II -3-3 事務リスク

II -3-3-1 意義

事務リスクとは、銀行の役職員が正確な事務を怠る、あるいは事故・不正等を起こすことにより、銀行が損失を被るリスクをいうが、銀行は当該リスクに係る役職員の人事管理を含む内部管理態勢を適切に整備し、業務の健全かつ適切な運営により信頼性の確保に努める必要がある。

II -3-3-2 主な着眼点

  • (1)事務リスク管理態勢

    • マル1全ての業務に事務リスクが所在していることを理解し、適切な事務リスク管理態勢が整備されているか。

    • マル2事務リスクを軽減することの重要性を認識し、事務リスク軽減のための具体的な方策を講じているか。

    • マル3事務部門は、十分にけん制機能が発揮されるよう体制が整備されているか。また、事務に係る諸規定が明確に定められているか。

    • マル4取引時確認事務、疑わしい取引の届出事務等の重要な法務コンプライアンス問題を、単なる事務処理の問題と捉えるにとどまらず、全行的な法務コンプライアンスの問題としての処理を行っているか。

  • (2)内部監査態勢

    内部監査部門は、事務リスク管理態勢を監査するため、内部監査を適切に実施しているか。

  • (3)営業店のリスク管理態勢

    事務部門は、営業店における事務リスク管理態勢をチェックする措置を講じているか。

II -3-3-3 監督手法・対応

検査結果、不祥事件等届出書等により、事務リスクの管理態勢に問題があると認められる場合には、必要に応じ、法第24条に基づき報告を求め、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

II -3-4 システムリスク

II -3-4-1 システムリスク

II -3-4-1-1 意義

 システムリスクとは、コンピュータシステムのダウン又は誤作動等のシステムの不備等に伴い、顧客や銀行が損失を被るリスクやコンピュータが不正に使用されることにより顧客や銀行が損失を被るリスクをいうが、銀行の経営再編に伴うシステム統合や新商品・サービスの拡大等に伴い、銀行の情報システムは一段と高度化・複雑化し、さらにコンピュータのネットワーク化の拡大に伴い、重要情報に対する不正なアクセス、漏えい等のリスクが大きくなっている。システムが安全かつ安定的に稼動することは決済システム及び銀行に対する信頼性を確保するための大前提であり、システムリスク管理態勢の充実強化は極めて重要である。 
 他方、金融機関のIT戦略は、近年の金融を巡る環境変化も勘案すると、今や金融機関のビジネスモデルを左右する重要課題となっており、金融機関において経営戦略をIT戦略と一体的に考えていく必要性が増している。こうした観点から、経営者がリーダーシップを発揮し、ITと経営戦略を連携させ、企業価値の創出を実現するための仕組みである「ITガバナンス」が適切に機能することが極めて重要となっている。
 また、新型コロナウイルス感染症の影響により新たな日常に移行していく中、業務継続及び生産性向上の観点から、金融機関内の連絡手段や顧客との日常的・継続的な接触手段として、情報セキュリティの確保を踏まえた上での電子メール等の情報通信基盤の整備も不可欠となる。

  • (参考) 金融機関のITガバナンスに関する対話のための論点・プラクティスの整理(令和元年6月)

II -3-4-1-2 主な着眼点

  • (1)システムリスクに対する認識等

    • マル1システムリスクについて代表取締役をはじめ、役職員がその重要性を十分認識し、定期的なレビューを行うとともに、全行的なリスク管理の基本方針が策定されているか。

    • マル2代表取締役は、システム障害やサイバーセキュリティ事案(以下「システム障害等」という。)の未然防止と発生時の迅速な復旧対応について、経営上の重大な課題と認識し、態勢を整備しているか。

      (注)サイバーセキュリティ事案とは、情報通信ネットワークや情報システム等の悪用により、サイバー空間を経由して行われる不正侵入、情報の窃取、改ざんや破壊、情報システムの作動停止や誤作動、不正プログラムの実行やDDoS攻撃等の、いわゆる「サイバー攻撃」により、サイバーセキュリティが脅かされる事案をいう。

    • マル3取締役会は、システムリスクの重要性を十分に認識した上で、システムを統括管理する役員を定めているか。なお、システム統括役員は、システムに関する十分な知識・経験を有し業務を適切に遂行できる者であることが望ましい。

    • マル4代表取締役及び取締役(指名委員会等設置会社にあっては執行役)は、システム障害等発生の危機時において、果たすべき責任やとるべき対応について具体的に定めているか。

      また、自らが指揮を執る訓練を行い、その実効性を確保しているか。

  • (2)システムリスク管理態勢

    • マル1取締役会は、コンピュータシステムのネットワーク化の進展等により、リスクが顕在化した場合、その影響が連鎖し、広域化・深刻化する傾向にあるなど、経営に重大な影響を与える可能性があるということを十分踏まえ、リスク管理態勢を整備しているか。

    • マル2システムリスク管理の基本方針が定められているか。システムリスク管理の基本方針には、セキュリティポリシー(組織の情報資産を適切に保護するための基本方針)及び外部委託先に関する方針が含まれているか。

    • マル3システムリスク管理態勢の整備に当たっては、その内容について客観的な水準が判定できるものを根拠としているか。

      また、システムリスク管理態勢については、システム障害等の把握・分析、リスク管理の実施結果や技術進展等に応じて、不断に見直しを実施しているか。

  • (3)システムリスク評価

    • マル1システムリスク管理部門は、顧客チャネルの多様化による大量取引の発生や、ネットワークの拡充によるシステム障害等の影響の複雑化・広範化など、外部環境の変化によりリスクが多様化していることを踏まえ、定期的に又は適時にリスクを認識・評価しているか。

      また、洗い出したリスクに対し、十分な対応策を講じているか。

    • マル2システムリスク管理部門は、例えば1口座当たりの未記帳取引明細の保有可能件数などのシステムの制限値を把握・管理し、制限値を超えた場合のシステム面・事務面の対応策を検討しているか。

    • マル3商品開発の担当部門は、新商品の導入時又は商品内容の変更時に、システムリスク管理部門と連携するとともに、システムリスク管理部門は、システム開発の有無にかかわらず、関連するシステムの評価を実施しているか。

  • (4)情報セキュリティ管理

    • マル1情報資産を適切に管理するために方針の策定、組織体制の整備、社内規程の策定、内部管理態勢の整備を図っているか。また、他社における不正・不祥事件も参考に、情報セキュリティ管理態勢のPDCAサイクルによる継続的な改善を図っているか。

    • マル2情報の機密性、完全性、可用性を維持するために、情報セキュリティに係る管理者を定め、その役割・責任を明確にした上で、管理しているか。また、管理者は、システム、データ、ネットワーク管理上のセキュリティに関することについて統括しているか。

    • マル3コンピュータシステムの不正使用防止対策、不正アクセス防止対策、コンピュータウィルス等の不正プログラムの侵入防止対策等を実施しているか。

    • マル4金融機関が責任を負うべき顧客の重要情報を網羅的に洗い出し、把握、管理しているか。

      顧客の重要情報の洗い出しにあたっては、業務、システム、外部委託先を対象範囲とし、例えば、以下のようなデータを洗い出しの対象範囲としているか。

      • 通常の業務では使用しないシステム領域に格納されたデータ
      • 障害解析のためにシステムから出力された障害解析用データ
      • ATM(店舗外含む)等に保存されている取引ログ 等
    • マル5洗い出した顧客の重要情報について、重要度判定やリスク評価を実施しているか。

      また、それぞれの重要度やリスクに応じ、以下のような情報管理ルールを策定しているか。

      • 情報の暗号化、マスキングのルール
      • 情報を利用する際の利用ルール
      • 記録媒体等の取扱いルール 等
    • マル6顧客の重要情報について、以下のような不正アクセス、不正情報取得、情報漏えい等を牽制、防止する仕組みを導入しているか。

      • 職員の権限に応じて必要な範囲に限定されたアクセス権限の付与
      • アクセス記録の保存、検証
      • 開発担当者と運用担当者の分離、管理者と担当者の分離等の相互牽制体制 等
    • マル7機密情報について、暗号化やマスキング等の管理ルールを定めているか。また、暗号化プログラム、暗号鍵、暗号化プログラムの設計書等の管理に関するルールを定めているか。

      なお、「機密情報」とは、暗証番号、パスワード、クレジットカード情報等、顧客に損失が発生する可能性のある情報をいう。

    • マル8機密情報の保有・廃棄、アクセス制限、外部持ち出し等について、業務上の必要性を十分に検討し、より厳格な取扱いをしているか。

    • マル9情報資産について、管理ルール等に基づいて適切に管理されていることを定期的にモニタリングし、管理態勢を継続的に見直しているか。

    • マル10セキュリティ意識の向上を図るため、全役職員に対するセキュリティ教育(外部委託先におけるセキュリティ教育を含む)を行っているか。

  • (5)サイバーセキュリティ管理

    • マル1サイバーセキュリティについて、取締役会等は、サイバー攻撃が高度化・巧妙化していることを踏まえ、サイバーセキュリティの重要性を認識し必要な態勢を整備しているか。

    • マル2サイバーセキュリティについて、組織体制の整備、社内規程の策定のほか、以下のようなサイバーセキュリティ管理態勢の整備を図っているか。

      • サイバー攻撃に対する監視体制
      • サイバー攻撃を受けた際の報告及び広報体制
      • 組織内CSIRT(Computer Security Incident Response Team)等の緊急時対応及び早期警戒のための体制
      • 情報共有機関等を通じた情報収集・共有体制 等
    • マル3サイバー攻撃に備え、入口対策、内部対策、出口対策といった多段階のサイバーセキュリティ対策を組み合わせた多層防御を講じているか。

      • 入口対策(例えば、ファイアウォールの設置、抗ウィルスソフトの導入、不正侵入検知システム・不正侵入防止システムの導入 等)
      • 内部対策(例えば、特権ID・パスワードの適切な管理、不要なIDの削除、特定コマンドの実行監視 等)
      • 出口対策(例えば、通信ログ・イベントログ等の取得と分析、不適切な通信の検知・遮断 等)
    • マル4サイバー攻撃を受けた場合に被害の拡大を防止するために、以下のような措置を講じているか。

      • 攻撃元のIPアドレスの特定と遮断
      • DDoS攻撃に対して自動的にアクセスを分散させる機能
      • システムの全部又は一部の一時的停止 等
    • マル5システムの脆弱性について、OSの最新化やセキュリティパッチの適用など必要な対策を適時に講じているか。

    • マル6サイバーセキュリティについて、ネットワークへの侵入検査や脆弱性診断等を活用するなど、セキュリティ水準の定期的な評価を実施し、セキュリティ対策の向上を図っているか。

    • マル7インターネット等の通信手段を利用した非対面の取引を行う場合には、 II -3-5-2(2)又はⅡ-3-6-2(2)によるセキュリティの確保を講じているか。
          なお、全国銀行協会の申し合わせ等には、以下のような実効的な認証方式や不正防止策を用いたセキュリティ対策事例が記載されている。

      • ・可変式パスワードや電子証明書などの、固定式のID・パスワードのみに頼らない認証方式
      • ・取引に利用しているパソコンのブラウザとは別の携帯電話等の機器を用いるなど、複数経路による取引認証
      • ・ハードウェアトークン等でトランザクション署名を行うトランザクション認証
      • ・電子証明書をIC カード等、取引に利用しているパソコンとは別の媒体・機器へ格納する方式の採用
      • ・取引時においてウィルス等の検知・駆除が行えるセキュリティ対策ソフトの利用者への提供
      • ・利用者のパソコンのウィルス感染状況を金融機関側で検知し、警告を発するソフトの導入
      • ・不正なログイン・異常な取引等を検知し、速やかに利用者に連絡する体制の整備 等
    • (注)キャッシュカード暗証番号のような組み合わせの数が僅少な情報を記憶要素として用いる認証方式は、インターネット上での利用を避けることが望ましいことに留意。
    •  
    • ⑧ インターネットバンキング等の不正利用を防止するため、電話番号やメールアドレスなど預金者への通知や
       本人認証の際に利用される情報について、不正な登録・変更が行われないよう適切な手続きが定められている
       か。
    •  
    • ⑨ サイバー攻撃を想定したコンティンジェンシープランを策定し、訓練や見直しを実施しているか。また、必
       要に応じて、業界横断的な演習に参加しているか。
    •  
    • ⑩ サイバーセキュリティに係る人材について、育成、拡充するための計画を策定し、実施しているか。
    •  
    • (6)システム企画・開発・運用管理
    • マル1経営戦略の一環としてシステム戦略方針を明確にした上で、中長期の開発計画を策定しているか。

      また、中長期の開発計画は、取締役会の承認を受けているか。

    • マル2現行システムに内在するリスクを継続的に洗い出し、その維持・改善のための投資を計画的に行っているか。

    • マル3開発案件の企画・開発・移行の承認ルールが明確になっているか。

    • マル4開発プロジェクトごとに責任者を定め、開発計画に基づき進捗管理されているか。

    • マル5システム開発に当たっては、テスト計画を作成し、ユーザー部門も参加するなど、適切かつ十分にテストを行っているか。

    • マル6人材育成については、現行システムの仕組み及び開発技術の継承並びに専門性を持った人材の育成のための具体的な計画を策定し、実施しているか。

  • (7)システム監査

    • マル1システム部門から独立した内部監査部門が、定期的にシステム監査を行っているか。

    • マル2システム関係に精通した要員による内部監査や、システム監査人等による外部監査の活用を行っているか。

    • マル3監査対象は、システムリスクに関する業務全体をカバーしているか。

    • マル4システム監査の結果は、適切に取締役会に報告されているか。

  • (8)外部委託管理

    • マル1外部委託先(システム子会社を含む。)の選定に当たり、選定基準に基づき評価、検討のうえ、選定しているか。

    • マル2外部委託契約において、外部委託先との役割分担・責任、監査権限、再委託手続き、提供されるサービス水準等を定めているか。また、外部委託先の役職員が遵守すべきルールやセキュリティ要件を外部委託先へ提示し、契約書等に明記しているか。

    • マル3システムに係る外部委託業務(二段階以上の委託を含む)について、リスク管理が適切に行われているか。

      特に外部委託先が複数の場合、管理業務が複雑化することから、より高度なリスク管理が求められることを十分認識した体制となっているか。

      システム関連事務を外部委託する場合についても、システムに係る外部委託に準じて、適切なリスク管理を行っているか。

    • マル4外部委託した業務(二段階以上の委託を含む)について、委託元として委託業務が適切に行われていることを定期的にモニタリングしているか。

      また、外部委託先任せにならないように、例えば委託元として要員を配置するなどの必要な措置を講じているか。特に共同センターの内部管理、開発・運用管理の状況について、報告を受けているか。

      さらに、システムの共同化等が進展する中、外部委託先における顧客データの運用状況を、委託元が監視、追跡できる態勢となっているか。

    • マル5共同センター等の重要な外部委託先に対して、内部監査部門又はシステム監査人等による監査を実施しているか。

    • (注) 統合ATMスイッチングサービスなどの外部のサービスを利用する場合についてもこれに準じる。

  • (9)コンティンジェンシープラン

    • マル1コンティンジェンシープランが策定され、緊急時体制が構築されているか。

    • マル2コンティンジェンシープランの策定に当たっては、その内容について客観的な水準が判断できるもの(例えば「金融機関等におけるコンティンジェンシープラン(緊急時対応計画)策定のための手引書」(公益財団法人金融情報システムセンター編))を根拠としているか。

    • マル3コンティンジェンシープランの策定に当たっては、災害による緊急事態を想定するだけではなく、金融機関の内部又は外部に起因するシステム障害等も想定しているか。

      また、バッチ処理が大幅に遅延した場合など、十分なリスクシナリオを想定しているか。

    • マル4コンティンジェンシープランは、他の金融機関におけるシステム障害等の事例や中央防災会議等の検討結果を踏まえるなど、想定シナリオの見直しを適宜行っているか。

    • マル5コンティンジェンシープランに基づく訓練は、全社レベルで行い、共同センター等の外部委託先等と合同で、定期的に実施しているか。

    • マル6業務への影響が大きい重要なシステムについては、オフサイトバックアップシステム等を事前に準備し、災害、システム障害等が発生した場合に、速やかに業務を継続できる態勢を整備しているか。

  • (10)障害発生時等の対応

    • マル1システム障害等が発生した場合に、顧客に対し、無用の混乱を生じさせないよう適切な措置を講じているか。

      また、システム障害等の発生に備え、最悪のシナリオを想定した上で、必要な対応を行う態勢となっているか。

    • マル2システム障害等の発生に備え、外部委託先を含めた報告態勢、指揮・命令系統が明確になっているか。

    • マル3経営に重大な影響を及ぼすシステム障害等が発生した場合に、速やかに代表取締役をはじめとする取締役に報告するとともに、報告に当たっては、最悪のシナリオの下で生じうる最大リスク等を報告する態勢(例えば、顧客に重大な影響を及ぼす可能性がある場合、報告者の判断で過小報告することなく、最大の可能性を速やかに報告すること)となっているか。

      また、必要に応じて、対策本部を立ち上げ、代表取締役等自らが適切な指示・命令を行い、速やかに問題の解決を図る態勢となっているか。

    • マル4システム障害等の発生に備え、ノウハウ・経験を有する人材をシステム部門内、部門外及び外部委託先等から速やかに招集するために事前登録するなど、応援体制が明確になっているか。

    • マル5システム障害等が発生した場合、障害の内容・発生原因、復旧見込等について公表するとともに、顧客からの問い合わせに的確に対応するため、必要に応じ、コールセンターの開設等を迅速に行っているか。

      また、システム障害等の発生に備え、関係業務部門への情報提供方法、内容が明確になっているか。

    • マル6システム障害等の発生原因の究明、復旧までの影響調査、改善措置、再発防止策等を的確に講じているか。

      また、システム障害等の原因等の定期的な傾向分析を行い、それに応じた対応策をとっているか。

    • マル7システム障害等の影響を極小化するために、例えば障害箇所を迂回するなどのシステム的な仕組みを整備しているか。

  • (参考) システムリスクについての参考資料として、例えば「金融機関等コンピュータシステムの安全対策基準・解説書」(公益財団法人金融情報システムセンター編)などがある。

II -3-4-1-3 監督手法・対応

  • (1)問題認識時

    検査結果等により、システムリスクに係る管理態勢に問題があると認められる場合には、必要に応じ、法第24条に基づき報告を求め、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

  • (2)障害発生時

    • マル1コンピュータシステムの障害やサイバーセキュリティ事案の発生を認識次第、直ちに、その事実を当局宛てに報告を求めるとともに、「障害等発生報告書」(様式・参考資料編 様式4-45)にて当局宛て報告を求めるものとする。

      また、復旧時、原因解明時には改めてその旨報告を求めることとする。

      ただし、復旧原因の解明がされていない場合でも、1か月以内に現状についての報告を行うこととする。

      なお、財務局は銀行等より報告があった場合は直ちに本庁担当課室宛て連絡することとする。

      • (注) 報告すべきシステム障害等

        その原因の如何を問わず、銀行等が現に使用しているシステム・機器(ハードウェア、ソフトウェア共)に発生した障害であって、

        • a.預金の払戻し、為替等の決済機能に遅延、停止等が生じているもの又はそのおそれがあるもの

        • b.資金繰り、財務状況把握等に影響があるもの又はそのおそれがあるもの

        • c.その他業務上、上記に類すると考えられるもの

        をいう。

        ただし、一部のシステム・機器にこれらの影響が生じても他のシステム・機器が速やかに交替することで実質的にはこれらの影響が生じない場合(例えば、一部のATMが停止した場合であっても他の同一店舗若しくは近隣店舗のATMや窓口において対応が可能な場合)を除く。

        なお、障害が発生していない場合であっても、サイバー攻撃の予告がなされ、又はサイバー攻撃が検知される等により、顧客や業務に影響を及ぼす、又は及ぼす可能性が高いと認められるときは、報告を要するものとする。

    • マル2必要に応じて法第24条に基づき追加の報告を求め、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出するものとする。

    • マル3特に、大規模なシステム障害等の場合や障害の原因の解明に時間を要している場合等には、直ちに、障害の事実関係等についての一般広報及び店頭等における顧客対応等のコンティンジェンシープランの発動状況をモニタリングするとともに、迅速な原因解明と復旧を要請し、法第24条に基づき速やかな報告を求める。

      さらに、大規模なシステム障害等の復旧の見通しが不確実であり、市場取引、ATM取引・口座振替・給与振込等の決済システムに大きな影響が生じている場合には、早期に法第26条に基づく業務改善命令を発出することを検討する等の対応を行う。

  • (3)システムの更新時等

    銀行が重要なシステムの更新等を行うときは、必要に応じ、法第24条に基づく報告を求め、計画及び進捗状況、プロジェクトマネジメントの適切性・実効性等について確認を行い、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

  • (4)外部委託先への対応

    システムに係る外部委託業務について、外部委託先における適切な業務運営が懸念される場合など、必要があると認められる場合には、本監督指針 II -3-2-4-3の対応を行うものとする。

II -3-4-2 ATMシステムのセキュリティ対策

II -3-4-2-1 意義

ATMシステムは、簡便・迅速に各種サービスを提供するものであり、顧客にとって利便性が高く、広く活用されている。一方で、ATMシステムを通じた取引は、非対面で行われるため、異常な取引態様を確認できないことなどの特有のリスクを抱えている。

銀行が顧客にサービスを提供するに当たっては、顧客の財産を安全に管理することが求められる。従って、利用者利便を確保しつつ、利用者保護の徹底を図る観点から、銀行にはATMシステムの情報セキュリティ対策を十分に講じることが要請される。この点、預貯金者保護法は、偽造・盗難キャッシュカード等による預貯金の不正払戻しを未然に防止するため、必要な情報システムの整備を講じること、及び、顧客に対する情報提供、啓発及び知識の普及を金融機関の責務として規定している。

また、金融機関のATMシステムは、統合ATMスイッチングサービスを通じて他の金融機関と相互に接続していることから、仮にセキュリティ対策が脆弱なATMシステムを放置している金融機関が存在した場合、他の金融機関に対する影響が及ぶことにも留意し、セキュリティ対策を講じる必要がある。

II -3-4-2-2 主な着眼点

  • (1)内部管理態勢の整備

    犯罪技術の巧妙化等の情勢の変化を踏まえ、キャッシュカード偽造等の犯罪行為に対する対策等について、銀行が取り組むべき最優先の経営課題の一つとして位置付け、取締役会等において必要な検討を行い、セキュリティ・レベルの向上に努めているか。また、ATMシステムに係る健全かつ適切な業務の運営を確保するため、銀行内の各部門が的確な状況認識を共有し、銀行全体として取り組む態勢が整備されているか。

    その際、犯罪の発生状況などを踏まえ、自らの顧客や業務の特性に応じた検討を行った上で、必要な態勢の整備に努めているか。

    加えて、リスク分析、セキュリティ対策の策定・実施、効果の検証、対策の評価・見直しからなるいわゆるPDCAサイクルが機能しているか。

    (参考)情報セキュリティに関する検討会で示されたPDCAサイクル

    • マル1金融機関側に起因するリスクの把握(内部管理態勢の整備状況、システム開発の体制、システムの特性、システムの外部委託の状況等)

    • マル2ATM利用に関するリスクの把握(取引限度額、利用可能時間、ATMの設置環境、周辺地域における犯罪発生状況等)

    • マル3上記リスク特性を踏まえ、どのような犯罪手口・リスクに対処すべきかの優先順位付け

    • マル4対策の実施

    • マル5対策の効果の検証、改善

  • (2)セキュリティの確保

    キャッシュカードやATMシステムについて、そのセキュリティ・レベルを一定の基準に基づき評価するとともに、当該評価を踏まえ、一定のセキュリティ・レベルを維持するために体制・技術、両面での検討を行い、適切な対策を講じているか。その際、情報セキュリティに関する検討会の検討内容等を踏まえ、体制の構築時及び利用時の各段階におけるリスクを把握した上で、自らの顧客や業務の特性に応じた対策を講じているか。また、個別の対策を場当たり的に講じるのではなく、セキュリティ全体の向上を目指しているか。

    預貯金者保護法等を踏まえ、適切な認証技術の採用、情報漏洩の防止、異常取引の早期検知等、不正払戻し防止のための措置が講じられているか。その際、顧客の負担が過重なものとならないよう配慮するとともに、互換性の確保などにより利用者利便に支障を及ぼさないよう努めているか。

    高リスクの高額取引をATMシステムにおいて行っている場合、それに見合ったセキュリティ対策を講じているか。特に脆弱性が指摘される磁気カードについては、そのセキュリティを補強するための方策を検討しているか。

    • (参考1) セキュリティに関する基準としては、「金融機関等コンピュータシステムの安全対策基準・解説書」(金融情報システムセンター)などがある。

    • (参考2) リスクの把握に当たって参考となるものとしては、情報セキュリティに関する検討会における検討資料がある。

  • (3)顧客対応

    スキミングの可能性、暗証番号及びカードの盗取の危険性、類推されやすい暗証番号の使用の危険性、被害拡大の可能性(対策として、ATM利用限度額の設定等)、不必要に多くのカードを保有することによる管理上の問題等、キャッシュカード利用に伴う様々なリスクについて、顧客に対する十分な説明態勢が整備されているか。

    顧客からの届出を速やかに受け付ける体制が整備されているか。また、顧客への周知(公表を含む。)が必要な場合、速やかに周知できる体制が整備されているか。特に、被害にあう可能性がある顧客を特定可能な場合は、可能な限り迅速に顧客に連絡するなどして被害を最小限に抑制するための措置を講じることとしているか。

    不正払戻しに係る損失の補償に関する規程等は、預貯金者保護法に基づき、可能な限り明確かつ具体的な内容となっているか。また、その内容を顧客に対して十分説明・周知する態勢が整備されているか。

    • マル1犯罪予防策等に係る自行の対応も踏まえつつ、被害発生後の顧客に対する対応や捜査当局に対する協力に関する対応方針、基準等について、必要な検討を行っているか。

    • マル2被害が発生した場合の補償のあり方について、約款、顧客対応方針等において、統一的な対応を定めているか。

    • マル3専門の顧客対応窓口を設けるなどにより、適切かつ迅速な顧客対応を行う態勢が整備されているか。顧客に対して情報提供等の協力を求めるに当たっては、顧客の年齢、心身の状況等に十分配慮することとされているか。

    不正払戻しに関する記録を適切に保存するとともに、顧客や捜査当局から当該資料の提供などの協力を求められたときは、これに誠実に協力することとされているか。

  • (4)ATMシステムの運用・管理を外部委託している場合の対策

    ATMシステムに関し、外部委託がなされている場合、外部委託に係るリスクを検討し、必要なセキュリティ対策が講じられているか。

II -3-4-2-3 監督手法・対応

  • (1)犯罪発生時

    偽造キャッシュカード及び盗難キャッシュカードによる不正払戻しを認識次第、速やかに「犯罪発生報告書」にて当局宛て報告を求めるものとする。

    なお、財務局は、銀行より報告があった場合は速やかに本庁担当課室宛て報告することとする。

  • (2)問題認識時

    検査結果、犯罪発生報告書等により、銀行のATMシステムのセキュリティ対策及び犯罪対策に係る管理態勢に問題があると認められる場合には、必要に応じ、法第24条に基づき追加の報告を求める。その上で、犯罪防止策や被害発生後の対応について、必要な検討がなされず、あるいは被害が多発するなどの事態が生じた場合など、利用者保護の観点から問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

(注)ATMシステムに関し、外部委託がなされている場合は、必要に応じて、II -3-4-2-3の対応を行うものとする。

(参考)

  • 「偽造キャッシュカード問題に関するスタディグループ最終報告書」(平成17年6月24日:偽造キャッシュカード問題に関するスタディグループ)
  • 「偽造・盗難キャッシュカードに関する預金者保護の申し合わせ」(平成17年10月6日:全国銀行協会等)
  • 「金融機関の防犯基準」(警察庁)
  • 「全銀協ICキャッシュカード標準仕様」(全国銀行協会)

II -3-4-3 金融機関相互のシステム・ネットワークの利用

II -3-4-3-1 意義

現在、金融機関相互のシステム・ネットワークは、金融機関相互の金融取引の決済やCD/ATMオンライン提携などを行う上で、基幹インフラとしての機能を担っている。仮にシステム・ネットワークにおいて、障害が発生した場合は、その影響は決済システム全体及び顧客サービス全般に及びかねないことから、システム・ネットワークに係るリスク管理態勢の充実強化は極めて重要である。

II -3-4-3-2 主な着眼点

  • (1)統合ATMスイッチングサービス、全国銀行データ通信システム等の金融機関相互のシステム・ネットワークのサービスを利用する場合についても、システムに係る外部委託に準じて、適切なリスク管理を行っているか。

  • (2)特に、当該外部サービスにおいて、システムの更改を行う場合においては、顧客や業務に対する影響が生じないよう、当該外部サービスの管理者及び自行の双方において、適切なシステム上の対応がなされているかを十分に評価・確認し、必要な場合は、当該外部サービス管理者に対して適切な対策を求めるなどの対応がなされているか。

  • (3)特に、銀行が、当該システム・ネットワークの運営、更改に関して、主導的な役割を果たしている場合、顧客サービスや我が国の決済システム等に対する影響が生じないよう、当該外部サービス管理者とともに、適切かつ十分なリスク管理態勢、プロジェクトマネジメント態勢等を整備しているか。

II -3-4-3-3 監督手法・対応

検査結果等により、銀行のシステム・ネットワークに係る健全かつ適切な業務の運営に疑義が生じた場合には、必要に応じ、法第24条に基づき報告を求め、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。また、銀行が当該システム・ネットワークの運営、更改に関して、主導的な役割を果たしている場合において、当該システム・ネットワークに係るリスク管理態勢に疑義が生じた場合においても同様の対応を行うものとする。

(注)システム・ネットワークの外部サービス管理者のうち外部委託先に該当するものについて、適切な業務運営が懸念される場合などには、必要に応じて、本監督指針 II -3-2-4-3の対応を行うものとする。

II -3-5 インターネットバンキング

II -3-5-1 意義

インターネットは、銀行にとっては低コストのサービス提供を可能とするものであるとともに、利用者にとっては利便性の高い取引ツールとなり得るものである。一方、インターネットを通じた取引は、非対面で行われるため、異常な取引態様を確認できないことなどの特有のリスクを抱えている。

銀行が顧客にサービスを提供するに当たっては、顧客の財産を安全に管理することが求められる。従って、銀行においては、利用者利便を確保しつつ、利用者保護の徹底を図る観点から、インターネットバンキングに係るセキュリティ対策を十分に講じるとともに、顧客に対する情報提供、啓発及び知識の普及を図ることが重要である。

II -3-5-2 主な着眼点

  • (1)内部管理態勢の整備

    インターネットバンキングに係る犯罪行為に対する対策等について、犯罪手口が高度化・巧妙化し、被害が拡大していることを踏まえ、最優先の経営課題の一つとして位置付け、取締役会等において必要な検討を行い、セキュリティ・レベルの向上に努めるとともに、利用時における留意事項等を顧客に説明する態勢が整備されているか。また、インターネットバンキングの健全かつ適切な業務の運営を確保するため、銀行内の各部門が的確な状況認識を共有し、銀行全体として取り組む態勢が整備されているか。

    その際、情報共有機関等を活用して、犯罪の発生状況や犯罪手口に関する情報の提供・収集を行うとともに、有効な対応策等を共有し、自らの顧客や業務の特性に応じた検討を行った上で、今後発生が懸念される犯罪手口への対応も考慮し、必要な態勢の整備に努めているか。

    加えて、リスク分析、セキュリティ対策の策定・実施、効果の検証、対策の評価・見直しからなるいわゆるPDCAサイクルが機能しているか。

  • (2)セキュリティの確保

    情報セキュリティに関する検討会の検討内容等を踏まえ、体制の構築時及び利用時の各段階におけるリスクを把握した上で、自らの顧客や業務の特性に応じた対策を講じているか。また、個別の対策を場当たり的に講じるのではなく、効果的な対策を複数組み合わせることによりセキュリティ全体の向上を目指すとともに、リスクの存在を十分に認識・評価した上で対策の要否・種類を決定し、迅速な対応が取られているか。

    インターネットバンキングに係る情報セキュリティ全般に関するプログラムを作成し、各種犯罪手口に対する有効性等を検証した上で、必要に応じて見直す態勢を整備しているか。また、プログラム等に沿って個人・法人等の顧客属性を勘案しつつ、全国銀行協会の申し合わせ等も踏まえ、取引のリスクに見合ったセキュリティ対策を講じているか。その際、犯罪手口の高度化・巧妙化等(「中間者攻撃」や「マン・イン・ザ・ブラウザ攻撃」など)を考慮しているか。

    ウェブページのリンクに関し、利用者が取引相手を誤認するような構成になっていないか。また、フィッシング詐欺対策については、利用者がアクセスしているサイトが真正なサイトであることの証明を確認できるような措置を講じる等、業務に応じた適切な不正防止策を講じているか。

    (注)情報の収集に当たっては、金融関係団体や金融情報システムセンターの調査等のほか、情報セキュリティに関する検討会や金融機関防犯連絡協議会における検討結果、金融庁・警察当局から提供された犯罪手口に係る情報などを活用することが考えられる。

    (参考)

    • セキュリティ対策向上・強化等に関する全国銀行協会の「申し合わせ」(平成24年1月、25年11月、26年5月、26年7月等)
    • インターネット・バンキングにおいて留意すべき事項について(全国銀行協会)
    • 金融機関等コンピュータシステムの安全対策基準・解説書(金融情報システムセンター)
    • 情報セキュリティに関する検討会における検討資料
  • (3)顧客対応

    インターネット上での暗証番号等の個人情報の詐取の危険性、類推されやすい暗証番号の使用の危険性、被害拡大の可能性(対策として、振込限度額の設定等)等、様々なリスクの説明や、顧客に求められるセキュリティ対策事例の周知を含めた注意喚起等が顧客に対して十分に行われる態勢が整備されているか。

    顧客自らによる早期の被害認識を可能とするため、顧客が取引内容を適時に確認できる手段を講じているか。

    顧客からの届出を速やかに受け付ける体制が整備されているか。また、顧客への周知(公表を含む。)が必要な場合、速やかにかつ顧客が容易に理解できる形で周知できる体制が整備されているか。特に、被害にあう可能性がある顧客を特定可能な場合は、可能な限り迅速に顧客に連絡するなどして被害を最小限に抑制するための措置を講じることとしているか。

    不正取引を防止するための対策が利用者に普及しているかを定期的にモニタリングし、普及させるための追加的な施策を講じているか。

    不正取引に係る損失の補償については、預貯金者保護法及び全国銀行協会の申し合わせの趣旨を踏まえ、利用者保護を徹底する観点から、個人顧客及び法人顧客への対応方針等を定めるほか、真摯な顧客対応を行う態勢が整備されているか。

    不正取引に関する記録を適切に保存するとともに、顧客や捜査当局から当該資料の提供などの協力を求められたときは、これに誠実に協力することとされているか。

  • (4)その他

    インターネットバンキングが非対面取引であることを踏まえた、取引時確認等の顧客管理態勢の整備が図られているか。

    インターネットバンキングに関し、外部委託がなされている場合、外部委託に係るリスクを検討し、必要なセキュリティ対策が講じられているか。

    (参考)

    • インターネット・バンキングにおいて留意すべき事項について(全国銀行協会)
    • 金融機関等コンピュータシステムの安全対策基準・解説書(金融情報システムセンター)
    • 預金等の不正な払戻しへの対応について(平成20年2月19日:全国銀行協会)
    • 法人向けインターネット・バンキングにおける預金等の不正な払戻しに関する補償の考え方(平成26年7月17日:全国銀行協会)

II -3-5-3 監督手法・対応

  • (1)犯罪発生時

    インターネットバンキングによる不正取引を認識次第、速やかに「犯罪発生報告書」にて当局宛て報告を求めるものとする。

    なお、財務局は、銀行より報告があった場合は速やかに本庁担当課室宛て報告することとする。

  • (2)問題認識時

    検査結果、犯罪発生報告書等により、銀行のインターネットバンキングに係る健全かつ適切な業務の運営に疑義が生じた場合には、必要に応じ、法第24条に基づき追加の報告を求める。その上で、犯罪防止策や被害発生後の対応について、必要な検討がなされず、被害が多発するなどの事態が生じた場合など、利用者保護の観点から問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

  • (注)インターネットバンキングに関し、外部委託がなされている場合は、必要に応じて、II -3-2-4-3の対応を行うものとする。

II -3-6 外部の決済サービス事業者等との連携

II -3-6-1 意義

   フィンテックの進展に伴い、スマートフォンのアプリ等を用いて、インターネット口座振替サービス等の方法により預金口座と連携させる決済サービス(以下「連携サービス」という。)を提供する事業者(以下「連携サービス提供事業者」という。)が多数登場している。
 こうした連携サービスは、キャッシュレス社会の実現に向けて、利便性の高い金融サービスを国民に提供していくこととなる一方で、連携サービスを悪用し、連携を行う預金口座の預金者になりすまして不正な取引を行う事案が発生するなど、連携サービスを狙う犯罪が発生していることを踏まえ、連携サービス全体のリスクを把握し、安全性を確保していくことが、銀行及び連携サービス提供事業者の双方にとって重要な課題となってる。
 銀行は、顧客保護を図るとともに預金口座の信認を確保するため、連携サービスに係るセキュリティ対策等を講じる必要があるが、その場合には

・連携サービスは、直接的には連携サービス提供事業者が利用者に提供するサービスであるが、連携サービスの利用者は預金者であることを踏まえ、銀行は連携サービス提供事業者と共に顧客保護に係る態勢を適切に構築する必要があること

・連携サービスに係る不正取引の態様によっては、インターネットバンキングを利用していない預金者にも被害が生じるおそれがあること

・連携サービス全体のリスクを把握して、預金口座との連携や連携サービスへの口座振替、不正取引のモニタリング、不正出金等が発生した場合の顧客対応や補償といった連携サービスの各段階における対策を講じる必要があることといった連携サービス特有の留意点を踏まえた上で、連携サービス提供事業者とも協力し、顧客保護と利用者利便の向上とを両立する必要がある。
(注)銀行は、連携サービス提供事業者以外の事業者との間でも口座振替契約等に基づく資金移動を行っているが、こうした場合でも銀行は、当該口座振替契約等における預金者へのなりすましや資金移動に係るリスクを適切に把握し、本監督指針の趣旨も踏まえ、そのリスクやサービスの特性に応じた対策を取る必要があることに留意する。

II -3-6-2 主な着眼点

  • (1)内部管理態勢

    ① 
    預金口座に係る不正取引等、犯罪行為の手口が高度化・巧妙化していることを踏まえ、連携サービスに係る
     対策についても最優先の経営課題の一つとして位置付け、取締役会等において必要な検討を行い、セキュリテ
     ィ・レベルの向上を図り、安全性と利便性とを両立させたサービスの提供に努めているか。

    ②  連携サービスに係る責任部署を明確化し、連携サービスに係る業務の実施状況(連携サービス提供事業者
     における業務の実施状況(連携サービスの内容を変更する場合を含む。)を含む。)を定期的又は必要に応じ
     てモニタリングする等、連携サービス提供事業者において連携サービスに係る業務を適切に運営しているか確
     認する態勢が構築されているか。

    ③ 連携サービスに係る不正取引の発生状況や犯罪行為の手口、顧客からの相談等に係る情報を収集・分析
     し、セキュリティの高度化や連携サービスに係るリスクの早期検知・改善を行うなど、連携サービスに係る業
     務の健全かつ適切な運営が確保される態勢が構築されているか。また、金融関係団体と必要な情報・分析結果
     を連携する態勢が構築されているか。

    ④ 内部監査部門は、定期的又は必要に応じて、連携サービスに係る業務の実施状況(セキュリティ・レベルに
     関する事項を含む。)について監査を行っているか。また、その内容を取締役会等に報告しているか。

    ⑤  連携サービスに係るリスク分析、対策の策定・実施、効果の検証、対策の評価・見直しからなるいわゆる
     PDCA サイクルが機能しているか。

  • (2)セキュリティの確保

    ①  連携サービスに係る不正取引を防止し、顧客保護を図る観点から、連携サービス提供事業者と協力し、連
     携サービス全体のリスクを継続的に把握・評価し、当該評価を踏まえ、一定のセキュリティ・レベルを維持す
     るために体制・技術、両面での検討を行い、適切な対策を講じているか。また、連携サービス提供事業者が行
     うリスク評価や検証に係る作業に協力しているか。

    ② 預金者へのなりすましによる不正取引を防ぐため、連携サービス提供事業者において実施している当該サー
     ビス利用者に対する取引時確認や預金者との同一性の確認の状況等を継続的に把握・評価し、当該評価を踏ま
     えた適切なセキュリティ管理態勢を構築しているか。また、必要に応じて、連携サービス提供事業者の実施す
     る預金者との同一性の確認などに協力しているか。

    ③ 預金口座との連携を行う際に、固定式のID・パスワードによる本人認証に加えて、ハードウェアトークン・
     ソフトウェアトークンによる可変式パスワードを用いる方法や公的個人認証を用いる方法などで本人認証を実
     施するなど、実効的な要素を組み合わせた多要素認証等の導入により預金者へのなりすましを阻止する対策を
     導入しているか。
    (注)実効的な認証方式についてはⅡ-3-4-1-2(5)⑦を参照。なお、実効的な認証方式などのセキュ
     リティ対策は、情報通信技術の進展により様々な方式が新たに開発されていることから、定期的又は必要に応
     じて見直しを行う必要があることに留意。

    ④ 連携サービスに係る不正取引のモニタリングでは、犯罪手口の高度化・巧妙化を含めた環境変化や不正取引
     の発生状況等を踏まえた適切なシナリオや閾値を設定するなど、早期に不正取引を検知可能とするモニタリン
     グ態勢を構築しているか。また、不正取引を検知した場合、速やかに利用者に連絡する態勢が構築されている
     か。

    ⑤ 資金を事前にチャージして利用する連携サービスなど、銀行が連携サービス利用者による取引をモニタリン
     グすることが困難な場合には、当該連携サービス提供事業者による不正取引をモニタリングする態勢を確認す
     るとともに、犯罪発生状況や犯罪手口に関する情報を適切に連携するなど、顧客被害の拡大を防止する態勢が
     整備されているか。

    ⑥ 連携サービスに係る不正取引を検知した場合、速やかに利用者に連絡する、不正取引が行われているおそれ
     のある口座に係る取引を一時停止するなど、被害の拡大防止を図る態勢が構築されているか。

    ⑦ 顧客が早期に被害を認識可能とするため、連携サービスに係る口座振替契約の締結時などに、顧客への通知
     などにより、顧客が適時に取引の状況を確認できる手段を講じているか。

    ⑧ 上記の過程で、連携サービス全体に脆弱性が認められる場合には、連携サービスを一時停止する等の対応を
     取り、脆弱性を解消してからサービス再開を行う態勢としているか。

    ⑨ 犯罪手口の高度化・巧妙化を含めた環境変化や、犯罪発生状況を踏まえ、リスクを継続的に把握・評価し、
     必要に応じて認証方法の高度化を図るなど不正防止策の継続的な向上を図っているか。
    (参考)
    ・「資金移動業者等との口座連携に関するガイドライン」(令和2年11 月30 日:全国銀行協会)

  • (3)顧客保護

    ① 連携サービスは、連携サービス提供事業者が直接的に利用者との接点を持つサービスであるが、銀行におい
     ても、連携サービスの利用者が預金者であること、預金口座と連携した上で提供されるサービスであることを
     踏まえ、利用時における留意事項等を顧客に説明する態勢を整備するとともに、連携サービスに係る利用者か
     らの相談を受け付ける態勢を整備しているか。

    ② 連携サービスにおいて不正取引が発生した場合を想定し、連携サービス提供事業者との間で連絡体制の構築
     や被害の公表方針の策定といった被害拡大防止に係る適切な態勢を構築しているか。

    ③ 事前に連携サービス提供事業者との間で業務運営に当たって生じる責任分担などが取り決められているか。
     特に、不正取引により顧客被害が発生した場合には、速やかに損失の補償を行う必要があることを踏まえ、
     事前に連携サービス提供事業者との間で補償方針や補償の分担についての取決めを行っているか。
    (注)連携サービスに係る不正取引の被害者は、必ずしも当該連携サービスの利用者に限られないことから、
     顧客から不正取引に係る相談や届出を受けた場合には、銀行に帰責性が無い場合であっても、迅速かつ真摯な
     対応を行うとともに、必要に応じて連携サービス提供事業者と協力して対応する必要がある点に留意する。
    (参考)
    ・「預金等の不正な払戻しへの対応について」(平成20 年2月19日:全国銀行協会)
    ・「資金移動業者等との口座連携に関するガイドライン」(令和2年11 月30 日:全国銀行協会)

II -3-6-3 監督手法・対応

  • (1)犯罪発生時
     連携サービスによる不正取引を認識次第、速やかに「犯罪発生報告書」にて、当局宛て報告を求めるものとする。

  • (2)問題認識時
     検査結果、犯罪発生報告書等により、銀行の連携サービスに係る健全かつ適切な業務の運営に疑義が生じた場
    合には、必要に応じ、法第24 条に基づき追加の報告を求める。その上で、犯罪防止策や被害発生後の対応につ
    いて、必要な検討がなされず、被害が多発するなどの事態が生じた場合など、利用者保護の観点から問題がある
    と認められる場合には、法第26 条に基づき業務改善命令を発出する等の対応を行うものとする。

II -3-7 システム統合リスク・プロジェクトマネジメント

II -3-7-1 意義

II -3-7-1-1 システム統合リスク

銀行のシステムについては、経営再編によるシステム構成・システム運用体制の複雑化、銀行業務におけるIT(情報通信技術)依存度の高まりやオンライン・リアルタイム・ネットワークの拡大と相俟って、システムの安全性・安定性の確保が重要な経営課題となっている。

特に、合併等の経営再編に伴うシステム統合において大規模なシステム障害が発生し、経営陣が経営責任を問われる事態も発生していることから、合併等を行うに際し、システム統合リスク管理態勢の構築は最重要課題のひとつとなっている。

  • (参考)金融機関のITガバナンスに関する対話のための論点・プラクティスの整理(令和元年6月)別添「システム統合リスク管理態勢に関する考え方・着眼点(詳細編)」
    • マル1「システム統合」とは、合併、事業譲渡、持株会社化、子会社化及び業務提携等の経営再編(「経営統合」)により、システムを統合、分割又は新設することをいう(システムの共同開発・運営を含む。)。

    • マル2「システム統合リスク」とは、システム統合における事務・システム等の統合準備が不十分なことにより、事務の不慣れ等から役職員が正確な事務を誤り、あるいはコンピュータシステムのダウン又は誤作動等が発生し、その結果、顧客サービスに混乱を来す、場合によっては金融機関等としての存続基盤を揺るがす、さらには決済システムに重大な影響を及ぼすなど、顧客等に損失が発生するリスク、また統合対象金融機関等が損失を被るリスクである。

II -3-7-1-2 システム統合リスクの「リスク特性」とリスク軽減策

  • (1)リスク特性の基本的考え方

    「システム統合リスク」とは、単にシステムの開発にかかわるリスクに限られるのではなく、事務(ユーザー)部門における事務処理対応、営業店における顧客対応等の「事務リスク」の分野を広く包摂したものであって、対象銀行の経営陣の責任において、「顧客利便」を最重要視した複合的なリスク管理が求められている点が重要である。

  • (2)リスク軽減策の基本的考え方

    システム統合リスクのリスク量は、事象(イベント)の発生確率と発生した場合の影響度(インパクト)の積で認識すべきものであり、銀行は、業容等を勘案した上で、徹底したリスク軽減策が求められることに留意する必要がある。

    加えて、リスク軽減策に見合うコンティンジェンシープランを整備し、各種リスク事象が複合的に顕在化(障害が同時発生)しても、顧客に大きな影響を及ぼすことを回避できるような態勢を整備する。

II -3-7-1-3 プロジェクト管理(プロジェクトマネジメント)の重要性

合併に伴うシステム統合の実施に当たっては、下記のような合併時固有の事情(注)から、システム開発会社だけではなく、銀行においても、実効性のあるプロジェクト管理態勢の構築(いわゆる「プロジェクトマネジメント」の実施)が不可欠であると考えられる。

  • (注) 合併以外の事由に伴うシステム統合の場合においても、合併時と同様な事情があることに留意する。

  • (1)制約のあるスケジュール

    システム統合を行う複数の銀行(以下 II -3-7において「対象銀行」という。)の経営陣は、制約のあるスケジュールの下で、マル1経営戦略・ビジネスモデルの構築、マル2人事体制・リストラ計画の策定、マル3統合比率の決定等の重要な経営判断を迅速に行う必要があること。

  • (2)長期にわたる複雑なプロジェクト

    システム統合を実現するプロセスの基本的なパターンは、マル1基本検討、マル2基本設計、マル3詳細設計、マル4製造、マル5結合テスト、マル6総合テスト、マル7総合運転テスト、マル8移行であり、実現までに長期間を要する複雑なプロジェクトであること。

    また、以下のような2段階で行われることが多く、合併の基本合意から完全なシステム統合の実現まで長期間(3年~)を要することもあること。

    • イ.第一段階:合併(行名、店名、店番の変更)時は、旧行のシステムは並列して存続させ、その間をつなぐ中継・連携システムを稼動

    • ロ.第二段階:完全な統合システムを稼動させ、商品・サービスの一本化、店舗統廃合を本格化

    第二段階も、全店が同時に移行するのではなく、店別に移行する「店群移行方式」が採用されることがあること。

  • (注) 株主の了承と当局の認可

    合併を実現するプロセスの基本的なパターンは、マル1基本合意、マル2合併契約の締結(統合比率を含む。)、マル3株主総会の承認、マル4合併の認可申請・認可、マル5合併であり、対象銀行の経営陣としては、株主の了承と複数の関係当局(金融監督当局、公正取引委員会)の認可等を得る必要があること。

II -3-7-2 主な着眼点

検証に当たっての基本的な着眼点は、「金融機関のITガバナンスに関する対話のための論点・プラクティスの整理」(令和元年6月)別添「システム統合リスク管理態勢に関する考え方・着眼点(詳細編)」に示されているところによるが、以下は、銀行の特徴、規模、過去の事例から得られた反省と教訓等を勘案して、より具体化した着眼点を例示したものである。

  • (1)取締役の責任分担及び経営姿勢の明確化

    対象銀行の代表取締役は、上記 II -3-7-1のようなシステム統合リスクのリスク特性やプロジェクトマネジメントの重要性を正確に認識しているか。

    対象銀行の代表取締役は、システム統合に係る役職員の責任分担を明確化するとともに、自らの経営姿勢を明確化しているか。

  • (2)システム統合方式に係る経営判断の合理性

    対象銀行の取締役会は、システム統合の方式決定に当たり、対象銀行間の軋轢を排除し、十分な協議を行い、合併等までのスケジュール、経営戦略等に基づき、システム統合実施までの準備期間を十分に確保した上で、合理的な意思決定が行われているか。

  • (3)プロジェクトマネジメントのための基本的な体制整備

    • マル1対象銀行の取締役会は、システム統合は、単にシステムの問題としてではなく、事務処理対応及び顧客対応という事務リスクと密接不可分であること、また、一つの分野で発生するリスクが他の分野にも波及し、経営再編全体の大きな障害となる可能性があることを十分認識した上で、協調して、システム統合に係る計画・作業を統括管理する役員及び部門(以下「統括役員及び部門」という。)等を設置しているか。

    • マル2対象銀行間、取締役・統括役員及び部門間、開発部門・ユーザー部門間、同一部門内、営業店内における意思疎通が十分に図られる体制が整備されているか。

    • マル3対象銀行の取締役会並びに統括役員及び部門は、協調して統合プロジェクトの進捗状況を的確に把握できる体制を整備しているか。システム統合に関する情報が対象銀行の一部の役職員の間にとどまることのないよう銀行内、銀行間の報告体制が整備されているか。

  • (4)システム統合計画とその妥当性

    • マル1事務・システム両面にわたる徹底したリスクの洗出しと軽減策

      対象銀行の取締役会は、統合前のそれぞれのシステムの実態及びこれまでのシステム障害の事例等を踏まえ、システム統合において対顧客障害を起こさないという観点から、上記 II -3-7-1を踏まえ、事務・システム両面にわたる徹底したリスクの洗出しと軽減策を講じた上で、システム統合計画を策定しているか。

      事務・システム両面にわたり十分かつ保守的な移行判定項目・基準を策定しているか。

    • マル2システム統合計画の妥当性

      当初策定した統合の期限を優先するあまり、リスク管理を軽視した計画等となっていないか、第三者機関の評価等も活用して、計画の妥当性につき客観的・合理的に検証しているか。

      また、移行判定項目・基準等においては、全ての役職員が、いつまでに何をすべきかを明確に定めたものとなっているか。

  • (5)銀行における十分なテスト・リハーサル体制の構築

    これまでの障害事例の反省として、ほとんどのケースにおいて「十分なテスト・リハーサルを行わなかったこと」が挙げられていることを踏まえ、

    • マル1レビューやテスト不足が原因で、顧客に影響が及ぶような障害や経営判断に利用されるリスク管理用資料等の重大な誤算が発生しないような十分なテスト、リハーサルの体制を整備しているか。具体的には、工程毎のレビュー実施状況を検証し、品質状況を管理するためのレビュー実施計画や、システム統合に伴う開発内容に適合したテスト計画が策定され、実施するための体制が整備されているか。

      特に、ファイル移行等に関する最終的な品質は、全店・全量データによる機能確認を行わないと判定できないことを踏まえたテスト計画となっているか。さらに、テスト期間中に判明する想定外の不整合データについてのデータクレンジング等の追加的な事務負担を織り込んで、スケジュール管理が行われているか。

    • マル2システムの開発内容に関係ない部分であっても、例えば対外接続系に使用されていたベンダーのパッケージソフトの潜在的な不具合が統合時に顕在化し、結果として大規模な障害に発展する等、まったく想定外のリスク事象が発生することがあることにかんがみ、影響がないと見込まれる部分であっても影響がないことを確認するためのテスト等を可能な限り計画しているか。

    • マル3統合後の業務運営の検証のため、本番環境を想定した訓練やリハーサルは、可能な限り全営業部店(ATMを含む。)や対外チャネル(全銀システム、統合ATMスイッチングサービス、手形交換、日銀RTGS等)に同時並行的にピーク時の負荷をかける等、できる限り忠実に本番に近い環境を再現して行うこととしているか。

    • マル4統合により、事務処理の方式が抜本的に変化する営業部店において、いわゆる追付き開発・差分開発の見送りに伴う事務負担の増加への対応を含め、事務手続きの習得教育・障害訓練は十分行われているか。さらに、その進捗状況を把握・評価する体制が整備されているか。

  • (6)対顧客説明、接続テスト実施体制の構築

    • マル1対顧客説明

      • イ.顧客折衝の実施計画や折衝に当たって必要な役職員研修の具体的な実行計画等、顧客への周知・説明態勢の十分な整備、研修やマニュアルの実行可能性について、個別具体的な検証がなされているか。

      • ロ.システム統合により、取り扱う金融サービス(例えば、手数料の徴求形態、資金入金日等に至るまで)に変更がある場合には、顧客利便性に配慮した検討を行ったうえで、顧客への周知が適切に行われているか。

    • マル2接続テスト実施体制

      口座振替、エレクトロニックバンキング等の顧客とつながりのある取引について、顧客側の事情を勘案した接続テストの実施等スケジュールを策定し、顧客への説明を十分に行っているか。

      特に、これまでの障害事例の反省として、ほとんどのケースにおいて「十分な接続テストを行わなかったこと」が挙げられていることから、顧客との接続テストは、可能な限り全て実施することを基本として計画を組んでいるか。

      接続テストを行わないケース又は行う必要がないと考えられるケースについても、可能な限り実データ等により問題が起きないことを確認することとしているか。

    • マル3対顧客説明、接続テスト等の進捗状況を把握・評価する体制が整備されているか。

  • (7)設計・開発段階からのプロジェクトマネジメント

    商品の整理・統合等に係る設計・開発段階から、事務(ユーザー)部門とシステム部門の間で認識の相違や、業務要件の洗出しの漏れ・仕様調整漏れが生じ、これが統合時の障害のひとつの原因となっていることから、設計・開発の段階毎に品質管理が重要である。

    こうしたことを踏まえ、各工程の検証及び承認ルールを明確にする等、適切な管理が行われているか。特に、納期を優先するあまり、品質を犠牲にし、各工程の完了基準を満たさずに次工程に進むことがないか。

  • (8)外部委託先の管理態勢

    統合に係るシステム開発等の業務が外部委託される場合、当該委託先と統括部門との間の意思疎通が十分に図られる体制を整備しているか。

    外部委託先の作業の問題点の早期発見・早期是正がなされないと、追加テスト等を行うことによる遅延が発生することを踏まえ、外部委託業務の内容及びその進捗状況を的確に把握しているか。

    特に、対象銀行と複数の外部委託先が関与する場合、管理態勢の複雑化に伴うリスクを十分認識した上で、対象銀行が協調して、主体的に関与する体制となっているか。

  • (9)計画の進捗管理・遅延・妥当性の検証に係るプロジェクトマネジメント

    • マル1対象銀行の取締役会並びに統括役員及び部門は、システム統合計画の進捗管理に際し、協調して残存課題、未決定事項等の問題点の把握、解消予定の見定めが十分なされる体制となっているか。

    • マル2プロジェクトの進捗管理に当たっては、常に計画の妥当性まで遡って検証しながら進めることとしているか。

    • マル3システム統合が遅延する等、不測の事態が生じた場合に協調して適切に対応できる体制を整備しているか。具体的には、システム統合が計画に比して遅延した場合にスケジュールを見直す基準が策定された上で取締役会の承認を得ており、それに基づいて適切な対応が図られる体制が整備されているか。

      また、協調して遅延の根本原因を究明し、対処する体制が整備されているか。

  • (10)資源配分及び計画の変更等に係るプロジェクトマネジメント

    • マル1統合の各段階において経営資源が適切に配分されているか等、対象銀行が協調して統合の段階毎の進捗について検証を行い、仮に問題点が把握された場合には、それに対し速やかに適切な方策を講じることとしているか。特定の部署・担当者に作業が集中することのないよう業務管理が適切に行われているか。

    • マル2計画の見直しに当たっては、変更後の計画が妥当なものであるか、変更により全体のプロジェクトにどのような影響があるかを十分検証、検討したものとなっているか。

  • (11)厳正な移行判定の実施

    • マル1対象銀行の統括役員及び部門は、II -3-7-1を踏まえ安全性・安定性を確保するために適切に策定され、取締役会の承認を得た業務の移行判定基準(システムの移行判定基準を含む。)に従い、システムを含む統合後の業務運営体制への移行の可否を判断し、取締役会での承認を経て実行することとしているか。

      移行判定時までに、必要なテスト、リハーサル、研修及び訓練等(コンティンジェンシープランの訓練及びその結果を踏まえたプランの見直しまで含む。)が終了し、経営陣の判断するに当たっての不可欠な材料が全て揃うスケジュール・計画となっているか。

      移行判定の時期は、対外接続や顧客への対応も含めて、フォールバックが円滑に行われるよう、統合予定日から十分な余裕をもって遡って設定されているか。

    • マル2いわゆる店群移行方式においては、各回の移行毎に、前回移行までに発生した障害事例(例えば移行店と未移行店を跨ぐ処理に関してシステム又は運用に起因する障害、障害対応に起因する二次障害等)への対策の実施状況、移行対象店舗の特性(口座振替・財形等の個社対応をしている大口先の存在等)も勘案した移行判定を行うこととしているか。

  • (12)フォールバックの態勢整備

    移行判定時において統合不可(戻し、延期等)の判断がなされた場合、システム、内部事務、顧客対応等が円滑に行われる態勢が整備されているか。

    システム統合日前後における不測の事態への対応プラン(システム統合の中止を含む。)が連携して策定され、取締役会の承認を得ているか。

  • (13)コンティンジェンシープランの確立

    既存のコンティンジェンシープランについて、システム統合後のシステムの構成や組織体制に基づいた見直しを行った上で、取締役会の承認を受けているか。

    また、システム統合に係るコンティンジェンシープランが、同様に策定されているか。特にこれまでの事例を踏まえ、対象銀行は連携して、

    • マル1システム障害等の不測の事態が発生した場合、システムが完全復旧するまでの代替手段を検討・整備しているか。

    • マル2口座振替の処理遅延やATM障害が取引のピーク日に発生した場合、二重引落や通帳への記帳ミス等の二次的災害を防止するためのマニュアル対応及び営業店等における訓練が十分に行われる体制が整備されているか。

      また、統合後の事務処理に不慣れな営業店の店頭の混乱等による顧客サービスの低下を防止するための体制が整備されているか。

      システムが完全復旧するまでの間、手作業に頼らざるを得ない場合に備え、軽微な障害であっても短期間に同時多発する可能性も考慮して、事務量を適切に把握し、必要な人員の確保が迅速にできる体制が整備されているか。

    • マル3システム障害等の不測の事態が発生した場合、障害の内容・原因、復旧見込等について公表するとともに、顧客からの問い合わせに的確に対応するため、コールセンターの開設等を迅速に行うこととしているか。

    • マル4単に机上のプランにとどまらず、実際に十分な回数の訓練を行い、その結果を踏まえて、必要に応じプランの見直しを行って、実効性を確保しているか。

  • (14)実効性のある内部監査、第三者評価

    • マル1内部監査

      対象銀行の内部監査部門(以下「内部監査部門」という。)は、単なる進捗状況のモニタリング・検証のみならず、各問題が統合計画に与える影響やシステム統合リスク管理態勢の実効性といった観点から監査するものと位置付けられた上で、協調して業務監査及びシステム監査を行うことができる体制となっているか。また、システムの開発過程等プロセス監査に精通した要員を確保しているか。

    • マル2第三者評価

      システム統合に係る重要事項の判断に際して、システム監査人による監査等の第三者機関による評価を、その限界も見極めつつ、効果的に活用しているか。

  • (15)銀行持株会社による統括機能

    銀行持株会社の下で子銀行等のシステム統合が行われる場合には、銀行持株会社の経営管理機能の一環として、システム統合リスク管理機能(プロジェクト管理機能を含む。)が適切に発揮されているか( III -4-11-4参照)。

II -3-7-3 監督手法・対応

  • (1)基本合意等の公表が行われた場合

    銀行が、システム統合等を行う場合にあっては、基本合意等の公表を受けて、法第24条に基づき、システム統合の計画(スケジュールを含む。)及びその進捗状況、並びに、システム統合リスク管理及びプロジェクトマネジメントの態勢について、定期的に報告を求めて実態を把握し、重大な問題がないか検証する。

  • (2)検査結果通知が行われた場合

    システム統合リスク管理態勢等に関する検査結果通知が行われた場合には、法第24条に基づき、指摘事項について、事実確認、発生原因分析、改善対応策、その他を取りまとめた報告、及び、リスクを適正に制御する方策(計画を的確に履行するための方策、内部監査を含む内部管理態勢等)について報告を求め、システム統合リスク管理態勢(プロジェクトマネジメントの態勢を含む。以下同じ。)に問題がないか検証する。

    さらに、定期的にフォローアップ報告を求めて、検査結果を受けた改善・対応策の進捗状況、プロジェクト管理態勢の実効性等の確認を行う。

  • (3)移行判定が行われた場合

    システム統合に係る移行判定が行われたときは、その判断の根拠等につき、法第24条に基づく報告を求める。

  • (4)上記(1)から(3)の検証等の結果、問題が認められた場合

    法第24条に基づき報告を求め、重大な問題がある場合には、法第26条に基づき、システム統合リスク管理態勢に関する業務改善命令を発出するものとする。

  • (5)システム統合に係る経営統合が当局の認可を要する場合

    当該認可申請に対し、法令に基づく審査基準の範囲内で、システム統合計画を的確に履行するための方策、内部監査を含む内部管理態勢等その他 II -3-7-2を踏まえた資料の提出を求め、システム統合リスク管理態勢に問題がないか審査し、必要に応じ所要の調整を経て、又は法第54条に基づき必要な条件を付して認可することとする。

    また、合併等の認可後から当該システム統合完了までの間、法第24条に基づく報告を定期的に求めるものとする。

  • (6)システム障害が発生した場合

    本監督指針 II -3-4-1-2(8)、II -3-4-1-3(2)等にも留意する。

  • (7)外部委託先の業務運営が特に懸念される場合

    本監督指針 II -3-4-1-3(4)等にも留意する。

II -3-8 危機管理体制

II -3-8-1 意義

近年、銀行が抱えるリスクは多様化・複雑化しており、情報化の進展など銀行を取り巻く経営環境の変化も相俟って、通常のリスク管理だけでは対処できないような危機が発生する可能性は否定できず、危機管理の重要性が高まっている。特に、地域に根差した経営をしている銀行においては、危機発生時における初期対応や地域に対する情報発信等の対応が極めて重要であることから、平時より危機管理体制を構築しておくことが必要である。このため平時より業務継続体制(Business Continuity Management; BCM)を構築し、危機管理(Crisis Management ; CM)マニュアル、及び業務継続計画(Business Continuity Plan; BCP)の策定等を行っておくことが必要であると考えられる。

なお、風評及びシステムリスク等に係る危機管理については、銀行の資金繰りや社会に対して特に大きな影響を与える可能性があることから、別途、監督上の留意点を定めることとする。

II -3-8-2 平時における対応

  • (1)対応

    危機管理は平時における未然防止に向けた取組みが重要との認識の下、早期警戒制度等のオフサイト・モニタリングや不祥事件等届出書のヒアリングを行う中で、又は銀行に関する苦情・情報提供等を受けた場合などにおいて、銀行における危機管理体制に重大な問題がないか検証する。また、業務継続計画についても、ヒアリングを通じて、その適切性を検証する。その際、特に以下の点に留意する。

  • (2)主な着眼点

    • マル1何が危機であるかを認識し、可能な限りその回避に努める(不可避なものはリスクの軽減策を講じる。)よう、平時より、定期的な点検・訓練を行うなど未然防止に向けた取組みに努めているか。

    • マル2危機管理マニュアルを策定しているか。また、危機管理マニュアルは、自らの業務の実態やリスク管理の状況等に応じ、不断の見直しが行われているか。なお、危機管理マニュアルの策定に当たっては、客観的な水準が判定されるものを根拠として設計されていることが望ましい。

      • (参考)想定される危機の事例

        • イ.自然災害(地震、風水害、異常気象、伝染病等)

        • ロ.テロ・戦争(国外において遭遇する場合を含む。)

        • ハ.事故(大規模停電、コンピュータ事故等)

        • ニ.風評(口コミ、インターネット、電子メール、憶測記事等)

        • ホ.対企業犯罪(脅迫、反社会的勢力の介入、データ盗難、役職員の誘拐等)

        • へ.営業上のトラブル(苦情・相談対応、データ入力ミス等)

        • ト.人事上のトラブル(役職員の事故・犯罪、内紛、セクシャルハラスメント等)

        • チ.労務上のトラブル(内部告発、過労死、職業病、人材流出等)

    • マル3危機管理マニュアルには、危機発生の初期段階における的確な状況把握や客観的な状況判断を行うことの重要性や情報発信の重要性など、初期対応の重要性が盛り込まれているか。

    • マル4危機発生時における責任体制が明確化され、危機発生時の組織内及び関係者(関係当局を含む。)への連絡体制等が整備されているか。危機発生時の体制整備は、危機のレベル・類型に応じて、組織全体を統括する対策本部の下、部門別・営業店別に想定していることが望ましい。

    • マル5業務継続計画(BCP)においては、テロや大規模な災害等の事態においても早期に被害の復旧を図り、金融システムの機能の維持にとって必要最低限の業務の継続が可能となっているか。その際、全国銀行協会等の業界団体及び他の金融機関等と連携し対応する体制が整備されているか。例えば、

      • イ.災害等に備えた顧客データ等の安全対策(紙情報の電子化、電子化されたデータファイルやプログラムのバックアップ等)は講じられているか。

      • ロ.コンピュータシステムセンター等の安全対策(バックアップセンターの配置、要員・通信回線確保等)は講じられているか。

      • ハ.これらのバックアップ体制は、地理的集中を避けているか。

      • ニ.個人に対する現金払出や送金依頼の受付、インターバンク市場や銀行間決済システムを通じた大口・大量の決済の処理等の金融機能の維持の観点から重要な業務を、暫定的な手段(手作業、バックアップセンターにおける処理等)により再開(リカバリー)するまでの目標時間は具体的に計画されているか。インターバンク市場や銀行間決済システムを通じた大口・大量の決済の処理等、特に重要な金融決済機能に係る業務については、当日中に再開する計画とされているか。

      • ホ.業務継続計画の策定及び重要な見直しを行うに当たっては、取締役会による承認を受けているか。また、業務継続体制が、内部監査、外部監査など独立した主体による検証を受けているか。

      • (参考)日本銀行「金融機関における業務継続体制の整備について」(平成15年7月)

      • ジョイント・フォーラム「業務継続のための基本原則」(平成18年8月)

    • マル6日頃からきめ細かな情報発信及び情報の収集に努めているか。また、危機発生時においては、危機のレベル・類型に応じて、情報発信体制・収集体制が十分なものとなっているか。

II -3-8-3 危機発生時における対応

  • (1)危機的状況の発生又はその可能性が認められる場合には、事態が沈静化するまでの間、当該銀行における危機対応の状況(危機管理体制の整備状況、被害の復旧状況、業務の継続状況、関係者への連絡状況、情報発信の状況等)が危機のレベル・類型に応じて十分なものになっているかについて、定期的にヒアリング又は現地の状況等を確認するなど実態把握に努めるとともに、必要に応じ、法第24条に基づき報告徴求することとする。

  • (2)上記(1)の場合には、速やかに金融庁担当課室に報告をするなど、関係部局間における連携を密接に行うものとする。

II -3-8-4 事態の沈静化後における対応

危機的状況が沈静化した後、危機発生時の対応状況を検証する必要があると認められる場合には、当該銀行に対して、法第24条に基づき、事案の概要と銀行側の対応状況、発生原因分析及び再発防止に向けた取組みについて報告徴求することとする。

II -3-8-5 風評に関する危機管理体制

  • (1)風評リスクへの対応に係る体制が整備されているか。また、風評発生時における本部各部及び営業店の対応方法に関する規定を設けているか。なお、他行や取引先等に関する風評が発生した場合の対応方法についても、検討しておくことが望ましい。

  • (2)風評が伝達される媒体(例えば、インターネット、憶測記事等)に応じて、定期的に風評のチェックを行っているか。

  • (3)風評が預金の払出しに結びついた場合の対応方法について、営業店及び店舗外現金自動設備の状況把握、顧客対応、現金輸送、対外説明等、初動対応に関する規定を設けているか。

  • (4)上記(3)のような状況になった場合、財務局、日本銀行、他の地元金融機関、提携先、警備会社等へ、速やかに連絡を行う体制になっているか。

    なお、必要に応じて、自治体・警察にも連絡を行うものとなっているか。

  • (5)財務局は、上記(4)の連絡を受けた場合、事態の沈静化が認められるまでの間、定期的にヒアリング及び現地の状況を確認した上で、金融庁担当課室へ報告するものとする。

サイトマップ

ページの先頭に戻る