規制と標準の違いは根本的です。規制は、法律を施行するために政府機関が定める拘束力のある法的要件であり、すべての関連団体にわたって法律の適用の統一性を確保します。対照的に、標準は、通常は民間部門によって開発され、規制によって参照される場合にのみ必須となるガイドラインです。

関連するポリシーを確認することで、違反を構成する要素と、観察された行動がそれらのパラメータに該当するかどうかを明確に理解できます。この予備的なステップは、誤解や不当な非難を避けるために重要であり、懲戒手続きのさらなるステップのための公正で情報に基づいた基盤を確立します。

サードパーティリスク管理ライフサイクルでは、ビジネスユニットの関係所有者がリスク評価の実施と修復計画の承認に積極的に参加し、サードパーティとのやり取りに関連するリスクが効果的に管理および軽減されるようにします。

BCP または IT DR 計画とは、組織が中断が発生した場合に重要なビジネス機能と IT システムの継続性と回復を確保するために実行する一連の手順とアクションです。BCP または IT DR 計画では通常、次の側面がカバーされます12。
* 重要なビジネス機能とITシステムの特定と優先順位付け
* 組織に対するリスクと脅威の評価と軽減
* 資源と人員の配分と動員
* 社内外の関係者とのコミュニケーションと調整
* 計画のテストと更新
外部環境要因への対応の 4 つの例のうち、ソーシャル メディア チャネルと PR コミュニケーションのプロトコルは、BCP または IT DR 計画内で直接管理される可能性が最も低くなります。これは、ソーシャル メディアと PR コミュニケーションが、中断中に回復または維持する必要のある重要なビジネス機能や IT システムではないためです。これらはむしろ、組織の状況と行動について一般の人々、顧客、パートナー、メディアに通知し、関与するために使用できる補助的なツールです3。
したがって、ソーシャル メディアと PR コミュニケーションのプロトコルは、危機コミュニケーション計画の一部となる可能性が高くなります。危機コミュニケーション計画は、危機時にさまざまな対象者とコミュニケーションをとるための戦略と戦術を概説した、別個の関連文書です。
他の 3 つの例は、組織の重要なビジネス機能と IT システムを実行する能力に直接影響するため、BCP または IT DR 計画内で直接管理される可能性が高くなります。たとえば、自然災害または人為的災害への対応には、BCP または IT DR 計画の有効化、被害の影響と範囲の評価、バックアップおよびリカバリ ソリューションの導入、およびできるだけ早く通常の運用への復旧が含まれます。主要な従業員またはサプライヤーの問題への依存への対応には、単一障害点の特定と管理、緊急時対応計画の実装、および重要なスキルとリソースの可用性と冗長性の確保が含まれます。大規模な病気や健康被害の発生への対応には、健康と安全対策の実装、リモート ワークの手配の有効化、および従業員の回復力と継続性の確保が含まれます。参考資料:
* ビジネス継続性と災害復旧: どちらの計画が適切か... - IBM
* ビジネス継続性と災害復旧: 違いは何ですか?
* 災害復旧計画と事業継続計画: 違いはありますか?
* [危機コミュニケーション計画: PR ブループリント、サンドラ・K・クローソン・フリーオ著]
* [災害復旧計画 (DRP) | 事業継続計画 (BCP) | 災害復旧ジャーナル]
* [混乱した世界におけるサードパーティリスクの管理]
* [パンデミック時の事業継続計画]

サードパーティ リスク管理 (TPRM) は、ビジネス活動または機能を外部組織にアウトソーシングすることに関連するリスクを特定、評価、および軽減するプロセスです。TPRM は、サードパーティの失敗または不正行為によって引き起こされる潜在的な損害から顧客、利害関係者、および規制当局の利益を保護することを目的としたさまざまな規制の影響を受けます。これらの規制は、業界、管轄、およびサードパーティ関係の性質によって異なる場合があります。したがって、組織は、年次リスク評価中に TPRM プログラムに影響を与える規制の一覧を更新し、ビジネス目標とリスク許容度に最も関連し、重要な規制を優先することが重要です。
規制の優先順位付けに最適な方法は、サービス プロバイダーに対する特定の義務の拡大を要求する適用可能な規制を特定することです。つまり、組織は、データ保護、セキュリティ、コンプライアンス、報告、監査、パフォーマンス標準など、組織とそのサード パーティ パートナーに特定の要件または期待を課す規制に重点を置く必要があります。これらの規制では、組織とサービス プロバイダーの役割と責任、デュー デリジェンスと監視活動の範囲と頻度、契約条項と条件、修復と終了の手順も指定される場合があります。これらの規制を特定することで、組織は TPRM プログラムが規制の期待と義務と一致していること、およびサード パーティ関係に関連するリスクを効果的に管理および軽減できることを保証できます。
サービスプロバイダーに対する特定の義務の拡大を要求する規制の例は次のとおりです。
* 一般データ保護規則 (GDPR): これは、EU 内の個人の個人データの収集、処理、転送を管理する欧州連合の規則です。GDPR では、組織が個人データを保護するために適切な技術的および組織的対策を実施し、十分なデータ保護を保証できるサービス プロバイダーとのみ連携することが義務付けられています。
GDPR では、組織がサービス プロバイダーと書面による契約を締結し、データ処理の主題、期間、性質、目的、および両当事者の権利と義務を規定することも義務付けられています。また、GDPR では、データ漏洩や違反が発生した場合に厳格な通知および報告要件も課しています。
* 医療保険の携行性と責任に関する法律 (HIPAA): これは、個人の医療情報のプライバシーとセキュリティを規制する米国連邦法です。HIPAA は、医療提供者、健康保険、医療情報センターなどの対象事業体に対し、患者の医療情報を保護し、許可された当事者にのみ開示または共有することを義務付けています。また、HIPAA は、対象事業体に対し、医療情報を処理またはアクセスするサービス プロバイダーと業務提携契約を結ぶことを義務付けています。これらの契約では、医療情報の許可された使用と開示、医療情報を保護するための安全策と対策、違反やインシデントが発生した場合の報告と通知の義務を規定する必要があります。
* サーベンス・オクスリー法 (SOX): これは、企業の財務報告と開示の正確性と信頼性の向上を目的とした米国連邦法です。SOX は、上場企業に財務報告プロセスの内部統制を確立して維持し、これらの統制の有効性を評価して報告することを義務付けています。また、SOX は、上場企業に外部監査人が独立して資格を有していることを保証し、内部統制の重大な弱点や欠陥を開示することを義務付けています。SOX は、会計事務所、情報技術ベンダー、コンサルタントなど、上場企業の財務報告機能を実行またはサポートするサービス プロバイダーにも適用されます。SOX は、上場企業にサービス プロバイダーの内部統制を評価および監視し、監査と報告の範囲に含めることを義務付けています。
参考文献:
* サードパーティのリスク管理と軽減 | Gartner
* サードパーティリスク管理プログラムを開始するためのベストプラクティス
* サードパーティのリスク管理のベストプラクティスとその重要性
* GDPRとサードパーティのリスク管理
* ビジネスアソシエイトおよびサードパーティサービスプロバイダーの HIPAA コンプライアンス
* サードパーティサービスプロバイダーに対するSOXコンプライアンス要件