UiPath、DrataのTPRM Agentで評価基準に基づくサードパーティーリスク管理を形づくる

Fortune 500の企業を含む1万社を超える顧客を持つエンタープライズオートメーションのプラットフォーム企業UiPathは、DrataのTPRM Agentのデザインパートナープログラムに参加し、評価基準を軸に証跡を起点とするサードパーティーリスク管理（TPRM）の形をDrataの製品チームとともに作り上げています。ある時点の質問票に頼るレビューから、検証できる事実に基づく一貫したレビューへの移行を目指す取り組みです。同社は成長しながら顧客の信頼とデータを守ることを使命としており、GRC（ガバナンス、リスク、コンプライアンス）のチームはセキュリティー部門の中で第2の防衛線として、コントロールのレビュー、リスクの低減、顧客に約束した基準を守ることによる営業の支援を担っています。

導入前：ある時点の確認にとどまるレビュー

ベンダーと技術の広がり、特にAIの台頭によって、同社のTPRMの取り組みへの要求は急増しました。GRC責任者のSheron Chakalakal氏は、TPRMを絶えず変化し続ける仕組みと捉えています。新しいベンダーが次々と加わり、既存のベンダーも大きな変更を加え、AIなどの技術がリスクの特性をリアルタイムに塗り替えていきます。

従来のサードパーティーのレビューは、質問票、監査レポート、ベンダーとのやりとりに頼っており、継続的なリスクの把握ではなく、ある時点の状態を写し取るものでした。TPRMを担当するシニアテクニカルプログラムマネージャーのAlin Raicu氏のチームは、SOC 2のレポートなどの保証報告書や詳しいセキュリティー文書を読み、重要な点を自社のリスクに基づくレビューのプロセスに反映しています。数百のベンダーを抱え、概念実証も頻繁に行われる中で、レビューには時間がかかり、ベンダーのオンボーディングの妨げになることもありました。重要なベンダーの場合、重要度とベンダーが出す資料の量によって、数日から1週間かかることもあるといいます。

Chakalakal氏は、TPRMの最大の目詰まりはレビューの一貫性と質、そしてサプライチェーンに独自の複雑さを持ち込む全てのベンダーを一貫して評価するために保たなければならないペースだと述べています。実際には、重要なベンダーを最も深く確認しつつ、中程度や低いリスクのベンダーにも意味のある範囲で目を配るため、チームの手は大きく引き伸ばされていました。

選定の判断軸：評価基準に基づき、最終判断は人が担う

同社は既にコントロールの継続的モニタリングでDrataと協力しており、Chakalakal氏はこの取り組みを大成功だったと評価しています。新しいTPRMの方法に取り組む機会が訪れたとき、同社は明確な目的を持ってデザインパートナーとして参加しました。ある時点の質問票に頼るレビューから、体系的で評価基準に基づくレビューに移ること、勘に頼る確認から検証できる事実に基づく評価に移ること、そしてベンダーと技術、特にAIの変化の規模と速さにTPRMのチームが追いつく方法を探ることです。

同社がDrataのAIへの取り組み方に引かれたのは、自社の具体的な要件に照らして評価基準と証跡を起点にベンダーを評価しながら、最終的な判断は人が担う形を取っている点でした。最高情報セキュリティー責任者（CISO）のScott Roberts氏は、サードパーティーのリスクはあらゆるCISOにとって最も差し迫った課題の1つであり、Agentic TPRM Assessmentはサードパーティーリスク管理の運用を根本から変え、厳格さ、一貫性、規模をもたらすと述べています。

導入効果

質問票の回答をうのみにせず、証跡で検証する

TPRM Agentは、ベンダーの質問票、監査レポート、セキュリティー関連の資料を読み、文書の具体的な記述を引き出して、同社の要件と基準に対応付けます。不足している点については、ベンダーに確認すべきことを作成します。Chakalakal氏は、質問票を読んで書かれたことを受け入れるのではなく、証跡を起点に事実を検証し、ベンダーの本当のリスクの特性を確かめられる点が役に立つと述べています。GRCチームにとっては、偏りを減らし、担当者の疲弊を和らげ、増え続けるベンダーに対してより客観的で再現性のあるリスクの順位付けを可能にするための方法です。

製品への反映の速さと、自社のプロセスの改善

同社は既に有望な手応えを得ています。Chakalakal氏は、Drataのチームが多くのフィードバックを受け入れて製品チームに持ち帰り、自分たちの答えを返してくれる、よいやりとりができていると話しています。Raicu氏は、Drataのチームが必要な機能だけでなく、同社が日々実際にどう動いているかを理解しようとした点が印象的で、それが自社のプロセスの改善にもつながったと振り返っています。

レビューの期間を数日から数分へ短縮する見通し

連携が進むにつれて、同社の経営層と実務担当者のチームは、重要なベンダーのレビューの期間を数日から数週間かかっていた状態から数分に短縮すること、中程度や低いリスクのベンダーを含む全てのベンダーに一貫したレビューを広げること、GRCとリスクのチームをより価値の高い仕事に振り向けることに明確な機会を見ています。Chakalakal氏は、Agentic TPRM AssessmentがTrust Centerの最新の証跡を取り込んで評価基準に基づく評価を作り、ベンダーとの煩雑なやりとりをなくすことで、レビューを速め、調達チームが自信を持って速く動けるようになると期待しています。Raicu氏が目指すのは、目詰まりにならずにより多くのベンダーと概念実証を支え、事業の障害ではなくパートナーとして見られることです。

この導入事例からの学び

同社の事例は、効果の全体像がまだ見えていない段階での取り組みです。同社は、AIを活用したサードパーティーリスク管理のあるべき姿を設計する先頭に立つことを選んでおり、その前提として、評価基準と証跡に基づく評価と、人が最終判断を担う形を重視しています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、ベンダーの回答をそのまま受け入れていないかどうかです。同社は質問票の回答を証跡で検証する形を目指しています。2つ目は、重要度の低いベンダーまでレビューの一貫性を保てているかどうかです。同社は重要なベンダーを優先する中で、中程度や低いリスクのベンダーへの目配りに手が回りにくくなっていました。3つ目は、オンボーディングされないかもしれないベンダーの評価に、どれだけの時間を費やしているかです。Raicu氏は、概念実証の段階のベンダーの評価に大きな時間をかけることの負担を指摘しています。

出典：Drata