この記事で分かること
- ユーザー系と、受託開発のベンダー系とで、OSSの決まりの整い方がどう違うか
- 業種によって、どれだけ差が開いているか
- 委託先に何を聞けば、委託したシステムに入っているOSSが分かるか
開発は委託先に任せているでしょう。進捗の報告も受けているはずです。しかし、出来上がったものに何のOSSが入っているかは、聞いたことがないかもしれません。
何が入っているか分からないままでは、脆弱性が出ているかも、ライセンスの条件に反していないかも判断できません。
調査に答えた362社のうち、7割がユーザー系
IPAが2026年5月13日に、2025年度オープンソース推進レポートを公開しました。もとになっているのは2025年度ソフトウェア動向調査で、有効回答は362件です。レポートは三部構成で、その第一部が国内企業への調査と、七か国の行政機関が公開しているリポジトリの国際比較です（同レポート）。ここでは国内調査に絞って見ます。
この362社は、二つに分けて集計されています。ユーザー企業と情報システム子会社を合わせた「ユーザー系」が255社、受託開発やパッケージソフトウェアの「ベンダー系」が107社です。7割がユーザー系です（同、表2-3）。
原典が書いているのは、それぞれにどんな会社が入るかだけです。どちらに当たるかの判定基準は書かれていません。情報システム子会社は親会社から受託するので、開発を受ける立場にもなります。
開発を委託している相手が受託開発の会社なら、その相手はベンダー系に含まれます。自社がどちらかを決めなくても、委託先がどちらかは分かります。
OSSが入ってくる経路は二つあります。自社の人が選んで入れるか、委託先が選んで入れるか。後者は、決めているのが自社ではありません。開発を全部任せている会社ほど、入ってくるものの割合は後者に寄ります。それでも、動かし続ける責任は発注した会社に残ります。
OSSの決まりがあるのは、ユーザー系の28.2%
レポートは、OSSポリシーの整備率を企業種別で出しています。ここでいうポリシーは、OSSを使ってよいかどうかと、使うときに何を確かめるかを社内で決めた文書です（同、表2-5）。
ユーザー系は28.2%、ベンダー系は57.0%です（同、表2-12）。開発を任せている相手が受託開発の会社なら、その相手が倍近く整えていることになります。
整備率が指しているのは、全社で統一したポリシーがあるか、部署単位のポリシーがあるかのどちらかです。どちらも無い会社が、ユーザー系で7割を超えます（同、表2-12）。
この整備率を前の年と比べると、ユーザー系は14.4%から28.2%に増えています（同、表2-12）。倍近い伸びです。それでも三割に届いていません。
ここで、数字の読み方に注意が要ります。この調査は、答えた会社が前の年と入れ替わっています。レポートは業種の構成を揃え直した補正値も出しています。補正後の2024年度値は20.0%です（同、表2-12）。伸びの一部は、答えた会社が入れ替わったことで説明が付きます。
ベンダー系は逆で、補正後の2024年度値が41.2%、2025年度が57.0%です（同、表2-12）。どちらの年も、ユーザー系を上回っています。
業種で見ると、最も高いのは情報通信の60.7%
業種別の整備率も出ています。回答が80社を超えている業種は三つです（同、表2-11）。
情報通信が60.7%、流通・サービスが31.9%、製造業が30.0%です。回答数はそれぞれ89社、94社、80社（同、表2-11）。情報通信とそれ以外で、30ポイント近い開きがあります。
残りの業種は回答が少なく、レポート自身が「統計的に不安定」「業種全体の実態を代表しているとは言えない」と書いています。数として載っていても、業種の傾向としては読めません。回答が10社や5社の業種で、整備率が0%や60%になっていても、その業種がそうだとは言えません（同、表2-11）。
読めるのは、情報通信以外では三割前後で止まっているということです。自社が情報通信でなければ、同じ業種の7割前後に決まりがありません（同、表2-11）。
OSSに関わっていないユーザー企業が、7割を超える
ユーザー系とベンダー系で比べられる数字が、もう一つあります。OSSプロジェクトへの貢献です（同、図2-1）。
「特に活動していない」と答えたのは、ユーザー企業で73.7%、ベンダー企業で60.7%です。設問は複数選択で、社員によるソースコードの提供、保守契約や商用サポートの購入による間接的な支援、フォーラムやイベントでの知見共有など、八つの選択肢が並んでいます（同、図2-1）。
間接的な支援まで含めて、7割強が何もしていません。使うだけの立場に回っているということです。個別に見ると、ユーザー企業で最も多いのは保守契約や商用サポートの購入で6.3%、次が社内ツールのオープンソース化で5.1%です（同、図2-1）。
貢献していなくても、使っているものが何かは分かります。修正版が公開されても、それを自社のシステムに取り込むのは自社です。
原典の設問が、そのまま委託先への質問になる
レポートは、もとの調査の設問を対応表で出しています（同、表2-5）。
OSSポリシーの整備状況は「社内ポリシーの整備状況（OSS採用）」、自社ソフトウェアの公開は「オープンソース化状況」、管理部門の有無は「OSPOの設置状況」です（同、表2-5）。
この三つを、自社がそのまま委託先に聞けます。調査に答えられる会社なら、答えを持っています。聞く相手は、営業ではなく開発の責任者です。聞くのは契約の更新のときで構いません。
答えで決まるのは、OSSの扱いを委託先に任せられるかどうかです。ポリシーがあると答えるか、無いと答えるかで、次に自社がやることが変わります。
あると答えたら、その文書を見せてもらいます。「あります」だけでは、その中身が自社の使い方と合うかが分かりません。
無いと答えたら、何を入れてよいかを決めるのは自社です。決めるには、いま何が入っているかの一覧が要ります。その一覧を委託先から受け取るところが、最初の一歩になります。
明日からできること
決めるのは、委託先が入れたOSSを、誰がどこまで把握するかです。
まず、いま動いているシステムについて、使っているOSSの一覧を委託先に求めます。そこに載せるのは、名前とバージョン、そしてライセンスの三つです。一度もらって終わりにせず、中身が変わるたびに更新してもらう約束にします。
次に、その一覧のどれを自社が判断するかを決めます。脆弱性が出たときに、そのOSSをバージョンアップするかどうかを決めるのは自社です。委託先が判断してよいものと、相談してもらうものを分けます。
OSSのライセンスには、使い方に制限が付くものがあります。一覧にライセンスを入れておけば、自社がこれからやろうとしていることが、その制限に引っかからないかを先に確かめられます。
OSSポリシーを一から作る必要はありません。一覧を持ち、更新の判断を誰がするかを決める。この二つが先に来ます。ポリシーの文書は、その先です。
この二つを決めるのに、社内にOSSの専門家は要りません。要るのは、委託先に聞いて、返ってきたものを読む人です。
この一覧は、属人化を防ぐことにもつながります。担当が抜けたときに誰も触れなくなる部分は、一覧に載っていないものから出ます。次の契約の更新までに揃えておけば、引き継ぎのときに一から調べ直さずに済みます。