ServiceNow CIS-TPRM 無料問題 10 / 10 ・ 分野6: Other Application Relationships
GRC: Policy and Compliance Management（P&C）と TPRM の両方を使っている。TPRM の質問に紐付けている統制目標の説明文を、社内の基準の改定に合わせて直したい。Integrating Third-party Risk Management with GRC: Policy and Compliance Management の頁の注記に照らして、統制と統制目標の扱いとして合うものはどれか。
- P&C で作り管理し、TPRM は読み取り専用で使う
- 統制は P&C、統制目標は TPRM の側で作り管理する
- どちらのアプリでも作れ、変更は互いに写される
- TPRM で作り管理し、P&C は読み取り専用で使う
正解と解説を見る
正解: A
正解の理由
この頁の注記は、TPRM は準拠の対象（compliance objects）を読み取り専用（read-only）で使い、統制と統制目標は P&C で作成・管理される、と書いている。統制目標の説明文のように、統制目標そのものの中身を直すのは P&C の側の作業になる。同じことは、Manually add a control objective to a question の頁（統制目標は P&C で作成・管理され、評価で使う質問に紐付けられる）と、Manually add a control to a third party or engagement の頁（統制と統制目標は P&C で作成・管理され、そのあと第三者やエンゲージメントに紐付けられる）にも書かれている。TPRM の側で行うのは、P&C で作られた対象を質問や第三者に紐付けることである。
違う選択肢
「TPRM で作り管理し、P&C は読み取り専用で使う」… 注記の向きと逆である。頁は、読み取り専用で使うのは TPRM の側で、作成と管理は P&C の側としている。
「どちらのアプリでも作れ、変更は互いに写される」… 頁は、統制と統制目標の作成と管理を P&C の側に置き、TPRM はそれを読み取り専用で使うとしている。2つのアプリの両方で作れて変更が双方向に写る、という記述は無い。
「統制は P&C、統制目標は TPRM の側で作り管理する」… 頁の注記は、統制と統制目標の両方を P&C で作成・管理するとしている。統制目標だけを TPRM の側で作る分け方は書かれておらず、TPRM の質問票テンプレートは、P&C で作られた統制目標を紐付ける相手として書かれている。
押さえどころ
連携の中で TPRM が持つのは「紐付け」と「回答による準拠状態の更新」で、統制と統制目標の定義は P&C が持つ、という分担である。P&C の導入については、頁は Implementing Policy and Compliance Management を参照先に挙げている。統制目標を第三者やエンゲージメントに結び付けると、そのエンティティに対応する統制が作られる、とも頁は書いている。