保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
意見箇所

和文意見

英文意見

ゼ ネ ラ ル IP の作成およびフィードバックの機会を設けていただいたことに感謝 We appreciate the development of the IP and the opportunity to give
コメント

する。

feedback on it.

記載された内容の方向性は概ね問題ない。一方で、新たな施策や仕組み We think the description is generally acceptable. However, whenを実施する際には、保険セクター固有の問題や、各社のリソースを含め implementing new measures and structures, insurance sector-specific issues,
たそれぞれの状況、実現可能性等についても考慮すべき。

the situation of each individual insurer including resources, and feasibility
should be taken into consideration.

また、オペレーショナルレジリエンスに関する問題は確たる解がある
訳ではなく、検討段階のため、IAIS での検討状況を保険会社に対して In addition, as discussions regarding a core solution to the operationalも適宜共有いただきたい。

resilience issue are ongoing, we would like the IAIS to share the discussion
details with insurers, as appropriate.

前後のつながりを踏まえると、「サイバー攻撃はパンデミックの広がり Given the context, we believe that "Cyber attacks grew with the spread of the
パラ 5とともに増加し」の部分は、「サイバー攻撃はパンデミックの広がりや pandemic" should be revised to "Cyber attacks grew with the spread of the
これに伴う在宅勤務の普及とともに増加し」に修正した方がよいと考 pandemic and the accompanying widespread adoption of remote working”.
える。
ストレステストのシナリオに関し、リスクは法域や保険会社の状況に Regarding stress testing scenarios, as risks can vary significantly according to
よって大きく異なると考えられるため、詳細なシナリオは個々の状況 jurisdiction and insurer, detailed scenarios should be tailored to individualに合わせて策定すべき。

パラ 34

circumstances.

そのため、2 文目は、「テストの詳細なシナリオは、リスクが法域や保 As such, we propose that the second sentence be revised as follows:
険会社によって大きく異なる点に鑑みて、個々の保険会社の状況に応 Detailed scenarios for testing should be developed to suit each individual
じて策定されるべき。また、特定されたギャップを是正するための適切 insurer's situation, given that risks vary widely according to jurisdiction andなフォローアップ投資を伴うべきである。」と修文してはどうか。

insurer. It should also be accompanied by appropriate follow-up investment
to remedy identified gaps.

パラ 37

パラ 32 において、「上級管理職が専門知識を持つことは合理的に期待 In Paragraph 32, it is stated that “While each individual member of the Board
できないが、取締役会は、保険会社のオペレーショナルレジリエンスに or Senior Management should not reasonably be expected to have expertise1

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見影響を与える決定を行う上級管理職に建設的な監督を行うための十分 in operational risk management, Boards collectively should possess adequate
な知識、スキル、経験を集合的に有していなければならない。」と記載 knowledge, skills, and experience to provide constructive oversight to Senior
されていることから、ポツ 1 の「上級管理職」は削除すべき。

Management who make decisions that have consequences on an insurer’s
operational resilience.” Therefore, "senior management" in the first bullet
point should be deleted.

潜在的脅威を含む様々な情報にアクセスする際には、保険会社へのシ Access to various types of information, including potential threats, should be
パラ 38

ステム影響、負荷を考慮し、十分な事前調整を行う必要がある。

well coordinated in advance, taking into account the system impact andpotential burden on the insurer.

情報共有によって業界全体でレジリエンスを高めることは重要であ It is important to enhance industry-wide resilience through information
る。一方で、情報共有にあたっては、保険会社にとって過度な負担とな sharing. At the same time, however, information sharing should be limited to
パラ 40

らないよう、真に必要な範囲にとどめるよう考慮いただきたい。また、 what is truly necessary to avoid an excessive burden on insurers. In addition,
監督当局間の情報共有にあたっては、その必要性が十分に考慮される the necessity of information sharing among supervisors should be fully
べきであり、情報共有時には appropriate safeguards が適用されたうえ considered, and information should be shared carefully with appropriate
で慎重に共有されるべき。

safeguards applied.

フォーラムに関して、開催する場合は、保険会社の実務負荷を過度に増 When holding the forum, consideration should be given to the operational
大させることがないよう、開催の頻度や参加者の選定、情報共有におけ conditions of each insurer in terms of implementation procedures (e.g.,
パラ 42

る匿名手段の確保、情報共有すべき事案の定義、等といった実施要領は frequency, participant selection, ensuring anonymity in information sharing,
各保険会社の業務状況にも配慮いただきたい。

and defining cases that should be shared) so as not to impose an excessive
workload on insurers.

オペレーショナルレジリエンスに影響を与える事項の公表は、公表者 Regardless of the discloser (e.g., insurer or regulator) or the content (e.g.,（保険会社や当局）や内容（弱点でも対応状況でも）に関わらず、サイ weaknesses or response status), it is not desirable to widely publicize matters
バー攻撃者へのヒントにもつながるため、広く一般に公表することは that could affect operational resilience, as this could lead cyber attackers
パラ 43

望ましくない。そのため、監督当局が保険会社からの報告を公表する際 obtaining clues. Therefore, if supervisory authorities publicize reports fromには、上記影響について熟考し、appropriate safeguards を適用のうえ an insurer, they should carefully consider the above effects and apply
慎重に公表するべき。

appropriate safeguards.

2

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
なお、監督当局が保険会社に報告を求める場合には、保険会社にとって When supervisory authorities request reports from insurers, consideration
過度な負担とならないよう、真に必要な範囲にとどめるよう考慮いた should be given to limit the scope of such reports to what is truly necessary so
だきたい。

as not to impose an excessive burden on insurers.

監督当局が保険会社に対して情報開示を要請する際は、その目的を明 When supervisory authorities request information disclosure from insurers,
確にし、保険会社にとって過度な負担にならないように必要十分な範 we request that they clarify the purpose, and ensure that the scope is
囲となるよう配慮いただきたい。
パラ 44

reasonable so as not to impose an excessive burden on insurers.

そのため、冒頭の文は、「オペレーショナルレジリエンスに関する監督 Therefore, we propose that the first sentence be revised as follows:
上の枠組みに関して、監督当局は、以下のような様々な情報を必要十分 With respect to supervisory frameworks on operational resilience, supervisors
な範囲で収集することができる。」と修正してはどうか。

may collect a range of information, to the extent necessary but within reason,
including:「一般的なコンセンサス」について、定義を明確化していただきたい。 We would appreciate clarification of the "general consensus" definition. In
原則論においてのコンセンサスを指し、実装など対応要領詳細に亘る addition, we would like to confirm that it refers to a consensus of principles
細則論を念頭においたものではないことを確認したい。諸団体から複 and does not refer to a detailed discussion on comprehensive guidelines for
数のフレームワークやガイダンスが開発・公表されているが、サイバー implementation and other measures. Although several frameworks andパラ 47

レジリエンスは保険会社固有の課題ではないため、保険監督当局での guidelines have been developed and published by various organizations, cyber
検討においては保険会社以外の金融機関等に対するガイドラインや規 resilience is not an issue unique to insurers. Therefore, it is desirable for
制とも整合性を保持し重複を回避しつつ、保険会社固有の課題に合わ insurance supervisors to maintain consistency and avoid the duplication of
せて裁量をもって調整可能とすべき。

guidelines and regulations that have already been developed for (noninsurer) financial institutions, while allowing for discretionary adjustments
according to the specific needs of individual insurers.

「広く合意された標準的でフォワードルッキングな指標が十分に開発 It is stated that "widely agreed, standardised, forward-looking metrics are not
パラ 48

されていないことが課題」となっているが、変化の激しいサイバー攻撃 fully developed", but we believe that it is quite difficult to evaluate a rapidlyに対して「指標」で評価することはかなり難しいと考える。指標の開発 changing cyber-attack with “metrics". Even if effort is devoted to theに労力を割いても、効果は低いと思われる。

パラ 49

development of metrics, they are unlikely to be effective.

監督上の調整（特に、サイバーレジリエンスのテスト要件の相互承認） As it would be beneficial, we hope that supervisory coordination (especiallyが今後議論されることは有益であり、期待する。一方で、その枠組みに mutual recognition of cyber resilience testing requirements) will be discussed3保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
よって保険会社の負担が過度に大きくならないようにする必要があ in the future. At the same time, it is necessary to ensure that the frameworkる。

does not place an excessive burden on insurers.

保険業界で保持するシステムの特性は多岐に渡り、リスクに応じた対 Since the characteristics of systems maintained within the insurance industry
策をすることが望ましいため、サイバー耐性だけではなく保険会社や vary widely and it is desirable to take measures according to risks, it is
その国・地域におけるサイバーインシデント発生時のインパクトも考 recommended that insurers have discretion in planning the frequency and慮に入れつつ、保険会社が頻度やテスト内容に関する裁量を持って計 content of testing, taking into account not only cyber resilience but also the
パラ 53

画することを容認すべき。

impact of cyber incidents on the insurer and the jurisdiction where the cyberincident occurs.

なお、今後のモニタリングの方向性としては保険会社に細かな報告を求めるようなアプローチを想定しているのではないことを確認した In addition, we would like to confirm that the future direction of monitoring
い。

does not envision an approach that requires insurers to report in detail.

第三者サービス・プロバイダーを利用している場合、「オンサイト検査」 If third-party service providers are to be used, consideration should be givenの実施は、第三者サービスと保険会社の実際の契約や第三者サービス to the fact that the implementation of "on-site inspections" may not be
パラ 54の諸規定によって受け入れられないケースがあることを考慮すべきで acceptable in some cases due to the contract between third-party serviceある。ここに挙げられている「監督上のサイバー保証」の手法はあくま providers and insurers, or the various regulations of the third-party service.
で例示であることを確認したい。

We would like to confirm that the "supervisory cyber assurance methods"
listed here are examples only.

定量的な指標は評価・理解することに役立つことに同意する。一方で、 We agree that quantitative metrics are helpful in assessing parts of an
他セクターにおいて、フォワードルッキングな指標を含むより多くの insurer’s cyber resilience framework, and in understanding inherent and指標が開発・定義された場合でも、保険業界固有の特性から定量的指標 residual risk, maturity of risk management frameworks, and identification ofにそぐわないことも十分考えられる。よって、他セクターで開発・定義 potential concentration risk. On the other hand, even if more metrics
パラ 55

された定量的な指標については、保険業界において十分に吟味・確認さ including forward-looking ones are developed and defined in other sectors, it
れることが必要である。

is quite possible that they may not be appropriate for quantitative metrics due
to insurance-specific characteristics. Therefore, quantitative metrics

一般的に利用可能な指標としてあげられている「可用性」については、 developed in other sectors should be thoroughly scrutinized by the insurance
発生確率の予見が難しいサイバー攻撃の性質も踏まえ、具体的な算出 industry.
プロセスのイメージがわかない。
4保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
As for availability, which is generally given as an available indicator, we do nothave a specific image of the calculation process, given the nature of cyberattacks, where the probability of occurrence is difficult to predict.
本セクション -Resourcing cyber expertise- は監督当局として専門的な We recognize that this section, Resourcing cyber expertise, is a statement of
スキルを持つ（人的）リソースの確保が困難であることを述べたもので the difficulty that regulators are having in securing professionally skilled
あると認識している。

(human) resources.

専門的なスキルを持つリソースに対する需要が供給を上回るなかで当 As the demand for specialized skilled resources exceeds the supply for shared
局も業界もリソース確保に注力しているところである。パラ 57 に記載 resources, both regulators and the industry are focusing their efforts onのカーネギー国際平和財団の考えについては（公表されているものな securing such resources. While we do not object to the Carnegie Endowment
のでそれ自体は）否定しないが、これに対する IAIS の解釈「This means for International Peace's view described in Paragraph 57, we propose deleting
パラ 57

that supervisory authorities and insurers are competing for skilled staff the IAIS’s interpretation: This means that supervisory authorities andand intensifying the difficulty for authorities to attract and retain insurers are competing for skilled staff and intensifying the difficulty forspecialists.」は業界による取組がリソース不足の問題を引き起こしてい authorities to attract and retain specialists, as it could mislead interested
るように誤解を与える表現であり、ミスリーディングであるため、削除 parties into believing that industry initiatives are causing the resourceを求める。

shortage problem.

もしくは、人材については、全てのセクターにおいて大幅に不足、維持 Or, it should be stated that there are significant shortages in all sectors, andすることが困難となっていることに留意し、当局と保険会社ともに人 that it is difficult for supervisory authorities and insurers alike to secure
材を確保することが難しいとすべき。

appropriate human resources.

クラウドの活用や COVID-19 のパンデミックで加速したリモートワー With use of the cloud and the increase in remote working facilitated by theクの増加により、開発環境に関してもリモートアクセスが進むなど、シ pandemic, the system environment is diversifying, and remote access is also
ステム環境が多様化している。そのような中、個々の保険会社によって advancing with respect to the development environment. Under these
パラ 59

状況は異なると思うが、開発環境では、保持するデータの特性を踏ま circumstances, although the situation may differ among individual insurers,
え、開発スピード等の利便性を優先するなど、本番環境とは異なるセキ it is necessary to consider cases in which the development environment has aュリティ対策レベルがあるケースにも考慮が必要である。

different level of security measures than the production environment (e.g.,

5保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
また、保険会社がセキュリティ対策強化の投資計画を検討する際の参 prioritizing the convenience of development speed based on the
考になるように、最新の脅威動向に応じた技術対策のトレンドや重要 characteristics of retained data).
と位置付けられる対策指針などの情報を提供いただきたい。
In addition, we would like to receive information on trends in technicalcountermeasures, as well as guidelines on countermeasures that are
positioned as important to respond to the latest threat trends, so that insurers
can utilize them as a reference when making investment plans to strengthen
security measures.
外部専門家による各種調査レポートや監督当局との建設的対話などを We would like to receive information on useful best practices in each country,
パラ 60

通じて、各国の有益なベストプラクティスを適宜情報提供いただきた as appropriate, through various research reports by external experts andい。

constructive dialogues with supervisory authorities.

2 ポツ 脆弱性診断には、プラットフォーム診断、Web アプリケーシ In the second bullet point, vulnerability assessments include platform
ョン診断、スマートフォンアプリケーション診断等があり、それぞれ診 assessments, web application assessments, and smartphone application
断対象も異なるので、概要レベルで記載しても良いかと思料。また、上 assessments. Given that each has a different diagnostic target, we believe it
記以外にクラウド診断もあり、第三者による診断あるいは、自社内で would be acceptable to describe them at the overview level. In addition, there
CSPM 等のツールを利用し、クラウドのセキュリティ設定を確認する are also cloud-based vulnerability assessments, which can be performed by aこともある。本紙でもクラウド利用によるサイバーリスクの増加につ third party or in-house using tools such as CSPM to check security settings in
いて記載があるので、いずれかの項目で触れても良いかと思料。
パラ 61

the cloud. Since this IP also describes the increase in cyber risk due to the useof cloud computing, it would be acceptable to mention it in one of the

3 ポツ「監督当局へのミクロレベルのデータ報告」について、統一され sections.
たフォーマットでの報告とすることで脅威の全体像の把握に役立つ。
Regarding "reporting of micro-level data to a supervisory authority" in the
5,6 ポツ レッドチームテストを保険会社に一律に求めるのではなく、 third bullet point, reporting in a uniform format will help to get a complete
監督当局がシステムの特性に応じた基準を定めて、「シナリオベースの picture of the threat.
テスト」（4 ポツ）などと組み合わせて実施することを推奨し、実施の有無については保険会社が判断することが容認されるものと理解し In the fifth and sixth bullet points, we understand that instead of uniformly
た。

requiring insurers to conduct Red Team Tests, it is recommended that6

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
supervisors establish criteria based on the characteristics of the system andcombine it with "Scenario-Based Tests", and that it is acceptable for insurers
to decide whether or not to conduct such testing.
「重要な IT サービス」と「集中リスク」について定義づけをしていた We would appreciate clarification of the "important IT services" andだきたい。

"concentration risks" definition.

第三者プロバイダーの数等を踏まえ、保険会社の実態としては特定の Given the number of third-party service providers, an insurer's practice may
第三者プロバイダーに集中せざるを得ないことも考えらえられ、集中 be to concentrate on certain third-party service providers. A uniform
を一律に回避することは保険会社の効率性を損ない得る。

avoidance of concentration could undermine the efficiency of insurers.

【補足】(Notes)

集中リスクについてはパラ 63 に記載がありますが、以下のようなポイ Concentration risk is described in Paragraph 63, but we believe there is still
パラ 62

ントにて明確化の余地があると思います。

room for clarification on the following points:

・何を以って「集中」と考えるのか、またどの程度の集中を対象として考えるのか（例えば、売上の集中や利益の集中、売上や利益が少なくと -What is considered to be "concentration" and to what degree of

も、社会の要請などレジリエンシーが必要な業務であればバックアッ

concentration (e.g., at least for sales and profits, if the business requires

プ含め対策は厚くならざるを得ないと考えられます）。

resiliency due to social demands, we believe that the company will have

・どのような委託業務を対象とするのか。

no choice but to take extensive measures, including use of a backup

・ベンダーロックインなど代替がいかない場合の対応はどうするのか、

plan.).

等。

-

What kind of outsourced operations are covered?

-

What will be done in the event of a vendor lock-in or other situations
where no alternative is available?

「集中リスク」について定義づけをしていただきたい。
パラ 63

We would appreciate clarification of the "concentration risks" definition.

第三者プロバイダーの数等を踏まえ、保険会社の実態としては特定の Given the number of third-party service providers, an insurer's practice may
第三者プロバイダーに集中せざるを得ないことも考えらえれ、集中を be to concentrate on certain third-party service providers. Avoiding uniform
一律に回避することは保険会社の効率性を損ない得る。

concentration could undermine the efficiency of insurers.
7

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
パラ 64

監督上の枠組みや実務に関する検討にあたっては、地政学リスクの取 When discussing the supervisory framework and practices, coordination with組との連携も検討する必要がある。

geopolitical risk initiatives should also be considered.

業界（保険）と複数の国の監督当局と第三者サービス・プロバイダーと In addition to coordination between the insurance industry and supervisoryの間での協調に加え、政府や他業界との調整も必要と考えられる。
パラ 65

authorities in several countries and third-party service

providers,coordination with governments and other industries may also be necessary.
また、緊迫する国際情勢下、地政学的リスクも考慮する必要がある。
Furthermore, geopolitical risks need to be considered in the tenseinternational situation.
「集中リスクは市場における競争と代替性の欠如から生じることが多 We note that "…as concentration risks frequently arise from a lack of
いので、保険者はこのリスクの性質に単独で対処する能力が限られて competition and substitutability in the market, insurers may have limited
いる可能性がある。
」との記述を take note。

capability to address the nature of this risk in isolation".

金融機関として外部委託先に高度な対応を求めても、委託先が対応で There are cases where a financial institution requires a high level of response
きない、もしくは対応に応じないケースがあることから、例えば「金融 from an outsourcing company, but the company is unable or unwilling to meet
パラ 67

機関の一定の業務を受託する場合に必要最低限の対策基準」といった the request. As such, it is considered that establishing “minimum required
ものを国あるいは業界レベルで策定することで、委託先の水準を底上 measure standards when undertaking certain tasks for a financial institution”,
げにつながることが考えられる。

for example, at the national or industry level would help raise the level ofoutsourced services.

第三者サービスを利用することのメリットも考慮したうえで、保険セクター以外の金融セクターとも連携して、第三者サービスの提供者に It is necessary to consider working with the non-insurance financial sector to
対する規制の策定の働きかけを検討する必要がある。

encourage the development of regulations for third-party service providers,taking into account the benefits of using third-party services.

「集中リスク」について定義づけをしていただきたい。
パラ 68

We would appreciate clarification of the "concentration risks" definition.

第三者プロバイダーの数等を踏まえ、保険会社の実態としては特定の Given the number of third-party service providers, an insurer's practice may
第三者プロバイダーに集中せざるを得ないことも考えらえれ、集中を be to concentrate on certain third-party service providers. Avoiding uniform
一律に回避することは保険会社の効率性を損ない得る。

concentration could undermine the efficiency of insurers.
8

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
セ ク シ ョ パラ 67 で述べたとおり、
保険セクターだけで対処できる問題ではない。 As described in Paragraph 67, this is not a problem that can be addressed by
ン 3.4.2

そのため、第三者サービスを利用することのメリットも考慮したうえ the insurance sector alone. Therefore, it is necessary to consider coordinating
で、保険セクター以外の金融セクターや、政府、他業界とも調整・連携 with other areas of the financial sector, governments, and other industries to
して、第三者サービスの提供者に対する規制の策定の働きかけを検討 encourage development of third-party service provider regulations, while
する必要がある。

taking into account the benefits of using such third-party services.

また、パラ 73 に言及されているとおり、特定の保険会社からは、業界 In addition, as described in Paragraph 73, it is impossible for a particular
内の他プレーヤーがどのようなシステム・プロセスに関して、どこの insurer to know which third-party service provider is being used by otherthird-party service provider を起用しているかは見えない。そのような players in the industry, nor for what systems and processes. In such a
中で、監督当局が例えば「このクラウド事業者のサービスは集積リスク situation, we believe that it may distort the competitive environment if theがあり、別のベンダーを併用することを検討してほしい」などと指示・ supervisory authority instructs or recommends, for example, "Consider using
提言することは競争環境を歪めることになるのではないか。

another vendor in conjunction with this cloud provider's service due toaggregation risk”.

パラ 72「集中リスク」について定義づけをしていただきたい。

We would appreciate clarification of the "concentration risks" definition.

第三者プロバイダーの数等を踏まえ、保険会社の実態としては特定の Given the number of third-party service providers, an insurer's practice may
第三者プロバイダーに集中せざるを得ないことも考えらえれ、集中を be to concentrate on certain third-party service providers. Avoiding uniform
一律に回避することは保険会社の効率性を損ない得る。
パラ 74

concentration could undermine the efficiency of insurers.

「the supervisory authority's ability ... is further limited」について、監 As for "the supervisory authority’s ability to directly monitor and manage the
督当局の行使できる影響力の方が限定的であると書いているように読 resilience of services provided to insurers is further limited" could be read as
めるが、sub-section 3.4 で何度か言及があるように、IT third party stating that the supervisory authority's ability to exercise influence is more
service provider の中でも特にクラウド事業者などは、当該事業者の方 limited. However, as mentioned several times in Sub-Section 3.4, certain
がバーゲニングパワーを有している場合があったり、利用者である会 insurers are not in a position to influence IT third-party service providers,社とは異なる jurisdiction に所在していたり等の事情で、特定の保険会 especially cloud providers, on their own due to circumstances such as the社が単独で影響を及ぼすことは難しい立場にあるため、「... is limited as provider having more bargaining power or being located in a different
well」に修文することを提案する。

jurisdiction than the user company. Therefore, we propose the following
revision:
9

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見“…the supervisory authority’s ability to directly monitor and manage theresilience of services provided to insurers is limited as well.”.
報告の定義や要件の一貫性は重要である。検討中の素案や先行事例等、 Consistency of reporting definitions and requirements is important. If there
パラ 76

対応上の留意・活用等に有用と思われる情報があれば早期・積極的に共 is any information, such as drafts under consideration or prior cases, that may
有いただきたい。

be helpful to keep in mind and utilize in response, we would appreciate early
and active sharing.

保険業界固有の特性や費用対効果を含め、”the adoption of multi-cloud The adoption of the multi-cloud / multi-vendor approach and exit /パラ 77/ multi-vendor approach and exit / portability strategies”の採用は慎重 portability strategies should be carefully considered, including the uniqueに検討する必要がある。

characteristics of the insurance industry and cost effectiveness.

・次世代の BCP においては、被害が発生するリソース（人、設備・施 Next-generation BCPs may focus on the resources (e.g., human,
設、IT、等）に着目して BCP を整備していく考え方もある。リソース equipment/facilities, and IT) that can be damaged. In a resource-based BCP,
ベースの BCP ではインシデントに関わらず、毀損したリソース単位で general responses can be taken for each damaged resource, regardless of the
汎用的な対応が可能であり、レジリエントな対応が期待できる。

incident, and resilient responses can be expected.

・重要業務（被災時に維持継続する業務）の内容と同業務を維持・継続 In order to promote BCM, it is crucial to clarify the contents of important
するために必要なリソースを明確にすることは、BCM を進めていくう operations that must be maintained and continued in the event of a disaster,えで重要な課題である。リソースは、ヒト・モノ（システムを含む）に and the resources required to maintain and continue these operations.
セ ク シ ョ 限らず、外部委託先の事業継続も含め、漏れのないように検討する必要 Resources should not be limited to human resources and commodities
ン 3.5

がある。

(including systems), but should also include the business continuity ofoutsourcing partners, which should be considered without omission.

・BCM の対象を幅広いインシデントや業務に拡張すると、リソースが分散される可能性や対応事項の優先順位低下等を招く可能性があるた Expanding the scope of BCM to a wide range of incidents and operations may
め、まずはインシデントが業務に与える影響を、BCM の枠組みで検討 result in the dispersion of resources, and lower prioritization of responseする必要がある。既存の BCP を準用していく方が実効性があると考え matters. Therefore, it is necessary to first consider the impact of an incident
られ、BCM の範囲の拡張を検討する場合は、実現の難易度についても on operations within the framework of BCM. It is considered more effective
考慮していただきたい。

to apply the existing BCP mutatis mutandis, and if the scope of BCM is to be
expanded, the difficulty of feasibility should also be taken into consideration.
10

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見"consider BCM in the context of their critical operations and all key It is stated that "consider BCM in the context of their critical operations andパラ 83

internal/external dependencies (including third parties’ BCPs)"とは、 all key internal/external dependencies (including third parties' BCPs)". We
具体的にどのような内容なのか、またその効果について明確にしてほ would appreciate clarification on the specifics and effectiveness of this.
しい。

パラ 87

監督当局が把握、集約した結果は、各保険会社における BCM の検討等 We would like to request that the supervisory authorities provide us with theirに資するため、適宜情報提供いただきたい。

findings as appropriate, as they will contribute to BCM considerations at each
insurer.

パラ 90

BCM、オペレーショナルレジリエンスは保険会社により異なるため、 Since BCM and operational resilience differ from one insurer to another, we
実態をふまえ、保険会社の裁量で各種対応を行うものであることを確 would like to confirm that various measures are to be taken at the discretion
認したい。

of insurers based on the actual situation.

また、保険会社における労働環境の変化に加えて、社会全体がハイブリ It should also be noted that in addition to changes in the work environment
ット型労働環境に移行しつつあることによって、保険会社が提供する of insurers, society as a whole is shifting to a hybrid work environment, which
商品・サービスが変わると共に、ビジネスモデル自体が変容しつつあ is changing the products and services offered by insurers, as well as the
り、事業自体が転換期を迎えていることにも留意すべき。

business model itself. Indeed, the entire business is undergoing atransformation.

情報共有のための既存のメカニズムを利用する場合も含め、真に必要 Even if existing mechanisms for information sharing are used, consideration
な情報に限定し保険会社にとって負担にならないよう考慮いただきた should be given to limit the scope to truly necessary information and to avoid
パラ 92

い。情報共有にあたっては、その必要性が十分に考慮され、また共有時 excessive burdens on insurers. We believe that information sharing should beには appropriate safeguards が適用されたうえで慎重に情報共有が実施 conducted carefully, with sufficient consideration given to the necessity of
されるべきと考える。

information sharing, and appropriate safeguards applied.

オペレーショナルレジリエンスに関連する定義や用語の整合性が重要 Given that the changing environment and associated risks require swift andであることは否定しないが、変容する外部環境やリスクを踏まえ迅速・ proper responses, spending too much time on efforts to harmonize definitions
パラ 93

的確な対応が求められ、定義や用語の整合性を高める取り組みに時間 and terminology is undesirable and may lead to rigid interpretations. As aをかけすぎることは望ましくなく、硬直的な解釈を引き起こす恐れも result, we believe this could become an obstacle to swift responses.
ある。結果として迅速な対応を阻害する恐れがあると考える。

Rather, we believe that it would be more beneficial from the perspective ofswift and proper responses to align insurers, supervisors, and the insurance11保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見
それよりも、オペレーショナルレジリエンスを高めることの必要性や sector as a whole in recognizing the necessity and significance of enhancing
意義を保険者、監督当局、さらに広く保険セクター全体で認識を合わせ operational resilience.
ることの方が、迅速・的確な対応の観点ではより有益であると考える。
Therefore, we propose that Paragraph 93 be revised as follows:
以上よりパラ No.93 は以下のように修文することを提案する。
In order to promote information sharing among insurers, supervisory
保険者、監督当局、さらに広く保険セクター全体での情報共有を促進す authorities, and more broadly across the whole insurance sector, it would be
るためには、オペレーショナルレジリエンスを高めることの必要性や beneficial to align perceptions on the need for and significance of enhancing
意義について認識を合わせることが有益であろう。
パラ 95

operational resilience.

保険者が保険監督当局にサイバーインシデントをエスカレーションす Although insurer approaches to escalating cyber incidents to supervisory
るアプローチは、FSB の作業を参考にはするが、各国の保険セクター authorities will be informed by the work of the FSB, it should be flexibleの事情に対応できるよう柔軟性を持たせるべき。

enough to accommodate the circumstances of the insurance sector in eachcountry.

パラ 96

中小規模の事業体に限らず大規模な保険会社にとってもマルチベンダ We believe that a multi-vendor strategy should take into account the―戦略はコスト負担が大きくなる可能性を考慮するべきと考える。

possibility of higher cost burdens, not only for small and medium-sized
entities, but also for large insurers.

また、スーパーバイザーが使用している実務や方法論に関する情報交換などについては、各保険会社における今後の方針検討等に資するた In order to contribute to each insurer’s future policy discussions, we would
め、適宜情報提供いただきたい。

appreciate information on supervisory practices and methodologies, as
appropriate.

質問 1（質問：第 4 章に記載された観測事項の相対的な優先順位について、 While all of the stated descriptions are important, the situation in each
意見があるか？希望の優先順位と関連する説明を記入。
）

country differs (e.g., there are regional differences in the degree of
dependence on IT outsourcing (generally active in Europe and the US)).

記載された項目はどれも重要であり、また、各国における状況も異なる Therefore, it is not appropriate to set priorities, but rather to consider them
（例えば、IT のアウトソースの依存度にも地域差がある（一般的に欧 concurrently,

takingintoaccount

theirinterconnectedness.

When

米が活発）
）ため、一律に優先順位を決めることは適切ではなく、相互 prioritizing, please make sure that there is consensus among the parties
関連性があるため、同時並行で検討することが望ましい。優先順位をつ
12

保険監督者国際機構（IAIS）「保険セクターにおけるオペレーショナルレジリエンス IP」に対する損保協会意見ける場合は、事業への影響度や有用性なども踏まえて関係者で合意形 concerned based on the impact on the project and its usefulness, and that it
成し、納得感のある順位付けをしていただきたい。
質問 2

is acceptable.

（質問：保険セクターのオペレーショナルレジリエンスに関して、将来 Geopolitical risks, such as Russia's recent invasion of Ukraine, could affect
IAIS が重点的に取り組む可能性があり、本イシュー・ペーパーで特定 operations. It should be noted that geopolitical risks are not limited to the
されていない追加的な見解があるか？）

insurance sector and must be addressed in cooperation with a wide range ofindustries, and that such situations change on a daily basis.

今日のロシアによるウクライナ侵攻をはじめとした地政学リスクもオ
ペレーションに影響を与えうるため注意が必要である。地政学リスク
は保険セクターだけに留まらず、幅広い業界と連携した対応が必要であり、また日々状況が変わる点には留意すべき。
質問 3（質問：IAIS が国境を越えた情報共有を促進し、オペレーショナルレ Information sharing and dialogue on best practices led by the IAIS would help
ジリエンスのエクスポージャーとベストプラクティスに関する対話を to strengthen the resilience of the whole insurance sector. However, since it
促進するための情報を収集することに価値を見出すか。参加する意思 is assumed that there will be cases where responses will differ depending onはあるか？）

the customs and culture of each country, it would be appropriate to share, asa reference, when examining the operations of each country, industry, and保険セクターのオペレーショナルレジリエンスを強化するために、 insurer.
IAIS が主導となってベストプラクティスの情報共有および対話をする
ことは、保険セクター全体におけるレジリエンス強化に繋がると考え When collecting information, we request that consideration be given toられる。但し、各国の慣習や風土に応じて対応が異なるケースも想定さ limiting the data to what is truly necessary so as not to impose an excessive
れるため、各国・業界・保険会社の運営を検討する上での参考情報の位 burden on insurers. In addition, the necessity of information sharing among
置付けで共有されるのが適切と考える。

supervisory authorities should be fully considered, and information should beshared carefully, with appropriate safeguards applied.

情報収集に際しては、保険会社にとって過度な負担とならないよう、真に必要なデータにとどめるよう考慮いただきたい。また、監督当局間の情報共有にあたっては、その必要性が十分に考慮されるべきであり、appropriate safeguards が適用されたうえで慎重に共有されるべき。
以13上