「サードパーティ・リスク管理 ～レジリエンス体制の構築と高度化～」企業がレジリエンスを高めるための適切なリスク管理とは？　＜2023年10月31日開催＞

TPRMについて考察する前に、サードパーティの位置付けと現況を把握しておきましょう。属性としてはサプライヤー、製造業者、販売業者、ビジネスパートナーなどですが、顧客や二次・三次のサプライヤーも含まれます。また、近年はビジネスの国際化に伴って海外の企業や顧客が増えつつあり、地理的変化も目立っています。

亀山氏（以下敬称略）：サードパーティの多様化に加え、企業は地政学的な不安定性、サイバー攻撃のリスク、ESGに対する取り組みなど、厳しい事業環境下に置かれています。これらが要因となり、サードパーティに係わる複数のリスク要因が顕在化しているのです。サードパーティに関連して留意すべき具体的な内容は……

 

「企業のプロファイル（サプライヤーから提供された企業情報は認証・拡充可能か？）」
「財務・事業パフォーマンス（短期的な業績はどうなると予想されるか？）」
「レジリエンス（品質・コスト・納期などが悪化しそうなサプライヤーはあるか？）」
「規制・コンプライアンス（コンプライアンス関連のリスク懸念はあるか？）」
「サイバーセキュリティ（主要サプライヤーが情報漏洩する可能性はあるか？）」
「ESG・サステナビリティ（重要サプライヤーのESG評価は？）」
「風評リスク（サプライヤーの不正行為で自社にどのような影響が生じるか？）」

など。こうしたリスクが単独または同時に発生し、関連会社へと伝播して自社まで負の影響が及ぶわけです。企業はリスクを軽減する努力、発生しないように抑制する努力をしなければなりません。

TPRMの概要は理解できました。こうしたリスク要因、かつては個別に対処できていましたが、問題が国際化した今は新たな対応が求められています。キーワードは「デュー・デリジェンス」。法律分野では「相当な注意義務」、経済分野では「企業買収前のリスク監査」を指す用語です。

亀山：TPRMは個別リスク管理から全犯罪プログラムへ、さらにはオール犯罪型のリスク管理へと移行しつつあります。その全てに含まれているのがデュー・デリジェンス。この点では海外が先行しており、約50年前の麻薬犯罪から規範としてデュー・デリジェンスが求められようになりました。以降はマネーロンダリングやテロ資金供与、経済制裁逃れ、企業贈収賄及び腐敗・不正、強制労働や人権侵害などへの対応策として、包括的なデュー・デリジェンスに対する期待が高まっています。日本の場合も組織犯罪への対応に始まり、金融機関本人確認法、犯罪収益移転防止法、昨年経産省から発表された「人権尊重のためのガイドライン」へと進んできました。企業に対し、国がデュー・デリジェンスに沿った体制を整えてくださいと指針を出しているのです。

 

企業が全犯罪に目を向けるのは簡単なことではありません。それを実現するためには何が必要なのでしょうか？

亀山：今回のテーマでもあるレジリエンス、つまり業務の強靱性や復旧力です。金融庁はレジリエンスについて「システム障害、サイバー攻撃、自然災害等が発生しても、自社の重要な業務を最低限維持すべき水準において、提供し続ける能力」と定義しています。これは一般企業にもそのまま当てはまること。企業は利用者目線に基づき、業務中断が起こり得ることを前提にレジリエンス体制（オペレーショナル・レジリエンス）を構築しなければなりません。具体的には回復の迅速化、影響範囲の軽減（被害の最小化）がポイントになります。しかしながら、企業がレジリエンス体制を一から構築するのは大変です。そこでおすすめしたいのが、既存のインシデント管理やガバナンス体制に横串を通して発展させること。例えばTPRMで要求される組織横断的な理解の浸透や経営陣のトップダウンによるコミットメントなどは、そのままオペレーショナル・レジリエンスに当てはまります。問題が起こらないようにする方策がTPRM、起こってからのリスクを最小限に留める方策がオペレーショナル・レジリエンスと考えてもいいでしょう。