最終更新：2026年11月12日
ISMSやプライバシーマークの審査、取引先からのセキュリティ監査で「廃棄したパソコンのデータはどう処理しましたか」と聞かれたとき、すぐに記録を出せるでしょうか。「業者に引き取ってもらった」という事実だけでは、どの端末を、いつ、誰が、どの方法で処理したのかを示せず、説明として足りません。
結論から言うと、監査で説明できるパソコン廃棄とは、①台帳で対象を特定 → ②消去方法を決定 → ③委託先の選定と契約 → ④引渡しの記録 → ⑤証明書の受領と台帳照合 → ⑥証跡の保管の6つの記録が、シリアルナンバーでつながっている状態です。本記事では、根拠になる基準の該当箇所、各ステップで残す記録、委託先の確認項目、記録が途切れやすい箇所を、2026年時点の実務として整理します。
※本記事は公開されている法令・基準をもとにした一般的な整理です。審査での判断は審査機関と自社の規程によって異なるため、最終的には自社の規程と審査機関の指示に従ってください。
1. 監査で確認されるのは「廃棄した事実」ではなく記録
監査や審査で確認されるのは、大きく分けて次の3点です。
- ルールがあるか：情報機器の廃棄について、承認者・消去方法・委託先の基準を定めた規程や手順書があるか
- ルールどおりに実施したか：規程に沿って廃棄したことを、台帳・証明書などの記録で示せるか
- 委託先を監督しているか：処分を外部に任せた場合、委託先を選んだ根拠と、作業が確実に行われたことの確認があるか
監査では、台帳から任意の1台を選び、その端末の記録を順にたどる形で確認されることがあります。このとき、台帳には「廃棄済み」とあるのに、証明書には台数しか書かれておらず、その1台が証明書のどれに当たるのかを示せないと、記録がつながっていないと判断されやすくなります。
つまり、消去や破壊を確実に行うことに加えて、「台帳の1台」と「証明書の1台」を対応づけられることが、監査で説明できる廃棄の条件です。
2. 根拠になる基準｜個人情報保護法・ISO27001・Pマーク
パソコン廃棄に関係する基準は、主に次の3つです。いずれも「復元できない方法で消去・廃棄すること」と「委託先を監督すること」を求めている点は共通しています。
| 基準 | 該当箇所 | パソコン廃棄で求められること |
|---|---|---|
| 個人情報保護法 （法第23条 安全管理措置） | 個人情報保護委員会「ガイドライン（通則編）」10-5 物理的安全管理措置 (4) 個人データの削除及び機器、電子媒体等の廃棄 | 「個人データを削除し又は個人データが記録された機器、電子媒体等を廃棄する場合は、復元不可能な手段で行わなければならない。」と定められています。手法の例として、専用のデータ削除ソフトウェアの利用や物理的な破壊が挙げられ、削除・廃棄の記録を保存すること、委託する場合は委託先が確実に削除・廃棄したことを証明書等で確認することも重要とされています |
| 個人情報保護法 （法第25条 委託先の監督） | 同ガイドライン 3-4-4 委託先の監督 | 適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握の3点 |
| ISO/IEC 27001:2022 （JIS Q 27001） | 附属書A 7.14「装置のセキュリティを保った処分又は再利用」 附属書A 8.10「情報の削除」 | 処分・再利用する装置に情報を残さないこと、不要になった情報を削除することが管理策として挙げられています。自社の適用宣言書でこれらを適用している場合、実施した記録が確認の対象になります |
| プライバシーマーク （JIS Q 15001:2023） | 「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」J.9.2 安全管理措置、J.9.4 委託先の監督、J.6.2 内部監査 | 個人情報保護リスクに応じた安全管理措置、委託先の選定基準の確立と評価、契約の締結と保存、委託先の監督。リスクは取得から消去・廃棄までの一連の流れの中で特定することとされています |
出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、JIPDEC プライバシーマーク推進センター「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023 準拠 ver1.0】」
どの基準も「この業者に頼めばよい」「この方法なら合格」といった指定はしていません。自社でルールを決め、そのとおりに実施し、記録で示すという組み立ては共通です。法人パソコンの処分に関わる法令全体は「法人パソコンの処分・廃棄方法【2026年版】｜4つの選択肢と法令・証明書の実務」で整理しています。
3. 監査で説明できるパソコン廃棄の6ステップ
記録を残す順番は、次の6ステップで考えると漏れがありません。右端の「残す記録」が、そのまま監査で提示する証跡になります。
| ステップ | やること | 残す記録 |
|---|---|---|
| 1. 対象の特定 | IT資産管理台帳から廃棄対象を抽出し、管理番号・機種・シリアルナンバー・記憶媒体の種類（HDD／SSD）・扱っていた情報の区分を確認する。廃棄の申請と承認を行う | 廃棄対象リスト、廃棄申請・承認の記録 |
| 2. 消去方法の決定 | 情報の機密度と媒体の種類に応じて、ソフトウェア消去・磁気消去・物理破壊のいずれにするかを規程に沿って決める | 消去方法と、その判断の根拠（規程の該当箇所） |
| 3. 委託先の選定と契約 | 選定基準に照らして委託先を評価し、秘密保持・再委託・事故時の報告などを契約（申込書・約款を含む）で取り決める | 委託先の評価記録、契約書・秘密保持契約 |
| 4. 引渡しの記録 | 引渡し日、台数、シリアルナンバー、引き渡した担当者と受け取った担当者を記録する。引渡しまでの間は施錠できる場所で保管する | 引渡しリスト、受領書 |
| 5. 証明書の受領と照合 | データ消去証明書・物理破壊証明書を受け取り、廃棄対象リストとシリアルナンバー・台数を突き合わせる | 証明書、照合結果（確認者・確認日） |
| 6. 台帳の更新と保管 | 台帳に廃棄日・処理方法・証明書の番号を記入し、一連の記録を規程で定めた期間保管する | 更新後の台帳、証跡一式 |
ポイントは、ステップ1の廃棄対象リストを最初に作り、最後までそのリストを基準にすることです。引渡しリストも証明書も、このリストのシリアルナンバーと照合できる形でそろえます。途中でリストにない端末が混ざったり、台数が合わなくなったりした場合は、その時点で差異を記録して原因を確認します。
自社で消去してから引き渡す場合は、ステップ2と4の間に「自社での消去と消去ログの保存」が入ります。その場合も、最終的な処分先から受領書を受け取り、台帳と照合する流れは同じです。
4. 媒体別のデータ消去方法と残す記録
消去方法は、記憶媒体の種類によって選べるものが変わります。規程で「物理破壊」とだけ定めていても、媒体ごとの注意点を押さえておくと、監査での質問に答えやすくなります。
| 媒体 | 主な消去方法 | 注意点 | 残す記録 |
|---|---|---|---|
| HDD（パソコン・サーバー） | ソフトウェア消去（上書き）／磁気消去／物理破壊 | 故障して起動しないHDDはソフトウェア消去ができないため、磁気消去か物理破壊を選ぶ | 消去方法、実施日、シリアルナンバー、消去ログまたは証明書 |
| SSD・NVMe | SSDに対応したソフトウェア消去／物理破壊 | 磁気消去は効かない。上書きだけでは予備領域にデータが残る場合がある | 消去方法、実施日、シリアルナンバー、消去ログまたは証明書 |
| スマートフォン・タブレット | 端末の初期化／物理破壊 | MDM（モバイルデバイス管理）の登録解除と、アクティベーションロックの解除を先に行う | 初期化の実施日・作業者、MDM解除の記録 |
| USBメモリ・外付けHDD・SDカード | 物理破壊／ソフトウェア消去 | 台帳に載っていないことが多い。廃棄の前に棚卸しをする | 種類、台数、処理方法、実施日 |
| 複合機・NAS・ネットワーク機器 | 内蔵ストレージの消去または物理破壊、設定情報の初期化 | リース契約の複合機は、リース会社・保守会社の消去サービスの有無を確認する | 消去の証明書、初期化の記録 |
方法ごとの違いと選び方は「データ消去方法の選び方｜ソフト消去・磁気消去・物理破壊の比較【2026年版】」で詳しく解説しています。
5. 監査で提示する証跡の一覧
監査の前に、次の書類がそろっているかを確認します。すべてを新しく作る必要はなく、既存の台帳や申請書に項目を足すだけで足りる場合もあります。
| 証跡 | 作成者 | 記載する内容 | 監査で示せること |
|---|---|---|---|
| 情報機器の廃棄規程・手順書 | 自社 | 承認者、消去方法の基準、委託先の選定基準、記録の保存期間 | ルールがあること |
| IT資産管理台帳 | 自社 | 管理番号、機種、シリアルナンバー、利用者、廃棄日、処理方法、証明書の番号 | 対象が漏れなく管理されていること |
| 廃棄申請・承認の記録 | 自社 | 申請日、対象の端末、承認者 | 承認を経て廃棄したこと |
| 委託先の評価記録・契約書 | 自社・委託先 | 選定基準への適合、秘密保持、再委託の扱い、事故時の報告 | 委託先を基準に沿って選び、監督していること |
| 引渡しリスト・受領書 | 自社・委託先 | 引渡し日、台数、シリアルナンバー、双方の担当者 | いつ、何を、誰に渡したか |
| データ消去証明書・物理破壊証明書 | 委託先 | 機器の種類、メーカー名、型番、シリアルナンバー、処理の内容 | 委託先が消去・破壊を実施したこと |
| 台帳との照合記録 | 自社 | 証明書と台帳を突き合わせた結果、差異の有無、確認者、確認日 | 証明書の内容を自社で確認したこと |
| 消去ログ（自社で消去した場合） | 自社 | 対象端末、使用したソフトウェアや方法、実施日、作業者 | 自社での消去が完了していること |
証明書の記載項目や、受け取ったあとの確認方法は「データ削除証明書とは｜記載項目・取得方法・監査での使い方【2026年版】」をご覧ください。
6. 委託先（処分業者）を選ぶときの確認項目
委託先の監督は、個人情報保護法（法第25条）でもプライバシーマークでも求められています。プライバシーマークの構築・運用指針（J.9.4）は、委託先の選定基準について、自社と同等以上の個人情報保護の水準を客観的に確認できることを留意事項として挙げています。処分業者を選ぶときは、次の項目を確認し、結果を評価記録として残します。
| 確認項目 | 見るポイント | 確認方法 |
|---|---|---|
| 第三者による認証 | 個人情報の管理体制やデータ消去の工程について、第三者の審査を受けているか（プライバシーマーク、ISMS認証、ADEC消去プロセス認証など） | 登録番号、認証機関・認定団体の公開情報 |
| 消去方法 | HDDとSSDそれぞれにどの方法を使うか。方法を指定できるか | サービス仕様、見積書 |
| 作業場所の管理 | 専用の作業区画があるか、入退室の制限や監視カメラがあるか | 公開資料、現地の見学 |
| 証明書の記載項目 | シリアルナンバーが入るか、写真が付くか、発行形式と費用 | 証明書のサンプル |
| 再委託の有無 | 消去・破壊を自社で行っているか、別の会社に任せているか | 契約書、ヒアリング |
| 輸送中の管理 | 誰が運ぶか、引渡しから作業場所までの管理方法 | サービス仕様、ヒアリング |
| 事故時の対応 | 紛失・漏えいが起きたときの報告の手順 | 契約書、約款 |
同指針は、委託契約に盛り込む事項として、責任の明確化、安全管理に関する事項、再委託に関する事項、取扱状況の報告の内容と頻度、契約内容が守られていることを確認できる事項、守られなかった場合の措置、事件・事故が発生した場合の報告・連絡、契約終了後の措置を挙げています。スポットでの廃棄依頼でも、申込書・約款・秘密保持契約のどれでこれらを取り決めたのかを説明できるようにしておきます。
認証は確認手段の一つであり、認証があることだけで委託先の評価が終わるわけではありません。作業場所、消去方法、証明書の内容とあわせて確認してください。
7. 記録が途切れやすい箇所と対策
手順どおりに進めたつもりでも、次のような箇所で記録が途切れることがあります。監査の前に自社の記録を見直すときのチェックリストとして使ってください。
| 状況 | なぜ問題になるか | 対策 |
|---|---|---|
| 証明書に台数しか書かれていない | 台帳のどの端末を処理したのか特定できない | シリアルナンバー入りの証明書を依頼する。または引渡しリストを証明書とセットで保管する |
| 台帳の「廃棄済み」と証明書の日付・台数が合わない | 処理されていない端末が残っている可能性を否定できない | 証明書を受け取った時点で照合し、差異と原因を記録する |
| 委託先を選んだ根拠が残っていない | 委託先の監督を実施したことを示せない | 選定基準と評価結果を1枚にまとめ、定期的に見直す |
| 契約書や秘密保持の取り決めがない | 事故が起きたときの責任と報告の手順が不明確になる | 申込書・約款・秘密保持契約のいずれかで取り決め、保管する |
| 廃棄待ちの端末が倉庫に長期間置かれている | データが入ったままの端末が管理されていない状態になる | 保管期限を決め、施錠できる場所で保管し、定期的に処分する |
| 外付けHDD・USBメモリ・スマートフォンが対象から漏れている | 記憶媒体の一部だけが管理されていない | 廃棄の前に棚卸しを行い、パソコン以外の媒体も台帳に載せる |
| リースパソコンを消去せずに返却している | 返却後のデータの扱いを自社で確認できない | 返却前に消去して記録を残す。またはリース会社の消去証明を受け取る |
| 自社で初期化したが記録がない | 消去を実施したことを示せない | 消去ログ、または作業記録（実施日・作業者・確認者）を残す |
リースパソコンの返却については「法人のリースPC返却時の注意点【2026年版】返却・買取・再リース・廃棄の4択を比較」、退職者から返却された端末については「退職者から返却されたパソコンの処理手順【2026年版】｜初期化前の確認・保管・再利用・処分の判断」で手順をまとめています。
8. HAKUに依頼した場合に残せる記録
株式会社HAKUにパソコンの処分をご依頼いただいた場合に、お客様の手元に残る記録は次のとおりです。料金と条件は「料金・台数条件の一覧」に基づいています。
| 項目 | 無料回収 | HDD・SSD物理破壊サービス（有償） |
|---|---|---|
| 発行する証明書 | 製品受領証明書 兼 データ削除完了証明書（PDF・無料） | 物理破壊証明書（写真付き：550円/台（税込）・1台につき1枚／一覧：2,200円/枚（税込）・1枚に最大20台） |
| 証明書の記載項目 | 機器の種類、メーカー名、型番、台数 | 機器の種類、メーカー名、型番、シリアルナンバー |
| シリアルナンバー | 追加できます（お客様から一覧をご提供いただける場合は無料、弊社でリスト化する場合は一式2,200円（税込）） | 記載します |
| 消去方法 | 磁気消去・ソフトウェア消去・物理破壊のいずれかを弊社が選定（指定はできません） | すべての記憶装置を物理破壊 |
| 作業場所 | 弊社セキュリティルーム | お客様先（オンサイト）、または回収・郵送後に弊社セキュリティルーム |
台帳と1台ずつ照合できる証明書が必要な場合は、無料回収でもシリアルナンバーを追加できます。消去方法を指定したい場合や、1台ごとの破壊写真を残したい場合、破壊に立ち会いたい場合は、有償のHDD・SSD物理破壊サービスをご利用ください。証明書のサンプルも同じページでご覧いただけます。
委託先の評価に使える情報として、弊社の体制は次のとおりです。
- 第三者認証：プライバシーマーク、ADEC（データ適正消去実行証明協議会）消去プロセス認証★★★を取得しています。弊社が取得している第三者認証はこの2つです
- 作業場所：データ消去は専用のセキュリティルームで行います。出入口に金属探知機を設置し、入室は承認された人員に限り、監視カメラ計15台で録画しています（詳しくは「データ削除について｜消去方法・セキュリティ体制」）
- 消去方法：データ消去はNIST SP 800-88 Rev.2に準拠して行います
- 実績：2007年設立、2026年9月時点で累計取引社数15,000社
まとめ
ISO27001やプライバシーマークの監査で説明できるパソコン廃棄とは、台帳・引渡しの記録・証明書がシリアルナンバーでつながり、任意の1台について「いつ、誰が、どの方法で処理したか」を示せる状態のことです。
- 根拠：個人情報保護法ガイドライン（通則編）10-5 (4)・3-4-4、ISO/IEC 27001:2022 附属書A 7.14・8.10、プライバシーマーク構築・運用指針 J.9.2・J.9.4
- 手順：対象の特定 → 消去方法の決定 → 委託先の選定と契約 → 引渡しの記録 → 証明書の受領と照合 → 台帳の更新と保管
- 証跡：廃棄規程、IT資産管理台帳、承認の記録、委託先の評価記録と契約書、引渡しリスト、証明書、照合記録
- 委託先：認証・消去方法・作業場所・証明書の記載項目・再委託の有無を確認し、評価結果を残す
株式会社HAKUにご相談ください
株式会社HAKUは、法人パソコンの回収からデータ消去・証明書の発行まで一貫して対応しています。監査に向けて「シリアルナンバー入りの証明書がほしい」「立ち会いのもとで破壊してほしい」といったご要望もご相談ください。
- 1台から大量処分まで対応。処分料・データ消去・データ削除証明書の発行は0円（出張回収は法人のお客様限定で地域ごとの台数条件あり、郵送は送料のみ負担）
- 無料回収の証明書にもシリアルナンバーを追加できます（一覧のご提供があれば無料）
- 消去方法を指定したい場合は有償のHDD・SSD物理破壊サービス（お客様先での立会い破壊にも対応）
- プライバシーマーク取得・ADEC消去プロセス認証★★★取得、2026年9月時点で累計取引社数15,000社
まずはお気軽にお問い合わせください。お見積り・ご相談は無料です。
お問い合わせはこちら | 法人向けサービス詳細 | 料金・台数条件の一覧
法人パソコンの処分・データ消去はHAKUへ
無料回収（東京・埼玉・千葉・神奈川の法人）／持込（千代田区）／全国郵送
Pマーク取得 ／ ADEC消去プロセス認証★★★取得 ／ 累計取引社数15,000社突破
手塚久雄
株式会社HAKU 代表取締役
パソコン処分・データ消去専門業者「株式会社HAKU」代表。法人のパソコン処分・データ消去を手がけ、Pマーク取得・ADEC消去プロセス認証★★★取得のもと安全な処分を提供しています。