立ち上げの実務
日本の大企業の購買はなぜ遅いのか：稟議・PoC・審査の待ち時間
稟議・PoC・セキュリティ審査
佐藤伸明約7分
日本の大企業に新しいシステムを売ると、契約までの道のりに稟議、PoC、情報システム部門のセキュリティ審査という関門が並ぶ。海外の本社から見ると、これが「遅い」に見える。ただ、中身を分けてみると、判断そのものに時間がかかっている場面は意外に少ない。時間の大半は順番待ちである。この順番待ちの長さが、日本法人の一年目に何人、どんな人を置くかを決める。
日本の大企業の購買は、どこで時間がかかっているのか
かかっているのは待ち時間だ。決裁者が忙しい、会議が来月になる、情シスの担当者が別の審査を抱えている。案件はそのあいだ、机の上で静かに寝ている。
大企業の購買期間について、公的な統計は見当たらない。私も信頼できるものを知らない。手がかりになるのは、ベンダー各社が公表している調査くらいである。サンプルは小さいが、示している方向は揃っている。
NTTデータビジネスブレインズが2026年8月に事業部門・管理部門のリーダー221人に聞いた調査では、部門でいちばん多い稟議について、承認者が3人以上という回答が64.4%、4人以上が37.5%だった。決裁までの日数は2日以上が61.1%、1週間以上が28.7%。そして76.0%が、押印欄の半分以上は確認や回覧のためで、判断のためのものではないと答えている。
これは社内の稟議一般の話で、外部からの購買に限ったものではない。契約と予算と情報セキュリティが絡む購買は、これより短くなることはまずない。
判子の半分以上が「見ました」の印だと答えた人が、4人に3人いる。日本の会社の慎重さを笑う話ではないと思う。責任を分け持つ仕組みとしてはよくできている。ただ、売る側から見ると、判子の数だけ待ち行列があるということになる。
稟議書を書くのは誰か
書くのは顧客側の担当者だ。起案者と呼ばれ、現場部門の課長や主任であることが多い。なぜ買うのか、なぜこの会社なのか、いくらかかるのか、何かあったら誰が責任を持つのか。これを一枚にまとめ、決裁権限規程に沿って上に回す。金額が大きいほど決裁者の職位は上がり、途中の判子も増える。
ここで見落とされやすいのは、売り手の本当の競争相手が起案者の時間だという点である。起案者には本業がある。稟議は追加の仕事だ。資料が足りなければ後回しになり、質問に答えられなければもう一度打ち合わせが入る。
だから日本の大企業営業の仕事の半分は、起案者の代わりに書くことだと私は考えている。導入効果の試算、既存システムとのつなぎ方、障害時の連絡体制、同業の導入事例。それを日本語で、稟議書にそのまま貼れる形で渡す。デモと価格交渉が得意な営業は、この段階ではあまり出番がない（本人には少し気の毒だが）。
PoCは、終わった後のことから決める
PoCを始める前に、PoCが終わったら何が起きるのかを書面にしておく。これだけで、ずいぶん違う。
日本の顧客がPoCを好むのは理にかなっている。起案者の手元に「自社で検証した」という材料ができ、稟議が書きやすくなる。困るのは、成功の定義がないまま始まるPoCだ。三か月後に報告書が出て、「一定の効果は確認できた。範囲を広げてもう少し試したい」となる。そしてまた三か月が過ぎる。
うまく進む例を見ていると、いくつか共通点がある。検証項目と合格ラインを事前に文書で合意している。できれば顧客自身のKPIで決めている。期間と範囲を一部門、一業務に絞っている。費用は無償でもよいが、合格したら本番導入にどう移るか、おおよその価格まで書いてある。もう一つ忘れがちなのが、PoCのあいだにセキュリティチェックシートと契約書案を並行して出しておくことだ。PoCが終わってから次の関門を開けると、待ち時間が直列につながってしまう。
こうした条件をどれも詰められないPoCは、たぶん製品を検証していない。今年度の予算があるかどうかを確かめているのに近い。
稟議の遅さは順番待ちにある。76%が「押印欄の半分以上は確認のため」と答えた
上：部門でいちばん多い稟議の承認状況。NTTデータビジネスブレインズ調査（2026年8月、事業・管理部門のリーダー221人、インターネット調査）。下：委託先・システムのセキュリティ審査担当者。SecureNavi「日本企業のリスクチェック実態調査 2026」（2026年6月、400人）。単位％
- 承認者が3人以上64.4%
- 決裁まで2日以上61.1%
- 決裁まで1週間以上28.7%
- 押印欄の半分以上が確認・回覧判断のためでない76.0%
- 判断基準が明確で誰でも判断できる22.5%
- このままでは業務が回らなくなる60.5%
時間は人を待つことに使われている。だから一年目に要るのは、顧客の代わりに書き、答えられる人だ。
セキュリティチェックシートが一往復で終わらない理由
読む側にも共通の物差しがないからだ。回答は、読む担当者によって違う意味に受け取られる。
まず、チェックシートが増えている背景がある。情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位で、8年連続の選出だった。取引先経由で痛い目にあった大企業ほど、入口を固くする。SecureNaviが2026年1〜2月に780人に聞いた調査でも、68%がチェックシートの回答依頼が増えたと答えている。
審査する側の事情も見ておきたい。同社が2026年6月に審査担当者400人に聞いたところ、判断基準が「明確で誰でも判断できる」としたのは22.5%にとどまった。60.5%は、このままではリスクチェック業務が回らなくなると感じている。従業員1,000〜9,999人の企業では68.3%である。
売る側に引き直すと、こうなる。回答を出しても、情シスの中で別の人が読めば、追加の質問が十個返ってくるかもしれない。データの保管国、アクセスできる人、事故発生時の通知時間、第三者認証の有無。追加の質問一つごとに、メール一往復と一週間が消える。
準備は地味だ。よく聞かれる質問への日本語の標準回答を蓄えておく。第三者認証や監査報告書を先に揃える。データの保管場所と事故時の連絡フローを一枚にまとめる。そして、技術的な質問に日本語で答えられる担当者を一人決める。この人は営業でなくてもいい。
一年目の日本法人に、誰を置くか
購買に一年かかるなら、一年目に必要な人数は少なく、種類は違う。
よく見るのは、本国と同じ感覚で営業を何人も採り、四半期ごとの目標を持たせる形だ。けれども大企業の一件に一年かかるなら、一年目に決まる大口案件はほぼゼロで、その営業たちは二年目の案件の種をまいていることになる。五人採れば、二年目の売上のために五人分の一年間を先払いしている計算だ。半年で目標未達が続き、半分が辞め、まいた種も一緒に消える。
私がよいと思う組み方は、稟議の進み方が分かり、起案者の代わりに日本語の資料を書ける企業営業が一人。それにチェックシートに答えられ、PoCを設計できるプリセールスが一人。この二人で二、三社の道のりを最後まで通し、各関門が開いた日と閉じた日を記録してから、二年目の増員を決める。最初の一人がなぜ純粋な営業でないほうがよいかは「日本法人の最初の一人は、営業でないほうがいい」に、製品・営業・組織の順番については「製品、営業、組織の順に決める理由」に書いた。
人数をぎりぎりに絞らないことも大事だ。PoCとチェックシートと稟議資料は、たいてい同じ週に重なる。一人が休めば、どの関門も止まる。「日本法人の人員は、なぜぎりぎりに絞ってはいけないのか」で、その計算をした。
最後に、この記事の数字の限界を書いておく。いずれもベンダー自身によるインターネット調査で、回答者は二百人から八百人ほど、日本企業全体を代表するものではない。方向を見る材料としては使えるが、自社の見積もりに使える数字は別のところにある。最初の三件の日付だ。初回訪問、チェックシートの受領、PoC開始、稟議の起案、契約。この五つの日付を残しておけば、本社に「いつ決まるのか」と聞かれたとき、少なくとも根拠のある答えが返せる。
出典（2026年11月時点）