株式会社UPFは、プライバシーマークやISMSなどの認証取得支援で国内屈指の実績を誇る。代表取締役の仲手川啓氏がこの事業にたどり着いた原点は、自社でPマークを取得しようとした際に味わった苦い経験にある。
テンプレートを渡して「分からないことは聞いて」と顧客に丸投げするコンサルティングへの違和感が、「お客様の手間を徹底的に省く」という現在の支援スタイルを生んだ。属人性を排した「仕組み化」と「可視化」を武器に、UPFは累計5,500社を超える企業の認証取得・運用を支えてきた。いまや新規案件の約8割が既存顧客からの紹介だという。
そして近年、同社が力を注ぐのがAIマネジメントシステム（ISO/IEC 42001）だ。AI社内利用ガイドライン策定の相談は、直近3ヶ月で200件を超えたという。生成AIが業務に浸透し、社員が個人アカウントに社内情報を入力するリスクが顕在化するなか、AIを安全に使いこなすための「信頼の仕組み」をどう築くのか──。
UPFの成長を支えた仕組み化の哲学と、AI時代に問われる新たなセキュリティ戦略について、仲手川氏に詳しく聞いた。
目次
創業の原点と「寄り添わないコンサル」への違和感
── 起業するまでの経緯と、現在の事業に至る原点について教えてください。
仲手川氏（以下、敬称略） 私のキャリアは、地元での内装関係の仕事から始まりました。当時は肉体労働に従事しており、将来もそのままの道を進むのだろうと、なんとなく考えていました。
しかし、東京で携帯電話の販売をしていた中学の同級生の話に刺激を受け、環境を変える決意をします。上京してすぐに飛び込んだのが、フルコミッションの通信機器の販売会社でした。当時は00人ほどのフリーターや大学生、社会人が入り混じる環境で、そこである程度の成果を出せたことでビジネスの楽しさを知りました。
その後、同業他社からのヘッドハンティングを受けて一度転職しています。当時は世の中的にも起業ブームだったこともあり、同世代のメンバーが「起業して金持ちになるんだ」「俺は上場するんだ」と普通に語り合うような人が多い環境でした。ちょうどライブドアが世間を賑わせていた頃の時代です。自分も社長になって何かを成し遂げたいという思いが芽生え、20代半ばで起業しました。
── 最初から情報セキュリティの分野に特化していたのでしょうか。
仲手川 いいえ、最初はダイレクトメール（DM）の発送代行事業からスタートしました。
当時はまだ紙のダイレクトメールが販促の主役だった時代で、発送代行のニーズは旺盛でした。取引先も順調に増え、事業として軌道に乗せることができ、法人化にも至っています。
ところが、時代が進むにつれて、個人情報の取り扱いに対する社会の目が急速に厳しくなっていきます。 DMという事業は、その性質上、大量の個人情報をお預かりする仕事です。管理体制そのものが問われるようになりました。取引先である広告代理店や通販会社が次々とPマークを取得するようになり、DM発送代行を担う私たちも、取得しなければ事業を続けられない状況になりました。
その際、あるコンサルティング会社に依頼したのですが、その対応に強い違和感を覚えました。テンプレートを渡されるだけで「わからないことだけ質問してください」という丸投げの状態です。
結局、私と社員で必死に調べて取得しましたが、多額の費用に見合う支援とはとてもいえない苦い思いをしたのを今でも覚えています。
当時はPマークの取得のコンサル会社自体が今よりずっと費用も高く難しく、新規の時でで100万〜150万円ほどかかるのが当たり前でした。しかも、依頼したのは当時「最も手厚い」と言われていた業界大手といわれてた会社です。それでも実態は書類のひな型を渡されるだけ、審査前の準備もままならないまま、指摘事項に対しても逆になぜか顧客のせいにする始末。で、結局は自分たちで相当な時間をかけて調べ上げ、なんとか取得にこぎ着けました。ただ、この遠回りがあったからこそ、「お客様が本当に求めているものは何か」を肌で理解できたのだと思います。
── その苦い経験が、現在のサービスモデルにつながっているのですね。
仲手川 そのとおりです。お客様が求めているのは、面倒な実務を肩代わりしてくれる存在です。
「自分たちが感じた不便を解消するサービスを作れば、必ず需要がある」と確信しました。
取得の過程で気づいたのは、「認証にはあれもこれも必要だ」と思い込まれている作業の多くが、実は必須ではないという事実でした。本当に必要なプロセスとタスクだけを見極めて集約すれば、実務は驚くほどスリムになる。この"引き算"の設計こそが、後の支援サービスの核になりました。
起業したばかりのころ、最初は「Pマークの取得も更新もやってくれるDM屋さん」だったんです。DMの通数を確保したかったので、Pマークの運用も発送の管理も全部うちでやりますよ、と。お客様にとっても、別々の会社に説明しなくていい分、楽なんですね。それが強みになってDMの仕事も沢山ご依頼いただけるようになりました。
ただ、リーマンショックのあおりもじわじわと受ける中で、2011年に一事業部だったものを完全にピボットしました。セキュリティのコンサルティング、リスクマネジメント支援も含めて複合的に事業を展開していく関係で、いつの間にか、こちらが本業になっていました。
累計5,500社の実績を支える「属人性を排除した仕組み化」の戦略
── 累計支援実績が5,500社を超えているとのことですが、これほどの実績を積み上げることができた要因は何だと分析していますか。
仲手川 大きな要因の一つは、業界の課題であった「継続性の欠如」を解決したことです。
この業界は審査員の方の副業や、個人事業主のコンサルタント、一部の行政書士さんで何となく始めてしまった方などが多く、法改正や規格の改定についていけず、また、高齢化による引退や廃業が頻発していました。お客様が更新時期に担当者と連絡が取れなくなるという事態が、あちこちで起きていたのです。
私たちは、そうした個人コンサルタントが抱えていたお客様を組織的に引き受ける体制を整えました。個人コンサルタントの中には、支援している顧客の今後の更新やトラブル対応が難しくなり困っている方が多かったのです。我々に移行したあとも継続的にその方々に報酬の一部が入る仕組みにし、特に西日本方面では、同業向けのセミナーなどを通じて多くのお客様を当社のサポート体制に統合しました。
今思えば軽い事業継承のM&Aみたいな感じですかね。しかも結構喜ばれました。
これにより、一気に顧客基盤を拡大することに成功しました。
── 組織として安定した品質を提供するために、どのような工夫をしていますか。
仲手川 徹底した「仕組み化」と「可視化」を追求しています。当社の支援品質が高い理由は、特定の人間・担当者ではなく、システムと型にあります。
業務の3割は可視化や共有化に充てており、誰が担当しても同等の成果を出せる状態です。具体的には、商談情報や作業ログを詳細に残し、担当者が交代しても即座に引き継げるようにします。
商談は動画やテキストで記録して共有し、担当者が急にいなくなっても翌日から別の者が引き継げる状態を保っています。他社から転職してきた社員が「なぜここまで可視化するのか」と戸惑うほど徹底しており、更新率、取得までの期間、お客様からの評価に至るまで、あらゆる業務を数値化・スコアリングしています。以前外部から「評価基準がありすぎる」と指摘されたこともあるほどですが、この細かさがあるからこそ、現場は迷わず動けるのです。
実は多くのヒューマンエラーのほとんどはシステムエラーなのです。できるだけ型化・システム化することで、ミスが起きた際もすぐに原因を特定して基準に戻せる仕組みを構築しています。
この徹底した標準化こそが、他社には容易に真似できない当社の強みです。
── 広告宣伝を抑えているとのことですが、それでも高い成長率を維持できているのは、なぜなのでしょうか。
仲手川 現在、新規案件の約8割が既存のお客様からのご紹介によるものです。
Pマークの認証を取得すると、企業は自社の取引先のセキュリティレベルも気にするようになります。そこで、おかげさまで「信頼できる支援会社」として当社を推薦していただく好循環が生まれています。
また、他社からの乗り換えが多いことも特徴です。当社のサービスは、情報セキュリティ分野に特化することで作業を効率化し、低コストを実現しています。専門性に裏打ちされた高品質な支援を適正価格で提供することが、高い支持につながっています。
累計5,500社のうち、常時ご支援しているのは3,000社弱です。残りの多くは、数回の更新をお手伝いしたのち、自社で運用できる状態になって"卒業"されていきます。内製化に成功して頂けているのです。
囲い込んで毎月費用をいただき続けることもできますが、それではお客様のためになりません。お客様自身がマネジメントシステムを理解し、自走できるようにする。ありふれた例で恐縮ですが、魚を釣ってあげるのではなく、釣り方をお伝えする。この姿勢が、結果として紹介や再依頼につながっています。
AIマネジメントシステム（AIMS）が切り拓く新たな信頼の基準
── 近年、生成AIの普及によりセキュリティのあり方が激変しています。この状況をどうとらえていますか。
仲手川 生成AIの普及は、まさに世の中の革命であり、同時に新たな脅威でもあります。多くの企業で、社員が個人のAIアカウントに社内情報を入力してしまうリスクが顕在化しています。これは、機密情報を社外に持ち出すのと同等の危険な行為です。
まず取り組むべきは、法人アカウントの導入と、利用ガイドラインの策定です。
しかし、AIの進化は非常に速いため、細かすぎるルールはすぐに形骸化してしまいます。
ガイドラインそのものを生成AIで作ってしまう企業も少なくありません。ところが後から私たちが入ってみると、その多くがハルシネーションだらけなのです。知識のない人ほど、もっともらしい誤りに気づけません。ISOやIPAが公開する基準に準拠しつつ、その会社の実務に合わせて設計する——ここは、最初こそ専門家が入るべき領域だと考えています。
企業のミッションやバリューに即した、本質的かつ実効性のある制度設計が求められています。
── 新たな国際規格である「ISO/IEC 42001」（AIMS）への注目も高まっていますね。
仲手川 AIMSは、AIを適切に管理するための国際基準として2023年末に誕生しました。AIベンダーはもちろん、AIを活用するユーザー企業にとっても、信頼の証となる規格です。
当社はいち早くこの支援を開始しており、すでに多くの企業からお問い合わせをいただいています。
かつて情報セキュリティマネジメントシステム（ISMS）の国際規格（ISO27001）が普及したときと同様、今後は「AIMSを持っていないと取引できない」時代が来るとおもってます。
特に大手企業との取引においては、第三者認証によるエビデンスが不可欠になるはずです。 当社は、この領域でも国内トップクラスの支援体制を構築することを目指しています。
── AIガバナンスにおいて、企業が陥りやすい罠はありますか。
仲手川 AIが生成する「ハルシネーション（もっともらしい嘘）」への無警戒さはきわめて危険です。
AIを神格化し、その出力を鵜呑みにして意思決定を行うことは、企業の信用を失墜させかねません。採用選考や重要書類の作成にAIを用いる際は、必ず人間の目による定点観測が必要です。
実際、ある会社では採用の一次選考（書類選考）をすべて生成AIに任せていました。しかし、安全な環境にデータを入れているのか、選考する人の"癖"が偏りとしてAIに乗っていないか、優秀な人材を取りこぼしていないかなど、検証すべき点は山ほどあります。ハルシネーションを前提にしないまま出力を採用し続ければ、生成AI自体がどんどん汚染されていきます。だからこそ今の時代は、むしろ泥臭いマネジメントと、人の目で定点観測する仕組みが欠かせないのです。
当社は単なる認証取得の代行ではなく、AIと共存するための「正しい仕組み」を提案します。最新のテクノロジーを安全に使いこなすためのパートナーでありたいと考えています。
経営の本質は「小さな約束」の積み重ねにある
── 経営において最も大切にしている信念は何ですか。
仲手川 「経営に近道はない」という一点に尽きます。
派手な急成長を遂げる企業が決してわるいわけではないですが、私たちは愚直にコツコツと積み上げることを選びました。KPIやKGIを淡々と追いかけ、決められたことを確実に実行する。その連続こそが、お客様からの信頼を形作ると信じています。
お客様との小さな約束を守り続けることが、結果としてリピートや紹介につながります。地味な作業の積み重ねですが、それが現在の紹介からの新規受注が8割という数字の結果になっています。正しいことを行っている会社が正当に評価される社会にしたい、という思いが根底にあります。
── 最後に、UPFが今後さらに力を入れる取り組みについて聞かせてください。
仲手川 今、私たちはAIMSに加え、サプライチェーン全体の格付け制度である「SCS評価制度」の対策支援強化の構築に取り組んでいます。今後は第三者認証の効果がより生きてくる時代において、当社の役割はいっそう大きくなると確信しています。
AIに頼りすぎて信用を落とす前に、ぜひ専門家の知見を活用してください。
私たちは、企業の信頼を実務で支えるパートナーとして、これからも進化を続けます。情報セキュリティやAIガバナンスに不安を感じている経営者の方、共に変化の激しい時代を勝ち抜くための強固な基盤を作っていきましょう。