オープンソース推進レポート2025年度 ── ポリシーは、決めただけでは効かない

この記事で分かること

取引先から、メールが届きます。取引を続けるにあたって、情報セキュリティの確認に答えてほしい。返送の期限も書かれています。

確認票には項目が並んでいて、回答は「はい」「いいえ」「一部」から選ぶ形式です。上から埋めていきます。規程はあります。体制図もあります。

「オープンソースソフトウェア（OSS）の利用について、社内方針を定めていますか」。定めています。去年、作りました。「はい」。

次の行です。「利用しているOSSを把握していますか」。

ここで手が止まります。方針は書いてあります。ただ、いま何を使っているかをまとめた一覧が、社内にありません。

ポリシーを整備した会社は増え、管理する部門を置いた会社は増えていない

IPAが2026年5月13日に公開した2025年度オープンソース推進レポートに、この二つが並んでいます（表2-10）。

OSPOは、報告書が「組織的なOSS管理体制」と呼んでいる部門です（2.6.2）。設置済みに計画中を足しても6.9%です（表2-10）。

ここで、数字の読み方に注意が要ります。この調査は、前年と回答者の顔ぶれが入れ替わっています。有効回答は799件から362件になり、OSS活用率の高いベンダー系の比率が14.6%から29.6%へ増えました（表2-1、表2-3）。

IPAはそのため、2024年度のデータを2025年度と同じ構成に置き直した補正後の値を出しています（2.3.1）。年ごとの変化を比べるには、そちらを使います。

ポリシーの整備は進み、部門を置く動きは進んでいません。IPAは、OSPOについて「実質的にはほぼ横ばい」と書いています（2.6.1）。

企業が挙げた課題も、この一年で入れ替わりました（表2-9）。

減ったものが二つあります。

代わりに、2025年度から上位に並んだものです（表2-9）。

そして、「経営層の理解・支援不足」は2.5%です（表2-9）。

止めているのは経営ではありません。決めることは済んでいて、そこから先の手が足りていない。IPAはこれを「認識段階から実践段階へ移行している」と書いています（2.6.2）。

一つは、一度決めれば済む部分です。使ってよいライセンスの範囲、持ち込むときの手順、誰が判断するか。見直しは要りますが、見直す時期は自社で決められます。

もう一つは、決めたあとも運用が要る部分です。いま何を使っているかを保ち、見つかった不具合を追い、更新が止まっていないかを見る。これらは自社の外で変わるので、起きる時期を選べません。

片方だけでは、効きません。使ってよいライセンスを決めても、いま何を使っているかを保っていなければ、決めた範囲に収まっているかを言えないためです。決めごとは守られているかもしれませんが、守られていると示せません。

ポリシー整備率とOSPO設置率が9倍近く開いているのは、前半だけで止まっている会社が多いということでしょう。

とはいえ、専任の部門を置ける会社は限られます。設置済みが4.1%というのは、そういう数字です（表2-10）。

先に決めるのは、見る範囲です。使っているものすべてではなく、動かなくなったときに事業が止まるものから対象にします。

そのうえで、見る間隔を決めます。毎日でなくて構いません。決めてあれば、月に一度でも仕事として回ります。決めていなければ、気づいた人がたまたま動くだけになります。

同じレポートで、OSSへの貢献活動を「特に活動していない」と答えた組織が69.9%あります（図2-1）。使う側に回っている組織のほうが多い、ということです。使う側であれば、見るものは自社が入れたものに限られます。

いま動いているシステムを一つ選び、そこで使っているOSSを書き出せるかを見ます。

書き出せないなら、それが最初の作業です。書き出せるなら、次はその一覧が、いつ時点のものかを確かめます。

そのうえで、誰が見るかを決めます。ここまで決まって、ポリシーが効きはじめます。