はじめに

サードパーティリスク管理とは、組織が外部の取引先や業務委託先（サードパーティ）との関係から生じる潜在的なリスクを特定、評価、監視、軽減するためのプロセスです。サードパーティ経由のリスクを適切に管理することで、自社の事業継続性の確保や安定的な成長が期待できます。

OneTrustのサードパーティリスク管理（TPRM）は、ベンダー管理ライフサイクルを合理化し、リスクベースのアプローチを実現します。ベンダー管理ライフサイクルは、ベンダーとの取引における全てのフェーズ（選定、契約、パフォーマンス管理、契約終了）を網羅するプロセスです。各フェーズにおいて発生し得るリスクを特定し、適切な対策を講じることで、安全で効率的な取引関係を築くことができます。

ベンダー管理ライフサイクルは、大きく分けて以下のフェーズから構成されます。

本編では、全6回に分けてベンダー管理ライフサイクルの各フェーズにおいて、Onetrustのサードパーティリスク管理（TPRM）をどのように利用するかをご紹介します。

今回は、ベンダー管理ライフサイクルの最初のフェーズとなる
「ベンダーの作成と追加」についてご紹介します。

---

第1回：ベンダーの作成と追加

ベンダーインベントリとは

OneTrust上では、事業に関わる全ての情報を一元管理するためのデータベースを構築することができます。これを「インベントリ」と呼びます。サードパーティリスク管理では、インベントリとして「ベンダーインベントリ」と「アセット」があります。

ベンダーインベントリとは、ABC株式会社、DEF商事などの「ベンダーに関する情報」が保管されます。ベンダーインベントリには、会社名、所在地、連絡先などの会社の基本情報や提供される製品・サービス、及び、契約内容やリスク評価など様々な情報が登録されます。

サードパーティリスク管理を使用する為には、まずベンダーインベントリを作成します。「アセット」には、データベース、あるいはファイルキャビネットなど、「データの保管や処理に使用する場所の情報」が記録されます。

まずはサードパーティ管理のベンダー情報を登録するために、ベンダーインベントリに登録してみましょう。

ベンダーインベントリの４つの作成方法

サードパーティー管理にベンダーインベントリを追加する方法は4つあります。ニーズに合わせて、最適なものを自由に選択してください。

1. 手動で追加する　最も基本的な方法で、ベンダーに関する情報を一つずつ入力していきます。
2. 一括インポート　大量のベンダー情報を一度に登録する際に有効な方法です。Excelファイルなど、事前に作成したデータファイルをOneTrustにアップロードします。
3. 評価テンプレートを使用する　共通の評価基準に基づいて、複数のベンダーを効率的に評価する際に役立ちます。複数のベンダーを、事前に作成した評価テンプレートを用いて効率的に評価できます。
4. サードパーティーリスクエクスチェンジを利用する　外部のデータベースからベンダー情報を取得し、OneTrustに自動的に登録する機能です。

1. 手動で追加する

インベントリを手動で追加するのは、最もシンプルで基本的な方法です。いつでも好きな時に、必要な情報を追加できます。

---

2. 一括インポート

スプレッドシートの一括インポート機能を使えば、ベンダーインベントリの登録作業を一気に済ませることができます。OneTrustでは、ベンダーの作成や属性の設定など、面倒な作業をテンプレートにまとめておき、ボタン一つでまとめて登録できます。

3. 評価テンプレートを使用する

サードパーティリスク管理の「評価」とは、簡単に言うと、会社が取引している他の会社（ベンダー）が、個人情報に関する約束事を守っているかどうかを調べることです。

評価テンプレートは、この調べ方をあらかじめ決めておいたものです。OneTrustでは、様々な業界や規制に対応した評価テンプレートが用意されており、企業は自社の状況に合わせてテンプレートを選んだり、カスタマイズしたりすることができます。テンプレートを使うことで、評価に必要な項目や手順が事前に定義されているため、評価作業を効率化することができます。

今回は、Onetrustのセルフサービスポータルを使用して評価テンプレートに回答し、ベンダーインベントリを追加する方法を簡単にご紹介します。

セルフサービスポータルとは、OneTrustの機能の一部で、従業員や関係者が、プライバシーに関する様々な手続きを自分自身で行えるようにできるプラットフォームです。このプラットフォームを通じて、従業員は自身の担当するプロジェクトや業務に関する評価にアクセスできます。

4. サードパーティーリスクエクスチェンジを利用する

「サードパーティリスクエクスチェンジ」は、サードパーティリスク管理プロセスを支援するための、OneTrustが提供する具体的な機能です。

これを自動車の運転に例えると、サードパーティリスク管理は目的地（ビジネス目標）に安全に到達するために、様々な運転技術（リスク評価、契約交渉など）が必要になります。OneTrustのサードパーティリスクエクスチェンジは、その運転をサポートするカーナビゲーションシステムのようなものです。カーナビは、ルートの案内、渋滞情報、危険な場所の警告など、様々な情報を提供することで、安全で効率的な運転を支援します。

サードパーティーリスクエクスチェンジよりベンダーインベントリを登録することで、データ侵害、評判の失墜、規制違反、金銭的損失などのリスクに関する情報を主要なリスクインテリジェンス プロバイダーからのリアルタイム データ により取得することができます。

ベンダーインベントリのメリット

このようにベンダーインベントリを追加することで、すべてのサードパーティ情報を一元管理し、必要な情報に迅速にアクセスできるようになります。

ベンダーレコードには、取引先の企業が抱えるリスクの評価結果、契約内容、個人情報の取り扱いに関する詳細な情報、セキュリティインシデント発生時の履歴、そしてこれらに対応するために実施した対策などが、すべて一元管理されます。これにより、取引先との関係に関するあらゆる情報を網羅的に把握し、リスクを最小限に抑えることが可能になります。

以下画像では、「ABC株式会社」のあらゆる情報が関連付けられ一元管理されていることが確認できます。

---

まとめ

本記事では、サードパーティリスク管理（TPRM）の初心者ユーザー向けに、Onetrust TPRM初心者ガイドとして全6回シリーズで基本操作について解説しています。今回は、その第1弾として、ベンダー情報をOneTrustに登録する手順についてご紹介しました。

第3回以降のシリーズはTrustNow ナレッジWiki内でのご紹介となっております。ご興味がある方は、こちらよりお問い合わせください。

OneTrustの導入をご支援しているTrustNowでは、OneTrust の製品デモをご要望に応じてご提供しています。OneTrust サードパーティリスク管理 (TPRM)の機能について詳しく知りたい、実際の動作を見てみたいなどご希望がありましたら、こちらより製品デモをお申込みいただけます。

※今後サードパティリスク管理 (TPRM)の無償ハンズオンについても定期的に開催予定です。無償ハンズオンのご受講にご興味ある方は、弊社までお問合せください。