退職者のSaaSアカウントが放置されたまま数週間が経過し、不正アクセスが発覚した——その事態は、決して他社だけの話ではありません。株式会社アクトが2025年に実施した「企業セキュリティ国勢調査2025」では、37.3%の企業が退職者アカウントの放置をID管理のリスクとして認識しており、手動管理の限界が明確に示されています。

同じ調査で、情報システム部門の49.8%が「手動での管理工数」を最大の課題と回答しています。退職のたびにスプレッドシートを開き、数十のSaaSに個別ログインして削除を繰り返すオペレーションは、SaaS利用数の増加とともに際限なく膨らんでいきます。

本記事では、ITオフボーディングを自動化するための仕組み・実行手順・ツール選定基準を体系的に解説します。アカウント削除からデバイス回収・ライセンス解放・監査証跡の記録まで、退職処理の全工程を自動化するアーキテクチャと、段階的な導入ステップを情シス担当者の実務に即してまとめています。

ITオフボーディングとは？退職時に情シスが対応すべき業務の全体像

退職時のIT手続きは、アカウントを停止するだけでは終わりません。対象システムの洗い出し・デバイスの回収・ライセンスの解放・引き継ぎ対応まで、複数の業務が並行して発生します。

アカウント停止・削除

退職者が利用していたすべてのシステムに対してアクセス権を停止または削除することが、オフボーディングの最初の関門です。

対象は企業規模によって幅がありますが、Microsoft 365やGoogle Workspaceといった基盤サービスを筆頭に、Slack・Salesforce・Zoomなどの業務SaaS、VPNや情報共有ツール・データベースといった社内システム、さらに外部委託先のサービスアカウントまでが含まれます。SaaSの利用数が30を超えるような企業では、これらを漏れなく把握すること自体が難題になります。

デバイス回収とデータ消去

支給しているPC・スマートフォン・タブレット・USBメモリを回収し、データ消去を行います。テレワーク環境が定着している現在、物理的な回収が難しいケースも多く、リモートでのデータ消去（ワイプ）機能の重要性が増しています。

MDMツールを導入している企業であれば、遠隔でのデバイスロックやワイプが実行できます。回収後はIT資産台帳から対象者との紐付けを解除し、次の再割り当てが可能な状態に更新します。

ライセンス解放と再割り当て

退職者に割り当てられていたSaaSライセンスは、解放処理をしない限り費用が発生し続けます。月額課金のSaaSは退職月から解約処理が必要で、放置すれば翌月以降も費用が計上され続けます。

Microsoft 365やSlackのように人数単位で課金されるサービスは特に注意が必要です。ライセンスを速やかに解放し、新入社員への再割り当てに回すことで、不要なコストを削減できます。

監査証跡の記録と引き継ぎ対応

ISMSやISO27001の運用において、退職処理の記録は監査証跡として求められます。いつ・誰が・どのシステムのアクセス権を削除したかを記録し、保存する仕組みが欠かせません。

退職者が保有していたデータ・メール・ドキュメントの引き継ぎ先を設定し、業務の継続性を確保することも、情シスが担う重要な役割です。

[画像: オフィスで複数のノートPCとスマートフォンが整理された机の上に並んでいる状況。情シス担当者が引き継ぎ作業を進めている様子]

手動管理が招く3つのリスク｜37.3%の企業で起きている退職者ID放置

スプレッドシートによる手動管理はコストがかからないように見えますが、削除漏れ・不正アクセス・ライセンスの無駄遣いという3つのリスクを同時に生み出します。

セキュリティリスク：元従業員による不正アクセス

退職者のアカウントが残った状態は、企業にとって閉めていない裏口と同じです。退職後も元従業員がシステムにアクセスできる状況が続き、意図的・非意図的を問わずデータ流出や業務妨害のリスクが生じます。

ソニービズネットワークスが2025年に実施した「SaaS管理に関する実態調査」では、15.6%の企業で退職者のSaaSアカウント削除漏れが実際に発生していると確認されています。88.0%の担当者がSaaS起因のセキュリティリスクを実感しているという同調査の結果は、手動管理の限界を数字で示しています。

コスト損失：使われないライセンスが積み上がる

退職者のアカウントが放置されると、ライセンス費用が積み上がり続けます。月額2,000円のSaaSライセンスが10人分放置されれば、それだけで年間24万円の損失です。

同調査によれば、84.5%の企業が6個以上のSaaSを利用しており、55.1%が11個以上を導入しています。SaaS数が増えるほど、放置ライセンスの実態は見えにくくなります。

工数リスク：退職ごとに情シスを圧迫するオペレーション負荷

手動管理では、退職者が発生するたびに情シス担当者が対応に追われます。スプレッドシートで対象SaaSを確認し、各サービスへ個別ログインして削除操作を行い、完了を台帳に記録する。このサイクルが退職者1人あたり数時間を消費します。

入退社が集中する3〜4月・9〜10月には作業が一気に積み重なり、本来の戦略的業務に割ける時間が削られます。49.8%の担当者が手動管理工数を最大課題として挙げている現実は、多くの情シス現場が抱える共通の悩みです。

参考記事：SaaS激増で"退職者のID放置"が37.3%【企業セキュリティ国勢調査2025 Vol.3】

参考記事：88.0%の担当者がSaaSの管理不備によるセキュリティリスクを実感（ソニービズネットワークス調査）

5分でわかるJosys 資料ダウンロード｜ITオフボーディング自動化の全容を確認する

ITオフボーディング自動化の仕組み｜人事システム・IDaaS・SaaSをつなぐ3層アーキテクチャ

ITオフボーディング自動化の土台は、人事システム・IDaaS・SaaSという3層の連携にあります。退職情報が人事システムに登録された瞬間から、この連携が動き出し、すべてのアカウントが自動で停止されます。

第1層：人事システム（情報の起点）

SmartHRやfreee人事労務などの人事システムに退職日が登録されることで、オフボーディングの自動化フローが起動します。人事システムは退職日・対象者・所属部門という情報の正当な起点として機能します。

人事システムとIDaaSが連携していない場合、退職情報はExcelで管理され、伝達の遅れや記載ミスがリスクの温床になります。人事システムとIDaaSのAPI連携こそが、自動化の大前提です。

第2層：IDaaS（認証ハブ）

Microsoft Entra IDやOktaなどのIDaaSは、すべての認証の中心として機能します。IDaaS上でユーザーを無効化すると、SCIM（System for Cross-domain Identity Management）に対応したSaaSへ自動的に削除リクエストが送信されます。

Entra IDのライフサイクルワークフロー機能は、退職者の「employeeLeaveDateTime」属性を参照し、退職日に合わせてアカウント無効化・グループ解除・アプリ割り当て解除を自動実行します。Okta Workflowsも同様に、ユーザーがアプリから割り当て解除されるイベントをトリガーとして、段階的なアクセス制御を自動化できます。

第3層：SaaS管理プラットフォーム（実行層）

SCIMに未対応のSaaSへの対応やライセンスコストの管理、シャドーITの検知には、SaaS管理プラットフォーム（SMP）が補完的な役割を担います。JosysなどのSMPは350以上のSaaSと連携し、IDaaSだけでは対応しきれない範囲をカバーします。

SMPは削除の実行にとどまらず、どのSaaSに誰がアクセスできているかの可視化と、削除完了の監査証跡の自動記録も担います。

SCIMとデプロビジョニングの仕組み

SCIMはIdPとSP（Service Provider）の間でユーザー情報を自動連携する標準プロトコルです。IdP側でユーザーを削除すると、HTTPS通信でJSON形式のデータが送信され、複数のSaaSのアカウントが自動的に削除されます。このプロセスがデプロビジョニングです。

各SaaSに個別ログインして削除する従来の手動対応と比べ、SCIMによるデプロビジョニングは人的ミスの入り込む余地を排除し、確実かつ迅速なアカウント削除を実現します。

参考記事：SCIMとは？仕組みやメリット、SAMLとの違いをわかりやすく解説（wiz LANSCOPE）

[画像: オフィスのホワイトボードに「人事システム→IDaaS→SaaS」という流れを書いて説明している担当者と、それを見ているチームメンバーの様子]

退職当日から30日の自動化フロー｜タイムライン別の実行手順

自動化を導入すると、退職日を起点に「当日・1週間以内・30日以内」という3フェーズで処理が自動実行されます。各フェーズで何が動くかを把握しておくと、設計と運用の両面で活用しやすくなります。

退職日当日（0〜数分以内）：SSO無効化と緊急アクセス遮断

退職日の開始と同時に、IDaaS上でのアカウント無効化とSSOのブロックが自動実行されます。Entra IDでは「サインインのブロック」を有効化することで、既存のセッションも即座に失効させます。

VPN・プロダクション環境・ソースコードリポジトリなど、優先度の高いシステムへのアクセスを当日中に確実に遮断することが重要です。自動化はこれらの処理を、担当者の操作を必要とせず確実に実行します。

クックパッドの技術事例では、Active Directoryのアカウント無効化をトリガーに、Amazon SNSを通じてGitHub・AWS IAM・PagerDutyなど複数サービスのアカウント削除が自動連鎖する仕組みを構築しました。週次でスプレッドシートを確認していた手動運用から、即日自動処理へ移行しています。

退職後1週間以内：SaaS一括デプロビジョニング

IDaaSのSCIM連携が有効であれば、退職日翌日以降、各SaaSのアカウントが順次自動停止されます。Slack・Salesforce・Zoomなど主要SaaSのほとんどはSCIMに対応しており、IDaaS上のユーザー削除と連動してアカウントが無効化されます。

デバイス回収の指示も同時期にトリガーされます。MDMツールを利用している場合、リモートワーク中の退職者のデバイスに対してリモートワイプ指示が送信され、データ消去と端末の初期化が実行されます。

退職後30日以内：ライセンス解放とデータ引き継ぎ確認

30日以内には、IDaaS上でのアカウントの完全削除とライセンス解放が実行されます。解放されたライセンスはプールされ、次の入社者への再割り当てに活用できます。

退職者のメールアドレスやOneDriveのデータは、上長や後任者への引き継ぎ設定の完了を確認した上で削除します。自動化ツールの中には、引き継ぎ完了を条件として最終削除をスケジュールできるものもあります。

参考記事：退職処理を可能な限り自動化する（クックパッド開発者ブログ）

参考記事：Okta Workflowsの活用例 - 退職者のアクセスを柔軟に制御してリスクとコストを削減

[画像: 退職日当日に上司と握手している社員と、その横でPCに向かってシステム処理を実行しているIT担当者の様子]

SCIM非対応SaaSの対処法｜自動化の死角を埋める方法

SCIMを活用すれば多くのSaaSを自動でデプロビジョニングできますが、SCIM非対応のSaaSは依然として手動対応が残るケースがあります。この部分をどう補完するかが、オフボーディング自動化の完成度を左右します。

SCIM対応・非対応SaaSを見極める方法

自動化設計の第一歩は、自社で利用しているSaaSのSCIM対応状況を把握することです。Slack・Salesforce・Google Workspace・Zoom・GitHubなど、広く使われているサービスの多くはSCIMに対応しており、Entra IDやOktaとの連携で自動デプロビジョニングが可能です。

一方、業界特化型のSaaSや開発規模の小さいベンダーのツールはSCIMに未対応なケースがあります。これらは個別APIアクセスか手動対応が必要になります。

SaaS管理プラットフォームによるAPIアクセス補完

JosysなどのSMPは、SCIM非対応のSaaSに対しても独自のAPI連携を活用してアカウント管理を補完します。350以上のサービスとの連携により、IDaaSが対応しきれない範囲をカバーします。

SMP導入前は「どのSaaSに誰がアクセスしているか」が把握できていなかった企業も、導入後はシャドーSaaSを含めた利用状況が可視化され、30日以上未ログインのゾンビアカウントの検知と整理が可能になります。

RPAと組み合わせた部分自動化

APIが提供されていないSaaSに対しては、RPA（ロボティック・プロセス・オートメーション）を組み合わせた部分自動化が選択肢になります。ただしRPAは画面変更で動作が壊れるリスクがあるため、退職処理のような確実性が求められる用途には補完的な位置付けに留めてください。主要SaaSはSCIMまたはAPI連携による自動化を優先することが望ましい設計です。

[画像: IT担当者がノートPCの画面でSaaS管理ダッシュボードを開き、複数のSaaSアイコンが表示された管理画面を確認している様子]

Josysで自動化できるSaaSの対応状況を確認する｜無料デモを予約する

ITオフボーディング自動化ツール比較13選

ITオフボーディングを自動化するツールは、SaaS管理プラットフォーム・IDaaS・アカウント管理ツールの3カテゴリに分かれます。自社の環境や課題に応じて適切なカテゴリとツールを選ぶことが、導入成功の鍵です。

SaaS管理プラットフォーム（SMP）7選

SMPは、SaaSアカウントの棚卸し・プロビジョニング・デプロビジョニング・コスト管理を一元的に担うプラットフォームです。IDaaSと組み合わせることで、SCIM対応・非対応を問わないオフボーディング自動化を実現します。

導入前は「どのSaaSに誰がアクセスしているか分からない」「退職処理が属人化していて引き継げない」という課題を抱えていた企業が、SMP導入後には全SaaSの可視化・退職処理の完全自動化・監査証跡の自動生成を実現しています。主要な7製品を以下にまとめます。

1. Josys：350以上のSaaSと連携し、SCIM対応・非対応の両方に対応。デバイス管理も統合しており、退職日に連動したデプロビジョニングの自動スケジュールと監査証跡の自動記録が特徴。
2. マネーフォワード Admina：300以上のSaaSと連携。コスト管理機能に強みがあり、退職者アカウントの削除対応とライセンスコストの可視化を一元管理。
3. Bundle by freee：SmartHRとの連携に優れ、人事情報の変更をトリガーとしたアカウント自動操作と棚卸し機能を提供。freeeスタックを利用している企業に適する。
4. freee IT管理：190以上のSaaSに対応。freee製品との統一管理が可能で、アカウント管理の自動化とコスト削減を両立。
5. OPTiM サスマネ：デバイス管理との統合が特徴。SaaSアカウントの発行・停止・削除を自動プロビジョニング機能により実行。入退社情報の変更を契機とした自動処理に対応。
6. LOCKED：セキュリティ特化型のSMP。SSO・自動設定・棚卸しを統合し、リスク検知機能を提供。セキュリティ要件が高い企業に向く。
7. Keyspider：国産クラウドIDaaS管理ツール。ゼロトラスト対応を前提とした設計で、国内企業特有のシステム環境への適合性を重視。

IDaaS（認証基盤）3選

IDaaSはSSOと自動プロビジョニングの中心として機能し、SCIMを介したアカウント管理の自動化を担います。どのIDaaSを選ぶかは、自社のSaaS構成と既存の認証環境によって決まります。

1. Microsoft Entra ID：旧Azure AD。M365環境を利用している企業に最も普及しているIDaaS。ライフサイクルワークフロー機能により、退職日に連動した自動オフボーディングを実現。
2. Okta：海外SaaSを多数利用している企業に強みを持つIDaaS。Okta Workflowsによる柔軟な自動化フロー設計が可能で、退職者のアクセスを段階的に制御できる。
3. GMO トラスト・ログイン：国産IDaaS。国内企業向けSaaSとの連携実績が豊富で、日本語サポート体制が充実。中小・中堅規模の企業に適する。

アカウント管理ツール3選

SMPやIDaaSの導入が難しい場合や、特定のシステムに特化したアカウント管理が必要な場合は、以下のツールが補完的な選択肢になります。

1. CloudGate UNO：多要素認証とパスワードレス認証に対応。退職や育児休業による休眠アカウントの無効化設定もスムーズに実行できる。
2. Gluegent Gate：マルチデバイス最適化と監査機能を搭載。アカウント管理の統制と証跡記録を重視する企業に適する。
3. Soliton ID Manager：自動プロビジョニング対応とパスワード一括変更機能を持ち、大規模なアカウント管理にも対応。

[画像: 会議室で情シス担当者がタブレットとノートPCを使ってツール比較の資料を確認している様子]

ツール選定では、以下の5つの基準を軸に評価することを推奨します。

• 連携SaaS数（特にSCIM非対応SaaSへの対応力）
• 自社の人事システム・IDaaSとの連携実績
• デバイス管理との統合が必要かどうか
• 監査証跡・棚卸しレポート機能の充実度
• 導入規模と段階的展開への対応可否

参考記事：SaaS増えすぎ問題と退職者のアカウント削除漏れを防ぐ。Entra ID・Okta・ジョーシスを活用した自動化アーキテクチャ

ITオフボーディング自動化の導入ステップ｜段階的に進める4フェーズ

一度に全工程を自動化しようとする必要はありません。課題の優先度に応じて段階を踏むことが、運用の定着と費用対効果の両立につながります。

フェーズ1：現状棚卸し（利用SaaSの可視化）

自動化の前提として、自社がどのSaaSを利用しているかを把握することが必要です。把握できていないSaaSは自動化の対象に入れられないため、まず全体を可視化します。

SMP のトライアルを活用してシャドーSaaSを含めた利用状況を棚卸しし、現在の退職処理フローを文書化します。手動対応が残っているポイントを特定することで、自動化すべき範囲が明確になります。

フェーズ2：退職処理の自動化（デプロビジョニング優先）

最初に自動化すべき対象は退職処理（デプロビジョニング）です。入社処理よりもセキュリティリスクへの直接的な影響が大きく、費用対効果の高い領域です。

IDaaSと人事システムのAPI連携を整備し、退職日をトリガーにしたSCIM連携を有効化します。SCIM非対応のSaaSはSMPのAPI連携機能で補完します。Josysでは退職日に連動したデプロビジョニングのスケジュール設定が可能で、担当者の操作なしに処理が完了します。

フェーズ3：入社処理の自動化（プロビジョニング拡張）

退職処理の自動化が安定したら、入社処理（プロビジョニング）に範囲を広げます。同じアーキテクチャを活用して、入社日に合わせたアカウント発行・権限付与・デバイス割り当てを自動化します。

入退社の両フローが自動化されると、情シスはオペレーションの実行者から仕組みの設計者・監視者へと役割が変わります。

フェーズ4：継続的な監視・最適化（ライセンス棚卸し）

仕組みが整った後も、定期的な監視と最適化が重要です。30日以上ログインのないアカウントや未使用ライセンスを継続的に検知・整理することで、コスト削減効果が持続します。

Josysでは、アクティブでないアカウントの自動検知とアラート機能により、年間数百万円規模のSaaSコスト削減を実現した事例も報告されています。自動化は工数削減だけでなく、ライセンスコストの継続的な最適化にも貢献します。

関連記事：Josysによる従業員退職プロセスの合理化と自動化

関連記事：入退社のSaaSアカウント自動化完全ガイド｜仕組み・ツール比較13選

[画像: ガラス張りの会議室でITロードマップを壁に貼りながらチームで計画を立てている様子]

まとめ｜退職者ID放置ゼロを目指すITオフボーディング自動化

本記事の要点を整理します。

• 37.3%の企業で退職者IDが放置されており、15.6%の企業では実際に削除漏れが発生している
• 手動管理はセキュリティリスク・コスト損失・工数負担の3つを同時に生み出す
• 自動化の核心は人事システム・IDaaS・SaaSの3層アーキテクチャの整備にある
• SCIMによるデプロビジョニングで、退職日当日から自動的にアクセスを遮断できる
• SCIM非対応SaaSはSMPが補完し、全SaaSをカバーした自動化を実現できる

まず着手すべきは退職処理の自動化です。セキュリティリスクへの直接的な影響が大きく、費用対効果の高い領域から始めることが、全体の自動化を成功させる近道です。

Josysは350以上のSaaSとの連携・SCIM対応/非対応を問わない自動化・デバイス管理との統合・監査証跡の自動生成を一つのプラットフォームで提供しています。退職処理の自動化をどこから始めるか迷っている担当者の方は、まず資料でJosysの全容を確認してください。

5分でわかるJosys 資料ダウンロード

無料デモを予約する

関連記事：入退社のSaaSアカウント自動化完全ガイド｜仕組み・ツール比較13選

関連記事：退社 IT管理 手順｜退職時の情シス対応チェックリスト