結論から言うと、ログイン、顧客管理、帳票、AI分析といった機能一覧だけでシステム見積を取ると、性能、停止時間、バックアップ、権限、ログ、脆弱性対応、障害連絡が見積外になりやすくなります。開発後に必要性が判明すれば、追加費用だけでなく、構成変更と再試験が発生します。
非機能要件は、すべてを最高水準にするためのリストではありません。事業が何時間止まると困るか、何件のデータ損失を許容できるか、誰の権限逸脱が重大か、月末や繁忙期に何件処理するかを経営側が決め、ベンダーが方式・費用・証拠へ翻訳します。
この記事の18項目と3段階はGXOの内部実務基準です。IPAの非機能要求グレードやデジタル庁資料を参考にしていますが、政府システムの基準や認証要件をそのまま中小企業へ適用するものではありません。交付申請の見積7項目へ非機能の別紙を添付してください。
非機能要件を6分類に分けるリンク
非機能は「セキュリティ対策をする」「高速に動く」という形容詞で書きません。測る対象、条件、目標、例外、確認方法、運用責任を記載します。たとえば速度は、対象画面、同時利用者、データ件数、応答時間、測定環境をセットにします。
IPAの非機能要求グレード2018は、可用性、性能・拡張性、運用・保守性、移行性、セキュリティ等を整理する参考資料です。項目の漏れを防ぐ用途で使い、各項目の水準は自社の事業影響と予算から決めます。
補助事業では、申請した機能の完成だけでなく、実際に稼働・利用・効果測定できる条件が必要です。ただし18項目が制度共通の提出物という意味ではありません。対象制度の要件と社内の技術判断を別表にします。
表は横にスクロールして全項目を確認できます
| 分類 | 経営者が決めること | 技術側が出すこと |
|---|---|---|
| 可用性 | 停止許容時間・重要時間帯 | 冗長化・復旧方式・SLA |
| 性能・拡張性 | 件数・利用者・繁忙条件 | 構成・測定条件・増強方法 |
| 運用・保守性 | 受付時間・社内担当・変更頻度 | 監視・連絡・更新・手順 |
| 移行性 | 移すデータ・停止許容・切戻し | 照合・リハーサル・移行証拠 |
| セキュリティ | 守る情報・権限・事故影響 | 認証・ログ・診断・初動 |
| 環境・継続 | 地域・端末・災害・終了条件 | バックアップ・代替・廃止 |
見積前に決める18項目リンク
18項目は、要求、理由、目標、前提、検収証拠の5列で書きます。数値を決められない段階でも「未定」のまま投げず、ベンダーへ想定、複数案、費用差を求めます。
RPOやRTO、同時利用数、ログ保持期間等を一律にコピーしません。業務停止、データ再入力、法令・契約、利用者影響を確認して水準を決めます。高すぎる水準は費用を増やし、低すぎる水準は運用事故を増やします。
クラウドサービスの標準機能を使う場合も、提供側の責任と自社の設定・運用責任を分けます。「クラウドだからバックアップ不要」「SaaSだからログ不要」とは扱いません。
表は横にスクロールして全項目を確認できます
| 項目 | 決める内容 | 検収証拠の例 |
|---|---|---|
| 1 稼働時間 | 利用時間・計画停止 | 稼働記録 |
| 2 復旧時間 | 業務再開までの目標 | 復旧試験 |
| 3 データ損失 | 戻せる時点・取得頻度 | 復元記録 |
| 4 応答性能 | 対象操作・件数・秒数 | 負荷試験 |
| 5 同時利用 | 通常・繁忙・上限 | 同時接続試験 |
| 6 容量・拡張 | データ増加・利用者増加 | 増強手順 |
| 7 監視 | 死活・エラー・容量・通知 | 監視一覧・通知試験 |
| 8 障害対応 | 受付・一次回答・復旧連絡 | 連絡テスト |
| 9 更新管理 | OS・依存・サービス変更 | 更新台帳 |
| 10 バックアップ | 対象・頻度・別権限保管 | 復元テスト |
| 11 データ移行 | 件数・残高・文字・切戻し | 移行照合票 |
| 12 認証 | MFA・セッション・本人確認 | 認証試験 |
| 13 権限 | 役割・最小権限・管理者 | 権限表・操作試験 |
| 14 暗号化 | 通信・保存・鍵管理 | 設定証拠 |
| 15 ログ | 操作・管理・保持・改ざん対策 | ログ再現 |
| 16 脆弱性対応 | 診断・修正期限・例外 | 診断結果・再確認 |
| 17 事故初動 | 検知・封じ込め・連絡・保全 | 初動手順 |
| 18 終了・移管 | データ出力・削除・権限回収 | 終了テスト |
事業影響を3段階で決め、過剰仕様を避けるリンク
各項目をA・B・Cの三段階へ分類します。Aは停止・漏えい・データ損失が売上、法令、顧客へ重大な影響を与えるもの、Bは一定時間の代替運用が可能なもの、Cは後続改善へ回せるものです。
分類はシステム全体で一つにせず、業務・データ・時間帯ごとに決めます。たとえば閲覧画面はBでも、決済、在庫引当、個人情報の管理者操作はAになり得ます。
Aにした項目には、方式だけでなく検収証拠と運用責任を必須にします。Cでも完全に省略せず、未実装の影響と後続時期を残します。
表は横にスクロールして全項目を確認できます
| 段階 | 判断 | 見積に求めるもの |
|---|---|---|
| A 事業継続 | 停止・損失・侵害の影響が重大 | 複数案、試験、運用、停止条件 |
| B 代替可能 | 限定時間・手作業で継続可能 | 標準案、代替手順、復旧目標 |
| C 後続改善 | 初期稼働に必須でない | 除外理由、影響、後続見積 |
見積回答を7列で比較するリンク
見積依頼書へ18項目を付け、各社に同じ7列で回答してもらいます。「対応」「別途相談」だけでは比較できません。実現方式、前提・上限、初期費用、運用費、顧客作業、検収証拠、除外を記載します。
費用が大きく違う場合は、単価より前提差を確認します。一社は冗長化、監視、復元試験を含み、別社は単一構成とバックアップ未設定かもしれません。相見積の10項目へ非機能条件を戻します。
セキュリティ対応は製品名だけで判断しません。デジタル庁のセキュリティ・バイ・デザイン資料が示すように、企画から運用までの各工程で対策と役割を扱う考え方が重要です。民間案件では自社リスクへ合わせて使います。
表は横にスクロールして全項目を確認できます
| 要求 | 方式 | 前提・上限 | 初期費 | 運用費 | 顧客作業 | 検収・除外 |
|---|---|---|---|---|---|---|
| 例：復旧 | 日次取得＋別領域保管 | 対象DB、保持35日 | 設定費 | 保管費 | 復元承認 | 四半期復元、添付除外 |
| 例：権限 | RBAC＋MFA | 5役割、管理者2名 | 実装費 | ID費 | 利用者台帳 | 権限試験、外部ID除外 |
| 例：監視 | 死活・エラー・容量 | 24時間通知、対応は平日 | 設定費 | 監視費 | 連絡網 | 通知試験、一次復旧別途 |
受入テストで非機能を証拠にするリンク
非機能要件は契約書へ書くだけで終わりません。対象版と環境を固定し、負荷、権限、バックアップ復元、監視通知、障害連絡、データ移行を受入テストへ入れます。実施できない項目は理由、代替証拠、実施予定日を残します。
脆弱性診断は「診断済み」という証明書だけでなく、対象、方法、実施日、対象版、指摘、重大度、修正、再確認を照合します。診断が安全性や事故ゼロを保証するものではありません。
受入テスト20項目の非機能・セキュリティ・運用列へ、18項目の要件IDと証拠IDを接続します。
性能：前提件数・利用者・環境を記録した測定結果
復旧：バックアップから別環境へ戻した日時・件数・差異
権限：役割別の許可操作と拒否操作の結果
ログ：重要操作を検索し、利用者・日時・対象を再現
障害：通知が責任者へ届き、連絡・判断経路を確認
移管：データ・設定・アカウントを第三者が取得可能
機能優先で失敗する6パターンリンク
補助金案件は申請時の機能説明が中心になりやすく、非機能を「技術会社が普通にやること」と考えがちです。しかし普通の範囲は会社、製品、価格で異なります。
次のいずれかがあれば、見積比較を止めて18項目へ戻します。特に「クラウド標準」と「自社要件を満たす」は別判断です。
性能の条件が「高速」「ストレスなく」だけ
バックアップはあるが、復元対象・時間・試験がない
管理者と一般利用者の権限差を試験しない
監視通知は開発会社にしか届かない
脆弱性診断の対象版と修正後再確認がない
契約終了時のデータ出力・削除・アカウント移管がない
まとめ：品質を追加費用にしないリンク
非機能要件は、技術用語を増やす作業ではありません。止められない業務、失えないデータ、許可してはいけない操作、経営者が負担できる費用を、見積と検収へ翻訳する作業です。
6分類18項目、影響3段階、回答7列を使い、機能見積と同時に比較してください。変更費がすでに出ている場合は変更注文書12項目へ戻します。
GXOは事業影響から必要水準を整理し、複数社が同じ条件で見積・検収できる非機能要件表を作ります。認証取得、制度適合、事故ゼロを保証するものではありません。
よくある質問リンク
非機能要件は開発会社に任せてよいですか？
方式の提案は依頼できますが、停止許容、損失、利用量、守る情報、運用時間は発注者の経営判断です。双方で決めて見積条件へ固定します。
小規模システムでも18項目すべて必要ですか？
該当・非該当と理由を確認します。すべてを高水準で実装する必要はありませんが、検討せず省略した状態にしません。
RPOとRTOは何ですか？
RPOはどの時点までデータを戻せればよいか、RTOは業務再開までの目標時間です。業務影響から決め、バックアップ方式と復元試験へつなげます。
脆弱性診断をすればセキュリティ要件は満たせますか？
診断は一部です。対象版、権限、ログ、更新、監視、事故初動、委託先、修正後確認など、ライフサイクル全体で設計します。
非機能要件は補助対象になりますか？
制度・公募回・経費区分・交付内容により異なります。技術上必要な理由と見積内訳を整理し、対象可否は最新資料と事務局で確認してください。
出典・公式情報リンク
- 確認 2026-07-25
- 確認 2026-07-25
- 確認 2026-07-25
- 確認 2026-07-25
- 確認 2026-07-25
制度の要件・金額・期限は年度や公募回で変わります。最終更新日（2026-07-25）時点の公式情報に基づいて執筆していますが、申請・契約の前に必ず公式サイトで最新情報をご確認ください。
この記事の更新履歴
- 初版。6分類18項目、影響3段階、見積回答7列、受入証拠を公開