TISAX取得の効果を最大化する7つの活かし方｜取得後に会社の成長へつなげる方法

欧州の自動車メーカー・一次サプライヤーとの取引を広げる

ドイツを中心とする欧州の自動車メーカーや一次サプライヤーは、取引先にTISAXのラベルを求めることが一般的です。最近は、欧州の一次サプライヤーから、日本の二次サプライヤーや、設計・ソフトウェア開発を担う会社に求められるケースも増えています。ラベルを取得したら、営業部門と一緒に「これまでTISAXが条件で入れなかった取引先・案件」を洗い出し、あらためて提案しましょう。提案書や英語の会社案内に、取得したラベルの種類と評価範囲（対象の拠点）を明記しておくと、相手の確認が早く進みます。なお、TISAXはENX Associationの登録商標です。対外的に示すときは、ENXが示している商標の扱いも確認しておきましょう。

UPFの支援　取引先の要求文書を読み解き、どのラベルを、どの拠点で取るべきかの確定から支援します。

評価結果を「共有」して、取引先ごとの監査対応を減らす

TISAXの最大の特徴は、一度受けた評価の結果を、ENXのポータルを通じて複数の取引先と共有できることです。取引先ごとに個別の監査を受けたり、同じ内容の質問に何度も答えたりする負担を減らせることが、TISAXという仕組みそのものの価値です。評価結果を誰にどこまで共有するかは自社で決められ、自社が共有しない限り、取引先からは見えません。新しい取引先から求められたらすぐに共有できるよう、共有の手順と社内の担当者を決めておきましょう。

UPFの支援　評価の申請から、評価後の指摘事項への対応、ラベルの受け取りまで伴走します。

試作品の保護で、開発・試作の案件に入る

TISAXには、情報セキュリティのラベルのほかに、試作部品・試作車両の保護、試験車両の取扱い、イベントや撮影の場での試作品の保護といったラベルがあります。発売前の部品や車両を預かる開発・試作の案件では、これらのラベルが取引の条件になることがあります。試作部品・試作車両の保護のラベルは現地での評価（AL3）が必要で、入退室の管理、保管場所、撮影の制限など、物理的な対策まで確認されます。ハードルが高い分、取得すれば、量産前の開発段階から取引先と関わる機会が広がります。

UPFの支援　試作品の保護で確認される入退室の管理や保管場所などの対策を、工場や開発拠点を実際に見ながら一緒に整えます。

工場・開発拠点の行動を変え、事故と供給停止を防ぐ

自動車業界のサプライチェーンでは、1社のセキュリティ事故が取引先全体に広がります。2022年3月には、国内の部品メーカーがサイバー攻撃を受けたことをきっかけに、完成車メーカーが国内の全工場の稼働を1日止めました。TISAXで定めたルールを、評価のときだけでなく日常の行動として定着させることが、事故と供給停止を防ぐ一番の備えです。毎年の教育は、自社の工場や開発拠点で実際に起きたヒヤリハットや、取引先からの要求を題材にすると定着します。万一に備えて、取引先への報告の手順と連絡先も決めておきましょう。

UPFの支援　取得後の定着に向けた、従業員教育・研修のご相談にも対応します。

国内の取引先からのセキュリティ要求にも、同じ根拠で答える

国内の自動車業界でも、日本自動車工業会・日本自動車部品工業会の「自工会/部工会・サイバーセキュリティガイドライン」にもとづくチェックなど、取引先から情報セキュリティへの対応を確認される場面が増えています。TISAXで整えた規程、自己評価の結果、運用の証跡は、こうした確認に答えるときの根拠として活かせます。よく聞かれる質問への回答と根拠文書の対応表を一度つくっておけば、営業担当が毎回社内に問い合わせる手間が減り、商談のスピードも上がります。

UPFの支援　取引先から届くセキュリティのチェックシートへの回答についても、ご相談いただけます。

ISMSなど他の認証・制度へ効率よく広げる

TISAXの評価基準であるVDA ISAは、ISMSの国際規格ISO/IEC 27001をベースにしています。そのため、TISAXで整えた規程・記録・体制は、ISMSの認証取得にも多くを活かせます。業界を問わない取引で認証書を示したい場合はISMSへ、サプライチェーン全体のセキュリティ対策を★（星）の数で示すSCS評価制度（「SCS評価制度とは？経営者が今、押さえておくべき要点」）への備えにも、TISAXの体制が土台になります。データ保護のラベルを取得した企業は、EUの個人データを扱う際のGDPRへの対応にもつなげられます。

UPFの支援　ISMSの取得と運用の一本化、SCS評価制度の★取得、GDPRへの対応まで、同じ窓口で支援します。

取得コストを3年間で回収する設計をする

TISAXの評価結果の有効期間は3年です。ISMSのような毎年の定期審査がない代わりに、3年が経つと、あらためて評価を受け直す必要があります。費用は、ENXへの登録料、監査プロバイダーに支払う評価費用、コンサル会社への支援費用で構成され、評価費用はラベルの種類、評価レベル、拠点の数で変わります。費用対効果は「取得時にいくらかかったか」ではなく、「3年間の総額に対して、どれだけの取引・効率・信頼を得られたか」で考えましょう。評価基準は改訂されることがあるため、3年後の再評価では新しい基準で評価を受ける可能性がある点も、計画に入れておくと安心です。

UPFの支援　支援費用は200万円〜（税抜）で、会社・組織の規模によって変わります。返金保証も付いています。

ISMSの土台から、TISAXを一体で設計できる

UPFは2021年からTISAXの取得を支援しています。VDA ISAはISO/IEC 27001をベースにしているため、ISMSの支援で積み重ねてきた知見も生かせます。まだISMSを持たない企業でも、情報セキュリティの管理体制を一から整えながらTISAXの準備を進められます。ISMSを取得済みの企業では、既存の規程や運用を生かし、TISAXで追加が必要な部分に絞って対応するため、二重管理になりません。

名古屋を含む3拠点から、工場・開発拠点に足を運ぶ

UPFは東京・名古屋・福岡に拠点があり、自動車関連企業が集まる中部地方にも対面で伺えます。試作品の保護など、現地で確認される物理的な対策も、実際の工場や開発拠点を見ながら一緒に整えます。改善の前後で2回行う自己評価と、評価前の内部監査・模擬審査で、評価当日の指摘を減らします。

評価後の是正まで伴走し、取得後も同じ窓口で相談できる

初回の評価で指摘があった場合は、最長9か月の期限内に是正を終える必要があります。UPFは是正の計画と対応方法を具体的にご説明し、ラベルを受け取るまで伴走します。社内には年間2,000件を超える審査の情報が集まるため、評価基準の改訂や審査の傾向の変化も早くつかめます。取得後の運用や3年後の再評価に向けた準備、ISMSなど関連する制度への展開についても、同じ窓口でご相談いただけます。