SCRM（サプライチェーンリスクマネジメント）とは？

SCRM（サプライチェーンリスクマネジメント）とは、製品の原材料調達から製造、物流、販売に至る供給網全体に潜むリスクを識別・評価し、事業中断の影響を最小化するためのリスク管理手法です。単一拠点の障害が供給網全体へ及ぶリスクを最小限に抑え、途絶発生時にも迅速に復旧・適応できる企業のレジリエンス（回復力・適応力）を高める管理体制を構築します。

サプライチェーンリスクマネジメント（SCRM）とは｜BCPとの決定的な違いと4大リスク分類

SCRMとBCP（事業継続計画）の明確な違い：『自社単体』から『サプライチェーン全体』への拡張

従来のBCP（事業継続計画）とSCRMの差異は、リスク管理の対象範囲とアプローチの構造に存在します。

比較項目	BCP（事業継続計画）	SCRM（サプライチェーンリスクマネジメント）
管理の主対象	自社拠点・自社資産・自社従業員（自社単体）	Tier1〜Tier Nの全調達先・物流網・委託先（サプライチェーン全体）
主なリスク想定	地震、大型台風、工場火災などの突発的物理災害	地政学リスク、サイバー攻撃、環境・人権問題、自然災害など複合リスク
評価・アプローチ	発災後の迅速な業務復旧計画（復旧手順の策定）	供給網の可視化と事前アセスメントに基づく予防・代替手段の確保

BCPが自社拠点の復旧手順に重点を置くのに対し、SCRMは2次（Tier 2）や3次（Tier 3）を含めた多層的な依存関係を事前の管理対象とします。米国国立標準技術研究所が策定したセキュリティ基準「NIST SP800-161」でも、組織内（Level 1）からミッションレベル（Level 2）、システム構成要素レベル（Level 3）へと連鎖する多層構造の評価を標準要件として定義しています。

例えば、部品点数約30,000点で構成される輸送用機器の製造現場では、海外のTier 3メーカーが製造する単価数百円の電子部品1個が供給途絶するだけで、月間数万台規模の完成車組み立てライン全体が停止します。こうした下層での依存リスクを早期に特定し、マルチソーシングや安全在庫の適正化を事前実行することがSCRMの核心となります。

現代企業が直面する4大リスク分類（地政学リスク・サイバー・自然災害・コンプライアンス）

供給網のリスク管理においては、対象となる脅威を以下の4大分類に整理して評価します。

• 地政学リスク
  国家間の対立、特定の国・地域に対する輸出入規制、為替変動の影響です。特定国への調達依存度が高い鉱物や半導体部材がある場合、現地での関税引き上げや規制強化が調達コスト増とリードタイム長期化に直結します。
• サイバーリスク（サプライチェーン攻撃）
  セキュリティ対策が相対的に手薄な協力会社や業務委託先のネットワークを踏み台とし、標的企業や供給網全体へ侵入する攻撃です。月間数十万件の受発注データを処理するEDI接続先の受託企業がランサムウェア被害に遭うと、倉庫の出庫手配作業が停止し、物流全体に波及します。
• 自然災害・気象リスク
  台風の大型化、線状降水帯による洪水、地震等の発生に伴うリスクです。主要港湾の冠水や幹線道路の途絶、物流ハブの機能停止により輸送ルートが遮断されます。
• コンプライアンス・ESGリスク
  サプライヤーでの人権侵害、環境破壊、法令違反等の問題です。下層サプライヤーでの不祥事発覚は、最終製品を販売する企業自身のブランド価値を損ない、取引停止や不買運動を引き起こします。

国際フレームワーク（NIST SP800-161・ISO）に基づくSCRM構築の5ステップ

国際基準（NIST SP800-161・ISO28000）をベースにした管理プロセスの全体像

グローバル標準のリスク管理プロセスは、米国のNIST SP800-161や、ISO 28000（サプライチェーン安全マネジメントシステム）、ISO 31000（リスクマネジメント）の設計指針をベースに構築します。単発の施策ではなく、組織的な管理サイクルとして定着させることが目的です。

ステップ	プロセス名	主な実施内容	参照フレームワーク
Step 1	方針策定・推進体制の構築	リスク許容度の定義、購買・法務・IT・物流の横断チーム立ち上げ	NIST SP800-161（組織層）
Step 2	供給網の可視化と資産特定	ティア1からティアNまでの供給網マップ作成、依存度の特定	ISO 28000 Section 4.3.1
Step 3	リスク評価と影響度分析（BIA）	発生可能性と事業インパクトの測定、最大許容停止時間の算出	ISO 31000 / BCPガイドライン
Step 4	リスク対応策の策定・実行	回避・低減・移転・保有の4アプローチに基づく具体的コントロール適用	NIST SP800-161 Controls
Step 5	継続的モニタリングと評価改善	サプライヤー評価の更新、脅威情報のリアルタイム監視と見直し	ISO 28000 Section 4.6

例えば、電子部品2,000点を調達するメーカーでは、Step 1において調達・法務・情報システム部門からなる合同リスク会議を月次で設置し、全社統一の評価軸でリスクの優先順位を判断する体制を整えます。

ティアN（深層サプライヤー）まで追跡するリスク評価と影響度分析（BIA）の手法

供給網の途絶は、直接の取引先であるティア1（一次サプライヤー）ではなく、ティア2以降の深層サプライヤー（ティアN）で発生するケースが多く見られます。深層追跡と事業影響度分析（BIA）は以下の手順で進行します。

• 供給構造の可視化（マッピング）: ティア1企業に対し、重要部材の調達元（ティア2以降）や製造拠点の位置情報の開示を契約要件として規定します。IT機器・ソフトウェアに関してはBOM（部品表）やSBOM（ソフトウェア部品表）を活用し、構成要素を一覧化します。
• 地政学リスク・自然災害リスクの重複度分析: 収集した位置データをGIS（地理情報システム）に反映し、ハザードマップ上の浸水想定区域や輸出規制区域への特定集中を検出します。
• 事業影響度分析（BIA）の実施: 1日あたり1,000台の製品を出荷する工場において、代替不可の単一調達（シングルソース）半導体基板が途絶した場合の損失額など、「最大許容停止時間（MTPD）」と「復旧目標時間（RTO）」を金額ベースで算出します。

この算出結果に基づき、単一障害点（SPOF）となる下層サプライヤーを特定することで、リソースを重点管理対象へ集中配分できます。

リスクへの4つの対応アプローチ（回避・低減・移転・保有）の具体策

特定したリスクに対しては、性質と許容度に応じて4つのアプローチを使い分けます。

対応アプローチ	アプローチの定義	SCRMにおける具体的施策例	主な対象リスク
回避（Avoidance）	リスクの発生源そのものを絶つ・変更する	特定国への集中購買を止めマルチソーシングへ切り替え、危険地域の物流ルート変更	地政学リスク、貿易規制リスク
低減（Mitigation）	発生確率または被害の影響度を抑える	BCPの共同策定、サプライヤーへのセキュリティ基準要求、安全在庫の積み増し	自然災害、サプライチェーン攻撃、設備故障
移転（Transfer）	発生した損失を第三者へ転嫁・分散する	サイバー保険の加入、サプライヤー契約における賠償責任条項の明確化、物流動産保険の活用	サイバーインシデント、輸送中の事故・盗難
保有（Retention）	許容範囲内のリスクを受け入れ自組織で備える	汎用部材の個別管理見送り、復旧引当金・引当準備金の積立	短期間で代替調達が可能な小規模障害

日配品10,000ケースを扱う物流拠点での「低減」施策では、代替発送が可能なバックアップ拠点の事前確保や非常用電源の配備、運送会社との災害時優先配車協定を締結します。システム面においては、サプライヤーネットワーク接続時の多要素認証（MFA）義務化を実施し、サイバー攻撃による被害拡大を防ぎます。

サプライチェーン攻撃を防ぐIT・セキュリティリスク（C-SCRM）の専門対策

委託先・再委託先を侵入経路とするサプライチェーン攻撃の脅威とメカニズム

情報ネットワークを介したリスク管理であるC-SCRM（Cybersecurity Supply Chain Risk Management）では、取引先やITベンダーを含めた多角的な防衛体制が必要です。

攻撃類型	主な侵入経路	攻撃手法・メカニズム	事業への影響
委託先踏み台型	協力会社・3PLのVPN機器や保守用リモート回線	脆弱性を突き委託先へ侵入後、正規権限を悪用して本丸ネットワークへ到達	統合基幹システム（ERP）の暗号化による全社的な出荷停止
ソフトウェア供給網型	業務アプリケーション、ミドルウェアのアップデートプログラム	開発元のビルド環境にマルウェアを仕込み、正規アップデートとして配信	自社および納入先企業へのランサムウェア一斉感染
クラウド・SaaS経由型	データ連携用API、共有クラウドストレージ	APIキーの漏洩やアクセス権限の誤設定を突いたデータ不正取得	配送先データ・顧客個人情報・取引価格情報の外部流出

日量5,000件の出荷指示データを処理する3PL事業者において、委託先の保守用アカウントが奪取された場合、アクセス権限を経由して荷主企業の基幹システムへとランサムウェアが拡散します。物理的被害がなくとも、データの暗号化によって配送管理ライン全体が停止するため、サイバーインシデントを前提とした復旧手順の設定が必須となります。

C-SCRM（サイバーSCRM）を推進する委託先監査とSBOM（ソフトウェア部品表）の活用

C-SCRMの実務においては、委託先監査の仕組みづくりとソフトウェア構成の把握を同時に進めます。

管理アプローチ	対象範囲	具体的な講じるべき対策	適用する主な規格・ガイドライン
委託先リスク評価・監査	1次委託先〜再委託先（3PL、ITベンダー等）	セキュリティチェックシートの回収、契約への監査権明記、多要素認証の強制	NIST SP800-161、IPA サプライチェーン・チェックリスト
アクセス権限の厳格化	外部パートナーの接続アカウント・保守回線	最小権限原則の適用、JIT（Just-In-Time）アクセス許可、通信ログの常時監視	NIST SP800-207（ゼロトラスト・アーキテクチャ）
ソフトウェア構成の可視化	自社開発システム、導入パッケージ製品	SBOMの生成・受領、SCA（ソフトウェア構成解析）ツールによる脆弱性の即時照合	経済産業省「SBOM導入に関する手引」、SPDX／CycloneDX規格

業務委託契約書への監査権や再委託時の事前承認条項の明記に加え、最小権限の原則（PoLP）に基づき外部接続アカウントの常時接続を遮断します。自社開発・運用システムにおいては、SBOM（ソフトウェア部品表）を活用してオープンソースライブラリなどの構成要素を特定しておくことで、新たな脆弱性公表時に影響範囲の迅速な特定と修正パッチ適用が可能になります。

可視化ツールとAIを活用したプロアクティブな供給網レジリエンス（回復力）の最大化

サプライチェーン可視化ツール・AI予測モデルによるボトルネックの早期検知

事象発生後の後手対応を防ぐため、ITシステムと連携した事前予知アプローチへの切り替えが進んでいます。SAP Integrated Business PlanningやIBM Supply Chain Intelligence Suiteなどのエンタープライズツールは、社内ERPと港湾滞留・気象・地政学データを連携させてAI解析を実行します。

Tier 1からTier 3まで世界8カ国・約350社のサプライヤーと取引する精密機器メーカーの場合、地政学要因による海上ルート停滞時の影響把握において、手動調査の72時間から、AIおよびデジタルツイン基盤の活用により15分以内へ短縮した事例があります。障害発生時の欠品時期や遅延日数を事前に自動シミュレーションすることで、即時の回避策選択が可能となります。

調達・物流現場の冗長化（デュアルソーシング・拠点分散・適正在庫）とITの統合

リスク予測に基づく現場オペレーションの冗長化施策は、ITシステムとリアルタイムで連動させます。

実務施策	統合するITテクノロジー	リスク低減効果	実務での連動ポイント
デュアルソーシング	サプライヤー連携ネットワーク（例: SAP Business Network）	特定ベンダーの途絶・地政学リスクによる供給停止の回避	平常時からメイン70%・サブ30%などの比率で自動発注ルールを設定し、異常検知時に比率を自動変更する。
物流拠点分散・代替ルート設定	AIルート最適化・デジタルツイン	港湾封鎖・災害時の物流ストップの回避	輸送遅延シミュレーションに基づき、代替輸送手段（海上から鉄道・航空へ）や分散拠点への配送指示を即座に発行する。
適正在庫の動的制御	AI需要・供給予測モデル	欠品リスクの防止と過剰在庫による資金圧迫の抑制	リードタイムの変動や市場需要の波に応じて、AIが安全在庫の閾値を自動算出しERPと連携する。

月間5,000件の製品出荷を行う産業機械メーカーでは、東西2拠点の物流分散体制を取り入れました。平常時はAIが地域別需要に応じて配分在庫を最適化し、一方の拠点停止時にはバックアップ出荷指示を倉庫実行システム（WES）へ自動送信する仕組みを構築することで、在庫コストを抑えながら供給継続性を維持しています。

持続可能な供給網を築く自社SCRM推進体制の立ち上げと運用チェックリスト

部門の壁を越える横断型プロジェクトチーム（SCRM推進室）の役割と構築ステップ

年間のパーツ調達数が500種類を超え、複数国に一次・二次サプライヤーを抱える製造業などでは、単一部署でのリスク管理に限界があります。経営直下に購買、ITセキュリティ、リスク管理、法務からなる「SCRM推進室」を立ち上げ、横断的な管理を行います。

構成部門	主な役割	SCRMにおける実務上の担当領域	主導すべき判断・対応
経営企画・リスク管理部門	全社リスクガバナンスの統括	全社的なBCPとの整合性確保、リスク許容度の策定	重大リスク発生時の全社リソース配分と経営判断の支援
調達・購買部門	サプライヤー網の管理・運用	Tier 1およびTier 2のデータ可視化、代替調達先の選定	サプライヤーへの契約変更交渉およびリスク評価結果に基づく取引継続判断
IT・情報セキュリティ部門	サイバーセキュリティ対策の実施	NIST SP800-161に基づくセキュリティ評価、ネットワーク境界の監視、アクセス制御	サプライチェーン攻撃を想定したインシデント検知と遮断措置の実施
法務・コンプライアンス部門	法的規制対応・契約管理	地政学リスクに即した輸出入規制の確認、取引契約書へのSCRM条項の反映	各国の規制違反リスクの審査および契約違反時の法的対処

推進室の構築手順は以下の4つのステップで進めます。

• ステップ1：経営層の承認と基本方針の明示
  全社方針として供給網の健全化を掲げ、推進室へ監査権限を付与する。
• ステップ2：NIST SP800-161に基づく管理基準の策定
  評価シートを統一し、セキュリティや地政学リスクの許容値を定義する。
• ステップ3：サプライヤー構造の可視化とスクリーニング
  特定地域依存の二次以降のサプライヤー情報を収集・統合する。
• ステップ4：モニタリングとインシデント演習の定着
  年1回の定期アセスメントとサイバー・自然災害を想定した合同訓練を実施する。

自社の対応レベルを判定するSCRM成熟度自己診断チェックリスト

自社の管理状態を把握するため、以下のチェックリストを用いて5段階（レベル1：未導入 〜 レベル5：最適化）の成熟度測定を行います。

評価領域	チェック項目	成熟度判定基準	推奨される具体的なアクション
ガバナンス・体制	部門横断型のSCRM推進体制が確立され、経営層へ定期的にリスク報告がなされているか	・未実施：レベル1 ・担当者のみ：レベル2 ・横断チーム設置：レベル3以上	経営直下にSCRM推進室を設置し、月次・四半期でのリスク報告ラインを構築する
サプライチェーン可視化	一次取引先だけでなく、二次以降の主要な供給網や拠点が可視化されているか	・Tier 1のみ：レベル2 ・主要Tier 2まで把握：レベル3 ・リアルタイム管理：レベル4以上	可視化ツールやデータベースを導入し、ボトルネックとなる集中拠点を特定する
セキュリティ・攻撃対策	委託先へのセキュリティ監査や、NIST SP800-161に沿った要求事項を契約に含めているか	・アンケートのみ：レベル2 ・評価・契約明記：レベル3 ・継続的監査：レベル4以上	サードパーティに対するアクセス権限の制限を実施し、サプライチェーン攻撃の侵入経路を塞ぐ
地政学リスク・BCP連携	特定の地域・国に依存する資材について、代替調達ルートおよび切り替え手順が確立されているか	・未検討：レベル1 ・リスト化のみ：レベル2 ・代替テスト完了：レベル4以上	地政学リスクが高まる地域を特定し、マルチソーシング（複線化）の実行検証を行う

評価結果がレベル2以下に集中する場合、供給途絶時の損害が拡大する可能性が高いため、優先影響度の高い取引先の可視化および契約条項の見直しから実行手順を進めます。

よくある質問（FAQ）