サードパーティの存在は、複雑さとリスクの層をさらに加え、さまざまな種類の業務中断やビジネスへの影響を招く可能性があります。 組織は、サードパーティが提供する製品やサービス、プロセス、テクノロジーが織りなす複雑な構造となりつつあり、この複雑で変化し続けるエコシステムにより、リスクを明確に管理することがますます困難になっています。最近のSolarWindsへの侵害事件は、サイバー攻撃とサードパーティ・リスクが相まって、組織が今日直面している課題を浮き彫りにした不幸な出来事です。この事件は、IT、セキュリティ、リスク管理という3つの主要な分野における課題を浮き彫りにしています。
- 組織は、さまざまな脅威の経路や攻撃者によるサイバー攻撃に対して、常に警戒を怠ってはならない。
- 組織は、自社製品やサービスの構成部品の供給業者だけでなく、ソフトウェアやITサービスの提供業者も含めた、ベンダーやサプライチェーンとの関係性を把握しておく必要があります。
- 事業継続や危機管理を含む事業レジリエンスは、物理的な事象からIT障害に至るまで、多種多様な事態に対処するために、組織にしっかりと根付かせておく必要があります。
この例からは、リスク管理のさまざまな側面が相互に関連していることが明らかです。残念ながら、サードパーティ・リスク管理はリソース面での課題となり得ます。組織が外部関係者とのつながりを広げるにつれ、引き継がれたリスクが重大な問題となってきます。
従来の方法は拡張性に欠けるため、組織はこうしたサードパーティを効率的に管理・統制することに苦慮しています。多くの場合、サードパーティとの関係には予測不可能な「継承リスク」が伴い、予期せぬ事態や潜在的な損失につながる可能性があります。組織内でサードパーティの監督管理方法が統一されていないと、サードパーティからのリスクの特定、評価、管理において一貫性が欠け、ギャップが生じます。 結局のところ、ガバナンスプロセスが一貫性を欠き、不完全なままでは、組織は第三者がもたらすリスクについて、完全かつ正確な把握を行うことができません。
サードパーティ・リスクに対処する戦略の基本となるのは、ベンダー、コンサルタント、サービスプロバイダーといったサードパーティのエコシステムを明確に把握することです。統合されたプロセスを通じてサードパーティ・リスク管理を体系化することで、リスク管理全体が強化されます。さらに、最も重要で影響力の大きい活動にリソースを集中させることが可能になります。アーチャーの顧客を見ると、エンタープライズリスク管理およびオペレーショナルリスク管理が、サードパーティ・リスク管理への一般的な入り口となっています。企業リスク管理やオペレーショナルリスク管理のユースケースを導入している当社の顧客は、サードパーティ・ガバナンスのユースケースも導入している可能性がほぼ2倍高くなります。また、 ITおよびセキュリティリスク管理のユースケースも、これと密接に関連している分野として挙げられます。当社のITおよびセキュリティリスク管理の顧客のほぼ40％が、サードパーティ関連のユースケースも導入しています。
規制当局が第三者との関係の監督に関して、ますます高い説明責任の基準を定めていることから、第三者リスク管理へと戦略を拡大することは特に重要となっています。多くの組織では、第三者リスクに関連する何らかのプログラムやリスク評価プロセスが導入されていますが、ビジネスに及ぼしうる影響の範囲が広範であるため、組織は第三者ガバナンスに向けてさらに一歩踏み出す必要があります。企業リスクやオペレーショナルリスク、コンプライアンス、あるいはITリスクに関するプログラムは、第三者リスク管理の取り組みを統合し始めるための優れた足がかりとなります。
貴社がサプライチェーンやサードパーティに関連する何らかの問題に直面している場合は、ベンダーおよびサードパーティのリスク管理の基本に再び焦点を当てるための提案をまとめた当社の短編レポートをご覧ください。また、ガートナーの無料レポート「ベンダーの不履行を軽減するための主要リスク基準の監視」もぜひご一読ください。
