第4回：金融機関のオペレーショナル・レジリエンスへの取組みと、業界横断的なBCP/BCMの動向

金融機関におけるBCP/BCMとレジリエンスの取組み

オペレーショナル・レジリエンスとは

本連載の第1回でも述べたように、会社や組織のレジリエンスとは、「緊急時において事業継続できる対応能力・回復力、あるいは経営環境の変化に対して柔軟に対応できる能力」のことをいいます。このレジリエンスに関して、近年、金融機関では「オペレーショナル・レジリエンス」の構築が推進されています。

世界では、バーゼル銀行監督委員会が「オペレーショナル・レジリエンスのための諸原則」を^*1、英当局などがオペレーショナル・レジリエンスに関する新規制^*2を公表しています。また、欧州委員会もデジタル・オペレーショナル・レジリエンス法^*3などを公表しています。日本では金融庁がディスカッション・ペーパー^*4の取りまとめや、監督指針の改訂^*5などを実施しています。

なお、金融庁のディスカッション・ペーパーでは、オペレーショナル・レジリエンスについて下記のとおり定義しており、以下本稿でも同様の意味で用います。

オペレーショナル・レジリエンスが必要な理由と対応方法

先に触れた、バーゼル銀行監督委員会が公表している「オペレーショナル・レジリエンスのための諸原則^*6」では、BCP/BCMに関する従来からの課題を踏まえて、オペレーショナル・レジリエンスが必要な理由と対応方法について次のように言及しています。日本を含めた各国の取組みもこれらの考え方と整合していると考えられます。

• ITシステムへの依存度の高まりやサイバー攻撃の増加などを踏まえると、未然防止のための態勢整備だけでは不十分であり、オペレーショナルリスク管理を尽くしてなお、業務中断が発生し得る現実に向き合う必要がある。
• 個別の危機対応プロセスを整備しても想定外の事象が起これば対応できないため、業務中断による影響の軽減などについて、組織横断的な検証と態勢整備が必要である。
• 経営陣のコミットメントの下、「重要な業務」とその遂行に不可欠な経営資源を特定し、相互依存関係を整理したうえで、業務中断やその影響時の許容可能な水準を設定する。また、シナリオ分析や訓練を通じてその水準の適切性を検証し、必要な追加的措置を講じる。
• オペレーショナル・レジリエンスの期待水準に関しては経営陣による組織横断的かつ包括的な検証、およびトップダウンによるコミットメントが求められている。

1点目の「ITシステムへの依存度の高まり」について、利用者の目線からその変化を捉えると、たとえば預金の引出しは、以前は利用する金融機関の窓口で紙の通帳と印鑑の提出が必要でしたが、現在は利用する金融機関以外のATMでもキャッシュカードを利用して引出すことができるようになっています。また現在、振込や残高照会にはインターネットバンキングを利用できますし、バーコード決済では銀行口座を紐づけることで、預金を店舗等での支払いに利用できます。このような銀行預金の利用チャネルの拡大には、ITシステムの機能強化や金融機関同士のシステム的な連携が寄与しています。

一方、金融庁は、こうしたITシステムに対するシステム障害が、年間約1,900件（2022年度）報告されたと公表しています^*7。このレポートの中で、「システム障害発生時の復旧に関する不芳事案」として、地域金融機関の共同センターの障害により、複数の金融機関において同時に障害が発生し、復旧手順の未整備や復旧対応を行う有識者の不足等により多くの利用者に影響が及んだケースや、外部委託先での復旧作業において作業手順の検証が不足していたことに加え、金融機関での検証も十分に行われなかったことで、ATMやインターネットバンキングで長時間取引ができなくなったケースが紹介されています。

オペレーショナル・レジリエンスの構築が推奨される理由

既存のBCP/BCMのフレームワークから逸脱しない

前述のとおり、日本では金融庁がオペレーショナル・レジリエンスに関するディスカッション・ペーパー^*8や監督指針の改訂^*9などを公表しており、その中でオペレーショナル・レジリエンスの「基本動作」について紹介しています。

ここで注目したいポイントは、重要な業務を特定して経営資源（リソース）に着目するアプローチは、前回までに紹介したBCP/BCMで用いられるフレームワークでも、金融業界ならびに他業界を対象としてかねてから謳われており、特に目新しいものではないという点です。

たとえば、内閣府が平成25年8月に改定した「事業継続ガイドライン」で^*10、経営資源の特定の必要性について触れられていたり、「レジリエンス認証 審査項目説明書」^*11でも重要業務の実施に不可欠な資源を把握していることがわかる書面等を示すよう記載されています。事業継続マネジメントシステム（BCMS）に関する国際規格であるISO22301:2019（JIS Q22301:2020）でも、優先的な事業活動の遂行に必要な資源を決定する旨が要求事項として掲げられています。これらを踏まえると、オペレーショナル・レジリエンスも、既存のBCP/BCMのフレームワークから大きく外れることを求めているわけではないと考えられます。

想定外の状況が発生しうることを前提としている

それではなぜ近年において、国際機関や金融庁は改めてオペレーショナル・レジリエンスの構築に着目しているのでしょうか。それは、これまでのBCP/BCMに関する金融機関の取組みが、「シナリオベースのBCP^*12」に偏っていたためと考えられます。

たとえば「シナリオベースのBCP」として、「日中（就業時間中）に、●●情報システムの障害が発生し、サービスの提供が停止した」というシナリオを想定し、その対応策として「契約しているシステムインテグレーターに連絡し、原因究明と復旧対応を行う」と定めていたとします。では、「休日夜間に当該システムの障害が発生してしまい、システムインテグレーターの担当者の休日夜間の連絡先が分からず当該担当者と連絡がとれない」という場面に遭遇してしまった場合はどうすればよいでしょうか。前述したシナリオと対応策だけでは、顧客が許容してくれる時間内にサービスの提供を再開することが困難になる可能性があります。

もちろん実際のシステム運用ではこのようなケースは当然想定されているでしょう。ただ、上記のように、事前に用意したシナリオの予想を超えた「想定外」の状況が発生し得ることを前提とした場合に、どのサービスを最優先として、いつまでに対処する必要があるのかなどといった、顧客へのサービス提供を継続するための事前（平時）の準備が「シナリオベースのBCP」では十分ではなかったという認識が、昨今オペレーショナル・レジリエンスの構築が推奨されている背景にあると考えられます。

BCP/BCMとレジリエンスに関連する最近のトピック

最後に、社会全体の共通課題に関わる、BCP/BCMおよびレジリエンスに関連する最近のトピックを紹介します。

SDGs

SDGs^*15においても、「持続可能」「強靭な」といった文言を用いて、BCP/BCMやレジリエンスに関する内容に触れています。

• 目標9
  強靱なインフラ構築、包摂的かつ持続可能な産業化の促進およびイノベーションの推進を図る
• 目標11
  包摂的で安全かつ強靱で持続可能な都市および人間居住を実現する
• 目標13
  気候変動およびその影響を軽減するための緊急対策を講じる

たとえば、目標9のターゲット9.1では「持続可能かつ強靱なインフラを開発する」こと、目標13のターゲット13.1では「気候関連災害や自然災害に対するレジリエンスおよび適応力を強化する」ことについて言及されています。SDGsの浸透・普及が、BCP/BCMやレジリエンスに関する意識の向上や醸成につながり、企業や行政の取組みにも影響を与えていくと考えられます。

経済安全保障推進法

2022年5月に成立した「経済安全保障推進法^*16」で創設された「基幹インフラ役務の安定的な提供の確保に関する制度^*17」において、基幹インフラの重要設備が役務の安定的な提供を妨害する⾏為の⼿段として使⽤されること^*18を防⽌するため、特定社会基盤事業者として指定された会社（インフラ事業者など）は、国により指定された重要設備（特定重要設備）の「導入」および「維持管理等の委託」を行う際に、事前に国（事業所管大臣）に対して計画書の事前届出を行い、審査を受けることが定められました。

計画書の具体的な記載事項としては以下のような内容があげられています。

• 「特定重要設備の導入」の場合：
  特定重要設備の概要、内容・時期、供給者など
  （供給者は、「特定重要設備」の「構成設備」の供給者までが対象）
• 「特定重要設備の重要維持管理等の委託」の場合：
  特定重要設備の概要、内容・期間、委託の相⼿⽅、再委託など
  （委託先は、重要維持管理等の委託先すべて（再委託先、再々委託先、等）が対象）

また、上記の「特定重要設備の導入」「重要維持管理等の委託」のそれぞれの場合について、計画書の届出様式には「リスク管理措置（特定社会基盤事業者が講ずる特定妨害行為を防止するための措置）」が含まれており、特定社会基盤事業者として指定された会社は「リスク管理措置」の実施状況をチェックした結果も計画書の一部として届け出るよう求められています。内閣府による解説資料^*19*20では、「特定重要設備の導入」時の「リスク管理措置」として以下のような項目が紹介されており、BCP/BCMやレジリエンスに関する対応状況も問われる可能性があります。

• 特定社会基盤事業者は、特定重要設備の供給者によるサービス保証（故障対応や脆弱性対応等）が十分に講じられることを確認している。
• 特定社会基盤事業者は、ランサムウェアに感染した場合等の特定重要設備に対する不正な妨害が行われたときであっても役務の提供が継続できる体制（バックアップの取得・隔離管理、復旧手順の明確化・具体化、代替設備との交換等）について、自ら整備している。

レジリエンスの強化やその手段としてのBCP/BCMは、オペレーショナル・レジリエンス向上や重要インフラの安定稼働確保のためにも欠くことのできない重要な取組みと考えられます。

※本稿は、「UNITIS」に寄稿した記事です。
※発行元の許諾を得て掲載しています。無断複製・転載はお控えください。
※法人名、役職などは掲載当時のものです。