SaaS棚卸し実践ガイド ― シャドーIT発見から契約整理まで【テンプレート付き】
「自社で何種類のSaaSが契約されているか、正確に把握していますか？」 ―― 中小企業のCEO・CFO・情シスにこの質問をすると、ほぼ全員が答えに詰まります。
社員個人がクレカで契約してしまう「シャドーIT」、退職者IDが残ったまま課金され続けている「ゾンビID」、複数部門で同じSaaSが重複契約されている「重複契約」 ―― 棚卸しをやってみると、月額数十万円のムダが出てくることが普通です。
本記事ではSaaS棚卸しの実践手順とテンプレート構成、コスト削減の具体策を一気通貫で示します。
SaaS棚卸しが必要な3つの理由
1. コスト削減（典型的に20〜40%圧縮）
不要・重複・過剰ライセンスの解消で、年間数百万円のコスト削減が可能。多くの企業で全SaaS費用の30%前後が無駄になっています。
2. セキュリティリスクの可視化
シャドーITは情報漏えいの最大要因です。退職者IDが生きたまま、機密データが個人契約のSaaSに残ったまま ―― 棚卸しで初めて発覚します。
3. ガバナンス・監査対応
ISMS、Pマーク、SOC2、上場準備、IPO ―― 監査時に「全SaaSのリストを出してください」と言われたら、棚卸し未実施の企業は致命的に遅れます。
SaaS棚卸しの全体フロー
| Phase | 期間 | 主な活動 |
|---|---|---|
| Phase 1：現状把握 | 1〜2週間 | 全SaaSの洗い出し（複数情報源から） |
| Phase 2：分類・評価 | 1週間 | 必要性・重複・コストの分析 |
| Phase 3：契約整理 | 2〜4週間 | 不要解約、ライセンス削減、ベンダー交渉 |
| Phase 4：ガバナンス整備 | 2週間 | 申請承認フロー、棚卸し定期実施の制度化 |
Phase 1：現状把握（SaaS発見の5つの情報源）
情報源 1：請求書・経費精算データ
過去6か月〜12か月の経費精算（楽楽精算、freee、SAP Concur 等）と、コーポレートカードの月次明細を抽出。SaaS課金は月額・年額が混在するため、1年分を見るのが鉄則です。
情報源 2：M365 / Google Workspace のSSOログ
Entra ID（Azure AD）アクセスレビュー、Google Workspace の Connected apps、Okta のSSOログから「社員が認証連携しているSaaS」を抽出。シャドーIT発見の主力手段です。
情報源 3：ネットワークログ・プロキシログ
ファイアウォール、SWG（Secure Web Gateway）、Defender for Cloud Apps、Netskopeなどから「社員がアクセスしているWebサービス」を抽出。
情報源 4：ヒアリング
各部門の責任者にヒアリング：
- 業務で使っているSaaSは？
- 個人契約しているSaaSは？
- 試用中のSaaSは？
情報源 5：ブラウザ拡張・端末ログ
Chrome Enterprise / Defender for Endpoint で、社員PC上で起動しているSaaS Webアプリのテレメトリを取得（コンセント取得済みの範囲で）。
Phase 2：分類・評価
棚卸し台帳テンプレート（Excelで作る）
以下の項目で1行1SaaSの台帳を作ります。
| 列名 | 内容 |
|---|---|
| A. SaaS名 | 製品名 |
| B. ベンダー名 | 提供会社 |
| C. 業務用途 | 何のために使っているか |
| D. 利用部門 | 利用部署名 |
| E. 主担当者 | アカウント管理責任者 |
| F. 利用人数 | 実利用ユーザー数 |
| G. ライセンス数 | 契約上のライセンス数 |
| H. 月額（税込） | 1か月あたりのコスト |
| I. 年額（税込） | 12か月分のコスト |
| J. 契約形態 | 年契約 / 月契約 / 都度購入 |
| K. 契約期間 | 開始日〜更新日 |
| L. 自動更新の有無 | あり / なし（更新月） |
| M. 機密度 | 高 / 中 / 低（取扱い情報の機密性） |
| N. SSO対応 | Entra ID / Workspace / Okta / 個別ID |
| O. データ保管国 | 日本 / 米国 / EU / その他 |
| P. SOC2 / ISO27001 等 | あり / なし |
| Q. 退職処理方法 | 自動 / 手動 / 連動なし |
| R. 重複SaaSの有無 | 同類製品の有無 |
| S. 廃止候補 | はい / いいえ |
| T. 備考 | 特記事項 |
評価軸
各SaaSを以下の4軸で評価：
- 必要性：本当に業務に不可欠か
- 利用率：契約ライセンス数 vs 実利用数
- 重複度：類似機能のSaaSが複数契約されていないか
- コスト効率：1ユーザーあたりの値段が市場相場と比べて適正か
廃止・統合の候補抽出例
- 利用率50%未満 → ライセンス数削減候補
- 利用率10%未満 → 廃止候補
- 重複SaaS → どれか1本に統合
- SSO非対応かつ機密度高 → 即時SSO化または別製品検討
Phase 3：契約整理
1. 即時解約候補の処理
退職者IDのみが使っている、3か月誰も使っていない、明らかに無駄なものは即解約。月20件解約だけで月額数十万円が浮くケースも。
2. ライセンス数の最適化
100ライセンス契約しているが実利用60名なら、40ライセンス削減を更新月に交渉。
3. ベンダー交渉
主要SaaSは年契約・複数年契約・ボリュームディスカウントが効きます。3社見積もりを取って比較するだけで20〜30%の値下げ余地があるケースが多い。
4. 重複SaaSの統合
例：
- Slack（営業部）＋ Microsoft Teams（情シス）＋ Google Chat（マーケ） → 1本に統合
- Notion（企画）＋ Confluence（開発）＋ SharePoint（管理） → 重要文書はSharePointに集約
5. 個人契約からの巻き取り
社員が個人クレカで契約しているSaaSは、会社契約に巻き取り＋経費精算ルール明確化で同様契約を防止します。
Phase 4：ガバナンス整備
SaaS導入申請フロー
新規SaaS導入時の承認フローを制度化：
申請者（部門担当）
↓
情シス（技術・セキュリティ評価）
↓
法務（契約書・データ取扱）
↓
経理（コスト・予算）
↓
責任者承認
↓
正式契約定期棚卸し（年1回 or 半年1回）
カレンダーに固定し、専任担当を決めて運用。年1回ではコスト削減チャンスを逃すため、半年ごとが推奨。
退職時の自動失効
HRシステム（SmartHR等）→ Entra ID / Workspace → SCIM連携で退職者ID自動無効化を仕組み化。手動運用ではゾンビIDが必ず残ります。
CASB / SaaS Management Platform 導入検討
社員数200名以上なら、Microsoft Defender for Cloud Apps、Netskope SaaS Management、Zluri、ProductivなどのSaaS管理SaaSの導入を検討。台帳が自動更新されるようになり、棚卸しの工数が大幅に減ります。
典型的なシャドーIT発見例
棚卸しでよく見つかる「まさかこれも？」の例：
- 個人契約のChatGPT Plus / Claude Pro：機密情報を入力していないか要確認
- 個人クレカの Notion / Figma / Slack：プロジェクト終了後も課金継続
- 退職者契約の Adobe Creative Cloud：年契約のまま放置
- 試用版から本契約に流れたSaaS：誰も気づかず1年継続
- 複数部門で別契約のZoom：統合すれば人数割引が効く
- 退職者IDのまま残るSlack / Teams：意外と多い、削除漏れ
- マーケが個別契約しているHubSpot / Marketo：CRM統合できれば一本化可能
コスト削減効果の実例
情シス365で支援した中小企業3社の平均：
| 観点 | 削減前 | 削減後 | 削減率 |
|---|---|---|---|
| SaaS月額総額 | 280万円 | 198万円 | 29%減 |
| 契約SaaS数 | 78種類 | 52種類 | 33%減 |
| 退職者IDのまま課金 | 月12万円 | 月0円 | 100%減 |
| 個人クレカ契約 | 月8万円分 | 0件 | 100%統制 |
まとめ
SaaS棚卸しは「面倒だけど確実に効く」管理業務です。年1回でなく半年ごと、できればSaaS管理プラットフォームで自動化、退職時の失効連動を仕組み化することで、コスト削減・セキュリティ強化・ガバナンス向上の3点が同時に手に入ります。
情シス365のSupport365では、SaaS棚卸しの代行・SaaS管理プラットフォームの選定と運用代行・退職者ID自動失効基盤の構築までトータルでご支援しています。
関連記事：