企業はマイナンバー対応で2つのポイントを押さえることを求められる。1つは企業が地方公共団体や税務当局に提出する源泉徴収票や支払調書などの法定調書に従業員のマイナンバー（個人番号）を付番できるようにすること。もう1つは、パートタイマーやアルバイトを含む全ての従業員からマイナンバーを企業が取得し、厳格に管理し、必要な帳票に対して出力することだ。

法定調書への付番で必要になるシステム改修

　前者の源泉徴収票や支払調書に対するマイナンバーの付番では、具体的には企業で使っている人事管理システムや給与管理システムの改修が必要になる。表計算ソフトを使って手作業に近い形で作業している場合は、その改修が求められるだろう。パッケージソフトウェアを利用している場合は、多くのベンダーが保守契約の範囲で対応することを公表している。

スーパーストリームのCTO（最高技術責任者） 山田 誠氏

　パッケージソフトウェア「SuperStream-NXシリーズ」を展開するスーパーストリームのCTO（最高技術責任者） 山田 誠氏は「SuperStream-NXの場合、給与管理システムだけで40種類以上の帳票を改修する」と説明する。同社は大企業や中堅企業など、企業の管理レベルに応じた「システム設定例」をユーザー企業に提供する予定だ。マイナンバーに対応したSuperStream-NXのバージョンアップは2015年秋を予定しており、バージョンアップすれば企業は問題なくマイナンバーに対応できるようにする考え。山田氏は「情報収集を2015年前半に終えて、実務の対応や運用方法、システム要件をその後に決めてもらいたい。そして10月以降にシステム対応を行う」というスケジュールをユーザー企業には勧めている。

　国民への周知の遅れが指摘されるマイナンバーだが利用開始まで1年を切り、「多くの企業で情報収集の期間に入った」とオービックビジネスコンサルタント（OBC）の営業推進本部 マーケティング推進室 室長 西 英伸氏は指摘する。マイナンバーに関連するセミナーを告知すると瞬時に座席が埋まり、「情報収集の心構えをした来場者が詰めかける」（西氏）。

オービックビジネスコンサルタント（OBC）の営業推進本部 マーケティング推進室 室長 西 英伸氏

　OBCでもパッケージソフトウェア「奉行シリーズ」の「給与奉行」「人事奉行」「勘定奉行」などでマイナンバー対応を行う予定。最新バージョンを使っていれば保守契約の範囲内で対応することができる。同社では人事労務に関係する帳票だけでも約80種類の帳票で改修を行い、2015年中に順次製品を対応させる。例えば、源泉徴収票では用紙サイズがA5に変わる予定だが、従業員、扶養親族のマイナンバー、法人番号を付番できるようにする。

　マイナンバー対応に伴うITの新規投資はそれほど多くないと予想される。矢野経済研究所の上級研究員 小林明子氏は、「一部の大手企業などを除き、一般の企業では多額の費用を掛けてIT基盤を刷新するようなケースは少ないだろう」と企業の対応を予測する。矢野経済研究所では、マイナンバー対応に関する投資額は、新規となる政府系中核システムで約212億円（主要システムの落札価格の合計）、自治体のシステム改修で約1600億円（政府試算）、民間企業の人事給与系システム改修で約800億円（矢野経済研究所推計）を見込んでいる。

安全管理措置にどう対応するか

野村総合研究所 新事業企画室長 渋谷直人氏

　もう1つのITシステムの対応ポイントであるマイナンバーの管理は、苦労する企業が相次ぎそうだ。マイナンバー制度では、マイナンバーを含む個人情報が「特定個人情報」とされ、従来の個人情報保護法以上の厳しい罰則規定がある。特定個人情報の管理については、「特定個人情報の適正な取扱いに関するガイドライン」が公開されている。その中では、「単にシステムや事務を変更するだけではなく、特定個人情報を集めて保管し、最終的に番号を付番する中で安全管理措置が厳しく細かく指定されている」（野村総合研究所 新事業企画室長 渋谷直人氏）。マイナンバー制度への対応は、「単にシステムや事務作業の話ではなく、組織やルール、規定、責任者などを決める必要がある」（同氏）のだ。

　企業におけるマイナンバーの取り扱いについては、従業員からの取得と保管、帳票などへの出力、そして廃棄というプロセスが考えられる。スーパーストリームの山田氏は「企業は、各種の安全管理措置を講じることにより、特定個人情報が適正に取り扱われていることを客観的に証明することが求められる」と指摘。その上でシステム要件として「アクセス制御とログ管理が重要」と強調する。マイナンバーを取り扱う人事管理や給与管理システムに対してアクセス制御を行うことで、ガイドラインで求められる安全管理措置のレベルを達成し、その上でログ管理機能によってマイナンバーが適切に管理されていることを客観的に示す必要があると考える。スーパーストリームではこの方針に基づき、製品のアップグレードを行う予定だ。

　マイナンバーの取り扱いについては、OBCも「番号を取得した際の本人確認の証拠や個人番号へアクセスするための権限、操作ログなど、番号を安全に利用する仕組みも考えておく必要がある」と指摘する。その上でOBCの西氏は「特に緊張感を保つ必要があるのは取得の作業。マイナンバーの取り扱いについては個人情報保護法よりも厳しい罰則規定があり、漏えいは許されない。極力セキュアな環境で取り扱う必要がある」と説明する。OBCではマイナンバーの取得から保管、廃棄に至る一連のプロセスをセキュアに管理できるシステムの提供を予定している。

中堅・中小企業の課題は「作業量」

　個人情報保護法と異なり、マイナンバー制度の対象はほぼ全ての企業だ。そのためリソースが限られる中堅・中小企業の対応を心配する声は強い。「マイナンバー対応に関しては、中堅・中小企業でも作業量は大手企業と変わらない」（西氏）。多くの中堅・中小企業では、専任の人事部門が組織されず、総務部門が人事や給与業務を行っている。バックオフィス部門に対するコスト削減要求は長年続いていて、ほとんどの中堅・中小企業では作業量に対して人員の余裕が無い状況だ。西氏は「中堅・中小企業は現状の総務業務を減らしてからでないとマイナンバー制度への対応は厳しい」と訴える。同社では総務業務の改善ツールとしても奉行シリーズを売り込んでいく考えだ。

　マイナンバー制度への対応の負荷を下げるため、マイナンバーの登録・管理をアウトソーシングできるサービスも登場している。NRIが2014年11月発表した「マイナンバー登録・管理サービス」では一般企業や金融機関を対象に、従業員からのマイナンバーの取得、保管、帳票への付番、そして廃棄を代行して行う。「企業にとってマイナンバー制度の最終的な目的は、法定調書に付番をすること。その目的のためにマイナンバーを取得したり保管するのはコストが掛かり、リスクも生じる。その業務は外出しでいいのではないかという提案だ」（NRIの渋谷氏）。NRIでは同サービスに加えて、マイナンバー制度対応に関する安全管理措置の構築や業務分析、教育・研修支援などを提供する。「トータルでマイナンバー制度対応に穴がないように各社の対応を支援する」（渋谷氏）

マイナンバー制度は原則主義

　企業の安全管理措置の構築については前述の「特定個人情報の適正な取扱いに関するガイドライン」が詳しいが、あくまでも例示であり、「細かいルールを規定した“細則主義”ではない」（スーパーストリームの山田氏）。企業は安全管理措置について自らポリシーを設定し、必要とされる管理レベルの達成を目指すことになる。この“原則主義”による安全管理措置の構築が企業にとって大きな課題になるだろう。