第三者認証の利活用に関する委員意見資料３－２

１．第三者認証の利活用に関する各委員の意見
意見・ 総論として賛成です。また、デロイトトーマツ様のご提供いただいた資料のように、カバーできる共通項目だけでも活用することができるのではないかと認識しております。
・ デロイトトーマツ様のお話、大変参考になりました。FISC APIチェックリストを対としたSOC2保証報告書までFinTech企業側で対応できれば申し分ないですが、相応費用がかかるため第三者認証の利用については各Fintech企業の判断に委ねざるを得ないかと考えます。
・ なお、こういった第三者認証の制度があることについて、電子決済代行業協会やFintech協会等の場を通じて各企業あてに紹介された方がよいと思います。
・ 第三者認証をどのように利活用できるか具体的な実践事例は有益だと考えるので、今後実践事例を収集してFISC調査レポートなどで取り上げてはどうか。
・ トーマツ様より紹介頂いた第三者認証はいずれも、ＡＰＩ接続チェックリストの項目確認を一定程度補完できる可能性のあるものであると理解したが、活用の方法としてはあくまで各金融機関が各第三者認証の特徴を正しく理解し、各金融機関が各々のリスク認識を踏まえ、必要に応じて各金融機関のチェックリスト項目に独自項目として加える、程度に留めるべきで、共通フォーマットとしてのチェックリストへの項目追加・改訂を検討する程のものではないと思料します。
・ 審査負担の軽減の観点から、第三者認証の利用により省略できるチェックリスト項目を検討することは有益である。
・ また、将来的には、ＦＩＳＣチェックリストをベースに統一基準を策定し、独自の第三者認証制度を創設することも考えられるのではないか。
・ まず、時間や作業効率の向上という点で活用に賛成です。その際、第三者認証、保証型監査等によって内容の対象や時点、強度に差があると思われます。
例えば、SOC 1/2 は一年といった長い点で運用が評価されるのに対し、認証はある時点でのスナップショットの評価であったりし得ます。それを受けて、例えば SOC 1/2 を取得している場合はこの項目は OK （または手法例に入れる？）とする、ISO27001 で評価済みの場合はOK とするなど、追加情報が与えられると金融機関・API接続先双方にメリットがあるかと考えます。
・ デロイトトーマツ社の説明を聞く限りにおいては、第三者認証を活用してAPI接続チェックリストの項目を効率的に確認することは、API接続先の認証取得に係る負担等を考慮すると現実的ではないと考える。
・ なお、金融機関とAPI接続先との効率的な確認の観点からは、例えば、API接続先が一定のセキュリティ水準を確保していることを認定電子決済等代行事業者協会が確認し、このことを金融機関が同協会に確認するといったスキームを確立することが考えられる。
・ 活用は難しいと思料
・ 弊社としては、SOC2レポート等を取得した際は、有効に活用したいと考えている。
特に運用面に関してはチェックシートによる質問、回答より細かく確認できる部分もあると考えており、金融機関、API接続先双方にメリットがあると考えている。
・ なお、第三者認証に関して現時点ではチェックリストの見直しをかける必要はないと考えている。
・ チェックリストの信頼性を担保する目的で、第三者認証の利活用を検討することに関しては問題ないと考えます。
ただし、保証を得るための対価（ランニングコストとしてどの程度の費用がかかるか？）についての検討は必須と考えます。（そのコストが最終的に利用者に転嫁されるため。）
仮に、各電代業者が第三者認証機関（監査法人等）と契約するようなスキームで、かつ、第三者認証が必須というような仕組みにしてしまった場合、新規参入事業者に対する実質的な参入障壁となりかねないことを懸念いたします。端的に言うと、SOC2やISMSによる保証は、銀行APIといった、誰でも利用する可能性のあるサービス、かつ、利用ユーザーにとって、その利用料金が「無料」または「廉価」と考えているサービスについては、あまりFITしないのではないかと考えています。
・ 当行ではＡＰＩ接続チェックリストによる接続先が１先であることから第三者認証の利活用に関して可否に関して判断しにくい状況です。
・ 利活用する際の負担軽減の為に利活用に適した第三者認証に関する情報を開示していただけるようお願いします。
・ API接続チェックリストはオフサイトモニタリングを前提としているので、外部認証での充足項目に関しては再度確認を求めないことが運用上望ましいと考える。
・ ISMS認証（ISO27001）ではAPIチェックリストの全ての項目を網羅していないため下記2種類の運用方法が検討できる。
① ISMS認証（ISO27001）取得企業
適用範囲の定義書および適用宣言書を開示していただいた上で次の対応が検討できる。
（１） 適用宣言書で対応していると宣言している内容についてはAPIチェックリストの確認不要（但し、宣言内容次第では追加のヒアリングが必要）（２） ISO27001でカバーできていない箇所のみAPIチェックリストの内容を回答② SOC2レポート、合意された手続き報告書作成企業
SOC2レポートまたはAPIチェックリストの内容を網羅した合意された手続き報告書を開示されるのであれば、APIチェックリストでの確認は不要。
・ 併せて、各認証によるチェックリスト充足項目は、監査法人トーマツ案に認識相違ない。
・ 一方で、APIチェックリストを省略するために合意された手続報告書を準備するFintech企業がいるのかどうか委員のご意見を伺いたい。
・ この前のデロイト様のお話を伺う限り、第三者認証がFISC API接続チェックリストの完全な網羅性が担保できないのであれば、チェックリストに合致する項目についてのエビデンスに止めるべきではないか。
・ 各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積極的に検討する。とされていますが、金融機関としても、できる限り重要項目を限定し、API接続先の管理態勢や対策を把握し、何らかのトラブルが発生し、リスク管理を問われた場合の対応を準備する必要があると考えます。
1/3

第三者認証の利活用に関する委員意見
２．チェックリストの見直し内容
解説書 orページ
フォーマット

解説書

8

解説書

13

解説書

解説書

解説書

解説書

27333441

現行（修正前）修正案（修正後）

修正理由（コメント）

各金融機関は、効率的なコ 各金融機関は、効率的なコミュニケーション 第三者認証（評価、手続き等）については、合意された手続きの実施も視野に含め 日本公認会計士協会 専門
ミュニケーションを行う観点を行う観点や、API接続先から必要以上に重 たほうが良いと考えます。
業務実務指針4400「合意さや、API接続先から必要以上 要な情報を取得しないという観点から、エビれた手続業務に関する実務に重要な情報を取得しないと デンス等の提出に代え、第三者認証や保証指針」
いう観点から、エビデンス等 報告書、合意された手続報告書の依頼、の提出に代え、第三者認証や 外部監査による評価の活用を積極的に検外部監査による評価の活用を 討する。
積極的に検討する。
合意された手続報告書
国際監査・保証審議会が公表する基準であるISRS4400,日本公認会計士協会が定 日本公認会計士協会 専門
める専門業務実務指針4400に基づく報告書である。 本チェックリストにおける活用 業務実務指針4400「合意さ方法としては、業務依頼者（API接続先）と利用者（金融機関）との間で、API接続先 れた手続業務に関する実務無しのセキュリティ管理態勢等について、監査法人等に実施させる一定の手続きを予 指針」
め合意し、監査法人等にその手続を実施させる。監査法人等は、保証の提供は行わず、手続き実施結果を事実に即して報告する等、活用が可能である。

無し＜外部機関による報告書の活用＞
各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上当該項目については、第三者報告書を取得 に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認して、管理態勢が整備、運用されていること 証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積を示すことが考えられるが、第三者報告を取 極的に検討する。とされていますが、金融機関としても少なくとも、API接続先のセ得していなければならない訳ではない。
キュリティ管理態勢を把握し、何らかのトラブルが発生し、リスク管理を問われた場＜第三者認証の利用＞の下に、＜金融機 合の対応を準備する必要があると考えます。
関への情報提供＞を追加し、「本項目については、保証報告書や合意された手続報告書によって、セキュリティ管理態勢が整備されていることを金融機関に示すことが考えられるが、必須の取組みではない。」

無し＜金融機関への情報提供＞を追加し、「本 各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上項目については、保証報告書や合意された に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認手続報告書によって、連鎖接続先の管理態 証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積勢が整備されていることを金融機関に示す 極的に検討する。とされていますが、金融機関としても少なくとも、API接続先の連ことが考えられるが、必須の取組みではな 鎖接続先の管理態勢を把握し、何らかのトラブルが発生し、リスク管理を問われたい。」
場合の対応を準備する必要があると考えます。

無し＜金融機関への情報提供＞を追加し、「本項目については、保証報告書や合意された手続報告書によって、不正アクセスや障害の管理態勢が整備されていることを金融機関に示すことが考えられるが、必須の取組みではない。」

無し＜金融機関への情報提供＞を追加し、「本 各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上項目については、保証報告書や合意された に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認手続報告書によって、利用者保護態勢が整 証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積備されていることを金融機関に示すことが考 極的に検討する。とされていますが、金融機関としても少なくとも、API接続先の利えられるが、必須の取組みではない。」
用者保護の態勢を把握し、何らかのトラブルが発生し、リスク管理を問われた場合の対応を準備する必要があると考えます。
同上

解説書

42

備考

各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積極的に検討する。とされていますが、金融機関としても少なくとも、API接続先の不正アクセスや障害管理態勢を把握し、何らかのトラブルが発生し、リスク管理を問われた場合の対応を準備する必要があると考えます。

同上

無し

2/3

第三者認証の利活用に関する委員意見
解説書 orページ
フォーマット

解説書

解説書

解説書

解説書

5258

6273

現行（修正前）修正案（修正後）

修正理由（コメント）無し＜金融機関への情報提供＞を追加し、「本項目については、保証報告書や合意された手続報告書によって、内部からの不正アクセス対策が整備されていることを金融機関に示すことが考えられるが、必須の取組みではない。」

各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積極的に検討する。とされていますが、金融機関としても少なくとも、API接続先の内部不正アクセス対策を把握し、何らかのトラブルが発生し、リスク管理を問われた場合の対応を準備する必要があると考えます。

無し＜金融機関への情報提供＞を追加し、「本 各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上項目については、保証報告書や合意された に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認手続報告書によって、内部作業者の不正行 証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積為対策が整備されていることを金融機関に 極的に検討する。とされていますが、金融機関としても少なくとも、API接続先の内示すことが考えられるが、必須の取組みで 部不正行為対策を把握し、何らかのトラブルが発生し、リスク管理を問われた場合はない。」の対応を準備する必要があると考えます。

無し＜金融機関への情報提供＞を追加し、「本項目については、保証報告書や合意された手続報告書によって、システムやネットワークの脆弱性対策が整備されていることを金融機関に示すことが考えられるが、必須の取組みではない。」

各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積極的に検討する。とされていますが、金融機関としても少なくとも、API接続先のシステムやネットワークの脆弱性対策を把握し、何らかのトラブルが発生し、リスク管理を問われた場合の対応を準備する必要があると考えます。

無し＜金融機関への情報提供＞を追加し、「本項目については、保証報告書や合意された手続報告書によって、偽アプリケーション対策が整備されていることを金融機関に示すことが考えられるが、必須の取組みではない。」

各金融機関は、効率的なコミュニケーションを行う観点や、API接続先から必要以上に重要な情報を取得しないという観点から、エビデンス等の提出に代え、第三者認証や保証報告書、合意された手続報告書の依頼、外部監査による評価の活用を積極的に検討する。とされていますが、金融機関としても少なくとも、API接続先における偽アプリケーション対策を把握し、何らかのトラブルが発生し、リスク管理を問われた場合の対応を準備する必要があると考えます。

3/3

備考