情報セキュリティマネジメント 2019年 春期 午前（科目A） 問49

ベンダ選定の評価基準【情報セキュリティマネジメント解説】

正解の理由

• 評価基準は「何を重視するか」を明確にするものです（例：価格、機能、保守体制、セキュリティ）。
• 重み付けは各評価項目の重要度（どれだけ点数に影響するか）を決めることです。
• 事前にルールを決めておけば、後から「都合で評価を変えた」と責められません。

解法ステップ

1. 問題の目的を確認する：ここでは「公正に手続きを進める」ことが目的。
2. 各選択肢が目的にかなうかを検討する：
   • 公正さ・透明性を担保する手段か？
   • 事前にでき、後からの恣意的変更を防げるか？
3. 最も「手続きの公正さ」を直接支援するものを選ぶ。評価基準と手順の明文化がそれに当たるため ウ を選ぶ。

選択肢別の誤答解説

• ア: RFIの回答が良かったベンダに「救済措置を講じる」という提案は、特定ベンダに有利な扱いをする恐れがあります。公正性を損ない、他ベンダからの不信やコンプライアンス上の問題になる可能性があります。救済措置自体が何を指すか曖昧で、結果として不透明さを生みます。
• イ: 現行システムに詳しいベンダをあらかじめ評価で優遇するのは、便宜供与（えこひいき）です。業務効率は上がるかもしれませんが、公正な競争を阻害します。入札や選定の透明性が担保できず、監査や利害関係者からの反発を招きます。
• ウ: 評価基準や重み付けのルールを策定することで、評価が定量的・再現可能になります。誰が評価しても客観的な基準に基づくため、公正性が担保されます。これにより選定後の説明責任（なぜそのベンダを選んだか）も果たせます。
• エ: RFP提示直後に「内示書を出して契約書や作業範囲書の作成を依頼する」ことは、まだ選定が終わっていない段階で準備作業を進めさせ、特定のベンダに事前優位を与える可能性があります。全ベンダに同様の負担を掛けることになり、時間・費用の無駄や情報漏えいリスクも高まります。

よくある誤解

1. 「現行ベンダに優遇すればリスクが減る」
   → 短期的には運用面で楽でも、競争原理が働かずコスト高や品質停滞を招くことがあります。選定は評価基準で判断する方が長期的に有利です。
2. 「評価基準は形式的でもよい」
   → あいまいな基準は後で「恣意的評価」の温床になります。具体的な項目と重みは必ず数値で示すべきです。
3. 「RFIで良い評価を得た＝選ばれる保証」
   → RFIは情報収集が目的です。RFPの評価基準がどう定められるかで選定結果は変わります。

補足コラム

• 評価項目例：機能適合度（30%）、セキュリティ対策（25%）、提案の実現性（20%）、価格（15%）、サポート体制（10%）
• スコアは各項目で1〜5点を付け、重み付けを掛けて合計点で比較します。数式は単純に $$総合点=\sum _i(重{量}_i\times 得{点}_i)$$ のように計算します。

• 評価委員は複数名にして偏りを防ぐ。非IT部門の担当者も含めると業務面の実用性を評価しやすくなります。
• 評価過程の記録（採点表、会議議事録、理由書）は必ず保存する。後の説明や監査で役立ちます。
• 利害関係や情報の取り扱い（機密保持）は契約前に明確にしておく。RFI段階の情報はRFPに反映するが、取り扱い基準を定めること。

FAQ