遥か先にいる魑魅魍魎を捕らえよ～サードパーティリスク管理の課題～

昨今、サイバーセキュリティの分野を中心として、サードパーティリスク管理（以下、「TPRM」^※1）が注目を集めている。ただし、その対象はサイバーセキュリティだけにはとどまらず、サードパーティの範囲もベンダーのみに限定されない。加えて、経済安全保障の要請にも応える必要があるなど、TPRMの実施に際しては、これまで金融機関が行なってきた契約管理やベンダー管理の既存の枠組みを超えた対応が求められている。
また、2025年12月には、金融業界において議論が行われてきた「健全なサードパーティリスク管理のための諸原則」（以下、「諸原則」）^※2が最終化され、バーゼル銀行監督委員会から公表された。この「諸原則」では、サプライチェーンの遥か先にいるパーティーとの関係が孕む魑魅魍魎（ちみもうりょう）のようなリスクを捕捉するよう要請している。
こうした状況を踏まえ、本インサイトではリスク管理・コンプライアンスの実務経験豊富な筆者^※3がTPRMの前提となる諸課題について考察する。

※1 Third-Party Risk Management

※2 「バーゼル銀行監督委員会による「健全なサードパーティリスク管理のための諸原則」の公表について」（令和７(2025)年12月17日、金融庁・日本銀行）
（金融庁）https://www.fsa.go.jp/inter/bis/20251217/20251217.html
（日本銀行）https://www.boj.or.jp/finsys/intlact_fs/risk/ris251217a.htm

※3 石川慎一郎：日本銀行入行。Big4ファームを経てアビームコンサルティングに入社。この間、大手証券会社において、市場取引の実務に従事した経験を有する。2021年4月、アビームコンサルティングに復職。銀行及び証券会社向けのコンサルティング・サービスを一貫して実施しており、規制対応、リスク管理・コンプライアンス、内部統制構築ならびに当該専門領域に関する監査支援など数多くのプロジェクトをリード。

執筆者情報

石川　慎一郎

Director

1. TPRMの対象はサイバーセキュリティだけではない

現代の企業活動は、ベンダー、サプライヤー、業務委託先など、外部の第三者（サードパーティ）との取引なしには成立し得ない。サードパーティの活用には、業務効率化やコスト削減、選択肢の多様化、自社にはない専門性の補足・獲得などの利点が多く、人手不足が恒久的に続くとみられる状況下、企業にとって欠くことのできない要素になっている。
その一方でサードパーティの活用は、サードパーティの企業行動によって自社の事業継続や信用、収益等が様々な負の影響を受けるリスクを孕んでいる。それを管理するのがTPRMだ。
TPRMについては、昨今、拡大するサプライチェーンに由来するサイバーインシデントによって自社が影響を受けるサイバーセキュリティが注目を集めており、これが実際に最大のリスクの一つとなっている。例えば、金融庁より発出されている「金融分野におけるサイバーセキュリティに関するガイドライン^※4」（以下、「ガイドライン」）の中にも、サードパーティリスク管理に関する言及がある。
しかしながら、TPRMの対象はサイバーセキュリティだけではない。本インサイトでは次章以降において、TPRMの管理対象を「サードパーティ」と「リスク」に分解し、それぞれの範囲と管理方法について考察する。

※4 「金融分野におけるサイバーセキュリティに関するガイドライン」（2024(令和６)年 10 月４日、金融庁）
https://www.fsa.go.jp/news/r6/sonota/20241004/18.pdf

2. サードパーティの範囲

サードパーティの範囲は情報セキュリテイに関連するベンダーに限られるものではなく、管理対象は広範にわたる。サードパーティとは、「自組織がサービスを提供するために、業務上の関係や契約等を有する他の組織」と定義される。これには、実態として外部委託と同視しうる場合も含まれ、業務上の関係を有していれば、契約の有無は関係ない^※5。業務上の関係があれば、サードパーティの企業行動によって自社が負の影響を受けるリスクが潜在することは否定できず、形式上の契約の有無は無関係だからである。
したがって、サードパーティには、企業活動を行うために必要な全ての関係先、サプライチェーン上にいる全ての関係先が含まれる。ただし、管理対象とするか、管理レベルをどうするかについては、当該リスクを評価した上で決定する必要がある。

※5 ガイドラインでは、脚注18で、サードパーティを以下のように定義している。
サードパーティとは、自組織がサービスを提供するために、業務上の関係や契約等を有する他の組織をいう（例：システム子会社やベンダー等の外部委託先、クラウド等のサービス提供事業者、資金移動業者等の業務提携先、API 連携先）。外部委託先とは、業務を委託している組織をいう（金融機関等が金融サービスを提供するために外部委託するシステム（共同センター等を含む）のベンダーなど。形式上、外部委託契約が結ばれていなくともその実態において外部委託と同視しうる場合や当該外部委託された業務等が海外で行われる場合も含む）。

3. リスクの範囲と管理方法

（１）リスクの範囲は広範にわたる

サードパーティの定義が広範にわたるのと同様に、TPRMの管理対象となるリスクの範囲も広い。昨今注目を集めている “サイバーセキュリティをはじめとする情報セキュリティリスク”のほか、“事業継続リスク”、“コンプライアンスや法規制関連のリスク”、“レピュテーショナルリスク”のような様々なリスクを孕んでいる。
このように多岐にわたるリスクの内容を個別に見ると、例えば事業継続リスクについては、大きなリスクとして“集中リスク”を挙げることができる。一定の信用度を有するサードパーティに取引を集中することには、コスト削減に繋がるという利点もある。ただし、その反面、事業継続リスクを増嵩させることは疑いの余地がない。リスク要因は“取引量”の集中だけではなく、“重要な機能”の提供を同一のサードパーティに依存することも、集中リスクを増嵩させる重大な要因となり得る。
また、自社への影響だけでなく、同一のサードパーティが複数の企業にサービスを提供している場合、業界全体が孕むリスクが大きくなる。特に金融機関の場合は、システミックリスクに繋がる惧れもある^※6。

（２）既存の枠組みを超えた管理が必要

このような“集中リスク”を管理するためには、サードパーティに関する情報の一元管理が必要だ。しかしながら、これまで契約情報の管理は部署ごとに、リーガルリスクの管理に主眼を置いて実施しており、TPRMにおける“集中リスク”の観点からの管理が十分にできていなかったように思う。また、前章で述べたように、管理対象とすべきサードパーティは外部委託契約の締結先に限られるものではないため、対象を拡げる必要がある。
また、TPRMはオペレーショナル・レジリエンス^※7だけでなく、経済安全保障の要請にも応える必要があるなど、通常のリスク管理よりも幅が広い。しかしながら、こうした要請への対応部署が複数に跨る場合は、一元管理を阻む要因になり得る。
バーゼル銀行監督委員会の「諸原則」においても、「銀行は、全てのサードパーティ・サービス・プロバイダー契約、およびサプライチェーン上にいる主要なサードパーティ（key nth parties）に関する完全かつ最新の登録簿を維持（par.22）^※8」すべきこと、「銀行は、デューデリジェンス実施時に銀行レベルでの集中リスクを最初に評価（par.23）」すべきことを要請している。
集中リスクを一元管理するために実施するサードパーティに関する情報の棚卸が、TPRMに取り組む際の最初の最重要課題だが、これには従来実施して来た契約管理やベンダー管理の既存の枠組みを超えた対応が必要になる。

※6 「金融セクターにおけるサードパーティのサイバーリスクマネジメントに関するG7の基礎的要素（仮訳）」（令和４(2022)年10月21日、金融庁・日本銀行）、要素５：潜在的なシステミックリスクのモニタリング
（金融庁） https://www.fsa.go.jp/inter/etc/20221021/thirdparty_kariyaku.pdf
（日本銀行）https://www.boj.or.jp/intl_finance/meeting/group/data/rel221021a4.pdf

※7 業務の強靭性・復旧力。システム障害、サイバー攻撃、自然災害等が発生しても、重要な業務を、最低限維持すべき水準において、提供し続ける能力をいう。

※8 Key nth partiesについては、次章（「4. TPRMの高度化に向けて」）後段を参照。

4. TPRMの高度化に向けて

バーゼル銀行監督委員会が2024年7月に市中協議文書を公表して以来、金融業界において議論が行われてきた「諸原則」が2025年12月に最終化され、公表された。この諸原則は、デジタル化に伴い銀行がサードパーティへの依存を深めていることを踏まえ、これまで公表してきた諸文書をアップデートし、銀行がサードパーティリスク管理の実効性を高めることを企図して策定されたものだ。
「諸原則」の主なポイントの一つに、サプライチェーンの先にいるサードパーティ（Key nth party）について、“銀行への重要なサービスの提供に関与している場合には、管理の対象とするよう要請”していることが挙げられる^※9。こうした直接の契約関係がない“Nth parties”との関係が孕むリスクを捕捉することは、まさに“遥か先にいる魑魅魍魎を捕らえる”ようなものだが、サードパーティを一元管理し、TPRMを実施する上では避けては通れない論点だ。サードパーティを通じたKey nth partyの捕捉とリスクの評価による魑魅魍魎の可視化、継続的モニタリングと定期的なリスク評価の洗い替えといった対応を、“Keyとなるパーティーを選定した上で如何にして実装させるか”が経営上の課題となろう。
なお、TPRMに関する議論は、規制業種である金融機関に議論が集中しがちであるが、サードパーティリスクは規制業種である金融機関だけでなく全業種において管理を実施すべきリスクだ。経済安全保障推進法は、金融を含む14の分野^※10を対象としているが、サードパーティも同法における事前審査の対象となっている。リスク管理は法規制対応のために実施するものではないが、法規制は採るべき対応を見極めて加速させるアクセルの側面も有している。TPRMに関しては、非対象事業者においても同法を意識した委託先審査を進めておくことが有益だ。

アビームコンサルティングでは、管理対象となるサードパーティおよびリスクの選定など課題管理の支援、管理プラットフォームの導入・構築の支援、リスク評価やモニタリングの管理・運用の支援など、TPRMに関する実務的な課題解決に貢献したいと考えている。

※9 III. Definitions、パラグラフ10において、以下の通り定義している。
Nth party: A service provider that is part of a TPSP’s supply chain. This term includes, but is not limited to, subcontractors of the TPSP.
Key nth party: An nth party that supports and is essential to the ultimate delivery of a critical service to a bank.

※10 電気、ガス、石油、水道、鉄道、貨物自動車運送、外航貨物、航空、空港、電気通信、放送、郵便、金融、およびクレジットカード。