【専門家コラム】委託先に対する調査の前にリスクアセスメントを行う意義

当コラムでは前回まで、業務委託先（サプライヤーを含む）のリスクを把握するための調査方法について述べてきましたが、本稿ではそのような調査方法を使って実際に調査を行う前に考えていただきたい、事前リスクアセスメントの考え方を紹介します。

委託先に対するリスクアセスメントの必要性

本題に入る前に前提を確認しておきましょう。委託先に対してリスクに関する調査を行う目的は、委託先に潜む様々なリスクを発見し、それらがどの程度深刻なのかを把握することです。調査を行った後は必要に応じて何らかの対策を講じることになりますが、対策すべき委託先が多数ある場合は、よりリスクの高い委託先から順に対策を実施するという判断が求められます。そのために必要なのが、委託先に対するリスクアセスメントです。

 

一般に、リスクアセスメントの結果は図 1 のようにまとめられます。横軸は何らかの事象（発生してほしくないこと）が発生する可能性の高さ、縦軸はもしその事象が発生した場合に、その悪影響がどのくらい大きくなりそうかをとります（縦軸と横軸を逆に描くこともあります）。

図 1 　一般的なリスクアセスメント例

このように様々なリスクを図上にプロットできたとすると、より左下に近いものは、リスクが比較的低い、逆に右上側にあるものはリスクが高いということになりますので、より右上側に位置するリスクに対して優先的に対策すべきだということになります。

 

このようなリスクアセスメントを委託先に対して行いたいため、個々の委託先に潜んでいるリスクを把握し、評価するための調査が必要になるのです。

 

調査する委託先の選別

現在取引のある委託先が数社程度でしたら、本稿で紹介するような考え方はあまり必要ないと思いますが、特に製造業などにおいては、数十社から数百社のサプライヤーから部品や材料を調達しているという例も決して珍しくありません。そのように多数の委託先との取引がある企業では、リスクが低いと思われる委託先に対してはできるだけ手間をかけず、リスクが高いと思われる委託先に対しては念入りに調査をする、というような工夫をしないと、委託先リスク管理のための仕事がどんどん増えてしまいます。

 

そこで、委託先に対する調査を効率よく行うために、調査対象の委託先を、合理的な方法で事前に選別する方法が必要になります。つまり、リスクアセスメントを効率よく行うために、調査対象の委託先に対して事前のリスクアセスメントを行うということです。言い換えれば、リスクアセスメントを二段階に分けて行うということになります。ちょっと面倒だと思われるかも知れませんが、結果的にはこの方が全体的な作業量を小さくできる可能性があります。

 

委託先の「リスク」をどう評価するか

ここで、「リスクの高い／低い委託先」とはどういう意味でしょうか？

 

委託先リスク管理において対象とする「事象」（ここでは主に、自社にとって起きてほしくないこと）とは、委託先における事故や災害による事業中断、契約違反やコンプライアンス違反、情報漏洩、サイバーアタック、欠陥品や不良品の納品、不祥事など、様々なものが考えられますが、これらの事象が最終的にどのような結果を招くかを考えると、自社に対する影響は次の二種類に大別できると考えられます。

 

• a) 委託先における事業中断によって自社の事業活動の一部または全部が中断される
• b) 委託先における問題の発生によって、自社の責任を問われたり、自社のレピュテーションが毀損される

 

これらのうち a に関しては、委託先に対する調査を行う前に、図 2 のようなリスクアセスメントを行うことが有効だと考えられます（b を除外した理由については後述します）。ここで A～D は委託先の名前だとします。

図 2  委託先に対するリスク調査を行う際の事前リスクアセスメント例

 

横軸は「リスク分散の度合い」ですが、これは端的に言えば「委託先の事業中断によって自社が事業中断に陥る可能性の高さ」であり、「1 社からしか調達できない」よりも、「複数社から調達している」ほうが、自社の事業中断を招くリスクがより分散されていると考えられます。図 2 で委託先 D に関しては、同じ仕事をできる委託先が複数ありますので、もし委託先 D で事業中断が発生したとしても、自社の事業がいきなり中断されることはないでしょう。つまり委託先 A～C よりも相対的に事業中断リスクが低いということになります。

 

なお委託先 C は「他社から調達可能だが、現在は 1 社からしか調達していない」という状況ですが、これは現時点で取引関係がなくても、いざというときに代替調達できるアテがあるということで、「1 社からしか調達できない」という委託先 A、B よりはリスクが低いと考えられます。また代替となりうる委託先の数が多いほど、図 2 ではより左側に位置することになります。

 

一方で縦軸は「事業中断による影響の大きさ」で、一般的には取引量の大きな委託先や、収益への寄与度が大きな商品のために必要な委託先ほど、より上側に位置することになります。なお、ここで影響の大きさを数値化する必要はありません。考えられる影響の大きさを相対的に比べながら、並べ替えていければ十分です。

 

このような方法で委託先を図上に並べていくと、図の左下（原点）に近い委託先は、自社の事業中断に関するリスクが比較的低い委託先、より右上に位置する委託先は、リスクが高い委託先ということになります。図 2 の中では A が最も高リスク、D が最も低リスクということです。

 

リスクアセスメントの結果に応じた調査方法の検討

ところで、図 2 で示した事前リスクアセスメントは、委託先の内情を知らなくても、取引の内容や状況だけで（つまり購買・調達部門が把握できる情報だけで）実施できます。したがって、このように事前のリスクアセスメントを行ってから、そのリスクの高さに応じて委託先に対する調査のしかたを変えることができます。すなわち、比較的リスクの低い委託先に対しては、チェックシートなど簡便な方法での調査にとどめ、よりリスクの高い委託先には、チェックシートに加えて個別調査を併用する、などといった判断があり得ます。また、全ての委託先に対して同時に調査を行うのが難しければ、まずはリスクの高い委託先に対して調査を行い、リスクの低い委託先に対する調査は後回しにするという考え方も現実的でしょう。

 

コンプライアンス違反などに関するリスクは区別して考える

ただし既に述べたとおり、このようにリスクに応じて調査方法や優先順位を検討できるのは、自社の事業中断に繋がるリスクについてのみであることに注意してください。これに対して、コンプライアンス違反や情報漏洩などといった問題の発生によって、自社の責任を問われたり、自社のレピュテーションが毀損されるようなリスクについては、全ての委託先に対して同様に、漏れなく調査する必要があります。その理由は、委託先でコンプライアンス違反などの問題が発生した場合の自社に対する影響は、取引の内容や状況にあまり依存しないからです。

 

例えば委託先において個人情報漏洩が発生した場合、委託先のみならず自社に対しても管理責任が問われ、その結果として自社に対する信頼感や企業イメージの低下、損害賠償の支払いなどの悪影響が発生する可能性があります。この場合の悪影響の大きさは、漏洩した情報の内容や量、漏洩の原因（重大な過失があったかどうか）、事後対応の良し悪しなどによって変わりますが、取引の大きさや収益への寄与度はあまり関係ありません。たとえ取引量が少ない委託先であっても、重大な過失による大規模な情報漏洩が発生したら、顧客や社会からの批判も大きくなるでしょう。

 

したがって、コンプライアンス違反や情報漏洩などのリスクに関しては、取引の内容や状況にかかわらず、全ての委託先に対して漏れなく調査する必要がります。

 

調査を実施した後にも事前リスクアセスメント結果を活用する

本稿では主に委託先に対する調査を行う前の事前リスクアセスメントについて述べてきましたが、この事前リスクアセスメントの結果は、調査を行った後にも活用できます。特に、何らかのリスクに関して対策すべき委託先が多数ある場合に、この事前リスクアセスメント結果を参考にして、よりリスクの高い委託先から対策を実施するという使い方が考えられます。

 

もちろん、調査結果から深刻な問題が見つかった委託先があれば、それらに対する対策を優先する必要がありますので、対策を実施する優先順位については、次の二つの観点の組み合わせで考えることになります。

(1) 委託先に対する調査結果から、対策の必要性がより高い委託先を優先する
(2) 事前リスクアセスメントの結果から、自社の事業中断に繋がるリスクがより高い委託先を優先する

なお繰り返しになりますが、コンプライアンス違反などに関する対策は、上の (2) を考慮せずに (1) の観点のみから対策を進めていく必要があることにご注意ください。

 

このように、図 2 で示した事前リスクアセスメントは、委託先管理に関する業務全般に活用できますので、委託先の増減や、委託先への発注内容の変化などといった状況変化を反映させて常にアップデートしておき、様々な委託先管理業務を効率よく進めるために役立てていただければと思います。

 

アトミテックでは、委託先リスク管理の手順をまとめた委託先リスク管理ガイドを公開しています。ぜひ自社の委託先管理の参考になさってください。