脆弱性診断・セキュリティ監査の請求書— インボイス確認

1. 診断・監査の成果物と取引年月日

1-1. 実施期間とレポート納品日

診断は複数日にまたがり、最終レポート納品が完了定義になる契約が多いです。
請求書の取引年月日が実施開始日なのか納品日なのかを、契約の検収条項と突合します。
記載要件はチェックリストで確認してください。

1-2. 対象システムの記載

「脆弱性診断費用」だけでは、どのURL・どの環境（本番/ステージング）かが不明です。
社内の情報システム部門が検収するためにも、対象システム名を摘要に含めてもらうと後工程が楽になります。
確認手順は受取請求書チェックの手順を参照してください。

1-3. 再診断・追加スコープ

重大指摘の修正後に再診断が入り、追加請求が届くことがあります。
初回契約に含まれる回数を超えれば別取引として扱い、登録番号・金額・範囲を再確認します。

2. よく混ざる費用

2-1. 診断ツール・SaaSライセンス

診断会社が使うスキャナのライセンス費用が転嫁される場合があります。
国内事業者からの請求なら通常の適格請求書確認、海外直請求なら海外SaaSとリバースチャージを参照してください。

2-2. ペネトレーションと監査の合算

技術診断とマネジメント監査を同じベンダーが請け負う場合、役務内容が異なるのに1行摘要になることがあります。
不備や説明不足のリスクは不備リスクもあわせて確認してください。

2-3. 値引き・キャンペーン後の調整

年度末キャンペーンで値引きされた場合、返還インボイスの要否を検討します。
返還インボイス対応を参照してください。

3. 想定シナリオ：リリース前の緊急診断

プロダクトマネージャーがリリース直前にWeb脆弱性診断を発注し、経理に緊急請求が届いた場面です。
通常の月次締めと別ルートで支払承認する必要があるため、稟議番号・対象URL・レポート受領日時を請求書PDFに紐づけます。
土日実施の割増が「特急料金」とだけ書かれている場合は、事由の追記を依頼します。

3-1. 会話例

「請求に再診断1回分が含まれていますが、契約では初回に1回無料とあります。内訳を分けて、無料分は値引き明細にしてください」と依頼します。
電子保存は電子取引の保存要件に沿い、レポート番号を検索キーにします。

3-2. 端数と税率

人日単価×日数の計算で端数が揺れるベンダーがあります。
消費税の端数処理を参考に、請求ルールの統一を依頼してください。

4. よくある質問

Q. NDAがあるので請求書にシステム名を書けないと言われました

社内コードや案件番号で代替し、別紙の対象一覧とセット保存する方法があります。
取引内容が全く分からない摘要は避け、双方で合意した識別子を使うのが現実的です。

Q. 個人事業のセキュリティエンジニアへの単発依頼は？

登録番号の有無と、免税の場合は経過措置を確認します。
経過措置2026を参照してください。

Q. クレジットカード明細だけでもよいですか？

カード明細だけでは適格請求書の要件を満たさないことが多いです。
発行元から請求書PDFを取得してください。

Q. 簡易インボイスで届く小規模ベンダーは？

要件の差は簡易インボイスの記載要件で確認し、継続・高額案件は通常の適格請求書へ切り替えを依頼します。

Q. 再診断の無償期間は請求書のどこに書かれますか？

契約の「初回診断後○日以内の再診断は無償」条項が根拠になります。
請求時は、再診断が無償範囲か有償かを摘要または別紙で明示してもらうと承認が速いです。
無償なのに有償行が載っている場合は、診断日と再診断日のカレンダーを添付して差し戻します。

Q. ブラックボックスとホワイトボックスで請求が分かれる場合は？

手法が違うと人日単価も違うことが多いです。
明細で手法・対象URL数・期間が分かるようにし、見積のスコープ変更と突合します。
スコープ追加の差戻し観点はインボイス不備と控除リスクの「記載が足りない請求」と同じく、社内で承認できない行として扱います。

5. 社内チェックリスト

• 対象システム（または案件コード）が摘要にあるか確認する
• 初回診断・再診断・追加スコープを分けて照合する
• ツールライセンス転嫁の請求元を確認する
• レポート受領を検収証跡として保存する
• 緊急割増の事由が記載されているか確認する
• ステージングと本番の二重診断は環境名で摘要を区別する
• 報告会が契約外なら別発注として処理する

インカク（incaku）は診断・監査の請求書PDFの登録番号照合に利用できます。
脆弱性の重大度判定や監査意見の代替は対象外です。

7. 機密性・検収・ベンダー選定と請求の実務

脆弱性診断のレポートは機密性が高く、請求書と一緒にメール転送しない運用が一般的です。
経理はレポート本体ではなく、検収完了のワンライン通知と請求書を紐づけます。
共有ドライブの権限を分け、請求書フォルダにレポート全文を置かないルールを文書化します。

7-1. ステージングと本番の二重診断

ステージング診断のあと本番でも実施する場合、2件の請求が近い日付で届きます。
環境名と実施日が摘要に無いと二重請求に見えて差し止められがちです。
発注書の環境指定と請求摘要を必ず突合します。

7-2. 外部スキャナと人力レビュー

自動スキャン枠と人力レビュー枠が別単価のベンダーでは、内訳がないと単価検証ができません。
「診断一式」ではなく、スキャン人日とレビュー人日を分けてもらいます。
ツールライセンスが別会社請求なら、その登録番号も個別に照合します。

7-3. 年次契約の消化管理

年間何回かの診断枠を買う契約では、枠の消化状況と請求タイミングがズレることがあります。
枠消化表を情報システム部門が更新し、経理は請求時に残枠を確認します。
未消化枠の期末精算がある場合は、返還や繰越の条件を契約と請求書で確認します。

8. 指摘対応の工数と再診断の境界

診断会社が修正方法の助言まで有償で行う場合、診断本体と助言が別明細になります。
助言が契約に含まれるのに別請求されている場合は、差し戻します。
含まれない場合は、助言の対象指摘IDを摘要に書いてもらい、開発側のチケットと紐づけます。

8-1. クラウド設定診断の対象アカウント

AWSやGCPの設定診断では、対象アカウント数が単価に影響します。
請求のアカウント数と実際に権限を渡したアカウント一覧を突合し、差分があれば訂正を依頼します。

9. 報告会・説明会の別請求

経営層向けの報告会が診断費用に含まれないベンダーがあります。
報告会の開催日・参加人数・資料作成費が摘要にあるかを確認し、契約範囲外なら別発注として処理します。
オンライン報告に変更したのに会場費が残っている場合は修正依頼します。
報告資料の社外提出用加工が追加請求になる場合は、提出先と加工範囲をメモします。

10. まとめ

• 診断請求は対象範囲と納品日の記載が鍵
• 再診断・ツール転嫁・緊急割増を内訳で確認する
• NDA下でも識別可能な摘要ルールを決める
• レポートと請求書をセットで電子保存する
• 経理証跡はレポート全文ではなく検収通知と請求書のセットにする
• クラウド設定診断は対象アカウント数と権限付与一覧を突合する
• 再診断の無償期間内かどうかを摘要で確認する
• 年次枠の残数を請求承認前に情報システムへ確認する

注意

本記事は国税庁の公表資料等に基づく一般的な情報の整理であり、税務・法的助言ではありません。
個別の判断は税理士等の専門家にご確認ください。
診断範囲や再診断条件の契約解釈も、個別事情に応じて専門家へ確認してください。