Claude Academy
読み込み中

ベンダーリスクレビュー

必要な緩和策を伴うベンダーのGo/No-Go判定。

10 分オペレーションClaude Cowork
読み込み中

セットアップ

プラグインを試す

Operationsプラグインには、出発点として/risk-assessmentやその他のベンダー管理スキルが同梱されており、セキュリティ文書を読み取ってフレームワークに照らしてスコアリングするようにすでに構成されています。管理者がプラグインを管理していてまだ利用できない場合は、これをスキップしてください。以下の内容はこれを必要としません。

OperationsOptimize business operations — vendor management, process documentation, change management, capacity planning, and compliance tracking. Keep your organization running efficiently.
追加
/risk-assessmentIdentify, assess, and mitigate operational risks.
Cowork で開く
/vendor-reviewEvaluate a vendor — cost analysis, risk assessment, and recommendation.
Cowork で開く

ツールを接続する

Claude Coworkは、お使いのシステムと直接連携することでより強力になります。権限とアクセスはお客様が管理します。ツールアクセスについて学ぶ。

設定するには、Coworkでカスタマイズ → コネクタに移動します。

Google Drive
接続
Microsoft 365
接続
Box
接続
Ironclad任意
締結済みの契約書がIroncladにある場合は、それを接続することで、ClaudeがベンダーのMSAとDPAを署名済みの記録と照合できるようになります。
接続
Coworkでコネクタを見る

作業フォルダを設定する

使用するファイル（ベンダーのSOC 2、質問票の回答、DPAとMSA、リスクフレームワーク）をマシン上の1つのフォルダにドラッグし、Coworkにそのフォルダを指定します。Coworkはそこから読み取り、スコアリングされたメモと緩和策リストをそこに書き戻します。ベンダーレビューを定期的に実行する場合は、そのフォルダからCoworkプロジェクトを作成すると、フレームワーク、指示、メモリが紐づいたままになります。

Vendors / Northwind / risk-review
northwind-soc2-type2.pdfApr 20, 20262.4 MB
security-questionnaire-responses.xlsxApr 18, 202696 KB
northwind-dpa-and-msa.docxApr 18, 2026312 KB
vendor-risk-framework.pdfJan 9, 2026184 KB
Cowork のチャットバーで：Vendors / Northwind / risk-review

プロンプト

これをClaude Coworkにコピーする

このベンダーのSOC 2、セキュリティ質問票、DPA、MSAを当社のリスクフレームワークに照らしてスコアリングしてください。レビューメモには明確なGoまたはNo-Goの判定と、担当者を明記した必要な緩和策を記載してください。すべての所見について出典文書とセクションを引用してください。

Vendors / Northwind / risk-review

これが効果的な理由

ソース

一緒に読むべき出典を列挙します。 「SOC 2、質問票、DPA、MSA」と指定することで、Coworkはセキュリティ証跡と契約条項を横断的に読み合わせるようになり、統制上のギャップと契約条項の欠落が2つの別々のレビューではなく、1つの所見として表れます。

ソース

自社のリスク基準を使用します。 「当社のリスクフレームワークに照らして」と指定することで、スコアリングがフォルダ内の文書を基準とするようになり、ティアとGo/No-Goの判定がデータの機密性とアクセスに関する自社のしきい値を反映します。

プロンプト

GoまたはNo-Goの推奨を求めます。 「明確なGoまたはNo-Go」と「担当者を明記した必要な緩和策」を組み合わせることで、誰かが解釈しなければならない所見の羅列ではなく、調達部門がそのまま行動に移せるメモになります。

プロンプト

引用により監査可能になります。 「出典文書とセクションを引用」することで、すべての所見がSOC 2の該当ページやDPAの条項にまで遡って確認できるようになり、セキュリティ部門と法務部門は資料一式を読み直すことなく検証できます。

より良い下書きを得る

練習

手本となる例を追加します。 気に入った例をフォルダに入れておくと、Coworkはその構成とトーンに合わせます。

練習

不確実な点にフラグを立てるよう依頼します。 「自信が持てない箇所にはフラグを立ててください」と追加しておくと、下書きをレビューする際に最初に確認すべき箇所がわかります。

Coworkを自分用にカスタマイズする

プラグインのスキルは出発点にすぎません — 自社の実務と専門知識でカスタマイズしましょう。数分の対話を行えば、それ以降は自社の基準に沿って実行されるようになります。

このタスクでこれまで行ったことをスキルにするか、私のフィードバックをもとに/risk-assessmentスキルを編集してください。

Vendors

繰り返し実行できるようにする

新しいベンダーごとに実行する

ベンダーの資料一式が届いた時点で、スコアリングされたメモはすでに下書きされているべきです。プロンプトに/scheduleと入力するか、CoworkのサイドバーでScheduledを開くと、Vendors配下に新しいrisk-reviewフォルダが現れるたびに、カスタマイズされたスキルが実行されます。

/schedule 平日午前9時に、Vendors内に新しいrisk-reviewフォルダがないか確認し、その中の文書に対して/risk-assessmentを実行して、スコアリングされたメモと緩和策リストをそのフォルダに書き込んでください。

Vendors
スケジュールタスクアクティブ
ベンダーリスク初回チェック

Vendors配下の新しいrisk-reviewフォルダごとに/risk-assessmentを実行し、スコアリングされたメモと緩和策リストをそこに書き戻します。

平日午前9時Cowork で開く

チームメンバーと共有する

カスタマイズされた/risk-assessmentには、自社のリスクティア、取引を左右する統制事項、メモの書式が組み込まれています。これを共有することで、調達部門、セキュリティ部門、法務部門がすべてのベンダーを同じ方法でスコアリングでき、誰がレビューを実行しても承認チェーンは一貫したメモを読むことになります。

今後について