--- sourceDocument: Xanadu のガバナンス、リスク、コンプライアンス sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/ja-JP/xanadu/governance-risk-compliance Release : - xanadu ft:locale : - ja-JP ft:publication_title : - Xanadu のガバナンス、リスク、コンプライアンス ft:clusterId : - grc bundleId : - grc workflow : - Technology --- # サードパーティリスクのアセスメント # サードパーティリスクのアセスメント {#ariaid-title1} * リリースバージョン: Xanadu * * 更新日 2024年08月01日 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 所要時間：8分 サードパーティとの関係に関連する潜在的なリスクを特定し、アセスメントのために サードパーティリスク管理 を使用します。内部アンケート、外部アンケート、および文書の要求から収集された情報は、サードパーティのリスクプロファイルを理解し、適切なリスク軽減戦略を決定し、サードパーティまたはエンゲージメントが必要なすべてのコンプライアンス要件を満たしているかどうかを判断するのに役立ちます。 ## アンケートへの回答 {#tprm-assessing-tpr__section_gg3_dys_pzb} 次のプロセスは、内部および外部のアンケートに回答するタイミングと方法の概要を示しています。 固有のリスクに関するアンケート (IRQ) プロセス : デューデリジェンス要求がサードパーティリスク (TPR) マネージャー \[sn_vdr_risk_asmt.vendor_risk_manager\] によって承認された後、IRQ 査定人 \[snc_internal\] は IRQ に回答することで内部リスクアセスメントを完了します。 IRQ 査定人が回答を送信し、TPR マネージャーまたはオーナーが IRQ のレビューを行ってクローズした後、デューデリジェンス要求のステータスは \[IRQ 対応中 (IRQ in progress)\] から \[IRQ レビュー中 (IRQ in review)\] に更新されます。 収集された情報に基づいて、TPR マネージャーとそのチームは、エンゲージメントに関連付けられている潜在的なリスクを評価します。財務の安定性、運用キャパシティ、品質基準への準拠、規制へのコンプライアンス、サードパーティのデリバリタイムラインを満たす能力などの要素を評価します。このアセスメントは、チームがサードパーティのリスクプロファイルを理解し、適切なリスク軽減戦略を決定するのに役立ちます。 IRQ の詳細については、「[IRQ に回答する](https://servicenow-prod.fluidtopics.net/40FM0Bded~5CBGh10hWWdw "自分のキューにアサインされた固有のリスクに関するアンケート (IRQ) に回答します。アンケートへの応答は、プロセスが進行するかどうかを決定するのに役立ち、サードパーティまたはエンゲージメントに送信されるアンケートに影響を与える可能性があります。")」を参照してください 。 TP 要素収集プロセス：サードパーティ要素情報の収集 : デューデリジェンス要求の IRQ プロセスが完了すると、TPR マネージャーまたはデューデリジェンス要求の所有者は、サードパーティ (TP) 要素の収集プロセスを開始できます。これは、TP 要素を収集してエンゲージメントにアサインし、全体的なデューデリジェンスワークフローの一部として評価できるようにするためのオプションのプロセスです。TP 要素の詳細については、「[サードパーティ要素の監視](https://servicenow-prod.fluidtopics.net/sxuTyNYp1i6L8c2it3Rkuw "サードパーティリスク管理アプリケーションを使用して、スケーラブルなスコアリングモデル、関係分析、およびデューデリジェンスワークフロー統合を通じてサードパーティ要素を監視できます。サードパーティ要素を監視し、その情報を活用することは、サードパーティリスクプログラムの一部として、より多くの情報に基づいたリスクアセスメントを実施するのに役立ちます。")」を参照してください。 TPR マネージャーまたはオーナーは、要素を収集するための外部アセスメントに TP 要素アンケートをアサインし、そのアセスメントをエンゲージメントに送信して TP 要素に必要な情報を収集します。エンゲージメント連絡先が回答を送信した後、TPR マネージャーまたはオーナーは、アンケートで必要なすべての情報が提供されたことをレビューして検証します。 TPR マネージャーまたはオーナーは、サードパーティ要素のリストに移動し、各アンケートの回答セットごとにサードパーティ要素レコードを手動で作成します。すべてのサードパーティ要素が作成された後、TPR マネージャーまたはオーナーがアセスメントをクローズします。要求のステータスが \[収集レビュー中 (Collection in review)\] に変更されます。詳細については、「[サードパーティ要素レコードの作成](https://servicenow-prod.fluidtopics.net/bRVLEbKJdZopiD_wYT7zwQ "サードパーティリスク管理 アプリケーションで収集テンプレートアンケートを使用してサードパーティから回答を収集した後、サードパーティ要素レコードを作成します。サードパーティ要素レコードが作成されると、要素エンティティをエンゲージメントにアサインできるようになります。")」を参照してください。 デューデリジェンスプロセス：コンプライアンス検証 : IRQ プロセスまたは TP 要素収集プロセスが完了すると、 TPRM アプリケーションはアンケートと文書の要求をサードパーティとエンゲージメントに送信します。アセスメントの一環として、組織が複数のアンケートや文書要求を送信する場合があります。たとえば、TPR マネージャーが、サードパーティの認定、ライセンス、またはコンプライアンスを検証するための監査レポートなどを要求する場合があります。 オプションの TP 要素収集プロセスが完了したら、作成した各サードパーティ要素のアセスメントの一部としてアンケートを選択し、アサインする必要があります。エンゲージメント連絡先が TP 要素のアンケートに回答します。 注: TPR マネージャーは、このタイプのサードパーティに送信するアンケートと文書要求を決定するプロセスを簡素化および自動化するための アセスメントテンプレートを開発することができます。TPR アドミニストレーターはアンケートテンプレートまたはドキュメント要求テンプレートを定義し、TPR マネージャーはそれらをアセスメントテンプレートにグループ化することができます。組織は、テンプレートを再利用して、今後のアセスメントで類似するサードパーティにアンケートと文書要求を送信できます。テンプレートの詳細については、「[アンケートや文書要求テンプレートを作成する](https://servicenow-prod.fluidtopics.net/hNEBpB3bkngTHnKxRFrb1g "アンケートテンプレートと文書要求テンプレートを再利用することで、新しいアンケートと文書要求の作成を短時間で行うことができます。")」および「[デザイナーを使用してアンケートや文書要求テンプレートを作成する](https://servicenow-prod.fluidtopics.net/IviunvRLzKcfzwnhVY60Rw "アンケートテンプレートデザイナーを使用して、他のテンプレートの基礎として使用できるアンケートテンプレートまたは文書要求テンプレートを作成および編集します。")」を参照してください。 TPR マネージャーとそのチームは、サードパーティの応答と内部分析を使用して、サードパーティが必要なすべてのコンプライアンス要件を満たしているかどうかを判断します。これらの要件には、環境規制、労働法、腐敗防止ポリシーなど、適用される法律および規制に対するサードパーティのコンプライアンスの検証などが含まれることがあります。 注: サードパーティリスク査定人、マネージャー、または管理者は、サードパーティまたはエンゲージメントの代わりに質問に回答し、応答を変更し、外部アンケートを送信できます。詳細については、「[サードパーティまたはエンゲージメントのためにアンケートに回答する](https://servicenow-prod.fluidtopics.net/ZsitVWC~HUBmU0ItEsdjdg "サードパーティリスク管理 を使用して、サードパーティまたはエンゲージメントのために質問に回答したり、回答を変更したり、外部アンケートを送信したりします。以前のアンケートでサードパーティまたはエンゲージメントが必要な情報を既に提供している場合に、サードパーティまたはエンゲージメントに代わって回答することで、貴重な時間を節約できます。")」を参照してください。 関連するアイテムの機密性が高いため、TPR マネージャーとそのチームは、サードパーティのデータセキュリティとプライバシーの慣行を評価します。サードパーティの情報セキュリティ対策、データ保護ポリシー、アクセス制御、および脆弱性管理プロセスを評価します。サードパーティが専有情報または顧客データにアクセスできる場合、サードパーティに対してサイバーセキュリティ監査を受けるか、データ保護対策の証拠を提供するように要求する場合があります。 応答のレビューの詳細については、「[外部アンケートの応答を確認する](https://servicenow-prod.fluidtopics.net/~5E_IsgkXdYn1RDX7ftBHA "サードパーティの連絡先は、サードパーティポータルを使用してアセスメントを完了し、各質問のコメントセクションで TPR マネージャーと共同作業を行います。アセスメントでギャップが明らかになった場合、TPR マネージャーまたは TPR 査定人は問題またはタスクを作成できます。さらに、ベンダー管理ワークスペース アプリケーションは問題を自動生成できます。")」を参照してください。 注: TPR 査定人は、受信または返送されたアンケートを Microsoft Excel スプレッドシートにエクスポートできます。このオプションを使用すると、組織はスプレッドシート環境を使用して質問と回答を確認できます。アンケート回答のエクスポートの詳細については、「[アンケート回答をスプレッドシートにエクスポートする](https://servicenow-prod.fluidtopics.net/1tx3sPiypHSjie0PD1T8_w "受領または返却されたアンケートを Microsoft Excel スプレッドシートにエクスポートします。このオプションを使用すると、スプレッドシート環境を使用して質問と応答を確認できます。")」を参照してください 。 ## 他のアセスメントアクション {#tprm-assessing-tpr__section_fn5_z2k_h1c} TPR マネージャー、デューデリジェンス要求の所有者、または契約交渉担当者は、エンゲージメントに影響を与える利用可能な新しい情報があるか、またはその他の変更が発生したため、アセスメントを再オープンする必要がある場合があります。詳細については、「[デューデリジェンスを実施する理由](https://servicenow-prod.fluidtopics.net/AHKbFm802OhCICu0A8tRCQ "サードパーティに対してデューデリジェンスを実施することは、包括的なサードパーティリスクプログラムの重要なコンポーネントです。デューデリジェンスを実施してサードパーティに関連するリスクを認識し、関係を形成する方法を安心して決定できるようにします。")」を参照してください。 TPR マネージャー、オーナー、または契約交渉担当者がエンゲージメントからさらに情報を収集する必要がある場合は、アセスメントを再オープンして次のアクションを実行することで、追加のアンケートまたは文書要求を送信できます。 1. 該当する \[DDR\] 番号を選択して、\[デューデリジェンス要求\] レコードページに移動します。 2. \[サードパーティのリスクアセスメント (Third-party risk assessment)\] タブで \[VRA\] 番号を選択して、関連するサードパーティのリスクアセスメントを表示します。 3. \[再オープン (Re-open)\] を選択します。 {#tprm-assessing-tpr__ol_wqm_55z_31c} デューデリジェンス要求のステータスが \[TPRM 承認準備完了 (Ready for TPRM approval)\] から \[デューデリジェンス\] に更新されます。TPR マネージャー、オーナー、または契約交渉担当者は、必要に応じてアンケートや文書要求を要求できます。詳細については、「[アセスメントの再オープン](https://servicenow-prod.fluidtopics.net/by6P46DEKQH7anhzQWESGQ "アセスメントを再オープンして、サードパーティまたはエンゲージメントから必要な追加情報を収集するために、さらにアンケートや文書要求を送信します。")」を参照してください。 TPR マネージャー、オーナー、または契約交渉担当者が進行中のエンゲージメントのアセスメントを必要としない場合、またはエンゲージメントのオンボーディングまたは更新のために迅速なクローズを必要とする場合は、次のアクションを実行してアセスメントをキャンセルできます。 1. 該当する \[DDR\] 番号を選択して、\[デューデリジェンス要求\] レコードページに移動します。 2. \[サードパーティのリスクアセスメント (Third-party risk assessment)\] タブで \[VRA\] 番号を選択して、関連するサードパーティのリスクアセスメントを表示します。 3. \[キャンセル\] を選択します。 {#tprm-assessing-tpr__ol_ash_bvz_31c} 1 つまたはすべてのアセスメントがキャンセルされた場合でも、デューデリジェンス要求は承認プロセスに進みます。 ## 問題とタスク {#tprm-assessing-tpr__section_lln_5gn_pzb} タスクと問題の両方を作成および管理するには、TPR 査定人 \[sn_vdr_risk_asmt.vendor_assessor\] のロールが必要です。 TPR マネージャー、TPR 査定人、または契約交渉担当者は、チームメンバーまたはサードパーティ連絡先がアンケートの回答または要求されたドキュメントに関する懸念に確実に対応できるようにするためのタスクを作成できます。既存のタスクを管理して、アサインされたチームメンバーまたはサードパーティの連絡先がタスクに応答し、必要に応じてタスクを更新することを確認できます。問題の作成と管理の詳細については、「[サードパーティまたはエンゲージメントにタスクを作成](https://servicenow-prod.fluidtopics.net/2V6JaMbhCKiybvg0DTZNVQ "組織のユーザーまたはサードパーティの連絡先が、デュー デリジェンスプロセス中にアンケートの応答や要求された文書に関する懸念事項に確実に対応できるようにするためのタスクを作成します。")」および「[サードパーティまたはエンゲージメントのタスク管理](https://servicenow-prod.fluidtopics.net/4sNEWNIOtz6Xk9iu7OTYyA "組織のアサイン先ユーザーまたはサードパーティ連絡先がタスクに応答し、必要に応じてタスクのステータスを更新しているか検証します。")」を参照してください。 TPR マネージャー、TPR 査定人、または契約交渉担当者は、サードパーティまたはエンゲージメントに関するチームの懸念を確実に解決するために問題を作成できます。また、既存の問題を管理して、問題を理解し、適切な担当者と共有し、必要に応じて対処しているかを検証することもできます。タスクの作成と管理の詳細については、「[サードパーティまたはエンゲージメントに問題を作成](https://servicenow-prod.fluidtopics.net/3oaidEju7Ivtyi5gh9I7IQ "問題を作成して、サードパーティまたはエンゲージメントに関する懸念が確実に修正されるようにします。")」と「[問題を管理する](https://servicenow-prod.fluidtopics.net/bZ49g~D_AFUya2NPeI_Q8Q "リスクアセスメントに関連する問題が理解され、適切な担当者に伝達され、必要に応じて対処されるよう検証します。")」を参照してください。