増え続ける外部サービスや取引先。
リスク評価や管理の負担が大きくなっていませんか？
自社だけのリスク管理では守りきれない時代へ。
グローバル基準の委託先リスク管理・サードパーティリスク管理を、
最適なソリューション選定と伴走支援で実現。
なぜ今、委託先リスク管理・ベンダーリスク管理・
サードパーティリスク管理が必要なのか？
自社のセキュリティ対策だけを強化していても、委託先や再委託先、取引先や外部サービスがサイバー攻撃を受ければ、その影響が取引関係を通じて自社にまで及び、情報漏えいやシステム侵害、事業停止につながるおそれがあります。
また、委託先・再委託先・取引先に関するリスクは情報セキュリティだけではありません。法令遵守や個人情報保護、人権・ESG、事業継続など、さまざまな観点からリスクを把握し、適切に評価・管理することが重要です。
情報セキュリティ管理
委託先のセキュリティリスクを把握し、情報漏えいやサイバー攻撃を防ぐ
委託先のセキュリティ体制や脆弱性への対応状況を確認し、認証や保証報告書も参考にしながら、情報漏えいや不正アクセスのリスクを評価します。
ガバナンス・事業継続
委託先や外部サービスの管理体制を把握し、事業停止のリスクに備える
契約や再委託の状況、責任範囲を確認するとともに、障害やサービス停止による影響を評価し、代替手段やBCPを整備します。
コンプライアンス・社会的責任
法令違反や人権侵害などのリスクを把握し、企業としての責任を果たす
委託先の法令遵守、反社会的勢力との関係、個人情報や人権への配慮などを確認し、法的責任や信用低下につながるリスクに継続的に対応します。
このような委託先・取引先・外部サービス管理の課題、心当たりはありませんか？
- 委託先(1次)は評価できているが、その先の再委託・再々委託先まで把握できていない
- 利用しているSaaSやクラウドサービスの障害が、自社業務に与える影響を十分に把握できていない
- セキュリティ、反社チェック、ESGなどの情報が分散し、取引先ごとのリスクや評価状況を横断的に把握できない
- 毎年チェックシートを送付しているものの、回収・確認に手間がかかり、評価結果を十分に活用できていない
- リスク評価後の対応状況や情報共有の履歴が属人化し、組織として経緯を把握・管理できていない
- サプライチェーン攻撃のニュースを見るたび、自社の取引先や委託先、利用する外部サービスは大丈夫なのか気になる
こうした課題に対応するには、直接契約している委託先だけでなく、その先の再委託先や外部サービスも含めて、組織外に起因するリスクを把握・管理することが重要です。
ABOUT TPRM 委託先リスク管理・ベンダーリスク管理・サードパーティリスク管理 (Third-Party Risk Management) とは？
サードパーティとは、自社以外の業務に関係するすべての外部組織やサービスを指します。業務委託先やサプライチェーン上の取引先だけでなく、自社が利用するSaaS・クラウド事業者、業務提携先、さらには再委託・再々委託先の事業者まで幅広く含まれます。
企業が外部の組織やサービスを利用する際には、情報セキュリティやコンプライアンス、事業継続性など、さまざまなリスクが生じます。こうしたリスクを管理する取り組みは、委託先リスク管理、ベンダーリスク管理、サードパーティリスク管理（TPRM）など、さまざまな名称で呼ばれています。
これらの用語は、企業や業界によって使い方や管理対象の範囲が異なります。委託先リスク管理やベンダーリスク管理では、直接契約している委託先や取引先を中心に捉える場合がある一方、TPRMでは、再委託先やその先の事業者、委託先が利用するクラウドサービスなど、サプライチェーン上の関係先にまで視野を広げてリスクを捉えます。
呼び方や対象範囲に違いはあっても、本質は、自社の業務に関わる外部の組織やサービスとの関係から生じるリスクを把握し、適切に管理することです。
また、リスク管理は、外部の組織やサービスを特定・評価するだけでは終わりません。評価の結果、問題が見つかっても、必ずしも取引を終了したり、相手に改善を求めたりできるとは限りません。そのため、リスクに応じて、共有する情報やシステムへのアクセス、委託する業務の範囲を制限するなど、関係の持ち方を調整することも重要です。
評価結果を踏まえて、取引の継続や条件の見直し、必要なリスク低減策を判断し、継続的に管理していくことが、委託先リスク管理・ベンダーリスク管理・TPRMに共通する重要な考え方です。
委託先リスク管理・ベンダーリスク管理・TPRMの基本的な管理プロセス
サードパーティの特定
管理対象となる委託先・取引先・外部サービスを特定し、業務内容や提供サービス、依存関係などを把握する。対象を一覧化・分類し、管理の優先順位づけにつなげる。
適格性審査・リスク評価
セキュリティ対策やコンプライアンス、事業継続性などの観点からサードパーティを調査・評価し、自社への影響やリスクの大きさを把握する。
契約・利用開始時の管理
リスク評価の結果を踏まえ、契約条件や責任分担、必要なセキュリティ要件を定める。利用開始にあたっては、必要なアクセス権限や管理体制を整える。
リスク対応・是正
特定したリスクに応じて、対策の実施や改善要求、契約条件の見直しなどを行う。残存リスクを踏まえ、取引の継続やリスク受容についても判断する。
継続的なモニタリング・記録管理
サードパーティのリスクや管理状況、問題への対応状況を継続的に確認する。評価結果や対応履歴を記録し、状況の変化に応じて再評価・見直しを行う。
契約更新・終了時の管理
契約更新時にはリスクや管理状況を再確認し、取引継続の妥当性を判断する。契約終了時には、アクセス権限の解除やデータの返却・削除など、必要な措置を講じる。
こうした一連のプロセスを自社だけでゼロから設計・運用するのは容易ではありません。客観的な評価基準を策定し、実効性のある仕組みを整えるためには、国際的な標準規格や業界ガイドラインの活用が不可欠です。
次セクションでは、TPRMの実践を支える主要なグローバル標準と評価フレームワークを紹介します。
フレームワークの解説をスキップして、自社に合ったツールの比較や具体的な運用イメージを先にご覧になりたい方はこちらをクリック →
委託先リスク管理・サードパーティリスク管理を支える主なグローバル標準の基準・ガイドライン
TPRMを実践するには、サードパーティや依存関係の把握、リスク評価、対応方針の決定、継続的なモニタリングなど、一連の流れを管理するプロセスが必要です。 こうしたプロセスを効果的に設計・運用するために、管理体制の枠組みを示す基準・ガイドラインや、具体的なリスク評価を支える標準的な評価手法が活用されています。
左右にスクロールしてご確認いただけます
| 基準・ガイドライン・評価手法 | 主な目的・特徴 | TPRMでの活用 |
|---|---|---|
| 米国標準規格 NIST SP 800-161 | サプライチェーンにおけるサイバーセキュリティリスクの管理 |
リスク管理プロセス全体の設計・運用を支援。
サプライチェーンに潜むサイバーリスクを特定・評価・軽減し、組織の方針や調達、リスク管理の考え方を整理する。 |
| 国際標準設問 Shared Assessments SIG | サードパーティのセキュリティ管理状況などを確認するための標準化された質問票 |
サードパーティのデューデリジェンス・リスク評価を支援。
ガバナンスとリスク管理、インフラセキュリティ、アプリケーション・データセキュリティ、運用・オペレーショナルリスクの4テーマ・21のリスク領域にわたる質問ライブラリを活用し、サードパーティへの質問・評価を体系化する。 |
| ISO国際規格 ISO/IEC 27001 & 27036 | 情報セキュリティマネジメントとサプライヤー管理 |
自社の管理体制の整備と、サプライヤーとの関係における管理を支援。
ISO/IEC 27001に基づくISMSの構築・運用・継続的改善に加え、ISO/IEC 27036が示すサプライヤーとの関係における情報セキュリティの管理方法や要求事項を参考に、自社の情報セキュリティ管理体制とサプライヤー管理を整備・運用する。 |
TPRMの実践を支えるソリューション
基準やガイドラインは、サードパーティリスク管理に必要な考え方や評価の方向性を示します。一方、それらを日々の業務に適用するには、サードパーティの情報収集やリスク評価、対応方針の決定、継続的なモニタリングなどを、実際の管理業務として運用できる社内的なルールが必要です。
定めたルールに沿って管理業務を実行するには、サードパーティの情報の整理だけでなく、評価結果に応じた対応方針の決定、改善状況の確認、関係部門との情報共有まで、一連の業務をどのように運用するかが課題となります。管理対象や評価結果、対応履歴を相互に関連づけて把握し、継続的な管理につなげる仕組みも重要です。
こうしたTPRMの実践を支援するソリューションとして、TrustNowではOneTrustとVantaをご紹介します。それぞれの特長や管理業務への適用方法を理解し、自社の管理対象やリスク管理の方針、運用体制に合ったソリューションを選ぶことが重要です。
サードパーティの特定
委託先（1次）は把握できているが、再委託・再々委託先や利用SaaSの障害影響まで把握できていない
管理対象となるサードパーティを洗い出し、情報を収集・整理する。担当部門や利用サービス、自社業務への依存関係やリスク区分を把握する。
台帳による一元管理と可視化委託先だけでなく再委託先やクラウドサービスとの関係性を台帳で一元管理。障害時の業務影響を即座に確認できます。
管理項目・フローの柔軟な設定自社の管理体制や業務ルールに合わせて管理項目を自由にカスタマイズし、後続の評価プロセスとシームレスに連携できます。
手動登録とSSO自動検知個別の台帳登録に加え、SSO・IdP連携により社内で利用されているSaaSを自動ディスカバリー。シャドーITを含む利用実態を漏れなく特定します。
多角的な情報集約特定した対象に対し、Trust Centerや一般公開されているセキュリティWebページのURL指定、提供資料のアップロード、質問票を組み合わせてサードパーティ情報を効率的に集約・管理します。
適格性審査・リスク評価
サードパーティの選定・契約時に確認作業や精査に時間がかかり、契約可否に関わる重大なリスクを迅速に見極められない
質問票やセキュリティ証跡を収集し、相手の体制や自社への影響を精査する。許容できないリスクや是正事項を特定し、契約締結や条件設定の判断材料を整える。
多角的な評価票設計セキュリティ・コンプライアンス・BCPの標準テンプレート完備。自社独自の質問票やカスタマイズしたアセスメントも自由に運用できます。
ティアリング自動分岐サードパーティの事業影響度や取り扱うデータ区分に応じて重要度（ティア）を判定。対象ごとに確認すべき質問票や評価レベルを自動で出し分けます。
自社基準スコアリング回答への重みづけ設定により、評価結果から自社基準のリスク値を自動算出。契約可否に関わる重大リスクを迅速に判定できます。
AI解析によるリスク抽出提供資料や公開情報をAIが自動解析し、評価票の回答を事前入力。懸念点や注意が必要な項目を自動でハイライトし、精査の手間を大幅に削減します。
客観的なリスク判定収集データや取引先の重要度に基づき、客観的なリスクレベルを算出。契約締結の可否や安全に利用開始するための判断材料を迅速に整備します。
契約・利用開始時の管理
セキュリティ、反社チェック、ESGなどの情報が分散し、取引先ごとのリスクや評価状況を横断的に把握できない
評価結果を踏まえ、契約条件や責任分担、必要なセキュリティ要件を確認する。利用開始の承認や関係部門との連携を行う。
リスク・審査情報の一元集約セキュリティ、コンプライアンス、ESGなど複数部門にまたがる評価結果や契約条項をインベントリに集約。取引先ごとの全体リスクを横断的に把握できます。
柔軟な多段階承認フロー評価結果やリスクレベルに応じた条件付き承認や、法務・情報システム・事業部門を巻き込む多段階の承認ワークフローを自社の組織ルールに沿って構築できます。
ベンダープロファイルの一元化セキュリティ評価や収集資料、リスクステータスを取引先ごとに集約。分散しがちな情報をダッシュボードで横断的に可視化します。
アセスメントと利用開始の分離承認評価結果の確認・承認と、取引先自体の利用承認を個別に管理。役割に応じた承認プロセスをシステム上で適正に統制できます。
リスク対応・是正
リスク評価後の対応状況や情報共有の履歴が属人化し、是正の進捗確認や期限管理が放置され、経緯を組織として追跡できていない
評価で判明した問題について、改善要求や対策、残存リスクの受容などを判断する。担当者や期限を定めて対応を進める。
是正プロセスの追跡管理特定したリスクに対する改善要求や対応タスクをワークフロー化。担当者・期限の設定や進捗ステータスを可視化し、対応の放置や属人化を防ぎます。
リスク受容・判断の記録対策が難しい残存リスクの受容判断や、承認理由・責任者の記録を一元保持。監査時にも説明可能なガバナンス履歴を残せます。
Findingの起票とタスク追跡アセスメントで見つかった課題を「Finding」として登録。担当者や期日を設定してJira等の課題管理とも連携し、是正の進捗を漏れなく追跡します。
残存リスクの受容と経緯記録即座に解消できないリスクに対して受容判断の理由や見直し期限を記録。監査にも耐えうる適正なガバナンス証跡をプラットフォーム上に残せます。
継続的なモニタリング・記録管理
サプライチェーン攻撃のニュースを見るたび、自社の取引先や委託先、利用する外部サービスは大丈夫なのか気になる
サードパーティの状況変化や新たなリスクを把握し、対応状況・評価結果・履歴を継続的に管理する。
外部DB連携と常時検知外部脅威情報やグローバル制裁・信用DBと自動連携。セキュリティ評価の低下やインシデント発生、反社・財務の変動を検知し、インベントリへ自動反映します。
定期再評価・棚卸の自動化リスクレベルに応じた再評価スケジュールを設定し、アセスメントの配信・督促を自動化。継続的な是正履歴を無理なく管理できます。
設問・回答データの横断抽出と特定リスク分析各委託先の評価だけでなく、様々な委託先やアセスメントを横断して抽出・集計。法改正や新たな脅威トレンドやインシデントの発生時にも、個別要件に該当する委託先を迅速に洗い出し集計できます。
定期再評価のサイクル自動化取引先のリスクレベルに応じた評価頻度（年次など）を設定し、再評価タスクの起票や更新確認を自動化。見直し漏れを防ぎます。
最新証跡と監査対応の一元化更新されたセキュリティ資料や最新の評価結果、過去の是正履歴を台帳に集約。監査でそのまま提示できる最新の管理状態を維持できます。
リアルタイムダッシュボードによる全体可視化委託先ごとのリスクレベルやアセスメントの進捗状況、未対応タスクを直感的なダッシュボードで常時可視化。集計やレポート作成の手間をかけず、管理画面を開くだけで自社のサードパーティリスクの現状をリアルタイムに把握できます。
契約更新・終了時の管理
契約更新や定期見直しの際、毎年チェックシートを送付・回収すること自体が目的化し、形骸化して実質的なリスクの再確認ができていない
契約更新時に過去の是正状況や最新リスクを再評価し、取引継続の妥当性を判断する。契約終了時には、オフボーディングのチェックリストに沿って預託データの破棄やアクセス権限の解除手順を進め、完了証跡を台帳に記録する。
満了期日アラートと更新審査契約更新日を自動追跡し、事前にアラートを通知。過去のリスク評価結果や是正状況を踏まえた見直しワークフローを実行し、漫然とした自動更新を防ぎます。
オフボーディングのワークフロー統制契約終了に伴うデータ破棄証明書の回収や関係部門の対応タスクをワークフロー化。抜け漏れを防ぎ、適正に終了処理が行われた証跡を台帳上で一元管理します。
更新期日アラートと見直し契約更新日をシステム上で追跡し、見直し時期にアラートを通知。過去の評価履歴やFindingの是正状況を踏まえた契約更新の判断を可能にします。
オフボーディングと証跡アーカイブ利用終了時はベンダーを安全にアーカイブ化。管理対象から適正に除外しながら、過去のアセスメント結果や是正の証跡を監査向けにそのまま保持できます。
自社の管理方針・運用体制に合ったTPRMの実践へ
サードパーティリスク管理では、管理対象やリスク評価の方法だけでなく、評価結果に応じた対応や継続的なモニタリングまで、一連のプロセスを自社の方針や運用体制に合わせて整えることが重要です。
OneTrustとVantaは、それぞれ異なる特長を持つTPRMソリューションです。管理プロセスに求める柔軟性や自動化の範囲、既存の業務フローとの連携などを踏まえ、自社に適したソリューションを検討しましょう。
自社に最適な
TPRMソリューションを
見つけませんか？
自社の管理対象や業務プロセスに合わせ、
OneTrustとVantaのどちらが適しているかの比較選定から、
運用ルールの設計・導入まで
専門コンサルタントが伴走支援します。