SHIFT、213システム・3.14億Stepのソースコード解析で国内企業システムの「隠れたリスク」と認識ギャップの実態を解明

株式会社SHIFT（本社：東京都港区、代表取締役社長：丹下 大、東証プライム市場：3697、以下 「SHIFT」）は、日本国内144社・団体が運用する213システムを対象に、リスク実態調査を実施いたしました。

従来、国内企業で運用中のシステムを対象としたリスク調査は、運用担当者や責任者へのアンケート調査が主流であり、企業側の認識や課題感を強く反映している一方、システム内部の実態を客観的に捉えきれないという課題がありました。本調査では、運用主体の同意を得た上で、対象システムのソースコード3.14億Stepを静的解析およびLLM解析で分析し、これまで見えてこなかった運用中システムのリスクの実態を明らかにしました。

＜調査サマリー＞
・システムの障害リスクは「運用開始20年以上」で急増し、劣化は二段階で進行する。
・運用中システムの90.4%が保守切れに到達。「老朽化×複雑化×保守切れ」が重なる超危険システムは14.1％存在。
・システム規模に関する認識ギャップが生じ、実際の画面数が想定の約10倍だったケースも。

＜調査結果＞
■システムの障害リスクは「運用開始20年以上」で急増し、劣化は二段階で進行する

システムの複雑さを評価する指標に、プログラムの条件分岐や処理の入り組み具合を表す「CCN（循環的複雑度）」があります。この数値が高くなるほどコードの解読や改修が困難となり、トラブルや障害の発生率が飛躍的に高まることから、本調査ではCCNを重要指標の1つに位置づけて分析を行いました。

CCNの基準では「10以下」が「複雑度が低く改修・検証が容易な状態」とされる一方、11を超えると「中程度の複雑さ」に分類されリスクが高まります。運用年数の特定とCCNの分析ができた155システムを対象にCCN平均値を集計したところ、稼働年数が15年以上20年未満のシステムでは7.3にとどまる一方、20年以上のシステムではCCN平均値が17.9へと約2.5倍に跳ね上がる実態が判明しました。

また、CCN以外の主要指標（品質スコア、危険性の高い脆弱性件数、EOL（保守切れ）到達率）についても分析した結果、指標ごとに悪化が顕在化する時期が異なることが確認されました。特に注目すべき点として、システムの劣化は一本調子ではなく、「二段階劣化モデル」をたどることが観測されています。運用開始10年間は「品質スコアの低下」が先行し、その後、複雑度や技術的負債の蓄積が顕在化する傾向が見られます。この結果を踏まえると、運用開始10年を超えた段階では将来の改修に向けて設計書や運用ドキュメントの再整備を進め、20年以上の段階ではCCNの実測を行ってシステムのリスクを把握するなど、経過年数に応じた計画的な状態把握の取り組みが重要と考えられます。

■運用中システムの90.4%が保守切れに到達。「老朽化×複雑化×保守切れ」が重なる超危険システムは14.1％存在。

レガシーリスクに直結する「運用開始から20年以上（老朽化）」「CCN最大値200超（複雑化）」「EOL到達（保守切れ）」の3指標について実態を調査しました。稼働20年以上は推定運用開始年が判明した169件、CCN最大値200超は測定可能だった185件、EOL到達は判定可能だった198件を対象に集計しています。

集計の結果、稼働20年以上は30.2%、CCN最大値200超（危険水準の4倍超）は43.8%、EOL（保守サポート終了）到達は90.4%に達しました。特にEOL到達率は9割を超えており、多くのシステムで技術基盤の陳腐化が深刻化しています。調査対象の多くが「長期運用」「コードの複雑化」「技術基盤の陳腐化」のいずれかを抱えており、レガシーリスクが広範囲に及んでいる実態が浮き彫りとなりました。

さらに、これら3つの悪条件をすべて満たす「超危険システム」が14.1%存在し、「稼働20年以上かつCCN最大値200超」のシステムは、すべてEOL到達済みであることが判明しました。

3条件が重なるシステムは、「担当者不在による設計意図のブラックボックス化」「改修時の影響範囲の把握不能」「修正パッチの不提供（保守切れ）によるセキュリティ脆弱性」という致命的なリスクが同時に成立しているきわめて危険な状態です。自社システムが3条件すべてに該当する場合は、モダナイゼーションを本格的に検討すべき段階にあります。また、3条件すべてに該当しない場合でも、いずれか1つに該当するシステムについては計画的な見直しの対象となります。

■システム規模に関する認識ギャップが生じ、実際の画面数が想定の約10倍だったケースも

画面数は、システム移行に必要な工数や費用を見積もるうえでの重要な指標です。今回のソースコード解析では、事前に企業側が認識していた数を大幅に上回る画面数が確認されました。

企業側が「大きめのシステム」と認識していたシステムBにおいて、解析の結果、事前想定約300画面に対し、実際には約10倍にあたる約3,000画面が存在することが判明しました。このシステムでは、画面ごとの処理を共通化する仕組みが乏しく、個別に処理が分岐・増殖していった結果、CCN最大値も500超（危険水準の10倍超）と、局所的に極めて複雑な構造となっていました。本調査において約3,000画面以上は全体の上位2%であり、実測によって調査対象内でも最上位クラスの規模であることが判明した事例です。

こうした機能規模やシステム規模に関する大きな認識ギャップは、「コスト見積もりの過小評価」「工期の遅延」「移行時の影響範囲の見誤り」へと直結します。正確な実測データに基づく規模把握を行わないまま刷新計画を進めることは、プロジェクト上の重大なリスクを伴います。

＜調査概要＞
・調査名：国内企業システムの「隠れたリスク」実態調査 2026年度版
・調査期間：2025年9月～2026年8月
・調査方法：対象システムのソースコードを静的解析エンジンとAIを組み合わせて解析
・調査対象：144社・団体の213システム（ソースコード行数：3.14億Step）
・調査主体：株式会社SHIFT

※本調査結果の引用時には、引用元が「株式会社SHIFT：国内企業システムの「隠れたリスク」実態調査2026」である旨明記をお願いいたします。

＜本調査の速報版レポートについて＞
本調査の速報版レポートでは、このほかにも以下の調査結果を掲載しています。

・「平均的品質」からは見えない局所的リスクの実態
・レガシー技術が及ぼす影響度の実態
・小規模システムに潜む多重リスクの実態
・自社システムの老朽化リスクを測る「一次評価方法」
・システム刷新の対象選定および優先度判断で重視すべき指標

また、調査結果から判明した「タイプ別リスク診断」や、自社システムのリスク状況を簡易的にチェックできる「ベンチマーク記入シート」も巻末に掲載しています。自社システムの現状把握の第一歩に、ぜひご活用ください。

URL：https://contents.shiftinc.jp/modernization/download/

＜SHIFTの「AIモダナイゼーション」について＞

SHIFTのAIモダナイゼーションサービスは、SHIFTが独自に開発した高品質なシステム開発を支えるフレームワーク「SHIFT DQS（Development Quality Standard）」とAIを活用し、システムの可視化、戦略策定、開発、運用・保守の各プロセスを支援することで、既存システムの資産価値向上および新規システム開発における生産性・付加価値の向上を実現します。

SHIFT DQS for リバースエンジニアリング
現行システムのソースコードから内部・外部仕様を可視化し、最大46種のドキュメントを生成します。本サービスのコアとなるAI解析技術は、株式会社松尾研究所と共同開発および精度検証を進めています。

SHIFT DQS for ストラテジー
可視化データを基にAs-Is（現状）及びTo-Be（あるべき姿）を分析し、システム刷新に向けた最適な段階的ロードマップを策定します。

SHIFT DQS for フォワードエンジニアリング
AIと「SHIFT DQS」を活用し、高品質・高コストパフォーマンスの開発を実現します。

SHIFT DQS for メンテナンスサポート
AIを活用し、システムの運用保守業務を大幅に効率化・自動化。システム改修に伴うドキュメントの自動最新化をはじめ、標準化と自動化を徹底的に追求した次世代型のSRE体制を構築します。

特設サイト：https://contents.shiftinc.jp/modernization/
サービスに関するお問い合わせ：https://contents.shiftinc.jp/modernization/#contact

＜本ニュースに関するお問い合わせ先＞
株式会社SHIFT　広報IR部　広報室
Email : pr_info@shiftinc.jp