金融監督院は、金融会社のクラウドやサービス型ソフトウエア（SaaS）など外部ITサービスの利用拡大に伴うリスクを体系的に管理するため、「金融会社の第三者ITリスク管理ガイドライン」を用意したと29日明らかにした。
ガイドラインは取締役会と経営陣の役割と責任を明確にした。取締役会が第三者ITリスク管理の最終責任を負うと明記し、リスク管理方針と監督に関する主要事項を審議・議決事項として規定した。また経営陣を第三者ITリスク管理体制を構築・施行・維持する主体と定め、総括管理部署を指定・運用するよう定めた。総括管理部署は実効性の高い安全性確保措置を策定・実行するとともに、各事業部署の情報処理業務委託の現況を総括し、第三者ITリスクの現況と委託契約の妥当性などを評価する職務を担う。
これを踏まえ金融会社は、総括管理部署・リスク管理部署・内部監査部署で構成される「3段階統制体制」を構築・運用し、第三者ITリスクを体系的に管理するようにした。
第三者ITリスクの識別・評価・管理体制も具体化した。金融会社は、委託契約の相手方である第三者の財務健全性と提供サービス、処理情報の種類・件数、暗号化および通信方式、事故対応体制、電算設備など業務関連の主要情報を識別し、半期に1回以上定期的に点検して関連情報を最新の状態に維持しなければならない。特に金融会社の業務や金融消費者に重大な影響を及ぼす「主要第三者」は別途指定し、より強化されたリスク管理を適用する。
また第三者別にITリスクを実効的に評価できるよう、評価項目とチェックリストを具体的に提示した。識別されたリスクについては補完措置を実施するが、統制・低減・移転が不可能な場合には契約を中断するか、取締役会が契約維持の可否を決定するようにした。
契約段階別のリスク管理手続きも体系化した。契約の検討・締結段階から維持・管理、終了に至る情報処理業務委託の全過程で発生し得る第三者ITリスクを先制的に識別し対応できるよう、段階別の管理手続きを整えた。
契約締結前には現地実査などを通じてサービスの能力と情報保護管理体制などを検証し、委託先・受託先間の役割分担や事故発生時の責任関係など必須事項を契約書に反映するようにした。契約期間中には契約履行の現況を年1回以上定期的に点検し、システム中断などに備えた非常対策と業務継続性維持のためのバックアップ管理体制、契約終了に備えた出口戦略などを用意しなければならない。契約終了後には情報資産の返還、アクセス権限の抹消、情報の完全な廃棄などを実施するようにした。
金融監督院と業種別協会などは、今回用意した「第三者ITリスク管理ガイドライン」が実効的に運用されるよう積極的に支援する計画である。業種別協会などは当該ガイドラインを基に模範基準を制定し、今年11月以降に施行する予定だ。