協力組織のBCPのチェック

次に図2は、外部のサービスプロバイダーにおける、事業継続に関わるような事象に対する準備状況をどのようにテストするかを尋ねた結果である（注4）。

写真を拡大 図2. 外部のサービスプロバイダーにおける準備状況をどのようにテストするかを尋ねた結果（複数回答）（出典：IAA / Investment Management Compliance Testing Survey）

上位2位は「質問票によるデューデリジェンス」（Due diligence questionnaire）と「サービスプロバイダーのBCPの要約をレビューする」（Review a summary of the service provider's BCP）となっている。ここで「デューデリジェンス」という用語は、一般には企業や資産の価値やリスクの評価という意味で用いられることが多いが、ここではより広い意味で、詳細な調査や状況の確認という意味で用いられていると思われる（注5）。3位には「独立した機関よる、内部監査の保証報告書」（Assurance report on controls by an independent party）（注6）が入っているが、これもコンプライアンスに関する調査だからこそ設けられている選択肢であろう。

なお、101件の回答があった「認定」（Certifications）については、具体的にどのような認定なのかは特に記載がない。BCPでcertificationと言えば、ISO22301による認証を連想された方も少なくないと思われるが、米国においてISO22301 による認証取得件数はさほど多くないので、情報セキュリティーに関する規格である ISO/IEC27001や、他のさまざまな認定制度によるものが混在していると考えられる（注7）。

今回紹介した報告書は、投資顧問業という特定の業種において、かつコンプライアンス担当者を対象とした調査結果に関するものであるため、回答にも業種や専門性が反映されたユニークな調査結果となっている。ユニーク過ぎて他の業種の方々には参考にならないと思われるかもしれないが、少なくとも銀行や証券、保険などの金融業界においては、日米の違いこそあれ、通じるものがあるのではないだろうか。

また、本稿ではBCPに関する部分のみを紹介させていただいたが、本報告書には他にも共通報告基準（Common Reporting Standard／CRS）、贈収賄防止、サイバーセキュリティー、データ保護などさまざまな観点からコンプライアンスへの取り組み状況を調査した結果がまとめられている。米国の金融業界で、コンプライアンスへの取り組みがどのように求められているのか、また実践されているかを知ることのできる資料として、利用価値が高いのではないかと思う。

■ 報告書本文の入手先（PDF 74ページ／約1.8MB）
https://www.investmentadviser.org/publications/investment-testing

注1）原文では次のような設問となっている：Which of the following does your BCP address? (check all that apply) 

注2）「blackout」は「停電」と訳されることが多いが、ここでは停電（electrical outage）と別にblackoutと書かれているので、恐らく外部との間で通信ができなくなるような状態を指していると思われる。 

注3）原文では次のような選択肢となっている：Transitioning of client assets to another firm in connection with winding down operations (i.e., dissolution) 

注4）原文では次のような設問となっている：How do you test your critical third-party service providers’ readiness for a BCP event? (check all that apply)

注5）英語圏の事業継続に関する文献では、このような意味で「due diligence」という用語が使われることがある。

注6）外部に委託している業務に係る内部統制の状況を把握し、その有効性を評価したもので、一定の基準に基づいて公認会計士などが作成する。

注7）ISOによる2018年末の時点でのデータ（https://www.iso.org/the-iso-survey.html）によると、米国で ISO22301の認証を取得した組織は30しかない。ちなみに同データで日本の認証取得組織数は68、英国は290である。ISO/IEC27001に関しても、日本が5093、英国が2444なのに対して米国は911しかない。