システムの外部委託先管理とサードパーティリスク管理（TPRM）とは

企業のシステムは、開発会社、運用保守会社、クラウドサービス、SaaSなど、多くの外部組織に支えられています。外部サービスの利用は効率化につながる一方、情報漏えい、障害、サイバー攻撃、サービス終了などのリスクも生みます。

外部委託先管理は、自社の業務を委託した相手を適切に選定・契約・監督する取り組みです。サードパーティリスク管理（TPRM：Third-Party Risk Management） は、委託契約の有無に限らず、外部組織との関係から生じるリスクを管理する、より広い考え方です。

外部委託先とは

外部委託先とは、自社が行う業務の全部または一部を外部に任せた相手（企業・組織・個人）です。英語では outsourcing provider、service provider などと表現します。

自社が任せる業務	外部委託先の例
システム設計・開発	SIer、ソフトウェア開発会社
インフラ運用・保守	運用会社、MSP
セキュリティ監視	SOC、MSSP
データ処理・入力	BPO、データ処理会社
問い合わせ対応	コールセンター事業者

外部委託に該当するかは、契約の名称だけでなく、実際に自社の業務を相手に行わせているかで判断します。単にソフトウェアのライセンスを購入しただけでは、通常は業務委託とはいえません。クラウドやSaaSについては、委ねている業務、データの取扱い、契約、適用されるルールに応じて判断します。

外部委託先管理とは

委託開始前の審査から終了時のデータ消去までを通じて、委託先の業務品質、情報セキュリティ、法令遵守、事業継続などを管理することです。業務を外部に任せても、委託元に求められる管理や法令上の責任が当然になくなるわけではありません。 ただし、具体的な法的責任は契約・適用法令によります。

サードパーティリスク管理（TPRM）とは

サードパーティ（third party） とは、自社と関係を持つ外部の組織・事業者です。TPRMは、その外部組織との関係によって生じるリスクを把握し、評価・低減・継続監視する仕組みです。

比較項目	外部委託先管理	TPRM
対象	自社業務を任せる委託先、再委託先	委託先に加え、サービス提供会社、提携先、外部データ提供元など
委託契約	通常は存在（契約の名称は問わない）	必須ではない
主な目的	委託業務の適切な遂行と監督	外部組織に起因するリスク全般の把握と管理
主要リスク	情報漏えい、品質、障害、委託業務の継続性	左記に加えて集中リスク、財務、法務、風評、依存関係など
関係	TPRMの対象に含まれる	より広いリスク管理の枠組み

つまり、外部委託先管理はTPRMの一部と考えられます。ただし、社内規程や法令によって管理対象の定義は異なります。

判断例

外部組織・サービス	外部委託先か	TPRM対象か
システム開発を請け負う会社	原則として該当	該当
自社システムの運用を行うMSP	原則として該当	該当
AWSなどのクラウド	利用実態・適用基準による	リスクに応じて対象
業務用SaaS	利用実態・適用基準による	リスクに応じて対象
データ連携する提携会社	業務を委ねているかによる	リスクに応じて対象
ライセンスのみの販売会社	通常は該当しない	依存度やリスクによる

「TPRM対象」は、すべての相手に一律の詳細審査を行うという意味ではありません。関係の重要度とリスクに応じて管理します。

なぜ必要なのか

情報セキュリティ：委託先の侵害が自社の情報漏えいや不正アクセスにつながる。
可用性・事業継続：委託先の障害、倒産、サービス終了で自社業務が停止する。
コンプライアンス：個人データの委託などでは委託元に監督義務が生じる。
依存・集中リスク：複数の重要システムが同じクラウドや事業者に集中する。
サプライチェーン：再委託先、ソフトウェア供給元、第四者（fourth party）の問題が波及する。

法律・ガイドライン・規格との関係

外部委託先管理だけを包括的に規制する単一の法律があるわけではなく、扱うデータ、業種、契約、地域によって適用されるルールが異なります。

法律・ガイドライン・規格	位置付けと主な関係
個人情報保護法第25条（日本）	個人データの取扱いを委託する場合、委託先に必要かつ適切な監督を行う義務
個人情報保護委員会ガイドライン（通則編）	委託先選定、契約、取扱状況の把握、再委託の管理を具体化
NIST CSF 2.0（GV.SC）	サイバーセキュリティのサプライチェーンリスク管理に関する任意の枠組み
ISO/IEC 27001・27002	情報セキュリティ管理と供給者との関係を扱う国際規格
業種別の監督指針・ガイドライン	金融、医療、重要インフラなどで追加の要求がある場合がある
EU GDPR（対象となる場合）	個人データ処理者（processor）との契約・管理等に関する要求（例：第28条）

個人情報保護法の「委託先の監督」

日本の個人情報保護法第25条は、個人データの取扱いの全部または一部を委託する場合、委託元に必要かつ適切な監督を求めます。個人情報保護委員会ガイドラインでは、主に次の事項を示しています。

適切な委託先の選定
委託契約の締結
委託先における個人データ取扱状況の把握

再委託する場合も、再委託先や業務内容、データの取扱方法を把握し、適切に監督することが重要です。個人情報保護法上の「個人データの取扱いの委託」と、一般的な「システム業務の外部委託」は同じ定義ではありません。 また、すべての委託先への現地監査が一律に義務付けられているわけではなく、リスクに応じた適切な方法を選びます。

外部委託先管理・TPRMの実務手順

段階	主な実施事項	記録・成果物
1. 棚卸し	外部事業者、サービス、業務、データ、依存先を把握	サードパーティ管理台帳
2. 重要度分類	機密性、可用性、代替可能性、影響範囲を評価	重要度・リスク評価結果
3. 選定・事前審査	セキュリティ、財務、法令遵守、BCP等を確認	チェックシート、証跡
4. 契約	責任分担、SLA、事故報告、監査、再委託、終了条件を明確化	契約書、SLA、DPA等
5. 利用中の監視	障害、事故、変更、監査報告書、是正状況を確認	定期評価、課題管理表
6. 再委託・変更管理	再委託、データ保管地、サービス仕様や所有者の変更を評価	変更記録、承認記録
7. 終了・移行	アクセス停止、データ返却・削除、移行、証跡保管	終了確認記録

セキュリティ審査で確認したい項目

アクセス制御、MFA、特権ID、退職者アカウントの管理
データ暗号化、バックアップ、保存場所、削除方法
脆弱性管理、パッチ適用、ログ監視、インシデント対応
セキュア開発、変更管理、開発環境と本番環境の分離
BCP/DR、復旧時間、代替手段、単一障害点
再委託先・重要な外部依存先の把握
ISMS（ISO/IEC 27001）、SOC 2等の第三者保証報告書の範囲と有効期間

認証・報告書の存在だけで「安全」と判断せず、対象サービス・対象期間・例外事項・利用者側の責任も確認します。

管理台帳に記載する項目

分類	記載例
基本情報	事業者名、サービス名、契約番号、担当部署・管理責任者
関係分類	業務委託の有無、サービス提供、提携、再委託
重要度	対象システム、業務影響度、重要度、代替可能性
情報管理	データの種類、個人データの有無、アクセス権限、保存国・地域
契約	契約期間、更新日、SLA、セキュリティ条項、監査・事故報告条件
評価	初回評価日、リスクレベル、残余リスク、次回評価日、是正状況
継続性	BCP/DR、再委託先、集中リスク、終了・移行計画

最初から台帳を細かくしすぎず、重要なサービスを漏れなく把握できる状態を優先します。

リスクに応じた管理（リスクベースアプローチ）

区分の例	想定するケース	管理方法の例
高	基幹システムを運用、機微情報を大量に処理、停止時の影響が大きい	詳細な事前審査、契約条項の精査、定期的な証跡確認、代替計画
中	業務システムの保守、限定的なデータアクセス	主要統制の確認、契約管理、定期的な再評価
低	重要なデータ・システムへのアクセスがなく影響が小さい	簡易審査と基本情報の維持

これは管理方法の例であり、法定の統一分類や一律の監査頻度ではありません。評価周期は、自社の規程、契約、法令、リスクに合わせて設定します。

クラウド・SaaSでの注意点

クラウド事業者を審査するだけでは不十分です。責任共有モデルを踏まえ、利用者側のID管理、設定、データ保護、監視、バックアップも確認します。また、障害時の業務影響、サービス終了や価格改定時の移行可能性、特定サービスへの集中も評価します。

サプライチェーンリスク管理との違い

TPRMは外部組織との関係全般を管理します。一方、サイバーサプライチェーンリスク管理（C-SCRM） は、製品やソフトウェアの開発・供給・運用経路に由来するサイバーリスクに重点を置きます。両者は大きく重なり、完全な包含関係とは限りません。例えば、OSS依存関係の脆弱性は、直接契約したサードパーティがいなくてもC-SCRMの対象となり得ます。

まとめ

外部委託先管理は「自社の業務を任せた相手を管理すること」、TPRMは「外部組織との関係から生じるリスクを幅広く管理すること」 です。実務では外部委託先だけでなく、SaaSやクラウド、提携先などを一元的に把握し、重要度に応じて審査・契約・継続監視・終了管理を行うと効率的です。

参考資料

※法令の適用や必要な管理水準は、業種・契約・データ・国や地域によって異なります。実際の運用では最新の法令・監督指針・契約を確認してください。