3.2.6. 調達リスク分析

1. 概要

　調達リスク分析とは、組織がシステムやサービス、製品などを外部から調達する際に発生する可能性のあるリスクを特定、分析、評価し、適切な対策を立てるプロセスです。情報システム開発においては、ハードウェア、ソフトウェア、人材などの調達において様々なリスクが存在します。調達リスク分析は、これらのリスクを事前に把握し、対策を講じることで、プロジェクトの成功確率を高め、企業価値を保護するために重要な役割を果たします。特に内部統制、法令遵守、CSR（企業の社会的責任）、グリーン調達などの観点からのリスク管理が求められており、システム企画段階から適切なリスク分析と対策立案が必要です。

2. 詳細説明

2.1. 調達リスクの種類

　調達リスクは、その性質に応じて以下のように分類することができます。

2.1.1. 品質リスク

　調達した製品やサービスが要求された品質基準を満たさない可能性があるリスクです。例えば、ソフトウェアの欠陥、ハードウェアの不具合、サービス品質の低下などが該当します。

2.1.2. 納期リスク

　調達品が契約上の納期に間に合わない可能性があるリスクです。サプライヤーの生産遅延、物流の問題、自然災害などが原因となることがあります。

2.1.3. 費用超過リスク

　調達予算を超える費用が発生する可能性があるリスクです。価格変動、追加要件の発生、為替変動などが原因となることがあります。

2.1.4. 要員スキルに関するリスク

　調達した人材や外部委託先のスキルが期待したレベルに達していない可能性があるリスクです。技術力不足、経験不足、コミュニケーション能力の欠如などが該当します。

2.1.5. コンプライアンスリスク

　法令違反や規制不遵守に関するリスクです。個人情報保護法違反、著作権侵害、労働関連法規違反などが該当します。

2.1.6. サプライチェーンリスク

　調達先の経営状況悪化や倒産、自然災害による供給停止などのリスクです。単一のサプライヤーへの依存度が高い場合、このリスクは特に大きくなります。

リスクの種類	具体例	対応策の例
品質リスク	ソフトウェアの欠陥、動作不良	品質基準の明確化、受入テストの実施
納期リスク	調達品の納入遅延	マイルストーン管理、複数調達先の確保
費用超過リスク	追加要件による予算超過	契約条件の明確化、変更管理プロセス
要員スキルリスク	技術力不足、経験不足	スキル要件の明確化、教育・研修の実施
コンプライアンスリスク	個人情報漏洩、法令違反	コンプライアンス監査、教育・啓発
サプライチェーンリスク	調達先の倒産、災害による供給停止	サプライヤー評価、代替調達先の確保

表1：調達リスクの種類と具体例

2.2. リスク分析の観点

2.2.1. 内部統制の観点

　内部統制とは、企業が業務を適正かつ効率的に遂行するための仕組みです。調達プロセスにおいても、不正や誤りを防止・発見するための内部統制が必要です。具体的には、調達先の選定基準の明確化、調達プロセスの透明性確保、複数人による承認プロセスなどが重要です。

2.2.2. 法令遵守（コンプライアンス）の観点

　調達活動においては、関連する法令や規制を遵守することが求められます。関連法規としては、独占禁止法、下請法、個人情報保護法、知的財産権関連法などがあります。これらに違反した場合、罰金や業務停止などの行政処分を受けるリスクがあります。

2.2.3. CSR（企業の社会的責任）調達の観点

　CSR調達とは、環境や社会に配慮した調達活動を行うことです。労働環境、人権問題、環境負荷などに配慮した調達先を選定することが求められます。CSR調達を怠ると、企業イメージの低下や消費者からの不買運動などのリスクが発生する可能性があります。

図１：CSR調達のチェックポイント

2.2.4. グリーン調達の観点

　グリーン調達とは、環境負荷の少ない製品・サービスを優先的に調達することです。環境マネジメントシステム（ISO14001など）の認証取得企業からの調達や、リサイクル材料を使用した製品の調達などが該当します。グリーン調達を推進することで、環境規制対応や企業イメージ向上などのメリットがあります。

flowchart TD
    A[リスク特定] --> B[リスク分析]
    B --> C[リスク評価]
    C --> D[リスク対応計画]
    D --> E[実施・モニタリング]
    E --> A
    
    subgraph "リスク特定"
        A1[過去の事例分析] -.-> A
        A2[専門家の意見聴取] -.-> A
        A3[チェックリスト活用] -.-> A
    end
    
    subgraph "リスク分析"
        B1[発生確率の分析] -.-> B
        B2[影響度の分析] -.-> B
    end
    
    subgraph "リスク評価"
        C1[リスク値の算出] -.-> C
        C2[優先順位の決定] -.-> C
    end
    
    subgraph "リスク対応計画"
        D1[回避戦略] -.-> D
        D2[軽減戦略] -.-> D
        D3[転嫁戦略] -.-> D
        D4[受容戦略] -.-> D
    end
    
    subgraph "実施・モニタリング"
        E1[対応策の実施] -.-> E
        E2[効果の測定] -.-> E
        E3[是正措置] -.-> E
    end
    
    classDef process fill:#f9f,stroke:#333,stroke-width:2px;
    classDef subproc fill:#bbf,stroke:#33,stroke-width:1px;
    
    class A,B,C,D,E process;
    class A1,A2,A3,B1,B2,C1,C2,D1,D2,D3,D4,E1,E2,E3 subproc;

図２：調達リスク分析のプロセス

2.3. リスク分析と評価の手法

2.3.1. リスク特定

　潜在的なリスクを洗い出すプロセスです。過去の事例分析、専門家の意見聴取、チェックリストの活用などの手法があります。

2.3.2. リスク分析

　特定されたリスクの発生確率と影響度を分析するプロセスです。定性的分析（高・中・低などの区分）や定量的分析（金額換算など）の手法があります。

2.3.3. リスク評価

　分析結果に基づき、リスクの優先順位を決定するプロセスです。一般的には「発生確率×影響度」の積でリスク値を算出し、高いものから対応します。

図３：リスクマトリクス

2.3.4. リスク対応計画

　評価結果に基づき、リスクへの対応策を立案するプロセスです。リスク対応の基本戦略には以下があります。

回避：リスクを伴う活動を行わない
軽減：リスクの発生確率や影響度を下げる対策を講じる
転嫁：保険加入や契約条項によりリスクを第三者に移転する
受容：リスクを受け入れ、発生時に対応する

リスク対応戦略	適用条件	具体例
回避	影響が極めて大きく、対応が困難なリスク	リスクの高い技術・調達先の使用を避ける
軽減	対策によりリスクを低減できるリスク	契約条件の厳格化、監視・検査の強化
転嫁	第三者に移転可能なリスク	保険加入、損害賠償条項の導入
受容	影響が小さいか、対応コストが高すぎるリスク	発生時の対応計画を準備し、リスクを受け入れる

表2：リスク対応戦略の選択基準

3. 応用例

3.1. 大規模情報システム開発プロジェクトでの調達リスク分析

　大手金融機関Aが基幹システムの刷新プロジェクトを実施する場合を考えます。このプロジェクトでは、ハードウェア、ソフトウェア、開発ベンダー、保守サービスなど多岐にわたる調達が必要です。

　Aは、まず調達リスク分析チームを設置し、過去の事例や業界動向を調査しました。その結果、以下のリスクが特定されました。

品質リスク：新技術採用による不具合発生リスク
納期リスク：複数ベンダー間の連携不足による遅延リスク
費用超過リスク：要件変更による追加コスト発生リスク
要員スキルリスク：新技術に対応できる人材不足リスク
コンプライアンスリスク：個人情報保護法違反リスク
サプライチェーンリスク：主要ベンダーの経営悪化リスク

　これらのリスクに対して、発生確率と影響度を5段階で評価し、リスクマトリクスを作成しました。その結果、「要員スキルリスク」と「コンプライアンスリスク」が最も優先度の高いリスクと判断されました。

　対応策として、以下を実施しました。

要員スキルリスク対策：契約時に要員のスキル証明書提出を義務付け、定期的なスキル評価の実施
コンプライアンスリスク対策：個人情報取扱監査の定期実施、セキュリティ認証（ISMS等）取得ベンダーのみを選定

　これらの対策により、プロジェクトは予定通り進行し、大きなトラブルなく完了することができました。

3.2. グローバル製造業におけるCSR調達リスク分析

　多国籍製造企業Bは、世界各国から部品を調達しています。近年、サプライチェーンにおける人権問題や環境問題が注目される中、CSR調達リスクの分析と対応を強化しました。

　Bは、まず全調達先に対してCSRセルフアセスメント調査を実施し、労働環境、環境対応、コンプライアンス体制などを評価しました。その結果、一部の新興国サプライヤーにおいて、以下のリスクが特定されました。

労働環境リスク：長時間労働や安全基準不遵守
環境リスク：有害物質の不適切な処理
贈収賄リスク：現地での不適切な商習慣

　Bはこれらのリスクに対して、以下の対応策を実施しました。

ハイリスクサプライヤーへの現地監査の実施
サプライヤー行動規範の策定と遵守の要請
サプライヤー向けCSR研修プログラムの提供
代替サプライヤーの開発

　これらの取り組みにより、サプライチェーン全体のCSRリスクが低減され、持続可能な調達体制が構築されました。

4. 例題

例題1

　次のうち、調達リスク分析において考慮すべき要素として、最も適切でないものはどれか。

調達先企業の過去3年間の財務状況
調達品の市場における価格動向
調達担当者の個人的な好み
調達先の環境マネジメントシステム認証取得状況

解答と解説

【解答】c
【解説】調達リスク分析においては、客観的な基準に基づいた分析が必要です。調達担当者の個人的な好みは主観的要素であり、適切なリスク分析の要素としては不適切です。a（財務状況）はサプライチェーンリスク、b（価格動向）は費用超過リスク、d（環境認証）はグリーン調達・CSRリスクの分析において重要な要素です。

例題2

　あるシステム開発プロジェクトにおいて、以下の調達リスクが特定された。リスク値（発生確率×影響度）が最も高いと考えられるものはどれか。

発生確率：低（1）、影響度：極めて高（5）のハードウェア納入遅延リスク
発生確率：中（3）、影響度：中（3）の開発要員スキル不足リスク
発生確率：高（4）、影響度：低（2）の軽微な仕様変更リスク
発生確率：極めて高（5）、影響度：極めて低（1）の消耗品価格上昇リスク

解答と解説

【解答】b
【解説】リスク値は「発生確率×影響度」で計算されます。
a: 1×5=5
b: 3×3=9
c: 4×2=8
d: 5×1=5
したがって、最もリスク値が高いのはbの開発要員スキル不足リスクで、リスク値は9となります。

例題3

　情報システムの調達における内部統制の観点から、最も効果的な対策はどれか。

調達担当者を頻繁に異動させ、特定の取引先との癒着を防止する
調達プロセスの各段階で複数人による承認を必要とする仕組みを導入する
調達は常に最低価格の業者を選定することをルール化する
調達業務は全て調達部門に任せ、他部門は関与しない体制とする

解答と解説

【解答】b
【解説】内部統制の観点からは、不正や誤りを防止・発見するための牽制機能が重要です。複数人による承認プロセスは、単独での不正行為を防止する効果があります。aは業務の継続性や専門性の観点から問題があり、cは品質や納期などの他の要素を無視している点で不適切です。dは部門間の牽制がなくなるため、不正リスクが高まります。

例題4

　CSR調達リスクへの対応として、最も適切な取り組みはどれか。

コスト削減のため、CSR対応が不十分でも低価格の調達先を優先する
国内調達先のみに限定し、海外調達を全て回避する
サプライヤー行動規範を策定し、調達先に遵守を求める
全ての調達において、自社での内製化を進める

解答と解説

【解答】c
【解説】CSR調達リスクへの対応としては、サプライヤー行動規範の策定と遵守要請が一般的で効果的なアプローチです。aはCSRリスクを軽視しており不適切です。bは海外調達全てを避けることは現実的ではなく、グローバルな事業展開を阻害します。dは全ての調達を内製化することは効率性や専門性の観点から現実的ではありません。