SCRM（サプライチェーンリスクマネジメント）とは？

1拠点に集中した部材調達が、災害によってわずか3日間停止しただけで、グループ全体の売上高が数百億円規模で減少する——。こうした事態を防ぐための継続的な管理プロセスが、サプライチェーンリスクマネジメント（SCRM：Supply Chain Risk Management）です。原材料の調達から製造、流通、最終顧客への配送にいたる一連の供給網において、事業継続を脅かす様々なリスクを事前に特定・評価・監視し、その影響を最小限に抑えます。本記事では、SCRMの基本概念、5大リスク、強靭化への4ステップ、最新のデジタル技術を用いたソリューション、そして自社のリスク管理状況を評価する20項目の自己診断チェックリストを専門的視点から詳しく解説します。

サプライチェーンリスクマネジメント（SCRM）の定義とBCPとの決定的な違い

多くの実務現場において、SCRMは従来のBCP（事業継続計画）と同義として混同されがちですが、そのアプローチと管理範囲には決定的な違いがあります。なぜこの2つを明確に区別し、個別の施策として並行稼働させる必要があるのか、その違いを掘り下げます。

局所的復旧を目指す「BCP」と供給網全体を強靭化する「SCRM」の対比

BCPは、主に自社の特定拠点（工場、本社、倉庫など）が地震や火災などの災害に見舞われた際、いかに短期間で重要業務を復旧させるかという「自社中心の事後対応」に焦点を当てています。これに対し、SCRMは自社だけでなく、サプライヤー、物流パートナーを含む外部の供給網全体を対象とし、全体のしなやかな回復力・強靭性（レジリエンス）を高める「予防と最適化」を目指します。

例えば、月間約1万個の精密部品を生産するTier1（1次）部品メーカーが、部材調達先企業のサーバーを経由したサプライチェーン攻撃を受け、自社の基幹システムがランサムウェアに感染した状況を想定します。自社工場の製造設備自体は物理的に無傷（BCP上の被災はなし）であっても、調達データが暗号化されれば生産ラインは停止を余儀なくされます。

こうした事態を防ぐために、SCRMではNIST SP800-161（連邦情報システムおよび組織のためのサプライチェーンリスクマネジメント）などの国際的なセキュリティフレームワークに準拠し、サプライヤーのセキュリティ体制を事前に評価します。さらに、部品構成を透明化するSBOM（ソフトウェア部品表）を活用してシステム構成を常に可視化し、代替部材を瞬時に手配できるマルチソース化をあらかじめ設計しておくことで、供給網の遮断を最小限にとどめることができます。

比較項目	BCP（事業継続計画）	SCRM（サプライチェーンリスクマネジメント）
管理対象の範囲	自社の特定拠点、社内システム、従業員	原材料調達から最終配送までの供給網全体
主な目的	被災などの緊急事態における「事後復旧」	潜在的リスクの事前抑止と構造的な強靭化
主な対策手段	代替オフィスの確保、手動運用のマニュアル化	マルチソース化、調達網の可視化、代替輸送経路の確保
考慮するリスクの種類	自然災害、火災、自社のITシステム障害など	地政学リスク、サイバー攻撃、物流制限、経営破綻

地政学リスクと法規制強化が引き起こす調達・輸送のボトルネック

企業のグローバル展開や、安全保障環境の変化に伴い、従来の「低コストかつジャストインタイムでの効率的な調達」は、見直しを迫られています。特に、特定国・特定地域からの調達依存は、経済安全保障の観点から最大のボトルネックとなっています。紛争や国家間の摩擦といった地政学リスクが顕在化した場合、特定サプライヤーの代替を数日〜数週間で確保することは不可能です。だからこそ、日頃から複数国への分散調達（チャイナ・プラスワンなど）をSCRMの戦略として組み込んでおく必要があります。

この供給網の危機は、海外調達だけではありません。国内物流においては、2024年の時間外労働の上限規制適用に続き、特積み輸送網の維持やドライバーの高齢化が限界を迎える「物流の2024年・2026年問題」（※トラックドライバーの時間外労働制限に伴う輸送能力の低下）が、調達・輸送を直接脅かす脅威となっています。

例えば、静岡県の生産拠点から岩手県の顧客へ翌朝に納品するルートを想定します。1日の最大運転時間が厳格に制限される状況下では、従来のドライバー1人による直行運行は法令違反となり、ルート自体が破綻します。このような国内配送のボトルネックに対し、あらかじめ中間地点に共同デポを設置して中継輸送を行う仕組みや、鉄道や内航船を活用するモーダルシフトをSCRMの一環として構築しておかなければ、販売機会を失うだけでなく、顧客からの信頼喪失に直結します。

SCRMは単なるリスク対策のコストではなく、外部環境の激変に耐えうる供給網を再設計するための経営戦略です。次のセクションでは、企業が具体的にどのようなリスクに対して網を張るべきなのか、その分類を詳しく見ていきます。

自社供給網を脅かす「5大リスク」と実務に与えるインパクト

グローバル規模に広がるサプライチェーンは、常に断絶の脅威に晒されています。現在、企業が備えるべきリスクは大きく5つに分類され、これらが複合的に発生することで企業の操業停止や巨額の金銭的損失を招きます。まずは自社の供給網に潜む5つのリスクカテゴリと、それがもたらす具体的な実務インパクトを整理します。

リスク分類	具体的な脅威事象	実務への影響・インパクト	主要な対策アプローチ
自然災害リスク	巨大地震、台風による浸水、工場火災	生産拠点・物流拠点の損壊、出荷停止、納期遅延	代替拠点の確保、BCP（事業継続計画）の策定
地政学リスク	軍事衝突、国家間の貿易摩擦、輸出入規制	原材料価格の急騰、関税率の上昇、通関プロセスの長期化	調達先のマルチソース化、ルート変更案の準備
サイバーリスク	委託先へのランサムウェア攻撃、システム乗っ取り	物流システム・在庫データの消失、出荷停止、顧客情報流出	NIST SP 800-161に基づく管理、SBOMの導入
法規・労働リスク	人権侵害（強制労働）、環境規制、法規制に伴う輸送力不足	ブランド価値の失墜、輸入差し止め、運送ドライバー不足による配送遅延	人権デューデリジェンスの実施、適正取引の推進
財務リスク	Tier2/Tier3サプライヤーの倒産、為替急変動	特定部品の調達断絶、調達コストの計画外の上昇	サプライヤー財務分析、購買ポートフォリオの最適化

【物理・地政学】自然災害と拠点の偏り（集中購買 vs 分散購買のジレンマ）

地震や台風などの自然災害、および特定の国や地域を巻き込む地政学リスクは、サプライチェーンの物理的な流れを一瞬にして分断します。特に、特定の国や企業から単一の重要部材を調達する「集中購買」は、スケールメリットによるコスト削減をもたらす一方で、その1拠点が被災した際にサプライチェーン全体を麻痺させる最大の脆弱性となります。

例えば、世界シェアの7割を占める特定地域から、月間5万個の電子制御部品を調達していたTier1自動車部品メーカーのケースを考えます。現地の地震によってサプライヤーの生産が3週間停止した場合、自社工場のラインも停止し、最終顧客である自動車メーカーへの供給義務違反によるペナルティ金や、他社への契約切り替えが発生します。この損失を避けるために、他国や別サプライヤーからの代替調達を急遽試みても、スポット調達価格は通常単価の2倍〜3倍に跳ね上がり、調達費用だけで数千万円規模の追加コストが突発的に発生します。

一方で、リスク分散のためにあらかじめ調達先を分ける「分散購買（マルチソース化）」には、発注単位（ロット）の減少による単価の上昇（約10〜15%の製造原価アップ）や、品質管理体制を複数サプライヤーに対して維持し続けるための工数増加という、コストと強靭性のジレンマが常に生じます。このジレンマを解消するためには、自社の一次取引先（Tier1）だけでなく、その先にあるTier2やTier3の素材レベルまでサプライチェーン全体の可視化を行い、どの部品を「シングルソースで維持し予備在庫を持つべきか」、どの部品を「マルチソース化すべきか」というリスク重要度に応じた選別基準を設けることが実務上、不可欠です。あらかじめBCPと連動した代替調達スキームを構築しておくことで、有事の際の復旧時間を最小限に抑制できます。

【デジタル】NIST SP 800-161に基づく「サプライチェーン攻撃」と情報漏洩

サプライチェーンのデジタル化が進む中で、ITセキュリティの脆弱な「委託先」を媒介としたサプライチェーン攻撃の脅威が急激に高まっています。自社のセキュリティ対策がどれほど強固であっても、調達先の部品メーカー、倉庫管理を委託している3PL事業者、あるいは社内で使用しているソフトウェア開発ベンダーがハッキングされた場合、それらをゲートウェイとして自社の社内システムや機密データに不正アクセスされるリスクがあります。

米国国立標準技術研究所が策定したセキュリティガイドライン「NIST SP 800-161」（サイバーサプライチェーンリスクマネジメント：C-SCRM）では、情報システム自体の防御だけでなく、システムを構成するハードウェアやソフトウェアの製造元、保守・運用サービスを提供するサードパーティ全体に対する継続的な監査とリスク管理が明文化されています。委託先管理を形式的なチェックシートのみで済ませている場合、この規格水準を満たすことはできず、深刻なセキュリティインシデントを見逃すことになります。

実務的な脅威として、1日平均5万個の荷物を処理するEC物流センターの倉庫管理システム（WMS）を提供する外部ベンダーがランサムウェア攻撃を受けたと想定します。システム停止により出荷指示が一切出せなくなり、復旧までの1週間、出荷業務が完全に停止します。さらに、システム経由で保管していた顧客の配送先情報（個人情報）が漏洩した場合、お詫び状の送付や問い合わせコールセンターの特設、さらには損害賠償費用などで、実損額は1億円以上に達するケースもあります。このような事態を防ぐため、調達するソフトウェアのコンポーネント構成をリスト化した「SBOM（ソフトウェア部品表）」の提出をサプライヤーに義務付け、どのコードやコンポーネントに既知の脆弱性があるかをリアルタイムに監視する運用体制が、実務上のグローバルスタンダードになりつつあります。

【法規・労働】経済安全保障推進法と人権デューデリジェンスへの対応義務

近年のサプライチェーンマネジメントは、効率性やコストだけでなく、法的な適合性と倫理的要件を満たさなければ、事業を継続できない環境に変化しています。その代表格が「経済安全保障推進法」の制定と、グローバルで法制化が進む「人権デューデリジェンス」への対応義務です。

日本国内における経済安全保障推進法においては、半導体、蓄電池、重要鉱物、先端電子部品など、国民生活や経済活動に密接に関わる「特定重要物資」を扱う事業者に対し、供給網の強靭化を求めています。該当する部材を扱うメーカーやサプライチェーン管理部門は、自社製品に使用されているすべての部材の原産地、製錬場所、経由国をトレースし、地政学リスクの高い特定の国・地域への依存を意図的に是正するための具体的な調達先の多様化や国内回帰計画を策定して政府へ報告・対応する義務が生じています。これらを把握できていない場合、有事の際の調達制限だけでなく、取引先（特に大手企業）からの監査基準をパスできず、取引から排除される実務的リスクが顕在化しています。

また、サプライチェーン全体（原材料の採掘、中間加工、輸送から最終配送まで）に潜む児童労働や強制労働、過酷な労働環境を排除する「人権デューデリジェンス」の実施も法的な義務や国際取引の基本条件となっています。例えば、月間30万着のアパレル製品を生産・販売する企業が、海外委託先の繊維工場における強制労働の疑いについて第三者から告発された場合、法的な適合性が証明されるまで、主要な貿易国での輸入差し止め措置を受け、シーズン商品の全廃棄や、自社の企業価値の毀損によるブランドイメージ失墜という莫大な経済損失につながります。

これらグローバルな法規制に加えて、国内の実務に極めて直接的なインパクトを与えているのが、労働時間の制限とドライバー不足が重なるトラックドライバーの法規制に伴う輸送力不足問題です。深刻なドライバー不足による輸送能力低下への備えとして、荷主企業には輸送業務の適正化が法的に義務付けられています。荷待ち時間の削減（2時間以内から1時間以内への短縮など）や、不合理な商慣行の改善を行わなければ、貨物を運んでもらえなくなる輸送不能リスクが現実化します。サプライチェーンの維持には、サプライヤーから製造、そしてエンドユーザーへ届ける物流の強靭性確保を、コンプライアンス遵守と表裏一体で進めなければなりません。

サプライチェーンのレジリエンス（回復力）を高める4ステップ

サプライチェーンに潜む脆弱性を排除し、予期せぬ供給途絶から迅速に回復できる体制を構築するためには、概念論ではなく実務に即した具体的なステップが必要です。ここでは、サプライチェーンリスクマネジメント（SCRM）を自社に導入し、機能させるための「特定・評価・対策・継続監視」の4ステップを解説します。

ステップ1・2：サプライチェーンの「可視化」とリスクの定量評価

強靭な供給網を構築するための第1ステップは、自社の製品がどのような経路をたどって製造・配送されているかを把握する「可視化（マッピング）」です。しかし、実務において最も高いハードルとなるのが、直接の取引先である1次サプライヤー（Tier1）の先にある、2次（Tier2）、3次（Tier3）以降の供給網の把握です。サプライヤーが情報開示を拒む、あるいは自社でも把握していないケースが多いためです。

この最難関課題を突破するためには、対話の根拠として経済安全保障の観点や、ICTサプライチェーンの安全基準であるNIST SP800-161などの国際規格を活用します。「サプライチェーン攻撃による事業停止を防ぐための共同防衛」という共通目標を掲げ、機密保持契約（NDA）のもとで部品の構成情報を収集します。近年、ソフトウェア分野で普及しているSBOM（ソフトウェア部品表）の考え方をハードウェアにも応用し、調達している部材の原材料レベルまで遡って構成部品表（BOM）と調達ルートを紐付ける作業を行います。

続く第2ステップでは、可視化した供給網に潜むリスクを定量的に評価します。例えば、月間50,000個の自動車用部品を製造する工場において、特定の電子基板が1拠点からしか調達できない場合、その拠点が被災した際の影響度（損失額）と復旧までにかかる期間（TTR：Time to Recover）を算出します。具体的には、以下の3つの評価軸を用いてリスクの優先度を判定します。

評価軸	測定指標の例	評価アプローチ
金銭的影響度（インパクト）	供給停止時の日次売上損失額	代替不可能な基幹部品が途絶した場合の営業利益の減少幅を算出する。
回復目標時間（TTR）	代替調達や生産ライン復旧に必要な日数	被災または地政学リスクによる港湾閉鎖が発生した際の、代替ルート立ち上げ期間を測定する。
発生確率（ハザード）	自然災害発生率、サプライヤーの財務健全性	ハザードマップや信用調査データを基に、その地域・企業でトラブルが発生する蓋然性をスコア化する。

ステップ3・4：代替調達先（マルチソース化）の確保と監視体制の定着

リスクの優先順位が確定した後は、第3ステップである「対策（リスク低減措置）」に移ります。ここでの主軸は、特定部品の調達先を複数に分散するマルチソース化（デュアルソーシングなど）です。調達シェアを「A社：70%、B社：30%」のように分散しておくことで、片方の供給が停止した際でも完全に操業がストップする事態を防ぎ、BCP（事業継続計画）の実効性を担保します。

この対策は、部品の調達だけではなく「輸送ルート」に対しても行う必要があります。トラックドライバーの労働時間規制強化に伴う、段階的に深刻化する長距離輸送のキャパシティ低下への対応として、単一の陸上輸送ルートだけでなく、JR貨物を利用した鉄道輸送や、内航船を活用した海上輸送を組み合わせるモーダルシフトをあらかじめ検証・契約しておくことが、物流の途絶を防ぐ実践的な対策となります。

最後の第4ステップは、対策した状態を維持するための「継続的な監視（モニタリング）」です。一度マッピングしたサプライチェーンの構造やリスク値は、サプライヤーの移転や財務状況の変化、気象災害などによって日々変動します。そのため、四半期に一度の定期的なデータ更新と、有事の際のリアルタイムアラートを受け取れる体制を定着させなければなりません。

しかし、Tier3以降まで広がる数千社に及ぶサプライヤーの動向や、日々世界中で発生する地政学リスクを、表計算ソフトや人の手だけで監視し続けることには限界があります。この監視業務を自動化し、異常発生時に瞬時に代替ルートをシミュレーションするためには、高度なITツールの活用が不可欠となります。

デジタル技術で実現する「攻め」のSCRM最新ソリューション

AI・デジタルツイン・IoTによる供給網のリアルタイム可視化

人手によるExcelベースのサプライチェーン管理は、情報更新のタイムラグや属人化が原因で、災害や遅延発生時の初期対応を遅らせます。例えば、部品点数が数千点を超える製造業では、調達先のTier 2（二次取引先）やTier 3（三次取引先）で発生した稼働停止を把握するまでに数日を要することがあり、これでは臨機応変なマルチソース化やBCP（事業継続計画）の発動は困難です。この課題を解決するのが、AI、デジタルツイン、IoTを活用したリアルタイムの可視化技術です。

最新のサプライチェーン・コントロールタワーは、仮想空間上に自社の物理的な供給網を再現する「デジタルツイン」を構築します。ここにIoTセンサーから得られる輸送車両の位置情報や港湾のコンテナ滞留状況、さらにはSNSや気象データから解析した地政学リスクや自然災害の兆候をリアルタイムで統合します。AIがこれらのデータを基に「どの部品の調達が何日遅れ、生産ラインにどう影響するか」を自動でシミュレーションし、代替ルートや代替サプライヤーの選択肢を瞬時に提示します。

物流現場の視点において、このリアルタイム性は、長距離トラックの運行制限に伴う配送リードタイムの制約に対する解決策としても機能します。運行データを常時監視することで、配送遅延を事前に察知し、中継輸送や鉄道・内航船へのモーダルシフトを即座に手配する柔軟な復旧力が確保できます。

ツール導入を検討する際は、自社の供給網の特徴や管理レベルに応じて、最適なソリューションを選定する必要があります。

選定の軸	主な評価基準	重視すべき機能	対象となる主なリスク
現場データの連携力	WMSやTMS、GPS端末とAPI接続し、リアルタイムで輸送・在庫状況を反映できるか	IoTマルチコネクティビティ、動態管理機能	物流寸断、運行遅延
シミュレーション精度	サプライヤーの多重構造を可視化し、調達停止時の影響度をAIで予測できるか	デジタルツイン、シナリオ分析機能	地政学リスク、工場被災
意思決定の迅速性	異常検知から代替手段（マルチソース化など）の提示までを自動化できるか	AI推奨エンジン、自動アラート配信	急激な変化、供給不足

ソフトウェアの安全性を担保する「SBOM」を活用したITリスク対策

物理的なモノの流れだけでなく、物流ITインフラを狙った「サプライチェーン攻撃」への対策も、現代のシステム強靭化に欠かせません。倉庫管理システム（WMS）や運行管理システムがランサムウェアなどのサイバー攻撃によって停止すれば、物理的な配送網が健在であっても物流全体が完全にストップします。そこで、経済安全保障の観点や、米国NISTが定める「NIST SP800-161」（連邦情報システムおよび組織のためのサイバーサプライチェーンリスクマネジメントガイドライン）への準拠において注目されているのが、SBOM（ソフトウェア部品表）の活用です。

SBOMは、システムやソフトウェアに含まれるすべてのコンポーネントやライブラリ、それらの依存関係を一覧化した構成表です。例えば、オープンソースソフトウェア（OSS）に深刻な脆弱性が発見された際、自社が導入している複数の物流システムやマテハン機器の制御ソフトにそのOSSが含まれているかどうかを、手動でコードを検証していては特定に数週間かかります。SBOMをデータベースと連携して一元管理していれば、検索システムによって該当する脆弱性を持つシステムを数分で特定し、修正パッチの適用やアクセス制限などの防御措置を直ちに行えます。

物流・製造現場における具体的な適用ステップは以下の通りです。

• SBOMの作成と入手：システム開発ベンダーやマテハン機器メーカーに対し、システム納品時にSPDXやCycloneDXなどの国際標準フォーマットに準拠したSBOMの提供を契約書で義務付けます。
• 脆弱性の継続的監視：入手したSBOMデータを専用の管理ツール（GitHub Dependency GraphやSnykなど）に登録し、国家脆弱性データベース（NVD）の最新情報と自動で照合します。
• 代替運用の手順化（BCPとの連携）：サイバー攻撃によって特定の物流システムを一時停止せざるを得ない場合に備え、手書き伝票や代替のスタンドアロンPCによる入出荷作業など、マニュアル運用の手順を定義し、定期的な訓練を実施します。

経済安全保障リスクが高まる中、IT資産の透明性を高め、インシデント発生時の影響範囲を即座に特定できる体制を整えることが、これからの調達・物流部門に求められるセキュリティ対策の基準です。

【実務直結】自社の脆弱性をあぶり出す「SCRM自己診断チェックリスト」

サプライチェーンを取り巻く不確実性が高まる中、自社の供給網が抱えるボトルネックや脆弱性を正確に把握することが、強靭な供給体制を築くための第一歩となります。ここでは、実務担当者が明日から自社の対策レベルを客観的に評価し、改善に着手するための「自己診断チェックリスト」を提示します。4つの異なる観点から自社のリスク管理状況を検証してください。

組織・調達・セキュリティ・物理物流を網羅する20の評価基準

観点	評価基準（チェック項目）	判定	関連キーワード・基準
組織体制	自社の主要拠点やサプライヤーの寸断を想定したBCPが策定され、年1回以上の訓練を行っているか。	□ はい □ 一部実施 □ いいえ	BCP
組織体制	地政学リスクや経済安全保障に関わる規制の動向を監視し、経営層へ即座に報告するルートがあるか。	□ はい □ 一部実施 □ いいえ	地政学リスク、経済安全保障
組織体制	一次サプライヤーのみならず、二次・三次以降の供給網を遡って「可視化」できているか。	□ はい □ 一部実施 □ いいえ	可視化
組織体制	災害などの有事発生時に、意思決定を遅滞なく行うための指揮命令系統や基準がルール化されているか。	□ はい □ 一部実施 □ いいえ	レジリエンス
組織体制	供給網の途絶から事業を復旧させるまでの目標復旧時間（RTO）が、品目ごとに定義されているか。	□ はい □ 一部実施 □ いいえ	レジリエンス
調達	ボトルネックとなる重要部品や原材料について、複数購買（マルチソース化）や代替品の選定が進んでいるか。	□ はい □ 一部実施 □ いいえ	マルチソース化
調達	主要サプライヤーの財務状況や操業停止リスクについて、年1回以上の定期監査等で状況を把握しているか。	□ はい □ 一部実施 □ いいえ	可視化
調達	特定の国や地域への調達依存度を下げるため、ニアショアリングやフレンドショアリングの検討がなされているか。	□ はい □ 一部実施 □ いいえ	地政学リスク、経済安全保障
調達	製品に組み込まれるソフトウェアに脆弱性が含まれていないか、SBOM（ソフトウェア部品表）を用いて管理しているか。	□ はい □ 一部実施 □ いいえ	SBOM
調達	海外からの調達など、輸送リードタイムの長い品目において適正な安全在庫基準が設定されているか。	□ はい □ 一部実施 □ いいえ	可視化
サイバーセキュリティ	自社のサプライチェーンに関わるサイバーセキュリティ方針が、NIST SP800-161などの国際基準を参考にして策定されているか。	□ はい □ 一部実施 □ いいえ	NIST SP800-161
サイバーセキュリティ	委託先や提携先を踏み台にした「サプライチェーン攻撃」を防ぐため、社外との接続環境の監視や認証強化がなされているか。	□ はい □ 一部実施 □ いいえ	サプライチェーン攻撃
サイバーセキュリティ	システム委託先や開発ベンダーとの間で、セキュリティ基準の遵守を義務付ける契約条項を設けているか。	□ はい □ 一部実施 □ いいえ	NIST SP800-161
サイバーセキュリティ	生産管理システムやERPなどの外部連携部分において、最新のセキュリティパッチが定期的に適用されているか。	□ はい □ 一部実施 □ いいえ	サプライチェーン攻撃
サイバーセキュリティ	自社製品やサービスを提供するシステムにおいて、構成するオープンソースソフトウェア等の脆弱性を継続的に追跡・評価しているか。	□ はい □ 一部実施 □ いいえ	SBOM
物理物流	ドライバー不足や運行制限などの物流規制問題に起因する輸送能力低下への具体的な対応策があるか。	□ はい □ 一部実施 □ いいえ	物流規制問題
物理物流	主要な幹線ルートや港湾が閉鎖された場合を想定し、鉄道・内航船へのモーダルシフトなど代替手段が準備されているか。	□ はい □ 一部実施 □ いいえ	BCP
物理物流	災害発生時に最優先で輸送キャパシティを確保できるよう、3PL企業や運送会社と緊急時の合意がなされているか。	□ はい □ 一部実施 □ いいえ	レジリエンス
物理物流	仕向け地までの輸送状況や荷動きについて、リアルタイム、あるいは定期的にモニタリングできる追跡システムがあるか。	□ はい □ 一部実施 □ いいえ	可視化
物理物流	主要な自社倉庫・配送センターにおける、浸水ハザードへの対策や非常用電源の確保が完了しているか。	□ はい □ 一部実施 □ いいえ	BCP

低スコアだった場合に今日から着手すべき「最優先アクション」

チェックリストにおける「はい」の回答数が10個以下だった場合、供給網のどこかで発生したトラブルが自社の操業停止に直結する脆弱性を抱えています。例えば、海外からの部品調達が全体の半分を占める製造業において、1カ所のサプライヤーが操業を停止しただけで全製品の出荷が数週間にわたってストップする事態を防ぐため、今日から以下のステップで対策に着手してください。

1. 重要調達品目における「シングルソース」の棚卸しとマルチソース化の推進

特定の1社からしか調達できない部品（シングルソース）について、生産が停止した際のインパクトと代替の利くサプライヤーの候補をリストアップします。

• 理由：1社依存度の高い部品は、自然災害や地政学リスクによりその国や特定の港湾が封鎖された瞬間に、調達不可能な状態に陥るためです。
• 具体的な手順：調達部門に対し、全部品リストの中から「自社にとって代替不可能なAランク品目」を抽出するよう指示します。その後、その製造元が地政学的な規制対象となる国にあるかを確認した上で、別地域にあるサプライヤーから調達する（マルチソース化）ための、代替テストや試作品評価のスケジュールを設定します。

2. 主要取引先に対する「サプライチェーン攻撃」対策状況の確認

自社だけでなく、サプライヤーを踏み台にしたサイバー攻撃のリスクを低減するため、取引先のセキュリティ実態を調査します。

• 理由：自社のセキュリティをどれだけ強化していても、EDIシステム等で直接データをやり取りするサプライヤーのシステムがハッキングされた場合、自社システムへマルウェアが容易に侵入するためです。
• 具体的な手順：調達比率の上位10社に位置するサプライヤーに対し、NIST SP800-161の考え方に基づいた「セキュリティ対策自己評価アンケート（ネットワークの接続制限やPCの管理体制など）」を送付します。回答を回収し、基準に達していないサプライヤーに対しては、システム接続制限の強化などの暫定的な遮断措置や対策を依頼するフローを確立します。

3. 物流委託先との幹線輸送の運行時間・走行距離制限を見据えた幹線輸送の維持対策

ドライバーの労働時間規制による長距離輸送のキャパシティ低下に対応するため、運送パートナーとの連携体制を強固にします。

• 理由：自社での手配能力が確保できなければ、部材料が工場に届かず、製品が顧客に届かなくなるという、文字通りの供給網寸断が発生するためです。
• 具体的な手順：自社の主要な製品出荷を請け負う物流会社に対し、中継輸送（ドライバーの乗り換え等）の導入や鉄道・フェリーを用いたモーダルシフトの対応状況を確認します。具体的には、自社倉庫での荷待ち時間がドライバーの拘束時間を圧迫していないかをデータ化し、荷役作業の効率化やパレット化の推進による「選ばれる荷主」としての改善施策を共同で開始してください。

よくある質問（FAQ）