の連絡先
• 問合せと差異申告の方法

本人が「この端末は上長へ渡した」「別の端末を持っている」と回答した場合、台帳をその場で上書きせず、現物確認タスクを作ります。

工程6：業務データと所有権を組織へ引き継ぐ

アクセス停止前に、組織管理の保存先へ必要なデータと責任を移します。

引継ぎ作業

• ファイル・メール・予定・連絡先の必要範囲を決める
• SaaS、共有ドライブ、リポジトリの所有者を変更する
• 顧客案件、承認、支払、契約、サポートの担当を移す
• 自動化、API連携、サービスアカウントの管理者を移す
• 共有メール・配布リスト・会議室の管理を移す
• 保存義務・事故調査の保全を適用する
• 引継ぎ先と上長が内容・権限を確認する

本人の個人メール・私物ストレージへデータを送らせません。必要なメールを引き継ぐ場合も、閲覧目的、期間、対象者を限定します。

工程7：共有秘密と外部アカウントを変更する

本人アカウントを止めても、共有パスワードやAPIキーを知っていればアクセスできる場合があります。

対象

• 共有ID・共有メールのパスワード
• APIキー、アクセストークン、Webhook秘密
• SSH鍵、証明書、VPN共有秘密
• ネットワーク機器、複合機、現場設備の認証情報
• 顧客・委託先・外部SaaSのアカウント
• サービスアカウントの所有者・回復手段

ローテーション対象、実行時刻、影響サービス、検証、ロールバックを一つの変更案件にします。鍵を変更しただけで連携障害が起きないよう、依存システムを確認します。

工程8：発効時刻にアクセスを協調停止する

停止担当は同じ人事イベントと基準時刻を参照します。

停止順序

1. 高リスクの場合はログ・端末・メールの証拠保全を確認する
2. IdPのログインと既存セッションを無効化する
3. 多要素認証器、回復手段、トークンを失効する
4. VPN、証明書、MDM準拠アクセスを停止する
5. 特権、クラウド、SaaS、外部サービスを停止する
6. 入館、鍵、回線、電話を停止・転送する
7. 共有秘密の変更を適用する
8. 各システムで実際にアクセス不能か確認する

NISTのSP 800-53 Rev.5には、人員終了時のアクセス無効化、認証情報の失効、組織資産回収、組織情報へのアクセス保持などの統制が含まれます。停止コマンド送信と各サービスでの完了を区別します。

工程9：異動・休職は差分変更と期限付き停止を行う

異動

1. 旧職務のグループ・ロール・承認権限を一覧化する
2. 新職務の権限を上長・データ所有者が承認する
3. 発効時刻に旧権限を除去する
4. 新権限を付与し、過剰な組合せがないか確認する
5. 端末・費用部門・管理責任者を更新する
6. 7日後などに再照合する

休職

• 休職期間と連絡方法を確認する
• 業務アクセスを停止または必要最小限へ限定する
• 端末を回収するか、安全保管を承認する
• 復職時に権限を自動復元せず再承認する
• 休職延長・退職への変更を追跡する

個人情報保護委員会の2026年2月資料個人情報保護法の概要も、異動・配置転換や長期休職に応じた不要権限の削除・無効化を例示しています。

工程10：対面回収と在宅発送を別経路で追跡する

対面回収

• 本人と受領者が資産ID・付属品を確認する
• 返却日時、場所、状態、差異を記録する
• 未消去ラベルを付け、管理区域へ移す

在宅発送

• 会社が梱包材、返却ラベル、集荷を手配する
• 箱・封印・追跡番号と資産一覧を紐付ける
• 発送待ち、集荷済み、配送中、配達済みを分ける
• 配達後に受領担当が個体を確認する
• 配送事故・破損時の連絡と封じ込めを行う

発送申告や配達完了で「回収済み」にせず、社内受領者の個体確認で確定します。

工程11：受領検品で差異と安全状態を確定する

検品手順

1. 資産ID、シリアル番号、IMEIを現物で照合する
2. PC、スマートフォン、SIM、媒体、付属品を確認する
3. 外観、起動、画面、バッテリー、膨張を確認する
4. MDM登録、最終接続、ロック状態を確認する
5. 不足、別個体、破損、台帳誤りを差異登録する
6. 未消去区域または安全隔離へ移す
7. 受領者とは別の担当が案件一覧を再照合する

危険なバッテリーや水濡れ端末は通常棚へ置かず、安全手順へ回します。

工程12：BYODの仕事用領域を解除する

BYODは現物回収の代わりに、会社アクセスと管理対象データを終了します。

解除順序

1. IdP、SaaS、VPNのアクセスを停止する
2. 仕事用プロファイル・管理対象アプリの削除を指示する
3. 会社データ、証明書、VPN構成の削除結果を確認する
4. MDM登録と会社側端末情報を解除する
5. 個人領域への影響と問合せ先を本人へ案内する
6. 保存期間後に不要な端末情報を削除する

本人がオフラインでもIdP側でアクセスを停止し、次回接続時の削除コマンドを追跡します。コマンド送信と端末応答を分けます。

工程13：未返却・紛失・連絡不能をエスカレーションする

期限超過時

1. 本人・上長・人事へ未完了一覧を通知する
2. 配送追跡、最終接続、保管場所を確認する
3. アカウント、回線、証明書の停止を再照合する
4. MDMでロック・業務データ削除を判断する
5. 紛失・盗難・漏えいの可能性を評価する
6. 法務、個人情報、顧客、保険・警察対応を判断する
7. 回収不能終了には責任者承認と証拠を求める

回収率を上げるために所在不明端末を「返却不要」として分母から外しません。

工程14：回収後の保全・消去・再利用判定を行う

回収済み端末は、業務データ移行、法的保全、事故調査を確認してから消去します。

回収後フロー

• 回収・検品完了
• データ移行・保全確認
• 媒体・分類・用途に合う消去方式の選択
• 消去実行、失敗隔離、独立検証
• 個体別証跡の確定
• MDM・回線・ライセンス解除の確認
• 再配布、売却、リース返却、廃棄の判定
• 台帳・会計・契約の終了

回収済みを資産終了と同じにしません。

工程15：案件終了ゲートで全対象を集合照合する

終了前に、人事イベントで作成した母集団と各工程の結果を照合します。

終了条件

• 人事イベントが発効し、変更履歴が確定している
• 全アカウント・権限が停止・変更・例外のいずれかにある
• 全会社資産が受領・配送中・紛失・承認済み例外に分類される
• BYODの会社アクセス・仕事用データを終了した
• 業務データ・所有権・共有秘密の引継ぎが完了した
• 回収端末の消去・証跡・次用途が追跡される
• 回線・入館・契約・ライセンスを処理した
• 未完了に担当者・期限・責任者承認がある
• 別担当者が母集団と結果集合を再照合した

案件を閉じた後の訂正は、再開理由と承認を残します。

30人の月末退職を処理する例

月末退職者30人に、台帳上PC30台、スマートフォン18台、SIM20枚、認証トークン12個が割り当てられていたとします。資産対象は合計80点で、本人の人数30を分母にしません。

最終勤務日までに対面受領50点、社内受領済みの宅配20点、配送中5点、未発送3点、紛失申告1点、台帳誤割当1点なら、現物回収済みは70点です。配送中を回収済みに含めず、紛失は事故対応、台帳誤割当は品質差異へ回します。

アクセス側で、IdP30件すべて停止しても、外部SaaS2件と共有APIキー1件が残ればアクセス系統は未完了です。現物80点とアクセス対象を別母集団で追跡し、両方が終了条件を満たして初めて案件を閉じます。

取消し・再雇用・雇用区分変更を新しいイベントとして扱う

退職が延期・取消しになった場合、停止予約を黙って消さず、人事の変更イベント、取消し承認者、変更時刻を記録します。すでに共有秘密を変更した、旧権限を削除した、返却端末を初期化したといった取り消せない作業があれば、元状態へ単純に戻さず、必要性を再審査して新しい貸与・権限付与として実施します。

退職後すぐ業務委託として戻る場合も、従業員アカウントや端末割当を流用しません。いったん退職案件の対象を終了し、委託契約、作業範囲、期限、責任者に基づく新しいIDと権限を発行します。これにより、正社員時代の広い権限が契約者へ残ることを防ぎます。

海外滞在中で端末をすぐ回収できない場合は、返却期限を延ばすだけでなく、MDM準拠、遠隔ロック、業務アクセス、輸送方法、現地法・税関、データ保存の条件を確認します。現物回収までの間は、端末の保管責任者、定期接続確認、利用禁止、紛失時連絡を期限付き例外として記録します。

死亡・急病など本人が対応できない場合は、遺族へ技術操作を求めず、人事・法務が連絡窓口を一本化します。会社所有資産の回収、個人端末上の会社アクセス停止、業務データの引継ぎを分け、私的情報を不必要に閲覧しない手順を適用します。

日次・終了チェックリスト

日次

• 新規人事イベントと取消し・延期を取り込んだ
• 期限接近・超過の回収と権限変更を確認した
• 高リスク停止と未完了を責任者へ報告した
• 配送中・紛失・BYODコマンドを追跡した
• 退職者へ残るアカウント・端末を照合した

終了

• 人・アクセス・現物・データの全系統を確認した
• 件数だけでなく対象ID集合を照合した
• 例外に理由、代替策、期限、承認がある
• 回収後の消去・証跡・資産終了を追跡できる
• 実行者とは別の確認者が案件を閉じた

IPAの組織における内部不正防止ガイドラインは、利用者ID・アクセス権の確認や、委託先従業員の異動・退職に伴う削除漏れを防ぐ体制などを扱っています。フローの対象を正社員だけに限定しません。

まとめ：人数ではなく資産・権限・データの全対象を閉じる

退職・異動の標準フローは、人事イベントを起点に、資産・権限・契約の母集団を凍結し、引継ぎ、共有秘密変更、時刻同期したアクセス停止、対面・在宅回収、受領差異、BYOD解除、消去を順番に進めます。発送と受領、停止指示と完了、回収と資産終了を分けることで未完了が見えます。

回収後に売却する会社所有端末は、消去証跡、MDM・回線解除、台帳更新を確認してから中古端末の買取相場を確認すると状態・数量・処理費を比較します。まずは直近三か月の退職・異動者について、人事IDから台帳・MDM・IdPを再照合し、閉じた案件に残る端末・権限・共有秘密を抽出してください。