情報システム・モデル取引・契約書（第二版）

背景

 デジタル技術を活用して企業のビジネスを変革し、自社の競争力を高めていく「デジタルトランスフォーメーション（DX）」が注目を集めています。経済産業省が2018年9月に公開した「DXレポート」は、DXを円滑に進めるには、ユーザ企業、ITベンダが双方の間で新たな関係を構築していく必要があると提言しています。そのために、DXの進展によるユーザ企業とITベンダのそれぞれの役割の変化等を踏まえたモデル契約の見直しの必要性が指摘されました。モデル契約は、情報システム開発における各局面の取引構造を透明化するためのツールであり、その普及により、ITベンダの産業構造転換、情報システムの信頼性向上、ユーザ・ベンダ一体となった生産性向上の促進が期待されます。
こうした状況を踏まえ、IPAでは、経済産業省が2007年に公開した「情報システム・モデル取引・契約書」、およびIPAが2011年に公開した「非ウォーターフォール型開発用モデル契約書」についての見直しの検討を2019年5月から2020年12月にかけて行いました。この検討では、全体を取りまとめる「モデル取引・契約書見直し検討部会」を設置し、民法改正に対応した「情報システム・モデル取引・契約書」の見直しについては、同部会の下で、ユーザ企業、ITベンダおよび法律専門家から成る「民法改正対応モデル契約見直し検討WG」において検討しました。
同WGでは、2019年度検討の成果として、2020年4月に施行された改正民法に直接関係する論点を見直した 「情報システム・モデル取引・契約書」の民法改正を踏まえた見直し整理反映版 （以下、「民法改正整理反映版」）を、2019年12月に公開しました。その後、民法改正に直接かかわらないものの、2007年のモデル契約の公表以降の情勢変化に応じて見直した方がよいと考えられる論点（後述）について検討しました。なお、論点の一つであるセキュリティに関連する検討については、セキュリティ専門家の意見を求めるため、2019年7月から同WGの配下に「セキュリティ検討PT」を設置して検討しました。

概要

IPAはこれまでの検討を取りまとめ、「民法改正整理反映版」に民法改正に直接かかわらない論点の見直しを加えた「情報システム・モデル取引・契約書」第二版（以下、「第二版」）を、2020年12月22日に公開しました。また、「第二版」から参照されるセキュリティ基準等公表情報の一例として「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」と「セキュリティ仕様策定プロセス」（以下、「セキュリティ仕様関連文書」）を同時に公開しました。

「第二版」は、ユーザ企業、ITベンダ、関連業界団体、および法律専門家の参画を得て議論を重ね、中立的な立場でユーザ企業・ITベンダいずれかにメリットが偏らない契約書作成を目指しているところが特長です。後述のように、民法改正に直接かかわらない論点について、現行のモデル契約条項と解説の修正版、および見直しについての解説を整理しています。

「セキュリティ仕様関連文書」は、セキュリティ専門家、一般社団法人コンピュータソフトウェア協会(CSAJ)(注釈) Software ISAC等のセキュリティ関連団体の参画を得て議論を重ね、また広く意見募集も行って 、「第二版」から参照されるセキュリティ基準等公表情報の一例として、Windows Active Directory環境用の文書が作成されました。

IPAはユーザ企業・ITベンダ双方が「第二版」を参照することで、契約のタイミングで双方がシステムの仕様やプロジェクト管理方法、検収方法等について、共通理解のもと対話を深め、よりよい関係のもとITシステム開発が行われることを期待しています。

「第二版」及び「セキュリティ仕様関連文書」は、下記よりダウンロード可能です。

1. 注釈
   当時。現在は一般社団法人ソフトウェア協会(SAJ)。

見直しのポイント

民法改正に直接かかわらない5つの論点

(1) セキュリティ

(2) プロジェクトマネジメント義務及び協力義務

(3)契約における「重大な過失」の明確化

(4)システム開発における複数契約の関係

(5)再構築対応

　
セキュリティ仕様書の作成プロセス

「第二版」では、セキュリティ仕様書の作成プロセスを明確化し、その内容を解説に記載するとともに、そのプロセスを前提とする契約書の条項を整理しました。

セキュリティに関しては、公的機関や業界団体、セキュリティ関連企業等が提供する、脅威分析を行い攻撃への影響と対策（緩和策）等を検討するための参照情報（ここでは「セキュリティ基準等公表情報」と総称）を使用して、ユーザとベンダが以下のような協力をすることにより、セキュリティ仕様書を作成します。

• 必要な情報を相互に出し合う。
• セキュリティ基準等公表情報を参照し、セキュリティの脅威を把握する。
• 開発対象のシステムについて考慮しつつ、脅威の影響についてリスク評価を行う。
• 対策の実装有無を決定・合意し、その結果をセキュリティ仕様書に反映する。

対策を実装しない場合にも、その旨を記録することが重要です。そのため、システム開発の各段階において、ユーザおよびベンダのそれぞれが提供すべき情報や検討すべき事項は何か、各段階の成果物は何か、どの段階でセキュリティ仕様を確定するのか等について整理します。

セキュリティ基準等公表情報を使用した一般的なセキュリティ仕様書の作成イメージは次の通りです：

1. 脚注1
   セキュリティ基準等公表情報は唯一ではなく、システム稼働環境等に応じて多種が存在し得る（1つの文書にまとめられていない場合もある）
2. 脚注2
   実装する場合には、対策内容をコピーしてカスタマイズ
3. 脚注3
   実装しない場合には、その理由等を記載（議事録への記載ケースもあり）

このようなプロセスにおいて参照するセキュリティ基準等公表情報の一例として、今回、「情報システム開発契約のセキュリティ仕様作成のためのガイドライン ～Windows Active Directory編～」を作成しました。また、対応するプロセスについて、「セキュリティ仕様策定プロセス～「情報システム開発契約のセキュリティ仕様作成のためのガイドライン」対応～」に整理しました。

システム再構築における企画プロセス
長年運用・保守を続けてきたシステムを再構築する場合、現行システムに関する業務知識（ドキュメントと有識者）が失われていることが多く見られます。そのため、現行システムの状態を正しく認識した上で再構築の方針を決め、実行計画を立てることが肝要です。システム再構築におけるこのような課題と、特に企画段階のプロセスについて、「第二版」では次のような解説を追加しました。

再構築の流れとしては、まず、企画段階・システム化の方向性フェーズにおいて、再構築の目的・要求事項や現行システムの状況から最適な再構築手法を選択しリスクを洗い出します。次に、企画段階・システム化計画フェーズにおいて、選択した手法とそのリスクをもとにリスクの予防策を検討します。

ユーザは、必要に応じて、ベンダとの間で、これらの支援業務（後のシステム開発契約の範囲外）を内容とする準委任契約としてのコンサルティング契約を締結し、これらの作業のための支援を受けることになります。

このようなシステム開発プロセスにおける再構築特有の検討の位置づけは、下図の通りとなります。

追補版について
今回、追補版については、時間の関係で、第一版の見直し内容がそのまま妥当する範囲で見直しを行うにとどめております。追補版については、必要に応じて セキュリティ関連のみならず、主に利用者として想定される中小企業にとってより適切なモデル取引・契約書の在り方を含め,現状の取引状況等に関する関係者の意見を踏まえた検討が期待されます。

「第二版」の構成とダウンロード

全体の解説

• 第二版公表にあたって(PDF:1.6 MB)

情報システム・モデル取引・契約書（受託開発（一部企画を含む）、保守運用）

• ＜第二版＞(Word:3.5 MB)
• ＜第二版＞（修正履歴）(Word:3.5 MB)
• ＜第二版＞（ひな型）(Word:76 KB)
• ＜第二版＞（ひな型）（修正履歴）(Word:68 KB)

情報システム・モデル取引・契約書（パッケージ、SaaS/ASP活用、保守・運用）

• ＜第二版追補版＞(Word:239 KB)
• ＜第二版追補版＞（修正履歴）(Word:230 KB)
• ＜第二版追補版－別紙＞(PDF:169 KB)
• ＜第二版追補版－別紙＞（修正履歴）(PDF:169 KB)
• ＜重要事項説明書（第二版追補版付属）＞(Word:131 KB)
• ＜重要事項説明書（第二版追補版付属）＞（修正履歴）(Word:131 KB)

セキュリティ仕様関連文書

• ＜情報システム開発契約のセキュリティ仕様作成のためのガイドライン ～Windows Active Directory編～＞(Word:1.6 MB)
• ＜セキュリティ仕様策定プロセス＞(Word:1.7 MB)

1. 注釈
   （修正履歴）とあるものは、前版からの修正履歴を残しています。
2. 注釈
   （ひな型）とあるものは、解説文は無く、条文のみとしています。
3. 注釈
   Word形式の文書は、自由にカスタマイズしてご利用いただけます。
4. 注釈
   「情報システム開発契約のセキュリティ仕様作成のためのガイドライン ～Windows Active Directory編～」は、新たに公表される脅威・攻撃対策情報等に対応して随時更新されており、最新版は次のリンク先wiki文書を参照願います。

• 「情報システム開発契約のセキュリティ仕様作成のためのガイドライン ～Windows Active Directory編～」
  • （一般社団法人ソフトウェア協会(SAJ) Software-ISACのページに移動）

関連情報

解説資料：モデル契約から読み解くユーザ及びベンダの責務

システム開発におけるトラブルを未然に防ぐために、契約という観点からプロジェクトマネジメントを見つめ直す。

• 「モデル契約から読み解くユーザ及びベンダの責務」(PowerPoint)(393 KB)

アジャイル開発版「情報システム・モデル取引・契約書」

アジャイル開発を外部委託する際のモデル契約として、アジャイル開発版「情報システム・モデル取引・契約書」を2020年3月に公開しました。

• アジャイル開発版 情報システム・モデル取引・契約書