FSSは、金融ITのアウトソーシングに伴うリスクについて、取締役会に「Board Accountability」（説明責任）を求めます。

韓国の金融監督院（FSS）は29日、金融企業の取締役会と経営陣に対し、サードパーティの委託先でのハッキング事案を含むITサービス外部委託リスクについて最終的な責任を負うことを求める新たなガイドラインを発表した。FSSは、デジタル化が進むことでより多くの企業が情報処理業務を外部委託するようになっていることを背景に、増大するサードパーティのITリスクに対応するため、金融各分野の業界団体と連携してフレームワークを策定した。同ガイドラインは、外部のIT依存が高まる中で消費者保護を強化することを目的としており、業界別のコード採用後、11月以降に順次導入される予定だ。

FSSがサードパーティのITリスクに対する取締役会の説明責任を設定

FSSは、サードパーティのITリスク管理に関して、取締役会が最終責任を負うことを明確に指定した。ガイドラインでは、リスク管理方針や重要な監督事項は、取締役会での審議と決議を要することを義務づけている。経営陣は、サードパーティのITリスク管理システムを構築・実施・維持する責任主体とされ、集中管理部門を運営することが求められる。同部門は、効果的なセキュリティ対策を立案・実行し、事業部門ごとの情報処理外部委託の状況を監督し、サードパーティのITリスクの状況や契約の妥当性を評価しなければならない。

金融企業は3層の統制システムの運用を求められる

金融機関は、集中管理部門、リスク管理部門、内部監査部門で構成される3層の統制システムを構築し、サードパーティのITリスクを体系的に管理する必要がある。企業は、サードパーティの財務健全性および、提供されるサービス、処理される情報の種類と量、暗号化・通信手段、インシデント対応システム、計算施設などの重要な運用情報を特定しなければならない。更新された情報を維持するため、定期的な検査（少なくとも半年に1回）が必要だ。金融企業は、事業や消費者に大きな影響を与える「重要なサードパーティ」を別途指定し、これらの事業体に対して強化されたリスク管理を適用する必要がある。

出所: 金融監督院

ガイドラインには、各サードパーティのITリスクを効果的に評価するための具体的な評価項目およびチェックリストが示されている。特定されたリスクについて、企業は追加的な措置を実施し、統制、軽減、または移転が不可能である場合は、契約を終了するか、取締役会が継続の判断を行わなければならない。

契約ライフサイクルにおけるリスク管理手順を標準化

FSSは、契約段階ごとにリスク管理手順を体系化し、サードパーティのITリスクを事前に把握して対応できるようにした。契約前の要件には、現地検査を通じてサービス能力および情報保護管理システムを確認することが含まれ、また、外部委託側と委託契約側の役割分担や、事案が発生した場合の責任関係など、契約における重要事項を反映させることが求められる。契約期間中、企業は実施状況を定期的に検査（少なくとも年1回）し、システム停止への備え、事業継続のためのバックアップ管理システム、契約終了に向けた退出戦略を準備しなければならない。

出所: 金融監督院

契約終了後の手続きには、情報資産の返還、アクセス権限の取り消し、データの完全な破壊が確実に行われることが含まれる。

業界団体が11月からガイドラインを導入

金融各分野の業界団体は、11月以降からの導入に向けて、これらのガイドラインに基づくベストプラクティスのコードを整備する。ガイドラインは、サードパーティのITリスク管理に関する最低基準と原則を提示しており、金融企業は、外部委託される情報処理業務の重要性やリスク水準に応じて、一定の要素を強化または緩和することで柔軟に適用できる。FSS当局者は、同機関が業界団体とともにガイドラインの導入状況を検査・評価し、継続的に改善や不足の補完を行いながら、今後も前進させていく方針だと述べた。

よくある質問

29日に金融監督院がIT外部委託について発表した内容は何ですか？

FSSは、金融企業の取締役会と経営陣に対し、外部ベンダーでのハッキング事案を含むサードパーティのITリスクについて最終責任を負うことを求める新たなガイドラインを発表した。フレームワークは、金融のデジタル化が加速する中でIT外部委託が増加しつつあることに伴うリスクに対応するため、業界団体とともに策定された。

金融企業は、新たなサードパーティのITリスクガイドラインをいつ導入しますか？

業界団体は、FSSのガイドラインに基づき、11月以降からの導入に向けたベストプラクティスのコードを策定する。企業は、3層の統制システムを運用し、一般的な監視については少なくとも半年に1回、契約の導入状況については少なくとも年1回、定期的な検査を実施する必要がある。