デジタルオペレーショナルレジリエンスの強化へ向け実践すべきポイント

デジタルオペレーショナルレジリエンスを強化するための実践ポイント

デジタル環境が年々複雑化する中、デジタルオペレーショナルレジリエンスを強化するためには、リスク管理やガバナンス態勢の現状を評価し、実態を把握することが、重要な第一歩となります。評価は、以下のA、Bのように2段階で進めることができます。

• 【A】リスク管理プロセスが整備されているか
• 【B】【A】により特定された個々のリスク領域に対して必要な対策が取られているか

PwCが提唱するデジタルオペレーショナルレジリエンスのフレームワーク（図表2）では、【A】リスク管理プロセスと【B】デジタルリスクへの対策の2段階で、オペレーショナルレジリエンスを強化するための項目を包括的に定義しています。当フレームワークを用いることで、現状のデジタルオペレーショナルレジリエンスの成熟度の全体像を把握・評価することができます。

図表2：デジタルオペレーショナルレジリエンスのフレームワーク

以下、このフレームワークをもとに、企業のデジタルオペレーショナルレジリエンスに関する現状を評価する上でのポイントを説明します。

【A】リスク管理プロセス

デジタルオペレーショナルレジリエンスを評価するには、まず、以下のA-1～4に示す基本的なリスク管理プロセスが整備されているかどうかを確認します（図表3）。顧客への影響などを踏まえ、会社として継続すべき「重要な業務」が特定されていること(A-1)、また、それに対する業務提供の水準(A-2)や必要な経営資源の整理ができていること(A-3)、危機シナリオの分析や訓練を通じて、「重要な業務」における影響を評価・改善していること（A-4）がポイントとなります。

A-1：「重要な業務」の特定

• 優先的に継続すべき、顧客向けの「重要サービス」が特定されているか
• 「重要サービス」に紐づく、「重要な業務」が特定されているか

A-2：「耐性度」の設定

• 「重要な業務」について、業務中断が生じることを前提に最低限維持すべき業務水準（耐性度）が設定されているか

A-3：リソースマッピング

• 「重要な業務」に必要な経営資源が整理されているか
• 重要な業務の遂行に必要な人的リソース（内部、外部、人数、職階、など）
• 重要な業務の遂行に必要なサードパーティ、フォースパーティ
• 重要な業務が利用している拠点、システム、ツール、データベース、サービス

A-4：適切性の検証／見直し

• 危機シナリオの分析や訓練を通じて、「重要な業務」における影響を評価・改善しているか

図表3：評価結果のイメージ（【A】リスク管理プロセスの例）

【B】デジタルリスクへの対策

次に、デジタルオペレーショナルレジリエンスにおいて必要なリスク対策が整備されているかどうかを確認します。具体的には、システム障害や情報漏洩など、自社のデジタル／IT資産に影響を与える事象（デジタルリスク）への対策として、以下の項目を確認します。なお、変更管理については、システム環境などに変更があった場合でもレジリエンスを確保できる仕組みや対策が取られているかを確認するために必要な項目となります。

B-1.BCP（継続管理）
B-2.サードパーティ管理
B-3.サイバーセキュリティ
B-4.エマージングテクノロジー
B-5.変更管理

上記項目について必要な対策が網羅的に整備・運用されているかを確認するためには、BCP（継続管理）、サードパーティ管理等のそれぞれのリスク対策を機能の軸で分類し、評価することがポイントとなります。
また、リスク対策における機能は、以下の形で分類することができます。なお、回避、防止、抑制は主に平時の機能、検出は平時／有事双方に該当する機能、回復・訂正は有事の機能に該当します。

• 回避：リスクの原因となること（事業、プロセスなど）をしないこと
• 防止：リスクが発現しないように対策をすること
• 抑制：リスクが発現した場合にその影響を最小限に抑えられるよう、対策をすること
• 検出：リスクが発現していることまたはその可能性が高いことを見つけること
• 回復：リスクが発現し、それが損害の拡大につながらないようにし、元の状況に戻すこと
• 訂正：リスクが再び発現しないように対策に変更を加えること

つまり、図表4のように、各デジタルリスクへの対策、すなわちB-1.BCP（継続管理）、B-2.サードパーティ管理、B-3.サイバーセキュリティ、B-4.エマージングテクノロジー、B-5.変更管理を、リスク対策の機能（回避・防止・抑制・検出・回復・訂正）ごとに分類し、整備・運用状況を評価することが、現状評価を実施する上でのポイントです。

図表4：【B】デジタルリスクへの対策における評価観点

図表4の評価観点ごとに現状評価を実施することで、図表5のようにリスク対策の整備・運用状況の概観を把握することができます。例えば、サードパーティ管理（B-2）であれば、以下のような事項が主な確認ポイントとなり、それに対して資料閲覧やヒアリングを実施することで、対応の充足性を評価することができます（図表5の例では、「B-2.サードパーティ管理」の「検出」において対応が不足していることが可視化されています）。

• 信頼性が低いサードパーティを避けるため、リスク評価の上、サードパーティを選定しているか（回避）
• 重要な業務に関連するサードパーティが特定されリスク管理（契約管理、SLA管理等）されているか（防止）
• サードパーティに要求するレジリエンスに係る事項（インシデント発生時の報告等）、水準が定義されているか（抑止）
• 重要な業務に関連するサードパーティが自社のレジリエンス要件を満たしているかを定期的にモニタリングしているか（検出）
• サードパーティでのインシデント発生時における対応（サードパーティとの情報共有手順など）が定められているか（回復）
• サードパーティでのインシデント発生後に、サードパーティとのプロセスを見直し、必要な改善を実施しているか（訂正）

図表5：評価結果のイメージ（B-2.サードパーティ管理の例）

また、図表5で現状評価・可視化実施後、図表6のように課題と必要な対応を整理することで、デジタルオペレーショナルレジリエンス強化策を検討・整理することができます（図表6では図表5で発見された検出事項に対する具体的な課題、およびその対応の方向性が整理されています）。

図表6：課題・対応一覧のイメージ（B-2.サードパーティ管理の例）