金融庁のAI推進で露呈…「規程類が化石化する金融機関」の末路とは？

放置厳禁！まずやるべき“規程の健康診断”

　経営コンサルタントに寄せられる相談事項でもこのところ多いのが、規程類やマニュアルの評価や見直しに関するものだ。なかでもリスク管理系の規程類、とりわけシステムリスクやBCP/IT-BCPに関する規程類は種類も多く、一度定義してしまえば放置されることも珍しくなく、気付いたら記載要件の重複や抜け漏れに悩まされることになる。

　昨今、金融庁は定期的な規程類の見直しを要求している。「定期的な」の解釈はあれど、現実的には毎年見直しと修正を加えなければならないのが現実だが、果たして、こうした作業では何をよりどころとすべきなのだろうか。

　FISCでは「金融機関のためのコンティンジェンシープラン策定のための手引書」を公表しており、金融機関には当該手引書を用いたリスクアセスメント作業を要請している。

　具体的には、金融機関を取り巻くリスクを原因系に着目し、「内部起因のリスク」「外部起因のリスク」と峻別して定義。それぞれの発生確率やリスク発現時に金融機関が受ける影響の大きさを定量的に評価するよう促している。

　発生確率が高く、自行庫にとって影響が甚大なリスクについては優先的に対応方針を整えることになるのだが、中には「10年前に実施したアセスメント結果をそのまま採用している」といった金融機関もみられるのが実態だ。

　すなわち、リスクアセスメントが陳腐化した結果、リスクへの対応がおざなりになってしまっているようにもみえる。

　もともと金融機関はマニュアル策定を重視する文化が形成されており、いかなるレギュレーション変化にも素早く人的資源を投入して呼応し、仔細な事務マニュアルを定義してきた。ところが、たとえばサイバーセキュリティ管理においてはこの対応が必ずしも十分とは言えない状況にある。

　大手金融機関はまだしも、多くの地域金融機関が「サイバーセキュリティマニュアル」の策定に手こずり、有意な解を見出せずにいるのだ。中には中央機関が例示した参考様式をそのまま利用した結果、「自行庫に固有のリスク」のアセスメントが抜け落ちていたり、そもそも自行庫の組織構造では取りえない対応手順がマニュアルの中に組み込まれていたりしまっていたりする。

　この結果、サイバーセキュリティ演習を実施しても、本来必要な行動が再現できず、有事の際の大きな課題として横たわることとなった。


【次ページ】規程類整備にはインセンティブが働かない