Brex、DrataのTPRM Agentで大量のベンダー文書の確認を効率化しリスク判断に集中

規制の厳しい環境で事業を展開する急成長中のフィンテック企業Brexは、DrataのTPRM Agentのデザインパートナープログラムに参加し、Drataの製品チームとともに、評価基準を軸に証跡を起点とするサードパーティーリスク管理（TPRM）の形を作り上げています。ベンダーの文書の読み込みと評価基準への対応付けをエージェントにまかせることで、手作業のレビューの時間を減らし、少人数のGRC（ガバナンス、リスク、コンプライアンス）チームが重要なリスクに集中できるようになりました。同社では、顧客の信頼が厳格なセキュリティー、コンプライアンス、リスク管理にかかっています。

導入前：増え続けるベンダーの文書を1行ずつ確認

同社のトラストとGRCのチームは、ベンダーと再委託先からなる複雑な取引先の網全体でサードパーティーのリスクを管理しています。少人数の体制を保ちながら、いつでも監査を受けられる状態でなければなりません。GRC責任者のPriyanka Chaudhary氏は、サードパーティーリスク管理をGRCの中でも成熟した取り組みの1つと位置付けています。厳しい外部監査と、絶えず変わるベンダーの状況に対応するために築いてきたものです。

それでも、ベンダーや技術が増えるにつれ、2つの優先事項が重みを増していました。1つは、ベンダーの追加、変更、終了をまたいで、サードパーティーが社内でどう使われているかを端から端まで把握し続けることです。もう1つは、増え続けるサードパーティーの情報を素早くふるい分け、事業の速度を落とさずに最も重要な箇所に力を注げるようにレビューを拡大することです。Chaudhary氏は、最大の課題はライフサイクル全体で全てのベンダーを見渡し続け、チームがリスク管理の優先順位を適切に付けられるようにすることだと述べています。

同社は以前から、SaaSのツールの種類、対象となるデータ、社内でのベンダーの使い方に応じて、何を集めて確認するかを定めた評価基準の表を運用していました。しかし、この基準を大規模に当てはめるには、文書を集め、1行ずつ読み、標準をまたいで検出事項を突き合わせる必要があります。意図的に少人数にしているGRCの組織では、レポートを読むのに費やす1時間は、事業に沿った戦略的なリスク判断に使えない1時間でした。

選定の判断軸：既存の信頼関係と次世代のTPRMへの関与

同社は既にサードパーティーリスク管理でDrataを本格的に使っており、そこへTPRM Agentのデザインパートナープログラムに参加する機会が訪れました。参加を決めた理由は2つあります。1つは、Drataのチームとの強い関係と信頼です。もう1つは、ベンダーのリスクに日々向き合ってきた経験を生かし、次世代のTPRMが実務でどうあるべきかを形づくりたいという思いでした。

Drataのチームは耳を傾け、素早く改良を重ね、TPRMの行く先を先取りしようとする姿勢が際立っていたといいます。同社の目的は壊れた仕組みを直すことではなく、成熟した評価基準に基づく実務を製品の設計に持ち込み、新しい機能でよい実務を広げ、業務の最もつらい部分を解消することでした。同社は実際のベンダーの事例を使い、具体的なユースケースとワークフローについてDrataと緊密に取り組んでいます。シニアGRCリードのAllan Silva氏とChaudhary氏は、エージェントが理想論ではなく現実のTPRMを反映したものになるよう、戦略と実務の両面から関わっています。

導入効果

自社の評価基準を起点に文書を読み込む

TPRM Agentでは、まず評価基準、リスクのしきい値、求める文書といった自社にとって重要なことを定めます。次に、質問票、SOC 2のレポート、ペネトレーションテストの結果など、ベンダーごとの大量の文書を読み込ませます。エージェントは文書の具体的な記述を評価基準に対応付け、要件ごとに`Met`、`Partially Met`、`Not Met`、`Inconclusive`のどれに当たるかを示し、不足している点には追加で確認すべきことを提案します。

Silva氏がこの方法に特に価値を見いだすのは、企業ごとにリスクの特性が異なるからです。リスクの状況がこれほど違うと、ベンダーのレビューを画一的に進める従来の方法は通用しません。この方法なら、長い文書を読み続ける負担と人為的なミスのリスクを減らしながら、より多くのベンダーをより深く確認できます。チームの時間を無駄にせず、重大なリスクを見逃さないためには評価基準に基づく取り組みが欠かせないとChaudhary氏は強調しています。

人にしかできない判断に時間を使う

同社の事業部門は、AIの機能が急速に進む中で新しいツールやベンダーを常に検討しています。GRCチームには、ベンダーのオンボーディングを速く、しかも極めて確実に進めることが求められます。エージェントが文書の一次確認と評価基準への対応付けを担うことで、チームは人にしかできない仕事に時間を使えるようになりました。法務、プライバシー、アプリケーションセキュリティー、IT、調達、事業部門の関係者と一緒にリスクを文脈に沿って評価すること、契約上の保護や補完的なコントロールが必要な箇所を決めること、アクセス権を適正にし、取引終了時にデータの削除とアクセスの解除を確実にするといった、リスクを抑えたベンダーの使い方を徹底することです。

監査人と緊密に仕事をするSilva氏は、チームが作る証跡やアーティファクトの品質が上がる可能性にも利点を見ています。日々の生産性が上がり、外部監査への準備も進めやすくなるという見方です。

手作業のレビュー時間を削減

同社は既に具体的な成果を得ています。ベンダーごとに最も関係のある情報を絞り込んで整理することで、手作業のレビューの時間が減りました。案件をまたいで評価基準を一貫して確実に当てはめられるようになり、少人数のGRCチームに、より影響の大きいリスクの仕事に充てる余力が生まれています。Silva氏は、TPRM Agentによってチームの生産性が大きく上がり、レビューの質も高まったと述べています。

人員を増やさずにリスク管理の水準を引き上げ

Chaudhary氏は、人員を増やすだけに頼らずにセキュリティーのリスク管理の水準を引き上げる方法だと捉えています。証跡のレビューの下準備を自動化したことで、新しい技術を試し、ベンダーをより速く受け入れる事業部門をよりよく支えられるようになりました。第3者、第4者、さらには第5者にまで広がるアタックサーフェイスにも向き合いやすくなっています。同氏は、TPRM Agentによって手作業が減り、重要なリスクに集中できるようになったことで、セキュリティーのリスク管理の取り組みを全体的に一段引き上げられたと話しています。

若手メンバーの関与を広げる

Chaudhary氏は、エージェントを経験の浅いメンバーを育てる手段とも見ています。しっかりした評価基準とエージェントが作る要約があれば、若手もベンダーのレビューに加わる足がかりを得やすく、ベンダーのリスクの評価を学びながら、中心メンバーに負荷をかけずにより多くのベンダーを確認できます。両氏にとっての変化は、文書を読むことから判断を下すことへの移行です。

今後、両社は評価基準を軸に証跡を起点とするこの方法を、新しいワークフロー、より深い連携、より継続的なベンダーの監督へと広げていく計画です。同社が目指すのは、ある時点での評価にとどまらず、サードパーティーのリスクを継続的にモニタリングし、優先順位を付けて対処する形です。

この導入事例からの学び

同社の事例で特徴的なのは、エージェントに判断を委ねるのではなく、自社の評価基準を先に定め、エージェントには文書の読み込みと基準への対応付けという量の多い作業を担わせている点です。成熟した評価基準の運用が既にあったことが、自動化の前提になっています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、ベンダーの種類、扱うデータ、使い方に応じて何を確認するかを定めた評価基準を持っているかどうかです。同社はこの基準を起点にエージェントを使っています。2つ目は、ベンダーの追加から取引終了まで、サードパーティーの使われ方を把握し続けられるかどうかです。同社は取引終了時のデータの削除とアクセスの解除まで、人が担う仕事として位置付けています。3つ目は、レビューの拡大を人員の増加だけに頼らずに実現できるかどうかです。同社は下準備を自動化し、若手メンバーの関与を広げることで確認できるベンダーの範囲を広げようとしています。

出典：Drata