顧客管理システムを自作する｜作る前の判断

「顧客管理システム、AIを使えば自分たちで作れるらしい」。Excelの顧客名簿が限界に来ている会社ほど、この話に手が伸びます。実際、画面を作ること自体は以前よりずっと簡単になりました。

ただ、顧客管理には在庫管理や日報にはない事情があります。扱うデータが個人情報だという一点です。氏名、電話番号、住所、購入履歴、クレーム内容。これらは、間違えたときに社内で謝って済む種類のデータではありません。

本記事の結論は先にお伝えします。顧客管理の自作は「見るだけ」なら可、「顧客情報を更新して社内で共有する」なら慎重に。この線引きさえ守れば、自作は十分に選択肢になります。逆にこの線を越えると、自作したツールが誰でも顧客名簿を全件閲覧できる入り口に変わります。

この記事は、同じ判断軸を在庫に当てはめた在庫管理システムを自作する｜作る前の判断の姉妹記事です。また、すでにある顧客管理の入力そのものをAIで軽くする方法は顧客管理の入力をAIで減らす｜続かない理由からにまとめています。本記事は「作ってよいかを決める」ための記事です。

結論｜見るだけは可、更新は慎重

顧客管理システムを自作するかどうかは、次の一点で決まります。そのツールが顧客情報を書き換えるのか、表示するだけなのか。そしてもう一点、そのツールを誰が開けるのかです。

作ろうとしているもの	判断	理由
顧客名簿を検索して表示する（本人担当分のみ）	自作してよい	元データを壊さず、見える範囲も限定できる
訪問予定や対応期限を一覧化する	自作してよい	読み取りだけで完結する
取引が止まっている顧客を抽出する	自作してよい	気づきを増やすだけで判断は人がする
顧客情報を全社員が全件検索できるようにする	危険	アクセス範囲の限定という義務から外れる
顧客の氏名や連絡先を書き換える	危険	誤りが請求や配送の事故に直結する
顧客リストをCSVで自由に書き出せるようにする	危険	持ち出しの痕跡が残らない
顧客情報を外部サービスに自動連携する	危険	第三者提供や委託先管理の論点が発生する

在庫管理の自作では「間違えたときに数字がずれる」ことが最大のリスクでした。顧客管理では違います。間違えなくてもリスクが発生します。正しく動いている自作ツールが、全社員に顧客の個人情報を開いてしまう。これが顧客管理特有の怖さです。

そしてもう一つ。在庫のずれは社内で気づいて直せますが、個人情報の漏えいは、直せません。出てしまった情報は回収できず、本人への通知や監督官庁への報告といった外向きの対応が発生します。この非対称性が、顧客管理を在庫管理より難しくしています。

顧客名簿は法律上どう扱われるか

自作の可否を考える前に、自社が今持っているExcelの顧客名簿が、法律上どういう位置づけなのかを確認しておきます。ここを知らずに設計すると、あとから作り直しになります。

Excelの名簿も法律の対象になる

個人情報保護委員会のガイドライン（通則編）は、特定の個人情報をコンピュータで検索できるように体系的に構成した情報の集合物を「個人情報データベース等」と定義しています。そして該当する事例として、従業者が名刺の情報を業務用パソコンの表計算ソフト等を用いて入力・整理している場合を明示的に挙げています（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」）。

つまり、Excelやスプレッドシートで顧客名簿を作っている時点で、その会社は個人情報取扱事業者として法の対象になっています。「うちは小さいから関係ない」「システムを入れていないから対象外」という理解は、事実と違います。名刺をパソコンに打ち込んで一覧にした瞬間から対象です。

中小規模事業者には緩和がある

ただし、すべての会社に大企業並みの体制が求められるわけではありません。同ガイドラインは「中小規模事業者」という区分を設け、円滑に義務を履行しうる手法の例を別途示しています。中小規模事業者とは従業員の数が100人以下の個人情報取扱事業者です（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）。

ここに2つの除外があります。同ガイドラインによれば、次に該当する者は従業員100人以下でも中小規模事業者から除かれます。

• 事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が、過去6か月以内のいずれかの日において5,000を超える者
• 委託を受けて個人データを取り扱う者

この5,000という数字は、顧客管理の自作を考える会社にとって現実的な分かれ目です。従業員20名でも、顧客が5,000件を超えていれば緩和の対象外になります。通販、小売、住宅、士業、飲食のいずれも、数年営業していれば顧客件数は簡単に5,000を超えます。自作を検討する前に、自社の顧客件数を数えてください。

該当しても義務がなくなるわけではない

誤解されやすい点を補足します。中小規模事業者に該当しても、安全管理措置を講じる義務そのものは変わりません。同ガイドラインは、中小規模事業者もその他の事業者と同様に法第23条に定める安全管理措置を講じなければならないと明記したうえで、取り扱う個人データの数量や従業者数が一定程度にとどまることを踏まえて手法の例を示す、という構成を取っています。

義務は同じで、やり方が現実的なものでよいということです。したがって「うちは中小規模事業者だから何もしなくていい」にはなりません。

まずExcel改善で足りないか

「Excelの顧客名簿はもう限界です」。この相談はよくいただきます。しかし話を聞いていくと、限界だったのはExcelではなく、名簿の運用だったというケースが少なくありません。自作は最後の手段です。その前に確認してほしいことがあります。

顧客名簿が破綻する4つの原因

Excelやスプレッドシートの顧客名簿がうまくいかない原因は、たいてい次のどれかです。

1. 担当者ごとにファイルが分かれている。営業Aの顧客リスト、営業Bの顧客リスト、事務が持つ請求先リストが別々にあり、同じ会社が3か所に登録されている
2. 同一顧客の判定基準がない。「株式会社ABC」「(株)ABC」「ABC」が別行として存在し、件数を数えると実態より多くなる
3. 更新のきっかけが決まっていない。担当交代や移転があっても、誰がいつ直すのかが決まっていないため古い情報が残る
4. 誰が開けるか決まっていない。共有フォルダに置いてあるだけで、アクセス権を意識したことがない

この4つは、システムを自作しても解決しません。むしろ悪化します。ファイルが1つに見えるようになる代わりに、直せる人が1人だけになるからです。まずは名簿を1か所に決め、同一顧客の判定基準（会社名ではなく電話番号や顧客コードで判定する等）を決め、更新の担当を決める。この3つだけで、顧客名簿の問題の大半は落ち着きます。

Excelの改善で足りるケース

次のような状況なら、Excelやスプレッドシートの改善で十分に戦えます。

• 顧客件数が数百から1,000件程度で、当面大きく増える見込みがない
• 名簿を更新する人が2人から3人で、声をかけ合える距離にいる
• 対応履歴を残す必要が薄い、あるいはメールを見れば足りる
• 顧客ごとに見せてよい社員の範囲を分ける必要がない
• 要配慮個人情報（病歴や障害の有無など）を扱っていない

この条件なら、入力規則で表記ゆれを止め、テーブル機能とフィルタで検索性を確保し、共有ドライブのアクセス権を担当部署に限定するだけで、必要な機能はほぼ揃います。Excel作業そのものをAIで軽くする方法はExcelをAIで自動化する方法にまとめています。

Excelでは限界というサイン

逆に、次のサインが出ていたらExcelの改善では追いつきません。

• 同じ名簿を同時に複数人が更新する必要がある
• 顧客ごとに見せてよい社員を分ける必要が出てきた
• 誰がいつ顧客情報を見たか、書き換えたかの記録が必要になった
• 対応履歴、見積、請求がそれぞれ別の場所にあり突き合わせできない
• 本人からの開示や削除の請求に対応する必要が出てきた
• 顧客件数が5,000件を超えた

これらはExcelの弱点そのものです。ただし、ここで進むべき方向は「自作」ではなく「既製品」である可能性が高くなります。理由は後述します。

個人情報保護法の安全管理措置

ここが本記事の中心です。顧客管理システムを自作するということは、個人データの安全管理措置を自分たちで設計するということです。何を求められているのかを、原文にあたって確認します。

安全管理措置は7つの区分

個人情報保護法第23条は、個人情報取扱事業者に対し、取り扱う個人データの漏えい、滅失または毀損の防止その他の安全管理のために必要かつ適切な措置を講じなければならない、と定めています（出典：e-Gov法令検索「個人情報の保護に関する法律」）。

その具体的な中身は、ガイドライン（通則編）の別添「講ずべき安全管理措置の内容」に示されています。区分は次の7つです（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）。

区分	求められている内容	自作で抜けやすい点
基本方針の策定	組織として取り組むための基本方針を定める	そもそも作っていない
取扱いに係る規律の整備	取得・利用・保存・提供・削除の段階ごとに取扱方法と責任者を定める	削除と廃棄の規定がない
組織的安全管理措置	体制整備、規律に従った運用、取扱状況の確認手段、漏えい時の体制、見直し	誰が見たかを確認する手段がない
人的安全管理措置	従業者への周知徹底と適切な教育	ツールを配って終わりにしている
物理的安全管理措置	区域の管理、盗難防止、持ち運び時の保護、削除と廃棄	復元不可能な削除をしていない
技術的安全管理措置	アクセス制御、識別と認証、不正アクセス防止、システム使用に伴う漏えい防止	全員が全件見られる状態
外的環境の把握	外国で個人データを取り扱う場合、当該国の制度を把握する	海外サーバーのサービスを無自覚に使う

顧客管理システムを自作するとき、多くの会社が意識するのは「ログインを付ける」くらいです。しかし上の表を見れば分かるとおり、求められているのはログイン画面ではなく、7区分にわたる運用の設計です。ここを引き受ける覚悟があるかどうかが、自作の可否を分けます。

アクセス制御が最大の論点

7区分のうち、自作でもっとも問題になるのが技術的安全管理措置のアクセス制御です。同ガイドラインは、担当者および取り扱う個人情報データベース等の範囲を限定するために適切なアクセス制御を行わなければならない、と定めています。

手法の例示として挙げられているのは、次のような内容です。

• 個人情報データベース等を取り扱うことのできる情報システムを限定する
• 情報システムによってアクセスすることのできる個人情報データベース等を限定する
• ユーザーIDに付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる従業者を限定する

そして中小規模事業者における手法の例示は、「個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する」と書かれています（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）。

注目してほしいのは「不要なアクセスを防止する」という表現です。緩和された中小規模事業者向けの例示ですら、全員が全件見られる状態は想定されていません。次章で詳しく説明しますが、自作の顧客管理システムがもっとも外しやすいのが、まさにこの一点です。

誰が見たかの記録も求められる

組織的安全管理措置の「個人データの取扱いに係る規律に従った運用」では、システムログその他の記録の整備や業務日誌の作成等を通じて、取扱いの検証を可能とすることが考えられる、として次の項目が挙げられています。

• 個人情報データベース等の利用・出力状況
• 個人データが記載または記録された書類・媒体等の持ち運び等の状況
• 個人情報データベース等の削除・廃棄の状況
• 情報システムで取り扱う場合、担当者の情報システムの利用状況（ログイン実績、アクセスログ等）

中小規模事業者向けの例示は「あらかじめ整備された基本的な取扱方法に従って個人データが取り扱われていることを、責任ある立場の者が確認する」とされており、高度なログ基盤までは求められていません。ただし確認できる状態にはしておく必要があります。自作システムに「誰がいつ何件出力したか」の記録がなければ、この確認は不可能です。

従業者の監督という義務

安全管理措置とは別に、法第24条は従業者の監督を義務づけています。同ガイドラインは、必要かつ適切な監督を行っていない事例として、次の2つを挙げています。

1. 従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合
2. 内部規程等に違反して個人データが入ったノート型パソコンまたは外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコンまたは当該記録媒体が紛失し、個人データが漏えいした場合

ここでいう「従業者」には、正社員だけでなく契約社員、パート、アルバイト、派遣社員、さらに取締役や監査役も含まれると明記されています（出典：個人情報保護委員会「ガイドライン（通則編）」従業者の監督）。役員だから全件見てよい、という運用には根拠がありません。

漏えい時は報告義務が発生する

事故が起きたときの話もしておきます。法第26条と規則第7条により、次の4つのいずれかに該当する事態を知ったときは、個人情報保護委員会への報告と本人への通知が義務づけられています。

類型	内容
1	要配慮個人情報が含まれる個人データの漏えい等
2	不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
3	不正の目的をもって行われたおそれがある行為による個人データの漏えい等
4	個人データに係る本人の数が1,000人を超える漏えい等

類型3の報告を要する事例には、「従業者が顧客の個人データを不正に持ち出して第三者に提供した場合」が明示されています。また報告の期限は、速報が事態を知った時点から概ね3日から5日以内、確報が知った日から30日以内（類型3に該当する場合は60日以内）とされています（出典：個人情報保護委員会「ガイドライン（通則編）」個人データの漏えい等の報告等）。

この期限を、自作システムを運用している状態で守れるかを想像してください。速報では概要、漏えいした項目、本人の数、原因、二次被害の有無などを報告します。「何件、どの項目が出たのか」が分からないシステムでは、この報告が作れません。アクセスログと出力履歴が必要な理由は、ここにあります。

顧客情報をAIに入れる場合の注意

自作の過程で、顧客データをそのまま生成AIに貼り付けて集計させたくなる場面が来ます。ここにも公的な注意喚起があります。個人情報保護委員会は令和5年6月2日に、個人情報取扱事業者における注意点として次の趣旨を示しています。

• 生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること
• あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、法の規定に違反することとなる可能性があるため、当該サービスを提供する事業者が、その個人データを機械学習に利用しないこと等を十分に確認すること

（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」令和5年6月2日）

実務に翻訳すると、顧客名簿をそのままAIに貼り付ける前に、そのサービスの学習利用の扱いを確認しておくということです。確認が済んでいないなら、氏名と連絡先を伏せた状態で作業してください。社内ルールとしての落とし込み方は社内AIルールの作り方にまとめています。

自作すると全件見られる問題

ここからが、顧客管理を自作する会社にもっとも起きやすい事故です。技術の問題ではなく、設計の順番の問題です。

作りやすい機能から作ってしまう

顧客管理ツールを自作するとき、最初に作るのはほぼ例外なく「顧客を検索して表示する画面」です。これは作りやすく、効果もすぐ出ます。問題はその次です。

検索画面を作った時点では、権限の概念がありません。ログインすれば全員が同じ画面を見ます。そしてこの状態のまま社内に配られます。今まで担当者しか開かなかった顧客名簿が、パートを含む全社員から検索できるようになる。しかも便利なので、あっという間に定着します。

権限を後から入れるのは、想像以上に大変です。「誰がどの顧客を見てよいか」を全件について決める必要があり、その判断ができるのは経営者だけだからです。結果として「みんな見られるままでいいか」に落ち着きます。これが、自作の顧客管理でもっともよく見る結末です。

アクセス範囲を先に決める

防ぎ方は単純です。画面を作る前に、見せる範囲を決めます。順番を逆にしないでください。決めるのは次の4つだけで足ります。

1. 誰が見られるか。役職ではなく氏名で書き出す
2. どこまで見られるか。全顧客か、自分の担当分か、部署の担当分か
3. どの項目まで見られるか。氏名と社名だけか、電話番号や住所も含むか
4. 書き出せるか。CSV出力を許すのは誰か、あるいは誰にも許さないか

この4つを紙に書き、そのとおりに作る。書けないなら、その時点で自作を止めてください。書けないということは、既製品を入れても同じ問題に直面するということです。先に決めるべきは道具ではなく方針です。

CSV出力は最後まで作らない

実務でとくにお勧めしているのが、CSV出力機能を最初から作らないことです。理由は3つあります。

第一に、CSVで書き出された瞬間、そのデータはシステムの管理外に出ます。誰のパソコンにあるのか、いつ消されたのか、追跡できません。前述のとおり、物理的安全管理措置では個人データの削除は復元不可能な手段で行うこととされていますが、各自のダウンロードフォルダに散った名簿を復元不可能に消すことは事実上できません。

第二に、持ち出しの痕跡が残りません。1件ずつ画面で見るのと、5,000件を一括で書き出すのとでは、リスクの大きさがまったく違います。

第三に、CSV出力がないだけで、退職時のリスクが大きく下がります。次章で触れます。

どうしても一括の書き出しが必要なら、機能として常設せず、依頼を受けて管理者が実行し、記録を残す運用にしてください。手間がかかるほうが安全な機能もあります。

退職者のアクセスと持ち出し

顧客管理の自作で、経営者がもっとも不安に感じるのがここです。実際、内部からの持ち出しは公的な脅威ランキングにも継続して入っています。IPA「情報セキュリティ10大脅威 2026」において、「内部不正による情報漏えい等」は組織向けの7位で、2016年の初選出以来11年連続11回目の選出です（出典：IPA「情報セキュリティ10大脅威 2026」）。

IPAは「組織における内部不正防止ガイドライン」も公開しています。同ガイドラインは第5版で、基本方針、資産管理、技術的管理、職場環境、事後対策等の10の観点のもと、合計33項目の具体的な対策を示す構成となっており、テレワークの普及や雇用の流動化による退職者増加がもたらすリスクを低減する人的管理の対策が追記されています（出典：IPA「組織における内部不正防止ガイドライン」）。自組織の状況を把握するための33項目のチェックシートも付録として提供されているので、まずはこれを埋めるのが早道です。

自作の顧客管理システムでやっておくべき最低限は、次の3つです。

• 退職・異動の当日にアカウントを止める。人事の手続きに、アカウント停止を1行入れておく
• 一括出力の口を塞ぐ。前述のとおりCSV機能を常設しない
• 持ち出しは規程で明示する。ガイドラインの人的安全管理措置では、個人データについての秘密保持に関する事項を就業規則等に盛り込むことが手法の例示として挙げられています

実際に多いのは、悪意ある持ち出しよりも「引き継ぎのつもりで自分のパソコンに保存していた」類のケースです。悪意がないぶん止まりません。だからこそ、機能として不可能にしておくことが効きます。

判定表｜自作か既製品かの目安

ここまでの内容を、判断できる形にまとめます。迷ったときは次の表で自社の位置を確認してください。

確認する項目	自作してよい	既製品にすべき
ツールの役割	既存の名簿を読んで表示するだけ	顧客情報の正本を保持する
顧客件数	おおむね5,000件未満	5,000件を超えている
見せる範囲	全員が見てよい情報しか扱わない	担当者や部署ごとに分ける必要がある
扱う項目	社名、担当者名、取引状況程度	住所、生年月日、支払情報を含む
要配慮個人情報	扱わない	病歴、障害、信条などを扱う
アクセスの記録	元の名簿側で確認できる	誰がいつ見たかの記録が必要
本人からの請求	元の名簿で対応できる	開示や削除の請求に定常的に対応する
止まったときの影響	元のやり方に戻せる	受注や請求が止まる
維持できる人	作った人以外にも説明できる人がいる	作った本人しか分からない
外部との連携	連携しない	会計や配送、MAツールと連携する

使い方は簡単です。右側の「既製品にすべき」に1つでも該当したら、自作は保留してください。全部が左側なら、自作は現実的な選択肢です。この判定は在庫管理の判定表と同じ考え方ですが、顧客管理では「見せる範囲」「扱う項目」「要配慮個人情報」の3行が加わっている点が違いです。

既製品のCRMを先に見る理由

Excelでは限界だと判断したとき、次に見るべきは自作ではなく既製品のCRMやSFA、あるいは業種別の顧客管理サービスです。理由は3つあります。

権限管理を作り込んであるから

既製品と自作でもっとも差が出るのが、権限管理です。誰がどの顧客を見られるか、どの項目を編集できるか、誰が一括出力できるか。これらを画面から設定できる状態にするには、相応の作り込みが要ります。

前述のとおり、アクセス制御は安全管理措置として求められている項目です。既製品を選ぶということは、この部分の設計を買うということです。自作でここに追いつこうとすると、本業の時間が溶けます。

ログと記録が標準で残るから

既製品の多くは、ログイン履歴、閲覧履歴、変更履歴、出力履歴が標準で残ります。これは前述の「取扱状況を確認する手段の整備」と、事故時の報告に直結します。

自作でログを残すこと自体は難しくありません。難しいのは残したログを見返す運用です。既製品なら画面から見られますが、自作の場合は「ログはあるが誰も見ていない」状態になりがちです。

止まったときに提供元がいるから

既製品には提供元があります。障害が起きればサポート窓口があり、法令やOSの変化にも追随してくれます。自作にはそれがありません。「動いているうちはいいが、止まったときに誰もいない」のが自作の最大の弱点です。

顧客管理は毎日使います。止まった日に受注が取れない、問い合わせに答えられない、という事態を許容できるかを先に考えてください。

既製品が合わない典型例

もちろん既製品が万能ではありません。次のような場合は合わないことがあります。

• 業界特有の管理単位（施工物件、区画、車両、患者、会員種別など）が標準機能に収まらない
• 既存の販売管理システムと二重入力が発生してしまう
• 使う機能が全体の1割程度で、費用に見合わない
• 営業がほぼ電話と訪問で、画面を開く時間がない

この場合でも、いきなり全部を自作するのは避けてください。既製品を土台にして、足りない「見る」部分だけを自作で補うのが現実的です。顧客情報の正本は既製品に置き、自社が見たい形の一覧やアラートだけを自分たちで作る。この組み合わせが、中小企業にとって最も安全で、最も安く済む形です。

なお、既製品の料金は製品や利用人数によって大きく異なります。ウェブ上の相場情報を鵜呑みにせず、自社の顧客件数、利用人数、必要な権限の分け方、連携先を伝えたうえで複数社から見積りを取ってください。同じ条件で並べないと比較になりません。

自作するなら読み取り専用から

ここからは、実際に自作すると決めた場合の進め方です。順番は必ず守ってください。作り方の技術的な手順そのものはAIでアプリを作る手順にまとめています。

第1段階｜担当分の顧客照会

最初に作るのは「自分の担当顧客を、見たい形で見る」ツールです。元データは既存のExcelでも販売管理システムからの出力でも構いません。それを読み込んで表示するだけ。書き込みは一切しません。

ここで最初から担当者で絞り込んでください。全件を出してから絞る作りにすると、絞り込みを外せば全件が見えます。ログインした人の担当分しか読み込まない、という作りにしておけば、あとから権限を足す必要がありません。

これだけでも効果があります。「あの会社、前回いつ何を納品したっけ」に即答できないという状態が、中小企業の顧客管理でいちばん時間を食っているからです。

第2段階｜対応期限のアラート

次に作るのは、対応が滞っている顧客を知らせる仕組みです。ここでもシステムは知らせるだけで、連絡はしません。人が見て、関係性や商談状況を加味して判断します。

基準は最初から精緻にする必要はありません。「見積提出から2週間返事がない」「前回接触から3か月経過」程度の粗い基準で始め、外れたら手で直すという運用のほうが定着します。精度を上げるのは、使い続けると決めてからで十分です。

第3段階｜取引の傾向を集計

3つめは、取引が細っている顧客と、増えている顧客の可視化です。「過去6か月で発注がない顧客」「前年同期比で発注が半減した顧客」を一覧にします。これも読み取りだけで作れます。

この一覧は、営業の議論の出発点になります。感覚ではなく事実で話せるようになることが、この段階の価値です。なお、問い合わせ対応の履歴を扱いたい場合は、顧客管理とは別に切り出したほうが設計が楽になります。考え方は問い合わせ管理の仕組みづくりにまとめています。

更新機能に進む前の6条件

第3段階まで作って、まだ更新機能が欲しいと感じたら、次の条件をすべて満たしているか確認してください。

1. 作ったツールを3か月以上、実際に毎日使っている
2. 誰がどの顧客のどの項目を見られるかを、紙に書いて説明できる
3. 閲覧、変更、出力の記録が残り、見返す担当が決まっている
4. 退職時にアカウントを止める手順が人事の手続きに入っている
5. 作った人以外に、中身を説明できる人がいる
6. データのバックアップと、壊れたときの戻し方が決まっている

1つでも欠けているなら、更新機能は自作しないでください。その段階に来ているなら、既製品を導入したほうが結果的に安く済みます。ここまでの経験は無駄になりません。第1段階から第3段階で作ったツールが、そのまま選定時や外注時の要件定義の材料になります。要件のまとめ方は要件定義の進め方を参考にしてください。

顧客データがずれる5つの場面

自作した顧客管理で実際に情報が食い違うのは、だいたい決まった場面です。作る前に、自社ではこれをどう扱うかを決めておいてください。

同じ顧客が二重に登録される

顧客管理でもっとも多い事故です。「株式会社ABC」と「(株)ABC」が別々に登録され、片方だけが更新される。結果として、どちらが最新か誰にも分からなくなります。防ぐには、会社名ではなく電話番号や顧客コードのような一意の値で同一判定する設計が必要です。この判断を先にしていない自作システムは、半年で名簿が二重化します。

担当者の変更が反映されない

営業担当が変わったとき、顧客側の担当者が変わったとき、両方が起きます。過去の対応履歴を誰に紐づけるかを決めていないと、引き継ぎのたびに履歴が迷子になります。担当を上書きするのか、期間つきで持つのか。設計の分かれ目です。

退会や取引終了の扱い

顧客が取引を終えたとき、行を消すのか、フラグを立てるのか。消すと過去の売上集計が合わなくなり、残すと案内を送ってしまいます。「案内を送らない顧客」を明示的に持つ設計にしていないと、退会したはずの相手にDMが届くという事故が起きます。個人情報の取扱いとしても好ましくありません。

問い合わせと顧客がつながらない

問い合わせフォームから来た人と、既存顧客が別々に管理されている状態です。同じ人が2か所にいるため、対応履歴が分断されます。統合するなら、どちらを正とするかを先に決めてください。

作った人がいなくなったとき

技術的な問題ではありませんが、実害としてはこれが最大です。AIに手伝わせて作ったツールは、作った本人しか中身を説明できない状態になりやすい。顧客管理は毎日使うため、これが起きると業務が止まります。しかも顧客管理の場合、止められないので誰も触れないまま使い続けるという、より悪い状態になりがちです。

AIを顧客管理に使う範囲

「顧客管理 AI」で検索すると解約予測や需要予測の話が多く出てきますが、中小企業が最初に手を出す場所ではありません。現実的に効くのは別のところです。

AIが得意なのは整理と説明

今のAIが顧客管理で確実に役に立つのは、次のような作業です。

• 複数のExcel名簿を読み込ませて、重複の候補を挙げさせる
• 会社名の表記ゆれを見つけさせる
• 訪問メモから次にやることだけを抜き出させる
• 問い合わせの文面から要件の種類を分類させる

共通点は、すべて「見る」側の作業だということです。AIが出した内容は人が確認します。間違っていても顧客データそのものは変わりません。入力を減らす具体的な手順とプロンプト例は顧客管理の入力をAIで減らすで扱っています。

個人情報を渡す前の確認

前述の注意喚起のとおり、氏名や連絡先を含むデータをAIに渡す場合は、そのサービスの学習利用の扱いを確認する必要があります。現実的な運用は「氏名と連絡先を伏せてから渡す」です。重複判定や表記ゆれの検出は、社名と住所だけでもかなりの精度で成立します。

AIに顧客情報を書き換えさせない

名刺の写真から情報を読み取って名簿に反映する、といった使い方は技術的には可能です。しかし読み取り結果を人が確認しないまま顧客情報を更新する運用は避けてください。読み取りの誤りは一定の割合で必ず起きます。請求書の宛先が1文字違うだけで、届かない、あるいは別の会社に届く事故になります。

データで見る中小企業の現状

判断の前提として、公的な調査結果を確認しておきます。総務省「令和7年版 情報通信白書」によれば、何らかの業務で生成AIを利用していると回答した割合は日本で55.2パーセントでした（出典：総務省「令和7年版 情報通信白書」企業におけるAI利用の現状）。

また同白書によると、生成AIの活用方針について「積極的に活用する方針」「活用する領域を限定して利用する方針」を定めている企業の比率は、2024年度調査で49.7パーセントとなり、2023年度調査の42.7パーセントと比較して増加しています。一方で企業規模別に見ると、中小企業では「方針を明確に定めていない」との回答が多く、約半数を占めるとされています。

さらに、生成AI導入に際しての懸念事項としては、日本では「効果的な活用方法がわからない」が最も多く、次いで「社内情報の漏えい等のセキュリティリスク」が挙げられています。生成AIの活用推進による自社への影響については、日本では「業務効率化や人員不足の解消につながる」が最も多く挙げられています。

この結果は、本記事の方針と一致します。方針が決まらないまま現場が使い始めている状態が、顧客情報を扱う場面ではもっとも危ないからです。顧客管理でいえば、見るところまでは自分たちでやる、正本の管理と権限は任せる。この線引きを先に決めれば、何から手をつけるかは自然に決まります。

取引先から体制を聞かれる機会も増えています。IPAには、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する「SECURITY ACTION」という制度があり、一つ星は情報セキュリティの基本項目に取り組むことを宣言するものです。同サイトによれば、中小企業の情報セキュリティ対策ガイドラインは第4.0版が2026年3月27日に公開されています（出典：IPA「SECURITY ACTION セキュリティ対策自己宣言」）。顧客名簿の整備は、この対外的な説明とも地続きです。

なお、顧客管理の外側にあるセキュリティの基本については、IPAが中小企業向けの資料を体系的に公開しています。まず自社の現在地を知るなら、「5分でできる！情報セキュリティ自社診断」から始めるのが早道です（出典：IPA「中小企業の情報セキュリティ対策ガイドライン」）。関連する資料はIPAの中小企業の情報セキュリティのページにまとまっています。当社の整理は中小企業のセキュリティ対策をご覧ください。

モデルケース｜顧客照会の試算

読み取り専用のツールでも効果があるのか、という疑問にお答えします。以下は実在の企業ではなく、当社が想定する典型的な状況にもとづく試算です。自社の数字に置き換えてご確認ください。

想定する会社と前提条件

従業員35名の住宅リフォーム会社。営業5名、事務2名、施工管理3名。顧客は約4,000件で、Excelの名簿が営業ごとに分かれている。過去の施工履歴は紙のファイルと共有フォルダに散在。CRMは「高そうだから」という理由で検討したことがない。

• 時給換算：2,500円
• 営業日：月20営業日
• 顧客情報の照会が1日8回、1回あたり平均6分
• 過去の対応履歴を探す作業が1日4回、1回あたり平均5分
• 名簿の重複整理に月8時間、点検案内の宛先抽出に月6時間

読み取り専用ツールの効果

業務	導入前（月）	導入後（月・試算）	削減時間	月額換算
顧客情報の照会	16時間	4時間	12時間	30,000円
対応履歴の検索	7時間	3時間	4時間	10,000円
名簿の重複整理	8時間	2時間	6時間	15,000円
案内先の抽出	6時間	1時間	5時間	12,500円
合計	37時間	10時間	27時間	67,500円

この会社が実際にやった順番

この規模の会社に当社がお勧めしている順番は、次のとおりです。

1. 1か月目：営業5名の名簿を1か所に集め、電話番号で重複を判定して統合する。この時点ではツールを作らない
2. 1か月目：誰がどこまで見てよいかを紙に書く。この会社では「営業は自分の担当分と過去施工先、事務は全件の社名と住所のみ」と決めた
3. 2か月目：担当分の顧客照会画面だけを作る。CSV出力は作らない
4. 3か月目：前回接触から3か月経過した顧客のアラートを追加する
5. 4か月目以降：使われ方を見て、更新機能が必要かを判断する

結論として、この会社は更新機能を自作しませんでした。理由は、判定表の「見せる範囲」と「顧客件数」で既製品側に該当したためです。読み取り専用のツールは残し、顧客情報の正本は既製品に移す方針に切り替えました。

この試算の読み方

金額だけ見ると小さく感じるかもしれません。しかしこの試算に含めていない効果のほうが大きいのが実際です。

• 照会した側の待ち時間（上の試算は答える側だけ）
• 「たしか前回は」で話して、後から違っていたときの謝罪と手戻り
• 案内を出し損ねた顧客からの受注機会

逆に、更新機能まで自作した場合の効果を試算に入れていないのも意図的です。更新機能は、うまくいけば工数が減りますが、権限設計とログの運用に恒常的な手間がかかります。期待値で語れるものではないため、試算には入れていません。

費用の考え方

当社の支援を利用する場合、初期費用0円、月額5万円が標準です。この中で、名簿の整理、見せる範囲の設計、読み取り専用ツールの作成支援、既製品を検討する場合の要件整理までを行います。これとは別に、既製品を導入する場合はそのサービス利用料がかかります。

業種別の進め方については、通販や小売のように顧客件数が多い業態はEC・小売向けの支援メニューを、問い合わせ対応の負荷が大きい場合は問い合わせ対応の支援メニューをご覧ください。

作る前に決める8つのこと

自作すると決めたら、作り始める前に次の8つを紙に書き出してください。ここが埋まらないうちは着手しないでください。

1. 目的：何に困っていて、どうなれば成功か（「顧客情報を見える化する」は目的になっていません）
2. 対象外：やらないと決めること（更新はやらない、CSV出力は作らない、など）
3. 元データ：どこから読むか。そのデータの正しさは誰が担保しているか
4. 見せる範囲：誰が、どの顧客の、どの項目まで見られるか
5. 記録：閲覧、変更、出力の記録を残すか。残すなら誰が見返すか
6. 止まったときの代替：使えなくなったら、どのやり方に戻るか
7. 維持する人：作った人以外に、説明できる人を誰にするか
8. やめる基準：どうなったら捨てるか（使われなくなった、既製品を入れた、など）

在庫管理の記事では7つでしたが、顧客管理では4番目の「見せる範囲」が追加されています。これが顧客管理特有の項目です。そして経験上、ここが書けない会社ほど自作に向かいます。決めるのが面倒だから、全員に見せる作りにしてしまうからです。順番を守ってください。

外注に切り替える判断基準

次のいずれかに当てはまったら、自作を続けず既製品の導入や外注に切り替えてください。

• 作り始めて2週間以上、動くものが出ていない
• 「あとで直す」と決めた箇所が5つ以上たまっている
• 権限を分ける必要が出てきた
• 顧客情報を書き換える機能が必要だという結論に行き着く
• 本業の時間を明らかに圧迫している
• 作っている本人が「もう自分にも分からない」と感じている

とくに3番目は、顧客管理では明確な撤退ラインです。権限が必要になった時点で、それは自作の範囲を超えています。前述のとおりアクセス制御は安全管理措置として求められる項目であり、自作で中途半端に実装するくらいなら、設計済みの製品を使うほうが安全です。

なお、外部に委託する場合は委託先の監督という別の義務が発生します。ガイドライン（通則編）は、個人データの取扱いを委託する場合、委託先において安全管理措置が適切に講じられるよう必要かつ適切な監督をしなければならないとし、自らが講ずべき安全管理措置と同等の措置が講じられるよう監督するとしています（出典：個人情報保護委員会「法令・ガイドライン等」）。契約書に守秘義務を書いて終わり、にはなりません。

よくある質問（FAQ）

Q. AIで顧客管理システムは作れますか

A. 画面や検索を作ることはできます。ただし作れることと、業務で使い続けられることは別です。顧客管理では、誰がどこまで見られるかというアクセス制御と、閲覧や出力の記録が求められます。まずは自分の担当分だけを表示する読み取り専用のツールから始めてください。

Q. Excelの名簿も法律の対象ですか

A. 対象です。個人情報保護委員会のガイドライン（通則編）は、従業者が名刺の情報を業務用パソコンの表計算ソフト等を用いて入力・整理している場合を、個人情報データベース等に該当する事例として挙げています。名簿を作った時点で個人情報取扱事業者にあたります。

Q. 従業員が少なければ義務は軽い？

A. 手法が現実的なものでよくなります。同ガイドラインは従業員100人以下を中小規模事業者として、円滑に義務を履行しうる手法の例を示しています。ただし、過去6か月以内のいずれかの日において取り扱う個人データの本人が5,000を超える場合と、委託を受けて個人データを取り扱う場合は除かれます。義務そのものがなくなるわけではありません。

Q. 全社員が名簿を見られると問題？

A. 望ましくありません。技術的安全管理措置のアクセス制御では、中小規模事業者向けの例示でも「個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する」とされています。まず誰がどこまで見てよいかを紙に書いてください。

Q. 退職者の名簿持ち出しが不安です

A. 機能として不可能にするのが最も効きます。CSVの一括出力を常設せず、退職や異動の当日にアカウントを止める手順を人事の手続きに入れてください。IPAの「組織における内部不正防止ガイドライン」には33項目のチェックシートが付録として用意されているので、まずはこれで自社の状況を確認するのが早道です。

Q. 顧客情報が漏れたら何をする？

A. 一定の場合に個人情報保護委員会への報告と本人への通知が義務づけられています。要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的による行為の場合、本人の数が1,000人を超える場合の4類型です。速報は事態を知った時点から概ね3日から5日以内、確報は30日以内（不正の目的による場合は60日以内）が目安とされています。

Q. CRMは高くて手が出ません

A. 全機能を入れる前提で見積もると高くなります。まず必要なのは権限管理と履歴だけ、という会社は少なくありません。顧客件数、利用人数、権限の分け方、連携先を書き出したうえで、複数社に同じ条件で見積りを依頼してください。ウェブ上の相場情報だけで判断すると、必要な機能が入っていない見積りと比べてしまいます。

Q. 担当者ごとに名簿が別々です

A. システムを作る前に統合してください。統合のカギは、会社名ではなく電話番号や顧客コードのような一意の値で同一判定することです。この判断をしないままシステムに載せると、二重登録がそのまま持ち込まれます。重複候補の抽出はAIに手伝わせても構いませんが、統合の判断は人が行ってください。

Q. スプレッドシート共有では不足？

A. 件数が少なく、全員が見てよい情報しか扱わないなら十分です。ただし、閲覧の記録が残らないこと、シート単位でしか権限を分けにくいこと、リンクを知っていれば開けてしまう設定になりやすいことに注意してください。共有リンクの設定は定期的に確認することをお勧めします。

Q. 顧客リストをAIに貼ってよい？

A. 貼り付ける前に、そのサービスが入力内容を機械学習に利用しない設定や契約になっているかを確認してください。個人情報保護委員会は令和5年6月2日の注意喚起で、個人データを含むプロンプトを入力する場合には、その事業者が当該データを機械学習に利用しないこと等を十分に確認するよう求めています。確認が済んでいないなら、氏名と連絡先を伏せて作業してください。

Q. 既製品と自作は併用できますか

A. むしろ推奨します。顧客情報の正本と権限管理は既製品に任せ、自社が見たい形の一覧やアラートだけを自作で補う形です。既製品にデータ出力の機能があれば実現できます。全部を自作するより安全で、費用も抑えられます。

Q. 在庫管理の自作と何が違いますか

A. 在庫は間違えたときにリスクが出ますが、顧客情報は正しく動いていてもリスクが出ます。全社員が見られる状態になること自体が問題だからです。判定表に「見せる範囲」「扱う項目」「要配慮個人情報」の3行が追加されているのはそのためです。在庫側の判断軸は在庫管理システムを自作する記事にまとめています。

Q. 何から手をつければよいですか

A. 直近1週間で「顧客のことが分からなくて困った場面」を書き出してください。連絡先を探すのに時間がかかったのか、前回の対応内容が分からなかったのか、案内を出し損ねたのか。場面が特定できれば、作るべきものは自然に決まります。困りごとが挙がらないなら、今は作る時期ではありません。

まとめ

• 顧客管理の自作は「見るだけ」なら可、「更新して共有する」なら慎重に
• Excelの顧客名簿も個人情報データベース等に該当する（名刺の入力・整理が該当事例）
• 中小規模事業者は従業員100人以下だが、本人が5,000を超えると対象外
• 安全管理措置は7区分。ログイン画面を作ることではなく運用の設計
• 自作でもっとも外しやすいのはアクセス制御。全員が全件見られる状態になりやすい
• CSVの一括出力は作らない。退職時の持ち出しリスクが大きく下がる
• 漏えいは報告義務がある。何件出たか分からないシステムでは報告が作れない
• 判定表の右側に1つでも該当したら、自作は保留して既製品を見る
• 自作するなら担当分の照会、対応期限のアラート、取引傾向の集計の順に作る
• 着手前に目的、対象外、元データ、見せる範囲、記録、代替、維持する人、やめる基準の8つを書き出す

顧客管理の自作で失敗する会社は、技術力が足りなかったわけではありません。見せる範囲を決めないまま、見やすい画面を作ってしまっただけです。決めるべきは道具ではなく方針であり、それは経営者にしか決められません。まずは紙1枚に「誰が、どこまで、見てよいか」を書くところから始めてください。

無料相談はこちら（初回のご相談・お見積りは無料です）

同じ判断軸を在庫に当てはめた記事は在庫管理システムを自作する｜作る前の判断、顧客管理の入力をAIで減らす方法は顧客管理の入力をAIで減らす、問い合わせの履歴管理は問い合わせ管理の仕組みづくり、外注前の整理は要件定義の進め方にまとめています。なお、法令の解釈や自社の対応の可否については、個人情報保護委員会のよくある質問を確認するか、専門家にご相談ください。