}}ご登録のアカウントは「メールアドレスの認証」が完了しておりません。認証がお済みでないアカウントは、登録から48時間後に消去されます。引き続きご利用される場合は、「メールアドレスの認証」をクリックしてください。MyページとはMyページ会員に登録すると、あなたの興味・関心のあるテーマのコンテンツが表示されるほか、お気に入りの記事をライブラリに保存できます。!KPMGジャパンのプライバシーポリシーが更新されました。最新のプライバシーポリシーをご確認ください。!オンライン・プライバシー・ステートメントが更新されました。プライバシーポリシーが更新されました。最新のプライバシーポリシーをご確認ください。金融機関に限らずシステム開発やシステム運用の現場においては、高度なITスキルの享受や短期間でのシステム開発の実現のために外部への業務委託が盛んに行われている。一方で、外部委託先がかかわる情報漏えいや情報の不正利用などの問題も発生しており、外部委託先管理の重要性はより高くなっている。マニュアル」等を改正した。本稿では金融庁の改正を踏まえ、外部委託先管理における再委託先管理の具体的な対応について考察する。モニタリングが挙げられる。これまでは再委託先等の2段階以上の委託先に対し明確な記載がなかったが、今回明示されたことで、2段階以上の委託先に対しても、委託の計画・委託先選定におけるリスク評価と選定後の定期的な評価が求められた。最新の金融情報センター(FISC)の調査でも、外部委託先管理にかかわる現在直面している課題として、半分近くの金融機関が「再委託先等の管理」を挙げており、再委託先についての効果的な管理の重要性が伺える。再委託先管理の取組み一般的にシステム開発やシステム運用の現場において、再委託に伴い発生する代表的なリスクとして、以下が挙げられる。再々委託など委託が繰り返されることにより、実際に業務を担う企業の審査が疎かになり、反社会勢力や業務遂行能力のない企業に委託することになる。管理者や監督責任者が曖昧になり、情報セキュリティ管理機能が機能せず、不正/ミス等による情報セキュリティインシデントが発生する。これらのリスクに対応するために、外部委託先の管理プロセスにおいて各企業ではさまざまなコントロールを実施している。以下に具体的な例を挙げる。20ページを基に筆者まとめこのようなコントロールの定着には、柔軟な運用も必要になってくる。再委託を行う理由として、専門性の高いスキルやノウハウを持った人材が必要であるのに条件を満たす要員が1次委託先にいない、プロパーメンバーでは単価がマッチしないということがあり得る。このような場合には合理性があると判断し、再委託階層の上限の超過についても一時的に許可することや、委託元による再委託先への直接的な立入監査・モニタリングの際には、1次委託先によるモニタリングと重複することのないよう、役割分担やタイミングを調整する。このような対応を取り入れつつ、再委託先に対しても委託元による積極的な関与を図ることが肝心である。最近では他に留意、懸念すべき事項として、以下のようなケースが挙げられる。クラウドの利用:クラウド事業者が実務作業を外部に委託しているケースが見受けられるが、利用企業が多岐にわたるため、利用企業からの直接的な立入監査やモニタリングに応じない場合がある。EUCシステム:ユーザ部門が外部委託先と直接契約し、EUCシステムの開発業務を委託しているケースが多い。EUCシステムは本番データに直接触れることも多く、その管理の重要性は基幹系のシステムと比較しても変わりないが、日常的に外部へのシステム開発業務を委託している情報システム部門と比較して、ユーザ部門による委託先管理は甘くなりがちである。モニタリング:作業負荷等を鑑み、年に1回程度のYes/No形式のアンケートを行う程度に留まっており、実態やリスクを把握できているとは言えない。委託先も取引を中止にしたくないため甘い評価になっている可能性がある(両者が形式を整えることを目的としている)。これらの固有リスクに対応するためには、これまでの一般的な取組みの他に、より実践的な管理が必要となっている。取組み例クラウド再委託の条件などについて、契約時に個別に交渉する。再委託先への直接的な立入監査が難しい場合も、外部監査報告書やペネトレーションテストの報告書の閲覧などについて規定する海外事業者の場合、審査時に確認できる情報が限られることがあるため、その場合の代替情報を検討しておくEUC契約部門に管理を任せるのではなく、リスク管理部門等が全社横断的に関与する仕組みとするモニタリングアンケートによるモニタリングを行う際には、記述式のアンケートとし、その回答内容から質問に対する委託先の理解度を評価する。ついて過去のセキュリティインシデント:発生有無とその対応、再発防止策について内部での立入監査・モニタリング:方法、頻度、これまでの指摘事項について最新動向についての勉強会:具体的な内容、方法、頻度について受託業務の取組み受託業務において想定するリスクとそのコントロール。現状での抜け道があれば改善策など新規参画者や参画終了者を含むメンバーへの教育や、具体的な内容、方法、頻度について。まとめ委託先、再委託先はプロジェクトの目標を達成するための重要なステークホルダーであり、外部委託を抜きにしたシステム開発やシステム運用は考えられないのが現状である。ビジネス環境の変化やユーザニーズの多様化、FinTechに代表される先進的なテクノロジーへの取組みなどで、今後も外部への依存は高くなると想定される。そのため将来を見据え、早い段階で経営層が主体となり、再委託先を含めた外部委託先への実行的なガバナンスの仕組みを構築し、規律を促すことが重要となっている。kpmg.socialMediaご依頼・ご相談RFP(提案書依頼)Myページへ会員登録すると、興味・関心のあるテーマのコンテンツが表示され、お気に入りの記事をライブラリに保存できます。新規ウィンドウ、またはタブで開くRFP(提案書依頼)送信RFP送信KPMGのインサイトがあなたとあなたの企業にどのように役立つかをご覧ください。無効なメールアドレスです。reserved.close。