米国のサードパーティーリスクマネジメント（TPRM）最新動向！【シリコンバレー便りVol.31】（2022年9月13日号）

ユニアデックスの片澤です。

今回は、前回の温室効果ガスとカーボンニュートラルに密接に関係していく、TPRM（Third-Party Risk Management）に関してお届けしていきたいと思います。

と、その前に、、、、

サクラメントという都市をご存じでしょうか。NBAのチームがあったりしますが、観光地として有名ではなく、なんとなく聞いたことがある程度かと思います。が、しかし、サクラメントは、カリフォルニア州の州都なのです。

サクラメントが州都になったのは、ゴールドラッシュで盛況であった時代。ゴールドラッシュ後は、広大なカリフォルニアの土地で農作物など貿易の拠点となり成長したそうです。市内には、貿易の拠点であったセントラルパシフィック鉄道の旧駅もあり、鉄道博物館も併設されています。もちろん、政治の起点にもなっていますので、中心にはホワイトハウスさながらの立派な議事堂もあります。カリフォルニア州の北側に位置しているので、市内には緑が多く落ち着いた感じです。

日本からはなかなか行く機会はないかもしれませんが、ノスタルジックな街で、とてもいいところです。

それでは、早速、本編に行きたいと思います。

TPRM（サードパーティーリスクマネジメント）とは

TPRM（サードパーティーリスクマネジメント）とは、企業が関わっているサプライチェーン（サードパーティー）とのやり取りを管理し監視し、リスク分析まで実施するプロセスのことを指します。

サードパーティーには、サプライヤー、ベンダー、委託業者、ビジネスパートナー、販売会社、代理店、流通業者などが含まれます。

前回の記事（vol.30）で温室効果ガスのスコープ1、2、3のインベントリーとこれらを可視化するカーボンアカウンティングにについて紹介しました。スコープ1、2は直接使用、排出量、スコープ3は、サプライチェーンの上流と下流両方に対しての間接的使用、排出量にあたります。自社の中で完結できるスコープ1、2は良いですが、スコープ３に関しては、取引している企業が正しいデータを提示しているのか。問題はないのか。などを管理、監視することが必要になってきます。ここで働くのがサードパーティーリスクマネジメントです。

では、TPRMの対象としては、温室効果ガスに関してだけでいいのでしょうか。そうではなく、さまざまな項目が存在します。

その管理、監視対象にはカーボンアカウンティングの他に、財務、情報セキュリティー、社会的コンプライアンスなどが含まれます。

各管理項目に関して説明していきます。

財務　こちらはいわゆる信用調査にあたります。新規に取引を行う場合、与信を行い取引可否の判断や融資額の決定などを行います。日本だと帝国データバンクを筆頭にさまざまな企業が信用調査サービスを提供していています。米国では、Dun＆Bradstreetなどが有名で、事業内容から財務状況、支払い、銀行取引などを監視しています。

情報セキュリティー　セキュリティー団体などの規格に則り、セキュリティーやプライバシーをどのように保っているか、そのための社内統制をどのように実施しているかなどを、評価してもらい、認定をもらうということが一般化しています。ISO27001やSOC2、SIGなどで知られています。また、対策はもちろんのこと、リアルタイムでセキュリティーインシデントが起こっていないか。外部へのセキュリティー侵害が発見、報告されていないか。など常時監視も必要になります。

環境　前回もお伝えしたカーボンニュートラル、脱炭素がこれにあたります。企業が自社におけるGHG（温室効果）の排出量を算定し、そこからどのように削減し、足りない分をどのように置き換えていくのかを管理、監視します。産業廃棄物の削減や製品の再利用、クリーンエネルギー、再生可能エネルギーの利用などを推進、カーボンオフセットの実現に向けた取り組みです。

社会　社会分野では、人権尊重、コンプライアンス、ダイバーシティー、従業員のウェルビーイングなどがあります。人権に関しては、自社製品の原材料などで、強制労働や児童労働など人権侵害を施して製品を製造していないかどうか。自社内でも不当労働になっていないのか。など、サプライチェーン全体として監視が必要になっています。それは人権に関して、企業に対する調査義務の法令化が始まっているからです。この動きは、米国や日本へも今後波及するといわれています。

また、自社内のコンプライアンストレーニングの実施有無、従業員に対してメンタルヘルスや家族ケアなどのウェルビーイングに関してのプログラムなども企業のダイバーシティーへの取り組みとして認知されています。

サプライチェーンマネジメントというと物流マネジメントや発注、受注、納品までのマネジメントが一般的でしたが、温室効果ガスやセキュリティー、人権などもサプライチェーンマネジメントの項目として含めて考える必要が出てきています。

ここまで、TPRM、サプライチェーンマネジメントに関する企業が必要となる管理、監視対象をご紹介してきました。実際に管理、監視を行うには、取引企業に対して、質問票を提示し、その解答を管理していく。新たな取引先が増えた場合にも同じプロセスで情報開示を求め、管理していく。そして、違反しないために、法的に、契約書というドキュメントで縛る。という方法になります。

直接取引を実施している企業やサードパーティー企業が少ない場合には、ドキュメント数も限られるため、人で管理していくことも可能になりますが、サプライチェーンの上流、下流を見ると間接取引などで多段になっていたりします。そもそも数が多いと、人で管理していくことは不可能で、自社が関与できない部分が多く、変動することが発生します。これをシステムで管理し、変動の予兆を検知し未然に防ぐなど、リスクマネジメントを実施していく流れが出ています。

リスクマネジメント関連 スタートアップ

システムを提供するスタートアップ企業を紹介します。

BITSIGIT
本社 マサチューセッツ州 ボストン。シリーズDで4.016憶ドルの資金調達実績

企業のサイバーセキュリティーの対策状況を分析・レーティングするSaaS型サービス。取引先のITベンダーなどのセキュリティー対策状況などを評価するレポートを提供し、自社での評価プロセスを簡略化することができる。米国大手債券格付け企業のMoody'sとセキュリティーに関してのTPRMプラットフォームを提供している。

Greenstone
本社 イギリス ロンドン。プライベートカンパニー

環境サステナビリティーとESGに関して３つのソフトウエアを提供している。環境、健康、安全、CSRフレームワーク、サプライチェーン、調達などの分野をカバー。

SustainabilitySoftware：自社のサステナビリティーデータを一元管理できるソフトウエア
Supply ChainSoftware：サプライヤーのサステナビリティーデータを一元管理できるソフトウエア
InvestorESG Software：金融機関向けポートフォリオのサステナビリティーを管理できるソフトウエア

世界90カ国以上で100社以上のクライアントにサービスを提供中。

IntegrityNext
本社 ドイツ ミュンヘン。プライベートカンパニー
サプライヤーに関してのリスクマネージメントプラットフォームを提供。環境、温室ガス排出、コンプライアンス、多様性、鉱物利用など20以上のトピックスに対応。業界標準であるGRIに準拠したレポートを作成し、ＳＮＳなどで不正や風評リスクなどを監視する。業界をリードする企業を含む130カ国以上の企業で利用されています。日本語含めて複数言語に対応済み。

さて、いかがでしたでしょうか。前回の温室効果ガス、カーボンニュートラルと今回のサプライチェーンマネジメント、TPRMを一つの線になるようにお届けしました。

すでにお気づきの方も大勢いらっしゃると思いますが、サプライチェーンマネジメントは、ESG(Environmental、Social and Governance)とも密接に絡んでおり、リスクまで管理、監視するためにTPRMが存在しています。日本では、SDGsの方がメディアでの露出も多いかもしれませんが、ESGを正しく理解していただき、ESG対応とリスクマネジメントを合わせた企業戦略を実施いただければと思います。

今回も最後までお読みいただき、ありがとうございました。