SCS評価制度の対応費を2027年度予算に計上する方法｜稟議の組み立てと積算根拠
「SCS評価制度への対応、来年度の予算にいくら積めばいいですか」
2026年の夏以降、この質問が増えています。多くの企業が予算編成に入る時期と、**SCS評価制度の申請受付開始（2027年3月頃の予定）**が重なるためです。
ところが、いざ予算を組もうとすると壁にぶつかります。登録料は公表されたものの（★3は年額20,000円、2028年3月31日までは10,000円。★4は60,000円/3年。2026年11月5日時点、IPA FAQ）、★4で評価機関・技術検証事業者に支払う評価費用はまだ公表されていないのです。金額が分からないものを、どう稟議に書けばよいのか。
本記事では、未確定要素を抱えたままSCS対応費を予算化する具体的な方法を整理します。制度の内容そのものについてはSCS評価制度とはを、費用の内訳についてはSCS取得費用の内訳をあわせてご覧ください。
予算化を先送りすると何が起きるか
「制度費用が分かってから考える」という判断は、一見すると慎重に見えます。しかし実際には、次の順序で詰みます。
★4の評価費用が見えてくるのは、評価機関・技術検証事業者が公表される2026年12月下旬以降です（IPA FAQ、2026年10月30日更新）。仮に2027年1月に相場が見えたとして、そこから予算を組むと、承認が下りるのは早くて2027年4月以降になります。
一方、★3の要求事項26項目は既に公開済みで、実装には数か月かかります。予算がついてから着手すると、申請受付が始まっても自社は動けません。
重要： 対策の中身はすでに確定しています。★3は要求事項26項目・評価基準81件、★4は43項目・153件がIPAから公開済みで、2026年10月28日には要求事項・評価基準 Ver.1.1と解説書、自己評価等ガイド（アセスメントシート付き）も公表されています。何をどう評価されるかは、すでに確認できる状態です。
つまり、予算編成のタイミングで動かないと、「制度は始まったのに自社は準備できていない」状態で取引先からの要求を受けることになります。
費目を4つに分けて積算する
SCS対応費を一本の「セキュリティ対策費」として計上すると、金額の根拠を説明できず稟議で止まります。次の4つに分解してください。
| 費目 | 中身 | 見積もれるか |
|---|---|---|
| ① 対策実装費 | 未対応の要求事項を満たすための機器・SaaS・構築作業 | 自社で積算できる |
| ② 文書化・確認費 | 規程・手順書の整備、★3確認責任者（登録されたSCSセキュリティ専門家）による確認 | 概算できる |
| ③ 制度費用 | 登録料（★3 年額20,000円、2028年3月31日までは10,000円／★4 60,000円/3年）と、★4の評価機関・技術検証の費用 | 登録料は公表済み（2026年11月5日時点、IPA FAQ）。★4の評価費用は未公表 |
| ④ 維持費 | ライセンスの年額、年次の見直し、★3は1年ごとの更新 | 自社で積算できる |
**①②④は自社の現状から積算でき、③の登録料も確定しています。**未公表なのは③のうち★4の評価費用だけです。この構造を稟議書に明示すると、「分からないから概算」ではなく「★3なら全費目に根拠があり、★4を目指す場合も評価費用だけ枠取り」という説明になります。
① 対策実装費 ― ギャップ分析から積算する
もっとも金額が動き、もっとも根拠を示しやすい費目です。手順は次のとおりです。
- IPAが公開している要求事項・評価基準のExcelを入手する
- 26項目それぞれについて「対応済み／一部対応／未対応」を仕分ける
- 未対応の項目ごとに、必要な手段と費用を書き出す
すでにMicrosoft 365やGoogle Workspaceを使っている企業では、多要素認証やログ取得など、上位ライセンスに含まれているのに有効化していないだけという項目が少なくありません。この場合の追加費用はゼロで、必要なのは設定作業の工数だけです。
逆に、EDRやバックアップの見直しが必要な場合は、ライセンス費が継続的に発生します。この区別を稟議書で示せると、金額の説得力が一段上がります。
② 文書化・確認費 ― ★3は確認責任者の確認が必須
★3は「専門家確認付き自己評価」です。制度運営機関に登録されたSCSセキュリティ専門家が「★3確認責任者」としてアセスメントシートを確認し、署名または記名することが制度上の要件（自己評価等ガイド v1.0）です。確認責任者は社内外どちらでもよいため、社内に該当者がいなければ外部に依頼する費用が発生します。
規程・手順書の整備も、ゼロから作るのか既存文書を改訂するのかで工数が大きく変わります。ISMSやPマークを取得済みの企業は、既存文書の流用でかなり圧縮できます（SCSとISMS・Pマークの違い）。
③ 制度費用 ― 登録料は確定額、★4の評価費用は予備費
登録料はIPAのFAQで公表済みです（2026年11月5日時点）。★3は年額20,000円で、2028年3月31日までの登録は10,000円。★4は3年で60,000円です。これらは確定額として計上できます。一方、★4で評価機関・技術検証事業者に支払う評価費用は各事業者が定めるため未公表です。★4を目指す場合は**「★4評価費用：未公表につき予備費として計上」**と明記し、枠を確保しておきます。金額は総額の1〜2割程度を目安に置き、公表後に精算する前提とします。
★4を目指す場合は、第三者評価（実地審査）と技術検証が加わるため、★3より大きな枠が必要です。ただし**中小企業がいきなり★4を目指す必要は通常ありません。**取引先の要求水準を確認してください。
④ 維持費 ― 「取得して終わり」ではない
見落とされやすい費目です。★3の有効期限は1年（★4は3年）で、更新のたびに年次の自己評価と★3確認責任者の確認が必要になります。導入したSaaSのライセンス費も毎年かかります。
初年度費用だけで稟議を上げると、翌年に「聞いていない」と言われます。3年分のランニングを併記してください。
年度をまたぐ計上の考え方
申請受付が2027年3月頃であることを踏まえると、多くの企業では次の形になります。
| 時期 | やること | 計上する年度 |
|---|---|---|
| 2026年度下期 | ギャップ分析、対策実装、規程整備 | 2026年度（実装費の大半） |
| 2027年度初頭 | ★3確認責任者の確認、自己適合宣言、登録申請 | 2027年度（確認費・登録料） |
| 2027年度以降 | 維持運用、1年後の更新 | 2027年度以降（維持費） |
**実装費を2027年度に丸ごと寄せると、申請開始に間に合いません。**2026年度の残予算で着手できる部分がないか、先に確認することをおすすめします。特にライセンス設定の見直しなど、追加費用ゼロで進められる項目は予算承認を待つ必要がありません。
稟議で必ず聞かれる4つの質問
「これは義務なのか」
**義務ではありません。**SCS評価制度は任意参加の制度です。ここを曖昧にすると、後で信頼を失います。
そのうえで、**「取引先が調達条件に組み込んだ場合、実質的な参加条件になる」**と説明します。自工会・部工会のガイドラインが取引先に浸透している製造業などでは、既に類似の要求が来ているはずです（自工会・部工会ガイドラインとの対応関係）。
「やらなかったらどうなるのか」
取引の失注リスクを、具体的な取引先名と売上規模で示すのが最も効きます。「サプライチェーン全体のリスクが」といった一般論では動きません。
取引先から要求文書やアンケートが来ている場合は、**そのコピーを稟議書に添付してください。**これが最も強い根拠になります（取引先から要求されたときの対応）。
「なぜ今なのか。制度が始まってからでは駄目なのか」
前述のとおり、要求事項は公開済みで実装に数か月かかるためです。制度開始後に着手すると、取得完了はさらに半年〜1年先になります。
また、★3の要求事項の多くは**SCSのためだけの対策ではありません。**多要素認証、バックアップ、ログ取得、脆弱性管理は、制度と無関係にランサムウェア対策として必要なものです。「制度対応費」ではなく「セキュリティ投資で、副産物として制度にも対応できる」という整理のほうが通りやすい場合があります。
「ISMSを取っているのに、なぜまた費用がかかるのか」
ISMSはマネジメントシステムの認証、SCSは具体的な対策の実装水準の評価で、評価する対象が違います。ISMS取得企業は文書面で大きく有利ですが、技術的な対策項目は別途確認が必要です。
重複部分は流用できるため、**ゼロからの企業より費用は抑えられます。**この点を明示すると、「二重投資ではないか」という指摘に答えられます。
補助金を織り込む場合の注意
対策実装費には、デジタル化・AI導入補助金（旧IT導入補助金）やサイバーセキュリティお助け隊サービスなどの公的支援が使える場合があります。
ただし補助金は交付決定前の発注が対象外になるのが原則です。「予算が通ったので発注し、後から補助金を申請する」という順序では受けられません。予算計上の段階で、補助金の公募スケジュールと発注時期を組み込んでおく必要があります。
なお、中小企業が★3を取りやすくするための「サイバーセキュリティお助け隊サービス（新類型）」は、2026年11月時点でも実証事業のフェーズにあり、正式な料金は未公表です（お助け隊サービス新類型の動向）。
予算書に書く一文の例
稟議書の目的欄に置く文章として、次のような書き方が使えます。
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）★3の取得に向け、要求事項26項目のうち未対応項目の実装、規程整備、および★3確認責任者による確認に要する費用と、登録料（年額20,000円。2028年3月31日までは10,000円）を計上する。確認責任者への依頼費用はSCSセキュリティ専門家の一覧公表（2027年1月以降）後に見積を取り、それまでは予備費とする。取得により、取引先○○社からの調達要件に対応する。
**「何を」「なぜ」「未確定部分をどう扱うか」**の3点が入っていれば、稟議は組み立てられます。
まとめ
- SCS評価制度の申請受付は2027年3月頃の予定。多くの企業で予算編成期と重なる
- 費用は①対策実装費 ②文書化・確認費 ③制度費用 ④維持費の4つに分解する。③の登録料は公表済みで、未公表なのは★4の評価費用だけ。残りは自社で積算できる
- ★4の評価費用は予備費として枠を取り、公表後に精算する前提で稟議を上げる
- 実装を2027年度に寄せると申請開始に間に合わない。2026年度中に着手できる部分を先に確認する
- ★3の有効期限は1年。初年度費用だけでなく3年分のランニングを併記する
- 稟議で効くのは一般論ではなく、取引先の要求文書と対象売上
自社の現状で何項目が未対応なのか、実装にいくらかかるのかは、ギャップ分析をしないと積算できません。予算編成に間に合わせるための現状把握からご相談いただけます。無料相談、または★3セルフチェックで対応状況の目安を掴むところから始めてください。
本記事は2026年8月9日時点の公表情報をもとに執筆し、2026年11月5日に公表状況を更新しました。登録申請の手引（2026年11月末頃予定）、評価機関・専門家の公表（2026年12月下旬以降）など今後の公表で変わる部分があるため、最新状況はSCS評価制度 最新動向まとめおよびIPAの公式サイトでご確認ください。