銀行が考えるほど、重要なサードパーティ監督の変化は大きくない

欧州の規制当局が特定のICTプロバイダーをDORAの下でクリティカルと指定し始めたとき、一部の金融機関はこれを朗報と受け取りました。ベンダーが直接監督の対象となることで、コンプライアンス対応を他者に任せられるように思えたからです。しかし、実際は逆です。指定されることでベンダーは規制当局の厳しい監視下に置かれますが、金融機関自身の責任が移ることはありません。

この違いは、多くの金融機関が当初考える以上に重要です。クリティカルプロバイダーへの直接監督によって、規制当局はそのプロバイダーのリスク管理状況を把握できますが、万が一そのサービスが停止し、金融機関が適切に関係を管理していたことを証明できなかった場合、責任が変わることはありません。本記事では、クリティカルサードパーティ指定が金融機関にもたらす実際の変化、変わらない点、そして今後ベンダーリスク管理がどうあるべきかについて解説します。

エグゼクティブサマリー

DORAの下でのクリティカルICTサードパーティプロバイダーへの直接的な規制監督は、目立った動きの一つですが、これがそのプロバイダーを利用する金融機関のコンプライアンス負担を軽減するものと誤解されがちです。実際にはそうではありません。この指定メカニズムは、金融セクター全体のシステミックな集中リスクを管理するために存在し、規制当局と最大規模かつ相互接続性の高いプロバイダーとの継続的な関与を通じて実施されます。これは、個々の金融機関がそのプロバイダーの利用を十分に評価・記録・監視しているか、あるいはそもそもクリティカル指定に至らない多くのプロバイダーについて何らかを示すものではありません。リスクおよびコンプライアンス担当者にとっての実務的なポイントは、サードパーティリスク管理の責任は、誰がベンダーを監督しているかに関わらず、金融機関自身に完全に残るということです。

主なポイント

1. クリティカルサードパーティ指定は、ベンダーを直接的な規制監督下に置きます。 しかし、ベンダー関係管理における金融機関自身の責任が移ることはありません。
2. クリティカル指定プロバイダーのリストは随時変動します。 プロバイダーの影響範囲が拡大すれば追加され、縮小すれば除外されるため、ベンダーリスクの静的な評価はすぐに陳腐化します。
3. 集中リスクは、指定されていないベンダーにも同様に当てはまります。 クリティカルリストに載っていないプロバイダーでも、特定の金融機関にとっては単一障害点となり得ます。
4. 規制当局は、継続的なサードパーティリスク管理の証拠を求めています。一度きりの評価では不十分です。 契約内容の記録や監視活動の履歴は、継続的に維持する必要があります。
5. 指定によって変わるのはベンダーの監督体制であり、金融機関自身が統制を証明する義務は変わりません。 金融機関は、サードパーティがもたらすリスクを理解・管理していることを自らの証拠で示す必要があります。

クリティカルサードパーティ指定が実際にもたらすもの

この指定メカニズムは、システミックな影響度、依存の集中度、サービスの代替容易性などの要素に基づき、多数の金融機関に同時に影響を及ぼし得るプロバイダーについて、規制当局が可視性を確保するために設けられています。

指定はシステミックな集中リスクへの対応であり、個別ベンダーリスクの評価ではない

プロバイダーがクリティカルと指定されるのは、多くの金融機関がそのサービスに依存しており、万が一障害が発生した場合にセクター全体に混乱をもたらす可能性があるためです。個々の金融機関がそのプロバイダーと結ぶ契約が特にリスクが高いからではありません。同じプロバイダーに対する個別金融機関のリスク（どのようにサービスを利用しているか）は、指定とは別の問題であり、指定によって答えが出るものではありません。

リストは変動するため、ベンダーリスク評価は静的ではいけない

指定プロバイダーは定期的に再評価され、リストも随時更新されます。プロバイダーの影響範囲が拡大すれば追加され、状況が変われば除外されます。「自社のベンダーがクリティカルリストに載っているか」を一度だけ確認して終わりにしてしまうと、その答えは知らないうちに古くなってしまいます。

なぜ自社の責任は移らないのか

規制当局によるクリティカルプロバイダーの監督と、金融機関自身がそのプロバイダーとの関係を管理する義務は、同じベンダーを対象としていても全く別の責任です。

ベンダーへの直接監督は、自社契約の監督ではない

規制当局がクリティカルプロバイダーと直接やり取りする際、評価するのはそのプロバイダーのリスク管理体制全般です。個々の金融機関が締結している契約内容や、出口戦略、サービス低下時の対応策などを審査するわけではありません。これらは金融機関自身が行うべき作業です。

指定されていないプロバイダーでも集中リスクは残る

指定は金融セクター全体の観点で行われるため、システミックな基準にわずかに届かないプロバイダーであっても、特定の金融機関にとっては重大な単一障害点となり得ます。個別金融機関にとって重要なのは、自社がどのプロバイダーに依存しているかであり、セクター全体の依存状況ではありません。

規制当局が金融機関に実際に求めていること

特定のベンダーがクリティカル指定されているかどうかに関わらず、金融機関は自社が依存するICTサードパーティについて、継続的かつ証拠に基づいた理解を維持することが求められています。

情報台帳は「生きた記録」であり、スナップショットではない

ICTプロバイダーとの契約内容や、各プロバイダーが担う機能を正確に記録した台帳を維持することは、監査用に一度だけ作成する文書ではなく、継続的な義務です。

監視は継続的でなければ証拠にならない

契約締結時に一度だけ実施するデューデリジェンスでは、継続的なリスク管理の証明にはなりません。規制当局は継続的な監視を求めており、金融機関はベンダーのパフォーマンスを実際にどのように観察してきたか、その記録を残す必要があります。

厳しい監査にも耐えうるサードパーティリスク管理の構築

クリティカルサードパーティ指定への実務的な対応は、指定されていないベンダーの監督を緩めることではありません。どのプロバイダーがどの機能を担い、依存度がどれほど集中しているか、継続的な監視の証拠がどれだけあるかを常に把握できる内部体制を構築することが重要です。

データコントロールプレーンが継続的なサードパーティリスク証跡を支援

サードパーティICTリスクのコントロールを証明するには、どのデータがどのベンダーやチャネルを通じて移動し、誰がどの条件下でアクセスしたかを、ベンダー自身の説明に頼ることなく、継続的に示せることが不可欠です。

Kiteworks Data Control Planeは、すべての送信・共有・アクセスアクションにデータ認識型のゼロトラスト・コントロールを適用し、各アクションを改ざん防止かつ無制限の監査ログとして記録し、セキュリティ情報イベント管理（SIEM）ツールに直接連携します。DORA下でICTサードパーティリスクを管理する金融機関にとって、これは実際に利用しているベンダーやチャネルを通じて機密データがどのように移動したかを継続的かつ検索可能な記録として残し、特定のプロバイダーの指定状況に関わらず、自立した証拠となります。シングルテナントアーキテクチャと顧客所有の暗号鍵により、最も機密性の高いやり取りに対する自社のコントロールも、第三者の監督状況に依存しません。

自社のICTサードパーティリスク義務に対し、継続的かつチャネル横断的な証拠がどのように役立つかを確認したい金融機関は、カスタムデモを予約し、自社の現状のベンダー環境にどのように適用できるかをご覧いただけます。