企業のIT担当者やDX推進担当者の皆様、社内に把握しきれていない「野良マクロ」や「野良ソフト」は存在していませんか？
「担当者が退職して、業務で使っていたExcelマクロが動かなくなった」「勝手にフリーソフトをインストールして使っている社員がいる」など、IT部門の管理が行き届いていないシステムやソフトウェアは、思わぬトラブルの火種になりがちです。
こうしたIT部門の目が届かないIT資産は「シャドーIT」とも呼ばれ、セキュリティインシデントや業務停止のリスクを孕んでいます。
しかし、現場の業務効率化のために生み出されたツールを一律で禁止してしまうと、かえって現場の反発を招いたり、隠れてこっそり使われたりする悪循環に陥ってしまうことも少なくありません。
本記事では、野良マクロや野良ソフトが発生する背景から、放置した場合の具体的なリスク、そして単なる「禁止」にとどまらない、現実的かつ効果的な管理・統制のステップについて詳しく解説していきます。
現場の業務効率を落とすことなく、安全なIT環境を構築するためのヒントにしていただければ幸いです。
えりコメントもらえたら返信します！
シャドーITとは？野良マクロ・野良ソフトが生まれる背景
社内で独自の進化を遂げたツールたちは、なぜ生まれてしまうのでしょうか。
まずは、言葉の定義と背景事情について紐解いていきます。
野良マクロ・野良ソフトの定義と違い
日常的な業務の中で耳にする「野良マクロ」や「野良ソフト」ですが、これらはIT業界で「シャドーIT」と呼ばれる問題の代表例です。
シャドーITとは、企業のIT部門が把握・管理していない状態のデバイス、ソフトウェア、クラウドサービスなどを指します。
野良マクロは、現場の担当者が日常の定型業務を自動化するために、ExcelのVBA（Visual Basic for Applications）などを用いて独自に作成したプログラムのことです。
最初は小さな業務効率化からスタートしますが、次第に複雑化し、部署全体で使われるようなシステムへと肥大化していく傾向があります。
一方で野良ソフトは、会社が公式に許可していないソフトウェアやアプリケーションを指します。
業務を便利にするためのフリーソフトや、個人のスマートフォンアプリ、あるいは未承認のクラウドストレージサービスなどが該当します。
これらは形こそ違いますが、「IT部門の管理下にない」という共通の課題を抱えています。
なぜ現場は独自のツールを作ってしまうのか
IT部門から見れば厄介な存在ですが、現場の社員も悪気があって作っているわけではありません。
その背景には、現場ならではの切実な事情が存在します。
既存の社内システムが使いにくい、あるいは現在の業務プロセスに合っていない場合、現場はどうにかして目の前の仕事を回そうと工夫します。
また、ちょっとした機能追加や自動化をIT部門に依頼しても、「予算がない」「対応に数ヶ月かかる」と後回しにされてしまうことも少なくありません。
結果として、目の前の業務に追われる現場の担当者は、「自分でサクッと作ってしまった方が早い」と考え、自らの手でマクロを組んだり、手軽なフリーソフトを導入したりするのです。
つまり、野良マクロや野良ソフトは、会社のシステムと現場の業務ニーズの「ズレ」から生まれる産物だと言えます。
昨今のDX推進やテレワーク普及による最新動向
近年、国を挙げてのDX（デジタルトランスフォーメーション）推進や、テレワークの普及により、このシャドーIT問題はさらに複雑化しています。
テレワークによってオフィス外での業務が増え、IT部門の目が行き届きにくくなりました。
自宅のネットワーク環境から個人のクラウドサービスに業務データを保存してしまったり、コミュニケーションを円滑にするために未承認のチャットツールを導入したりするケースが増加しています。
さらに、プログラミングの専門知識がなくてもアプリ開発ができる「ノーコード・ローコードツール」の普及も、状況を変化させています。
現場主導で業務改善を行う「市民開発（Citizen Development）」が推奨される一方で、統制がとれていないままツールだけが導入されると、新たな「野良アプリ」を大量に生み出してしまう危険性もはらんでいます。
放置するとどうなる？野良マクロ・野良ソフトがもたらすリスク
「便利に使えているなら、そのままにしておいても良いのでは？」と思う方もいらっしゃるかもしれません。
しかし、管理されていないIT資産を放置することは、企業にとって非常に大きな時限爆弾を抱えることと同じです。
ここでは、放置することでもたらされる具体的なリスクを解説します。
セキュリティリスクによる情報漏洩とマルウェア感染
最も深刻なのがセキュリティリスクです。
野良ソフトとして導入されたフリーソフトやクラウドサービスには、十分なセキュリティ対策が施されていない場合があります。
脆弱性を突かれて外部からのサイバー攻撃を受けたり、マルウェア（悪意のあるソフトウェア）に感染したりするリスクが高まります。
また、野良マクロの中には、外部のネットワークと通信を行うような処理が組み込まれていることもあります。
もしそのマクロにセキュリティ上の欠陥があれば、そこから社内の機密情報や顧客データが外部に漏洩してしまう事態になりかねません。
IT部門が把握していないツールでインシデントが発生した場合、原因究明に多大な時間を要し、被害が拡大してしまうという恐ろしさがあります。
属人化による業務継続性の喪失
野良マクロに特有の大きな問題が「属人化」です。
現場の優秀な担当者が独自に作り込んだマクロは、往々にして設計書やマニュアルが存在しません。
プログラムのコードも、専門的な教育を受けていない担当者が書いた、いわゆる「スパゲティコード（複雑に絡み合った読解困難なコード）」になっていることが多々あります。
作成者が異動や退職でいなくなってしまった瞬間、そのマクロは誰にも修正できないブラックボックスと化します。
「いつもボタン一つで終わっていた処理が動かなくなったが、誰も直し方が分からない」という事態に陥り、最悪の場合は日々の業務が完全にストップしてしまうリスクがあるのです。
このように、特定の個人に依存した業務プロセスは、企業の業務継続性（BCP）の観点から非常に脆弱な状態と言えます。
コンプライアンス違反とガバナンス低下
企業は、個人情報保護法や各種業界の規制など、様々な法令やガイドラインを遵守する義務があります。
しかし、野良マクロや野良ソフトでどのようにデータが処理され、どこに保存されているかが不明確な状態では、適切なデータ管理ができているとは言えません。
例えば、個人情報が含まれる顧客リストを、セキュリティチェックを経ていない個人利用のクラウドストレージに保存していた場合、重大なコンプライアンス違反に問われる可能性があります。
また、ソフトウェアのライセンス違反（個人利用のみ無料のソフトを業務利用するなど）を知らずに行っているケースもあり、後日高額な賠償金を請求されるリスクも潜んでいます。
ITガバナンスが効いていない状態は、企業の社会的信用を大きく損なう要因となります。
「禁止」は逆効果？正しい管理アプローチの全体像
ここまでリスクをお伝えしてきましたが、それならば「野良マクロも野良ソフトも一切使用禁止！」と通達を出せば解決するのでしょうか。
実は、そう単純な話ではありません。
なぜ一律禁止では解決しないのか
頭ごなしに禁止するアプローチは、多くの場合失敗に終わります。
前述の通り、野良マクロや野良ソフトは「現在の業務を回すために必要不可欠」だからこそ存在しています。
代替手段を用意せずに禁止だけを押し付けると、現場の業務効率は著しく低下し、残業時間の増加などを招いてしまいます。
さらに恐ろしいのは、禁止されたことで現場がツールを「隠す」ようになることです。
「使っていることがバレると怒られるから、IT部門には内緒にしておこう」という心理が働き、アンダーグラウンド化が進行します。
こうなると、いざという時の実態把握がさらに困難になり、セキュリティリスクはかえって増大してしまうのです。
「排除」から「活用と統制」へのパラダイムシフト
現代のIT管理において求められているのは、「排除」ではなく「活用と統制」という考え方です。
現場が自ら業務改善を行おうとするモチベーションや、現場ならではの課題解決のアイデアは、企業にとって非常に価値のあるものです。
IT部門の役割は、現場のツールを取り上げる「警察」になることではありません。
現場のニーズを汲み取り、セキュリティやガバナンスを担保しながら「安全に業務効率化ができる環境」を提供する「支援者」へと役割をシフトしていくことが重要です。
これからご紹介する管理フレームワークも、この「活用と統制」の考え方をベースにしています。
実践！野良マクロ・野良ソフトを管理する4つのステップ
それでは、実際に社内の野良マクロや野良ソフトをどのように管理・統制していけばよいのでしょうか。
場当たり的な対応ではなく、体系的なアプローチで進めることが成功の鍵となります。
以下の4つのステップに沿って進めていきましょう。
ステップ1：可視化と現状把握（洗い出し手法）
まずは、「どこに」「どんな」ツールが存在しているのかを明らかにしなければ何も始まりません。
現状把握には、大きく分けて「人へのアプローチ」と「システム的なアプローチ」の2つがあります。
- 全社アンケート・ヒアリングの実施現場の担当者に対して、「業務効率化のために自作しているツール」や「便利だから使っているが、会社から正式に許可されているか分からないソフト」がないか、申告を求めます。この時、「処罰するためではない」「業務をより安全でスムーズにするための調査である」という目的をしっかりと伝え、正直に申告しやすい心理的安全性を確保することがポイントです。
- システムツールを用いた資産スキャンアンケートだけでは申告漏れが発生するため、システム的な調査も併用します。野良ソフトの検出には、ネットワークスキャンツールやエンドポイント管理ツール（EDR/MDM）、IT資産管理ツールを活用し、許可されていないアプリケーションがインストールされている端末を特定します。野良マクロの場合は、ファイルサーバー上で拡張子（.xlsm、.xlsb、.docmなど）による検索をかけ、マクロが含まれるファイルを洗い出します。
ステップ2：リスク・価値評価（トリアージ）
洗い出しが完了したら、次は見つかったツールを評価し、対応の優先順位を決める「トリアージ（仕分け）」を行います。
すべてのツールを同じようにIT部門で管理するのはリソース的に不可能です。
以下の表のように、「業務への影響度（重要度）」と「セキュリティ・運用リスク」の2軸で分類することをおすすめします。
| 分類 | 重要度 | リスク | 特徴と状態の例 |
| A | 高 | 高 | 業務の根幹に関わり、止まると多大な影響が出る。しかし属人化やブラックボックス化が進行している。 |
| B | 高 | 低 | 頻繁に使用されており業務効率化に貢献しているが、扱うデータや影響範囲が限定的。 |
| C | 低 | 高 | セキュリティ懸念がある（外部通信など）。または過去に作られたが現在は誰も使っていない。 |
| D | 低 | 低 | 個人のちょっとした作業用。業務への影響は軽微。 |
この評価を行うためには、各ツールが「何の業務で使われているか」「どんなデータを扱っているか（個人情報や機密情報は含まれるか）」「作成者は誰か」といった詳細なヒアリングが必要になります。
ステップ3：評価に基づいた対応策の実行
トリアージの結果に基づき、それぞれの分類に対して適切な対応策を実行していきます。
- 分類A（高重要度・高リスク）への対応：正式化・システム化業務への影響が大きいため、早急にIT部門の管理下に置く必要があります。まずは現状の仕様を解析・ドキュメント化し、ブラックボックス状態を解消します。その後、IT部門が保守管理を引き取るか、可能であればRPA（ロボティック・プロセス・オートメーション）や正式な業務システム、パッケージソフトへのリプレイスを計画・実行します。
- 分類B（高重要度・低リスク）への対応：環境整備と監視業務に役立っておりリスクも低いため、継続利用を認めつつ、安全性を高めるアプローチをとります。後述する「市民開発」の枠組みに組み込み、定期的なバックアップや、作成者の異動時の引き継ぎルールを設けます。将来的には、より安全なローコードプラットフォームへの移行を促すのも良いでしょう。
- 分類C（低重要度・高リスク）への対応：削除・利用禁止業務への影響が少なくリスクが高いものは、迷わずセキュリティポリシーに基づいて強制削除、または利用禁止措置をとります。既に使われていない放置ファイルなども、情報漏洩や誤操作の原因になるため、このタイミングで整理・廃棄します。
- 分類D（低重要度・低リスク）への対応：現状維持・自己管理影響が軽微なものは、過度な管理を行わず、ガイドラインの範囲内での自己管理とします。
ステップ4：ルール化と再発防止の環境整備
既存の野良ツールを整理できても、ルールがなければまた新たな野良ツールが生み出されてしまいます。
再発を防ぐためには、「安全に作れる場所」と「守るべきルール」をセットで提供することが不可欠です。
- 市民開発ガイドラインの策定現場の社員が自らツールを作成・導入する際の明確なルールブック（ガイドライン）を作成します。「どんなデータなら扱って良いか」「マクロを作成した場合の保存先はどこか」「退職・異動時の引き継ぎ義務」などを明記します。「Excelマクロなら作成OKだが、個人のクラウドストレージに保存するのはNG」といったように、具体的にして現場が迷わないようにすることが大切です。
- 申請・承認プロセスの確立新しいソフトウェアを導入したり、大規模な自動化ツールを作成したりする際の、簡易的な申請窓口を設けます。ハードルが高すぎると形骸化してしまうため、スピーディーに審査・承認が行えるフローを構築します。
野良ツールから安全な環境へ！移行先の具体的な選択肢
既存の野良マクロを正式化・リプレイスする際や、新たな業務改善を行う際、どのようなプラットフォームに移行するのが良いのでしょうか。
代表的な選択肢とそのメリット・デメリットを比較してみます。
RPAツールの導入による業務プロセスの自動化
定型的なパソコン操作を自動化するツールとして、RPA（Robotic Process Automation）が広く普及しています。
Excelなどの単一アプリケーションに留まらず、Webブラウザや社内システムなどを跨いだ複数の操作を自動化できるのが強みです。
- メリット複数のシステムを横断した複雑な自動化が可能。画面上の操作を記録してシナリオを作成できるため、比較的直感的に構築できる。サーバー型RPAなどを導入すれば、IT部門での一元管理や権限設定が容易になる。
- デメリット導入コストやライセンス費用がかかる場合が多い。システムの画面レイアウトや仕様が変更されると、ロボットが止まってしまう（メンテナンスの手間がかかる）。
ローコード・ノーコード開発プラットフォームの活用
近年、シャドーIT対策の切り札として注目を集めているのが、ローコード・ノーコードツールです。
プログラミング言語の深い知識がなくても、視覚的な操作でアプリケーション開発や業務の自動化が行えます。
代表的なものとして、Microsoft 365に含まれる「Power Platform（Power AutomateやPower Appsなど）」や、サイボウズ社の「kintone」などがあります。
- メリットIT部門が全体のアカウントやデータへのアクセス権限を管理しやすく、ガバナンスを効かせやすい。クラウド上で動作するものが多く、テレワーク環境でも利用・共有がスムーズ。既存のExcel業務をデータベース化し、複数人での同時編集や進捗管理が容易になる。
- デメリットツール独自の概念や操作方法を学習する時間が必要。複雑すぎるシステム開発には向いておらず、標準機能では実現できないカスタマイズには限界がある。
これらのツールを「会社公認の安全な遊び場（サンドボックス）」として現場に提供し、「何か作りたい時はこのツールを使ってくださいね」と誘導していくことが、野良マクロ・野良ソフト撲滅への近道となります。
よくある疑問（Q&A）
シャドーIT管理について、現場の担当者やIT部門の方からよく寄せられる疑問にお答えします。
現場からの反発にはどう対応すればいいですか？
「今まで便利に使っていたのに、急に使えなくなると仕事が回らない」といった現場からの反発は必ず起こると想定しておくべきです。
大切なのは、IT部門からの一方的な通達ではなく、現場との対話を重ねることです。
「セキュリティ事故が起きると、会社全体の業務が止まってしまうリスクがあること」を丁寧に説明し、理解を求めましょう。
同時に、「業務を止めることが目的ではなく、より安全で便利な代替ツール（RPAやローコードツールなど）を一緒に見つけていく」という協力的な姿勢を示すことが重要です。移行期間を十分に設けることも反発を和らげるポイントになります。
洗い出しに使えるツールにはどんな種類がありますか？
資産の可視化には、目的別にいくつかのアプローチがあります。
- IT資産管理ツール（SKYSEA Client View、LANSCOPEなど）：社内のPCにインストールされているソフトウェアの一覧を取得し、許可されていないソフト（野良ソフト）を検出するのに適しています。
- CASB（Cloud Access Security Broker）：従業員が利用しているクラウドサービスを監視・制御し、未承認のクラウドストレージ（野良クラウド）の利用を検知します。
- ファイルサーバー検索ツール：ファイルサーバー内をクロールし、特定のマクロ拡張子を持つファイルをリストアップします。一部のツールでは、マクロの中身を解析してリスク度を判定してくれる機能を持つものもあります。
マクロとVBAの違いは何ですか？
よく混同されがちですが、厳密には意味が異なります。
「マクロ」とは、パソコン上の複雑な操作や反復する手順を記録し、自動で実行させる「機能そのもの」を指します。
一方「VBA（Visual Basic for Applications）」は、Microsoft社が提供するOffice製品（ExcelやAccessなど）でマクロを作成するために使用される「プログラミング言語」のことです。
つまり、「VBAという言語を使って記述されたプログラムが、Excelのマクロ機能として動いている」という関係性になります。
野良マクロの多くは、このVBAを用いて書かれていますが、プログラミングの基礎的な作法を守らずに書かれていることが多いため、他人が解読しにくいブラックボックス化を引き起こしやすいのです。
まとめ
本記事では、野良マクロや野良ソフトといった「シャドーIT」の管理と統制について解説してきました。
現場の切実な業務効率化への思いから生まれるこれらの独自のツールは、放置すれば情報漏洩や業務停止といった重大なリスクを引き起こします。
しかし、単に禁止するだけでは根本的な解決には至りません。
大切なのは、以下の4つのステップで計画的にアプローチしていくことです。
- 可視化と現状把握（アンケートやツールによる洗い出し）
- リスク・価値評価（トリアージによる優先順位付け）
- 評価に基づいた対応策の実行（正式化、環境整備、削除）
- ルール化と再発防止の環境整備（ガイドライン策定と代替ツールの提供）
「排除」するのではなく、「活用と統制」のバランスを取ることが求められています。
RPAやローコードプラットフォームなど、IT部門が管理できる安全な環境を現場に提供し、現場主導のデジタル化（市民開発）を正しく支援していくことが、これからの企業成長に不可欠です。
まずは、アンケートやヒアリングを通じた「社内の現状把握」という小さな一歩から始めてみてはいかがでしょうか。
安全で効率的な業務環境の構築に向けて、本記事の管理フレームワークがお役に立てば嬉しく思います。
コメント