オペレーショナルリスクマネジメント

碓井 茂樹
CIA、CCSA、FCSA
本稿に記載の意見は筆者の個人的な見解にもとづくもので、筆者が所属する組織の代表的な見解を示すものではない。

目 次
１．オペレーショナルリスクとは

２．組織・体制の整備
３．リスク管理の基本フレームワーク
４．データ・コンソーシアムの活用可能性
2

１．オペレーショナルリスクとは定義
オペレーショナルリスクとは、金融機関の業務の過程、役職員の活動、もしくはシステムが不適切であること、または外生的な事象により損失を被るリスク（規制自己資本比率の算定に含まれる分）および、金融機関自らがオペレーショナルリスクとして定めたリスク（規制自己資本比率の算定に含まれない分）をいう。
※ オペレーショナル・リスクは幅広い概念であり、管理対象は金融機関自らが定める。規制自己資本比率算定上のリスク計量化対象には戦略リスク、評判リスクは含まない。
3

オペレーショナルリスク（概念図）
顕在化

業務プロセス

事件・事故、事務ミス
顧客トラブル等

内部体制

人的要因

システム要因外生的要因

規程・手続きの不備等

事務未習熟、検証不十分
不正行為等

機器故障、バグ等

自然災害、外部犯罪等
4オペレーショナル・リスクの顕在事例◼ 極めて多岐に亘る。
➢現金事故➢
現金、預金等の横領➢
重要用紙の不正流用➢
口座相違、為替誤送信➢
不正融資➢
保証付き融資の代弁否認➢
金融商品販売のコンプライ
アンス違反➢
マネー・ローンダリング➢
インサイダー取引

➢➢
➢

➢
➢

➢
➢

➢
➢

➢

システム障害情報漏洩・流出
市場運用の損失隠し
不正資産運用
不正会計処理自然災害による被害
テロ行為による被害
過労死
ハラスメント
風評被害・・・
5拡大するオペレーショナル・リスク

金融犯罪
・サイバーアタック・LIBOR問題
・市場操作、相場操縦

・テロ資金供与

・マネーロンダリング
・贈収賄

コンダクトリスク・利益相反行為・インサイダー取引・顧客説明義務違反
・適合性原則違反

狭義のコンプライアンス（法令・規則の遵守）
従来のオペレーショナル・リスク（事件・事故、事務ミス、顧客トラブル）
6

（参考１）コンダクトリスク
 英国金融当局（FCA※1）は、「顧客の正当かつ合理的な期待に応えることを金融機関がまず第一に自らの責務としてとらえて、顧客への対応や金融機関同士の行動や市場での活動で示すこと」を金融機関に期待されるコンダクトとして定義。

 「顧客保護」、「市場の健全性」、「有効な競争」に対して悪影響を及ぼす行為が行われるリスクをコンダクトリスクとして定義している。※2※1 FCA（Financial Conduct Authority 金融行為監督機構）: 国際金融危機を契機に英国において、金融サービス機構（Financial Service Authority：FSA）の解体を含む金融監督システムの見直しのなかで、新たに金融サービス分野における業務行為に関して責務を負う監督当局として創設。
※2 Journey to the FCA October 20127

従来のコンプライアンス、オペレーショナルリスクとコンダクトリスクはどこが違うのか

狭義のコンプライアンスとの違い

法令・規則に違反していなくても、社会規範に違反している。

従来のオペレーショナル・リスクとの違い


自社は直接損失を蒙らないが、顧客などの外部のステークホールダーが損失を蒙る。自社は信用を毀損する。

8コンダクトリスクの例◆◆◆◆

コンダクトリスクは、国際的な基準金利であるロンドン銀行間取引金利（LIBOR）が不正操作されていた問題で注目された。
最近では、ウェルスファーゴが、顧客の同意を得ずに、不正に口座開設、カード発行を行って手数料を得ていた。不正が発覚した職員を懲戒解雇（5千人以上）したにもかかわらず、不正なセールス慣行をなくせなかった。
商工中金では、多くの職員が不適切な方法で制度融資を実行しており、経営問題となった。
今後、アパート・ローンなどは、金融機関の融資姿勢が問われる可能性がある。紹介パンフレットで「家賃保証」を謳っていても、数年後、賃料が大幅に引き下げられ、経営が立ち行かなくなる物件も出ている。
9

コンダクトリスクを抑制するにはどうすれば良いのか― ソフト・コントロールに重点を置く必要性
 研修 ・・・ 正規職員だけでなく、非正規職員に関しても自分たちのミッションや経営理念、顧客本位の姿勢などを徹底して研修する。
 厳罰 ・・・ ミッション、経営理念、リスクアペタイトなどを文書化して違反者を罰することができる規程・ルールを整備したうえで厳格に適用する。
 監視 ・・・ 不正なセールス慣行を監視するプログラムを導入する。このとき、社外取締役を含め、外部の第三者による視点を取り入れる。
 報酬・業績評価制度 ・・・ 件数・金額などの業績だけで評価しない。適正な手続きを経たものか、顧客本位の視点、離職率などバランスの取れた評価制度とする。
10

（参考２）サイバーアタック D-DOS攻撃
 ロンサムウィルス

 WEB改ざん
 標的型メール

それぞれの対応マニュアルが必要

11

組織犯罪にはセキュリティ関係者が連携して対応する必要

金融ISACによる演習

12

12

２．組織・体制の整備
取締役会

・リスクの状況の把握・問題点の共有

報告・対応策の協議、決定・対応策の実行、徹底指示

オペレーショナルリスク管理委員会
報告

指示

オペレーショナルリスクの統括管理部署
事務リスクの管理部署

報告

指示システムリスクの管理部署

法務リスクの管理部署

人的リスクの管理部署

有形資産リスク
その他オペリスクの管理部署 ・・・の管理部署

報告

指示

各業務部署（本部各部、営業店、子会社、関連会社、業務委託先等）※ 合理性があれば、オペレーショナルリスクの分類は独自の分類でよい。上記のほか、 13
情報セキュリティリスク、業務委託リスク等のカテゴリーを追加する先もみられる。

内部
監
査部
署

組織・体制の整備ポイント：リスク・コミュ二ケーションの充実・円滑化◆

組織・体制を整備する際のポイントは① リスク・コミュニケーションの充実・円滑化に主眼を置くこと。
➢ とくに、オペレーショナルリスクは多種多様であることから、組織全体のリスクの状況を把握し、問題点を共有するためには、リスク管理の統括管理部署を設けるほか、オペレーショナルリスク管理委員会などで、リスク情報の一元的管理を図ることが重要。

② リスク・コミュニケーションを経営の意思決定に活かし、適正な対応策の実行徹底を促す体制とすること。
➢ 経営陣が対応策を協議、決定し、実行の徹底を促すためには、各リスク管理部署の実務に精通した担当者が組織横断的に連携（※）し、経営陣をチーム・サポートすることが重要。
※ WG、TF、リスク管理委員会の下部組織など
14

３．リスク管理の基本フレームワーク

リスクの識別・ 顕現化したリスクと潜在的なリスクを識別する

リスクの評価

モニタリング

リスクの削減/コントロール

・ リスクの影響度、 ・ 組織全体のリスク ・ 対応策を協議、決定の状況を把握する する発生頻度を評価・ 関係者で問題点 ・ 対応策の実施徹底をするを共有する
図る

内部監査

15

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロールa. リスクの識別顕在化したリスク
既に起きた事件事故、顧客トラブル等

内部データとして把握・蓄積を図る
内部データの蓄積

業務プロセス
潜在的なリスク
まだ起きていない事件事故、顧客トラブル等

内部体制

人的要因

システム要因規程・手続きの不備等

事務未習熟、 機器故障、検証不十分 バグ等
不正行為等

業務環境及び内部統制要因の考慮

外生的要因
自然災害、外部犯罪等

潜在的なリスクの洗い出しを行い、シナリオを作成する
シナリオの作成・評価（RCMの作成）

外部データの参照

16

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

顕現化したリスク事象のデータベース化
リスク事象区分、データ登録項目は、リスク事象の分析目的や金融機関のリスクプロファイルにより異なる。
◼ データ登録・分析の目的、データ分析の有用性と登録負担を勘案して決定する。
◼

（例）データ登録項目
リスク事象区分
発生日時
発生部署
発生業務・プロセス
発生原因

関係者情報
損失金額

独自区分（オペリスク・カテゴリーを更に細分化） and/or
バーゼル損失区分
時刻、締め前後、曜日、五・十日、月末など
部店、課、グループ、係、担当など
業務区分、プロセス区分、処理区分など発生原因が１つとは限らない。複数の原因がある場合もデータ登録を可能とする。
担当者、管理者、顧客などの属性情報
直接費用 and/or 間接費用 and/or 機会費用17

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

潜在的なリスクの洗い出し◼

潜在的なリスクについては、各業務を所管する本部部署の管理者あるいは担当者で、現場の実務に詳しい者が洗い出しを行うのが有効。

◼

各業務に従事する者がリスクの識別・評価を行う手法を総称してCSA（Control Self-Assessment) あるいはRCSA（Risk Control Self-Assessment)と呼ぶ。
◼

ＣＳＡには様々な手法がある。いずれの手法を採用する場合も経営に内在する「重要なリスク」を識別・評価することがポイント。
18

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール【事例①】潜在的なリスク事象の洗い出し手法
リスク事象を類型化 し、それぞれの区分毎にリスクシナリオとして、どのようなことが想定されるか、各部署がリストアップする。
リスク事象の類型化
カテゴリー
事務リスク

シナリオの作成

リスク事象区分
XXXX
XXXX

事務集中部
シナリオ１
担当者のオペミスを役席が看過。誤った口座に●億円を為替送金し、回収不能となる。

為替事故（誤送信・処理遅延等）
システムリスク

法的リスク
人的リスク
有形資産リスクその他のオペリスク

XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX

（例）シナリオの作成方法
・リスク事象区分毎に〇個のシナリオを作成

・一定金額以上の損失が発生するシナリオを列挙など

シナリオ２.
繁忙日にオペ要員の配置が不足。為替の当日処理不能な案件が多数発生。損害賠償訴
訟●億円を提起される。

シナリオ３
XXXXXXXXXXXXXXXX
シナリオ４．
XXXXXXXXXXXXXXXX
・・・

19
19

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール【事例②】潜在的なリスク事象の洗い出し手法
重要な業務プロセスを対象に、プロセスチャートを作成し、リスクの所在を確認しつつ、リスクシナリオを作成する。
プロセスチャート：リスク：コントロール

シナリオの作成
融資業務
シナリオ１
保証条件違反を看過し、保証協会付融資を実行。破綻後に、保証否認され●千万円の損失が発生。
シナリオ２.
融資実行を失念。顧客トラブルに発展。損害賠償訴訟●千万円を提起される。
シナリオ３
XXXXXXXXXXXXXXX
シナリオ４．
XXXXXXXXXXXXXXX
・・・
20

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロールb . リスクの評価◼
◼

リスクの評価は「影響度」と「発生可能性」に基づいて行う。
残余リスクベースで評価するのが一般的。ただ、固有リスクやコントロールの有効性（統制リスク/脆弱性）にも注目して評価するケースもある。
リスク・コントロールマトリックス（ＲＣＭ）

内部データ

シナリオ21

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

リスクの識別・評価の範囲の多様性
データ・ベースの登録件数
登録対象を一定金額以上の実損が発生した事件・事故に限定し、事務ミスなどは含めないケースであれば、月間登録件数は数件程度に止まる。
◼ 一方、事務ミス、顧客トラブル等も、可能な限り含めて登録対象としているケースであれば、月間登録件数は数百件に膨らむ。
月間千件を上回る規模の登録がある地域金融機関も存在。
◼

シナリオの作成件数
本格的にＣＳＡを導入した先では、数百～数千本（メガバンクでは、数万本）のシナリオのリスク評価を実施している。
◼ 試行的にＣＳＡを導入した先では、数十～数百本のシナリオのリスク評価を実施している。
◼

22

経営にとって「重要なリスク」の把握◼

内部データとシナリオの組み合わせにより、経営にとって「重要なリスク」を把握する。
シナリオ

内部データ

大③②①

影
響
度

④③②：経営にとって重要なリスク事象

小⑤④③：経営が受容し得るリスク事象

低発生可能性 高23

目的の明確化とデータ収集・シナリオ作成の基準◆

そのためには、取締役会が主導して、オペレーショナルリスク管理の目的を明確にすることが重要。
⇒ 内部データ収集、シナリオ作成の基準（目安）を与える。

◆

目的が明確でないと、経営にとって重要なリスクは何かが分からず、形骸化しがち。
経営を揺るがす大きなリスクへの対応ができているかを確認したい。
シナリオ
大影響度
小

業務プロセスの改善を図りたい。

内部データ

シナリオ

内部データ

③②①

大③②①④③②影
響度④③②⑤④③⑤④③

低発生可能性

高低発生可能性

高小24

リスクの識別・評価の対象範囲を限定してはじめ、徐々に拡大していく方法
シナリオ③

大内部データ②

小内部データ①

大③②①影響度④③②⑤④③

低発生可能性

高（暫定）
影響度

シナリオ

④③②⑤④③

低発生可能性高

小・ 内部データ登録基準の拡大
・ シナリオ作成基準の拡大
・ モニタリング体制の整備

25

◼

中小金融機関では、「シナリオの作成は難しい」と受け取られがちだが、他行事例を参考にして不正事件、重要な事務事故、システム障害などをシナリオ化することからはじめればよい。

◼

日本の金融機関では、このようなセルフチェックが担当者レベルで行われてきた。ＣＳＡは、伝統的なセルフチェックを可視化し、取締役会まで繋ぐように制度化したものであると考えられる。

◼

データ・ベースへの登録、シナリオの作成について、対象範囲を限定してはじめ、モニタリング体制を整えながら、対象範囲を拡大していく方法もある。

◼

新規業務の展開前に、CSAによる評価・検証を義務付ける金融機関も増えている。
26

リスクの識別リスクの評価リスクの削減/コントロール

モニタリングc. モニタリング◼
◼

オペレーショナルリスクに関する情報は膨大。
Bad Newsであるため、報告・登録がされなかったり、不正確なこともあり得る。
RCM

KRI
10090807060

報告書

内部データ50

外部データ

403020100
1 月

・事件・事故報告・事務ミス報告・苦情トラブル報告◼
◼

内部・外部データの分析

CSAの定期更新・随時更新

2 月

3 月

4 月

各種指標（KRI）のフォロー経営としては、正確かつ迅速に情報が伝達されるよう役職員に常に働きかけると同時に内部監査等で検証を行う必要がある。
経営判断をサポートし得る、実務知識と分析力を身に付けたモニタリング要員の育成・確保を図ることが重要。
27

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

モニタリング情報の収集◼

◼

”Bad News” の伝達・共有に向けた働き掛け（例）➢ 経営トップによる訓示、講話➢ 報告徹底に関する通達の発出➢ 内部データベースへの登録運動の展開➢ CSAの導入・定着のための啓蒙活動
リスク管理部署あるいは内部監査部署による検証（例）➢ 個別報告は適時に行われているか➢ 個別報告やデータベースへの登録内容は正確か➢ CSAでは､重要なリスクの洗い出し漏れがないか、評価は適切か➢ CSAは適時に更新されているか
28

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

モニタリング情報の収集◼

”Bad News” の伝達・共有へのインセンティブ➢ 問題発生の報告を受けた後、相応のスピード感をもって改善策の決定、実行に取り組み、その成果を組織内に示すことが重要。
➢ 重要な事件・事故、顧客トラブル、システム障害等の発生状況、原因分析などをフィード・バックすることも、報告者の納得感や報告のインセンティブを増す。
― 反対に、事件事故、事務ミスの撲滅（ゼロ）運動や、過度な報告負担などは ”Bad News” を伝達・共有する際の支障となったり、インセンティブをなくすこともあるので要注意。

29

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

モニタリング要員の育成・確保◼

◼

◼

オペレーショナルリスクのモニタリング要員は、経営判断をサポートし得る、実務知識と分析力を身に付けることが求められる。
➢ モニタリング情報を幅広く、かつ、正確に収集する。
➢ 膨大なモニタリング情報から、経営者の目線でみて重要な情報を収集、整理、分析し、適宜、経営陣に報告する。
各業務・リスクカテゴリーに精通したモニタリング要員を育成・確保するとともに、連携して経営陣をサポートする体制を整備するのが望ましい。
オペレーショナルリスクのモニタリング要員の育成・確保には時間が掛かる。組織全体として、モニタリング要員の育成に計画性を持って取り組む必要がある。
30

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロールd. リスクの削減/コントロール◼

◼
◼

オペレーショナルリスクに関する諸情報をオペレーショナル
リスク管理委員会に集めて、問題点をリストアップし、優先順位を付ける。
それらを組織内の関係者で共有して対応策を協議、決定する。
決定した対応策の実行の徹底を働きかける。
オペレーショナル・リスク管理委員会

経営陣（取締役会、経営会議等）
・リスクの状況の把握・問題点の共有

報告・対応策の協議、決定
・対応策の実行、徹底指示

オペレーショナル・リスク管理委員会

問題点の問題点のリストアップ、リストアップ、優先順位
優先順位付け付け

報告

指示

オペレーショナル・リスクの統括管理部署
事務リスクの管理部署

報告

指示システムリスクの管理部署

法務リスクの管理部署

人的リスクの管理部署

有形資産リスク
その他オペリスクの管理部署 ・・・の管理部署

報告

内部
監
査部
署

指示

各業務部署（本部各部、営業店、子会社、関連会社、業務委託先等）

31

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

リスクの重要度と対応コストの勘案◼

オペレーショナルリスク管理委員会において、定期的に問題点と対応策をリストアップ。問題点と対応策を、組織横断的に比較することで、組織内で整合性のとれた解決策に導く。
（評価の目安）➢ リスクの重要度からみて、対応策の優先順位は適当か。

◼

可能な範囲で、対応コストと効果を評価して、対応の可否や優先順位を協議し、合意を得る。
（評価の目安）➢ リスクの重要度との比較で、対応コストが過大になっていないか（多額のシステム投資をするほどの案件か）。
➢ 対応コストを抑え過ぎているため、効果が期待できないのではないか（注意喚起に止めてよい案件か）。
32

e. 組織文化の醸成◼

組織文化がリスク・コミュニケーションを支える。
（組織文化を醸成する方策）➢ 取締役会・経営トップからの働き掛け
営業店CSA➢ 営業店CSAの実施➢ KRI指標の共有

CSA評価（問題点）

コントロール強化策

進捗状況
〇月

〇月

〇月

取組結果

本部評価

➢ 3点セットの共有➢ 研修の実施
３点セットの共有

KRI指標の共有
リスク管理意識の共有
KRIAction
経営陣

100

Plan

規程

マニュアル

プロセス・チャート図

リスク・コントロールマトリックス

90
80
70

管理者

60
50
40
30
20
100
1 月

2 月

3 月

4 月

Check担当者

Do

33

f．内部監査による検証◼

◼

内部監査では、オペレーショナルリスク管理の組織・体制が適切に構築されているか、また、リスクの識別、評価、モニタリング、削減/コントロールという 基本フレームワークの各段階で、効果的な措置が講じられているか、を検証する。
リスク管理の実態を踏まえて、検証の重点ポイントを選定し、オペレーショナルリスク管理の実効性を高めるように促していく。
リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

内部監査

34

検証のポイント（組織・体制）✓ オペレーショナルリスクをカテゴライズして、それぞれに管理部署を定めているか。
✓ オペレーショナルリスクの状況を一元的に把握・管理する統括管理部署を設置しているか。
✓ オペレーショナルリスクの統括管理部署と各リスク管理部署が連携して、モニタリングと経営判断のサポートを行っているか。
✓ オペレーショナルリスクの統括管理部署と各リスク管理部署は、フロント部署に対する牽制機能を発揮しているか。

35

検証のポイント（リスクの識別・評価）✓ 顕現化したリスクだけでなく、潜在的なリスクも含め、重要なオペレーショナルリスクを識別・評価しているか。
✓ オペレーショナルリスクの影響度、発生可能性を評価する際、その客観性を高める措置を講じているか。
（モニタリング）✓ オペレーショナルリスクに関する重要情報が、迅速かつ正確に、組織内で伝達、共有されているか。
✓ モニタリング要員は膨大な情報を適切に収集、整理、分析する
実務知識、能力があり、組織全体のオペレーショナル・リスクの状況を的確に把握しているか。
36

検証のポイント（リスクの削減/コントロール）✓ リスク事象の詳細や発生原因を十分に分析し、再発の防止や抑制に繋がる適切なコントロールを設計・導入しているか。
✓ コントロールの導入の可否、優先順位を決める際、リスクの重要度と対応コストを勘案して、組織的に協議し合意を得ているか。
✓ コントロールの徹底を図るため、取締役会・経営トップが率先して規律重視の組織文化の醸成に努めているか。

37

４．データ・コンソーシアムの活用可能性
地域金融機関 数行が、自主的にデータ交換、シナリオ交換を開始。

◆➢ シナリオの交換➢ 内部データの交換
・ 集計値、傾向値
・ 個別データ
主要登録項目のほか、銀行情報・個人情報をマスキングして概要を記載◆

上記取り組みを契機にして、データ・コンソーシアムが設立された。
38

データ・コンソーシアムの活用可能性①重要なリスク事象の把握・評価： 網羅性、客観性の向上
カテゴリー

Bank1 内部データ

事務リスク

リスク事象区分為替事故（誤送信・処理遅延等）
システムリスク事例（概要）

件数金額

当行登録

XXXX XXXX

XX件

XXX 円

○（有）

XXXX XXXX

XX件

XXX 円

×（無）

XXXX XXXX

XX件

XXX 円

×（無）

XXXX XXXX

XX件

XXX 円

×（無）

リスク計量化（一部先）

XXXX

EL

XXXX

VaR

XXXX
XXXX
法的リスク

XXXX
XXXX

Bank2 内部データ

人的リスク

XXXX

有形資産リスク

XXXX
XXXX

データ・コンソーシアム

その他のオペリスク

０

XXXX
XXXX

損失額

②データ分析の高度化： リスクプロファイル、強み・弱みの把握
リスク事象①

Bank3 内部データ

当行リスク事象⑥

リスク事象②

リスク事象⑤

リスク事象③

最低値
25％点

共有データ

50％点

75％点
最大値

Bank4 内部データ

12

3

4

リスク事象④5③業務プロセスの検証： 問題点の洗い出しと対応策の検討

・・・

事件事故等

統制の失敗

×

Bank X 内部データ

39① 重要なリスク事象の把握・評価◆

多くの金融機関がデータ・コンソーシアムに参加し、データの蓄積が図られることによって、「重要なリスク事象」を網羅的、客観的に把握、評価することが可能となる。
重要なリスク事象に関する情報
カテゴリー
事務リスク

リスク事象区分XXXX

為替事故（誤送信・処理遅延等）
システムリスク

共有データ
法的リスク

データ・コンソーシアム

人的リスク
有形資産リスクその他のオペリスク

事例（概要）

件数

金額

当行登録

XXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXX

XX件
XX件
XX件
XX件

XXX 円
XXX 円
XXX 円
XXX 円

○（有）
×（無）
×（無）
×（無）

XXXX

XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX
XXXX

40

重要なリスク事象の網羅的な把握◆

重要なリスク事象としては、どのようなものがあるかを網羅的に把握できる。
（重要なリスク事象の例）① 発生件数の多いリスク事象② 発生時の損失金額の大きいリスク事象③ 当該金融機関では起きたことはないが、他の金融機関で実際に起きたリスク事象④ 最近、新たに発生し始めたリスク事象41

重要なリスク事象の客観的な評価◆

多くの金融機関のデータが集まれば、同一のリスク事象の発生可能性や影響度（損失予想）を客観的に評価することができる。
➢ 例えば、100金融機関がデータ・コンソーシアムに参加して、10年間に1回だけ発生したリスク事象があれば、その発生可能性について0.1％程度と見積もることができる。
➢ 損失金額についても、規模調整等を行う必要はあるが、客観的事実にもとづいて評価することが可能となる。

◆

リスク事象の発生可能性、影響度の評価に関して、客観性が向上すると、経営判断の際の重要情報として活用できる。
➢ 計測したリスク量（VaR）についても信頼性が増し、経営判断に活用しやすくなる。
42

データ・コンソーシアムの活用事例◆内部データベースの構築・更改にあたり、共同データベースの管理ノウハウを吸収するために、データコンソーシアムに参加する金融機関が増加。

◆

これまで潜在的なリスク事象に係るシナリオを作成したことのない金融機関に対して、データ・コンソーシアムが「共通シナリオ」の提供サービスを開始。

43

② データ分析の高度化◆

多くの金融機関のデータが集まれば、集計値・傾向値と比較することにより、自らのリスクプロファイルの特徴や統制面の「強み・弱み」などを把握・分析することができる。
（例）リスク事象①の発生状況

1

2

3

4

5

（例）リスク事象②の発生状況

当行

当行

最低値

最低値

25％点

25％点

50％点

50％点75％点75％点

最大値

最大値

1

2

3

4

5

44

リスクカテゴリ別
発生状況

事務リスク

詳細分析（ドリル・ダウン）

法務リスク

システムリスク

有形資産リスク

人的リスク

業務別
発生状況

預金

詳細分析（ドリル・ダウン）

リスク商品

融資

為替

中央値

リスク事象別
発生状況

リスク事象①

リスク事象⑥

リスク事象②

リスク事象⑤

リスク事象③

当行
リスク事象④45

事故者の属性

関連会社職員役席者

派遣職員

発見・発覚の端緒

その他

顧客照会

事故者としては、担当者、派遣職員が少ない一方、役席者、関連職員が多い。

役員・所属長担当職員

役席検証

役席検証、自己点検よりも、顧客照会や内部監査で発見・発覚することが多い。
自己点検

内部監査46

③ 業務プロセスの検証◆◆

重要なリスク事象を把握できれば、自らの業務プロセスにあてはめてみて、発生する可能性があるかを検証できる。
予め対応策を検討して、重要なリスク事象の発生を未然に防止することができる。
事件事故等

統制の失敗

×47

リスク事象の事例研究とリスク・コミュニケーション◆◆

データ・コンソーシアムに登録されたデータは、他の金融機関で実際に起きた事象であるため、シナリオの想定とは違ってリアリティがある。
経営陣やリスク管理部署、業務所管部署など、関係者間でリスク・コミュニケーションを行うときに「事例」として活用しやすい。
オペレーショナル・リスク管理委員会

経営陣（取締役会、経営会議等）

・他の金融機関では既に起きています！
・実際に●億円の損失が発生しました！
・私たちの金融機関でも起きる可能性があります！

・リスクの状況の把握・問題点の共有

報告・対応策の協議、決定
・対応策の実行、徹底指示オペレーショナル・リスク管理委員会
報告

指示

内部
監
査部
署

オペレーショナル・リスクの統括管理部署
事務リスクの管理部署

報告

指示システムリスクの管理部署

法務リスクの管理部署

人的リスクの管理部署

有形資産リスク
その他オペリスクの管理部署 ・・・の管理部署

報告

指示

各業務部署（本部各部、営業店、子会社、関連会社、業務委託先等）

48

留意点
① データの標準化― 管理目的の違いや技術的な問題などから、金融機関の内部損失データの損失定義や収集基準は異なる。多くの金融機関のデータを集計・加工し、自行データと比較するためには、データの標準化を図る必要がある。
― 重要なリスク事象を識別して、シナリオを作成したり、業務プロセスの検証を行う際にはこうした登録データの違いは格別問題にならない。

② データ・カストディアンの機能度― データを標準化し、共通のリスク事象区分に仕分けたり、共通のシナリオの提供を行うデータ・カストディアンの機能度がデータベースの価値を左右する。

③ 自行サイドのモニタリング要員の確保、体制整備― 提供された他行データを分析し、自行のリスク管理に活用し得るモニタリング要員の確保、体制整備が必要となる。

④ 参加コストと活用方法の検討― コンソーシアムへの参加コストと、自ら他行事例を集めるコストを比較したり、データ活用方法とその効果を予め検討する必要がある。
49

ご清聴ありがとうございました。

本資料はFFR＋の活動のなかで作成されたものです。FFR＋には、さまざまな組織の内部監査人（CIA）とガバナンス、リスクマネジメント、監査の専門家、実務家が集まって、研究・情報発信の活動を行っています。FFR＋は、メンバーが、それぞれの研究成果をセミナーや出版などの形で広く情報発信することを推奨・支援しています。
FFR＋は、ガバナンス、リスクマネジメント、内部監査の発展に貢献する目的で、日本銀行金融機構局金融高度化セミナーをはじめ、公益的な活動に対して、FFR＋メンバーが、その研究成果を提供することを認めています。

50