ベンダーリスクマネジメント.

TPRM の中でも直接契約する仕入先を対象に、セキュリティ・プライバシー・業務レジリエンスの実践を評価・監督する分野。 サイバーセキュリティの コンプライアンスとフレームワーク カテゴリに属します。

TPRM の中でも直接契約する仕入先を対象に、セキュリティ・プライバシー・業務レジリエンスの実践を評価・監督する分野。

ベンダーリスクマネジメント (VRM) は、組織が直接契約する取引先に対する TPRM の運用面の中核です。一般的には、ベンダー台帳、固有リスクに基づくティアリング(データ機微度・重要度・アクセス範囲)、契約前評価、契約上の義務、定期的な再評価、インシデント対応で構成されます。手段としては、セキュリティ質問票 (SIG、CAIQ)、SOC 2 や ISO 27001 のレビュー、セキュリティレーティング、オンサイトまたはリモート監査などが用いられます。VRM は、集中リスクの低減、違反通知条項の確保、プライバシー・財務・規制上の要件遵守の検証を通じてレジリエンスを高めます。TPRM は n 次取引先や関連会社まで含めて広範ですが、VRM は購買主導の活動が最も多く集積する領域です。

ベンダーリスクマネジメント に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: VRM, サプライヤーリスクマネジメント。