2025年8月24日日曜日

SI会社選定・買収時の評価指標と国際基準調査

 

技術力・開発力の評価指標

SI企業の開発力を評価する指標としては、ソフトウェア提供能力や開発効率を定量化できるメトリクスが重要です。近年注目されるDevOps/DORAメトリクス（デプロイ頻度、変更リードタイム、障害復旧時間、変更失敗率）は、開発チームのパフォーマンスを測る基準として広く使われています。例えば、DORAの「Elite」レベルでは変更リードタイムが1日未満、障害復旧時間が1時間未満とされ、これらをクリアしているかでチームの強さを判断できますoctopus.comoctopus.com（図参照）。また、CMMI（Capability Maturity Model Integration）認定の有無やレベルも参考になります。CMMIはソフト開発プロセスの成熟度を測るモデルで、CMMI-DEV（開発版）ではベストプラクティスに基づくプロセス領域で評価し、正式なアプレイザルで組織の能力レベルを数値化しますsei.cmu.edusei.cmu.edu。高い成熟度（レベル4～5）であることはプロセスの改善力を示しますが、レベル自体が成果を保証するわけではない点にも留意が必要ですsei.cmu.edu。さらに、ソフトウェア製品の品質を評価するための国際基準ISO/IEC 25010では、機能適合性・信頼性・パフォーマンス効率性・使いやすさ・セキュリティ・互換性・保守性・移植性の8特性を定義し、各特性に対する実装状況を評価できますperforce.com。これら開発・品質指標を組み合わせて比較することで、SI企業の技術力や開発体制を可視化できます（図）octopus.comperforce.com。

図：DORAメトリクスによるパフォーマンス分類例（DevOpsチームのソフトウェア配信速度・安定性指標）octopus.com

品質・セキュリティ管理の成熟度

ソフトウェア品質と情報セキュリティの管理体制成熟度は、SI企業の信頼性を図る重要な要素です。国際標準ISO/IEC 27001（情報セキュリティマネジメントシステム規格）の認証取得状況は、情報セキュリティ管理が国際基準に準拠していることの証です。認証取得企業は、リスク評価・資産管理・アクセス管理などの体制が整備されており、顧客情報保護へのコミットメントが確認できます。さらに、ソフトウェア開発に特化したセキュリティ成熟度モデルであるOWASP SAMM（Software Assurance Maturity Model）は、開発プロセスにおけるセキュリティ対策の成熟度を評価できます。OWASP SAMMでは、組織のソフトウェアセキュリティプログラムを評価・改善するために、設計・実装・検証・デプロイなどライフサイクル全体にわたる活動指標を提供していますowasp.org。これにより、開発組織のセキュリティ対策のバランスやリソース配分を定量的に把握できます。また、米国NISTが提唱する**SSDF（Secure Software Development Framework）**は、脆弱性低減に向けたセキュア開発の実践集であり、ソフトウェア受注側・発注側が共通言語でセキュリティ要件を確認できますnvlpubs.nist.govnvlpubs.nist.gov。SSDFの採用・準拠度を調査することで、開発工程におけるセキュリティ対策の網羅性も評価できます。これらの枠組み（ISO27001認証、OWASP SAMM評価、NIST SSDFなど）は、第三者評価の指標として活用でき、品質・セキュリティ管理の成熟度を客観的に把握する手段となります。

プロセス成熟度

SI企業の開発・運用プロセスそのものの成熟度を測る指標としては、CMMIやISO/IEC 33000系列（旧ISO/IEC 15504＝SPICE）が利用されます。CMMI-DEV（ステージ表現）では5段階の成熟度レベル、継続表現では各プロセス領域の能力レベルを評価し、正式なアプレイザルで認定を得ることができますsei.cmu.edusei.cmu.edu。また、国際標準ISO/IEC 330xx（ソフトウェア・プロセス評価）では、組織やプロセス単位で能力評価・成熟度評価を行う規格が整備されています。ISO/IEC 15504シリーズ（SPICE）は2009年にISO/IEC 330xxシリーズに移行され、例えばISO/IEC 33020や33063ではプロセス評価方法や基準を定めていますmdpi.com。これら評価モデルに基づき、第三者機関によるアセスメント結果や自己評価による成熟度スコアを得て、組織のプロセス改善度を定量化できます。外部評価による成熟度レベル（例：CMMIレベル3取得）やプロセスアセスメント報告書は、M&A時のデューデリジェンスにおいて参考資料となるだけでなく、比較評価の客観的根拠となります。

財務健全性

SI企業の選定・買収判断では、財務健全性も不可欠な評価軸です。代表的指標として売上高規模・成長率、営業利益率やEBITDA率、キャッシュフローなど経営成績が挙げられます。加えて、顧客構成のリスクを見るため顧客集中度を分析します。一般に、特定顧客が売上の大きな割合（例：10％以上）を占める場合、それだけ取引依存度が高く、離脱リスクや交渉力の偏りにつながると見なされますgsquaredcfo.comgsquaredcfo.com。デューデリジェンスでは上位数社（通常5～10社）への依存度を把握し、複数年にわたる契約継続率（リニューアル率）や顧客離脱率（解約率）も検証しますgsquaredcfo.com。例えば、定期保守契約やサブスクリプション型ビジネスでは、解約率（チャーン）が高いとキャッシュフロー安定性が低下します。加えて、財務指標では営業キャッシュフローの推移や負債比率・自己資本比率、為替リスクや資産の流動性なども総合的に評価し、短期・長期の資金繰り安全度を確認します。

顧客ポートフォリオ・業種対応力・実績

SI企業の強みを測るには、その顧客ポートフォリオや業界対応力、実績事例も重要です。具体的には、対象とする業界領域（金融、製造、公共など）の幅広さや得意分野、主要顧客のリスト、過去の大型案件（億単位のプロジェクト等）の受注・納入実績などを調べます。ベンダー評価の観点では「特定業界での経験・専門知識」が評価項目に挙げられることが多く、実際に業界別プロジェクトの成功事例やリファレンスが重視されますivalua.com。例えば、同じSIでも医療機関向けと製造業向けでは要求される知見や規模が異なるため、複数業界にまたがる案件実績があれば汎用性・柔軟性が示されます。また、グローバル案件の有無や海外拠点の展開状況も大規模案件対応力の指標になります。これらは数値化しにくいため、案件概要や契約金額、導入先企業の規模などを一覧化し、比較・検証します。加えて、顧客ロイヤルティを示すリピート受注率や顧客推奨度（顧客からの紹介・推薦件数）など定性的なデータを参照することもあります。

ガバナンス体制・契約遵守・リスクマネジメント

組織統治や契約管理体制、リスク対応策の成熟度も評価対象です。国際標準ISO 31000は、あらゆる組織に適用可能なリスクマネジメントのフレームワークを提供しており、リスク評価・対応策の策定・モニタリングと継続的改善という全社的な枠組み構築を支援しますriskonnect.comriskonnect.com。ISO 31000準拠により、リスク認識の統一や経営レベルでの監督体制を確認できます。また、ISO/IEC 38500はITガバナンスの国際規格で、IT戦略や投資、IT関連の規範遵守を企業統治（コーポレートガバナンス）の一部として扱いますitgovernanceusa.com。この規格の原則（責任明確化、組織戦略との整合、パフォーマンス管理、法令遵守、人間尊重など）に沿った管理体制が整備されているかを見ますitgovernanceusa.comitgovernanceusa.com。さらに、SI契約特有の留意点として契約遵守（稼働時間やデリバリ品質の保証、保守・サポート体制の明文化）やコンプライアンス体制（情報漏えい防止策、個人情報保護対応など）の有無も評価します。ベンダーが遵守すべき規制・ガイドライン（GDPRや業界規制など）に対し、必要な手続きや認定（例：プライバシーマーク、SOC2認証など）を保持しているかもチェックします。これらのガバナンス・リスク管理指標を定性的・定量的に整理し、チェックリスト化することでリスク低減度を可視化できます。

顧客満足度・リピート率・CSAT/NPS

最終的にSI企業のサービス品質を評価するには、顧客満足度（Customer Satisfaction: CSAT）や推奨意向（Net Promoter Score: NPS）、契約リピート率など顧客側からの評価も重要です。CSATは「提供サービスにどの程度満足しているか」を5点または10点尺度で評価する簡易指標であり、対応品質や成果物への評価を直接測れますsalesforce.com。一方、NPSは「他人に推薦したいか」を問う質問から顧客ロイヤルティを数値化し、顧客との長期的関係性やブランド価値を示す広義の指標ですsalesforce.com。例えばCSAT/NPSアンケートの実施結果や、年度ごとの顧客満足スコア、また大型顧客の契約更新率・拡張率などを収集します。加えて、問合せ対応やトラブル処理に関する顧客からのフィードバック事例も、定量指標では把握しきれない満足度・不満足要因を補足します。ベンダー比較の際には、複数顧客から得たCSAT/NPSスコアを平均化して比較したり、リピート受注率（継続契約率）をパーセンテージで示したりすることで、各社の顧客志向度を可視化できます。

評価手法と可視化・チェックリスト例

上記の指標を総合的に比較するには、スコアカードやレーダーチャートなどの可視化手段が有効ですprecoro.comprecoro.com。例えば、図のようなベンダースコアカードでは、「品質」「納期遵守」「コスト」「サポート」「法令遵守」といった主要指標を軸にレーダーチャート化し、各ベンダーの相対比較を容易にしますprecoro.com。同様に、選定評価用チェックリストを作成して各項目に点数（例えば1～5点）を付け、重み付けスコアで総合評価する方法も一般的です。

以下に評価チェックリスト例（抜粋）を示します。実際には自社要件に応じて重みや具体基準を設定します。

  • 技術力・開発力: DORAメトリクス(展開頻度、リードタイム、MTTR、失敗率)octopus.com、CMMI成熟度レベル、開発人数規模、設計・テスト自動化率、コード品質診断結果

  • 品質・セキュリティ: ISO/IEC 25010品質特性の実現度perforce.com、ISO 27001認証取得状況、OWASP SAMMレベル、NIST SSDF対応状況、脆弱性修正率

  • プロセス成熟度: CMMIレベル/能力レベルsei.cmu.edusei.cmu.edu、ISO/IEC 330xxによるプロセス能力評価結果、有効なプロセス文書・手順の整備度

  • 財務健全性: 年間売上高・成長率、EBITDA率、キャッシュフロー推移、自己資本比率、顧客集中度（上位5社売上比率）gsquaredcfo.com、契約継続率（チャーン率）gsquaredcfo.com

  • 顧客ポートフォリオ・業種対応力: 主要顧客一覧（業種・規模）、業界特化実績（該当業界の事例数）、大型案件実績（受注金額）、海外展開状況

  • ガバナンス・リスク管理: ISO 31000準拠度やリスク管理体制（マニュアル・委員会設置）、ISO/IEC 38500準拠度（ITガバナンス原則の適用度）itgovernanceusa.comitgovernanceusa.com、契約遵守履歴、法令・規制対応体制（個人情報保護・コンプライアンス体制）

  • 顧客満足度・リピート率: CSAT/NPSスコアsalesforce.comsalesforce.com（直近アンケート結果）、継続契約率、顧客紹介数、サポート対応評価

これら指標・基準を用いて各社を数値化・可視化し、ベンダー比較表やスコアカードに落とし込めば、選定・買収判断時に客観的な根拠として活用できますprecoro.comivalua.com。最終的には、第三者認証取得状況（ISO認証やCMMI認定など）や業界ベンチマークも併せて参照し、総合的なリスク評価・投資判断を行うことが望まれますgsquaredcfo.comprecoro.com。

図：複数指標をまとめたベンダースコアカード（品質、納期、コスト、サポート、コンプライアンス等で評価）precoro.com

参考資料: DevOps/DORAメトリクス解説octopus.com、CMMIガイドブックsei.cmu.edusei.cmu.edu、ISO/IEC 25010品質特性一覧perforce.com、OWASP SAMMサイトowasp.org、NIST SSDFガイドラインnvlpubs.nist.gov、ISO標準概要mdpi.comriskonnect.comitgovernanceusa.com、ベンダー選定プロセスガイドivalua.comprecoro.comgsquaredcfo.com、顧客満足度指標解説salesforce.comsalesforce.com。（引用部は主に英語資料から）

投稿者