SIerやベンダーへの委託によって重層化するITリスクと対峙するには新たな信頼関係が不可欠（写真：Adobe stock）

外部委託により重層化するITリスク

近年、上場企業が実施する内部統制やリスクマネジメントにおいて、重要視される対象には災害（巨大地震、パンデミック感染症、風水害、富士山噴火による降灰）、サイバー攻撃、IT障害（IT-BCP/DR）、AI・DX 戦略、サステナビリティ対応（人的資本経営、環境対策）などがあります。

こうした経営管理項目への対策は、システマティックな対応、トライ＆エラーによる習得、必要な仕組みや体制の整備など多岐にわたります。が、なかでもサイバー攻撃やIT障害は、より専門的なスキルを求められることが多く、 委託に頼るケースが増加。しかし、委託元と委託先の間には、企業内の部門間に存在するリスクと同様、埋めがたいリスクが複数存在します。

ITのアウトソーシングが進み、サイバーBCPへの対応を自社だけで完結することは不可能（写真: Adobe stock）

BCP の分野に限っても、サイバー攻撃への対応は、ユーザー企業が自社内だけで完結することはほぼ不可能です。豊富な経験とスキルを要する司令塔としての判断力、予見能力、問題解決能力などが求められ、IT運用や企画段階での委託を含め、インシデント発生時には「どこから手を付けるべきか」「何をすべきか」「どうしておけばよかったのか」と途方に暮れる状況に陥ります。

ここで、ある想定をします。某大企業が経営課題を解決するため、ソフトウェア開発を含む新システムを構築し、約2年間運用していたとします。社内には事業部（現場）、法務（契約）、情報システム部、経営陣が存在し、社外にはシステム開発を請け負うSIer（もしくは IT コンサル）や下請け・孫請けのソフトウェア会社があります。

SIer内部にも経営者、営業部隊、SE部隊があり、複数の組織が関与しています。もちろん、システムはユーザー企業の情報セキュリティポリシーに基づき開発・運用され、契約書も締結されています。しかし、こうした枠組みの中で突然インシデントが発生した場合、何が問題となるのでしょうか。

サイバーインシデントが発生した場合、どこにどのような原因があり、責任があるのか（写真：Adobe stock）

まず、経営陣は情報システム部門を責め、情報システム部門は委託先を責めます。委託先は「システムの問題ではなく運用の問題」「リスクとして受容する約束だった」と反論します。しかし、それは口約束で契約書には反映されておらず、責任の所在はグレーで、双方の法務も責任を問えないことに気づきます。

その間にも被害は拡大し、経営陣は全システム停止を命じ、企業活動は停止。社会的影響がある場合、社長による記者会見が求められますが、原因や再発防止策が不明な中では会見もできません。CSIRTに委託しても、委託先のペースでしか進まず、経営者はコントロールできないもどかしさを感じます。

 

委託先との「信頼関係」を新たに上書きする

こうした状況では、原因は一つではなく、システム設計、機能、組織、移行計画、運用、社内外のコミュニケーションなど複数の問題が絡みます。日本企業では、こうしたインシデントを経験した企業は教訓を蓄積できますが、他社が知ることはありません。復旧には開発費用の数倍、数十倍のコストがかかり、関係者は疲弊し、精神的なトラウマを抱えることになります。

問題を洗い出すフレームワークとして、NIST CSF 2.0 を用いれば、サイバーセキュリティ機能ごとに検証できます（※）。例えば、最新の攻撃を前提にしていなかった、脆弱性を見逃した、バックアップを軽視しロックされた、BCP復旧活動を定義していなかった、CSIRTの経験不足、委託先との信頼関係崩壊などです。サプライチェーン構造では、契約に監査条項がなく法的問題となるケースもあります。
（※）第35回：経営視点で考える「NIST CSF2.0」の導入効果
https://www.risktaisaku.com/articles/-/102653

企業の規模や知名度にもとづく従来の「信頼」を、いまの時代の新たな「信頼」に書き換える必要がある（写真：Adobe stock）

数十年前、IT業界では「なぜ高額な大手IT企業に委託するのか？」という問いに、ユーザー企業の責任者は「大手は逃げないから」と答えていました。ここでいう「逃げない」とは、最後まで責任を持って問題解決に取り組むという意味です。つまり「信頼」をお金で買う構図ですが、その背景には大手の技術力や資金力、プライドがありました。

しかし現在では、専門技術者が減り、ブランド価値における「信頼」要素が薄れ、費用対効果を重視する競争環境で、企業間の信頼関係が希薄化し、問題が顕在化しています。

筆者は、経営コーチングや心理的安全性研修を行う公認心理士、労務コンサルタントなどと「企業の信頼とは何か」を議論しました。その結果、企業の信頼は「外的信頼要素」「内的信頼要素」「企業文化」に強く影響されるという仮説を得ました。外的要素はPESTLE（ペストル）分析、内的要素はCOSO（コーソー）内部統制フレームワーク、企業文化はDenison（デニソン）分析モデルで評価し、成熟度やKPIで見える化できる可能性があります。

結局、委託関係においては、組織の信頼と個人の信頼の両輪で成立します。企業理念として「信頼」を得るためには、組織と個人が信頼獲得に向かうことが重要であり、これはリスクマネジメントにおける企業間の信頼関係の意味につながります。

社会における企業間、企業と組織間、さらには組織内の部門間にあるリスクを管理するにあたり、この「信頼」という難題を手なずける手段を、あなたの会社はお持ちでしょうか。