規格上、アンケートの取得が求められているわけではなく、アンケート自体は必須ではありません。
ただし、供給者(委託先)の選定においては、当該供給者のセキュリティ状況の担保が必要であり、担保する方法の一つとして、アンケートを取得するという方法が用いられます。
また、アンケート取得以外の方法としては、例えば以下のような方法が考えられます。
・認証の取得状況の確認
・先方の情報セキュリティ方針の確認
・過去のインシデント発生状況の確認
・(クラウドサービスの場合)利用規約やSLAの内容確認
もちろん上記以外の方法でもセキュリティ状況の確認、担保ができれば問題はありませんが、あまりにも簡易な方法とした場合、確認すべき観点の抜け漏れにつながる可能性もあるため、組織が求めるセキュリティレベルを確認するのに十分な情報を得られる方法をご検討ください。