金融機関のオペレーショナル・レジリエンスへの取組みと、業界横断的なBCP/BCMの動向

金融機関におけるBCP/BCM とレジリエンスの取組み

オペレーショナル・レジリエンスとは

本連載の第1回でも述べたように、会社や組織のレジリエンスとは、「緊急時において事業継続できる対応能力・回復力、あるいは経営環境の変化に対して柔軟に対応できる能力」のことをいいます。このレジリエンスに関して、近年、金融機関では「オペレーショナル・レジリエンス」の構築が推進されています。

世界では、バーゼル銀行監督委員会が「オペレーショナル・レジリエンスのための諸原則」を ¹、英当局などがオペレーショナル・レジリエンスに関する新規制 ² を公表しています。また、欧州委員会もデジタル・オペレーショナル・レジリエンス法 ³ などを公表しています。日本では金融庁がディスカッション・ペーパー ⁴ の取りまとめや、監督指針の改訂 ⁵ などを実施しています。

なお、金融庁のディスカッション・ペーパーでは、オペレーショナル・レジリエンスについて下記のとおり定義しており、以下本稿でも同様の意味で用います。

オペレーショナル·レジリエンスが必要な理由と対応方法

先に触れた、バーゼル銀行監督委員会が公表している「オペレーショナル・レジリエンスのための諸原則 ⁶」では、BCP/BCMに関する従来からの課題を踏まえて、オペレーショナル・レジリエンスが必要な理由と対応方法について次のように言及しています。日本を含めた各国の取組みもこれらの考え方と整合していると考えられます。

1点目の「ITシステムへの依存度の高まり」について、利用者の目線からその変化を捉えると、たとえば預金の引出しは、以前は利用する金融機関の窓口で紙の通帳と印鑑の提出が必要でしたが、現在は利用する金融機関以外のATMでもキャッシュカードを利用して引出すことができるようになっています。また現在、振込や残高照会にはインターネットバンキングを利用できますし、バーコード決済では銀行口座を紐づけることで、預金を店舗等での支払いに利用できます。このような銀行預金の利用チャネルの拡大には、ITシステムの機能強化や金融機関同士のシステム的な連携が寄与しています。

一方、金融庁は、こうしたITシステムに対するシステム障害が、年間約1,900件（2022年度）報告されたと公表しています ⁷。このレポートの中で、「システム障害発生時の復旧に関する不芳事案」として、地域金融機関の共同センターの障害により、複数の金融機関において同時に障害が発生し、復旧手順の未整備や復旧対応を行う有識者の不足等により多くの利用者に影響が及んだケースや、外部委託先での復旧作業において作業手順の検証が不足していたことに加え、金融機関での検証も十分に行われなかったことで、ATMやインターネットバンキングで長時間取引ができなくなったケースが紹介されています。

オペレーショナル・レジリエンスの構築が推奨される理由

既存のBCP/BCMのフレームワークから逸脱しない

前述のとおり、日本では金融庁がオペレーショナル・レジリエンスに関するディスカッション・ペーパー ⁸ や監督指針の改訂 ⁹ などを公表しており、その中でオペレーショナル・レジリエンスの「基本動作」について紹介しています。

ここで注目したいポイントは、重要な業務を特定して経営資源（リソース）に着目するアプローチは、前回までに紹介したBCP/BCMで用いられるフレームワークでも、金融業界ならびに他業界を対象としてかねてから謳われており、特に目新しいものではないという点です。

たとえば、内閣府が平成25年8月に改定した「事業継続ガイドライン」で ¹⁰、経営資源の特定の必要性について触れられていたり、「レジリエンス認証 審査項目説明書」¹¹ でも重要業務の実施に不可欠な資源を把握していることがわかる書面等を示すよう記載されています。事業継続マネジメントシステム（BCMS）に関する国際規格であるISO22301:2019（JIS Q22301:2020）でも、優先的な事業活動の遂行に必要な資源を決定する旨が要求事項として掲げられています。これらを踏まえると、オペレーショナル・レジリエンスも、既存のBCP/BCMのフレームワークから大きく外れることを求めているわけではないと考えられます。

想定外の状況が発生しうることを前提としている

それではなぜ近年において、国際機関や金融庁は改めてオペレーショナル・レジリエンスの構築に着目しているのでしょうか。それは、これまでのBCP/BCMに関する金融機関の取組みが、「シナリオベースのBCP ¹²」に偏っていたためと考えられます。

たとえば「シナリオベースのBCP」として、「日中（就業時間中）に、●●情報システムの障害が発生し、サービスの提供が停止した」というシナリオを想定し、その対応策として「契約しているシステムインテグレーターに連絡し、原因究明と復旧対応を行う」と定めていたとします。では、「休日夜間に当該システムの障害が発生してしまい、システムインテグレーターの担当者の休日夜間の連絡先が分からず当該担当者と連絡がとれない」という場面に遭遇してしまった場合はどうすればよいでしょうか。前述したシナリオと対応策だけでは、顧客が許容してくれる時間内にサービスの提供を再開することが困難になる可能性があります。

もちろん実際のシステム運用ではこのようなケースは当然想定されているでしょう。ただ、上記のように、事前に用意したシナリオの予想を超えた「想定外」の状況が発生し得ることを前提とした場合に、どのサービスを最優先として、いつまでに対処する必要があるのかなどといった、顧客へのサービス提供を継続するための事前（平時）の準備が「シナリオベースのBCP」では十分ではなかったという認識が、昨今オペレーショナル・レジリエンスの構築が推奨されている背景にあると考えられます。

業界横断的なBCP/BCMとレジリエンスの動向

ここからは、金融以外の業界を含む、BCP/BCM、レジリエンスに関する業界横断的な動向について解説します。

テレワークの定着・常態化

諸業界の経済活動における、BCP/BCMおよびレジリエンスに関連した特徴的な動きとしては、まず「テレワークの定着・常態化」があげられます。コロナ禍により速やかに導入が進んだテレワークは、当初は一時しのぎのような扱いで導入されるケースもみられましたが、今や多くの企業で本格的に定着しつつあります。今後は、緊急時に業務を継続することを狙いとして、テレワークを有効活用すべく、以下のような検討があらためて求められていくと考えられます。各省庁からはテレワークに関するガイドライン ¹³ なども公表されています。

サプライヤーや委託先の確保

これまでの連載でも触れてきましたが、自社の「重要業務」の遂行に必要な経営資源のうち、サプライチェーン上の供給者（サプライヤー）や委託先が何らかのトラブルにより業務を停止してしまうと、自社の「重要業務」も停止し、自社の顧客（得意先や納品先）が許容してくれる時間内にサービスや製品の提供を再開することが困難になる可能性があります。関与する供給者や委託先が多くなりサプライチェーンが複雑化すると、ますますこの傾向が高まると考えられ、供給者や委託先に対するリスク評価や、それらの評価結果に基づく対策の検討（例：いざというときの代替供給者の確保、委託先や子会社からの情報漏洩を防ぐ仕組みの整備など）が今後も引き続き求められるでしょう。製造業の業界団体からは供給者を考慮したBCPのガイドライン ¹⁴ なども公表されています。

BCP/BCMとレジリエンスに関連する最近のトピック

最後に、社会全体の共通課題に関わる、BCP/BCMおよびレジリエンスに関連する最近のトピックを紹介します。

SDGs

SDGs ¹⁵ においても、「持続可能」「強靭な」といった文言を用いて、BCP/BCMやレジリエンスに関する内容に触れています。

たとえば、目標9のターゲット9.1では「持続可能かつ強靱なインフラを開発する」こと、目標13のターゲット13.1では「気候関連災害や自然災害に対するレジリエンスおよび適応力を強化する」ことについて言及されています。SDGsの浸透・普及が、BCP/BCMやレジリエンスに関する意識の向上や醸成につながり、企業や行政の取組みにも影響を与えていくと考えられます。

経済安全保障推進法

2022年5月に成立した「経済安全保障推進法 ¹⁶」で創設された「基幹インフラ役務の安定的な提供の確保に関する制度 ¹⁷」 において、基幹インフラの重要設備が役務の安定的な提供を妨害する⾏為の⼿段として使⽤されること ¹⁸ を防⽌するため、特定社会基盤事業者として指定された会社（インフラ事業者など）は、国により指定された重要設備（特定重要設備）の「導入」および「維持管理等の委託」を行う際に、事前に国（事業所管大臣）に対して計画書の事前届出を行い、審査を受けることが定められました。

計画書の具体的な記載事項としては以下のような内容があげられています。

また、上記の「特定重要設備の導入」「重要維持管理等の委託」のそれぞれの場合について、計画書の届出様式には「リスク管理措置（特定社会基盤事業者が講ずる特定妨害行為を防止するための措置）」が含まれており、特定社会基盤事業者として指定された会社は「リスク管理措置」の実施状況をチェックした結果も計画書の一部として届け出るよう求められています。内閣府による解説資料 ^{19 20} では、「特定重要設備の導入」時の「リスク管理措置」として以下のような項目が紹介されており、BCP/BCMやレジリエンスに関する対応状況も問われる可能性があります。

レジリエンスの強化やその手段としてのBCP/BCMは、オペレーショナル・レジリエンス向上や重要インフラの安定稼働確保のためにも欠くことのできない重要な取組みと考えられます。