Fourth-Party Risk
Fourth-Party Risk
Fourth-Party Risk（第四者リスク（委託先の委託先のリスク））とは
ひとことで
自社の委託先（第三者）がさらに利用している再委託先やクラウド事業者など（第四者）に起因するリスク。自社と直接の契約関係がないため、把握や管理が難しい。
たとえると
ケーキ屋さんに注文したら、そのお店が別の工場から生地を仕入れていた、というようなものです。工場で問題が起きると、注文したお店がいくら丁寧でも、ケーキは届きません。
現場ではこう使う
ある会社が利用する給与計算サービスで障害が起きました。原因は、そのサービス会社が使っていたデータセンター事業者の障害でした。会社は委託先管理を見直し、重要な再委託先の開示と、再委託先の変更時の通知を契約に盛り込みました。
試験のポイント
EXAM POINTCISMでは、委託先管理の範囲を第四者まで広げ、契約で再委託の条件、開示、通知、監査権を確保する考え方が問われます。CISAでは、SOC報告書で再委託先がどのように扱われているか（範囲に含めるインクルーシブ方式か、除外するカーブアウト方式か）を確認する視点が重要です。
混同しやすい用語との違い
- SOC Report委託先の統制に関する保証報告書。再委託先が範囲外の場合は別途確認が必要
- Shared Responsibility Modelクラウド事業者と利用者の責任分担。第四者リスクは委託の連鎖から生じるリスク