第1章 序論：資産返却の戦略的意義と法的責任
本報告書の目的、適用範囲、および読者への指針
貸与IT資産の返却手順。
本報告書は、企業が従業員へ貸与したIT資産（PCおよびスマートフォン）を返却する際に必要となる、データセキュリティとコンプライアンスを確保するための標準運用手順（SOP）を確立することを目的とします。情報技術資産管理（ITAM）の観点から、貸与品の返却プロセスは、情報ライフサイクルの最終段階において情報漏洩リスクを最小化するための決定的なステップとして位置づけられます。
企業は、退職者や異動者から返却されたIT資産に対して、社内規定に基づく厳格な手順を実行する法的および倫理的責任を負っています。本報告書は、このプロセスに関わる利用者自身、および情報システム部、人事部、総務部の各担当者が遵守すべき具体的な手続きを詳述します。
貸与品返却における法的・企業倫理上の責任
退職者に貸与されていたPCやモバイルデバイスのデータ管理は、個人情報保護法や企業秘密の観点から、法的な観点からも適切な対応が厳しく求められます [1]。不適切なデータ削除は、後に中古市場での流出や、意図しないデバイスの再接続を通じたネットワークセキュリティリスクを引き起こし、企業に重大な損害を与える可能性があります [2]。
情報セキュリティ対策を推進するIPA（情報処理推進機構）のガイドラインでは、情報資産の完全な削除を確実にするため、HDDやSSDに対して完全消去または物理的破壊の実施が推奨されています [1]。一般的な企業では、効率化のためにOS標準の初期化機能を利用することが多いものの、この手法はデータ回復に対する防御力が限定的であるため、企業が「推奨されるベストプラクティス」を完全に満たしていると見なされない場合があります。そのため、企業は従業員にOS標準の初期化を依頼した後も、情報システム部門が受け取り時に、再利用や廃棄の方針に応じて上書き消去または物理破壊を基本方針として引き継ぐべきであるとされています [2]。
また、資産返却手続きにおいては、私的な物品の混入を防ぐ措置も講じる必要があります。貸与品に私物のSIMカードやSDカードが残存していた場合 [3]、企業はそれらの媒体に含まれる第三者の個人情報を意図せず保有または破棄してしまうリスクを負うことになり、個人情報保護法上のリスク（従業員の個人情報漏洩）に該当する可能性があります。したがって、返却者は返却前に私物カードの抜き取りを義務付けられ、企業はこれをチェックリストに明記し、企業資産と私的資産の区別を徹底させることが必須の要件となります。
第2章 PC（Windows/Mac）のデータ完全消去手順
PCのデータ消去は、返却後の資産のセキュリティと再利用可能性を確保するために最も重要なステップです。単なるファイル削除ではなく、復元不可能なレベルでの完全なデータ消去が求められます。
消去前の準備：ローカルデータ、認証情報、および私的ファイルの除去
OSの初期化を実行する前に、以下の情報がPC内に残存していないことを確認し、手動で削除する必要があります。
- 私物データおよび一時ファイルの削除: 利用者は、PC内に保存されている個人が作成したローカルフォルダの内容、一時ファイル、およびごみ箱のデータを完全に削除する必要があります
[2]。 - 認証情報と履歴の削除: ウェブブラウザに保存されたログイン情報やパスワード
[2]は、初期化操作を実行する前に、ブラウザの「パスワード管理」機能から確認し、ログアウト後に削除することが求められます[2]。OSのキーチェーンまたは認証情報管理機能に保存された情報も同様にクリアする必要があります。
Windows PCにおけるデータ完全消去ステップ
Windows 10および11環境では、「PCをリセットする」機能が、データ消去の基本的な手法として推奨されます。特に、ハードドライブが1台のラップトップやPCの場合、リセット機能を使用して工場出荷時の状態に戻すことで、多くの問題を修正し、新しいユーザーエクスペリエンスを開始できます [4]。
このリセット手順を実行する際には、セキュリティを最大化するために、選択肢を慎重に選ぶ必要があります。単にファイルを削除するだけでなく、**「ファイル、アプリ、設定をすべて削除」を選択し、さらに「ファイルを完全に削除する」（データの上書き消去）**オプションを選択することが推奨されます [2]。この「完全な削除」オプションは、データ復元ツールによる情報復元を困難にする上書き処理を実行します。
より厳格なセキュリティ要件を持つ企業や、ディスクの未割り当て部分に存在するデータも確実に消去したい場合、Windowsのセキュアワイプ機能や、専用のコマンドラインツール（ディスクの未割り当て部分のファイルデータを含む安全な消去を実現）の利用が推奨されます [4]。
Mac PCにおけるデータ完全消去ステップ
Macintosh PCのデータ消去手順は、搭載されているセキュリティチップ（Apple T2チップまたはAppleシリコン—M1、M2、M3チップなど）によって大きく進化しています。
最新のmacOS Monterey以降がインストールされ、セキュリティチップを搭載したMacでは、従来の上書き消去よりも迅速かつ確実な消去手法が利用可能です。利用者は、Appleメニューから「システム環境設定」を選択し、メニューバーの「システ環境設定」メニューから**「すべてのコンテンツと設定を消去」**を選択します [5]。
この手法は、暗号化されたボリュームの暗号化キーを即座に破棄することで、物理的な上書きプロセスを経ることなく、データを瞬時に不可逆的に消去することを可能にします。これにより、従来のPC消去で数時間を要していた作業が数分で完了し、IT部門の作業効率が向上します。
一方、上記機能が利用できない旧OSや非T2チップ機では、ディスクユーティリティから起動し、ボリュームを消去した後にOSを再インストールする従来の手順が必要となります。また、Windowsと同様に、初期化の前にApple IDからログアウトし、「Macを探す」機能を解除することが、デバイスのロック（アクティベーションロックと同様の問題）を避けるために不可欠です。
データ消去後、資産が中古市場などで流出するリスクに備え、消去の完全性が重要視されます [2]。初期化＋上書き消去で再利用可能と判断されたPCであっても、廃棄や売却に回す際には、IPA推奨に従い、物理的破壊、または専門業者による高度な完全消去（委託証明書の取得が必要 [6]）に移行することが、法的防御力を高めるために必要不可欠です。
以下に、PCおよびモバイルデバイスのデータ消去に必要なステップの比較表を示します。
デバイス別データ消去必須チェックリスト
| ステップ | Windows PC | Mac PC | iOS (iPhone) | Android | コンプライアンス要件 | 参照 |
| 私物SIM/SDカードの抜き取り | N/A | N/A | 必須 | 必須 | 情報混在防止/私物誤廃棄防止 | [3] |
| ログイン情報/履歴の削除 | 必須 | 必須 | 必須（ログアウト） | 必須（ログアウト） | 認証情報漏洩防止 | [2] |
| アカウント紐づけ解除（ロック対策） | N/A | N/A | Apple IDによるアクティベーションロック解除 | Googleアカウント削除/FRP解除 | 資産再利用の確実性 | [7, 8] |
| OS標準機能による初期化/リセット | 必須（完全削除オプション推奨） | 必須（コンテンツと設定を消去） | 必須（全コンテンツと設定を消去） | 必須（工場出荷時リセット） | データ回復の不可逆性 | [1, 4, 5] |
| データ消去証明書の作成/提出 | 必須 | 必須 | 必須 | 必須 | 監査対応と法的責任の明確化 | [6, 9] |
第3章 モバイルデバイス（スマートフォン）のデータ完全消去とロック解除
モバイルデバイスの返却においては、PCと同様のデータ消去（ファクトリーリセット）に加えて、デバイスと個人のクラウドアカウントとの紐づけを解除し、資産の再利用を可能にする「所有権ロックの解除」が重要なステップとなります。
iOSデバイス（iPhone）の初期化とアクティベーションロック解除
iPhoneがApple IDに紐づいた状態で初期化された場合、アクティベーションロックがかかり、そのIDとパスワードがなければ、たとえ企業資産であってもデバイスは再利用不能な状態（ゼロ日資産）となります。このロック解除の漏れは、資産管理上の損失を招き、資産効率を著しく低下させるため、最優先で対処すべき事項です。
- SIMカードの抜き取り: 返却者は、必ず私物のSIMカードやSDカードを抜き取る必要があります
[3]。 - アクティベーションロックの解除: iPhoneが手元にある場合、画面で案内される手順に沿ってApple IDとパスワードを入力すれば、アクティベーションロックが解除されます
[7]。これは初期化操作を行う前、またはその途中で必ず実施しなければなりません。 - パスワードの再設定: もしApple IDのパスワードを忘れた場合、パスワード自体を確認する方法は存在しないため、速やかに再設定の手続きを行う必要があります
[7]。 - 企業による対応: 従業員がロック解除手続きを怠った場合、企業側はAppleサポートに解除を依頼できますが、その際には、製品のシリアル番号やIMEI、またはMEIDが記載された所有証明書類を準備することが必須となります
[7]。
Androidデバイスの初期化とFRPロック解除
Androidデバイスでは、ファクトリーリセット保護（FRP: Factory Reset Protection）が所有権ロックとして機能します。FRPロックは、デバイスがGoogleアカウントと紐づいている限り有効であり、初期化を行ってもGoogleアカウント自体がデバイスから削除されることはありません [8]。
そのため、再利用を確実にするためには、初期化前に以下の手順を実行し、Googleアカウントとの紐づけを解除することが不可欠です [8]。
- Googleアカウントの削除: 「設定」メニューから、デバイスに紐づけられたGoogleアカウントをログアウトまたは削除します。
- OEMロック解除の無効化: FRPロックを確実に回避するため、「開発者向けオプション」にある「OEMロック解除」をオフに設定します
[8]。
万が一、Googleアカウントがロックされたり、正しい情報を忘れたりしてFRPロックが解除できない場合は、端末管理アプリをオフにする方法 [8]、またはPassFab Android Unlockのような専用の解除ツール [8, 10] を利用してロックを削除する必要があります。これらのツールを用いた解除作業は、専門知識が必要となるため、企業の情報システム部門が集約的に行うべきであり、従業員が実施することは推奨されません。
これらのデバイスロック管理の複雑性から、企業はMDM（モバイルデバイス管理）ツールを導入し、企業アカウントのみを使用させる体制を構築するか、あるいは遠隔で強制的にデータ削除とロック回避設定を行うことで、退職時のロック解除トラブルを未然に防ぐことが求められます。
第4章 貸与品の返却実務、梱包基準、およびロジスティクス
貸与品の物理的な返却プロセスは、物品の安全を確保し、返却義務の履行を証明するための法的証拠を残すことが重要です。
返却対象物と担当部署の確認
返却手続きは、企業が管理するIT資産管理台帳に基づき、貸与されたすべての物品が網羅されていることを確認しながら進められます。
- 主な返却対象: PC本体、スマートフォン、周辺機器（ACアダプター、ケーブル、マウス、モニター等）、社員証、健康保険証、制服・作業着（職種によって支給されている場合）などが含まれます
[11, 12]。 - 担当部署と返却方法: 貸与PCやモニター等のIT資産は、情報システム部が担当し、多くの場合、集荷依頼または郵送によって返却されます。健康保険証など人事関連の物品は、人事部への郵送が一般的です
[12]。
返却時の梱包基準：精密機器の安全確保
PCやスマートフォンなどの精密機器は、輸送中の振動や衝撃による故障を防ぐため、運送会社が推奨する厳格な梱包基準に従う必要があります [11]。不適切な梱包による輸送中の故障は、資産価値の損失だけでなく、データ漏洩につながる物理的な破損を引き起こす可能性があり、セキュリティインシデントの原因と見なされるリスクを内包します。
返却者は以下の多層梱包の原則に従う必要があります [13]。
- 本体の保護: PC本体やデバイスを緩衝材（エアキャップなど）で保護するように多層に包みます
[13]。 - 底部の緩衝: 段ボールの底に、厚めに緩衝材を敷き詰めます
[13]。 - 固定の徹底: 梱包物を箱に詰めた後、内容品が輸送中に動かないように、上部および側面の隙間を緩衝材で完全に埋めて固定します
[13]。
また、あやまって自分の私物（充電器や私用ケーブル、私物SIM/SDカード）を送付してしまうと、それらは廃棄されるか、返却に別途送料が発生する恐れがあるため、返却リストに基づき私物混入を回避することが必須です [3]。
配送方法の選択と追跡記録の保持（法的証拠の確保）
配送方法の選択は、物理的な資産保護だけでなく、返却義務の履行を証明するための法的証拠の確保という側面を持ちます。
- 追跡可能な手段の利用: 物品の紛失や未達のトラブルに備え、普通郵便での送付は厳禁とされています
[11]。ゆうパックや宅配便など、必ず伝票番号で配送状況が確認できる追跡サービスを利用する配送方法を選ばなければなりません[11]。 - 記録の保管: 発送を完了した後、返却者は同封物のリストと発送記録（伝票番号）を控えとして保管しておく必要があります
[11]。この追跡記録は、万一会社側で受け取っていないなどのトラブルが発生した場合に、返却者が義務を果たしたことを証明する一次証拠となり、返却者自身を守るための重要な手続きです[11]。 - 送料の負担: 会社から特に指定がない限り、送料は基本的に返却者自身が負担することになります
[11]。
貸与品返却時におけるロジスティクスと責任区分
| 手続き項目 | 実行者 | 担当部署 | 推奨される方法 | 監査証跡（返却者保管） | 参照 |
| データ完全消去の実行 | 返却者（利用者） | 情報システム部/利用者 | OS初期化 + ロック解除 | 消去証明書控え | [6] |
| PC/モニター等の返却 | 返却者 | 情報システム部 | 追跡可能な宅配便 | 発送伝票記録 | [11, 12] |
| 健康保険証の返却 | 返却者 | 人事部/総務部 | 郵送 | 返却証明（受領書） | [12] |
| 貸与品の受領確認 | 会社側 | 情報システム部/総務部 | 物品確認後の受領書発行 | 会社発行の受領書原本/写し | [14, 15] |
第5章 監査対応のための文書作成と管理：コンプライアンスの完了
貸与品の返却とデータ消去のプロセスが終了した後、すべての手順が規定通りに実行されたことを証明する文書を整備し、永続的に管理することが、法的コンプライアンスと将来的な監査対応のために不可欠です。
データ消去の証明：消去・破棄報告書/証明書の整備
データ消去・破棄証明書 [9] は、単なる手続きの確認書ではなく、機密保持契約に基づき、万一、消去の不備による機密情報漏えいが発生した場合に、損害賠償責任の所在を明確にする目的を持つ法的な文書です [9]。この文書に署名する「データ消去・破棄責任者」は重大な法的責任を負うため、記載内容は極めて高い精度で記述される必要があります。
証明書には以下の事項を厳密に記載しなければなりません。
- 消去した情報資産名、データ消去・破棄した日を明確に記載します
[9]。 - 消去・廃棄方法の詳細: 使用した専用ソフト名（使用した場合）、または物理的破壊の処理方法（穿孔処理、焼却処理等）を具体的に記載します
[6]。 - 作業処理者および責任者名を明記します
[6]。 - データ消去・廃棄を第三者に委託した場合は、委託先が発行した消去または廃棄証明書を原本として添付することが義務付けられます
[6]。
資産返却の証明：受領書の確認と保管
返却者が物品を発送した際の証拠（伝票）に加え、会社側が物品を規定通りに受領した正式な記録が必要です。会社側は、様式第56号 [15] や様式委契−14 [14] などの「貸与品等受領書」に従い、返却された物品の品名、規格、数量を確認し、受領した旨を記載します。
返却者（元従業員）は、自身の返却義務が完了したことを証明するために、会社側から発行または確認を受けた受領書の控えを保管することが、退職後の予期せぬトラブルに対する重要な防御策となります。
監査経路の構築と永続的な記録管理
企業は、データ消去証明書 [6, 9]、追跡可能な配送記録 [11]、および貸与品等受領書 [14, 15] の三つの文書を「監査証跡パッケージ」として、返却資産ごとに一元的に管理する必要があります。
このプロセスの健全性を維持するためには、情報システム部、人事部、総務部の部門間連携が不可欠であり、すべてのオフボーディングステップが完了したことを確認するフローを文書化しなければなりません [12]。近年では、物理的な押印を伴う紙ベースのプロセスを維持しつつも、ITAM（IT資産管理）システムを導入し、データ消去ログの自動生成と電子的な受領書の発行を行うことで、監査証跡の管理コストを削減し、リモートワーク環境下での迅速な対応を可能にする傾向にあります。この統合的な記録管理により、企業全体の内部統制の健全性が証明されます。