ITアウトソーシングリスク軽減：CIOのための安全なパートナーシップガイド
企業は、情報技術機能の全部または一部を外部サービスプロバイダーに委託する傾向が強まっています。これにより一定の効率は生まれますが、組織は依然として、ITサービスの可用性と機能、および企業データの適切なアクセスと利用に関連するリスクについて最終的な責任を負います。
つまり、最高情報責任者（CIO）または同等のITリーダーは、選定したサービスプロバイダーが、契約サービスを一貫して提供するために必要な適切な構造、財務安定性、継続計画を備えていることを確認しなければなりません。
また、サービスプロバイダーのポリシーと手順の有効性を評価し、企業の機密データと独自情報の完全性とセキュリティを確保する必要もあります。
推定年間1兆ドル規模の産業であるITアウトソーシングは多様な形態を取ります。組織はIT部門全体をベンダーに委託することもあれば、データセンター運用、ネットワーク管理、その他特定機能のみを委託することもあります。
一般的にアウトソーシングされるIT機能には以下が含まれます：
- ソフトウェアアプリケーション開発
- ソフトウェアアプリケーションサポート
- データセンター運用
- ヘルプデスクサポート
- ネットワーク管理
- サイバーセキュリティ
- プラットフォームまたはインフラストラクチャとしてのサービス
- ソフトウェアとしてのサービス
過去には、CIOは主に物理的製品のサプライチェーンに注力していました。しかし今日、彼らは製品とサービスの両方のサプライチェーンを懸念しなければなりません。
サードパーティ技術サービスサプライヤーのリスク評価と管理は、サービス環境の大部分がプロバイダーの管理下にあり、調達組織の監督範囲外にある可能性が高いため、課題となります。外部当事者との契約に伴うリスクを評価するため、デューデリジェンスを事前に実施する必要があります。
ITサービスプロバイダーと契約する前に、CIOは以下を理解していなければなりません：
- 何がアウトソーシングされるか
- どのビジネスプロセスがそのサービスによってサポートされるか
- どのデータがアウトソーシングサービスを通じて保存、処理、アクセスされるか
- アウトソーシングサービスに関連するシステム、アプリケーション、データへ誰がアクセスするか
プロセスは、組織内のスタッフからこれらの質問への回答を収集するための基本的なITサービスリスク評価フォームから始められます。さらに、サプライヤー事前評価フォームを用いて、潜在的サービスプロバイダーから予備情報を収集できます。サプライヤー事前評価フォームで尋ねる一般的な質問には以下があります：
- 貴社は過去に破産申請をしたことがありますか？
- 貴社の保険契約には誤り・漏れ（または一般賠償責任）請求が含まれますか？ 含まれる場合、保険限度額はいくらですか？
- 貴社は係争中の訴訟に関与していますか？
- 貴社は過去に規制当局の調査を受けたことがありますか？
- 貴社にはプライバシーポリシーがありますか？
- 貴社には文書化されたセキュリティプログラムがありますか？
- 貴社は情報セキュリティとプライバシープログラムに関するアンケートへの回答に同意しますか？
- 貴社はサービス組織統制（SOC）報告書を持っていますか？
- 通常業務を混乱させるインシデント発生時の業務継続を扱う包括的な事業継続計画がありますか？
これらの評価フォームは、追加のデューデリジェンスが必要かどうかを判断するのに十分な情報を提供するはずです。潜在リスクのレベルに基づき、追加のデューデリジェンスには、サービスプロバイダーへのより詳細なアンケート回答要求、SOC報告書の詳細レビュー、組織の内部監査機能または適格な外部監査法人によるベンダー評価の実施などが含まれる可能性があります。
これらの評価を実施することは、新しいプロバイダーとの関係構築時に不可欠です。また、各サプライヤーを継続的にレビューし続けることも重要です。レビューの頻度と範囲は、提供されるサービスに関連するリスクに基づくべきです。
これらの評価はサービスプロバイダー向けに調整されていますが、概念は主要技術製品プロバイダーにも適用可能です。重要なのは、CIOがサプライヤーとの契約における潜在リスクを理解し、各サプライヤーが自社のビジネスリスクをどう管理しているかを把握することです。これにより、CIOはアウトソーシングリスクが組織に与える影響をより良く予測できます。
サービスプロバイダー評価は、IT、リスク管理、内部監査など組織内の様々な機能に割り当てられます。評価は適格なサードパーティによって実施されることもあります。
しかし、評価から得られた情報をレビューし、提案された技術サービスプロバイダーとの契約が組織の目標とリスク許容度に合致するか判断する責任は、CIOまたは同等のITリーダーにあります。今日、徹底した評価を行うことは、将来のより大きな問題を防ぐのに役立ちます。
ロバート・ニール氏は、全米規模のCPAおよびアドバイザリーファーム、ウィーバーのCIOアドバイザリーサービスディレクター。
産業技術