はじめに

APRA CPS 230/234はエンジニアリングパートナーに何を要求しますか？

APRAの健全性基準CPS 230（オペレーショナルリスク管理）とCPS 234（情報セキュリティ）は、サードパーティ技術ベンダー（オフショアエンジニアリングパートナーを含む）と契約する規制対象事業者に直接的な義務を課します。多くのANZテクノロジーリーダーはそのスコープを過小評価しています：APRAはオンショアとオフショアのサプライヤーを区別しません。エンジニアリングチームが本番コードをデリバリーしたり規制対象データを処理したりする場合、スコープ内となります。

本ガイドでは、基準が要求すること、エンジニアリングパートナーが提供すべき文書、さまざまなエンゲージメントモデルの規制リスク評価方法、EastgateがANZ調達チームに提供する具体的なエビデンスについて説明します。

第I部

サードパーティエンジニアリングエンゲージメントにおけるCPS 230の6つのコア義務とは？

CPS 230は2025年7月1日に発効しました。ADI、一般保険会社、生命保険会社、RSEライセンシーを含むすべてのAPRA規制対象事業者に適用されます。以下の6つの義務は、規制対象事業者が重要なサードパーティエンジニアリングベンダーをどのように管理すべきかを直接規定しています。

第II部

CPS 234はエンジニアリングパートナーのセキュリティコントロールにどのように適用されますか？

CPS 234は、重要なサードパーティの情報セキュリティコントロールが規制対象事業者自身の基準と同等以上であることを要求します。以下は5つのコントロールエリアとEastgateが各エリアで提供するエビデンスです。

第III部

ANZ調達チームはエンジニアリングパートナーと契約する前に何を要求すべきですか？

ベンダー評価時にこのチェックリストを使用してください。必須とマークされた項目は、CPS 230/234の下での重要なサードパーティ指定のための最低基準です。

第IV部

APRA規制リスクを最も効果的に管理するエンゲージメントモデルはどれですか？

エンジニアリングエンゲージメントの構造は、CPS 230コンプライアンス義務の複雑さに直接影響します。以下はAPRA適合性の観点から評価した3つの一般的なモデルです。

Eastgateメソドロジー

EastgateのACDC（エージェント中心の開発サイクル）はAPRA規制対象デリバリーにどのように適用されますか？

ACDC（エージェント中心の開発サイクル）はEastgateの内部AI活用エンジニアリングメソドロジーです。APRA規制対象デリバリーの文脈では、特定の懸念事項に対処します：AI支援開発は新しいリスクベクター（未レビューコード、文書化されていない変更、非決定論的アウトプット）を導入し、CPS 230/234の監査可能性要件と矛盾する可能性があります。