IV 銀行代理業等

IV －１　銀行代理業

（注） 銀行代理業に係る監督指針については、基本的に主要行等向けの総合的な監督指針の VIII に基づき監督を行うこととするが、所属銀行が地域銀行である場合を念頭に、便宜上、本監督指針の項目番号を付して、以下に記載している。

IV －１－１　意義

IV －１－２　基本的な考え方

IV －１－２－１　銀行代理業制度導入の経緯とその趣旨

銀行代理店は、従来出資規制や兼業規制の下で、原則として銀行の子会社が専業で行う場合に認められていたが、平成18年４月１日施行の銀行法等の一部を改正する法律により、新たに銀行代理業制度が創設された。

これに伴い、一般事業者の銀行代理業への参入が可能となることなどによって、利用者の金融サービスに対するアクセスの確保・向上及び金融機関の多様な販売チャネルの効率的な活用が期待されるが、その一方で、一般事業者としての取引関係を利用した不公正な取引が行われることのないよう、銀行代理業の健全かつ適切な運営が確保されなくてはならない。

そこで、銀行代理業者を監督するに当たっては、銀行代理業への参入を許可制とし兼業について個別承認制とした趣旨にかんがみ、銀行代理業の適正・確実な遂行を確保するために、銀行代理業者及び所属銀行に対し適時適切な監督を行っていく必要がある。特に、既存の一般事業者が銀行代理業へ参入した場合など、銀行代理業者が他業を兼業する場合には、抱き合わせ販売（融資）、情実融資及び顧客情報の流用等の不適切な取扱いが生ずることのないよう、銀行代理業者の業務運営態勢の整備等が強く求められることに留意する必要がある。

IV －１－２－２　所属銀行を通じた監督

IV －１－１（２）のとおり、銀行代理業者が営む銀行代理業に関しては、所属銀行が健全かつ適切な運営を確保するための措置を講じる責任を負うこととされていることにかんがみ、銀行代理業者の監督に当たっては、銀行代理業者自身への監督の重要性もさることながら、所属銀行本体に対する監督に重点を置き、まずは所属銀行への監督を通じて、銀行代理業者が営む銀行代理業に係る業務の健全かつ適切な運営が確保されるよう監督を行う必要がある。

ただし、銀行代理業者に固有の問題がある場合や特定の銀行代理業者の間に共通の問題がある場合など、当局が直接に銀行代理業者を指導・監督する必要がある場合には、当該銀行代理業者の規模や特性を十分に踏まえ、事務負担の軽減に留意する必要がある。

（別紙４）銀行代理業者に係る監督事務の流れ（PDF:36KB）

IV －１－３　銀行代理業者の監督に係る事務処理

IV －１－３－１　一般的な事務処理

IV－１ －３－１－１　銀行代理業者の監督に係る一般的な事務処理の流れ

監督上の事務処理の流れを示すと別紙４のとおりである。

IV －１－３－１－２　所属銀行を通じた監督上の対応

IV －１－３－１－３　監督部局間の連携

IV －１－３－１－４　管轄財務局長権限の一部の管轄財務事務所長等への内部委任

銀行代理業者の主たる営業所又は事務所の所在地が財務事務所、小樽出張所又は北見出張所の管轄区域内にある場合においては、管轄財務局長に委任した権限は、財務局長の判断により当該財務事務所長又は出張所長に内部委任することができるものとする。

なお、これらの事項に関する申請書、届出書等は、管轄財務局長あて提出させるものとする。

IV－１ －３－１－５　行政報告

IV －１－３－１－６　監督指針の準用

銀行代理業者の監督に当たっては、以下に掲げるほか、適宜、必要に応じて、II 及び III 並びに様式・参考資料編を準用する。

IV －１－３－２　許可申請に係る事務処理

IV －１－３－２－１　許可申請に当たっての留意点

IV－１ －３－２－１－１　許可の要否

IV －１－３－２－１－２　許可申請書の受理に当たっての留意事項

IV －１－３－２－１－２－１　許可申請書の受理手続

IV －１－３－２－１－２－２　許可申請書の記載事項

許可申請書の記載事項等の確認に際しては、以下の点に留意することとする。

（参考）様式・参考資料編　様式６－１、６－２

IV－１ －３－２－１－２－３　添付書類

添付書類の確認に際しては、以下の点に留意することとする。

IV －１－３－２－２　許可の審査に当たっての留意点

IV －１－３－２－２－１　財産的基礎に関する審査

法第52条の38第１項第１号の財産的基礎の審査は、施行規則第34条の37第２号に掲げる事項に配慮して行う必要がある。その主な留意点は、例えば、以下の（１）及び（２）のとおりである。

審査は、許可申請書、法第52条の37第２項、施行規則第34条の34第６号から第10号及び第14号のほか、適宜、その他の書類又は資料を参考にするとともに、必要に応じて、ヒアリングや追加資料の提出など申請者の協力を得て実施することとする。

IV－１ －３－２－２－２　業務遂行能力に関する審査

法第52条の38第１項第２号の「銀行代理業を的確、公正かつ効率的に遂行するために必要な能力」の審査は、施行規則第34条の37第３号に掲げる事項に配慮して行う必要がある。

審査は、許可申請書、法第52条の37第２項、施行規則第34条の34第１号から第５号、第９号、第12号から第14号のほか、適宜、その他の書類又は資料を参考にするとともに、必要に応じ、ヒアリングや追加資料の提出など申請者の協力を得て実施することとする。

IV －１－３－２－２－３　社会的信用に関する審査

法第52条の38第１項第２号の「十分な社会的信用を有する者であること」の審査は、施行規則第34条の37第４号、第５号に掲げる事項に配慮して行う必要がある。

審査は、許可申請書、施行規則第34条の34第１号、第２号及び第14号のほか、適宜、その他の書類又は資料を参考にするとともに、必要に応じ、ヒアリングや追加資料の提出など申請者の協力を得て実施することとする。

IV－１ －３－２－２－４　他業の兼業に関する審査

法第52条の38第１項第３号の他業の兼業に関する審査は、施行規則第34条の37第６号に掲げる事項に配慮して行う必要がある。その主な留意点は、例えば、以下の（１）から（６）のとおりである。

審査は、許可申請書、法第52条の37第２項、施行規則第34条の34第３号、第４号、第11号から第14号のほか、適宜、その他の書類又は資料を参考にするとともに、必要に応じ、ヒアリングや追加資料の提出など申請者の協力を得て実施することとする。

なお、主たる兼業業務の内容と銀行代理業に係る業務との関係については、施行規則第34条の37第６号ハ、第７号等に規定されているところであるが、これらを整理すると別紙５のとおりとなる（ただし、他業の兼業に関する審査を行う場合には、必ずしも別紙５を機械的に適用するのではなく、個々のケースに即して、当該申請者が兼業を行うことにより銀行代理業の適正かつ確実な運営に支障を及ぼすおそれがないかについて、十分に検証しなければならないことに留意する。）。

別紙５ 主たる兼業業務と銀行代理業との関係（PDF:177KB）

IV －１－３－２－３　その他

IV －１－３－２－３－１　許可の場合の取扱い

IV －１－３－２－３－１－１　許可番号

IV－１ －３－２－３－１－２　許可申請者への通知

銀行代理業を許可した場合は、許可書を許可申請者に交付するものとする。
 

IV－１ －３－２－３－２　不許可の場合の取扱い

不許可にする場合は、不許可の理由及び金融庁長官に対して審査請求できる旨を記載した不許可通知書を許可申請者に交付するものとする（III －６－２参照）。

IV－１ －３－３　届出の受理に係る留意事項

IV －１－３－４　兼業承認申請に係る事務処理

IV －１－３－４－１　兼業承認に当たっての留意点

IV －１－３－４－１－１　兼業承認の要否

既に兼業承認を受けている銀行代理業者が、日本標準産業分類に掲げる中分類（大分類Ｊ－金融業，保険業に属する場合にあっては細分類）における分類上変更前の業務と別分類となる業務を開始する場合には、改めて当該新たな業務について法第52条の42第１項の兼業承認を得る必要がある。

IV －１－３－４－１－２　兼業承認申請書の受理に当たっての留意事項

IV －１－３－２－１－２に準じるほか、兼業承認申請書の記載事項については、様式・参考資料編　様式６－３によることとする。

IV －１－３－４－２　兼業承認の審査に当たっての留意事項

IV －１－３－２－２に準ずる。

IV －１－３－４－３　その他

IV －１－３－４－３－１　承認の場合の取扱い

兼業を承認した場合は、兼業承認書を申請者に交付するものとする。

IV －１－３－４－３－２　不承認の場合の取扱い

法第52条の42第２項に基づき不承認にする場合は、不承認の理由及び金融庁長官に対して審査請求できる旨を記載した不承認通知書を申請者に交付するものとする。

IV －１－４　銀行代理業者

IV －１－４－１　意義

銀行代理業とは、銀行のために、①預金又は定期積金等の受入れを内容とする契約の締結の代理又は媒介、②資金の貸付け又は手形の割引を内容とする契約の締結の代理又は媒介、③為替取引を内容とする契約の締結の代理又は媒介のいずれかを行う営業をいい、銀行代理業者とは、法第52条の36第１項の内閣総理大臣の許可を受けて銀行代理業を営む者をいうが、銀行代理業者は、自ら銀行代理業を営む者として、その営む銀行代理業に関し、健全かつ適切な運営を確保するための措置を講じなければならない。

IV －１－４－２　主な着眼点

IV －１－４－２－１　銀行代理業者の禁止行為、不適切な取引等

IV －１－４－２－２　法令等遵守（特に重要な事項）

取引時確認、疑わしい取引の届出義務及び反社会的勢力との関係遮断に関する監督手法・対応に関しては、以下の（１）及び（２）によるほか、II －３－１に準じるものとする。

IV －１－４－２－３　利用者保護のための情報提供・相談機能等

法第52条の44第２項、第３項及び施行規則第34条の43から第34条の53を踏まえ、銀行代理業者における利用者保護のための情報提供・相談機能等に関する監督は II －３－２に準じて行うほか、以下の（１）から（３）に留意する。

IV －１－４－２－４　利用者保護ルール等

以下に記載するほか、II －３－２に準じるものとする。

法第52条の40及び施行規則第34条の40、第34条の45第３項に規定する銀行代理業者による標識の掲示については、標識の形状・大きさ及び記載されている文字の明瞭さ並びに標識が掲示されている状況等から、顧客をして誤認混同ならしめるおそれがないかどうかについて留意する。

法第52条の46、施行令第16条の７及び施行規則第34条の55に規定する特定銀行代理業者の休日及び営業時間の掲示並びに法第52条の48及び施行規則第34条の57に規定する銀行代理業者による所属銀行の廃業等の掲示についても上記と同様とする。

IV －１－４－２－５　二以上の所属銀行等から銀行代理業を受託する場合の措置

IV －１－４－２－５－１　顧客に対する説明等（施行規則第34条の43、第34条の46）

所属銀行等が二以上ある場合には、以下のからに掲げる事項を、事前に、顧客に対し、明らかにしなくてはならないが、その説明方法について、例えば書面を活用するなど、できる限り顧客が理解しやすいよう説明するための態勢が整備されているかどうかについて留意する。

IV －１－４－２－５－２　顧客情報管理

銀行代理業者が二以上の所属銀行等から銀行代理業を受託している場合は、一の所属銀行の銀行代理業務で得た顧客情報が顧客の同意なくその他の所属銀行の銀行代理業務に流用されることのないよう、顧客情報を適正に管理するための方法や体制（例えば、組織・担当者の分離、設備上・システム上の情報障壁の設置、情報の遮断に関する社内規則の制定及び研修等社員教育の徹底等の顧客情報管理体制）の整備が行われているかどうかについて十分に検証する。

IV －１－４－２－６　銀行代理業再委託者による銀行代理業再受託者の健全かつ適切な運営を確保するための措置

IV －１－４－２－７　その他

IV －１－４－２－７－１　名義貸しの禁止

法第52条の41に規定する「自己の名義」に該当するか否かの判断に際しては、例えば、当該銀行代理業者の略称等の使用を許可している場合であっても「自己の名義」に該当し得ることに留意する。

IV －１－４－２－７－２　銀行代理業に関する報告書の縦覧に係る留意事項

法第52条の50第２項及び施行規則第34条の59第５項に規定する銀行代理業に関する報告書の縦覧については、次のとおり取り扱うものとする。

IV －４－２－７－３　所属銀行の説明書類等の縦覧

施行規則第34条の60第４項に規定する「当該申請をした銀行代理業者が第１項の規定による縦覧の開始を延期することについてやむを得ない理由」とは、例えば天災地変又は縦覧により第三者の正当な利益を侵害するおそれが大きい場合等を指し、当該銀行代理業者の単なる自己都合は含まれないことに留意する。

IV －１－５　所属銀行

IV －１－５－１　意義

IV －１－５－２　主な着眼点

IV －１－５－２－１　銀行代理業者の選定等に係る留意点

IV －１－５－２－２　所属銀行による銀行代理業者の業務の適切性等を確保するための措置（法第52条の58、施行規則第34条の63）

IV －１－５－２－３　銀行代理業者の原簿の閲覧に係る留意事項

法第52条の60に基づき預金者等その他の利害関係人から銀行代理業者に関する原簿の閲覧請求があったときは、原則として閲覧に応じる必要があることに留意する。その際、可能な限りインターネットを利用して表示するよう促すものとする。

IV －１－５－２－４　銀行代理業者が所属銀行の親会社又は主要株主である場合の留意点

銀行代理業者が所属銀行の親会社又は主要株主である場合には、必要に応じ、III －４－１２－３及び主要行等向けの総合的な監督指針「 VII －１－６　事業親会社等が存在する銀行の免許申請について」を準用するとともに、特に、所属銀行による銀行代理業者の業務の適切性等の確保が行われているかにつき、十分に検証することとする。

 IV －２　電子決済等取扱業

（注）電子決済等取扱業に係る監督指針については、基本的に主要行等向けの総合的な監督指針のIXに基づき監督を行うこととするが、委託銀行が地域銀行である場合を念頭に、便宜上、本監督指針の項目番号を付して、以下に記載している。

IV －2－1　意義

電子決済等取扱業とは、①銀行の委託を受けて、当該銀行に代わって当該銀行に預金の口座を開設している預金者との間で、(i)当該口座に係る資金を移動させ、当該資金の額に相当する預金債権の額を減少させること、(ii)為替取引により受け取った資金の額に相当する預金債権の額を増加させることのいずれかを電子情報処理組織を使用する方法により行うことについて合意をし、かつ、当該合意に基づき預金契約に基づく債権の額を増加させ、又は減少させること及び②①に掲げる行為に関して、①の銀行（以下「委託銀行」という。）のために預金の受入れを内容とする契約の締結の媒介を行うことに係る営業をいい、電子決済等取扱業者とは、法第52条の60の４の内閣総理大臣の登録を受けて電子決済等取扱業を営む者をいう。

フィンテック分野の発展の下で、デジタルマネーの発行機能と移転機能の分離の流れを受け、仲介者に一定程度の自律的な活動を保証し、複数の金融機関とのより円滑な連携・協働が可能となるような規制が求められる。仲介者となる電子決済等取扱業者は、銀行を代理して、預金債権の額を増加又は減少させるものであり、電子決済等取扱業に係る業務は、顧客の権利義務関係と関わる重要な業務であることに鑑み、顧客保護の観点から、電子決済等取扱業者に対して、業務を適切に行うための体制整備や、顧客への情報提供等を求める必要がある。

IV －2－２　基本的な考え方

IV －２－２－１　電子決済等取扱業者の監督に関する基本的な考え方

電子決済等取扱業の登録制度は、デジタルマネーの発行機能と移転機能の分離の流れを受けて、仲介者に一定程度の自律的な活動を保証し、複数の金融機関とのより円滑な連携・協働が可能となるよう必要な規制を課すものである。このため、電子決済等取扱業は、許可制の下で所属制を採用するのではなく、登録制の下で一定の財産的基礎や行為規制の遵守を求めることで業務の適切性・適法性を担保する制度とする。

また、電子決済等取扱業においては、銀行が預金者や預金の額を把握できるよう、銀行と電子決済等取扱業者との間で速やかな帳簿の連携が必要となる。このように、電子決済等取扱業者は、利用者と銀行との中間に位置し、銀行を代理して、預金債権の額を増加又は減少させるものであることから、利用者保護を図るため、システムの安定性の確保が求められる。

このため、電子決済等取扱業者の監督においても、利用者保護を図る観点から、主要なリスクにフォーカスし、モニタリングを行っていくものとする。特に、システムリスク管理態勢及び利用者保護を図るための取組み態勢を中心にモニタリングを実施し、電子決済等取扱業者が、システムの安定性や利用者保護を確保しつつ、決済サービスの利便性向上に資するサービスを提供することを促していくものとする。

IV －２－２－２　監督に係る事務処理の基本的考え方

• （１）監督手法

  監督当局は、各電子決済等取扱業者の特性・課題を把握した上で、課題の性質・優先度に応じて立入検査を含むモニタリング手法を機動的に使い分け、改善状況をフォローアップする継続的なモニタリングを実施する。

  モニタリング手法の使い分けについては、各電子決済等取扱業者の個別具体的状況に加え、各手法における実態把握に係る有効性や監督当局側・電子決済等取扱業者側における負担の程度、問題の緊急性等の観点も十分に踏まえるものとする。基本的には、まず、経営・財務の状況、マネー・ローンダリング及びテロ資金供与対策にかかる年次実態調査等に係る資料の分析や、電子決済等取扱業者内外の関係者からのヒアリングといったモニタリングを実施し、足下の健全性・適切性等に係る課題が見られるかどうか等の分析結果を踏まえて、法第52条の60の21に基づく立入検査の要否について判断するものとする。

  なお、モニタリングの具体的な実施に当たっては、Ⅸ－２－１に基づくほか、本監督指針の着眼点を補足・敷衍し、事業者との対話を円滑に実施するため業界における検討内容を踏まえるものとする。

• （２）監督部局間の連携
  • ①　金融庁と財務局における連携

    金融庁と財務局との間では、電子決済等取扱業者を監督する上で必要と認められる情報について、適切に情報交換等を行い、問題意識の共有を図る必要がある。そのため、（３）に掲げる内部委任事務に係る調整等以外の情報等についても、適宜適切な情報提供や積極的な意見交換を行う等、連携の強化に努めることとする。また、財務局間においても、他の財務局が監督する電子決済等取扱業者について、公表されていない問題等を把握したときは、適宜、監督する財務局や金融庁への情報提供を行い、連携の強化に努めることとする。

  • ②　管轄財務局長との連絡調整

    管轄する電子決済等取扱業者に対して行政処分を行った場合は、速やかに、当該電子決済等取扱業者の営業所の所在地を管轄する他の財務局長にその処分内容を連絡するものとする。

• （３）管轄財務局長権限の一部の管轄財務事務所長等への内部委任

  登録申請者及び電子決済等取扱業者の主たる営業所（施行規則第34条の63の５に規定する主たる営業所をいう。以下同じ。）の所在地が財務事務所又は小樽出張所若しくは北見出張所の管轄区域内にある場合においては、管轄財務局長に委任した権限のうち、登録申請者又は電子決済等取扱業者が提出する届出書、申請書及び報告書の受理に関する権限は、財務局長の判断により当該財務事務所長又は出張所長に内部委任することができるものとする。なお、これらの事項に関する届出書等は、登録申請者又は電子決済等取扱業者の主たる営業所の所在地を管轄する財務局長宛提出させるものとする。

• （４）金融庁との調整

  財務局長は、電子決済等取扱業者の監督事務に係る財務局長への委任事項等の処理に当たり、以下に掲げる事項（その他の事項についても必要に応じ金融庁長官と調整することを妨げない。）については、あらかじめ金融庁と調整するものとする。なお、調整の際は、財務局における検討の内容及び処理意見を付するものとする。

  • ①　法第52条の60の22の規定による業務改善命令
  • ②　法第52条の60の23第１項の規定による登録の取消し又は業務の停止命令
• （５）行政報告

  • ①　財務局長は、電子決済等取扱業者の監督に関し、以下のイ．からホ．までに掲げる場合は、その内容を遅滞なく金融庁に報告するものとする。加えて、以下のヘ．に掲げる場合は、その内容を遅滞なく金融庁に報告するとともに、他の財務局宛て関係資料を送付するものとする。その際は、当該取消しの日前30日以内の役員の氏名に関する資料も併せて報告・送付するものとする。

    • イ．法第52条の60の５第１項による登録を行った場合
    • ロ．法第52条の60の36第１項による廃業等の届出を受理した場合
    • ハ．法第52条の60の20第２項により報告及び資料の提出を求めた場合
    • ニ．法第52条の60の22による業務改善命令を行った場合
    • ホ．法第52条の60の23第１項の規定による業務停止命令を行った場合
    • ヘ．法第52条の60の23第１項の規定による登録の取消しを行った場合
  • ②　法第52条の60の19第１項に基づく報告書について

    事業報告書の作成に当たっては、以下の点に留意するものとする。

    • イ．経営計画や資金計画など、登録申請時に確認した事項を参照しつつ、報告内容を検証した上で、両者に著しい乖離が見られる場合には、当該電子決済等取扱業者に対するヒアリング等を通じて、経営実態を確認するものとする。

    • ロ．経営実態を確認した結果、将来、法第52条の60の６第１項第３号に規定する「電子決済等取扱業を適正かつ確実に遂行するために必要と認められる内閣府令で定める基準に適合する財産的基礎を有しない」こととなるおそれがある場合には、法第52条の60の33に基づき報告書を徴収するなど、必要な対応を検討することとする。

  • ③　金融庁への送付等
    • イ．電子決済等取扱業者に係る随時報告

      利用者財産の管理に関する報告書の副本及び参考書類各１部並びに意見を付す電子決済等取扱業者があれば、上記②に関する当該電子決済等取扱業者の意見を記載した書面を、提出期限後１か月以内に金融庁担当課室宛て送付するものとする。

    • ロ．電子決済等取扱業者に係る定期報告

      • ａ．財務局長は、電子決済等取扱業者に対して、法第62条の20第１項の規定に基づき、毎年３月末における業務報告書を毎年５月末までに徴収するものとする。

      • ｂ．電子決済等取扱業者の業務報告書の写しについては、毎年６月末までに、金融庁担当課室宛て送付するものとする。

    • ハ．電子決済等取扱業者登録状況一覧表の提出

      • ａ．登録を行った全ての電子決済等取扱業者について作成した登録状況一覧表を、登録の都度更新し、半期経過後20日以内に監督局長に対して送付するものとする。

      • ｂ．当該一覧表には、下記の項目については必ず記載するものとする。
        • ・電子決済等取扱業登録者名
        • ・登録番号
        • ・登録日
        • ・廃止日
        • ・電子決済等取扱業者の電話番号・メールアドレス
        • ・兼業の種類
• （６）電子決済等取扱業者が提出する申請書、届出書等における記載上の留意点

  　電子決済等取扱業者が提出する申請書、届出書等において、役員等の氏名を記載する際には、氏を改めた者においては、旧氏及び名を括弧書きで併せて記載できることに留意する。

IV －2－３　システムリスク

電子決済等取扱業者の監督に当たっては、システムリスクについてⅡ－３－４－１を準用するほか、サービスやシステムの特性に応じて、特に以下の着眼点に留意するものとする。

なお、Ⅱ－３－４－１及び以下の着眼点に記述されている字義どおりの対応が電子決済等取扱業者においてなされていない場合にあっても、当該電子決済等取扱業者の規模、特性からみて、利用者保護の観点から、特段の問題がないと認められれば、不適切とするものではない。

IV －２－３－１　主な着眼点

• （１）サービスやシステムの特性への対応

  • ①　Ⅱ－３－４－１－２（３）①に加え、多様なサービスやシステムと連携した、高度・複雑な情報システムを有している場合には、システムリスクに、以下のようなものを含めているか。

    • ・外部サービスを利用することによって生じるリスク
    • ・APIの接続等を実施することによって生じるリスク
    • ・取引の急増への対応など、多様なサービスやシステムと連携することによって生じるリスク　等

    • （注）網羅的なリスクの洗い出しにおいては、客観的な水準が判定できるものを根拠とすることが望ましく、例えば、銀行システムへの接続の観点では、金融情報システムセンターが示す基準（API接続チェックリスト解説書）等を参考とすることが考えられる。

  • ②　システムリスク管理部門は、例えば１日当たりの取引可能件数などのシステムの制限値を把握・管理し、制限値を超えた場合のシステム面・事務面の対応策を検討しているか。

    なお、銀行等の連携先との制限値を把握するとともに、制限値を超えた場合の対応策についても連携先を含めた検討が必要となる点に留意する。

  • ➂　ユーザー部門は、新サービスの導入時又はサービス内容の変更時に、システムリスク管理部門と連携するとともに、システムリスク管理部門は、システム開発の有無にかかわらず、関連するシステムの評価を実施しているか。

  • ④　Ⅱ－３－４－１－２（６）の事項に加え、銀行を含む他社のシステムと連携する場合や、多数の利用者が電子決済等取扱業のシステムを利用することが見込まれる場合には、システム全体の品質を確保するために、以下の観点を含めた規程や方針等を策定し、適切に実施しているか。

    • ・品質を確保するためのテスト実施方針を定めること
    • ・システムのパフォーマンス・キャパシティ管理において、他社事例も踏まえ、取引の急増を想定した計画とし、閾値を設定すること（大規模な販売促進活動を行う等、一時的な取引件数の増加が見込まれる場合を含む。）
    • ・各種資源の性能や容量の限界を考慮した、監視項目の設定や負荷状態の監視、必要に応じた制御を行うこと
    • ・システム開発時に銀行等の連携先を含めたシステムの制限値を把握すること　等

    また、提供する新サービス、銀行のAPI仕様変更及び認証方式の変更等について、利用者側の動作環境を踏まえたテストシナリオを設定し、検証しているか。

  • ⑤　Ⅱ－３－４－１－２（９）①及び⑤に加え、緊急時体制に当たって銀行及び重要な外部委託先等（外部サービスの提供元やシステムの連携先を含む）との連絡体制を整備するほか、コンティンジェンシープランに基づく訓練においては、重要度やリスクに応じて銀行やその他のシステムの連携先等との合同実施も検討しているか。

    　　また、訓練結果を基に、必要に応じて、コンティンジェンシープランを見直しているか。

  • ⑥　Ⅱ－３－４－１－２（10）⑦に加え、システム障害等の影響を極小化するために、例えば、部分的障害の影響が波及する経路や迂回不能な単一障害点の把握など、影響波及の観点からリスク評価を行い、クラウドサービスの仕組みを適切に利用してリスク低減を図るなど、利用者の被害を最小化するためのサービス・システム的な仕組みの整備について検討しているか。

• （２）クラウドサービスなど外部サービスの利用への対応

  • ①　Ⅱ－３－４－１－２（４）④に加え、利用者の重要情報の洗出しに当たっては、再委託先やシステムの連携先等に移送・転送されたデータ等も対象範囲としているか。

  • ②　Ⅱ－３－４－１－２（８）②に加え、クラウドサービスなど外部サービスを利用する場合には、選定に際して、その特性を踏まえた上で、セキュリティの安全性について適切な評価を実施しているか。また、利用するサービスに応じたリスクを検討し、対策を講じているか。

    　　例えば、以下のような点を実施しているか。

    • ・重要なデータを処理・保存する拠点の把握
    • ・監査権限・モニタリング権限等の契約書への反映
    • ・保証報告書、第三者認証等の確認・評価
    • ・クラウド特有のリスクの把握
    • ・認証機能を含むセキュリティリスク評価　等

  • ➂　Ⅱ－３－４－１－２（10）②に加え、クラウドサービスに障害が発生した場合に備え、対応策の検討又は利用者への適時適切な注意喚起が重要であることを念頭にクラウド事業者との障害発生時の連絡体制等の構築に努めているか。

• （３）インターネット等の通信手段を利用した非対面の取引を行う場合の対応

  • ①Ⅱ－３－４－１－２（５）⑦の事例のほか、例えば、以下のような取引のリスクに見合った適切な認証方式を導入しているか。

    • イ．可変式パスワード、生体認証、電子証明書等、実効的な要素を組み合わせた多要素認証などの、固定式のID・パスワードのみに頼らない認証方式

    • ロ．ログインパスワードとは別の取引用パスワードの採用（同一のパスワードの設定を不可とすること等の事項に留意すること。） また、内外の環境変化や事故・事件の発生状況を踏まえ、定期的かつ適時にリスクを認識・評価し、必要に応じて、認証方式の見直しを行っているか。

  • ②　Ⅱ－３－４－１－２（５）⑧に加え、例えば、以下のような業務に応じた不正防止策を講じているか。
    • ・不正なIPアドレスからの通信の遮断
    • ・利用者に対してウィルス等の検知・駆除が行えるセキュリティ対策ソフトの導入・最新化を促す措置
    • ・不正なログイン・異常な取引等を検知し、速やかに利用者に連絡する体制の整備
    • ・不正が確認されたIDの利用停止
    • ・前回ログイン（ログオフ）日時の画面への表示
    • ・取引時の利用者への通知　等

  • ➂　Ⅱ－３－４－１－２（６）の事項に加え、システム設計／開発段階では、以下のような事項を含むセキュリティに係る措置を講じているか。

    • ・具体的なセキュリティ要件の明確化
    • ・セキュアコーディングの実施など脆弱なポイントが生じないための対策
    • ・他社のシステムと連携する場合、連携する部分を含めサービス全体を踏まえたセキュリティ設計　等

IV －2－４　法令等遵守（特に重要な事項）

取引時確認、疑わしい取引の届出義務及び反社会的勢力との関係遮断に関する監督手法・対応に関しては、以下の（１）及び（２）によるほか、Ⅱ－３－１に準じるものとする。また、禁止行為に関しては、以下の（３）及び（４）に留意する。

• （１）検査の結果、不祥事件等届出書等により、取引時確認義務及び疑わしい取引の届出義務を確実に履行するための内部管理態勢又は反社会的勢力との関係を遮断するための態勢に問題があると認められる場合には、必要に応じ法第52条の60の20に基づき報告を求め、重大な問題があると認められる場合には、法第52条の60の22に基づき、業務改善命令等を発出するものとする。

• （２）さらに、取引時確認義務及び疑わしい取引の届出義務に違反するなど法令に違反し、又は著しく公益を害したと認められる場合には、法第52条の60の23に基づき、業務停止命令等を発出するものとする。また、反社会的勢力との関係を認識しているにもかかわらず適切な対応を行わなかった結果、法令に違反し又は著しく公益を害したと認められる場合も同様とする。

• （３）金銭等の預託の禁止・財産の分別管理（法第52条の60の13・施行規則第34条の63の26）

  電子決済等取扱業者は、施行規則第34条の63の26で定める場合を除き、いかなる名目によるかを問わず、その営む電子決済等取扱業に関して、顧客から金銭その他の財産の預託を受け、又は当該電子決済等取扱業者と密接な関係を有する者（施行令第16条の８の２）に顧客の金銭その他の財産を預託させてはならない。

  電子決済等取扱業者が、電子決済等取扱業に関して顧客から金銭の預託を受ける場合、当該金銭の預託を受けた後直ちに、当該金銭を自己の固有財産と区分して管理し、かつ、委託銀行に交付する必要がある（施行規則第34条の63の26第４号）。

• （４）法第52条の60の16に規定する禁止行為を防止するための態勢整備に関しては、以下の点に留意することとする。

  • ①　禁止行為を防止するための措置を講ずる責任を有する部署又は担当者を配置し、かつ、それらの部署又は担当者によって禁止行為の防止措置が適切に講じられているかを検証するための内部管理態勢が整備されているか。

  • ②　禁止行為を防止するために必要な研修の実施等の体制、顧客からの苦情に対応するための体制等に関する社内規則の策定及び社内周知が行われているか。

  • ③　禁止行為を防止するため、電子決済等取扱業に関する法令についての知識及び実務経験を有する者による定期的かつ必要に応じて適宜研修を実施しているか。

  • ④　禁止行為に係る顧客からの苦情受付窓口の明示、苦情処理担当部署の設置、苦情案件処理手順等の策定等の苦情対応態勢が整備されているか。

IV －2－５　利用者保護のための情報提供・相談機能等

法第52条の60の11第２項並びに施行規則第34条の63の13から第34条の63の22まで及び第34条の63の28を踏まえ、電子決済等取扱業者における利用者保護のための情報提供・相談機能等に関する監督はⅢ－３－３に準じて行うほか、以下に留意する。

• （１）顧客情報管理については、基本的にⅡ－３－２－３に準じるものとするが、電子決済等取扱業者が他業を兼業する場合には、電子決済等取扱業務で得た顧客情報が顧客の同意なく兼業業務に流用されることのないよう、顧客情報を適正に管理するための方法や体制（例えば、組織・担当者の分離、設備上・システム上の情報障壁の設置、情報の遮断に関する社内規則の制定及び研修等社員教育の徹底等）の整備が行われているかどうかについて留意する。

• （２）特に、非公開金融情報及び非公開情報（なお、顧客の属性に関する情報（氏名、住所、電話番号、性別、生年月日及び職業）は個人情報であるが、非公開金融情報及び非公開情報に含まれない。）の取扱いに関する事前の同意（施行規則第34条の63の19）については、インターネットを利用して当該顧客が利用する電子機器の映像面に表示させる方法その他の適切な方法により事前に当該顧客の同意を得るための措置を講じているかについて確認することとする。

IV －2－６　利用者保護ルール等

• （１）委託銀行との連携

  電子決済等取扱業者のサービスの中には、銀行の提供する口座振替サービスと連携するサービス（以下「電子決済等取扱連携サービス」という。）が考えられる。このような電子決済等取扱連携サービスについては、電子決済等取扱業の利用者にとっては利便性の高いサービスとなり得る一方、例えば、悪意のある第三者が連携する預貯金口座の預貯金者になりすまし、電子決済等取扱連携サービスを介して不正取引を行うなど、電子決済等取扱業者のみで完結するサービスとは異なるリスクが介在するおそれがある。また、技術革新の進展により、今後、事業者間の連携は増え、連携に伴うリスクも高まる可能性があると考えられる。

  以上を踏まえ、電子決済等取扱業者においては、電子決済等取扱業の利用者や連携先の利用者の利益の保護を含む電子決済等取扱業の適正かつ確実な遂行の観点から、当該リスクに応じた管理態勢を連携先と協力して構築することが重要であり、電子決済等取扱連携サービスを提供する電子決済等取扱業者の監督に当たっては、Ⅳ－３に留意する他、事務ガイドライン　第三分冊：金融会社関係「14　資金移動業関係」のⅡ－２－５を参照するものとする。

• （２）委託銀行との契約締結義務（施行規則第34条の63の27）

  • ①　電子決済等取扱業者は、委託銀行との間で、顧客に損害が生じた場合における当該損害についての当該委託銀行と当該電子決済等取扱業者との賠償責任の分担に関する事項を定めた電子決済等取扱業に係る契約を締結し、これに従って当該委託銀行に係る電子決済等取扱業を営まなければならない点に留意する必要がある。当該契約には、例えば、以下のような項目を定めることが考えられる。

    • イ．利用者からの被害申告の受付窓口
    • ロ．補償する場合の基準や手続（利用者に求める情報や、過失の有無の判断等）
    • ハ．補償する場合の方法（補償の実施者、損害の算定方法等を含む）
    • ニ．補償する場合の補償範囲
    • ホ．いずれか一方が補償した場合の求償関係（損害の分担）

  • ②　加えて、電子決済等取扱業者は、委託銀行との間で、委託銀行が預金者を把握するために必要な情報を、電子決済等取扱業者が当該委託銀行の求めに応じて速やかに提供するために必要な事項（当該情報の提供の頻度及び時期に関する事項を含む。）を定めた電子決済等取扱業に係る契約を締結し、これに従って当該委託銀行に係る電子決済等取扱業を営まなければならない点に留意する必要がある。委託銀行が負担する債務に係る預金者を把握するために必要な情報として、例えば、施行規則第34条の63の61第１項第２号に定める取引記録や同条項第３号に定める書面に係る情報などが考えられる。当該情報については、Ⅱ－３－２－３を踏まえて、取り扱う必要があることに留意する。

IV －2－７　その他

IV －２－７－１　委託業務の的確な遂行を確保するための措置（施行規則第34条の63の20）

電子決済等取扱業者は、その業務を第三者に委託する場合には、基本的にⅡ－３－２－４に準じるものとし、委託する業務の内容に応じ、委託業務の的確な遂行を確保するための措置を講じなければならないことに留意する必要がある。

IV －２－７－２　名義貸しの禁止

法第52条の60の10に規定する「自己の名義」に該当するか否かの判断に際しては、例えば、当該電子決済等取扱業者の略称等の使用を許可している場合であっても「自己の名義」に該当し得ることに留意する。

IV －２－７－３　委託銀行等に係る電子決済等代行業に係る特例

電子決済等取扱業者は、委託銀行に預金の口座を開設している当該電子決済等取扱業者の電子決済等取扱業に係る顧客からの委託を受けて行うものに限り、当該委託銀行に係る電子決済等代行業を営むことができ、この場合には、Ⅳ－３－１からⅣ－３－５までの規定を準用する。

IV －2－８　監督指針の準用

　電子決済等取扱業者の監督に当たっては、以下に掲げるほか、適宜、必要に応じて、Ⅱ及びⅢ並びに様式・参考資料編を準用する。
 

• （１）電子決済等取扱業者に関する検査・監督事務の進め方についてはⅡ－１－１に、検査・監督事務の具体的方法についてはⅢ－１－２に、品質管理についてはⅢ－１－３に、苦情・情報提供等についてはⅡ－２に、法令解釈等の照会を受けた場合の対応についてはⅡ－３に、行政指導等を行う際の留意点等についてはⅡ－４に、それぞれ準じるものとする。

• （２）電子決済等取扱業に関する預金保険機構が行う検査との連携については、Ⅲ－１－５に準じるものとする。

• （３）電子決済等取扱業者に対し行政処分を行うに当たってはⅡ－５に準じるものとする。

 IV －３　電子決済等代行業

（注）電子決済等代行業に係る監督指針については、基本的に主要行等向けの総合的な監督指針のⅩに基づき監督を行うこととするが、便宜上、本監督指針の項目番号を付して、以下に記載している。

IV －３－１　意義

フィンテックの動きが世界的規模で加速する中で、利用者保護を確保しつつ、金融機関とフィンテック企業との連携・協働によるオープン・イノベーションを進めていくための制度的枠組みとして、銀行法等の一部を改正する法律（平成29年法律第49号。以下Ⅳ－３－２－２（１）において「改正法」という。）により電子決済等代行業者の登録制度が導入され、平成30年6月1日より施行された。

電子決済等代行業者には、利用者のニーズを起点としたサービス展開の一つの核となることが期待されるとともに、利用者保護やシステムの安定性を確保しつつ機動的に金融サービスのイノベーションを実現することが期待される。

IV －３－２　基本的な考え方

IV －３－２－１　電子決済等代行業者の監督に関する基本的な考え方

電子決済等代行業の登録制度については、他の金融関連の諸制度とは異なり、人的構成要件は求めておらず、財産的基礎も純資産額が負値でないことのみを求めているなど、新規参入のハードルは非常に低く設定されており、個人や中小・零細企業が申請してくることも想定して制度設計がなされている。その趣旨は、IT企業等を含む多様な参加者による金融サービスのイノベーションを促進する観点にあり、規制は利用者保護を図る観点から必要最小限のものとなっている。

他方で、電子決済等代行業は、利用者と銀行との中間に位置し、決済指図の伝達や口座情報の取得・顧客への提供を行うことから、利用者保護を図るため、システムの安定性が求められる。

このため、電子決済等代行業者の監督においても、利用者保護を図る観点から、主要なリスクにフォーカスし、業容拡大に伴う体制の充実に向けた取組についてモニタリングを行っていくものとする。

電子決済等代行業は基本としてITを活用した業務であり、その主要なリスクは、システムリスクとなる。また、電子決済等代行業者と銀行間の連携（さらに電子決済等代行業再委託者が介在するケースもある。）に伴うリスクも存在することから、事業者間の利用者保護のための取組みも重要となる。したがって、電子決済等代行業者の監督に当たっては、システムリスク管理態勢及び利用者保護を図るための取組み態勢を中心にモニタリングを実施し、電子決済等代行業者が、システムの安定性や利用者保護を確保しつつ、技術の進展をリードし、利用者利便の向上に資するサービスを提供することを促していくものとする。

IV －３－２－２　監督に係る事務処理の基本的考え方

• （１）監督手法

  改正法の附帯決議では、フィンテックが急速に進展する中で、IT企業等を含む多様な参加者による金融サービスのイノベーション促進を支援する観点から、報告徴求・検査等が関係事業者等の活動やイノベーションを阻害しないこと等に留意することが求められている。こうしたことや、小規模な事業者も多く、利用者の金銭を預からない業務特性も踏まえ、事業者の負担軽減の観点から、主要なリスクであるシステムリスクや、利用者保護を図るための取組み状況について、機械的・画一的な運用に陥らないよう配慮しつつ、原則オフサイト・モニタリングによりモニタリングを実施するものとする。

• （２）監督部局間の連携

  登録電子決済等代行業者が、信用金庫法に基づき届出を行い信用金庫電子決済等代行業等を営む場合において、登録電子決済等代行業者の監督部局は、システムリスク管理態勢など電子決済等代行業者の業務運営に問題を認めた場合には、問題の状況等を関係する信用金庫電子決済等代行業者の監督部局等に、遅滞なく情報提供するなど、密接な連携を図ることで、電子決済等代行業者の事務負担の軽減を図るものとする。

  情報提供に当たっては、その方法を問わず、遅滞なく行うよう努めるものとする。

• （３）管轄財務局長権限の一部の管轄財務事務所長等への内部委任

  電子決済等代行業者の主たる営業所又は事務所の所在地が財務事務所又は出張所の管轄区域内にある場合においては、管轄財務局長に委任した権限は、財務局長の判断により当該財務事務所長又は出張所長に内部委任することができるものとする。

  なお、法令等に基づく申請書、届出書等は、管轄財務局長あて提出させるものとする。

• （４）金融庁との調整

  財務局長は、電子決済等代行業者の監督事務に係る財務局長への委任事項等の処理に当たり、以下に掲げる事項（その他の事項についても必要に応じ金融庁と調整することを妨げない。）については、あらかじめ金融庁と調整するものとする。なお、調整の際は、財務局における検討の内容及び処理意見を付するものとする。

  • ①　法第52条の61の16の規定による業務改善命令
  • ②　法第52条の61の17第１項の規定による登録の取消し又は業務の停止命令
• （５）行政報告

  財務局長は、各四半期末現在における電子決済等代行業者の状況について、翌月20日までに金融庁へ報告することとする。

  また、財務局長は、電子決済等代行業者の監督に関し、以下の①から⑤までに掲げる場合は、その内容を遅滞なく金融庁に報告するものとする。加えて、以下の⑥に掲げる場合は、その内容を遅滞なく金融庁に報告するとともに、他の財務局あて関係資料を送付するものとする。その際は、当該取消しの日前30日以内の役員の氏名に関する資料もあわせて報告・送付するものとする。

  • ①　法第52条の61の４第１項による登録を行った場合
  • ②　法第52条の61の７第１項による廃業等の届出を受理した場合
  • ③　法第52条の61の14により報告及び資料の提出を求めた場合
  • ④　法第52条の61の16による業務改善命令を行った場合
  • ⑤　法第52条の61の17第１項の規定による業務停止命令を行った場合
  • ⑥　法第52条の61の17第１項の規定による登録の取消しを行った場合
• （６）電子決済等代行業者が提出する申請書、届出書等における記載上の留意点

  電子決済等代行業者が提出する申請書、届出書等において、役員等の氏名を記載する際には、氏を改めた者においては、旧氏及び名を括弧書きで併せて記載できることに留意する。

IV －３－３　システムリスク

IV －３－３－１　意義

• （１）システムリスクとは、コンピュータシステムのプログラムミスや脆弱性等によるダウン又は誤作動等に伴い、利用者及び電子決済等代行業者並びに銀行が損失を被るリスクやコンピュータが不正に使用されることにより利用者及び電子決済等代行業者並びに銀行が損失を被るリスクをいうが、電子決済等代行業者には新商品・サービスの提供の拡大等に伴い、システム上の諸課題に的確に対応することが求められている。仮に電子決済等代行業者において、システム障害やサイバーセキュリティ事案（以下「システム障害等」という。）が発生した場合は、利用者の社会経済生活、企業等の経済活動において利便性が損なわれるのみならず、利用者保護上重大な影響を及ぼす問題が発生するおそれがある。このため、決済システムの補助的機能を担う電子決済等代行業者にとってシステムリスク管理態勢の充実強化は重要である。

• （２）ただし、以下の着眼点に記述されている字義どおりの対応が電子決済等代行業者においてなされていない場合にあっても、当該電子決済等代行業者の規模・業務の特性等や、電子決済等代行業者のシステムのみが停止した場合においては、利用者は、当該電子決済等代行業者のシステムを経由せずとも、直接的に銀行のシステムを利用すれば送金指図の伝達や口座情報の取得が可能であることを踏まえ、誤送金などの重大な問題が発生しておらず、利用者保護の観点から特段の問題が認められないのであれば、直ちに改善を求める必要はない。

  また、電子決済等代行業者の能力に照らして、当該電子決済等代行業者単独では、その行う電子決済等代行業に必要な水準を満たすことができない部分があったとしても、当該業務を行うにあたって連携・協働する銀行においてその部分を分担する場合には、必要な水準を満たすものと判断する（ただし、この場合、電子決済等代行業者が新たに別の銀行と連携・協働する場合には、新たに連携・協働する銀行が、その部分を分担できているかに留意するものとする。）。

  （注）サイバーセキュリティ事案とは、情報通信ネットワークや情報システム等の悪用により、サイバー空間を経由して行われる不正侵入、情報の窃取、改ざんや破壊、情報システムの作動停止や誤作動、不正プログラムの実行やDDoS攻撃等の、いわゆる「サイバー攻撃」により、サイバーセキュリティが脅かされる事案をいう。

IV －３－３－２　主な着眼点

• （１）システムリスク管理

  • ①　システムリスク管理担当部署は、サービスの多様化による大量取引の発生や、ネットワークの拡充によるシステム障害等の影響の複雑化・広範化などを踏まえ、定期的に又は適時にリスクを認識・評価しているか。

    また、定期的なレビューに加え、新規サービス（利用者への影響の大きい変更や、システムの変更を伴わないものの大規模な販売促進活動を行う場合を含む。）の提供とともに、レビューを実施しているか。

  • ②　システム障害等の発生時の被害拡大防止策及び迅速な復旧対応について、経営上の重大な課題と認識し、態勢を整備しているか。

    特に、サイバーセキュリティ事案の未然防止について、重大な課題と認識し、態勢を整備しているか。

  • ③　経営に重大な影響を及ぼすシステム障害等が発生した場合に、速やかに経営上責任を負う立場の者に対して報告することとなっているか。

    また、必要に応じて、対策本部を立ち上げ、速やかに問題の解決を図る態勢を構築できるよう検討を行っているか。

  • ④　現行システムの仕組み及び開発技術の継承を含め、事業継続のために必要な技術的対応に関する計画を策定し、実施しているか。

  • ⑤　提供する新サービス、銀行のAPI 仕様変更及び認証方式の変更等について、利用者側の動作環境を踏まえたテストシナリオを設定し、検証しているか。

  • ⑥　システムリスク管理態勢の整備・見直しに当たっては、その内容について第三者による評価や金融情報システムセンターが示す基準（API 接続チェックリスト解説書等）など、客観的な水準が判定できるものを根拠として整備しているか。また、システムリスク管理態勢は、システム障害等の把握・分析、リスク管理の実施結果や技術進展等に応じて、不断に見直しを実施しているか。

• （２）情報セキュリティ管理

  • ①　情報資産を適切に管理するために方針の策定、組織体制の整備、社内規程の策定、内部管理態勢の整備を図り、定期的に見直しを行っているか。また、他社における不正事案等も参考に、情報セキュリティ管理態勢のPDCAサイクルによる継続的な改善を図っているか。

  • ②　情報の機密性、完全性、可用性を維持するために、情報資産の安全管理に関する業務遂行の責任者を定め、その役割・責任を明確にした上で、管理しているか。また、同責任者は、システム、データ、ネットワーク管理上のセキュリティに関することについて統括しているか。

  • ③　コンピュータシステムの不正使用防止対策、不正アクセス防止対策、コンピュータウィルス等の不正プログラムの侵入防止対策等を実施しているか。

  • ④　電子決済等代行業者が責任を負うべき利用者の重要情報を網羅的に洗い出し、把握、管理しているか。利用者の重要情報の洗い出しに当たっては、必要に応じ、業務、システム、外部委託先及び電子決済等代行業再委託者を対象範囲とすることも検討しているか。

  • ⑤　洗い出した利用者の重要情報について、重要度判定やリスク評価を実施しているか。

    また、それぞれの重要度やリスクに応じ、以下のような情報管理ルールを策定しているか。

    • • 情報の暗号化、マスキングのルール
    • • 情報を利用する際の利用ルール
    • • 記録媒体等の取扱いルール　等

  • ⑥　洗い出した利用者の重要情報について、以下のような不正アクセス、不正情報取得、情報漏えい等を牽制、防止する仕組みを導入しているか。

    • • 社員の権限に応じて必要な範囲に限定されたアクセス権限の付与
    • • アクセス記録の保存、検証
    • • 開発担当者と運用担当者の分離、管理者と担当者の分離等の相互牽制体制　等

  • ⑦　機密情報について、暗号化やマスキング等の管理ルールを定めているか。また、暗号化プログラム、暗号鍵、暗号化プログラムの設計書等の管理に関するルールを定めているか。また、情報の重要度に応じて管理ルールを設定しているか。

    なお、「機密情報」とは、パスワード、トークン等、漏えいにより利用者に損失が発生する可能性のある情報をいう。

  • ⑧　機密情報の保有・廃棄、アクセス制限、外部持ち出し等について、業務上の必要性を十分に検討し、より厳格な取扱いをしているか。

  • ⑨　情報資産について、管理ルール等に基づいて適切に管理されていることを定期的にモニタリングし、管理態勢を継続的に見直しているか。

  • ⑩　セキュリティ意識の向上を図るため、全社員に対するセキュリティ教育（外部委託先におけるセキュリティ教育の実施状況の確認等を含む）を行っているか。

  • ⑪　第三者機関のクラウドサービスを利用する場合には、選定に際して、その特性を踏まえた上で、セキュリティの安全性について適切な評価を実施しているか。

  • ⑫　電子決済等代行業に関して取得した個人データの第三者提供を行う場合には、金融分野ガイドライン第12条等を遵守するための措置が講じられているか。特に、その業務の性質や方法に応じて、以下の点にも留意しつつ、個人である利用者から適切な同意の取得が図られているか。

    • イ．金融分野ガイドライン第３条を踏まえ、個人である利用者からスマートフォン等の非対面による方法で第三者提供の同意を取得する場合、例えば、同意文言や文字の大きさ、画面仕様その他同意の取得方法を工夫することなどにより、個人である利用者が、第三者提供先、当該提供先に提供される情報の内容及び当該提供先における利用目的について、明確に認識したうえで同意できるような仕様としているか。

    • ロ．過去に個人である利用者から第三者提供の同意を取得している場合であっても、第三者提供先や提供する情報の内容が異なる場合、又はあらかじめ特定された第三者提供先における利用目的の達成に必要な範囲を超えた提供となる場合には、改めて個人である利用者の同意を取得することにしているか。

    • ハ．第三者提供先が複数に及ぶ場合や、第三者提供先により情報の利用目的が異なる場合、個人データの提供先が複数に及ぶことや各提供先における利用目的が認識できるよう、同意の取得方法、同意の取得時機等を適切に検討しているか。また、個人である利用者が、第三者提供先や第三者提供先における利用目的、提供される情報の内容について、過剰な範囲について第三者提供の同意を強いられる等していないか。

• （３）サイバーセキュリティ管理

  • ①　サイバーセキュリティについて、経営上責任を負う立場の者は、サイバー攻撃が高度化・巧妙化していることを踏まえ、サイバーセキュリティの重要性を認識し必要な態勢を整備しているか。

  • ②　サイバーセキュリティについて、組織体制の整備、社内規程の策定のほか、以下のようなサイバーセキュリティ管理態勢の整備を図っているか。

    • • サイバー攻撃に対する監視体制
    • • サイバー攻撃を受けた際の報告及び広報体制
    • • 組織内CSIRT（Computer Security Incident Response Team）等の緊急時対応及び早期警戒のための体制
    • • 情報共有機関等を通じた情報収集・共有体制　等

  • ③　サイバー攻撃に備え、入口対策、内部対策、出口対策といった多段階のサイバーセキュリティ対策を組み合わせた多層防御を講じているか。

    • • 入口対策（例えば、ファイアウォールの設置、抗ウィルスソフトの導入、不正侵入検知システム・不正侵入防止システムの導入　等）
    • • 内部対策（例えば、特権ID・パスワードの適切な管理、不要なIDの削除、特定コマンドの実行監視　等）
    • • 出口対策（例えば、通信ログ・イベントログ等の取得と分析、不適切な通信の検知・遮断　等）

  • ④　サイバー攻撃を受けた場合に被害の拡大を防止するために、以下のような措置を講じているか。

    • • 攻撃元のIPアドレスの特定と遮断
    • • DDoS攻撃に対して自動的にアクセスを分散させる機能
    • • システムの全部又は一部の一時的停止　等

  • ⑤　システムの脆弱性について、OSの最新化やセキュリティパッチの適用など必要な対策を適時に講じているか。

  • ⑥　サイバーセキュリティについて、ネットワークへの侵入検査や脆弱性診断等を活用するなど、セキュリティ水準の定期的な評価を実施し、セキュリティ対策の向上を図っているか。

  • ⑦　サイバー攻撃を想定したコンティンジェンシープラン（緊急時対応計画）を策定し、訓練や見直しを実施し、高度化を図っているか。

• （４）外部委託管理

  • ①　外部委託先の選定に当たり、選定基準に基づき評価、検討のうえ、選定しているか。

  • ②　外部委託契約において、外部委託先との役割分担・責任、監査権限、再委託手続き、提供されるサービス水準等を定めているか。また、外部委託先の全社員が遵守すべきルールやセキュリティ要件を外部委託先へ提示し、契約書等に明記しているか。

  • ③　システムに係る外部委託業務（二段階以上の委託を含む）について、リスク管理が適切に行われているか。

    特に外部委託先が複数の場合、管理業務が複雑化することから、より高度なリスク管理が求められることを十分認識した体制となっているか。

    システム関連事務を外部委託する場合についても、システムに係る外部委託に準じて、適切なリスク管理を行っているか。

  • ④　外部委託業務（二段階以上の委託を含む）について、委託元として委託業務が適切に行われていることを定期的にモニタリングしているか。

• （５）被害拡大防止措置

  • ①　システム障害等が発生した場合に、利用者に対し無用の混乱を生じさせないよう、利用者の被害拡大防止策を含め適切な措置を検討しているか。特に、電子決済等代行業者のシステムのみが停止した場合においては、利用者は、当該電子決済等代行業者のシステムを経由せずとも、直接的に銀行のシステムを利用すれば送金指図の伝達や口座情報の取得が可能であることから、適切にそうした案内・利用者からの相談・照会対応ができているか。

    　なお、クラウドサービスに障害が発生した場合に備え、対応策の検討又は利用者への適時適切な注意喚起が重要であることを念頭にクラウド事業者との障害発生時の連絡体制等の構築に努めているか。

  • ②　また、システム障害等の発生に備え、最悪のシナリオを想定した上で、必要な対応を行う態勢を検討しているか。

    　特に、業務への影響が大きい重要なシステムについては、バックアップシステム等を事前に準備し、災害、システム障害等が発生した場合に、速やかに業務を継続できる態勢を整備しているか。

  • ③　システム障害等の発生原因の究明、復旧までの影響調査、改善措置、再発防止策等を的確に検討しているか。

  • ④　システム障害等の影響を極小化するために、例えば、部分的障害の影響が波及する経路や迂回不能な単一障害点の把握など、影響波及の観点からリスク評価を行い、クラウドサービスの仕組みを適切に利用してリスク低減を図るなど、利用者の被害を最小化するためのサービス・システム的な仕組みの整備について検討しているか。

IV －３－３－３　監督手法・対応 

• (１）電子決済等代行業に係る障害発生時

  • ①　システム障害等の発生を認識次第、直ちに、その事実を当局宛てに報告を求めるものとする。

    また、復旧時、原因解明時には改めてその旨報告を求めることとする。

    ただし、復旧原因の解明がされていない場合でも、１か月以内に現状についての報告を求めるものとする。

    特に、社会的に影響の大きいシステム障害等の場合や障害の原因解明に時間を要している場合等には、直ちに、障害の事実関係等についての一般広報及びホームページ等における利用者対応等も含めたコンティンジェンシープランの発動状況をモニタリングするとともに、迅速な原因解明と復旧を要請するものとする。

    （注）報告すべきシステム障害等

    その原因の如何を問わず、電子決済等代行業者等（外部委託先や利用しているクラウドサービス提供事業者を含む。）が現に使用しているシステム・機器（ハードウェア、ソフトウェア共）に発生した障害であって、その機能に遅延、停止等が生じているもの又はそのおそれがあるもの。

    ただし、一部のシステム・機器にこれらの影響が生じても、他のシステム・機器が速やかに交替することで実質的にはこれらの影響が生じない場合を除く。

    なお、障害が発生していない場合であっても、サイバー攻撃の予告がなされ、又はサイバー攻撃が検知される等により、利用者や業務に影響を及ぼす、又は及ぼす可能性が高いと認められる時は、報告を求めるものとする（電子決済等代行業者の業務特性に応じて対応するものとする。）。

  • ②　必要に応じて法第52条の61の14第１項に基づき追加の報告を求め、重大な問題があると認められる場合には、法第52条の61の16に基づき業務改善命令を発出するものとする（行政処分を行うに当たっては、Ⅲ－６に準じる。）。

• （２）不正送金、誤送金、情報漏えい等

  特権IDの悪用による不正送金やシステムのプログラムミスによる誤送金等の利用者や経営に重大な影響がある問題を認識後、30日以内にその事実を当局宛てに報告を求め、重大な問題があると認められる場合には、法第52条の61の16に基づき業務改善命令を発出するものとする（個人である利用者に関する情報の漏えいに関するものについては、銀行法に基づく対応の他、個人情報保護法における事業所管大臣への権限委任の状況に従い、必要な措置を執る場合があることに留意するものとする。）。

• (３）外部委託先への対応

  システムに係る外部委託業務について、外部委託先における適切な業務運営が懸念される場合など、必要があると認められる場合には、以下のとおり取り扱うものとする。

  • ①　電子決済等代行業者の管理態勢に問題が認められる場合

    上記（２）の当局宛報告等により、電子決済等代行業者の業務の外部委託先に係る管理態勢に問題があると認められる場合には、必要に応じ、法第52条の61の14第１項に基づき報告を求め、重大な問題があると認められる場合には、法第52条の61の16に基づき業務改善命令を発出する等の対応を行うものとする。

  • ②　外部委託先の業務運営態勢等に問題が認められる場合

    委託者である電子決済等代行業者を通じて、事実関係等の把握等に努めることを基本とする。この場合においても、当該電子決済等代行業者に対しては、必要に応じ、法第52条の61の14第１項に基づき報告を求め、重大な問題があると認められる場合には、法第52条の61の16に基づき業務改善命令を発出する等の対応を行うものとする。ただし、事案の緊急性や重大性等が高い場合、電子決済等代行業者に対して確認するだけでは十分な実態把握等が期待できない場合などには、外部委託先に対して、直接、ヒアリングを行うなど事実関係の把握等に努めることとするが、特に必要があると認められる場合（例えば、当該外部委託先に対して多数の他の電子決済等代行業者が同種の外部委託を行っている場合など）には、当該外部委託先に対して、事実関係や発生原因分析及び改善・対応策等必要な事項について、法第52条の61の14第２項に基づく報告を求めることとする（行政処分を行うに当たっては、Ⅲ－６に準じる。）。

    （注）外部委託先に対してヒアリングを実施するに際しては、必要に応じ、委託者である電子決済等代行業者の同席を求めるものとする。

IV －３－４　利用者保護ルール等

IV －３－４－１　意義

電子決済等代行業者が法第２条第21項第１号に掲げる行為として提供する決済サービス（電子決済等代行業再委託者が行う業務を含む。以下「電子決済サービス」という。）は、利用者の社会経済生活や企業等の経済活動の利便性を高めるものとなり得る一方、前述（Ⅱ－３－６）の通り、銀行と銀行外部の決済サービス事業者等による連携サービスを狙う犯罪が発生していることを踏まえ、電子決済サービス全体のリスクを把握し、安全性を確保していくことが、電子決済等代行業者及び銀行の双方にとって重要な課題となっている。

以上を踏まえ、電子決済サービスを提供する電子決済等代行業者においては、電子決済等代行業の利用者や連携・協働する銀行の利用者（以下、Ⅳ－３－４及びⅣ－３－５において「利用者等」という。）の利益の保護を含む電子決済等代行業の健全かつ適切な運営の確保の観点から、当該リスクに応じた管理態勢を構築することが重要であり、電子決済等代行業者の監督に当たっては、例えば、以下のような点に留意するものとする。

IV －３－４－２　主な着眼点

• （１）内部管理 態勢の整備

  • ①　経営陣は、電子決済サービスの導入時及びその内容・方法の変更時において、電子決済サービス全体につき利用者等の利益の保護に係る問題点を含め内在するリスクを内部管理担当部署に特定させ、これらを踏まえ、適時にリスクを低減させる態勢を整備しているか。

  • ②　内部管理担当部署は、電子決済サービスにおいて発生が見込まれる犯罪の類型に基づき、関連する犯罪の発生状況や手口に関する情報の収集・分析を行い、今後発生が懸念される犯罪手口も考慮した上で、電子決済サービスに係る業務の実施態勢（不正防止策含む）の向上を図っているか。また、その内容を定期的かつ適時に経営陣に報告しているか。

  • ③　内部監査担当部署は、定期的かつ適時に、電子決済サービスに係る業務の実施態勢（不正防止策含む）について監査を行っているか。また、監査結果を経営陣に報告しているか。

  • ④　経営陣は、上記のような、リスク分析、リスク軽減策の策定・実施、当該軽減策の評価・見直しからなるいわゆるPDCAサイクルが機能する環境を作り出しているか。

• （２）セキュリティの確保

  • ①　不正取引を防止する観点から、電子決済サービスの導入時及びその内容・方法の変更時において、連携・協働する銀行と協力し、電子決済サービス全体のリスク評価を実施しているか。また、連携・協働する銀行におけるリスク評価の作業に協力しているか。

  • ②　連携・協働する銀行との役割分担・責任を明確化しているか。

  • ③　リスク評価を踏まえ、連携・協働する銀行と協力し、利用者に係る情報を照合するほか、リスクに見合った適切かつ有効な不正防止策を講じているか。

    例えば、電子決済サービスにおける銀行との連携に際し、連携・協働する銀行に登録された預貯金者の電話番号や住所宛てに電子決済等代行業者における認証に必要な情報を送付することや、利用上限額を不正取引が抑止できると考えられる水準に設定するなど、適切かつ有効な不正防止策を講じているか。

    （注）連携・協働する銀行との情報の照合に当たっては、公的個人認証を用いる場合を除き、利用者の氏名・生年月日に加え、住所や電話番号も対象項目とすることが望ましい。

    また、連携・協働する銀行において、例えば、固定式のID・パスワードによる本人認証に加えてハードウェアトークンやソフトウェアトークンによる可変式パスワードを用いる方法、公的個人認証等の電子証明書を用いる方法が導入されているなど、実効的な要素を組み合わせた多要素認証等の認証方式が導入されていることを確認しているか。

    （注）電子決済等代行業者における不正防止策は、連携・協働する銀行における不正防止策の内容と重複しないものとする必要がある点に留意する。また、連携・協働する銀行において、電話番号など認証に利用される情報の登録・変更に堅牢な認証方式が導入されている必要がある点に留意する。

  • ④　犯罪手口の高度化・巧妙化を含めた環境変化や自社又は他の事業者における事件の発生状況を踏まえ、定期的かつ適時にリスクを認識・再評価し、公的個人認証の導入を含め、不正防止策の向上を図っているか。

  • ⑤　リスク評価の結果、利用者等の利益の保護を含む電子決済等代行業の健全かつ適切な運営の確保の観点から問題があると認められる場合には、その解決までの間、電子決済サービスを含むサービスの全部又は一部の一時的停止その他の適切な対応を行っているか。

• （３）利用者等への通知

  利用者等が早期の被害認識を可能とするため、電子決済サービスに係る銀行との連携・協働に際し、当該銀行と協力し、あらかじめ当該銀行に登録されている利用者等の連絡先に通知するなど、利用者等が連携事実及び連携内容を適時に確認する手段を講じているか。

  （注）連携・協働する銀行に登録されている連絡先に通知する方法により上記手段を講じるにあたっては、当該銀行において、電話番号（SMS（ショートメッセージサービス）を含む）やメールアドレス等の連絡先の登録・変更に堅牢な認証方式が導入されている必要があることに留意する。

• （４）不正取引の検知（モニタリング）

  電子決済サービスについては、不正取引の防止の観点から、連携・協働する銀行と協力し、例えば、以下のような事項を適切に実施するための態勢を整備しているか。

  • ・犯罪手口の高度化・巧妙化を含めた環境変化や自社又は他の事業者における事件の発生状況を踏まえた適切なシナリオ・閾値を設定することで不正が疑われる取引を速やかに検知すること

  • ・上記に基づき検知した取引について連携・協働する銀行との間で適時に情報を共有し、必要に応じてサービスの一時的な利用停止その他の措置を実施するとともに、調査を実施すること

  • ・被害のおそれがある者に速やかに連絡すること

  • ・不正が確認されたIDの停止等を実施すること

• （５）利用者等からの相談対応

  • ①　利用者等からの電子決済サービスに関する相談等（以下「相談等」という。）の事例の蓄積と分析を行い、リスクの早期検知並びに不正防止策及び利用者等からの相談対応の改善を行うための態勢を整備しているか。

  • ②　連携・協働する銀行に関する相談等も含め、真摯な対応を行うための態勢を整備しているか。また、連携・協働する銀行との具体的な協力方法と責任関係を明確化しているか。

  • ③　連携・協働する銀行と相互に相手方に相談するよう促すなどの不適切な対応を行っていないか検証し、不適切な対応が認められる場合には、連携・協働する銀行とともに、発生原因の究明、改善措置、再発防止策等を的確に講じているか。

IV －３－４－３　監督手法・対応

不祥事件届出等の日常の監督事務を通じて把握された電子決済サービスに関する課題等については、上記の着眼点に基づき、原因及び改善策等について、深度あるヒアリングを実施し、必要に応じて法第52条の61の14の規定に基づき報告書を徴求することにより、電子決済等代行業者における自主的な業務改善状況を把握することとする。

さらに、利用者等の利益の保護を含む電子決済等代行業の健全かつ適切な運営の確保の観点から重大な問題があると認められるときには、電子決済等代行業者に対して、法第52条の61の16の規定に基づく業務改善命令を発出することとする。また、重大、悪質な法令違反行為が認められるときには、法第52条の61の17の規定に基づく業務停止命令等の発出を検討するものとする（行政処分を行うに当たっては、Ⅲ－６に準じる。）。

IV －３－５　不正取引に対する補償

電子決済等代行業に関する不正取引により、利用者等に被害が生じるおそれがある。

このような被害が発生した場合、電子決済等代行業者においては、利用者等の利益の保護を含む電子決済等代行業の健全かつ適切な運営の確保の観点から、被害者に対して適切かつ速やかな対応（連携・協働する銀行と協力した対応を含む。）を実施することが重要である。

不正取引への対応に関する電子決済等代行業者の監督に当たっては、例えば、以下のような点に留意するものとする。

IV －３－５－１　主な着眼点

• ①　電子決済サービスに関し、不正取引が行われたことにより発生した損失の補償その他の対応に関する方針（以下「補償方針」という。）を策定し、電子決済サービスの利用者への情報提供を行うとともに、不正取引が発生した場合に損失が発生するおそれのある電子決済サービスの利用者以外の者も容易に知りうる状態においているか。

  （注）「電子決済サービスに関し、不正取引が行われたことにより発生した損失」とは、電子決済サービスの利用者の意思に反して権限を有しない者の指図が行われたことにより発生した当該利用者の損失に限らず、電子決済サービスの利用者が連携口座の預貯金者になりすますことで預貯金者の意思に反して決済指図の伝達が行われたことにより発生した預貯金者の損失など、電子決済サービスの提供を起因として、連携・協働する銀行の利用者に発生した損失を含む。

• ②　法第52条の61の８第１項第３号に規定する損害賠償に関する事項には、少なくとも以下の事項が定められているか（法第52条の61の10の規定に基づき連携・協働する銀行との間で締結した電子決済等代行業に係る契約において定められている場合を含む。）。

  • イ．電子決済サービスの業務の内容に応じて、損失が発生するおそれのある具体的な場面毎の被害者に対する損失の補償の有無、内容及び補償に要件がある場合にはその内容

  • ロ．補償手続の内容

  • ハ．電子決済サービスを提供する場合にあっては電子決済等代行業者と連携・協働する銀行の補償の分担に関する事項（被害者に対する補償の実施者を含む。）

  • ニ．補償に関する相談窓口及びその連絡先

  • ホ．不正取引の公表基準

  • （注）ハに定める事項については、当該事項に関する連携・協働する銀行との契約内容の全てについて利用者への情報提供等を行う必要まではないが、少なくとも、被害者に対する補償の実施者については利用者への情報提供等を行う必要があることに留意する。

• ③　策定した補償方針に従い、適切かつ速やかに補償を実施するための態勢（連携・協働する銀行との協力態勢を含む。）が整備されているか。

IV －３－５－２　監督手法・対応

• （１）問題認識時

  不祥事件届出等の日常の監督事務を通じて把握された不正取引への対応に関する課題等については、上記の着眼点に基づき、原因及び改善策等について、深度あるヒアリングを実施し、必要に応じて法第52条の61の14の規定に基づき報告書を徴求することにより、電子決済等代行業者における自主的な業務改善状況を把握することとする。

  更に、利用者等の利益の保護を含む電子決済等代行業の健全かつ適切な運営の確保の観点から重大な問題があると認められるときには、電子決済等代行業者に対して、法第52条の61の16の規定に基づく業務改善命令を発出することとする。また、重大、悪質な法令違反行為が認められるときには、法第52条の61の17の規定に基づく業務停止命令等の発出を検討するものとする（電子決済等代行業者に行政処分を行うに当たっては、Ⅲ－６に準じる。）。

• （２）不正取引発生時

  電子決済等代行業に関し不正取引を認識次第、速やかに「不正取引発生報告書」にて当局宛て報告を求めるものとする。