vendor-due-diligence

⚠️ 実験的 — このスキルは、教育および情報提供のみを目的として提供されています。法的助言を構成するものではありません。利用に関する責任はすべてユーザーが負います。出力に基づいて行動する前に、資格を有する法律の専門家に相談してください。

ベンダーデューデリジェンススキル

概要

IT サービスプロバイダー、テクノロジーベンダー、サードパーティパートナーを評価するための、本番環境で利用可能なフレームワークです。3 段階の評価（初期スクリーニング、詳細評価、最終評価）、重要サービスの重み付けに対応した 6 つの側面での多要素リスクスコアリング、8 つのフレームワークの規制コンプライアンスチェックリスト、ベンダー比較マトリックス、早期警戒指標による継続的なモニタリングを提供します。テクノロジーベンダーを評価する調達チーム、法務担当者、IT セキュリティ担当者、コンプライアンス担当者向けに設計されています。

目次

• ツール
• リファレンスガイド
• ワークフロー
• トラブルシューティング
• 成功基準
• 対象範囲と制限事項
• アンチパターン
• ツールリファレンス

最初に確認すること

ベンダーをスコアリングする前に、以下の情報を確認してください。不明または曖昧な項目があれば、推測せずに質問してください。

• サービスが重要／不可欠かどうか — --critical フラグを指定すると、セキュリティとコンプライアンスの重みが 2 倍になります。これにより総合スコアが変わり、承認／却下の推奨結果が覆る可能性があります
• 適用される規制フレームワーク — GDPR、DORA、NIS2、SOX、PCI DSS、ISO 27001/SOC 2、HIPAA、FedRAMP — どのコンプライアンスチェックリストを実行するかを決定します
• 質問票への回答と独立した証拠 — 6 つの側面のスコアです。自己申告データのみではスコアが過大になるため、SOC 2／ペネトレーションテスト／財務情報の証拠によって裏付けられているかを確認してください

中断ルール：出力に最も影響する 2～3 項目だけを質問してください。ユーザーが「そのまま作成して」と言った場合は、作業を進め、評価の冒頭に前提条件を記載してください。

ツール

1. ベンダーリスクスコアラー（scripts/vendor_risk_scorer.py）

質問票への回答に基づき、6 つのリスク側面でベンダーをスコアリングします。重要サービスには 2 倍の倍率を適用した加重総合スコアを算出します。リスクヒートマップと総合的な推奨結果を生成します。

# Score a vendor from questionnaire responses
python scripts/vendor_risk_scorer.py vendor_responses.json

# JSON output for dashboards
python scripts/vendor_risk_scorer.py vendor_responses.json --json

# Flag as critical service (2x weight on security + compliance)
python scripts/vendor_risk_scorer.py vendor_responses.json --critical

2. ベンダー比較（scripts/vendor_comparison.py）

複数のベンダーリスク評価 JSON を受け取り、並列比較マトリックスを生成します。総合スコアでベンダーを順位付けし、根拠とともに優先ベンダーを推奨します。

# Compare two vendors
python scripts/vendor_comparison.py vendor_a.json vendor_b.json

# Compare multiple vendors with JSON output
python scripts/vendor_comparison.py vendor_a.json vendor_b.json vendor_c.json --json

# Compare with critical service weighting
python scripts/vendor_comparison.py vendor_a.json vendor_b.json --critical

リファレンスガイド

リファレンス	目的
references/risk_assessment_framework.md	6 つの側面でのスコアリングシステム、重み付け方法、総合スコアの解釈
references/regulatory_checklists.md	GDPR、DORA、NIS2、SOX、PCI DSS、ISO 27001/SOC 2、HIPAA、FedRAMP 用の事前作成済みコンプライアンスチェックリスト
references/monitoring_framework.md	四半期レビュー、早期警戒指標、KPI 指標、リスク軽減策、オンボーディングチェックリスト

ワークフロー

ワークフロー 1：ベンダー評価の 3 段階プロセス

フェーズ 1：初期スクリーニング（1～5 日目）

1. ベンダーの基本情報（会社概要、財務状況、認証）を収集します
2. 暫定データを使って vendor_risk_scorer.py を実行し、初期リスクを分類します
3. regulatory_checklists.md から該当する規制の枠組みを確認します
4. 判定ゲート：詳細評価に進むか、早期に却下するかを決定します

フェーズ 2：詳細評価（5～15 日目）

1. 6 つすべてのリスク次元を網羅する包括的なベンダー質問票を送付します
2. 質問票への回答がすべて揃った状態で vendor_risk_scorer.py を実行します
3. 該当するすべての枠組みについて、規制コンプライアンスのチェックリストを実施します
4. 裏付け資料（SOC 2 レポート、ペネトレーションテストの結果、財務資料）を依頼します
5. 参照先の確認と公開記録の調査を実施します

フェーズ 3：最終評価（15～20 日目）

1. 複数のベンダーを評価する場合は vendor_comparison.py を実行します
2. 各次元の内訳を含むベンダーリスクレポートを作成します
3. risk_assessment_framework.md に基づいて、ギャップと必要な緩和策を文書化します
4. 推奨事項（承認／条件付き承認／却下）を提示します
5. 承認された場合は、monitoring_framework.md に基づいてオンボーディングチェックリストを作成します

ワークフロー 2：競合ベンダーの選定

1. 要件を定義する -- 必須条件と望ましい条件を文書化し、リスク次元に対応付けます
2. 候補をスクリーニングする -- すべての候補について初期スコアリングを実施し、重大なリスクがある候補を除外します
3. 最終候補を詳しく評価する -- 上位 2～3 社のベンダーについて、6 次元すべてを評価します
4. 比較する -- 最終候補の評価に対して vendor_comparison.py を実行します
5. 交渉する -- リスク評価の結果を契約交渉で有利に活用します（tech-contract-negotiation スキルと連携します）
6. 選定してオンボーディングする -- 優先ベンダーを承認し、monitoring_framework.md に従ってモニタリングを設定します

ワークフロー 3：ベンダーの継続的なモニタリング

1. 四半期レビュー -- 最新データを使ってベンダーを再採点し、ベースラインと比較します
2. イベント発生時のレビュー -- M&A、情報漏えい、規制の変更、または経営陣の交代があった際に再評価します
3. 年次再評価 -- 最新の質問票を使って、6 次元すべてを全面的に再評価します
4. 早期警告への対応 -- monitoring_framework.md の指標を監視し、定義された経路に従ってエスカレーションします
5. 終了計画 -- リスクがしきい値を超えた場合、終了条項とデュアルソース戦略を発動します

トラブルシューティング

問題	原因	解決策
すべての次元のスコアが 1（低リスク）になる	ベンダーが質問票で自己申告を楽観的に行った	SOC 2 レポート、ペネトレーションテストの結果、財務関連の提出書類と照合し、証拠に基づいてスコアを調整します
総合スコアに既知のセキュリティ上の問題が反映されない	重要なサービスに対してセキュリティ次元の重み付けが設定されていない	--critical フラグを付けて再実行し、セキュリティとコンプライアンスの次元に 2 倍の重みを適用します
比較マトリックスですべてのベンダーが同点になる	スコアリングの入力が似すぎているか、大まかすぎる	より詳細なデータを依頼し、リスク評価フレームワークの 5 段階のスコアリング基準を使って差を明確にします
業界に対して規制チェックリストが不完全に見える	事前に用意されている枠組みが 8 種類のみ	業界固有の要件を追加項目として加え、チェックリストをカスタマイズします
ベンダーが質問票への回答を拒否する	ベンダーが評価を過度な負担と捉えている	サービス範囲に関連する次元のみを共有し、部分的な代替資料として SOC 2／ISO 27001 レポートを受け入れることを提案します
四半期間でリスクスコアが大幅に変化した	重大な事象（情報漏えい、M&A、経営陣の交代）が発生した	これは想定される動作です。きっかけとなった事象を記録し、イベント発生時のレビュープロセスに従います

成功基準

• 評価の完全性：すべてのベンダー評価で、根拠に基づくスコアを用いて6つすべてのリスク領域を評価します。
• スケジュールの遵守：評価の90％で、3段階の評価を20営業日以内に完了します。
• リスク予測の精度：高リスク／重大リスクと判定されたベンダーでは、12か月間に低リスクのベンダーと比べて3倍のインシデントが発生します。
• 規制対応の網羅性：評価の95％で、該当する規制チェックリストをすべて完了し、対象フレームワークの見落としをゼロにします。
• 比較の一貫性：別の評価者が再評価した場合も、ベンダー比較の順位が安定しています（評価者間信頼性 > 85％）。
• モニタリングの遵守：四半期レビューをすべて予定どおりに完了し、所見を文書化します。
• 早期警告の検出：ベンダーインシデントの80％以上について、モニタリングで少なくとも1つの早期警告指標が事前に検出されています。

対象範囲と制限事項

このスキルの対象範囲：

• 重要サービスの重み付けを用いた、6つの領域（財務、運用、コンプライアンス、セキュリティ、評判、戦略）にわたる多要素リスクスコアリング
• GDPR、DORA、NIS2、SOX、PCI DSS、ISO 27001/SOC 2、HIPAA、FedRAMP の規制コンプライアンスチェックリスト
• 総合順位と領域ごとの分析を用いた、ベンダーの並列比較
• 四半期レビュー、早期警告指標、エスカレーション経路を含む継続的なモニタリングフレームワーク
• リスクレベル別のリスク軽減策とオンボーディングチェックリスト

このスキルの対象外：

• リアルタイムのベンダーモニタリングダッシュボード、自動データフィード、GRC プラットフォームとの連携（すべての入力は JSON ファイル経由です）
• ベンダーの財務監査、フォレンジック会計、詳細な財務諸表分析（finance/financial-analyst スキルを使用してください）
• 物理的セキュリティ評価、現地施設監査、ハードウェアサプライチェーンの検証
• ベンダー契約の法務レビューや契約条件の交渉（legal/tech-contract-negotiation スキルを使用してください）
• リスク評価の範囲を超える、ベンダー関係管理、パフォーマンス最適化、戦略的パートナーシップの構築

アンチパターン

アンチパターン	失敗する理由	より良いアプローチ
ベンダーの自己評価アンケートだけに頼る	ベンダーはリスクを過少申告し、独立した検証も行われません	アンケートの回答を SOC 2/ISO 27001 レポート、ペネトレーションテストの結果、公開記録と照合します
サービスの種類に関係なく、すべての領域に同じ重みを適用する	給与計算ベンダーとマーケティングツールでは、リスクプロファイルが異なります	重要サービスには --critical フラグを使用し、サービス分類に基づいて領域の重みを調整します
デューデリジェンスを一度実施しただけで、その後見直さない	M&A、情報漏えい、市場の変化により、ベンダーのリスクは時間とともに変化します	モニタリングフレームワークに従って四半期ごとに監視し、年次で再評価します
リスク軽減策を考慮せず、1つの領域が高リスクであることを理由にベンダーを却下する	対応可能な問題を抱える有望なベンダーまで排除してしまいます	ギャップ分析の重大度分類を使用し、最終決定の前に重大な懸念事項への改善計画を求めます
単独調達で比較マトリクスの使用を省略する	市場標準に照らしてベンダーを評価する機会を逃します	業界ベンチマークまたは過去のベンダー評価と比較し、リスクの基準値を設定します

ツールリファレンス

scripts/vendor_risk_scorer.py

6つのリスク領域でベンダーを評価し、総合的な推奨事項を生成します。

usage: vendor_risk_scorer.py [-h] [--json] [--critical]
                              input_file

positional arguments:
  input_file            Path to JSON file with vendor questionnaire responses

options:
  -h, --help            Show help message and exit
  --json                Output results as JSON
  --critical            Apply 2x weight to security and compliance
                        dimensions (for critical/essential services)

出力： 6領域のリスクスコア（各1～5）、重み付けされた複合スコア、リスクレベル分類（低／中程度／高／重大）、総合的な推奨事項（承認／条件付き承認／却下）、領域ごとの所見、ギャップ分析。

scripts/vendor_comparison.py

複数のベンダーを並べて比較し、推奨ベンダーを選定します。

usage: vendor_comparison.py [-h] [--json] [--critical]
                             input_files [input_files ...]

positional arguments:
  input_files           Paths to vendor assessment JSON files (minimum 2)

options:
  -h, --help            Show help message and exit
  --json                Output results as JSON
  --critical            Apply 2x weight to security and compliance
                        dimensions (for critical/essential services)

出力： 並列比較マトリックス、総合スコアによるランキング、ディメンションごとの強み・弱み分析、根拠を添えた推奨ベンダーの選定、リスク差分のハイライト。