IT開発委託の地政学リスク、インド・ベトナム勢の実力と選び方

人材不足が海外委託を経営課題へ変える構図

日本企業にとって海外へのIT開発委託は、単なるコスト削減策ではなくなりました。IPAの「DX動向2025」によると、DXを推進する人材が不足している日本企業は85.1％に達します。経済産業省が紹介する2019年の中位シナリオでも、2030年のIT人材不足は約45万人と試算されています。

その受け皿として存在感を高めているのが、TCS、Infosys、Wiproなどのインド勢と、FPTをはじめとするベトナム勢です。ただし、社名が知られていても、実際の開発拠点、再委託先、データの保管国、現地規制まで理解している発注企業は多くありません。

地政学リスクは、地図上の国名だけでは測れません。ソースコード、個人情報、クラウド権限、運用ノウハウが、どの法人と法域を通るのかを可視化して初めて、海外委託の安全性を判断できます。

インド勢の規模と高度案件を支える産業基盤

大規模・高難度案件に強い人材の厚み

インドの強みは、低い人件費よりも産業の厚みにあります。Nasscomによると、同国のテクノロジー産業は2025年度に推計2826億ドルの売上高を持ち、輸出収入は2244億ドル、就業者は580万人に達しました。ITサービスだけでなく、金融、製造、医療などのデジタルエンジニアリングや研究開発まで裾野が広がっています。

この規模は、基幹システム刷新やグローバル展開、クラウド移行、AI開発といった、多数の専門人材を必要とする案件で効きます。欧米企業の開発拠点が集積するベンガルールでは、製品開発や設計段階からインド人材を活用する体制が定着しています。仕様書どおりに実装するだけでなく、業務分析やアーキテクチャー設計から参加できる企業が多い点も特徴です。

インド大手は、日本市場への適応にも投資してきました。TCS Japanは三菱商事との合弁会社で、日本向け業務に従事する人材を国内外で1万人以上抱えると公表しています。インド国内にも日本向けデリバリーセンターを置き、日本の商習慣に詳しい国内人材と、グローバル案件の経験を持つ海外人材を組み合わせています。

したがって、インド企業を「安価なプログラマーの供給元」と見るのは実態に合いません。業界知識を持つコンサルタント、クラウド技術者、セキュリティー担当者を束ねられることが競争力です。特に、複数国で共通利用するシステムや、英語で標準化できる業務との相性が良好です。

対日ビジネスで残る言語と設計の壁

一方、日本企業との仕事では、曖昧な要件や多段階の合意形成が障壁になります。日本側が業務知識を整理しないまま「現行と同じもの」を発注すると、形式的には仕様を満たしていても、現場では使いにくいシステムが完成しかねません。

日本語とITの双方に通じたブリッジ人材は限られます。ブランド力のある大手でも、提案時の精鋭メンバーが開発開始後も担当するとは限りません。契約前には会社全体の従業員数ではなく、実際に割り当てられる設計者の経験、離任時の引き継ぎ、再委託の有無を確認する必要があります。

法制度の移行にも注意が必要です。インドではデジタル個人データ保護法と同規則が段階的に施行され、規則の主要部分には公表から18カ月後に発効するものがあります。国外の顧客との契約に基づき、インド国外にいる本人のデータを処理する場合には一部の適用除外もあるため、「インド法が日本の顧客データを自動的に守る」とは限りません。

CERT-Inのサイバーセキュリティー指令では、対象となる重大なインシデントやデータ漏洩を認知後6時間以内に報告する仕組みがあります。委託契約の秘密保持条項より法定報告義務が優先される場合もあるため、日本企業は現地当局への情報提供範囲と、自社への通知手順を事前に把握すべきです。

ベトナム勢の対日適応力と制度変更への備え

日本近接型デリバリーの進化

ベトナム勢の強みは、日本市場への近さです。日本語を使えるブリッジエンジニアを育成し、日本側の細かな品質要求に対応する体制を早くから築いてきました。時差が小さく、勤務時間を重ねやすいため、頻繁な仕様確認が必要なアジャイル開発や保守運用にも向いています。

最大手FPTは、2026年10月時点で日本国内に約5500人を配置し、日本事業が同社のグローバル技術サービス収入の約45％を占めると公表しています。日本企業との関係も、人員提供型の開発から、AI、半導体、ロボットなどの共同設計へ移りつつあります。

この対日経験は、業務手順が日本独自で、利用部門との細かな調整が多い案件で優位に働きます。既存システムのマイグレーション、製造業向けシステム、Webサービスの継続改善などでは、現場との意思疎通を含む総コストを抑えられる可能性があります。

ただし、ベトナム企業を一括して評価することはできません。大手には日本法人とセキュリティー専門部門がありますが、中小企業では営業窓口、実際の開発会社、フリーランスが分かれる場合もあります。日本語対応の良さだけで選ぶと、設計力や障害対応力の確認が後回しになります。

個人情報保護法が変える委託実務

ベトナムでは2026年1月に個人情報保護法が施行され、越境移転の実務が厳格化しました。対象となるデータを国外へ移転する場合、通常の処理影響評価に加えて移転影響評価を実施し、移転から60日以内に公安省傘下の担当部局へ書類を提出する必要があります。

ジェトロの整理では、越境移転規制への違反には、前年売上高の5％または30億ドンのいずれか高い方という罰金規定があります。サイバーセキュリティー法と関連政令にはデータの国内保存に関する規定もあり、外国事業者が公安省から保存を求められる場合があります。

このため、ベトナム拠点へ日本のデータを渡す際は、個人情報の種類、本人の国籍、保存場所、バックアップ先まで分けて確認しなければなりません。ベトナム企業の日本法人と契約しても、実際の処理が国外で行われるなら越境移転の検討は残ります。

また、ベトナムは人件費の安さを保つ一方、ジェトロ調査では日系企業の昇給率が2020年以降5％台半ばで推移しています。行政手続きの煩雑さや法制度の不透明な運用も、現地企業から繰り返し指摘されるリスクです。単価の固定を強く求めすぎると、経験者の離任や若手への交代という形で品質に跳ね返ります。

国籍比較では見落とす四つの委託リスク

第一は、開発経路の不透明さです。NISTは、調達する技術がどこで、どのような工程により開発されたかを把握できないこと自体をサプライチェーンリスクと位置付けています。元請け企業だけでなく、再委託先、利用するクラウド、ソースコードの保管先まで確認が必要です。

第二は、法域の重なりです。日本の個人情報保護法では、外国にある第三者への個人データ提供について、本人同意や相当措置を継続する体制などが求められます。委託先の現地法だけに従えば足りるわけではありません。

第三は、拠点集中です。同じ都市、通信事業者、クラウドリージョンに人員とデータを集めれば、社会情勢、災害、通信障害の影響を同時に受けます。国を分けただけでなく、開発環境と復旧要員が独立しているかが重要です。

第四は、撤退不能リスクです。契約終了時にソースコード、設計書、クラウド設定、暗号鍵、AIの学習データを返還できなければ、発注企業は委託先を変更できません。知的財産の帰属だけでなく、移行支援とデータ消去証明まで契約に含める必要があります。

経営会議で決める委託先選定の実務基準

委託先の比較では、国別単価より先に、案件で許容できないリスクを定義すべきです。機密データを渡さない開発環境、再委託の事前承認、要員交代時の引き継ぎ、監査権、インシデント通知、撤退時の成果物返還を共通条件にすると、企業間の違いが見えやすくなります。

次に、候補企業から法人名、開発都市、担当人数、データ保管国、利用クラウドを記したデリバリーマップを提出してもらいます。小規模な有償案件で、コード品質だけでなく、質問力、文書化、障害原因の説明、セキュリティー是正の速さを検証する方法が有効です。

インドは高度人材の厚み、ベトナムは日本市場への適応力という傾向がありますが、最終判断は実際のチームで行うべきです。重要機能を自社で設計し、案件特性に応じて複数拠点を使い分ける体制が、人材不足と地政学リスクを同時に抑える現実的な解になります。

参考資料:

• DX動向2025―AI時代のデジタル人材育成
• 情報人材の「量」に関する現況
• Nasscom Annual Strategic Review 2025
• Tata Consultancy Services Japan Corporate Profile
• FPTの日本事業と対日デリバリー体制
• ベトナムの高度外国人材の実態を探る
• ベンガルール進出の日系IT企業
• 外国にある第三者への個人データ提供ガイドライン
• サイバーセキュリティ経営ガイドライン Ver.3.0
• インド・デジタル個人データ保護法
• インド・デジタル個人データ保護規則2025
• CERT-Inサイバーセキュリティー指令FAQ
• ASEAN各国の個人情報保護法と越境移転規制
• ベトナムの投資環境と制度運用リスク
• NIST SP 800-161 サイバーサプライチェーン管理