サプライチェーンリスクが見えない理由

チェックシートを送って回答を集めていても、どの委託先にどのような確認上の懸念があり、どのように判断したかを、すぐにたどれない場面があります。回答を回収していても、確認結果や判断理由、証跡、前回からの変化が別々に管理されていると、委託先ごとの経緯を後からたどるのが難しくなります。

この記事でいう「リスクが見えない」とは、委託先の実態そのものが分からないという意味ではなく、チェックシートで確認した内容と、その後の判断経緯や変化を追えない状態を指します。

この記事では、回収した後に委託先ごとの状況を追える状態を保つために、何を記録・確認として残すかを説明します。サプライチェーンセキュリティの定義・対象範囲・対策の始め方・SCS評価制度との関係はサプライチェーンセキュリティとは？委託先・取引先を含めた対策の進め方で扱うため、ここでは回収後の運用に絞ります。

チェックシートを送り、回答も集まっているのに、委託先ごとの確認状況や判断経緯が見えない。回答が集まっていても、次のような状態だと、委託先ごとの状況を続けて追うのが難しくなります。

• 回答済みと確認済みが同じ扱いになっている
• Yes/Noの回答は残るが、判断理由が記録されていない
• 前回回答との差分を見比べていない
• 差し戻しや改善依頼のやり取りがメールに分散している
• 委託先ごとの状態を一覧で把握できない
• 自社で再確認の対象とした変更が起きても、その確認記録が残っていない
• 担当者が変わると、それまでの判断の前提が引き継がれない

回答ファイル、確認結果、差し戻しのやり取り、証跡が別々の場所に保存されている場合は、委託先単位で経緯を続けてたどるのが難しくなります。

回収した後にどこまで進んでいるかは、次のように分けて捉えられます。1件ずつの回答をどう確認するか、回収済みと確認済みをどう分け、何を判断基準にするかは、セキュリティチェックシートの回答をどう確認するかで扱っています。ここでは、それを複数の委託先にわたって追えるかを見ます。

段階	内容
回収済み	回答が提出された状態。中身の判断はまだ終わっていない
確認済み	回答内容を確認し、問題点や不明点を見た状態。判断理由や次回確認事項は残っていない場合がある
判断経緯を追える	判断理由、差し戻し履歴、証跡、前回との差分、委託先ごとの状態がつながり、担当者が変わっても経緯を見返せる状態

複数の委託先を確認する場合、回答・判断理由・証跡・差し戻しの記録が委託先ごとに対応付いていないと、どの委託先をどう判断したかを後からたどるのが難しくなります。

委託先の状況は、契約期間の途中でも変わります。そのため、年に一度の確認だけでは追えない部分があります。期中に起こる変化には、次のようなものがあります。

• 再委託先の追加
• SaaS利用サービスの変更
• 生成AI利用の開始
• 開発・運用体制の変更
• 担当者の変更
• 認証・証跡資料の期限切れ
• 委託業務範囲の変更

どの変更を再確認のきっかけとするかは、自社の確認方針に沿って決めておきます。年次の確認と変更時の確認の設計は、委託先管理は年1回で足りる？AI・SaaS・再委託の変更確認を解説で扱っています。

委託先ごとの確認状況を後から追うために、回収した後に、次の情報を残しておきます。

• 委託先一覧
• チェックシートの回答状況
• 回答内容の確認状況
• 判断理由
• 差し戻しコメント
• 改善依頼への対応状況
• 証跡資料
• 前回回答との差分
• 次回確認事項
• 変更時確認の記録
• 担当者が変わっても引き継げる履歴

これらを回答と対応付けて残しておくと、後から確認状況や判断経緯をたどる際の手がかりになります。

マモリスでは、チェックシートの回収後の確認と記録を、次の機能で扱えます。

• 回答内容の確認、確認済みチェック
• 差し戻し、コメント記録、再提出依頼
• 回答・確認・差し戻しの履歴、PDF保存
• 繰り返し依頼、テキスト・選択肢の前回回答プリセット、過去の回答履歴の確認

マモリスは回答と確認履歴を管理する部分を扱いますが、回答内容の事実性や委託先リスク、取引可否を自動で判断するものではありません。チェックシートは自己申告を含む確認手段の一つであり、回答を管理するだけで委託先の実態を保証できるわけではありません。

チェックシートの回答を回収していても、確認結果・判断理由・証跡・前回からの変化が別々に残っていると、委託先ごとの確認状況や判断経緯を後からたどるのが難しくなります。

「回収済み」であることと、「どう判断したか」を組織として追えることは別です。回収の後に何を回答と対応付けて残すかを決めておくことが、委託先ごとの確認状況を追う助けになります。

Q1. サプライチェーンリスクが見えないとは、どういう状態ですか？

チェックシートの回答は集まっていても、どの委託先に懸念があるか、誰がどう判断したか、改善依頼がどこまで進んでいるか、前回から何が変わったかをすぐ確認できない状態です。

Q2. チェックシートを回収していれば、サプライチェーンリスクは管理できていますか？

回収だけでは十分とは言えません。回答内容、判断理由、差し戻し履歴、証跡、前回との差分を回答と対応付けて残すことで、後から確認状況や判断経緯をたどれるようにします。

Q3. 年1回の委託先確認だけでは不十分ですか？

年1回の確認は役立ちます。再委託先の追加、SaaS利用の変更、生成AI利用の開始、委託範囲の変更など期中に起こる変化について、どれを再確認のきっかけにするかは、自社の確認方針に沿って決めておきます。

Q4. チェックシートの回答だけで委託先の実態まで分かりますか？

チェックシートの回答は自己申告を含むため、回答だけで委託先の実態のすべてが分かるわけではありません。回答内容の確認、証跡の確認、必要に応じた追加確認や差し戻しと組み合わせて、判断の材料にします。

Q5. マモリスはサプライチェーンリスクを自動で判定できますか？

いいえ。マモリスはリスクを自動判定するツールではありません。回答内容の確認、差し戻し、コメント記録、回答・確認・差し戻し履歴の保管、PDF保存などを扱えます。