レッスン5：MSP ／マネージドサービス・BPO 契約の階層設計

このレッスンで学ぶこと

MSP 3 大領域（MDR ／SOC ／ヘルプデスク委託）と KPI 契約の設計を扱う
SLA と OLA ・UC の 3 層関係と罰則条項・インセンティブ条項を組み立てる
IT アウトソーシング契約 6 種と MSP 選定 5 チェックを持つ
MSP 契約の落とし穴を持ち帰る

前のレッスンの振り返り

ハイパースケーラー 3 社（AWS ／Azure ／GCP）はエンタープライズ型契約で EDP ／MCA-E ／CUD の割引プログラムを提供、Marketplace 経由購買と RI ／Savings Plans を組み合わせて 40〜60 % 実効割引を得られます。ライセンス監査 True-up は Microsoft ／Oracle ／SAP が年次実施、SAM ツール（Flexera One ／Snow Software ／Ivanti Neurons ／ServiceNow SAM Pro）で対応。Exit Ramp 条項でクラウドベンダーロックインを緩和、マルチクラウドは Workload Split が実務標準。本レッスンでは、クラウドと並ぶ運用フェーズの主戦場——MSP ／マネージドサービス・BPO 契約の階層設計を扱います。

MSP 3 大領域

MSP（Managed Service Provider）は、IT 運用・監視・セキュリティ運用を代行するベンダー類型です。国内 MSP 市場は 2024 年時点で約 8,000 億円規模（IDC Japan 推計）、年成長率 8〜12 %。MSP の中核領域は次の 3 つ。

領域 1：MDR（Managed Detection and Response）

エンドポイント／ネットワーク／クラウドを常時監視し、脅威検知・対応を実施するセキュリティ運用サービス。SOC ／SIEM ／XDR プラットフォームを活用します。

主要ベンダー：CrowdStrike Falcon Complete 、SentinelOne Vigilance MDR 、Palo Alto Networks Unit 42 MDR 、日本発では NTT-CERT ／LAC ／セキュアヴェイル
契約単位：エンドポイント数（月額 1,000〜3,000 円／台）
KPI：MTTR（平均対応時間）、検知精度（False Positive 率）、月次インシデントレポート

領域 2：SOC 運用

企業の SOC 機能（セキュリティ運用センター）を全面委託または部分委託するサービス。24 時間 365 日体制。

主要ベンダー：IBM Security X-Force 、NRI セキュア、日立ソリューションズ、Fujitsu Secure Managed Service
契約単位：月額数百万〜数千万円
KPI：SLA 遵守率、インシデント対応件数、脅威インテリジェンス提供頻度

領域 3：ヘルプデスク委託／ITSM 運用代行

社員からの IT 問い合わせ受付・トラブル対応を委託するサービス。ITIL 4 準拠の運用が主流。

主要ベンダー：日本 IBM 、富士通、NTT データ、SB C&S 、Rakuten Communications 、Concentrix ／TP（旧 TeleTech）
契約単位：問い合わせ数（月額 1,000〜3,000 円／件）または月額固定
KPI：First Response Time ／MTTR ／First Call Resolution ／CSAT（顧客満足度）

KPI 契約の設計——FRT ／MTTR ／FCR ／CSAT

MSP 契約の実務中核は KPI 契約の設計です。次の 4 KPI が標準指標。

FRT（First Response Time ・一次応答時間）

問い合わせから初回応答までの時間。優先度別に設定：

P1（緊急・システム停止）：15 分以内が実務標準
P2（重要・機能不全）：1 時間以内
P3（通常・改善要望）：4 時間以内
P4（低・情報照会）：翌営業日

24 時間 365 日対応か平日日中対応かで料金が大きく変わります。

MTTR（Mean Time To Repair ・平均復旧時間）

インシデント発生から復旧までの平均時間。優先度別に SLA を設定：

P1：4 時間以内
P2：8 時間以内
P3：3 営業日以内
P4：5 営業日以内

FCR（First Call Resolution ・初回コール解決率）

問い合わせが 1 回のコールで解決した比率。ヘルプデスクの実力指標。70〜85 % が実務標準。

CSAT（Customer Satisfaction Score ・顧客満足度）

問い合わせ後のアンケートで測定する満足度スコア（5 段階または NPS 相当）。80〜95 % が実務標準。

これら 4 KPI を月次で計測し、達成状況を報告書化させます。未達時のペナルティ（サービスクレジット）と、達成／超過時のインセンティブ（ゲインシェア）を契約に組み込みます。

SLA と OLA ・UC の 3 層関係

MSP 契約では、SLA（Service Level Agreement）を頂点として OLA と UC の 3 層構造で運用します。

SLA（Service Level Agreement）

MSP と顧客企業（発注元）との間で締結する外部契約。稼働率、応答時間、復旧時間、月次報告義務等を明記。

OLA（Operational Level Agreement）

顧客企業内部の各部門間で締結する内部合意。例：情シスとネットワーク運用部、情シスとアプリケーション運用部、情シスと業務部門の間で「情シスが SLA を守るためには、業務部門は何時までに障害報告するか」を合意する。

UC（Underpinning Contract）

MSP の下請け（サブコントラクター）と MSP との契約。MSP が単独では全機能を提供できない場合に、UC で下請け MSP の SLA を確保する。

これら 3 層を整合させないと SLA の達成は困難です。SLA を SLA 単独で決めず、OLA ・UC も含めた総合設計が VMO の役割です。

罰則条項（サービスクレジット）とインセンティブ条項（ゲインシェア）

KPI 未達／超達時の経済的インセンティブを契約に組み込みます。

罰則条項（Service Credit）

計算式：月額料金 × ペナルティ率
ペナルティ率：SLA 遵守率 95〜99 % で 5 %、90〜94 % で 10 %、80〜89 % で 20 %、80 % 未満で 30 % といったレンジ
上限：月額料金の 30〜50 % を上限とするのが業界標準
返金 vs クレジット：多くの MSP は現金返金ではなく次月クレジットの形

インセンティブ条項（Gain Share）

計算式：目標超過達成分 × インセンティブ率
インセンティブ率：目標を 5 % 超過で追加費用 3 % 支払、10 % 超過で追加費用 5 % 支払といったレンジ
KPI 選定：コスト削減達成、ダウンタイム削減、顧客満足度向上など、双方の努力で達成可能な KPI に限定

罰則条項だけでなくインセンティブ条項も設けることで、MSP との win-win 関係を構築できます。

IT アウトソーシング契約 6 種

MSP 契約を包含する IT アウトソーシング（ITO）契約は、次の 6 種類に大別されます。

1. フルアウトソーシング

IT 業務全般（企画・開発・運用・保守）を全面委託。大企業の情シス機能を外部化するケース。契約規模数百億円、期間 5〜10 年。IBM ／Accenture ／NTT データが主要ベンダー。

2. セレクティブアウトソーシング

特定業務のみ委託。基幹系開発は内製、運用のみアウトソースといったパターン。中堅企業の実務標準。

3. マルチソーシング

複数ベンダーに業務分割して委託。単一ベンダー依存を回避するが、統合管理コストが増える。VMO の役割が重要になる。

4. コアバックソーシング

一度アウトソースした業務を内製化に戻す。クラウドネイティブ企業への移行時に多い。

5. リザーブアウトソーシング

平時は内製、繁忙期・特殊要件時のみ外部委託。予備要員的な扱い。

6. SLA ベースアウトソーシング

工数払いではなく、成果 KPI 達成に対して支払う契約形態。MSP 契約の典型。

MSP 選定 5 チェック

MSP を選定する際、次の 5 項目を必ずチェックします。

1. 財務健全性

MSP は 5〜10 年の長期契約が多いため、契約期間中に MSP が倒産・買収されるリスクを事前評価。帝国データバンク／東京商工リサーチのレポート、上場企業なら有価証券報告書、非上場は決算公告を確認。

2. 認証取得

ISO/IEC 27001 、SOC 2 Type II 、Pマーク、業界別（FISC ／PCI DSS ／HITRUST 等）の認証取得状況。契約期限内の有効性確認。

3. 実績業界

金融／医療／官公庁／製造業／小売など、自社と同業界での実績数と参照可能顧客。業界特有の規制対応（金融ならディスクロージャー、医療なら 3 省 2 ガイドライン）の理解度。

4. SOC 2 Type II 対応

SOC 2 Type II は運用状況を 6-12 か月間評価するレポート。単なる SOC 2 Type I（一時点評価）とは異なり、継続的な統制運用を保証。金融・医療業界では必須。

5. リファレンスチェック

MSP が提示する参照顧客に直接インタビュー。契約時の説明と実運用のギャップ、担当者の質、SLA 遵守実態、契約更新時の交渉態度を確認。

MSP 契約の落とし穴

MSP 契約でよくある 3 つの落とし穴を把握します。

落とし穴 1：初期費用の埋め込み

「初期費用ゼロ・月額◯◯万円で運用開始」の提案は、月額料金に初期費用を分散させているケースが多い。3〜5 年契約前提の総額で比較。中途解約すると初期費用未回収分をペナルティ的に請求される契約もあり要注意。

落とし穴 2：隠れた変動費

「基本パッケージ」に含まれない追加サービスが実運用で不可欠なケース。追加調査時間の時間単価、休日夜間対応料、緊急対応料、追加レポート作成料などが該当。「基本パッケージで契約したら、追加費用が月額料金の 30 % に膨らんだ」というのはよくあるパターン。RFP 段階で追加サービスの単価表提示を義務化。

落とし穴 3：技術者ロックイン

MSP が持つ独自ツール・独自プロセス・独自ドキュメント形式に依存し、他 MSP への切替が困難になる状態。切替時にドキュメント再作成が必要、ナレッジトランスファーに数か月要するといった状況。契約時点で「ナレッジ標準化・ドキュメント形式・切替時協力義務」を明記します。

まとめ

MSP 3 大領域：MDR（脅威検知対応・CrowdStrike ／SentinelOne 等）、SOC 運用（IBM ／NRI セキュア等）、ヘルプデスク委託（日本 IBM ／富士通等）
KPI 契約は 4 KPI（FRT ／MTTR ／FCR ／CSAT）で設計、優先度別 SLA レベル
SLA と OLA ／UC の 3 層関係で整合設計する
罰則条項（サービスクレジット）とインセンティブ条項（ゲインシェア）を組合せ
IT アウトソーシング契約 6 種（フルアウトソース／セレクティブ／マルチソーシング／コアバックソーシング／リザーブアウトソース／SLA ベース）
MSP 選定 5 チェック：財務健全性／認証取得／実績業界／SOC 2 Type II ／リファレンスチェック
MSP 契約の落とし穴 3 パターン：初期費用の埋め込み／隠れた変動費／技術者ロックイン

次のレッスンでは、QBR ・スコアカード・ベンダー評価年次サイクルの運用を扱います。

MSP ／マネージドサービス・BPO 契約の階層設計