1. はじめに
金融サービス部門は、過去20年間で深遠な構造的変革を遂げてきた。かつては自社で運用能力のほとんどを開発・維持していた機関も、現在ではクラウドコンピューティング、決済処理、顧客確認（KYC）の本人確認、サイバーセキュリティ、コアバンキングシステム、および幅広い付随サービスについて、日常的にサードパーティベンダーに依存している。COVID-19のパンデミックはこの傾向を加速させ、デジタルチャネルやリモートワークインフラストラクチャの迅速な採用を強いたが、その多くはサードパーティプロバイダーを通じて行われた [1]。
この依存関係は、専門的な専門知識へのアクセス、拡張性、コスト効率という戦略的優位性をもたらす。しかし同時に、運用、法務、評判、およびシステム上のリスクを積み重ねることにもなり、法域を超えた規制当局の懸念がますます高まっている。2012年のKnight Capitalの技術障害から、数十の金融機関に影響を与えた2023年のMOVEitサプライチェーン侵害に至るまで、注目を集めたインシデントは、サードパーティの出来事がシステム上の混乱に発展する潜在的な可能性を浮き彫りにした [2]。
こうした背景を受け、銀行・金融サービスにおける調達は再定義された。従来の、商品やサービスを最低コストで取得することを任務とする購買機能は、規制順守、リスク評価、情報セキュリティ監視、および運用レジリエンス計画を含む、より広範なベンダーガバナンスの義務に取って代わられつつある。本稿では、この進化の主要な側面を探り、サードパーティガバナンスを形作る規制アーキテクチャと、機関が遵守のために導入しなければならない運用フレームワークを検討する。
2. 規制の状況
2.1 デジタルオペレーショナルレジリエンス法（DORA）
2023年1月に欧州連合（EU）によって採択され、2025年1月から適用されるDORA（規則(EU) 2022/2554）は、金融サービスのICTリスク管理において現在までで最も包括的な規制介入である。その目的は、銀行、保険会社、投資会社、暗号資産サービスプロバイダーを含む金融機関がICTシステムのデジタルオペレーショナルレジリエンスをどのように管理するかについて、特にサードパーティICTリスクに重点を置いて、EU加盟国間でルールを調和させることである [3]。
DORAの下で、金融機関はすべてのICTサードパーティサービスプロバイダーのレジストリを保持し、それらを重要度に応じて分類しなければならない。重要サードパーティプロバイダー（CTPP）は、欧州銀行監督局（EBA）を含む欧州監督当局（ESA）が管理する新しい監視フレームワークの対象となり、これらの当局は当該プロバイダーに対して直接的な検査や監査を実施できる。これは根本的な転換を表している。規制当局はもはや金融機関のみに説明責任を負わせるだけでは満足せず、ベンダー自体に対しても直接的な監督権を行使するようになった [4]。
調達機能に対して、DORAは義務的な契約要件を課している。ICTサードパーティプロバイダーとの書面による契約には、サービスレベル、監査権限、データ所在地およびポータビリティ、インシデント報告義務、解約権、および出口戦略に関する条項を含めなければならない。重要な点として、DORAは、金融機関がICTプロバイダーポートフォリオからの集中リスクを特定および管理し、運用を中断することなく重要契約を終了する能力をテストすることを要求している [5]。
2.2 OCCによるサードパーティ関係に関するガイダンス
米国では、通貨監督庁（OCC）が銀行のサードパーティ関係の管理に関する期待を長年確立してきた。OCC、連邦準備制度理事会、およびFDICによって共同発行された2023年の機関間ガイダンスは、事前のガイダンスを単一のフレームワークに統合したものであり、「重要」な関係だけでなく、すべてのサードパーティ関係に適用される [6]。このガイダンスは、計画、継続的モニタリング、終了という関係ライフサイクルの3つのフェーズを特定し、機関が各関係によってもたらされるリスクのレベルに比例した、リスクベースのデューデリジェンスを実施しなければならないと規定している。
OCCフレームワークは、取締役会および経営陣に対して明示的な責任を課している。調達活動は運用機能からガバナンス事項へと格上げされた。取締役会はサードパーティ関係を管理するための方針を承認し、重要な取り決めに関する定期的な報告をレビューし、監視のために十分なリソースが割り当てられていることを確認することが期待されている。このガバナンスの枠組みにより、ベンダー選定を純粋な商業的な演習として扱うのではなく、調達決定を機関のリスク選好および戦略的目標と整合させている [7]。
2.3 FCA SYSC 8および英国のアウトソーシング制度
英国では、金融行動監視機構（FCA）のシニアマネジメントアレンジメント、システムおよびコントロールソースブック（特に第8章（SYSC 8））が、認可企業によるアウトソーシングを統治している。SYSC 8は、企業が内部統制の質やFCAまたはPRAによる企業監督能力を著しく損なうような方法で活動をアウトソーシングしないことを要求している。これらの規則は、アウトソーシングされた機能の監視を維持し、プロバイダーが同等の基準を満たしていることを確認し、サービスの継続性を維持する義務を課している [8]。
アウトソーシング契約に関するEBAガイドライン（EBA/GL/2019/02）の発行と、Brexit後の英国の規制慣行へのオンショアリングに続き、英国の金融機関は現在、広範なアウトソーシング前評価を実施し、アウトソーシングレジストリを維持し、特定の契約条項を含め、重要なアウトソーシング契約を規制当局に通知しなければならない。アウトソーシングおよびサードパーティリスク管理に関する健全性規制機構（PRA）監督声明SS2/21は、サブアウトソーシング管理や事業継続計画の要件など、PRA規制対象企業に対する期待をさらに詳しく述べている [9]。
3. サードパーティリスク管理フレームワーク
3.1 ベンダーリスクのライフサイクル
金融サービスにおける効果的なTPRMは、(i) ベンダーの特定と分類、(ii) デューデリジェンスと契約前評価、(iii) 契約交渉と締結、(iv) 継続的なモニタリングとパフォーマンス管理、(v) オフボーディングと出口管理、という5つの段階からなるベンダーライフサイクルモデルを中心に構築されている。各段階には、調達チームが法務、コンプライアンス、情報セキュリティ、およびビジネスラインと協力して管理しなければならない個別のリスクエクスポージャーが存在する [10]。
特定および分類の段階では、機関はベンダーが内在させるリスクに応じてベンダーをセグメント化する。通常、これにはデータの機密性、運用の重要性、規制へのエクスポージャー、財務の健全性、法域リスクなどの側面が含まれる。Shared Assessments Programや金融サービス情報共有分析センター（FS-ISAC）が推奨するもののような階層型リスクモデルにより、デューデリジェンスのリソースを比例的に割り当てることができ、ティア1のミッションクリティカルなプロバイダーには最も集中的な精査が適用される [11]。
3.2 デューデリジェンスと情報セキュリティ評価
金融サービスにおける契約前のデューデリジェンスは、財務分析やリファレンスチェックを大きく超える範囲に及んでいる。情報セキュリティ評価は、サードパーティシステムから発生するデータ侵害が業界が直面する最も重要な脅威ベクトルの一つであるという認識により、中心的な要素となっている。機関は、標準化情報収集（SIG）イニシアチブによって開発されたような、アクセス管理、暗号化、インシデント対応、事業継続などのドメイン全体にわたる管理を網羅する標準化されたアンケートへの回答をベンダーに定期的に求めている [12]。
SOC 2 Type II報告書、ISO/IEC 27001認証、およびクラウド固有の認証（CSA STARなど）を含むサードパーティの監査と認証は、ベンダーの管理が定義された基準を満たしているという構造化された保証を提供する。しかし、規制当局や実務家は、時点ごとの評価だけでは不十分であることをますます認識している。ベンダーのセキュリティ態勢、ニュースイベント、財務の健全性をリアルタイムで追跡する継続的な監視ツールは、業界標準になりつつあり、DORAなどのフレームワークの下で義務付けられるか、強く推奨されている [13]。
3.3 契約上の保護とSLA
契約書自体が、ベンダーリスクガバナンスの主要な手段として機能する。金融サービスの調達契約は、規制要件に対応して大幅に進化しており、データ処理とサブ処理（GDPRおよび同等の体制に準拠）、監査および検査権限、インシデント通知のタイムライン（重大なインシデントについては通常24〜72時間）、事業継続および災害復旧基準、破産・支配権の変更・規制上の異議申し立てによって引き起こされる解約権、および契約終了時のデータの返却と削除義務に関する条項が組み込まれている [14]。
規制分野におけるサービスレベル契約（SLA）は、商業的な実用性と規制上の正当性のバランスを取らなければならない。規制当局は、SLAが目標値ではなく、真に重要なパフォーマンスの閾値を反映しており、違反時の救済措置が機関とその顧客に対するパフォーマンス不足の影響と比例していることを期待している。英国のFCAは、いかなる有意義な保護も提供しないほど緩いSLAを組み込む慣行を明示的に批判している [15]。
4. ベンダー集中リスク
金融サービスの調達における構造的に最も重大なリスクの一つがベンダー集中である。これは、機関が（個別に、また集団的に）重要な機能を少数のプロバイダーに依存している度合いのことである。クラウドインフラストラクチャは、最も際立った例を示している。イングランド銀行による2023年の分析によると、英国で規制されている機関の大半が、業務の重要な要素について、Amazon Web Services、Microsoft Azure、またはGoogle Cloud Platformの3つのハイパースケールクラウドプロバイダーのいずれかに依存していた [16]。
この集中は単なる個別の企業の問題ではなく、システム上の問題である。支配的なプロバイダーに影響を与える停止やセキュリティインシデントは、複数のシステム上重要な機関の業務を同時に損なう可能性があり、決済システム、資本市場、預金受け入れにわたり連鎖的な影響を引き起こす可能性がある。規制当局は監視を強化して対応しており、DORAは金融機関に対し、エンティティレベルで、またESAの調整を通じてセクターレベルで、ICT集中リスクをマッピングおよび評価することを明示的に要求している。EBAはEU銀行セクターにおけるクラウド集中に関する定期的な報告書を発行しており、このリスクを優先的な監督上の懸念事項として挙げている [17]。
調達戦略の観点から、集中リスクを管理するには、意図的なマルチベンダーアーキテクチャ、ポータビリティ基準、および最初から契約に組み込まれた相互運用性要件が必要である。ワークロードやデータを定義された期間内に代替プロバイダーに移行する能力を含む出口戦略は、文書化するだけでなく、テストされなければならない。調達チームは、商業的な決定が運用レジリエンスを損なうロックインを意図せず作り出さないように、テクノロジーおよびエンタープライズアーキテクチャの機能と緊密に連携しなければならない [18]。
5. 進化する調達の役割
規制上の要求、サイバーリスク、および運用レジリエンス要件の収束により、金融サービスにおける調達機能は根本的に作り直されている。最高調達責任者（CPO）とそのチームは、コスト削減と契約コンプライアンスのみに焦点を当てた取引の仲介者として活動することはもはやできない。代わりに、彼らは法務、コンプライアンス、テクノロジー、およびビジネスのステークホルダー全体で調整し、商業的に健全で、運用上レジリエントであり、規制上の期待に明確に準拠したベンダー関係を実現できる、リスクを認識したオーケストレーターとして機能しなければならない [19]。
これには、調達にとって比較的新しい能力への投資が必要である。TPRMテクノロジープラットフォーム（Coupa、リスクモジュールと統合されたAriba、またはProcessUnityやOneTrustのような専門ツールなど）、データ駆動型リスクスコアリング、および有意義なベンダーとの会話を行うために情報セキュリティや規制フレームワークの十分な知識を持つ調達スタッフである。英国調達・供給管理協会（CIPS）はこのシフトを認識しており、金融サービスにおけるサプライチェーンリスクについて、商業的側面と規制的側面の両方を組み込んだガイダンスを作成している [20]。
ガバナンス構造も適応しなければならない。多くの機関は、専用のサードパーティリスク委員会を設置するか、3つの防衛線モデルの下でエンタープライズリスク管理フレームワークにTPRMを統合している。調達は第1線、コンプライアンスとリスク管理は第2線、内部監査は第3線を担う。集中、パフォーマンス、ベンダーエコシステム内からの新たなリスクを含む、機関のサードパーティリスクプロファイルに関する取締役会や上級リスク委員会への定期的な報告は、規制当局によってガバナンスの期待値のベースラインとしてますます見なされている [21]。
6. 結論
銀行および金融サービスにおける調達は新しい時代に突入した。それは、コスト削減の追求のみによって定義されるのではなく、密集し進化する規制環境の中でサードパーティリスクを管理するという責務によって定義される。DORA、OCCの機関間ガイダンス、FCA SYSC 8、および他の法域における同等のフレームワークは、サードパーティガバナンスをバックオフィスの懸念から取締役会レベルの責任へと集合的に押し上げた。
課題は甚大である。金融機関は、何百、何千というベンダー関係の商業的パフォーマンスを同時に管理し、急速に変化する脅威環境の中で最新のリスク評価を維持し、複雑な規制要件を契約やデューデリジェンスプロセスに組み込み、ベンダー集中リスクのような構造的な脆弱性に対処しなければならない。これらの目的のいずれも、調達チームが孤立して活動していては達成できない。
必要なのは、統合されたサードパーティガバナンスモデルである。それは、調達、リスク、コンプライアンス、法務、およびテクノロジーの各機能が、適切な技術と監視構造によってサポートされ、首尾一貫したユニットとして機能するモデルである。このモデルに投資する機関は、規制上の期待を満たすだけでなく、ベンダー関係の戦略的可能性を実現し、サードパーティガバナンスを単なるコンプライアンスの負担ではなく、競争力のあるレジリエンスの源泉にするために有利な立場に立つことになる [22]。