III 　主要行等監督上の評価項目

• (1)健全かつ適正な収益・営業目標の設定と業務運営の監督・管理

  • 顧客の長期的な資産運用・財産形成に係る取引や助言等を適切に行い、健全な取引関係を維持し、適正な収益・営業目標の設定と業務運営の適切性・妥当性を確保するために、収益追求と法令等遵守（コンプライアンス）を適切にバランスさせ、営業をけん制する十分な内部統制や経営管理（ガバナンス）態勢が導入されているか。また、営業の規模等に応じて営業部員一人ひとりを適正に監督・管理する態勢が導入・整備されているか。

  • 営業部員や役職員の給与・賞与体系が、短期的な収益獲得に過度に連動し、成果主義に偏重していないか。また、手数料収益の獲得に傾注した外国為替、投資信託、その他の有価証券等の乗り換え取引・回転売買、並びに、デリバティブが内包された預金取引や仕組み債、レバレッジ効果を有する金融取引などの勧誘・販売に不適正に注力した営業体制や商品構成になっていないか。

• (2)適切な営業を監督・管理する態勢の整備

  • 顧客の金融取引や投資に関する知識・経験等に配慮し、説明義務の履行の観点から、顧客の適合性や銀行が提供する金融商品や取引等の適切性・妥当性が十分に検証され、取引時の勧誘状況、並びに、当該取引等の承認・内部決裁（判断・理由等）の記録が的確に保存・管理されているか。

  • また、顧客との取引等が継続的に監督・管理され、運用結果や取引過程のパフォーマンス、時価情報、リスクの発生と変動要因などの情報が、法令諸規則や内部規程に則り、顧客に対して適時開示され、適切かつ十分に説明されていることをチェック・検証する態勢を整備しているか。

  • 顧客の囲い込みや獲得を優先するあまり、顧客の要求等に営業部門の役席者等が過度に対応し、顧客と金融機関が本来維持すべき、健全かつ適切な関係が保たれていない状況などが認められないか。

  • 顧客との個別取引のみならず、営業部員や取引等に関係する当事者間に、不正なキックバックやリベートなどに相当する実質的な条件等が含まれていないか。これらの条件等を抑止・けん制する内部管理態勢が構築されているか。

• (3)情報管理態勢等の確立

  • 信用供与機能を有する銀行が特定の顧客と金融取引等を行うに当たり、銀行の優越的な地位を濫用した取引や、信用の供与の条件として金融商品等を販売する、いわゆる「抱き合わせ販売」等を防止するための顧客審査、並びに、個々の取引等の検証が十分に行われているか。あるいは、顧客が信用の供与を強要し、銀行が不適正に応じている実態はないか。

  • 顧客の非公開情報や重要情報等の適切な利用及び適正かつ十分な保存・保管の態勢、並びに、漏洩等の事故が発生した場合にも詳細を的確に把握し、二次被害等の発生を想定した迅速かつ適切な対応が可能な態勢が構築されているか。また、顧客情報の保管やリーガル・ユニット間等での共有の実態については、必要に応じて態勢を検証し、顧客の十分な理解と事前の承認・同意が得られているかについても、併せて検証を要することに留意する。

• (4)法令違反を排除し、公正・妥当な取引等を確保する態勢の構築

  • 法令違反取引や不公正・不適切な取引を排除する観点から、個別取引等の適法性の検証にとどまらず、公正価格や取引の透明性が確保され、かつ、顧客の真の取組み目的、仕組み全体の組成目的、顧客及び取引関係者等にもたらされる取引効果、リスクの発生と負担の妥当性、経済合理性などに着目し、顧客取引そのものの適切性・妥当性等が十分に検証されているか。

  • 顧客との取引等により銀行が収受する手数料収益や取引利ざやなどが適正かつ妥当な水準に設定されていることを検証し、これらを常にチェック及びけん制する手順や内部管理の態勢が適正に構築されているか。

  • 顧客との個別の紛争に係る対応ついては、それらの軽重や状況に応じて、適切に監督・管理する内部の態勢が整えられているか。

• (5)マネー・ローンダリング及び疑わしい取引等を検出・排除する態勢の構築

  • 顧客の資産背景、資金源泉、取引関係者等の相互関係、並びに、個別に取り組まれる金融取引等の真の取引目的や取引背景を的確かつ十分に把握し、取引時確認事務の確実な実行と、顧客及び取引等の適否について十分な審査が適時・適切に行われる態勢となっているか。

  • 特に、顧客の資金や資産を不正な手段や不適切な仕組み等を使って国内外で隠匿・移管させる取引など、マネー・ローンダリングや疑わしい取引を審査・検証する経験者の配置、並びに、営業部署等の不正な関与を抑止・けん制することが可能な態勢が構築されているか。

  • 疑わしい顧客や取引等を常時検出・分析・監視し、一元管理する手順や体制を導入しているか。また、問題等が認められた顧客や取引等を適正に管理・対応する態勢を有しているか。

• (1)相談・苦情・紛争等（苦情等）対処の必要性

  金融商品・サービスは、リスクを内在することが多く、その専門性・不可視性等とも相俟ってトラブルが生じる可能性が高いと考えられる。このため、金融商品・サービスの販売・提供に関しては、トラブルを未然に防止し顧客保護を図る観点から情報提供等の事前の措置を十分に講じることに加え、苦情等への事後的な対処が重要となる。

  近年、金融商品・サービスの多様化・複雑化により金融商品・サービスに関するトラブルの可能性も高まっており、顧客保護を図り金融商品・サービスへの顧客の信頼性を確保する観点から、苦情等への事後的な対処の重要性もさらに高まっている。

  このような観点を踏まえ、簡易・迅速に金融商品・サービスに関する苦情処理・紛争解決を行うための枠組みとして金融ＡＤＲ制度（ＡＤＲについて（注）参照）が導入されており、銀行においては、金融ＡＤＲ制度も踏まえつつ、適切に苦情等に対処していく必要がある。

  （注）ＡＤＲ（Alternative Dispute Resolution）

  訴訟に代わる、あっせん・調停・仲裁等の当事者の合意に基づく紛争の解決方法であり、事案の性質や当事者の事情等に応じた迅速・簡便・柔軟な紛争解決が期待される。

• (2)対象範囲

  銀行の業務に関する申出としては、相談のほか、いわゆる苦情・紛争などの顧客からの不満の表明など、様々な態様のものがありうる。銀行には、これらの様々な態様の申出に対して適切に対処していくことが重要であり、かかる対処を可能とするための適切な内部管理態勢を整備することが求められる。

  加えて、銀行には、金融ＡＤＲ制度において、苦情と紛争のそれぞれについて適切な態勢を整備することが求められている。

  もっとも、これら苦情・紛争の区別は相対的で相互に連続性を有するものである。特に、金融ＡＤＲ制度においては、指定ＡＤＲ機関において苦情処理手続と紛争解決手続の連携の確保が求められていることを踏まえ、銀行においては、顧客からの申出を形式的に「苦情」「紛争」に切り分けて個別事案に対処するのではなく、両者の相対性・連続性を勘案し、適切に対処していくことが重要である。

銀行が、苦情等対処に関する内部管理態勢を整備するに当たり、業務の規模・特性に応じて、適切かつ実効性ある態勢を整備しているかを検証する。その際、機械的・画一的な運用に陥らないよう配慮しつつ、例えば、以下の点に留意することとする。

特に、与信取引及び預金・リスク商品等の苦情等対処の検証にあたっては、苦情等対処が説明態勢を補完するものであることに留意し、必要に応じ、 III −３−３−１−２、 III −３−３−２−２を参照する。

• (1)経営陣の役割

  取締役会は、苦情等対処機能に関する全行的な内部管理態勢の確立について、適切に機能を発揮しているか。

• (2)社内規則等

  • 社内規則等において、苦情等に対し迅速・公平かつ適切な対応・処理を可能とするよう、苦情等に係る担当部署、その責任・権限及び苦情等の処理手続（事務処理ミスがあった場合等の対応も含む。）を定めるとともに、顧客の意見等を業務運営に反映するよう、業務改善に関する手続を定めているか。

  • 苦情等対処に関し社内規則等に基づいて業務が運営されるよう、研修その他の方策（マニュアル等の配布を含む。）により、社内規則等を行内に周知・徹底をする等の態勢を整備しているか。

    特に顧客からの苦情等が多発している場合には、まず社内規則等（苦情等対処に関するものに限らない。）の営業店に対する周知・徹底状況を確認し、実施態勢面の原因と問題点を検証することとしているか。

• (3)苦情等対処の実施態勢

  • 苦情等への対処に関し、適切に担当者を配置しているか。

  • 顧客からの苦情等について、関係部署が連携のうえ、速やかに処理を行う態勢を整備しているか。特に、苦情等対処における主管部署及び担当者が、個々の職員が抱える顧客からの苦情等の把握に努め、速やかに関係部署に報告を行う態勢を整備しているか。

  • 苦情等の解決に向けた進捗管理を適切に行い、長期未済案件の発生を防止するとともに、未済案件の速やかな解消を行う態勢を整備しているか。

  • 苦情等の発生状況に応じ、受付窓口における対応の充実を図るとともに、顧客利便に配慮したアクセス時間・アクセス手段（例えば、電話、手紙、ＦＡＸ、ｅメール等）を設定する等、広く苦情等を受け付ける態勢を整備しているか。また、これら受付窓口、申出の方式等について広く公開するとともに、顧客の多様性に配慮しつつ分かりやすく周知する態勢を整備しているか。

  • 苦情等対処に当たっては、個人情報について、個人情報の保護に関する法律その他の法令、保護法ガイドライン等に沿った適切な取扱いを確保するための態勢を整備しているか（ III −３−３−３参照）。

  • 銀行代理業者を含め、業務の外部委託先が行う委託業務に関する苦情等について、銀行自身への直接の連絡体制を設けるなど、迅速かつ適切に対処するための態勢を整備しているか（ III −３−３−４−２（１）、 VIII −５−２−２（９）参照）。

  • 反社会的勢力による苦情等を装った圧力に対しては、通常の苦情等と区別し、断固たる対応をとるため関係部署に速やかに連絡し、必要に応じ警察等関係機関との連携を取った上で、適切に対処する態勢を整備しているか。

• (4)顧客への対応

  • 苦情等への対処について、単に処理の手続の問題と捉えるにとどまらず事後的な説明態勢の問題として位置付け、苦情等の内容に応じ顧客から事情を十分にヒアリングしつつ、可能な限り顧客の理解と納得を得て解決することを目指しているか。

  • 苦情等を申し出た顧客に対し、申出時から処理後まで、顧客特性にも配慮しつつ、必要に応じて、苦情等対処の手続の進行に応じた適切な説明（例えば、苦情等対処手続の説明、申出を受理した旨の通知、進捗状況の説明、結果の説明等）を行う態勢を整備しているか。

  • 申出のあった苦情等について、自ら対処するばかりでなく、苦情等の内容や顧客の要望等に応じて適切な外部機関等を顧客に紹介するとともに、その標準的な手続の概要等の情報を提供する態勢を整備しているか。

    なお、複数ある苦情処理・紛争解決の手段（金融ＡＤＲ制度を含む。）は任意に選択しうるものであり、外部機関等の紹介に当たっては、顧客の選択を不当に制約していないか留意することとする。

  • 外部機関等において苦情等対処に関する手続が係属している間にあっても、当該手続の他方当事者である顧客に対し、必要に応じ、適切な対応（一般的な資料の提供や説明など顧客に対して通常行う対応等）を行う態勢を整備しているか。

• (5)情報共有・業務改善等

  • 苦情等及びその対処結果等が類型化の上で内部管理部門や営業部門に報告されるとともに、重要案件は速やかに監査部門や経営陣に報告されるなど、事案に応じ必要な関係者間で情報共有が図られる態勢を整備しているか。

  • 苦情等の内容及び対処結果について、自ら対処したものに加え、外部機関が介在して対処したものを含め、適切かつ正確に記録・保存しているか。また、これらの苦情等の内容及び対処結果について、指定ＡＤＲ機関より提供された情報等も活用しつつ、分析し、その分析結果を継続的に顧客対応・事務処理についての態勢の改善や苦情等の再発防止策・未然防止策に活用する態勢を整備しているか。

  • 苦情等対処機能の実効性を確保するため、検査・監査等の内部けん制機能が十分発揮されるよう態勢を整備しているか。

  • 苦情等対処の結果を業務運営に反映させる際、業務改善・再発防止等必要な措置を講じることの判断並びに苦情等対処態勢の在り方についての検討及び継続的な見直しについて、経営陣が指揮する態勢を整備しているか。

• (6)外部機関等との関係

  • 苦情等の迅速な解決を図るべく、外部機関等に対し適切に協力する態勢を整備しているか。

  • 外部機関等に対して、自ら紛争解決手続の申立てを行う際、自らの手続を十分に尽くさずに安易に申立てを行うのではなく、顧客からの苦情等の申出に対し、十分な対応を行い、かつ申立ての必要性につき行内で適切な検討を経る態勢を整備しているか。

• (1)総論

  • 手続実施基本契約

    • イ．自らが営む銀行業務（法第２条第18項で定義する「銀行業務」を指す。）について、指定ＡＤＲ機関との間で、速やかに手続実施基本契約を締結しているか。

      また、例えば、指定ＡＤＲ機関の指定取消しや新たな指定ＡＤＲ機関の設立などの変動があった場合であっても、顧客利便の観点から最善の策を選択し、速やかに必要な措置（新たな苦情処理措置・紛争解決措置の実施、手続実施基本契約の締結など）を講じるとともに、顧客へ周知する等の適切な対応を行っているか。

    • ロ．指定ＡＤＲ機関と締結した手続実施基本契約の内容を誠実に履行する態勢を整備しているか。

  • 公表・周知・顧客への対応

    • イ．手続実施基本契約を締結した相手方である指定ＡＤＲ機関の商号又は名称、及び連絡先を適切に公表しているか。

      公表の方法について、例えば、ホームページへの掲載、ポスターの店頭掲示、パンフレットの作成・配布又はマスメディアを通じての広報活動等、業務の規模・特性に応じた措置をとっているか。仮に、ホームページに掲載したとしても、これを閲覧できない顧客も想定される場合には、そのような顧客にも配慮することとしているか。

      公表する際は、顧客にとって分かりやすいように表示しているか（例えば、ホームページで公表する場合において、顧客が容易に金融ＡＤＲ制度の利用に関するページにアクセスできるような表示が望ましい。）。

    • ロ．手続実施基本契約も踏まえつつ、顧客に対し、指定ＡＤＲ機関による標準的な手続のフローや指定ＡＤＲ機関の利用の効果（時効中断効等）等必要な情報の周知を行う態勢を整備しているか。

    • ハ．金融商品取引業者、保険会社が組成した金融商品や保険商品を銀行が販売する場合、当該商品を組成した金融商品取引業者、保険会社や、当該商品を販売した銀行といった、業態の異なる複数の業者が関係することになるため、顧客の問題意識を把握した上で、問題の発生原因に応じた適切な指定ＡＤＲ機関を紹介するなど、丁寧な対応を行っているか。

      • （注）保険商品の場合、銀行（保険募集人）による販売時の説明等の問題であっても、所属保険会社等は、保険業法第283条第１項の規定により保険募集人が保険募集について保険契約者に加えた損害を賠償する責任を負う（同条第２項に掲げる場合を除く。）とされていることから、顧客は、銀行が手続実施基本契約を締結する指定ＡＤＲ機関のみならず、保険会社が手続実施基本契約を締結する指定ＡＤＲ機関に対しても、原則として申立てを行うことができることに留意する。

• (2)苦情処理手続・紛争解決手続についての留意事項

  銀行が手続実施基本契約により手続応諾・資料提出・特別調停案尊重等の各義務を負担することを踏まえ、検証に当たっては、例えば、以下の点に留意することとする。

  • 共通事項

    • イ．指定ＡＤＲ機関から手続応諾・資料提出等の求めがあった場合、正当な理由がない限り、速やかにこれに応じる態勢を整備しているか。

    • ロ．指定ＡＤＲ機関からの手続応諾・資料提出等の求めに対し拒絶する場合、苦情・紛争の原因となった部署のみが安易に判断し拒絶するのではなく、組織として適切に検討を実施する態勢を整備しているか。また、可能な限り、その判断の理由（正当な理由）について説明する態勢を整備しているか。

  • 紛争解決手続への対応

    • イ．紛争解決委員から和解案の受諾勧告又は特別調停案の提示がされた場合、速やかに受諾の可否を判断する態勢を整備しているか。

    • ロ．和解案又は特別調停案を受諾した場合、担当部署において速やかに対応するとともに、その履行状況等を検査・監査部門等が事後検証する態勢を整備しているか。

    • ハ．和解案又は特別調停案の受諾を拒絶する場合、業務規程（法第52条の67第１項）等を踏まえ、速やかにその理由を説明するとともに、訴訟提起等の必要な対応を行う態勢を整備しているか。

• (1)総論

  • 苦情処理措置・紛争解決措置の選択

    • イ．自らが営む銀行業務の内容、苦情等の発生状況及び営業地域等を踏まえて、法令で規定されている各事項のうちの一つ又は複数を苦情処理措置・紛争解決措置として適切に選択しているか。なお、その際は、例えば、顧客が苦情・紛争を申し出るに当たり、顧客にとって地理的にアクセスしやすい環境を整備するなど、顧客の利便の向上に資するような取組みを行うことが望ましい。

    • ロ．苦情・紛争の処理状況等のモニタリング等を継続的に行い、必要に応じ、苦情処理措置・紛争解決措置について検討及び見直しを行う態勢を整備しているか。

    • ハ．苦情処理業務・紛争解決業務を公正かつ的確に遂行できる法人を利用する場合、当該法人が苦情処理業務・紛争解決業務を公正かつ的確に遂行するに足りる経理的基礎及び人的構成を有する法人であること（規則第13条の８第１項第５号、同条第２項第５号）について、相当の資料等に基づいて、合理的に判断しているか。

    • ニ．外部機関を利用する場合、必ずしも当該外部機関との間において業務委託契約等の締結までは求められていないが、標準的な手続のフローや、費用負担に関する事項等について予め取決めを行っておくことが望ましい。

    • ホ．外部機関の手続を利用する際に費用が発生する場合について、顧客の費用負担が過大とならないような措置を講じる等、苦情処理・紛争解決の申立ての障害とならないような措置を講じているか。

  • 運用

    苦情処理措置・紛争解決措置の適用範囲を過度に限定的なものとするなど、不適切な運用を行っていないか。なお、苦情処理措置と紛争解決措置との間で適切な連携を確保しているかについても留意する（ III −３−５―１（２）参照）。

• (2)苦情処理措置（自行で態勢整備を行う場合）についての留意事項

  • 消費生活専門相談員等による従業員への助言・指導態勢を整備する場合

    • イ．定期的に消費生活専門相談員等による研修を実施する等、苦情処理に従事する従業員のスキルを向上させる態勢を整備しているか。

    • ロ．消費生活専門相談員等との連絡体制を築く等、個別事案の処理に関し、必要に応じ、消費生活専門相談員等の専門知識・経験を活用する態勢を整備しているか。

  • 自行で業務運営体制・社内規則を整備する場合

    • イ．苦情の発生状況に応じ、業務運営体制及び社内規則を適切に整備するとともに、当該体制・規則に基づき公正かつ的確に苦情処理を行う態勢を整備しているか。

    • ロ．苦情の申出先を顧客に適切に周知するとともに、苦情処理にかかる業務運営体制及び社内規則を適切に公表しているか。

      周知・公表の内容として、必ずしも社内規則の全文を公表する必要はないものの、顧客が、苦情処理が適切な手続に則って行われているかどうか自ら確認できるようにするため、苦情処理における連絡先及び標準的な業務フロー等を明確に示すことが重要であることから、それに関連する部分を公表しているかに留意する必要がある。

      なお、周知・公表の方法について、 III −３−５−３−１−２（１）を参照のこと。

• (3)苦情処理措置（外部機関を利用する場合）及び紛争解決措置の留意事項

  • 周知・公表等

    • イ．銀行が外部機関を利用している場合、顧客保護の観点から、例えば、顧客が苦情・紛争を申し出るに当たり、外部機関を利用できることや、外部機関の名称及び連絡先、その利用方法等、外部機関に関する情報について、顧客にとって分かりやすいように、周知・公表を行うことが望ましい。

    • ロ．苦情処理・紛争解決の申立てが、地理又は苦情・紛争内容その他の事由により、顧客に紹介した外部機関の取扱範囲外のものであるとき、又は他の外部機関等（苦情処理措置・紛争解決措置として銀行が利用している外部機関に限らない。）による取扱いがふさわしいときは、他の外部機関等を顧客に紹介する態勢を整備しているか。

    • ハ．金融商品取引業者、保険会社が組成した金融商品や保険商品を銀行が販売する場合については、III−３−５―３−１−２（１）ハ．を参照すること。

  • 手続への対応

    • イ．外部機関から苦情処理・紛争解決の手続への応諾、事実関係の調査又は関係資料の提出等を要請された場合、当該外部機関の規則等も踏まえつつ、速やかにこれに応じる態勢を整備しているか。

    • ロ．苦情処理・紛争解決の手続への応諾、事実関係の調査又は関係資料の提供等の要請を拒絶する場合、苦情・紛争の原因となった部署のみが安易に判断し拒絶するのではなく、苦情・紛争内容、事実・資料の性質及び外部機関の規則等を踏まえて、組織として適切に検討を実施する態勢を整備しているか。

      また、当該外部機関の規則等も踏まえつつ、可能な限り拒絶の理由について説明する態勢を整備しているか。

    • ハ．紛争解決の手続を開始した外部機関から和解案、あっせん案等の解決案（以下、「解決案」という。）が提示された場合、当該外部機関の規則等も踏まえつつ、速やかに受諾の可否を判断する態勢を整備しているか。

    • ニ．解決案を受諾した場合、担当部署において速やかに対応するとともに、その履行状況等を検査・監査部門等が事後検証する態勢を整備しているか。

    • ホ．解決案の受諾を拒絶する場合、当該外部機関の規則等も踏まえつつ、速やかにその理由を説明するとともに、必要な対応を行う態勢を整備しているか。

• (1)事務リスク管理態勢

  • 全ての業務に事務リスクが所在していることを理解し、適切な事務リスク管理体制が整備されているか。

  • 事務リスクを軽減することの重要性を認識し、事務リスク軽減のための具体的な方策を講じているか。

  • 事務部門は、十分にけん制機能が発揮されるよう体制が整備されているか。

    また、事務に係る諸規程が明確に定められているか。

  • 取引時確認事務、疑わしい取引の届出事務等の重要な法務コンプライアンス問題を、単なる事務処理の問題と捉えるにとどまらず、全行的な法務コンプライアンスの問題としての処理を行っているか。

• (2)内部監査態勢

  内部監査部門は、事務リスク管理態勢を監査するため、内部監査を適切に実施しているか。

• (3)営業店のリスク管理態勢

  事務部門は、営業店における事務リスク管理態勢をチェックする措置を講じているか。

• (4)人事管理に当たっては、事故防止等の観点から職員を長期間にわたり同一業務に従事させることなくローテーションを確保するよう配慮されているか。人事担当者等と連携し、連続休暇、研修、内部出向制度等により、最低限年一回、一週間以上連続して、職場を離れる方策をとっているか。職員教育において、職業倫理が盛り込まれているか。なお、派遣職員等についても、事故防止等の観点から、可能な範囲で職員と同様の措置を講じているか。

  • （参考）派遣社員に係る管理態勢の強化について(要請)(平成17年11月30日)

• (5)営業拠点に関する事務管理

  • 職員の派出の取扱い

    派出とは、特定の施設内の一定の場所に職員を派遣し、当該施設主体のために、金銭出納事務を行うことをいい、官公庁、公営住宅団地、総合病院等の公共性のある施設内において公金等の金銭出納事務に限った事務を行っている限りにおいて、銀行法上の営業所としない扱いとすることができるが、やむを得ず預金等の取次行為と同様の行為を行う場合は、次の点に留意し、必要最小限度にとどめることとしているか。

    • イ．取次を行う対象とする者は、当該派出先の施設に所属する職員及び当該派出先の施設をもっぱら利用する者に限られているか。

    • ロ．取次行為を行うに当たっては、金銭や通帳の預り証等を発行するなど事故防止について万全を期しているか。

  • 内部事務等を行う施設の取扱い

    顧客先に出向いて営業活動を行う職員の内部事務等を行うために設置された施設などは、当該施設において恒常的に対顧客業務を行わない限りにおいて、銀行法上の営業所としない扱いとすることができるが、利用者が当該施設を営業所と誤認しないような措置を講じているか。

  • 営業所の設置、位置変更の取扱いについて

    法第８条第１項に規定する営業所の位置変更の届出は、所在地の変更を伴う位置変更について提出すればよいことに留意する。また、既存の営業所の一部の部門（例えば、銀行の固有業務を一部行っているディーリングルームや法人営業部門など）を分離し、新たに当該部門の業務を営む営業所を（所在地の変更を伴って）設置しようとする場合には、同項に規定する営業所の設置の届出が必要であることに留意する。

• (1)システムリスクに対する認識等

  • システムリスクについて代表取締役をはじめ、役職員がその重要性を十分認識し、定期的なレビューを行うとともに、全行的なリスク管理の基本方針が策定されているか。

  • 代表取締役は、システム障害の未然防止と発生時の迅速な復旧対応について、経営上の重大な課題と認識し、態勢を整備しているか。

  • 取締役会は、システムリスクの重要性を十分に認識した上で、システムに関する十分な知識・経験を有し業務を適切に遂行できる者を、システムを統括管理する役員として定めているか。

  • 代表取締役及び取締役（委員会設置会社にあっては執行役）は、システム障害発生等の危機時において、果たすべき責任やとるべき対応について具体的に定めているか。

    また、自らが指揮を執る訓練を行い、その実効性を確保しているか。

• (2)システムリスク管理態勢

  • 取締役会は、コンピュータシステムのネットワーク化の進展等により、リスクが顕在化した場合、その影響が連鎖し、広域化・深刻化する傾向にあるなど、経営に重大な影響を与える可能性があるということを十分踏まえ、リスク管理態勢を整備しているか。

  • システムリスク管理の基本方針が定められているか。システムリスク管理の基本方針には、セキュリティポリシー（組織の情報資産を適切に保護するための基本方針）及び外部委託先に関する方針が含まれているか。

  • システムリスク管理体制の整備に当たっては、その内容について客観的な水準が判定できるものを根拠としているか。

    また、システムリスク管理体制は、システム障害等の把握・分析、リスク管理の実施結果や技術進展等に応じて、不断に見直しを実施しているか。

• (3)システムリスク評価

  • システムリスク管理部門は、顧客チャネルの多様化による大量取引の発生や、ネットワークの拡充によるシステム障害の影響の複雑化・広範化など、外部環境の変化によりリスクが多様化していることを踏まえ、定期的に又は適時にリスクを認識・評価しているか。

    また、洗い出したリスクに対し、十分な対応策を講じているか。

  • システムリスク管理部門は、例えば１口座当たりの未記帳取引明細の保有可能件数などのシステムの制限値を把握・管理し、制限値を超えた場合のシステム面・事務面の対応策を検討しているか。

  • 商品開発の担当部門は、新商品の導入時又は商品内容の変更時に、システムリスク管理部門と連携するとともに、システムリスク管理部門は、システム開発の有無にかかわらず、関連するシステムの評価を実施しているか。

• (4)安全対策

  • 安全対策の基本方針が策定されているか。

  • 定められた方針、基準及び手順に従って安全対策を適正に管理する安全管理者を設置しているか。安全管理者は、システム、データ、ネットワークの管理体制を統括しているか。

  • 銀行以外の者が占有管理する端末機等（入出力装置等を含む。）を利用する資金移動取引については、コンピュータシステムの事故防止対策、不正使用防止対策、不正アクセス防止対策、取引者のプライバシー保護対策が施されているか。

• (5)システム企画・開発・運用管理

  • 経営戦略の一環としてシステム戦略方針を明確にした上で、中長期の開発計画を策定しているか。

    また、中長期の開発計画は、取締役会の承認を受けているか。

  • 現行システムに内在するリスクを継続的に洗い出し、その維持・改善のための投資を計画的に行っているか。

  • 開発案件の企画・開発・移行の承認ルールが明確になっているか。

  • 開発プロジェクトごとに責任者を定め、開発計画に基づき進捗管理されているか。

  • システム開発に当たっては、テスト計画を作成し、ユーザー部門も参加するなど、適切かつ十分にテストを行っているか。

  • 人材育成については、現行システムの仕組み及び開発技術の継承並びに専門性を持った人材の育成のための具体的な計画を策定し、実施しているか。

• (6)システム監査

  • システム部門から独立した内部監査部門が、定期的にシステム監査を行っているか。

  • システム関係に精通した要員による内部監査や、システム監査人等による外部監査の活用を行っているか。

  • 監査対象は、システムリスクに関する業務全体をカバーしているか。

  • システム監査の結果は、適切に取締役会に報告されているか。

• (7)外部委託管理

  • 外部委託先（システム子会社を含む。）の選定に当たり、選定基準に基づき評価、検討のうえ、選定しているか。

  • 外部委託契約において、外部委託先との役割分担・責任、監査権限、再委託手続き、提供されるサービス水準等を定めているか。

  • システムに係る外部委託業務について、リスク管理が適切に行われているか。

    特に外部委託先が複数の場合、管理業務が複雑化することから、より高度なリスク管理が求められることを十分認識した体制となっているか。

    システム関連事務を外部委託する場合についても、システムに係る外部委託に準じて、適切なリスク管理を行っているか。

  • 外部委託した業務について、委託元として委託業務が適切に行われていることを定期的にモニタリングしているか。

    また、外部委託先任せにならないように、例えば委託元として要員を配置するなどの必要な措置を講じているか。特に共同センターの内部管理、開発・運用管理の状況について、報告を受けているか。

    さらに、システムの共同化等が進展する中、外部委託先における顧客データの運用状況を、委託元が監視、追跡できる態勢となっているか。

  • 共同センター等の重要な外部委託先に対して、内部監査部門又はシステム監査人等による監査を実施しているか。

  • （注）統合ＡＴＭスイッチングサービスなどの外部のサービスを利用する場合についてもこれに準じる。

• (8)データ管理態勢

  • データについて機密性等の確保のため、データ管理者を置いているか。

  • データ保護、データ不正使用防止、不正プログラム防止策等について適切かつ十分な管理態勢を整備しているか。

• (9)コンティンジェンシープラン

  • コンティンジェンシープランが策定され、緊急時体制が構築されているか。

  • コンティンジェンシープランの策定に当たっては、その内容について客観的な水準が判断できるもの（例えば「金融機関等におけるコンティンジェンシープラン（緊急時対応計画）策定のための手引書」（公益財団法人金融情報システムセンター編））を根拠としているか。

  • コンティンジェンシープランの策定に当たっては、災害による緊急事態を想定するだけではなく、金融機関の内部又は外部に起因するシステム障害等も想定しているか。

    また、バッチ処理が大幅に遅延した場合など、十分なリスクシナリオを想定しているか。

  • コンティンジェンシープランは、他の金融機関におけるシステム障害事例や中央防災会議等の検討結果を踏まえるなど、想定シナリオの見直しを適宜行っているか。

  • コンティンジェンシープランに基づく訓練は、全社レベルで行い、共同センター等の外部委託先等と合同で、定期的に実施しているか。

  • 業務への影響が大きい重要なシステムについては、オフサイトバックアップシステム等を事前に準備し、災害、システム障害が発生した場合等に、速やかに業務を継続できる態勢を整備しているか。

• (10)障害発生時の対応

  • システム障害が発生した場合に、顧客に対し無用の混乱を生じさせないよう、適切な措置を講じているか。

    また、システム障害の発生に備え、最悪のシナリオを想定した上で、必要な対応を行う態勢となっているか。

  • システム障害の発生に備え、外部委託先を含めた報告態勢、指揮・命令系統が明確になっているか。

  • 経営に重大な影響を及ぼすシステム障害が発生した場合に、速やかに代表取締役をはじめとする取締役に報告するとともに、報告に当たっては、最悪のシナリオの下で生じうる最大リスク等を報告する態勢（例えば、顧客に重大な影響を及ぼす可能性がある場合、報告者の判断で過小報告することなく、最大の可能性を速やかに報告すること）となっているか。

    また、必要に応じて、対策本部を立ち上げ、代表取締役等自らが適切な指示・命令を行い、速やかに問題の解決を図る態勢となっているか。

  • システム障害の発生に備え、ノウハウ・経験を有する人材をシステム部門内、部門外及び外部委託先等から速やかに招集するために事前登録するなど、応援体制が明確になっているか。

  • システム障害が発生した場合、障害の内容・発生原因、復旧見込等について公表するとともに、顧客からの問い合わせに的確に対応するため、必要に応じ、コールセンターの開設等を迅速に行っているか。

    また、システム障害の発生に備え、関係業務部門への情報提供方法、内容が明確になっているか。

  • システム障害の発生原因の究明、復旧までの影響調査、改善措置、再発防止策等を的確に講じているか。

    また、システム障害の原因等の定期的な傾向分析を行い、それに応じた対応策をとっているか。

  • システム障害の影響を極小化するために、例えば障害箇所を迂回するなどのシステム的な仕組みを整備しているか。

• （注） 着眼点の詳細については、必要に応じ金融検査マニュアルを参照。

• （参考） システムリスクについての参考資料として、例えば「金融機関等コンピュータシステムの安全対策基準・解説書」（公益財団法人金融情報システムセンター編）などがある。

• (1)障害発生時

  • 一般的な対応

    • イ．コンピュータシステムの障害の発生を認識次第、直ちに、その事実を当局宛てに報告を求めるとともに、「障害等発生報告書」（様式・参考資料編　様式４−４５）にて当局宛て報告を求めるものとする。

      また、復旧時、原因解明時には改めてその旨報告を求めることとする。

      ただし、復旧原因の解明がされていない場合でも、１か月以内に現状についての報告を行うこととする。

      • （注） 報告すべきシステム障害等

        その原因の如何を問わず、銀行等が現に使用しているシステム・機器（ハードウェア、ソフトウェア共）に発生した障害であって、

        • ａ．預金の払戻し、為替等の決済機能に遅延、停止等が生じているもの又はそのおそれがあるもの。

        • ｂ．資金繰り、財務状況把握等に影響があるもの又はそのおそれがあるもの。

        • ｃ．その他業務上、上記に類すると考えられるもの。

        をいう。

        ただし、一部のシステム・機器にこれらの影響が生じても、他のシステム・機器が速やかに交替することで実質的にはこれらの影響が生じない場合（例えば、一部のＡＴＭが停止した場合であっても他の同一店舗若しくは近隣店舗ＡＴＭや窓口において対応が可能な場合。）を除く。

        なお、障害が発生していない場合であっても、サイバー攻撃の予告がなされ、又はサイバー攻撃が検知される等により、上記のような障害が発生する可能性が高いと認められる時は、報告を要するものとする。

    • ロ．必要に応じて法第24条に基づき追加の報告を求め、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出するものとする。

  • 緊急対応

    特に、大規模な障害の場合や障害の原因の解明に時間を要している場合等には、直ちに、障害の事実関係等についての一般広報及び店頭等における顧客対応等のコンティンジェンシープランの発動状況をモニタリングするとともに、迅速な原因解明と復旧を要請し、法第24条に基づき速やかな報告を求める。

    さらに、大規模な障害の復旧の見通しが不確実であり、市場取引、ＡＴＭ取引・口座振替・給与振込等の決済システムに大きな影響が生じている場合には、早期に法第26条に基づく業務改善命令を発出することを検討する等の対応を行う。

• (2)システムの更新時等

  銀行が重要なシステムの更新等を行う時は、必要に応じ、法第24条に基づく報告を求め、計画及び進捗状況、プロジェクトマネジメントの適切性・実効性等について確認する。

• (3)問題認識時

  検査結果等により、システムリスクに係る管理態勢に問題があると認められる場合には、必要に応じ、法第24条に基づき報告を求め、重大な問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

• (4)外部委託先への対応

  システムに係る外部委託業務について、外部委託先における適切な業務運営が懸念される場合など、必要があると認められる場合には、 III −３−３−４−３の対応を行うものとする。

• (1)内部管理態勢の整備

  犯罪技術の巧妙化等の情勢の変化を踏まえ、キャッシュカード偽造等の犯罪行為に対する対策等について、銀行が取り組むべき最優先の経営課題の一つとして位置付け、取締役会等において必要な検討を行い、セキュリティ・レベルの向上に努めているか。また、ＡＴＭシステムに係る健全かつ適切な業務の運営を確保するため、銀行内の各部門が的確な状況認識を共有し、銀行全体として取り組む態勢が整備されているか。

  その際、犯罪の発生状況などを踏まえ、自らの顧客や業務の特性に応じた検討を行った上で、必要な態勢の整備に努めているか。

  加えて、リスク分析、セキュリティ対策の策定・実施、効果の検証、対策の評価・見直しからなるいわゆるＰＤＣＡサイクルが機能しているか。

  （参考） 情報セキュリティに関する検討会で示されたＰＤＣＡサイクル

  • 金融機関側に起因するリスクの把握（内部管理態勢の整備状況、システム開発の体制、システムの特性、システムの外部委託の状況等）

  • ＡＴＭ利用に関するリスクの把握（取引限度額、利用可能時間、ＡＴＭの設置環境、周辺地域における犯罪発生状況等）

  • 上記リスク特性を踏まえ、どのような犯罪手口・リスクに対処すべきかの優先順位付け

  • 対策の実施

  • 対策の効果の検証、改善

• (2)セキュリティの確保

  キャッシュカードやＡＴＭシステムについて、そのセキュリティ・レベルを一定の基準に基づき評価するとともに、当該評価を踏まえ、一定のセキュリティ・レベルを維持するために体制・技術、両面での検討を行い、適切な対策を講じているか。その際、情報セキュリティに関する検討会の検討内容等を踏まえ、体制の構築時及び利用時の各段階におけるリスクを把握した上で、自らの顧客や業務の特性に応じた対策を講じているか。また、個別の対策を場当たり的に講じるのではなく、セキュリティ全体の向上を目指しているか。

  預貯金者保護法等を踏まえ、適切な認証技術の採用、情報漏洩の防止、異常取引の早期検知等、不正払戻し防止のための措置が講じられているか。その際、顧客の負担が過重なものとならないよう配慮するとともに、互換性の確保などにより利用者利便に支障を及ぼさないよう努めているか。

  高リスクの高額取引をＡＴＭシステムにおいて行っている場合、それに見合ったセキュリティ対策を講じているか。特に脆弱性が指摘される磁気カードについては、そのセキュリティを補強するための方策を検討しているか。また、国際的な業務展開を行っている銀行については、国際的なセキュリティトレンドに沿った対策を念頭におきながら、必要な検討を行っているか。

  • （参考１）セキュリティに関する基準としては、「金融機関等コンピュータシステムの安全対策基準・解説書」（金融情報システムセンター）などがある。

  • （参考２）リスクの把握に当たって参考となるものとしては、情報セキュリティに関する検討会における検討資料がある。

• (3)顧客対応

  スキミングの可能性、暗証番号及びカードの盗取の危険性、類推されやすい暗証番号の使用の危険性、被害拡大の可能性（対策として、ＡＴＭ利用限度額の設定等）、不必要に多くのカードを保有することによる管理上の問題等、キャッシュカード利用に伴う様々なリスクについて、顧客に対する十分な説明態勢が整備されているか。

  顧客からの届出を速やかに受け付ける体制が整備されているか。また、顧客への周知（公表を含む。）が必要な場合、速やかに周知できる体制が整備されているか。特に、被害にあう可能性がある顧客を特定可能な場合は、可能な限り迅速に顧客に連絡するなどして被害を最小限に抑制するための措置を講じることとしているか。

  不正払戻しに係る損失の補償に関する規程等は、預貯金者保護法に基づき、可能な限り明確かつ具体的な内容となっているか。また、その内容を顧客に対して十分説明・周知する態勢が整備されているか。

  • 犯罪予防策等に係る自行の対応も踏まえつつ、被害発生後の顧客に対する対応や捜査当局に対する協力に関する対応方針、基準等について、必要な検討を行っているか。

  • 被害が発生した場合の補償のあり方について、約款、顧客対応方針等において、統一的な対応を定めているか。

  • 専門の顧客対応窓口を設けるなどにより、適切かつ迅速な顧客対応を行う態勢が整備されているか。顧客に対して情報提供等の協力を求めるに当たっては、顧客の年齢、心身の状況等に十分配慮することとされているか。

  不正払戻しに関する記録を適切に保存するとともに、顧客や捜査当局から当該資料の提供などの協力を求められたときは、これに誠実に協力することとされているか。

• (4)ＡＴＭシステムの運用・管理を外部委託している場合の対策

  ＡＴＭシステムに関し、外部委託がなされている場合、外部委託に係るリスクを検討し、必要なセキュリティ対策が講じられているか。

• (1)犯罪発生時

  偽造キャッシュカード及び盗難キャッシュカードによる不正払戻しを認識次第、速やかに「犯罪発生報告書」にて当局宛て報告を求めるものとする。

• (2)問題認識時

  検査結果、犯罪発生報告書等により、銀行のＡＴＭシステムのセキュリティ対策及び犯罪対策に係る管理態勢に問題があると認められる場合には、必要に応じ、法第24条に基づき追加の報告を求める。その上で、犯罪防止策や被害発生後の対応について、必要な検討がなされず、あるいは被害が多発するなどの事態が生じた場合など、利用者保護の観点から問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

• (1)統合ＡＴＭスイッチングサービス、全国銀行データ通信システム等の金融機関相互のシステム・ネットワークのサービスを利用する場合についても、システムに係る外部委託に準じて、適切なリスク管理を行っているか。

• (2)特に、当該外部サービスにおいて、システムの更改を行う場合においては、顧客や業務に対する影響が生じないよう、当該外部サービスの管理者及び自行の双方において、適切なシステム上の対応がなされているかを十分に評価・確認し、必要な場合は、当該外部サービス管理者に対して適切な対策を求めるなどの対応がなされているか。

• (3)特に、銀行が、当該システム・ネットワークの運営、更改に関して、主導的な役割を果たしている場合、顧客サービスや我が国の決済システム等に対する影響が生じないよう、当該外部サービス管理者とともに、適切かつ十分なリスク管理態勢、プロジェクトマネジメント態勢等を整備しているか。

• (1)内部管理態勢の整備

  インターネットバンキングに係る犯罪行為に対する対策等について、最優先の経営課題の一つとして位置付け、取締役会等において必要な検討を行い、セキュリティ・レベルの向上に努めているか。また、インターネットバンキングの健全かつ適切な業務の運営を確保するため、銀行内の各部門が的確な状況認識を共有し、銀行全体として取り組む態勢が整備されているか。

  その際、犯罪の発生状況などを踏まえ、自らの顧客や業務の特性に応じた検討を行った上で、必要な態勢の整備に努めているか。

  加えて、リスク分析、セキュリティ対策の策定・実施、効果の検証、対策の評価・見直しからなるいわゆるＰＤＣＡサイクルが機能しているか。

• (2)セキュリティの確保

  情報セキュリティに関する検討会の検討内容等を踏まえ、体制の構築時及び利用時の各段階におけるリスクを把握した上で、自らの顧客や業務の特性に応じた対策を講じているか。また、個別の対策を場当たり的に講じるのではなく、セキュリティ全体の向上を目指すとともに、リスクの存在を十分に認識・評価した上で対策の要否・種類を決定しているか。

  インターネットバンキングに係る情報セキュリティ全般に関するプログラムを作成し、必要に応じて見直す体制を整えているか。特に、本人認証については、個々の認証方式の各種犯罪手口に対する強度を検証した上で、個人・法人等の顧客属性を勘案し、例えば、可変式パスワードや電子証明書といった、固定式のＩＤ・パスワードのみに頼らない認証方式の導入を図るなど、取引のリスクに見合った適切な認証方式を選択しているか。

  ホームページのリンクに関し、利用者が取引相手を誤認するような構成になっていないか。また、フィッシング詐欺対策については、利用者がアクセスしているサイトが真正なサイトであることの証明を確認できるような措置を講じる等、業務に応じた適切な不正防止策を講じているか。

  （注） 情報の収集に当たっては、金融関係団体や金融情報システムセンターの調査等のほか、情報セキュリティに関する検討会や金融機関防犯連絡協議会における検討結果、金融庁・警察当局から提供された犯罪手口に係る情報などを活用することが考えられる。

  • （参考１）セキュリティに関する基準としては、「金融機関等コンピュータシステムの安全対策基準・解説書」（金融情報システムセンター）などがある。

  • （参考２）リスクの把握に当たって参考となるものとしては、情報セキュリティに関する検討会における検討資料がある。

• (3)顧客対応

  インターネット上での暗証番号等の個人情報の詐取の危険性、類推されやすい暗証番号の使用の危険性、被害拡大の可能性（対策として、振込限度額の設定等）等、様々なリスクについて、顧客に対する十分な説明態勢が整備されているか。

  顧客自らによる早期の被害認識を可能とするため、顧客が取引内容を適時に確認できる手段を講じているか。

  顧客からの届出を速やかに受け付ける体制が整備されているか。また、顧客への周知（公表を含む。）が必要な場合、速やかに周知できる体制が整備されているか。特に、被害にあう可能性がある顧客を特定可能な場合は、可能な限り迅速に顧客に連絡するなどして被害を最小限に抑制するための措置を講じることとしているか。

  不正取引に係る損失の補償については、預貯金者保護法の趣旨を踏まえ、利用者保護を徹底する観点から、顧客対応方針等を定めるほか、真摯な顧客対応を行う態勢が整備されているか。

  不正取引に関する記録を適切に保存するとともに、顧客や捜査当局から当該資料の提供などの協力を求められたときは、これに誠実に協力することとされているか。

• (4)その他

  インターネットバンキングが非対面取引であることを踏まえた、取引時確認等の顧客管理態勢の整備が図られているか。

  インターネットバンキングに関し、外部委託がなされている場合、外部委託に係るリスクを検討し、必要なセキュリティ対策が講じられているか。

• (1)犯罪発生時

  インターネットバンキングによる不正取引を認識次第、速やかに「犯罪発生報告書」にて当局宛て報告を求めるものとする。

• (2)問題認識時

  検査結果、犯罪発生報告書等により、銀行のインターネットバンキングに係る健全かつ適切な業務の運営に疑義が生じた場合には、必要に応じ、法第24条に基づき追加の報告を求める。その上で、犯罪防止策や被害発生後の対応について、必要な検討がなされず、被害が多発するなどの事態が生じた場合など、利用者保護の観点から問題があると認められる場合には、法第26条に基づき業務改善命令を発出する等の対応を行うものとする。

• （注） インターネットバンキングに関し、外部委託がなされている場合は、必要に応じて、 III −３−３−４−３の対応を行うものとする。

• （参考） システム統合リスク管理態勢の確認検査用チェックリスト（平成14年12月）

  • 「システム統合」とは、合併、事業譲渡、持株会社化、子会社化及び業務提携等の経営再編（「経営統合」）により、システムを統合、分割又は新設することをいう（システムの共同開発・運営を含む。）。

  • 「システム統合リスク」とは、システム統合における事務・システム等の統合準備が不十分なことにより、事務の不慣れ等から役職員が正確な事務を誤り、あるいはコンピュータシステムのダウン又は誤作動等が発生し、その結果、顧客サービスに混乱をきたす、場合によっては金融機関等としての存続基盤を揺るがす、さらには決済システムに重大な影響を及ぼすなど、顧客等に損失が発生するリスク、また統合対象金融機関等が損失を被るリスクである。

• (1)主要行等が、システム統合を行う場合のリスクは多岐にわたるが、

  • 広範囲の個人顧客に利用されているＡＴＭ取引やテレフォンバンキング等において、顧客との確実な取引確保のため、安定的かつ確実なシステム運営が必要であること、

  • 口座振替・給与振込等が極めて大規模に行われている状況の下では、システムダウン等が決済システムに与える影響が極めて重大であること、

  • 合併等の経営統合により、営業店の体制も事務処理の方式等が抜本的に変化することとなる中で、営業基盤となる事務環境の整備なくしては、顧客に対して十分なサービスを提供できないこと、等からすれば、とりわけ事務リスク・システムリスクに係るリスク管理の強化が重要である。

    すなわち、「システム統合リスク」とは、単にシステムの開発にかかわるリスクに限られるのではなく、事務（ユーザー）部門における事務処理対応、営業店における顧客対応等の「事務リスク」の分野を広く包摂したものであって、対象銀行の経営陣の責任において、「顧客利便」を最重要視した複合的なリスク管理が求められている点が重要である。

• (2)リスク軽減策の基本的考え方

  システム統合リスクのリスク量は、事象（イベント）の発生確率と発生した場合の影響度（インパクト）の積で認識すべきものであり、主要行等の業容等からすれば、以下のような徹底したリスク軽減策が求められることに留意する必要がある。

  • 発生する確率は低い事象でも、発生した時にはその影響が極めて大きいため、コンティンジェンシープランを発動しても制御し切れず、結果として顧客や決済システム等に大きな影響・障害を与えるリスク事象があることを重視し、そのようなシステム及び業務・事務を網羅的に洗い出して、徹底したテスト・リハーサル等により、これらの発生を確実に防止することが基本となる。

  • さらに、上記以外のリスク事象についても、同様の対策を講じて、少なくとも発生確率を一定水準以下に抑制する。

  • 以上のリスク軽減策に見合うコンティンジェンシープランを整備し、各種リスク事象が複合的に顕在化（障害が同時発生）しても、顧客に大きな影響を及ぼすことを回避できるような体制を整備する。

• (1)合併に伴うシステム統合についてみると、合併する複数の銀行の経営陣は、制約のあるスケジュールと競争・競合環境の下で、合併後の経営戦略・ビジネスモデルの構築、人事体制・リストラ計画の策定、統合比率の決定等の重要な経営判断を迅速に行う必要があること。

  こうした中で、合併の日程は、システム統合の準備に要する期間のみを勘案して決定されるわけではなく、合併対象銀行の経営を巡る様々な要因の影響を受けるので、結果として、システムのテストや営業店における事務の習熟に十分な時間を確保できず、大規模な障害を起こした事例が見られること。

• (2)合併を実現するプロセスの基本的なパターンは、基本合意、合併契約の締結（統合比率を含む。）、株主総会の承認、合併の認可申請・認可、合併であり、対象銀行の経営陣としては、株主の了承と複数の関係当局（注）の認可等を得る必要があること。

  （注） 関係当局としては、金融監督当局、公正取引委員会のほか、海外拠点の監督当局がある。

• (3)主要行等の場合の合併によるシステム統合の想定されるパターンは、例えば以下のような、長期にわたる複雑なプロジェクトであること。

  • システム統合は以下のような２段階で行われることが多く、合併の基本合意から完全なシステム統合の実現まで長期間（３年〜）を要することもあること。

    • イ．第一段階：合併（行名、店名、店番の変更）時は、旧行のシステムは並列して存続させ、その間をつなぐ中継・連携システムを稼動

    • ロ．第二段階：完全な統合システムを稼動させ、商品・サービスの一本化、店舗統廃合を本格化

  • 第二段階も、全店が同時に移行するのではなく、店別に移行する「店群移行方式」が採用されることがあること。

  • 持株会社の下、銀行、信託銀行、金融商品取引業者等の合併・システム統合が並列して行われることがあること。

• (1)取締役の責任分担及び経営姿勢の明確化

  経営統合を行う複数の銀行（以下 III −３−９−２及び III −３−９−３において「対象銀行」という。）の代表取締役は、上記 III −３−９−１のようなシステム統合リスクのリスク特性やプロジェクトマネジメントの重要性を正確に認識しているか。

  対象銀行の代表取締役は、システム統合に係る役職員の責任分担を明確化するとともに、自らの経営姿勢を明確化しているか。

• (2)システム統合方式に係る経営判断の合理性

  対象銀行の取締役会は、システム統合の方式決定に当たり、対象銀行間の軋轢を排除し、十分な協議を行い、合併までのスケジュール、合併後の経営戦略等に基づき、システム統合実施までの準備期間を十分に確保した上で、合理的な意思決定が行われているか。

• (3)システム統合計画とその妥当性

  • 事務・システム両面にわたる徹底したリスクの洗出しと軽減策

    対象銀行の取締役会は、統合前のそれぞれのシステムの実態及びこれまでのシステム障害の事例等を踏まえ、システム統合において対顧客障害を起こさないという観点から、上記 III −３−９−１を踏まえ、事務・システム両面にわたる徹底したリスクの洗出しと軽減策を講じた上で、システム統合計画を策定しているか。

    事務・システム両面にわたり十分かつ保守的な移行判定項目・基準を策定しているか。

  • システム統合計画の妥当性

    あらかじめ決められた統合の期限を優先するあまり、リスク管理を軽視した計画等となっていないか、第三者機関の評価等も活用して、計画の妥当性につき客観的・合理的に検証しているか。

    また、移行判定項目・基準等においては、全ての役職員がいつまでに何をすべきかを明確に定めたものとなっているか。

• (4)銀行における十分なテスト・リハーサル体制の構築

  これまでの障害事例の反省として、ほとんどのケースにおいて「十分なテスト・リハーサルを行わなかったこと」が挙げられていることを踏まえ、

  • レビューやテスト不足が原因で、顧客に影響が及ぶような障害や経営判断に利用されるリスク管理用資料等の重大な誤算が発生しないような十分なテスト、リハーサルの体制を整備しているか。具体的には、工程毎のレビュー実施状況を検証し、品質状況を管理するためのレビュー実施計画や、システム統合に伴う開発内容に適合したテスト計画が策定され、実施するための体制が整備されているか。

    特に、ファイル移行等に関する最終的な品質は、全店・全量データによる機能確認を行わないと判定できないことを踏まえたテスト計画となっているか。さらに、テスト期間中に判明する想定外の不整合データについてのデータクレンジング等の追加的な事務負担を織り込んで、スケジュール管理が行われているか。

  • システムの開発内容に関係ない部分であっても、例えば対外接続系に使用されていたベンダーのパッケージソフトの潜在的な不具合が統合時に顕在化し、結果として大規模な障害に発展する等、全く想定外のリスク事象が発生することがあることにかんがみ、影響がないと見込まれる部分であっても影響がないことを確認するためのテスト等を可能な限り計画しているか。

  • 統合後の業務運営の検証のため、本番環境を想定した訓練やリハーサルは、可能な限り全営業部店（ＡＴＭを含む。）や対外チャネル（全銀システム、統合ＡＴＭスイッチングサービス、手形交換、日銀ＲＴＧＳ等）に同時並行的にピーク時の負荷をかける等、できる限り忠実に本番に近い環境を再現して行うこととしているか。

  • 統合により、事務処理の方式が抜本的に変化する営業部店において、いわゆる追付き開発・差分開発の見送りに伴う事務負担の増加への対応を含め、事務手続きの習得教育・障害訓練は十分行われているか。さらに、その進捗状況を把握・評価する体制が整備されているか。

• (5)対顧客説明、接続テスト実施体制の構築

  • 顧客折衝の実施計画や折衝に当たって必要な役職員研修の具体的な実行計画等、顧客への周知・説明態勢の十分な整備、研修やマニュアルの実行可能性について、個別具体的な検証がなされているか。

  • システム統合により、取り扱う金融サービス（例えば、手数料の徴求形態、資金入金日等に至るまで）に変更がある場合には、顧客利便性に配慮した検討を行ったうえで、顧客への周知が適切に行われているか。

  • 口座振替、エレクトロニックバンキング等の顧客とつながりのある取引について、顧客側の事情を勘案した接続テストの実施等スケジュールを策定し、顧客への説明を十分に行っているか。

    特に、これまでの障害事例の反省として「十分な接続テストを行わなかったこと」が挙げられていることから、顧客との接続テストは、可能な限り全て実施することを基本として計画を組んでいるか。

    接続テストを行わないケース又は行う必要がないと考えられるケースについても、可能な限り実データ等により問題が起きないことを確認することとしているか。

  • こうした対顧客説明、接続テスト等の進捗状況を把握・評価する体制が整備されているか。

• (6)プロジェクトマネジメントのための基本的な体制整備

  • 対象銀行の取締役会は、システム統合は、単にシステムの問題としてではなく、事務処理対応及び顧客対応という事務リスクと密接不可分であること、また、一つの分野で発生するリスクが他の分野にも波及し、経営再編全体の大きな障害となる可能性があることを十分認識した上で、協調して、システム統合に係る計画・作業を統括管理する役員及び部門（以下「統括役員及び部門」という。）等を設置しているか。

  • 対象銀行間、取締役・統括役員及び部門間、開発部門・ユーザー部門間、同一部門内、営業店内における意思疎通が十分に図られる体制が整備されているか。

  • 対象銀行の取締役会並びに統括役員及び部門は、協調して統合プロジェクトの進捗状況を的確に把握できる体制を整備しているか。システム統合に関する情報が対象銀行の一部の役職員の間にとどまることのないよう銀行内、銀行間の報告体制が整備されているか。

• (7)設計・開発段階からのプロジェクトマネジメント

  商品の整理・統合等に係る設計・開発段階から、事務（ユーザー）部門とシステム部門の間で認識の相違や、業務要件の洗出しの漏れ・仕様調整漏れが生じ、これが統合時の障害のひとつの原因となっていることから、設計・開発の各段階毎に品質管理が重要である。

  こうしたことを踏まえ、各工程の検証及び承認ルールを明確にする等、適切な管理が行われているか。特に、納期を優先するあまり、品質を犠牲にし、各工程の完了基準を満たさずに次工程に進むことがないか。

• (8)外部委託先の管理態勢

  統合に係るシステム開発等の業務が外部委託される場合、当該委託先と統括部門との間の意思疎通が十分に図られる体制を整備しているか。

  外部委託先の作業の問題点の早期発見・早期是正がなされないと、追加テスト等を行うことによる遅延が発生することを踏まえ、外部委託業務の内容及びその進捗状況を的確に把握しているか。

  特に、対象銀行と複数の外部委託先が関与する場合、管理態勢の複雑化に伴うリスクを十分認識した上で、対象銀行が協調して、主体的に関与する体制となっているか。

• (9)計画の進捗管理・遅延・妥当性の検証に係るプロジェクトマネジメント

  対象銀行の取締役会並びに統括役員及び部門は、システム統合計画の進捗管理に際し、協調して残存課題、未決定事項等の問題点の把握、解消予定の見定めが十分なされる体制となっているか。

  こうしたプロジェクトの進捗管理をしていく際には、常に計画の妥当性まで遡って検証しながら進めることとしているか。

  万一、何らかの理由によりシステム統合が遅延する等、不測の事態が生じた場合に協調して適切に対応できる体制を整備しているか。具体的には、システム統合が計画に比して遅延した場合にスケジュールを見直す基準が策定された上で取締役会の承認を得ており、それに基づいて適切な対応が図られる体制が整備されているか。

  また、協調して遅延の根本原因を究明し、対処する体制が整備されているか。

• (10)資源配分及び計画の変更等に係るプロジェクトマネジメント

  • 統合の各段階において経営資源が適切に配分されているか等、対象銀行が協調して統合の段階毎の進捗について検証を行い、仮に問題点が把握された場合には、それに対し速やかに適切な方策を講じることとしているか。特定の部署・担当者に作業が集中することのないよう業務管理が適切に行われているか。

  • 計画の見直しに当たっては、変更後の計画が妥当なものであるか、変更により全体のプロジェクトにどのような影響があるかを十分検証、検討したものとなっているか。

• (11)厳正な移行判定の実施

  • 対象銀行の統括役員及び部門は、 III −３−９−１を踏まえ安全性・安定性を確保するために適切に策定され、取締役会の承認を得た業務の移行判定基準（システムの移行判定基準を含む。）に従い、システムを含む統合後の業務運営体制への移行の可否を判断し、取締役会での承認を経て実行することとしているか。

    移行判定時までに、必要なテスト、リハーサル、研修及び訓練等（コンティンジェンシープランの訓練及びその結果を踏まえたプランの見直しまで含む。）が終了し、経営陣の判断するに当たっての不可欠な材料が全て揃うスケジュール・計画となっているか。

    移行判定の時期は、対外接続や顧客への対応も含めて、フォールバックが円滑に行われるよう、統合予定日から十分な余裕をもって遡って設定されているか。

  • いわゆる店群移行方式においては、各回の移行毎に、前回移行までに発生した障害事例（例えば移行店と未移行店を跨ぐ処理に関してシステム又は運用に起因する障害、障害対応に起因する二次障害等）への対策の実施状況、移行対象店舗の特性（口座振替・財形等の個社対応をしている大口先の存在等）も勘案した移行判定を行うこととしているか。

• (12)フォールバックの態勢整備

  移行判定時において統合不可（戻し、延期等）の判断がなされた場合、システム、内部事務、顧客対応等が円滑に行われる体制が整備されているか。

  システム統合日前後における不測の事態への対応プラン（システム統合の中止を含む。）が連携して策定され、取締役会の承認を得ているか。

• (13)コンティンジェンシープランの確立

  既存のコンティンジェンシープランについて、システム統合後のシステムの構成や組織体制に基づいた見直しを行った上で、取締役会の承認を受けているか。

  また、システム統合に係るコンティンジェンシープランが、同様に策定されているか。特にこれまでの事例を踏まえ、対象銀行は連携して、

  • システム障害等の不測の事態が発生した場合、システムが完全復旧するまでの代替手段を検討・整備しているか。

  • 口座振替の処理遅延やＡＴＭ障害が取引のピーク日に発生した場合、二重引落や通帳への記帳ミス等の二次的災害を防止するためのマニュアル対応及び営業店等における訓練が十分に行われる体制が整備されているか。

    また、統合後の事務処理に不慣れな営業店の店頭の混乱等による顧客サービスの低下を防止するための体制が整備されているか。

    システムが完全復旧するまでの間、手作業に頼らざるを得ない場合に備え、軽微な障害であっても短期間に同時多発する可能性も考慮して、事務量を適切に把握し、必要な人員の確保が迅速にできる体制が整備されているか。

  • システム障害等の不測の事態が発生した場合、障害の内容・原因、復旧見込等について公表するとともに、顧客からの問い合わせに的確に対応するため、コールセンターの開設等を迅速に行うこととしているか。

  • 単に机上のプランにとどまらず、実際に十分な回数の訓練を行い、その結果を踏まえて、必要に応じプランの見直しを行って、実効性を確保しているか。

• (14)実効性のある内部監査、第三者評価

  • 対象銀行の内部監査部門（以下「内部監査部門」という。）は、単なる進捗状況のモニタリング・検証のみならず、各問題が統合計画に与える影響やシステム統合リスク管理態勢の実効性といった観点から監査するものと位置付けられた上で、協調して業務監査及びシステム監査を行うことができる体制となっているか。また、システムの開発過程等プロセス監査に精通した要員を確保しているか。

  • システム統合に係る重要事項の判断に際して、システム監査人による監査等の第三者機関による評価を、その限界も見極めつつ、効果的に活用しているか。

• (15)銀行持株会社による統括機能

  銀行持株会社の下で子銀行等のシステム統合が行われる場合には、銀行持株会社の経営管理機能の一環として、システム統合リスク管理機能（プロジェクト管理機能を含む。）が適切に発揮されているか。（ IV −４参照）

• (1)銀行が、システム統合等を行う場合にあっては、基本合意等の公表を受けて、法第24条に基づき、システム統合の計画（スケジュールを含む。）及びその進捗状況、並びに、システム統合リスク管理及びプロジェクトマネジメントの態勢について、定期的に報告を求めて実態を把握し、重大な問題がないか検証する。

• (2)システム統合リスク管理態勢等に関する検査結果通知が行われた場合には、法第24条に基づき、指摘事項について、事実確認、発生原因分析、改善対応策、その他を取りまとめた報告、及び、リスクを適正に制御する方策（計画を的確に履行するための方策、内部監査を含む内部管理態勢等）についても報告を求め、システム統合リスク管理態勢（プロジェクトマネジメントの態勢を含む。以下同じ。）に問題がないか検証する。

  さらに、定期的にフォローアップ報告を求めて、検査結果を受けた改善・対応策の進捗状況、プロジェクト管理態勢の実効性等の確認を行う。

• (3)システム統合に係る移行判定が行われたときは、その判断の根拠等につき、法第24条に基づく報告を求める。

  店別に統合システムに移行する「店群移行方式」が採用される場合には、各回の移行判定の都度、同様の報告を求める。また、各回の移行後、その評価に係る報告を次回の移行判定の前までに求める。

• (4)上記(1)〜(3)のいずれかの検証等の結果、問題がある場合には法第24条に基づき報告を求め、重大な問題がある場合には、法第26条に基づき、システム統合リスク管理態勢に関する業務改善命令を発出するものとする。

• (5)システム統合に係る経営統合が当局の認可を要する場合（例えば合併の場合）には、当該認可申請に対し、法令に基づく審査基準の範囲内で、システム統合計画を的確に履行するための方策、内部監査を含む内部管理態勢等その他 III −３−９−２を踏まえた資料の提出を求め、システム統合リスク管理態勢に問題がないか審査し、必要に応じ所要の調整を経て、又は法第54条に基づき必要な条件を付して認可することとする。

  また、合併等の認可後から当該システム統合完了までの間、法第24条に基づく報告を定期的に求めるものとする。

• (6)なお、システム障害発生時の着眼点と対応については、 III −３−７−１−２(10)、 III −３−７−１−３(1)等にも留意する。

• (7)外部委託先の業務運営が特に懸念される場合

  III −３−７−１−３(4)等にも留意する。

• (1)本店及び海外営業拠点経営陣等による拠点経営・業務運営の適正な管理

  • 各海外営業拠点の経営・業務に精通する拠点経営陣及び本店派遣行員の選任と適正な配置が行われているか。

  • 各海外営業拠点の業務運営実態及び現地法制に十分な知識・経験を有する内部監査担当者及び法令等遵守担当者等が配置されているか。内部監査担当者は拠点長から独立し、本店監査部等に直結しているか。法令等遵守担当者は各国に配置されているか。

  • 現地採用の行員・従業員等に対し、業務運営上必要な法令諸規則及び行内規程等の遵守を図る研修等を定期的に実施しているか。

  • 人事管理に当たっては、事故防止等の観点から、役職員を長期間にわたり同一業務に従事させることなく、人事ローテーションを確保するよう配慮されているか。人事担当者等と連携し、連続休暇、研修、内部出向制度等により、最低限年一回、一週間以上連続して、職場を離れる方策をとっているか。

• (2)海外営業拠点のリスク管理・内部管理態勢の点検・改善・充実

  • 海外営業拠点の業務運営実態やリスクに即した検査の実施及び検査体制の整備がされているか。

  • 業務リスクや必要性に応じて外部の専門家等による業務監査が実施されているか。

  • 検査結果及び内部（外部）監査結果は、適切に経営陣に報告されているか。

  • 海外営業拠点の市場リスク及びシステムリスク管理体制を含む各種リスク管理態勢は整備されているか。また、リスク度合い等に応じて各種リスク管理手法の高度化が図られているか。

  • 特に、内外の金融機関の巨額損失事件等の事例や発生原因を踏まえ、フロントとミドル及びバックオフィスの各部署の管理者のそれぞれの役割と権限を明確にし、実効性のあるリスク管理と内部けん制が機能する態勢となっているか。

  • 各海外営業拠点において銀行業務を営むために必要な事務の一部又は全部を外部委託している場合には、 III −３−３−４「外部委託」を参考に、業務委託の実態及びリスクに応じた管理態勢等が適正に整備されているか。

• (3)海外営業拠点の報告・モニタリング体制の整備・強化

  • 海外営業拠点の業務運営実態やリスクに応じた、適正な行内の報告体制が整備されているか。特に、不祥事件及びその他業務運営上の重大な問題等が発生した場合の適時・適切な報告を行う体制が、営業拠点内及び銀行本部（国内）との間で適切に構築されているか。

  • 不祥事件及びその他業務運営上の重大な問題等が発生した海外営業拠点の初動対応の適正化が図られているか。また、報告を受けた問題等に海外営業拠点や銀行本部（国内）が迅速かつ適切に対応することができる経営管理・業務統括管理機能の整備・強化が図られているか。

  • 経営管理・業務統括管理部署等による報告内容・発生事象等の分析・モニタリングと情報の共有化が図られているか。

  • 海外監督当局に対する適切な対応等

    • イ．海外監督当局が通常実施する検査・監督に、迅速かつ適切に対応できる人的構成・体制の整備及び維持が図られているか。

    • ロ．海外監督当局との直接対話や円滑なコミュニケーションを確保する観点から、問題等が発生した場合にも迅速かつ適切な説明を実施することができる報告体制が整備されているか。

    • ハ．海外監督当局に報告された事柄、事故、不祥事件等について、銀行本部（国内）の経営陣及び経営管理・業務統括管理部署等の適時・適切な関与・判断を可能にする責任分掌体制の整備・明確化が図られているか。

• (4)海外営業拠点のテロ資金供与及びマネー・ローンダリング対策の態勢の整備

  • 海外営業拠点においても、適用される現地の法令等が認める限度において、国内におけるのと同水準で、テロ資金供与及びマネー・ローンダリング対策を適切に行うよう努めているか。

    （注）特に、ＦＡＴＦ勧告を適用していない又は適用が不十分である国・地域に所在する海外営業拠点においても、国内におけるのと同水準の態勢の整備が求められることに留意する必要がある。

  • 現地のテロ資金供与及びマネー・ローンダリング対策のために求められる義務の基準が、国内よりも高い基準である場合、海外営業拠点は現地のより高い基準に即した対応を行うよう努めているか。

  • 適用される現地の法令等で禁止されているため、海外営業拠点が国内におけるのと同水準の適切なテロ資金供与及びマネー・ローンダリング対策を講じることができない場合には、以下のような事項を速やかに金融庁又は本店所在地を管轄する財務局に情報提供するよう努めているか。

    • 当該国・地域
    • テロ資金供与及びマネー・ローンダリング対策を講じることができない具体的な理由
    • テロ資金供与及びマネー・ローンダリングに利用されることを防止するための代替措置を取っている場合には、その内容

• (1)海外監督当局による検査結果、海外監督当局に届け出られた不祥事件等届出書などの報告を求め、これにより、海外営業拠点の監督・管理態勢に問題があると認められる場合には、業務運営の国際化や金融コングロマリット化の進展に伴い、海外監督当局との連携強化の必要性が増すとともに、規制・基準の収斂の動きが加速している状況を踏まえ、関係する海外監督当局との連携を検討する。

• (2)その際、関係する海外監督当局との情報交換等を通じて、海外営業拠点の業務運営状況を確認するとともに、問題認識の共有を図り、必要に応じて、法第24条に基づき報告を求め、重大な問題があると認められる場合には、法第26条に基づく業務改善命令を発出する等の対応を行うものとする。