サプライチェーンリスクが見えない理由

サプライチェーンリスクへの関心が高まっています。SCS評価制度の構築方針が公表され、サイバーセキュリティ経営ガイドラインでもビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握が示されていることも、その背景のひとつです。

ただ、実際にチェックシートを送って回答を集めている会社でも、「どの委託先にリスクがあるか」と聞かれてすぐに答えられないことは少なくありません。

問題は、チェックシートを送っていないことではありません。回収したあとに、評価・判断・履歴・変化を追う運用が残っていないことです。この記事では、サプライチェーンリスクが見えなくなる理由と、見える状態にするために何を運用として残すべきかを解説します。

サプライチェーンリスクとは何か

サプライチェーンリスクとは、取引先、委託先、再委託先、利用しているSaaS、開発会社、運用会社などを通じて、自社の情報やシステムに影響が及ぶリスクを指します。

ここで押さえておきたいのは、自社の対策だけでは完結しないという点です。委託先の変更、再委託の発生、SaaS利用の追加、生成AIの利用開始、担当者の交代など、状況は時間とともに変わります。一度確認したから終わり、という性質のものではありません。

チェックシートを回収してもリスクが見えない理由

チェックシートを送り、回答も集まっているのに、委託先ごとのリスクが見えない――こうした状態には、いくつか共通した原因があります。

• 回答済みと確認済みが同じ扱いになっている
• Yes/Noの回答は残るが、判断理由が記録されていない
• 前回回答との差分を見比べていない
• 差し戻しや改善依頼のやり取りがメールに分散している
• 委託先ごとの状態を一覧で把握できない
• 再委託、SaaS利用、生成AI利用などの変更時確認ができていない
• 担当者が変わると、それまでの判断の前提が引き継がれない

これらは特別な運用ミスというより、Excelやメールを中心とした運用では起こりやすい構造的な問題です。

「回収済み」「確認済み」「管理できている」は違う

サプライチェーンリスク管理を考えるうえで、この3つの状態を分けて捉えることが役立ちます。

状態	内容
回収済み	回答が提出された状態。中身の判断はまだ終わっていない
確認済み	回答内容を確認し、問題点や不明点を見た状態。ただし判断理由や次回確認事項が残っていないこともある
管理できている	判断理由、差し戻し履歴、証跡、前回との差分、委託先ごとの状態が追える状態。担当者が変わっても経緯を見返せる

「回収済み」と「管理できている」の間には距離があります。この距離を埋めるのが、確認後に残す記録です。

サプライチェーンリスクが見えない会社で起きていること

回収は進んでいるのに、リスクが見えない会社では、次のような状況がよく見られます。

• 回答ファイルはあるが、判断の履歴が残っていない
• 全件回収済みなのに、要注意先がどこか分からない
• 証跡資料がメールやフォルダに散らばっている
• 改善依頼への対応状況が追えない
• 条件付きで確認した経緯や理由が残っていない
• 年次確認のたびに、ゼロから内容を見直している
• 委託範囲や利用サービスが変わっても、確認が更新されないままになっている

こうした状態は、担当者の力量ではなく、判断や経緯を残す仕組みがないことによって生まれます。

年1回の確認だけでは見えない変化

委託先の状況把握には、年次確認が一つの基本になります。ただし、年1回の確認だけでは十分とは限りません。委託先の状況は、期中にも変わるためです。

期中に起こりやすい変化には、次のようなものがあります。

• 再委託先の追加
• SaaS利用サービスの変更
• 生成AI利用の開始
• 開発・運用体制の変更
• 担当者の変更
• 認証・証跡資料の期限切れ
• 委託業務範囲の変更

こうした変化に気づきやすくするには、年次確認と変更時確認を組み合わせて運用として整理しておく必要があります。

見える状態にするために必要な運用要素

サプライチェーンリスクを見えやすくするには、次のような要素を運用として残しておくことが役立ちます。

• 委託先一覧
• チェックシートの回答状況
• 回答内容の確認状況
• 判断理由
• 差し戻しコメント
• 改善依頼への対応状況
• 証跡資料
• 前回回答との差分
• 次回確認事項
• 変更時確認の記録
• 担当者が変わっても引き継げる履歴

これらは特別なものではなく、多くの会社が「本来は残しておきたい」と考えながら、Excelやメール中心の運用では残しきれずにいる項目でもあります。

個別のチェックを業務としてどう回すかについては、「チェックシート運用を業務として成立させる方法」でも詳しく解説しています。

マモリスでできること

マモリスは、サプライチェーンリスク管理に関わるチェックシート運用について、回答・確認・差し戻し・履歴を追いやすくするための機能を提供しています。

マモリスがセキュリティチェック以外の業務にも使える理由は、「マモリスがセキュリティチェック専用ではない理由」で解説しています。

• 回答者管理、CSVインポート、グループ管理
• チェックシート作成、テンプレート検索・プレビュー
• 回答依頼、繰り返し依頼
• 前回回答をもとにした更新確認
• 回答確認、確認済みチェック
• 差し戻しコメントの記録
• ファイル添付、URL入力、資料URL添付
• PDF保存

こうした機能により、判断・差し戻し・履歴を確認しやすくなります。リスクを自動で判定するものではなく、確認と記録を運用として残しやすくするための道具です。

マモリスでできないこと

以下は、マモリスが対応していない範囲です。あわせて確認しておいてください。

• 委託先リスクを自動評価すること
• SCS評価制度への対応完了を保証すること
• 法令対応を完了させること
• 監査判断を代行すること
• セキュリティ事故を防ぐこと
• リアルタイム監視を行うこと
• 委託先の実態を自動で検証すること

自社にとってマモリスが向いているかどうかは、「マモリスが向いている会社・向いていない会社」も参考になります。

よくある質問（FAQ）

Q1. サプライチェーンリスクが見えないとは、どういう状態ですか？

チェックシートの回答は集まっていても、どの委託先に懸念があるか、誰がどう判断したか、改善依頼がどこまで進んでいるか、前回から何が変わったかをすぐ確認できない状態です。

Q2. チェックシートを回収していれば、サプライチェーンリスクは管理できていますか？

回収だけでは管理できているとは言えません。回答内容を確認し、判断理由や差し戻し履歴、証跡、前回との差分を残すことで、委託先ごとの状態を管理しやすくなります。

Q3. 年1回の委託先確認だけでは不十分ですか？

年1回の確認は有効ですが、再委託先の追加、SaaS利用の変更、生成AI利用の開始、委託範囲の変更など期中に起こる変化については、別途、変更時確認を組み合わせておく必要があります。

Q4. SCS評価制度が始まると、チェックシート運用も変わりますか？

SCS評価制度により、サプライチェーン全体でのセキュリティ対策状況への関心は高まると考えられます。ただし、制度への対応そのものと、委託先ごとの確認・判断・履歴管理は別の実務です。自社としてどの委託先をどう確認するかは、引き続き運用として整理しておく必要があります。

Q5. マモリスはサプライチェーンリスクを自動で判定できますか？

いいえ。マモリスはリスクを自動判定するツールではありません。チェックシートの作成、依頼、回答確認、差し戻し、判断履歴、証跡保存を管理しやすくするためのツールです。

まとめ

サプライチェーンリスクが見えない理由は、チェックシートを送っていないからではありません。回答回収後の判断、差し戻し、証跡、差分、変更時確認が追えていないために見えなくなっています。

SCS評価制度やサイバーセキュリティ経営ガイドラインの流れを踏まえても、委託先の状況把握は今後さらに重要になっていくと考えられます。重要なのは「回収済み」であることではなく、「どう判断したか」を組織として残しておくことです。マモリスは、その運用を支えるための一つの方法です。