入退社時のSaaSアカウント自動化は、人事情報を起点にアカウントの作成・更新・停止を連携させる仕組みです。人事システムで在籍状況や所属を管理し、IDaaSやSaaS管理の機能を組み合わせて、対象サービスの操作につなげます。

SmartHRなどの人事システムとOktaを使う場合も、製品名だけで連携が完了するわけではありません。契約する機能、同期する項目、SCIM対応状況、実行できる操作を確認し、自社の入退社手順に合わせて設定・検証する必要があります。

自動化の対象外となるSaaSや、処理に失敗したアカウントを確認する運用まで決めると、作業の抜け漏れを管理しやすくなります。仕組みと連携設計を整理したうえで、比較するツールと導入範囲を絞り込みます。

手動管理が崩れる3つの分岐点

入退社時のSaaSアカウント管理が手動では維持できなくなる原因は、SaaSの増加・人事部門との連携遅延・年度境への業務集中という3つの構造的な問題に集約されます。

SaaS利用数の増加と操作件数の爆発

情シス担当者が把握している公式SaaSだけで20〜50種類に達するケースは珍しくなく、シャドーITを含めるとさらに増えます。100名の新入社員が入社し、それぞれが5種類のSaaSを使うとすれば、担当者には500件のアカウント作成操作が積み重なります。各SaaSの管理画面に個別ログインし、氏名・メールアドレス・所属・権限を設定する作業が500回繰り返される計算です。月初・年度初めにこの規模の作業が集中すると、物理的に追いつかなくなります。

SmartHR調査では47.2%が「SaaSを1つずつ手動で管理していること」を主要な課題として挙げています。SaaSの増加とともに、この課題は悪化し続けます。

参考：smarthr.jpの解説資料

人事部門からの連絡遅れが引き起こすタイムラグ

入退社対応の前提となる情報を情シスに届けるのは人事・総務部門ですが、SmartHR調査では74.2%が「人事からの連絡タイミングが遅い」と回答しており、67.7%が「連絡漏れが発生することがある」と答えています。

情シスが入社当日に連絡を受け、その日のうちに全SaaSのアカウントを作成しなければならない状況は珍しくありません。退職者については「そういえば先週退職したのですが」と事後報告されるケースもあります。自動化ツールを入れる前に、人事部門との情報連携ルールを整備することが先決です。

年度末・月末への業務集中

入退社は年度替わりの3〜4月と月末・月初に集中します。この時期、情シス担当者は通常業務に加えて数十〜数百件のアカウント操作が積み重なります。専任担当者が不在の組織（50.7%が専任不在）では、繁忙期に対応しきれず漏れや遅延が常態化します。

参考：smarthr.jpの解説資料

退職者アカウントの残存が引き起こすリスク

退職後もアカウントが残存し続けることのリスクはセキュリティとコストの両面に及び、放置するほど問題が深刻化します。

セキュリティリスク：不正アクセスの温床

退職者のアカウントが削除されていない場合、元従業員が社外からSaaSにアクセスできる状態が続きます。意図的な利用でなくても、ログイン情報が第三者に渡れば外部からの不正アクセスに発展します。

株式会社アクトが実施した企業セキュリティ調査（2025年版）では、37.3%の企業が退職者アカウントの放置を懸念しており、65.4%が不正ログインをセキュリティリスクとして挙げています。ISMS認証取得企業やSOX対応が必要な企業では、退職者アカウントの即日削除が規程上の要件になっているケースもあります。

コストリスク：削除漏れアカウントの課金継続

退職者のアカウントを削除しても、SaaS側のライセンス契約が残ったまま課金が継続するケースがあります。在職中に利用していたが退職後は誰も使わなくなったライセンスも同様です。SmartHR調査では42.0%が「未使用アカウントによる不要なライセンス費用」を課題として認識しています。

SaaSのライセンスが1ユーザーあたり月2,000〜5,000円とすれば、削除漏れが10アカウントあるだけで年間24万〜60万円の無駄が発生します。アカウント数が多い企業ほど、この埋没コストは見えにくい形で積み重なります。

SaaSライセンス管理とは

参考：prtimes.jpの解説資料

参考：smarthr.jpの解説資料

SaaSアカウント自動化の仕組みを理解する

自動化の土台となるのがプロビジョニングという概念です。仕組みを正確に把握することが、ツール選定や設計の失敗を防ぎます。

プロビジョニングとデプロビジョニングとは

プロビジョニングとは、ユーザーのアカウントや権限を必要なシステムに自動的に作成・設定する仕組みです。入社時に複数のSaaSへのアカウントを一括で作成する操作がこれに相当します。デプロビジョニングはその逆で、退職・異動時にアカウントや権限を無効化・削除する操作を指します。

プロビジョニングには主に5種類あります。

• ユーザープロビジョニング：SaaSアカウントの作成・更新・削除を自動化する
• グループプロビジョニング：部署・チーム単位でのアクセス権グループを管理する
• 権限プロビジョニング：役職・役割に応じたアクセス権限の付与・変更を自動化する
• デバイスプロビジョニング：PCやスマートフォンの初期設定・配布を自動化する
• ライセンスプロビジョニング：SaaSライセンスの割り当て・回収を自動化する

入退社自動化の文脈で特に重要なのは、ユーザープロビジョニングと権限プロビジョニングの2つです。

アカウント プロビジョニングとは

SCIM対応SaaSとSCIM非対応SaaSの違い

SaaSアカウントの自動化において核心的な役割を果たすのがSCIMというプロトコルです。SCIMはIDaaSとSaaS間でアカウント情報を標準化された形で自動同期する仕組みで、対応しているSaaSであればIDaaSからのアカウント作成・更新・削除を自動で受け取れます。

SCIM対応SaaSの代表例はSlack、Salesforce、Zoom、Boxなどグローバルなプロダクトです。一方でkintone、楽楽精算、freeeなど国産SaaSや中小規模のSaaSはSCIM非対応のケースが目立ちます。

SCIM非対応SaaSはIDaaSからの自動プロビジョニングが機能しないため、担当者が個別に操作する必要があります。SCIMを利用するにはSaaS側のエンタープライズプランが必要なケースも多く、プランアップグレードのコストが発生することもあります。この壁を突破するために、SaaS管理プラットフォームがIDaaSを補完する形で機能します。Josysは350以上のアプリ連携を備え、SCIM非対応のSaaSも連携先によってはAPI連携でアカウントを管理できます。

人事システムとIDaaS、SMPの3層連携アーキテクチャ

SaaSアカウントの自動化を正しく設計するには、人事システム・IDaaS・SMPという3層構造を把握することが出発点になります。

3層のそれぞれが担う役割は次のとおりです。

• 人事システム（SmartHR、Workdayなど）：入退社・異動情報の唯一の正しい情報源。社員の在籍状況・所属・役職がプロビジョニングのトリガーになる
• IDaaS（Entra ID、Oktaなど）：SSOと認証基盤を担い、SCIM対応SaaSへのプロビジョニングを自動化する
• SMP（Josysなど）：IDaaSが管理できないSaaS・シャドーIT・コスト・デバイスを補完管理する

人事システムに従業員情報が登録されると、その情報がIDaaSに連携され、IDaaSがSCIM対応SaaSへのアカウントを自動作成します。同時にJosysがIDaaSから情報を受け取り、SCIM非対応SaaSへのアカウント操作も処理します。この3層が連動することで、担当者がSaaSを個別に操作することなくアカウントのライフサイクル管理が完結します。

IDaaSとSaaS管理の連携

参考：smarthr.jpの解説資料

参考：www.cybernet.co.jpの解説資料

SmartHRなどの人事システムとOktaを連携する前の設計手順

人事システムとOktaの連携では、人事情報のどの変更を、どのアカウント操作につなげるかを先に決めます。以下は本文の3層構成をもとにした設計・確認手順です。管理画面の操作手順や必要な契約は、実際に採用する連携機能と対象SaaSの仕様を確認して確定してください。

人事情報と実行する操作を対応付ける

最初に、人事システムで管理する入社日・退職日・所属・役職と、SaaS側で実行したい操作を対応付けます。登録日と利用開始・停止日は同じとは限りません。人事部門と情シスで情報の登録期限と変更時の連絡方法を合意し、誤った情報がそのまま操作につながらないよう確認します。

メールアドレスや所属など、アカウントを対応付ける情報もそろえます。人事システム側の情報とSaaS側の登録内容が食い違うと、対象を正しく特定できません。既存アカウントの一覧と照合し、連携前に不一致を確認してください。

OktaからSaaSへ連携できる範囲を確認する

OktaなどのIDaaSと対象SaaSの間では、SCIMへの対応と、現在の契約プランで利用できる操作を確認します。SSOに対応していることと、アカウントの作成・更新・停止に対応していることは別の確認項目です。サービス名が連携一覧にあるだけで判断しないようにします。

SCIMで対応できない操作は、SaaS管理ツールのAPI連携などで補えるかを確認します。それでも対象外になるサービスには、手作業と完了確認の担当を残します。自動化ツールを追加する場合も、複数のツールから同じアカウントを操作しないよう、どの仕組みが操作を担うかを決めてください。

SCIMの役割を確認する際は、SaaSプロビジョニングを自動化するSCIMの仕組みも参考にできます。認証の設定とアカウント同期の設定を分けて確認することが必要です。

入社・異動・退職の結果を確かめてから対象を広げる

設定後は入社・異動・退職を想定した操作を確認し、人事情報の変更がSaaS側にどう反映されたかを照合します。連携元で処理が完了と表示されたことだけで判断せず、対象SaaSのアカウントと権限の状態を確認してください。

退職処理では、無効化や削除の結果に加えて、ライセンス契約が残っていないかも別に確認します。アカウントを削除しても課金が止まるとは限らない点は、コストリスクの章で扱ったとおりです。処理に失敗した対象は担当者へ引き継ぎ、対応が完了するまで記録に残します。

まず優先度の高い処理で運用を確かめ、同じ確認を繰り返せる状態になってから対象を広げます。設定内容と結果の記録は、人事情報の変更やSaaSの追加に伴って手順を見直す際にも使えます。

入社・退職・異動 別の自動化フロー

プロビジョニングの仕組みが整うと、入社・退職・異動の3つのライフサイクルイベントで自動化の効果が最も大きく現れます。Before / Afterで実際の変化を確認します。

入社時の自動プロビジョニング

自動化前は、情シス担当者が人事部門から入社予定者のリストを受け取り、Slack・Salesforce・kintone・Notion・Zoomなど利用SaaSのアカウントを個別に作成します。SaaSが20種類あれば20回のログインと設定が必要です。前日や当日に連絡が来るケースでは作業が間に合わず、入社初日に特定のツールが使えない状態が発生します。

自動化後の流れは次のとおりです。

1. 人事システムに新入社員の情報（入社日・所属部署・役職）が登録される
2. IDaaSがSCIM対応SaaSへのアカウントを自動作成する
3. JosysがIDaaSから情報を受け取り、SCIM非対応SaaSのアカウントも並行して作成する
4. 入社初日、新入社員はすべてのSaaSにアクセスできる状態で業務を開始できる

自動化できる対象では個別操作を減らせます。人事情報の正確性、処理結果、未連携のSaaSは担当者が確認し、未完了の作業を残さない運用を組み合わせます。

オンボーディング IT 自動化

退職時の自動デプロビジョニング

自動化前は、情シス担当者が退職者リストをもとに各SaaSの管理画面に個別ログインしてアカウントを手動で削除します。SaaSの数が多いほど対応が追いつかず、退職後も数日〜数週間アカウントが残存するケースが生じます。「誰かが対応するだろう」という属人的な運用が漏れの温床です。

自動化後の退職フローは次の流れです。

1. 人事システムに退職日が登録される
2. 退職日の指定時刻にJosysがIDaaSへのアカウント無効化を指示する
3. IDaaSがSSOを無効化し、SCIM対応SaaSのアカウントを削除する
4. JosysがSCIM非対応SaaSのアカウントも一括で無効化・削除する
5. JosysがすべてのSaaSの処理完了状況を記録し、証跡レポートを自動生成する

退職時は、対象SaaSで予定したタイミングに停止処理が完了しているかを確認します。自動処理の記録と、対象外・失敗した操作への対応結果を合わせて残し、アクセス状態と監査で必要な証跡を点検してください。

オフボーディング IT 自動化

異動時の権限変更自動化

異動は退職ほど緊急性が意識されにくいため、旧部署の権限が削除されないまま新部署の権限が追加される権限の累積が起きやすいです。営業部から開発部へ異動した社員が、引き続き営業系SaaSの管理者権限を保持し続ける状況は珍しくありません。こうした権限肥大化がセキュリティリスクを高め、監査での指摘につながります。

人事システムに異動情報が登録されると、Josysが旧部署に紐づくSaaSのアクセス権を削除し、新部署のロールに対応したSaaSのアクセス権を付与します。一連の操作は同日中に完了し、最小権限の原則に基づいた状態が常に保たれます。

アクセス権限 棚卸し 方法

参考：オンボーディングIT自動化とは｜入退社を効率化

参考：数秒で完了するアクセス権の削除

入退社アカウント自動化ツール比較12選

入退社時のSaaSアカウント自動化に対応するツールを12製品取り上げます。SMPとIDaaSという2つのカテゴリに分かれており、自社の既存環境や優先課題によって最適な選択肢は異なります。

Josys（ジョーシス）

Josysは、SaaS・デバイス・アクセス権限の管理を支援するAI駆動のアイデンティティセキュリティ基盤です。350以上のアプリ連携に対応し、Access Automationで入退社ライフサイクルの自動化を支援します。アカウント操作の対応範囲は連携先ごとに確認します。Entra ID・Okta・Google Workspaceとの連携にも対応しており、IDaaSと組み合わせた3層アーキテクチャで運用できます。

導入前は各SaaSの管理画面を個別に操作する必要があったものが、導入後はJosysの一元管理画面から全SaaSのアカウント状況を確認・操作できる状態に変わります。退職日トリガーによる自動デプロビジョニング、アクセス権棚卸しレポートの自動生成、シャドーIT検出まで対応しています。

参考: ジョーシス公式サイト「アプリカタログ」

マネーフォワード Admina

国産SMPとして広く採用されているAdminaは、300種類以上のSaaSと連携します。Admina Automation機能により、人事情報をもとにアカウントの作成・削除を事前設定したフローで自動実行できます。Entra IDやGoogle Workspaceとの連携実績が豊富で、コスト管理と利用状況の可視化を強みとします。

参考: マネーフォワード Admina 機能一覧

freee IT管理（旧 Bundle by freee）

freee株式会社が提供するSaaS管理ツール（SMP）です。SmartHRとの連携により、従業員情報や人事発令を起点とした入退社対応を自動化できます。部署・属性に応じたルールを事前に設定することで、入退社・異動に伴うSaaSアカウントの発行・変更・削除を効率化。アカウントの棚卸しやセキュリティリスクの検知、利用コストの可視化にも対応しています。

参考: freee IT管理（旧Bundle）

OPTiM サスマネ

OPTiMが提供するSaaSとデバイスの統合管理ツールです。SaaSのアカウント管理に加えてデバイスのリモート管理機能を持ち、PCやスマートフォンの設定・制御まで対応しています。デバイスとSaaSをセットで管理したい企業に向いています。

参考: OPTiM サスマネ

LOCKED

社内で利用されているSaaSのアカウントを可視化し、退職者・未使用アカウントのリスクを検知するセキュリティ特化型SMPです。既存SaaSのシャドー利用発見とリスクスコアリングが得意で、セキュリティ強化を優先する企業に向いています。

参考: LOCKED（ASPIC サービス紹介）

Keyspider

クラウドとオンプレミス双方に対応したID管理ツールです。オンプレミスのActive DirectoryとクラウドSaaSを横断してIDを統合管理できるため、ハイブリッド環境を持つ企業で採用されています。（参考: https://keyspider.co.jp/）

YESOD

株式会社イエソドが提供するディレクトリサービス型SMPです。企業内の人・組織マスタを統合し、SaaSアカウントの統制管理や入退社オペレーションの自動化を支援します。Google Workspace中心の組織での採用実績があります。（参考: https://yesod.co/）

Gluegent Gate

サイオステクノロジーが提供するIDaaS型のSSO・ID管理サービスです。SSOによる認証一元化と、SCIMを活用したSaaSアカウントの自動プロビジョニングに対応します。国産ベンダーのサポートを重視する企業に向いています。

GMO トラスト・ログイン

GMOグローバルサイン・HDが提供するIDaaSです。SSOとMFAを中心にSaaSへの安全なアクセス管理を実現します。国産SaaSとの連携実績も充実しており、中堅企業での導入事例が多くあります。

HENNGE One

HENNGE株式会社が提供するセキュリティSaaSです。メールセキュリティとIDaaSを統合しており、SSOとアクセス制御に加えてメール誤送信防止機能を提供します。メールセキュリティとID管理を同時に解決したい企業に向いています。

デクセコ（Dxeco）

SaaSのコスト管理と利用状況の可視化に特化したSMPです。AIによるSaaS利用分析と更新管理の自動通知が得意で、コスト削減を優先課題とする企業で採用されています。

ITboard

SaaSアカウントとIT資産を統合管理するプラットフォームです。アカウント管理台帳の自動更新と、入退社時の権限変更ワークフローを提供します。人事・総務部門と情シス部門が協業してアカウント管理を行う組織に向いています。

参考：Saas管理ツールの比較13選｜アスピック

参考：SaaS管理ツールおすすめ10選！選び方のポイントは？｜起業LOG

参考：SaaS管理ツール比較10選｜デジタル化の窓口

自社に合うツールを選ぶ5つの判断基準

12種類のツールから自社に合うものを選ぶために、実際の選定で使える判断軸を5点整理します。

連携SaaS数とSCIM非対応SaaSへの対応力

自社が利用しているSaaSのうち、ツールが連携できる種類の割合を確認してください。グローバルSaaSはSCIM対応が進んでいますが、国産SaaSや中小規模のSaaSはSCIM非対応のケースが目立ちます。SCIM非対応SaaSを独自API連携でカバーできるツールを選ぶことが、管理の空白地帯をなくすための前提になります。

人事システム・IDaaSとの連携実績

SmartHR・Workday・SAP SuccessFactorsなど、自社が利用している人事システムとの連携実績があるかを確認してください。Entra IDやOktaなどのIDaaSをすでに導入している場合は、そのIDaaSとの連携設定が容易かどうかも判断材料になります。

デバイス管理との統合要否

PCやスマートフォンのキッティング・回収・リモートワイプまで含めてデバイス管理を統合したい場合は、SaaSとデバイスを一体管理できるツールを選ぶと工数を一本化できます。SaaS管理に特化するツールとデバイス管理まで統合するツールではコストや設定工数が異なるため、自社の優先課題に応じて判断してください。

監査証跡・アクセス権棚卸しレポート機能

ISMS認証やSOX対応が必要な企業では、アカウント操作の証跡を記録・出力する機能が必須です。全SaaSにまたがるアクセス権棚卸しレポートを自動生成できるツールを選ぶと、監査対応の工数を大幅に削減できます。

IGA アイデンティティガバナンス とは

導入規模・段階と価格体系

初期導入コストと運用コストのバランス、ユーザー数に応じた価格設計を確認してください。一度に全機能を導入しようとすると設定工数が大きくなります。まず可視化機能から始め、段階的に自動化範囲を広げる導入パスのほうが現場への定着が早くなります。

参考：Saas管理システム比較13選！｜ミツモア‍

参考：Saas管理ツールの比較13選｜アスピック

導入時の注意点と段階的な進め方

ツールを選定した後、実際に導入を進める際に見落としやすい注意点と、現場に定着しやすい進め方を整理します。

SCIMのライセンスコストを事前に確認する

SCIMによる自動プロビジョニングを活用するには、SaaS側のプランがSCIMに対応している必要があります。多くのSaaSではSCIM対応がエンタープライズプランのみに限られており、現在のプランから移行すると追加コストが発生します。導入前に自社が利用しているSaaSのSCIM対応状況とプラン要件を一覧化しておくと、コスト試算が正確にできます。

人事部門との情報連携フローを先に整備する

アカウント自動化ツールを導入しても、人事システムへの情報登録が遅れれば自動化も遅れます。入社の何営業日前までに人事システムへ登録するか、退職日は確定した時点で即時登録するか、というルールを情シス・人事・総務の3部門で合意してから、ツールの設定に入ることが現場定着の鍵です。

退職デプロビジョニングから自動化を始める

一度に全機能を実装しようとすると設定工数と検証作業が膨大になります。効果が高くリスク削減効果も明確な退職時のデプロビジョニング自動化から着手するのが現実的です。退職者アカウントの即日削除を実現し、セキュリティリスクの改善を確認してから、入社プロビジョニングの自動化へ拡張していく順序のほうが定着が早くなります。

段階的な進め方は次のとおりです。

1. 全SaaSのアカウント状況をJosysで可視化し、退職者・未使用アカウントの数を把握する
2. 退職日トリガーによるデプロビジョニングを設定する
3. 人事システム連携で入社プロビジョニングを自動化する
4. 異動時の権限変更を自動化し、アクセス権の肥大化を防ぐ
5. 棚卸しレポートをもとに定期的なアクセス権レビューを実施する

参考：増大するアカウントプロビジョニングの負担 ｜CYBERNE

まとめ

入退社・異動時のSaaSアカウント管理を手動で続ける限り、工数の増大・漏れ・退職者アカウントの残存は構造的に繰り返されます。SmartHR調査が示す「63.9%が適切に管理できていない」という数字は、個々の担当者の問題ではなく、手動管理という運用設計の限界が露わになった結果です。

自動化では、人事情報の登録からアカウント操作までの役割分担を決めます。人事システム・IDaaS・SaaS管理の連携範囲を照合し、作成・更新・停止のどこまでを自動化し、どこを人が確認するかを明確にしてください。

最初の一歩は、現在の全SaaSのアカウント状況を可視化することです。退職者や未使用アカウントの実数を把握することで、自動化の優先課題と対象ツールが自然に絞り込まれます。

Josysの無料デモを申し込む

Josysは350種類以上のSaaSに対応し、入社初日から退職日まで一貫したアカウントライフサイクル管理を実現します。Entra ID・Okta・Google Workspaceとの連携設定、SCIM非対応SaaSへの対応、棚卸しレポートの自動生成をデモ環境でご確認ください。

Josys 無料デモ申し込みはこちら