金融機関がクラウドや外部IT業者に業務を委託する場合でも、ハッキングや情報漏洩、システム障害に対する管理責任を直接負う基準が整備された。
金融監督院は金融業界の協会や中央会と共に『金融機関の第三者ITリスク管理ガイドライン』を策定したと29日に発表した。金融機関がクラウドやサービス型ソフトウェア（SaaS）などの外部ITサービスを利用する機会が増加する中、受託業者で事故が発生した場合、金融消費者にも被害が及ぶ懸念を反映したものである。
ガイドラインでは、外部業者に業務を委託した場合でも、リスク管理の最終責任は金融機関の取締役会が負うこととした。経営陣は関連管理体制を構築し、総括管理部門を指定して委託状況や契約の適正性を点検する必要がある。また、総括管理部門とリスク管理部門、内部監査部門で構成される3段階の統制体制も運用する。
金融機関は外部業者の財務状況、提供サービス、処理情報の種類、暗号化方式、事故対応体制などを把握し、半年ごとに情報を更新しなければならない。業務や金融消費者に重大な影響を与える業者は『主要第三者』として別途指定し、半年ごとにリスク評価を実施する。
契約前には現地調査などを通じて業者のサービス能力や情報保護体制を確認し、事故発生時の責任関係を契約書に明記する必要がある。契約期間中にはシステム停止に備えた緊急計画やバックアップ体制、契約終了に備えた代替業者への移行計画を策定する。契約終了後にはアクセス権を剥奪し、保有情報も完全に廃棄しなければならない。
業界別の協会は今回のガイドラインを基に模範規範を策定し、2026年11月以降に施行する予定である。ただし、金融機関の内部規定の改正や組織・人員の整備により、実際の適用時期は一部異なる可能性がある。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
