電子請求書・電子契約のアカウント保護｜建設会社の実務対策と確認手順

「電子請求書や電子契約のサービスは、担当者に任せているから大丈夫」

そう考えていませんか。

建設会社では、元請会社や協力会社との請求書のやり取り、工事請負契約、発注書などを電子化する機会があります。

電子化は、書類の送付や保管、確認作業を効率化する一方、サービスのアカウント管理が重要になります。

例えば、退職した社員のアカウントが残っていたり、経理担当者以外も振込先情報を変更できたりすると、情報の不正閲覧や誤操作につながる可能性があります。

また、電子契約サービスでは、誰が契約を作成し、誰が確認し、誰が承認するのかを整理しておく必要があります。

この記事では、建設会社の社長と経理担当者が実務で確認できるアカウント保護の手順を紹介します。

1．電子請求書・電子契約サービスのアカウント保護とは

電子請求書サービスは、請求書の作成、送付、受領、保存などを電子的に行うためのサービスです。

電子契約サービスは、契約書の送付、確認、合意手続き、保存などを電子的に行うために利用されます。

これらのサービスでは、ログインした利用者の権限に応じて、書類の閲覧、作成、変更、送信、承認などの操作ができる場合があります。

ただし、利用できる機能や権限設定はサービスごとに異なります。

アカウント保護とは、単にパスワードを設定することではありません。

誰が利用できるか、何を操作できるか、いつ利用したかを管理することが重要です。

2．建設会社で利用する場面と管理対象

建設会社では、工事ごとに元請会社、下請会社、協力会社、資材業者などとの取引が発生します。

そのため、電子請求書や電子契約サービスを複数の担当者で利用することがあります。

特に、金額や振込先、契約条件を変更できる権限は、業務上必要な担当者に限定することが重要です。

3．アカウントが不正利用された場合のリスク

電子請求書・電子契約サービスのアカウントが不正利用された場合、サービスの機能や設定によって、さまざまな問題が起こる可能性があります。

• 請求書や契約書に含まれる取引情報を閲覧される
• 請求書の内容や送付先を不正に変更される
• 取引先を装った連絡に悪用される
• 契約書の送付や承認手続きに不正な操作が行われる
• 取引先情報や担当者情報が流出する

ただし、アカウントが不正利用されれば必ずこれらの被害が起こるわけではありません。

また、電子契約サービスのアカウントにログインできることと、法律上有効な契約を成立させられることは同じではありません。実際の契約の有効性は、権限や意思表示など個別の事情によって判断されます。

ここで挙げた内容は、建設会社の業務を想定した一般的なリスクです。特定のサービスで発生した事故を示すものではありません。

4．多要素認証を設定する

アカウント保護で最初に確認したいのが、多要素認証です。

多要素認証とは、パスワードに加え、認証アプリや端末など別の要素を組み合わせて本人確認を行う仕組みです。

パスワードが第三者に知られた場合でも、不正ログインのリスクを下げることが期待できます。

確認手順

1. 利用中の電子請求書・電子契約サービスを一覧にする
2. 各サービスの多要素認証への対応状況を確認する
3. 利用できる場合は、管理者と重要な利用者から設定する
4. 設定後、正常にログインできることを確認する
5. 端末の紛失や機種変更時の復旧手順を確認する

サービスによっては、多要素認証の設定方法や利用条件が異なります。

また、多要素認証だけですべての不正利用を防げるわけではありません。偽のログイン画面や不正なセッション利用などにも注意が必要です。

5．利用者とアクセス権限を整理する

次に確認したいのは、誰がサービスを利用できるかという点です。

例えば、請求書を閲覧する担当者に、すべての管理者権限が必要とは限りません。

契約書を作成する担当者と、最終的な承認を行う責任者を分けることも考えられます。

役割ごとに必要な権限を決め、不要な権限を付与しないことが重要です。

また、共通アカウントを複数人で使い回すと、誰が操作したのか確認しにくくなる場合があります。

サービスが個別アカウントに対応している場合は、担当者ごとの利用を基本にしましょう。

6．退職者・異動者のアカウントを見直す

退職した社員のアカウントが残っていないでしょうか。

また、異動によって担当業務が変わった社員に、以前の権限が残っていないでしょうか。

こうした状態は、不正利用や誤操作のリスクにつながります。

退職・異動時に確認すること

• 対象者が利用していたサービスを確認する
• アカウントの停止・削除または権限変更を行う
• 共有していた認証情報や復旧手段を見直す
• 管理者権限が残っていないか確認する
• 必要な請求書や契約書の引き継ぎを行う
• 対応日時と担当者を記録する

アカウント削除によって必要な契約書や請求書を閲覧できなくならないよう、データの保存・引き継ぎを確認してから進めましょう。

7．電子請求書の振込先変更を確認する

電子請求書サービスを利用していても、振込先変更の確認は重要です。

電子的に届いた請求書だからといって、記載内容が必ず正しいとは限りません。

例えば、協力会社から届いた請求書の振込先が、以前の登録口座と異なっていた場合です。

この場合は、サービス上の表示だけで判断せず、取引先へ事実確認を行いましょう。

確認手順

1. 登録済みの振込先と新しい振込先を照合する
2. 変更がある場合は、支払処理を一時保留する
3. 以前から把握している電話番号で取引先に確認する
4. 変更理由と確認内容を記録する
5. 社内承認後に振込先情報を更新する

電子請求書サービスと銀行口座が連携している場合でも、利用できる機能や変更手順はサービスごとに異なります。

重要なのは、振込先変更をメールや画面の表示だけで判断しないことです。

8．電子契約の承認権限を確認する

電子契約サービスでは、契約書の作成、送付、確認、承認などの操作を行う場合があります。

建設会社では、工事請負契約や発注に関する書類など、金額や条件が重要な契約を扱います。

そのため、誰が契約内容を確認し、誰が最終的な承認を行うかを明確にすることが重要です。

確認したい項目

• 契約書を作成できる担当者
• 契約書を送信できる担当者
• 契約金額や工期などを確認する責任者
• 社内承認が必要な契約の範囲
• 送付先のメールアドレスの確認方法
• 契約履歴や承認記録の保存方法

契約金額が大きい場合や、通常と異なる条件が含まれる場合は、社長や責任者による確認を行うルールが役立ちます。

なお、電子契約の具体的な承認手順や法的な取り扱いは、利用サービスと契約内容によって異なります。

9．協力会社・外部委託先との共有管理

建設会社では、協力会社や外部委託先と請求書、契約書、発注書などを共有することがあります。

共有先が増えるほど、誰がどの情報を閲覧できるかを確認することが重要になります。

例えば、工事が終了した協力会社に、以前の共有フォルダへのアクセス権限が残っていないか確認しましょう。

また、外部の経理委託先などがサービスを利用している場合は、契約終了時にアカウントや権限を見直す必要があります。

外部事業者との情報共有については、クラウドサービス・外部事業者のリスクも参考になります。

10．ログと操作履歴を確認する

アカウントの不正利用に気づくためには、ログや操作履歴の確認も重要です。

例えば、サービスが対応している場合、次のような情報を確認できます。

• ログイン日時
• ログイン元の情報
• 利用者の追加・削除
• 権限の変更
• 請求書や契約書の作成・変更・送信履歴
• 不審な操作や通常と異なる利用状況

ただし、すべてのサービスで同じ種類のログが提供されるわけではありません。

契約プランによって閲覧できる履歴が異なる場合もあります。

まずは利用中のサービスで、どの履歴を確認できるか調べましょう。

ログの保存期間や出力方法も、あわせて確認すると役立ちます。

11．不正利用が疑われたときの初動

電子請求書・電子契約サービスで不審な操作を見つけた場合は、被害拡大を防ぐための対応が必要です。

まず、不審な操作の日時、対象アカウント、変更された内容などを確認します。

次に、社内責任者とサービス提供事業者へ連絡し、利用制限やアカウント保護について相談します。

不正ログインが疑われる場合は、必要な記録を保全したうえで、パスワード変更やセッションの失効などを検討します。

請求書の振込先が不正に変更され、すでに送金した可能性がある場合は、送金元の金融機関へ速やかに連絡してください。

社内調査や取引先確認が終わるまで、銀行への連絡を後回しにしないことが重要です。

また、契約書の不正な送付や承認が疑われる場合は、関係する記録を保存し、必要に応じてサービス提供事業者や専門家に相談します。

事故時の連絡体制については、サイバー事故に備える緊急連絡体制の準備

12．社長向け実務チェック表

アカウント保護だけでなく、事故時の費用や業務への影響を整理する際は、中小企業のサイバー保険と実務対策

13．今日の一歩とまとめ

参考情報：IPA｜情報セキュリティ／JPCERT/CC