⽇本⾦融監査協会

⾦融機関のITガバナンス

EYストラテジー・アンド・コンサルティング福島 雅宏
2022年3⽉16⽇

⽬次
⾦融庁のITガバナンス関連レポート

3

ITガバナンスとは何か〜「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」

5

⾦融機関のITガバナンス等に関する調査結果レポート

23

システム障害とITガバナンス

38

ページ 2

⾦融機関のITガバナンス

⾦融庁のITガバナンス関連
レポート

ページ 3

⾦融機関のITガバナンス

⾦融庁のITガバナンス関連レポート

⾦融庁からは近年さまざまなITガバナンス関連レポートが発⾏されており
本セミナーではこれらについて解説します
レポート名

発⾏年⽉

⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理（別冊1）⾦融機関のITガバナンスに関する実態把握結果（事例集）

令和元年6⽉⾦融機関のITガバナンス等に関する調査結果レポート► 【論点整理1】共同センターと⾃⾏のIT戦略・ITガバナンスのあり⽅► 【論点整理2】グローバルにビジネスを⾏う⾦融機関におけるグローバルITガバナンス► 【論点整理3】⾦融業の変化に合わせたモニタリングのあり⽅
⾦融機関のITガバナンスに関する実態把握事例集（参考⼿引）

令和2年6⽉
令和3年6⽉⾦融機関のシステム障害に関する分析レポート

令和元年6⽉
令和2年6⽉
令和3年6⽉ページ 4

⾦融機関のITガバナンス

ITガバナンスとは何か〜「⾦融機関のITガバナンス
に関する対話のための論点・
プラクティスの整理」

ページ 5

⾦融機関のITガバナンス

ITガバナンスの⾼度化の必要性

デジタルトランスフォーメーションの進展に伴い、⾦融機関のITに求められるものも変化してきました• 従来の取り組み
⾦融機関
従来の取り組み⾦融庁► システムの安定性の確保に向けて、システム企画・► 重要なリスクに焦点を当てた検証や、問題の► ITシステムの課題認識は、既存システムの維持を► 個別事案の部分的な事項の事後検証に焦点を► システム統合やシステム障害等の個別問題への► ⾦融機関の左記の対応を助⻑し、内部管理の

開発・運⽤・管理、情報セキュリティ管理等、ITガ
バナンスを⽀えるITマネジメントに焦点を当てていた主眼としていた

問題点対応に留まる傾向にあった

本質的な改善に繋がる原因分析・解明等を⽬標としていた
当てた検査姿勢となっていた

合理性・効率性の追求を阻害している⾯があった► 環境の急激な変化および⾦融機関の活動► 環境の変化︓⼈⼝減少・⾼齢化の進展、低⾦利環境の⻑期化► ⾦融機関の活動► 利⽤者ニーズにあった⾦融サービスを引き続き提供していくには、ITシステムについても、体⼒に応じたコストで、経営戦略を実現させる上で適切かつ効果的な形で構築していくことが強く求められている► ⾦融機関の中には、⾃⾝で、あるいはフィンテック企業と協業することで、イノベーションを活⽤した、

利⽤者利便の向上に資する⾦融商品・サービスを提供する動きが出てきている

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 6

⾦融機関のITガバナンス

ITガバナンスの⾼度化の必要性

経営戦略の中でIT戦略がより重要となることにより、ITと経営戦略を連携させるためのITガバナンスの重要性が⼤きくなりました► 企業価値を創出するITガバナンスの必要性► IT戦略は今や⾦融機関のビジネスモデルを左右する重要課題となっており、さらには⾦融機関の将来像にも繋がる

経営課題となっている► ⾦融機関においては、経営戦略をIT戦略と⼀体的に考えていく必要性が増している► 経営者がリーダーシップを発揮し、ITと経営戦略を連携させ、「ITガバナンス」が適切に機能することが極めて重要である► 仮にITガバナンスが適切に機能しなかった場合、次の事態が懸念されている► ITマネジメントが阻害された結果、システムの安定稼働が損なわれる可能性がある► ⾃らの体⼒に⾒合わない多額のシステムコストが放置されている場合には、将来的な健全性に悪影響が⽣じる► ⾮⾦融からの新たなプレイヤーに対抗すべく適切にITを活⽤した経営戦略を⽴てようとしても、企業⽂化や⼈材戦略を含めた

ビジネス・業務の円滑な転換を図る上で業務上の混乱が⽣じる

ITガバナンスは、利⽤者利便の観点だけでなく、⾦融システムの安定や、⾦融業の総体としてデジ
タライゼーションに適応させていくといった観点からも⾦融機関の経営にとって必要不可⽋な仕組みとなっている

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 7

⾦融機関のITガバナンス

ITガバナンスとはITガバナンスの⽬的は「企業価値の創出」であり、システム障害等のリスクの発現を抑えるだけでなく、ITによる効果を発揮とリスクのバランスをとることが必要とされています• ITガバナンスの概念イメージ
ITガバナンス

経営戦略
デジタルトランスフォーメーション等の取り込み
情報収集、活⽤判断
（R＆D）

反映

経営者
ーIT戦略ー
⽅針策定、モニタリング、評価

IT組織
ITマネジメント（IT管理）

（機能的な
組織構築）

ITリソース（ヒト・モノ・カネ）

IT投資管理プロセス（PDCA）

企業価値の創出

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」_図表1「ITガバナンスの概念イメージ」

ページ 8

環境整備
（⽂化、⼈材育成、投資戦略）

⾦融機関のITガバナンス

ITリスク（システム・
サイバー等）

デジタル
トランス
フォーメーション
デジタル化の進展に応じたビジネス・
業務の変⾰の動き

ITガバナンスに関する考え⽅・着眼点

経営者の役割としては、ITの将来像・あるべきITの姿を⽰す「⽅向付け」が最も重要です• 経営陣によるリーダーシップ【背景】► ⾦融機関は、ITシステムについても、体⼒に応じたコストで、経営戦略を実現させる上で適切かつ効果的な形で構築していくことが強く求められている【経営陣に求められる対応】► ⾃らの体⼒と進むべき経営戦略を踏まえて、あるべきITシステムの姿を率先して検討する► デジタライゼーションが加速的に進展する中、⾃らの経営戦略を検討する上では、現下のデジタルトランスフォーメーションで⽣じている動きや新たなサービス、当局による規制緩和の取り組み等についても適切に把握した上で、採否を取捨選択する► リーダーシップを発揮し、ITと経営戦略を連携させ、企業価値の創出を実現するための仕組みである「ITガバナンス」を適切に機能させる► ITリテラシーの向上に努め、ITを経営にどのように活⽤するか、デジタル化をどのようにビジネスモデルの変⾰につなげるか等、

想像⼒を働かせて積極的に議論を⾏い、⽬指す将来像を⽰していく

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 9

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

経営者の役割としては、ITの将来像・あるべきITの姿を⽰す「⽅向付け」が最も重要です• 経営陣によるリーダーシップの参事例【先⾏事例】► IT をどのように活⽤するかについて経営陣がブレインストーミングを⾏っているほか、会議体においても議論・指⽰► 経営陣が定期的に最新 IT 動向等のレクチャーを受けてリテラシー向上► 経営者のリーダーシップにより、IT を使った業務改⾰が短期間で実現► 業務改⾰を実施するにあたり、経営陣が積極的なチャレンジと多くの失敗を経験することを推奨► 所管部からの機器更改案件に対して、経営陣が業務フロー改⾰を含めた抜本的な検討を指⽰【課題事例】► 経営陣の参加する会議体における経営陣の発⾔が既存システムのあり⽅等に限られ、デジタル化がもたらすビジネスモデルの変⾰に関わるような議論はあまり⾏われていない► 経営陣がデジタル化推進責任者に戦略から投資判断までを⼀任している

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 10⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

⾦融機関として⽬指す将来像を描いた上で、どのようにDXに取り組むかを⼗分に議論することで経営戦略とIT戦略を⼀体化させます• 経営戦略と連携した「IT戦略」【背景】► フィンテック等による⾦融イノベーションが進展する中、⾦融機関においては、経営戦略をIT戦略と⼀体的に考えていく必要性が増している► デジタライゼーションの進展に応じたビジネス・業務の変⾰の動きに活発になっており、⾦融機関によるオープンAPI導⼊にむけた環境整備が進んでいるなど、経営戦略にデジタルトランスフォーメーションを取り込む動きも広がってきている【求められる対応】► ⾦融機関において、次の対応が重要である► ⽬指す将来像や持続可能なビジネスモデルを描く► 強化・維持する事業分野に対して、どのようにITを利活⽤し、デジタルトランスフォーメーションを取り込むか、⼗分に議論する► 経営戦略・事業戦略がIT戦略と⼀体にする► 当初、経営戦略とIT戦略が⼀体的に策定されたとしても、環境変化に応じた経営戦略の⾒直しを含め、IT戦略がその時々の経営の考え⽅に沿ったものとして適切に機能するよう、適宜点検・⾒直していくことが重要である► 既存のITシステムについて、⾃らの体⼒に応じたコストの下で経営戦略を実現させるための効果を最⼤化するものとなっているか等を点検し、ITシステムのあり⽅を議論することも重要である

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 11

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

⾦融機関として⽬指す将来像を描いた上で、どのようにDXに取り組むかを⼗分に議論することで経営戦略とIT戦略を⼀体化させます• 経営戦略と連携した「IT戦略」の参考事例【先⾏事例】► 将来の業務の姿を想定した上で、それを実現するためのデジタル化のあり⽅を検討しているほか、⾮連続的なイノベーションへの対応（R&D等）も推進► 業務と IT を融合させた事務の抜本的なデジタル化等を推進► ⾦融機関のプラットフォーマーになるべく、将来的にデータの収集・蓄積・活⽤等で付加価値を創出することを⽬標に年間数⼗件の実証実験（PoC）等を推進► IT 戦略に係るロードマップを基にビジネス部⾨とシステム部⾨が最新技術等の活⽤について継続的に議論し、ビジネス・IT

戦略に整合的に反映► 社内の IT システム全体像等を⽰した「⽩書」を発刊、年次更新し、関係者間の情報共有を図ることで、IT 戦略策定に寄与【課題事例】► 個別のシステム案件や共同センターの取り組みが中⼼で、⽬指す将来像や経営戦略との関わりが希薄になっている► 経営陣の指⽰によりフィンテックに関する対応部署やワーキンググループを組成したものの、外部動向の調査が中⼼であり、実効的な活動が停滞している► システム共同化等によるシステム部⾨の縮⼩に伴い、戦略的な IT 投資案件を迅速に実現できないなど、IT 戦略の選択肢に⼤きく制約を受けている► 多くの PoC を進めながらも現⾏システムの整備計画対応に⼿間を取られ、実⽤化が進まない

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 12

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点システムの企画・開発・運⽤・管理等の判断および責任を、経営陣・システム部⾨・
ユーザー部⾨がいかに分担するかが重要です• IT戦略を実現する「IT組織」【従来のIT組織】► ユーザー部⾨からの要望を受けたシステム部⾨が⼀元的にシステム化対応を⾏う【求められるIT組織】► IT戦略やデジタルトランスフォーメーションを実現するには、⼈材、プロセス、ITの視点から適した組織能⼒を構築する必要がある► IT戦略が経営戦略と連携されたものとしていくには、システムの企画・開発・運⽤・管理等の判断及び責任を、経営陣・システム

部⾨・ユーザー部⾨がいかに分担するかが重要である（事例）
システム開発におけるユーザー部⾨の役割の明確化や⼈事交流等により、ユーザー部⾨とシステム部⾨間のコミュニケーションを活発化させる► 今後、新たな⾦融サービスの創出やデジタルトランスフォーメーションを推進するにあたっては、全社横断的に牽引する組織体制

や部⾨の垣根を越えてシナジー効果が⽣まれるような組織体制を検討することが重要である► 新しいことへの挑戦の推奨や失敗の許容、アジャイル型の⾼速な開発⼿法の導⼊、先端⼈材を柔軟に採⽤可能な⼈事体系の検討、先端⼈材を採⽤しやすくする等、IT戦略を⽀えるカルチャーを醸成し、IT組織に定着させていくことが重要である

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 13

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点システムの企画・開発・運⽤・管理等の判断及び責任を、経営陣・システム部⾨・
ユーザー部⾨がいかに分担することが重要です• IT戦略を実現する「IT組織」の参考事例【先⾏事例】► ビジネス部⾨とシステム部⾨間の連携強化を⽬的として、システム単位等で両部⾨の役割と責任を明確化、ビジネス部⾨

主導による IT 活⽤強化

► ビジネス部⾨に IT 活⽤ができる⼈材を、システム部⾨に営業の発想を持てる⼈材を、それぞれ育成していく観点から、相互の⼈事交流を実施► デジタル先端⼈材のキャリア採⽤、地域の団体等と連携した IT ⼈材の定期採⽤► 経営陣の失敗談の公表や失敗を恐れずチャレンジする⽂化の醸成► IT・デジタル専⾨⼦会社でアジャイル開発等の取り組み► ビジネス部⾨が主体となり、IT に関する情報共有や活⽤⽅針についての議論を⾏い、PoC 案件の選択・合意を⾏う枠組みを設置► デジタル⼈材育成のため、⼤⼿デジタルプラットフォーマーなどとも⼈材交流【課題事例】► ビジネス部⾨とシステム部⾨間のコミュニケーションや信頼関係が不⾜し、システム開発プロジェクトの⻑期化や⾒直しを繰り返している► ビジネス部⾨とシステム部⾨の⼈事交流やビジネス部⾨内で IT システムが分かる⼈材の育成といった取り組みがキャリアパスと結び付いていない► デジタル化に対してシステム部⾨が過度に保守的になっていたり、システム部⾨がコストセンターとしか認識されない► IT 戦略を⽀えるカルチャー変⾰（失敗を恐れない⽂化の醸成、アジャイル開発、先端⼈材の採⽤等）を⽬標に掲げているが、具体的に取り組めていない

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 14

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点戦略の実現のためには、戦略と連携させて資源の最適化を図る必要があります• 最適化された「ITリソース（資源管理）」► 策定した戦略に基づきITリソースを配分し、最適化を図る必要があり、その際にはヒト、モノ、カネの観点を考慮する

ヒト

モノ

カネ

► システム共同化等によりシステム► セキュリティ⾯のリスク等を踏まえつつ、► IT予算は、既存システムの機能

部⾨の体制が縮⼩化している► イノベーションの進展により専⾨性が⾼まっている中、スキルを継承する
⼈材が不⾜し、次世代を担うIT⼈材の育成も困難► キャリアパスを明確にし、IT戦略の実現に必要なスキルを⾒据えて、IT⼈材を計画的に育成していく

新技術を導⼊しないことの機会損失も踏まえて、採否する（事例）► 新技術（API、AI、クラウドサービ
ス等）を積極的に活⽤し、コストを⼤幅に削減► ⾃らの取引データについて商流な
どの付加価値を⾒出せる形で収集し、新サービスへのデータ利活⽤を進める► ⾦融機関「密結合」構造のシステムが新技術導⼊の阻害要因となりえる
ため、将来的には、⾃らのシステム
構造のあり⽅につても議論すべき

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 15

⾦融機関のITガバナンス

維持・制度対応だけでなく、IT戦略に基づきながら、他の選択肢の可能性の検討や、企業価値創出のための戦略的な投資の確保など、最適な予算配賦を⾏うITガバナンスに関する考え⽅・着眼点戦略の実現のためには、戦略と連携させて資源の最適化を図る必要があります• 最適化された「ITリソース（資源管理）」の参考事例（1/2）
【先⾏事例】（ヒト）► 新技術やグローバルへの対応、スキル継承、内製化推進等を⽬的に IT ⼈材育成専⾨組織の創設、キャリアパスの明確化► スマホアプリについて機動的なサービス展開のため、協⼒会社から社内⼈材にノウハウ等の引き継ぎを受けて、短期間で内製化を実現（令和２事務年度追加）（モノ）► コスト削減や中⻑期的な⽣産性向上を⽬的とした API やプライベートクラウドの活⽤► 既存インフラの最適化を⽬的とした各種システム基盤の集約、他⾏と周辺システムの共同開発の検討► IT 資産に係る最新の価格情勢を収集・把握することで、ベンダーとの価格交渉⼒を強化► アジャイル開発等の新たな技術・⼿法をまずは実際に活⽤し、得られた知⾒でより⼤規模・⾼難易度な活⽤に広げるなどの好循環を⽣み出す態勢を構築（カネ）► システム維持・制度対応案件を抑制する⼀⽅で、戦略的な投資案件の強化► 毎年固定的に発⽣する保守費⽤について、システム費⽤削減を⽬的に第三者による妥当性の検証、作業内容に応じた

⽀払いとなるよう保守契約の⾒直し

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 16

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点戦略の実現のためには、戦略と連携させて資源の最適化を図る必要があります• 最適化された「ITリソース（資源管理）」の参考事例（2/2）
【課題事例】（ヒト）► 組織・戦略的に経営陣の IT リテラシーを⾼める取り組みを実施できていない► システム共同化等によるシステム部⾨の縮⼩に伴い、次世代を担える IT ⼈材の育成が⼗分に⾏われていない► IT 戦略に整合した IT ⼈材に必要なスキルや知識を評価する仕組みがない（モノ）► パブリッククラウドの積極的な活⽤を掲げているものの、クリティカルな業務への活⽤にまで踏み込んだ検討ができていない（カネ）► システム更改案件や維持案件・制度案件等へ優先的に予算配賦され、戦略的な投資へ配賦する余裕がなくなっている

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 17

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

戦略的なIT投資については、投資評価の考え⽅を変えていく必要性が⽣じる場合もあります• 企業価値の創出につながる「IT投資管理プロセス」► IT投資については、次のアクションなどのPDCAを回すことが重要である► ROI（投資利益率）等の指標を⽤いた事前評価・事後評価を⾏う► 実証実験（PoC等）後の実⽤化► 必要に応じてサービス⾃体の廃⽌を⾏う► ⼀⽅、戦略的なIT投資案件の判断を⾏う際、短期間ではROI⽬標を達成することができず、戦略的なIT投資案件が採⽤されない可能性もある► そのため、経営戦略にとって中⻑期的に重要なIT投資を⾏う場合の評価指標・⼿法を確⽴していくことが重要である

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 18

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

戦略的なIT投資については、投資評価の考え⽅を変えていく必要性が⽣じる場合もあります• 企業価値の創出につながる「IT投資管理プロセス」の参考事例【先⾏事例】► デジタルトランスフォーメーション案件等は、スモールスタートを前提に、⼀定⾦額枠内で担当部に権限委譲► 投資効果（ROI4）の⾒積・測定を⾏い、測定結果をもとにサービスの撤退・縮⼩・改善の判断を実施► システムの利⽤実績を基に機能のスリム化や帳票削減を継続的に実施► 戦略案件やデジタルトランスフォーメーション案件の場合は、通常案件と同様の投資判断プロセスとしながらも、ROI 以外の定性評価を重視して都度判断を実施► 既存システムの保守期限切れ等に際して、単純な更改・更新は認めない⽅針を徹底し、機能の強化やスリム化等の検討を実施► 採⽤を⾒送った IT 投資案件について、その理由含めて⼀元管理し、環境変化等に応じて適時採否の⾒直しを実施► グループ全体でプログラムのうち業務フローの処理など共⽤可能な部分等の共有化を徹底し、IT 投資回収期間を短縮化【課題事例】► 投資に係る効果測定の実施を規定等に定めているが、継続的な効果測定を実施していない► 効果が出ず改善も⾒込めない案件等は、システムの廃棄を含め対応を検討することを明⽂化しているが、廃棄した実績はない► 短期的に ROI につながらない IT 案件の採否においては、起案者の説得⼒に左右されてしまい、必ずしも⾦融機関の経営戦略

や今後の⽬指すビジネスモデル等に直接結びついている案件ばかりではない► 採⽤されている IT 投資案件について、短期間で着実に定量的⽬標を達成できる案件が中⼼となっている► 営業効率化を⽬的として新たに顧客管理システムを導⼊したが、将来にわたる具体的な活⽤が⾒据えられておらず、適切な効果が得られていない► 投資効果の検証について、資産計上の妥当性のみを基準とし、本来確認すべき業務⾯が考慮されていない

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 19

⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

新たな技術を採⽤する際には、セキュリティ⾯の新たなリスクへの対応が不可⽋ですが、同時に、採⽤によって得られる効果とリスクのバランスの考慮も必要です• 適切に管理された「ITリスク」【背景】► ITの進化やイノベーション、デジタル化の進展に応じたビジネス・業務の変⾰の動きが活発になっている【求められる対応】► 新たな技術やサービスについて、セキュリティ⾯の新たなリスクを⾒極めながら、採否を考える必要がある► IT戦略策定から、個々の投資判断に⾄るまで、新技術等にも⽬を配る► 新技術等を採⽤することで⾼まるオペレーション・リスク等と、採⽤しないことで将来得られる収益やコスト削減等の機会を逸しうるリスクを⽐べ、適切に判断する

出所︓⾦融庁「⾦融機関のITガバナンスに関する対話のための論点・プラクティスの整理」に基づきEY作成

ページ 20⾦融機関のITガバナンス

ITガバナンスに関する考え⽅・着眼点

新たな技術を採⽤する際には、セキュリティ⾯の新たなリスクへの対応が不可⽋ですが、同時に、採⽤によって得られる効果とリスクのバランスの考慮も必要です• 適切に管理された「ITリスク」の参考事例【先⾏事例】► 経営全般を取り巻くリスク事象の⼀つとして、「新技術に対応しないこと」をリスクとして洗出し、リスク低減に向けた対応策や対応後の残存リスクについても議論► ⾃社が新技術を採⽤しないことで、環境変化に機動的に対応できず、新技術を武器にした新たなプレーヤーに顧客を奪われるリスクを認識し、新技術の活⽤・競合への対抗策を検討【課題事例】► IT 投資に対するリスク評価の⼀環として、具体的に新技術等を⽤いないことの機会損失については検証していない► ベンダーとの契約更改にあたり、ディスカウントを⽬的に⻑期契約としているが、環境変化に応じた新技術を採⽤できないリスク等を⽐較検証していない

出所︓⾦融庁「⾦融機関のITガバナンスに関する実態把握事例集」令和3年6⽉版

ページ 21

⾦融機関のITガバナンス

経産省からは「デジタルガバナンス」が提⽰されていますが、⽬的や枠組みの考え⽅は同様です• 参考︓経済産業省のデジタルガバナンス
デジタルガバナンス
1.成⻑に向けたビジョンの構築と共有
経営者のリーダーシップと説明責任

変化への迅速な対応

落とし込み
2.ビジョンの実現に向けたデジタル戦略の策定

フィードバック
実⾏

経営戦略と⼀体的なデジタル戦略の策定

企業⽂化の変⾰
体制の変⾰と⼈材育成・確保

外部組織等の活⽤

データ活⽤のための戦略の策定
新たなデジタル技術獲得のための戦略の策定
技術的負債低減のための戦略の策定

5.デジタル戦略の実⾏と評価

3.体制構築実⾏

4.デジタル経営資源の適切な配分
守りから攻めのIT予算へシフト
業務の仕組みやITシステム・データの適正化

確認

フィード
バック

リスクのコントロール

確認
評価・改善
フィード
バック

フィードバック
出所︓デジタルガバナンスに関する有識者検討会「デジタルガバナンス・コードの策定に向けた検討」 （令和元年9⽉）に基づきEY作成

ページ 22

⾦融機関のITガバナンス

⾦融機関のITガバナンス等に関する調査結果レポート

ページ 23

⾦融機関のITガバナンス

調査結果レポートの論点「⾦融機関のITガバナンス等に関する調査結果レポート」では、地域⾦融機関の共同センターに関するガバナンス、グローバルガバナンスが取り上げられています• 【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」• ITコストの効率性・適切性• ITガバナンスの発揮状況• 新たなIT・デジタル技術の取り組み状況• 基幹系システムのスイッチングコスト低減等に向けて• 参考︓⼤⼿⾏の対応状況• 【論点②】「グローバル化にビジネスを⾏う⾦融機関におけるグローバルITガバナンス」• グローバルIT戦略/組織• IT投資管理/リソース管理• 海外拠点固有の課題• システム開発における課題• 【論点③】「デジタライゼーション等による⾦融業の変化に合わせたモニタリングのあり⽅」
出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 24

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

共同センターのあり⽅については、ITガバナンスの発揮との関係性が重要な課題とされています

共同センターの効果•

制度対応、セキュリティの確保等、安全かつ安定的なシステム稼働•

⼈⼝減少・少⼦⾼齢化の進展•

低⾦利環境の⻑期化•

デジタライゼーションの要請の⾼まり

共同センターの課題

顧客との⻑期価値の創造を図ることができる持続可能なビジネスモデルの構築が課題•

新たなIT・デジタル技術への機動的な対応の困難さ•

銀⾏内のIT⼈材不⾜・ノウハウの希薄化•

共同センターの開発・運⽤コストの合理性への疑問•

スイッチングコストの⾼さにつながる課題（違約⾦、移⾏費⽤、⼈材不⾜）経営戦略と整合的な IT 戦略の下、必要となる組織、リソース、投資管理プロセス等を確保し、利⽤者ニーズにあった⾦融サービスを提供し、付加価値を⽣み出すための仕組みである IT ガバナンスの発揮と、共同セン
ターとの関係性が重要な課題
出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」（令和2年6⽉）に基づきEY作成

ページ 25

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

ITコストでは、保守・維持関連と新規開発（ディフェンシブ）が⼤半を占めており、
新規開発（前向き）は限定されています• ITコストの効率性・適切性► 地域銀⾏► 信⽤⾦庫► IT コストの効率性・適切性を確保しながら、⾃らが⽬指す顧客への付加価値を実現するための戦略的な IT 投資を⾏えるよ

うな、勘定系システムや共同センターのあり⽅を、適切な IT ガバナンスの下で検討していくことが求められる

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 26

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

ITリソースに関する取り組み度合いが最も低く、特にITシステムを担うスキルを持った⼈材の確保・育成に課題があることによります• ITガバナンスの発揮状況

信⽤⾦庫
地域銀⾏

► ITガバナンスの発揮の回答が⾼い銀⾏は、新たなIT・デジタル技術の利⽤割合も⾼い傾向► ITガバナンスを発揮することで、⼈材やコストなどの限られた資源を効果的に⽤いて、より良い業務・サービスにつなげていくことが可能になり、新たなIT・デジタル技術への取組みも進展している

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」
ページ 27

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

クラウドの利⽤は進んでおり、特に1割の地域銀⾏が「勘定系システム」でのクラウドサービス利⽤をしています• 新たなIT・デジタル技術の取り組み状況• クラウドサービスの利⽤状況► 地域銀⾏► クラウドサービス上で⼗分な機密性や可⽤性を確保するには、利⽤するクラウドサービスに精通した⼈材の確保や育成が重要
出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 28

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

半数以上の地域銀⾏でAIが利⽤されていますが、⾃社内での⼈材確保や、
初期投資・維持費⽤の費⽤⾯での課題があります• 新たなIT・デジタル技術の取り組み状況• AIの利⽤状況► 地域銀⾏► AI活⽤の新たな可能性と課題（リスク）の両⽅を適切に認識し、説明責任を果たしつつ、より良い業務・サービスの実現につなげていくことが重要

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 29

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

9割以上の地域銀⾏がデータ活⽤しており、社内で発⽣するデータや顧客・調査会社から取得するデータを中⼼にビジネスへのデータ活⽤が進展しています• 新たなIT・デジタル技術の取り組み状況• データ活⽤の状況► 地域銀⾏► データ活⽤の領域が拡⼤する中で、⾦融機関は、事業戦略に応じた新しい価値創造に向けて、どのような⽬的で、どのようなデータを収集し、どのような分野から開始するのかなどの検討を重ね、実現していくことが⾮常に重要

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 30⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

データ活⽤の⽤途としては、営業活動、審査が多い状況です• 新たなIT・デジタル技術の取り組み状況• データ活⽤の状況► 地域銀⾏► 今後、顧客向けサービスについて、データ活⽤によるサービス向上が進むものと想定される
出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 31

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

地域銀⾏の共同センターに関する課題を踏まえて、基幹系システムの移⾏コストの低減に向けた論点や取り組みが紹介されています• 基幹系システムのスイッチングコスト低減等に向けて
論点①移⾏プロセスの全体像（移⾏費⽤の内訳）

取り組み
勘定系システムをスイッチングする場合のシステム移⾏プロセス︓► A）全体計画・移⾏⽅針の策定、B）元帳データ移⾏、C）⾃⾏バッチ、還元帳票の移⾏、D）営業店システム・
ATMの移⾏、E）サブシステムの移⾏、F）ネットワーク・対外系システムの移⾏►►►②ツールを⽤いたデータ移⾏③機能カスタマイズの削減と事務の削減（新システムの開発）④スイッチングしやすいシス
テム構成の志向（コア領
域と戦略領域の分離や内部API化等）

移⾏の際は、継承する商品やサービスが多いほど、費⽤が⼤きくなる
移⾏元が共同センターであり、契約期間中の新共同センターへ移⾏する場合は、移⾏元共同センターに違約⾦が発⽣するツールを活⽤したデータ移⾏の場合、同じ移⾏先・移⾏元となる先⾏事例がある場合、ノウハウが蓄積されており、スイッチングコストが低減されていく可能性がある► 過去のシステム統合やシステム更改などデータが⼀元的に管理されているほど、データ変換が容易になる► 移⾏データの整備や、過去の仕様変更の際の設計書等のドキュメントの整備が重要である►

移⾏先勘定系システムの機能と移⾏元勘定系システムの機能を⽐較し、機能⾯のカスタマイズを最⼩化するところで、移⾏費⽤が低減できる► 共同センターは、共同化の範囲が異なるため、共同化の範囲を広げることでコストメリットが発揮できるが、サービス・機能の独⾃開発が制限される► 共同センター加盟⾏内で事務マニュアルの共有などの⽀援体制が整備されている場合、新規の加盟⾏にとってメリットがある►

勘定系システムをメインフレームからオープン系システムへの移⾏する事例が増えるなか、勘定系システムを「⾮戦略領域」とし、機能追加を厳選し、スイッチングしやすいシステム構成に向けて、コンパクト化にする► 外部サービスや銀⾏の営業関係のシステムと勘定系システムを連携するための基盤（オンラインデータ基盤）を構築
し、この部分を「戦略領域」とし、柔軟かつ低コストでの開発►

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」に基づきEY作成

ページ 32

⾦融機関のITガバナンス

【論点①】「地域銀⾏・信⽤⾦庫の共同センターとIT戦略・ITガバナンス」

デジタライゼーションに機動的に対応できる次世代勘定系システムの姿の例が⽰されています• 勘定系システムの新技術対応の⽅向性
クラウド

オンプレミス
オープン勘定系パッケージ

オ
❘
プ
ン
系

ホ
ス
ト
系

►

オープン系開発⾔語（技術者多数）►

サーバー（低価格）►

アプリ層では密結合プログラム►

技術的進歩が速くライフサイクル短命

ホスト勘定系パッケージ►

ホスト系開発⾔語（技術者少数）►メインフレーム（⾼額）►

密結合プログラム►

⻑年使⽤されているレガシー技術

クラウド化

コアバンキング化+内部
API化+周辺システム
オープン化

コアバンキング+周辺システムのプラットフォーム化（クラウド）

コアバンキング化+
内部API化⽤語【図表13】（参考）勘定系システムの新技術対応の⽅向性

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」

ページ 33

クラウド+プラットフォーム化（BaaS）+マイクロサービス化

オープン化+
コンポーネント化

⾦融機関のITガバナンス

説明コンポーネント化
マイクロサービス化

オープン勘定系パッケージで機能や商品・サー
ビス単位等で部品化

オープン基盤化

ホスト系⾔語からオープン系⾔語にコンバート
し、オープン基盤上で稼働

コアバンキング化

勘定系機能（預⾦・為替・融資等）を必要
機能のみで再構成

内部API

勘定系システムと周辺システムの接続を中継するプログラム（仕様）プラットフォーム化

疎結合にした機能を外部にサービス提供

【論点②】「グローバルにビジネスを⾏う⾦融機関におけるITガバナンス」

⾦融機関のグローバル展開が進む中で、グローバル全体で適切にシステムを運営するためのグローバルITガバナンスの強化が必要とされています• グローバルIT戦略/組織► グローバルITガバナンス組織イメージ

グローバル全体

CIO（本邦）グローバルレベル
会議体
リージョンA
地域責任者（地域CIO等）
プロジェクトの進捗状況
や予算の執⾏状況が地域レベルで集約され、グローバルへ報告

A地域レベル
会議体

リージョンB

リージョンC

地域責任者（地域CIO等）

地域責任者（地域CIO等）

B地域レベル
会議体

C地域レベル
会議体

・・・

どのようにCIO、地域CIO等、地域責任者による連携を維持・強化し、それぞれに求められる機能を適切に発揮していくことが課題
出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」に基づきEY作成

ページ 34

⾦融機関のITガバナンス

【論点②】「グローバルにビジネスを⾏う⾦融機関におけるITガバナンス」

IT投資に関しては、⼀定基準で本社が関与する仕組みが整備されています• IT投資管理/リソース管理【現状】► 海外システムの開発において、⼀定基準で本邦本部が関与する仕組みが出来ている► 開発状況は経営会議などへ付議・報告がなされている► システム投資効果も国内同様に検証されている【 IT投資効率化事例】► 地域内での基幹システムの共通化によるコストの削減► 地域ごとでのデータセンターの集約化によるシナジー効果発揮► 海外拠点での⼤量/⾼価な製品の調達の本邦集約化による交渉⼒強化

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」に基づきEY作成

ページ 35

⾦融機関のITガバナンス

【論点②】「グローバルにビジネスを⾏う⾦融機関におけるITガバナンス」

環境などが国内と異なるために、海外拠点には共通的な課題が存在します• 海外拠点固有の課題【課題】► 海外拠点ごとに当局要請・規制が異なり、拠点での独⾃の対応が求められるため、独⾃にシステムを開発し、拠点がサイロ化する► 国内と⽐較して⼈材の流動化が激しく、プロジェクトに参画して経験を積んだ現場担当者にとどまらず、CIO等の⾼度IT⼈材でも転出が発⽣し、安定的に⼈材を確保できない► 海外拠点と円滑にコミュニケーションがとれる⼈材が必要となる【対応策】► 各国の当局要請に対応しているグローバルベースのシステム・パッケージを採⽤し、導⼊時に個別のカスタマイズを極⼒回避することで、サイロ化を回避する► 海外拠点との⼈材の交流、海外共通システムプロジェクトへの参加、語学学校への派遣などによってコミュニケーションを強化するほか、

先⾏プロジェクトの経験者を後続拠点に配置し、地域展開へ活⽤する

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」に基づきEY作成

ページ 36

⾦融機関のITガバナンス

【論点②】「グローバルにビジネスを⾏う⾦融機関におけるITガバナンス」

多様な状況の海外拠点を適切に統制するには、恒常的なモニタリングが第⼀歩となります• システム開発における課題【課題】► 海外拠点が独⾃の開発⼿法を⾏っており、管理⼿法も本邦と異なり、地域本部や本邦本部へ適切な報告がなされず、本部側でその状況を把握できない► ドキュメンテーションが適切に⾏われておらず、システム更改にあたって現⾏システムの設計を適切に把握できず、不⼗分な要件

定義によるプロジェクトの進捗に⽀障をきたす【対応策】► 管理体制の強化► 現地＝地域本部＝本邦本部の連携の強化► 運営本部の現地への設置► レポートラインの明確化► 管理ミーティングの頻度向上► 迅速な情報共有► ⼯程完了基準や評価プロセスの明確化► 本邦本部、地域本部の役割の明確化► 変更管理の強化（追加要件に対する影響確► 本部における予兆管理など継続的なモニタリングの実施

認実施）► 本部からの現地要員⽀援体制の確⽴► 現地体制の強化► 業務要件定義の強化► システム仕様書の整備・維持のルール化► マネジメント及びユーザー部⾨の関与強化► 品質評価プロセスの強化► リソース不⾜への備え

グローバル全体で適切にシステムを運営するには、本邦、地域、拠点における連携の強化と役割の明確化を進め、グローバルITガバナンスを強化する必要がある► 同等規模/内容のプロジェクト経験者の投⼊

出所︓⾦融庁「⾦融機関のITガバナンス等に関する調査結果レポート」に基づきEY作成

ページ 37

⾦融機関のITガバナンス

システム障害とITガバナンス

ページ 38

⾦融機関のITガバナンス

最近の⼤規模システム障害事例

⾦融機関のシステム障害は⼤きな社会的関⼼を集めることから、システム障害への適切な対応は⾦融機関にとっての経営課題といえます• 国内⾦融機関の最近のシステム障害
⾦融機関

発⽣時期

障害概要

東京証券取引所

2020年10⽉

株式売買システムの障害により終⽇取引停⽌

三菱UFJ銀⾏

2021年6⽉

⼀部のATMの停⽌

三菱UFJ信託銀⾏

2021年11⽉

全国のATMが停⽌
個⼈向け・法⼈向けインターネットバンキングサービスが停⽌

LINEペイ

2021年11⽉

プリペイドカード利⽤代⾦の⼆重⽀払

楽天銀⾏

2021年12⽉

スマホ決済の楽天ペイ、楽天Edyにチャージができないまま
利⽤者の銀⾏⼝座から⾦額が引き落とされる

みずほ銀⾏

2021年

年間9件のシステム障害が発⽣。⾦融庁による業務改善命令発令。

出所︓各種報道情報に基づきEY作成

ページ 39

⾦融機関のITガバナンス

最近の⼤規模システム障害事例

メガバンクにおける⼀連のシステム障害の事例からは、危機発⽣時の対応だけでなく、平時からのITガバナンスや企業⽂化も含む広範な視点が必要なことが理解できます
システム障害特別調査委員会報告書*1

⾦融庁業務改善命令*2

危機対応

危機事象に対応する組織⼒• システム開発時・障害発⽣時のシステム部⾨と顧客
対応部⾨との連携不⾜• 経営陣との連携不⾜

ITガバナンスITシステム統制⼒• システム稼働後の⼈材再配置による組織⼒低下• システム安定稼働への対応体制不⾜• 過去の障害事例の改善の不徹底システムのリスクと専⾨性の軽視• 執⾏部⾨がIT現場の実態を確認しないまま安定稼働と誤認• 安定稼 働 に 必 要 な 事 項 を ⼗分 に 洗 い出さな いま ま
保守運⽤フェーズに移⾏させた• CIOがIT専⾨家ではない
IT現場の実態軽視• 保守・運⽤に必要な⼈員の配置転換• 維持・メンテナンス経費の削減などの構造改⾰

企業⽂化・
意識

顧客⽬線
• システム仕様に対する顧客⽬線での問題意識の不⾜• 障害対応における顧客利益への配慮不測

顧客影響の感度の軽視• 営業現場の実態軽視

企業⾵⼟
⾔うべきことを⾔わない、⾔われたことだけしかしない姿勢• ⾃らの持ち場を超えた積極的・⾃発的な⾏動による問題の抑⽌・解決の姿勢の⽋如
出所︓*1 システム障害特別調査委員会「調査報告書」2021年6⽉15⽇、みずほフィナンシャルグループ
https://www.mizuho-fg.co.jp/release/pdf/20210615release_3_jp.pdf
出所︓*2 報道情報に基づきEY作成

ページ 40⾦融機関のITガバナンス

⾦融庁調査レポートの要点

⾦融庁によると、⾦融機関のシステム障害の多くは、ソフトウェア障害および管理⾯・⼈的要因が占めています• 業態全体の障害傾向（事象別）

出所︓⾦融庁「⾦融機関のシステム障害に関する分析レポート」

ページ 41

⾦融機関のITガバナンス

⾦融庁調査レポートの要点

システム統合・更改においては、現⾏システムの理解が重要になります• システム統合・更改に伴い発⽣したシステム障害• 事案概要新たな勘定系システムへの移⾏や現⾏システムのクラウドサービスへの移⾏等の⼤規模プロジェクトにおいて、システム稼働時に振り込みの遅延等、顧客の決済に影響を及ぼす障害• 原因、および必要な対応

原因

必要な対応

旧システムの仕様の理解不⾜やテストのパターン不⾜システム仕様や作業⼿順書等の「IT資産の整備」

レガシーシステムの有識者の⾼齢化等による⼈材不⾜

IT⼈材の育成

出所︓⾦融庁「⾦融機関のシステム障害に関する分析レポート」に基づきEY作成

ページ 42

⾦融機関のITガバナンス

⾦融庁調査レポートの要点

普段と異なる特殊作業は、リスク評価と確実な⼿順の構築が重要となります• プログラム更新、普段と異なる特殊作業などから発⽣したシステム障害• 事案概要本番環境における特殊な作業に起因する障害• 原因、および必要な対応
原因
作業影響の検討不⾜によるもの

必要な対応

作業に起因する障害パターンの想定不⾜と システム全体を⾒渡すことができる有識者参加
いったリスク認識の不⾜のもとでのレビュー
コ ン テ ィ ン ジ ェ ン シ ープ ラ ン（ 以 下 、 「 CP 」 という）の整備が不⼗分なまま作業が実施されていた

設定ミス・作業の誤りによるもの

管理⾯・⼈的側⾯に起因するもので、特に委 委託先の作業の適切な管理
託先における作業の実態を把握していなかった
導⼊したデータベース等の製品に対する知⾒ 機器導等を導⼊する際の選定⼿順の整備
不⾜による設定不備
障害発⽣時の作業が適切に⾏われず、障害 さま ざま な 事 態を 想 定 し、 作業 ⼿ 順 書等 を時間が⻑引いている
充実させたうえ、効率性も含めて問題ないかを確認するための定期的な点検

出所︓⾦融庁「⾦融機関のシステム障害に関する分析レポート」に基づきEY作成

ページ 43

⾦融機関のITガバナンス

⾦融庁調査レポートの要点

冗⻑構成が機能しないことによるシステム障害は従来から数多く発⽣しています• ⽇常の運⽤・保守等の過程の中で発⽣したシステム障害• 事案概要• インターネットバンキング（以下、「IB」という）に関するワンタイムパスワード認証システムのエラーにより、個⼈IB、法⼈IBのログインが不可となる障害や、クラウドサービス業者に起因するシステム障害• システム障害が発⽣した際、障害に備えた冗⻑構成が機能しなかった• 原因、および必要な対応
原因

必要な対応

サ ー ド パ ー テ ィ ー の 提 供 す る 個⼈IB、法⼈IBのログインが不可時に、ATMや IB等の新しいサービスの重要性や特性を取り込んサービスによるもの
店頭に誘導するというCPを発動したものの、 だコンティンジェンシープランの⾒直し実効性が乏しかったクラウドサービスなどの障害は⾦融機関だけで 障 害 を 想 定 し た 代 替 ⼿ 段 の 確 保 や 、 サ ー ド
障害を未然防⽌することが困難であるパーティーとの不断の情報連携等の取り組み
冗⻑構成が機能しないことに 待機系システムへの切り替え基準、障害復旧 冗⻑構成が意図どおりに機能するよう、委託先をよるもの
基準や体制の整備に不備があった
含むCPの⾒直しと訓練等による実効性の確保（ハードウェア・回線等）
意図どおりに機能しないことも想定し、重要な業務が継続できるような⽅策の準備や、障害検知および対応の早期化の取り組み
出所︓⾦融庁「⾦融機関のシステム障害に関する分析レポート」に基づきEY作成

ページ 44

⾦融機関のITガバナンス

⾦融庁調査レポートの要点

セキュリティ設計の不備によるシステム障害も多く⾒られるようになっています• サイバー攻撃・不正アクセス等の意図的な要因から発⽣したシステム障害• 事案概要• 預⾦⼝座の預⾦者になりすまして不正な取引や、インターネットを通じた株取引ツール等への不正アクセスが⾏われていた• クラウドサービスへの不正アクセスが⾏われていた• 原因、および必要な対応
原因
本⼈確認の設計によるもの

必要な対応
預⾦⼝座と連携させる決済サービスの仕組みの 補償⽅針の策定・実施や利⽤者相談に真摯に対応
悪⽤するための 態勢整備に加え、実効的な認証⽅式の導⼊
フィッシングサイトを含む別のサイト等から過去に パスワード等の漏えいに備え、利⽤するサービスの内容流出したIDやパスワードを利⽤したリスト型攻撃およびリスク特性に応じて、多要素認証等の導⼊

ク ラ ウ ド 事 業 者 等 の 提 供 す る クラウドサービスの設定不備により、第三者がクラウド クラウドサービスにおけるシステムリスクの識別、対処
サービスのセキュリティ整備不⾜に サービス内に保存されている情報にアクセスできる
よるもの
状態となっていた
外部ベンダーに委託しているため、クラウドサービスの アウトソーシング可能な業務範囲の明確化含め、全体
仕様やアップデート情報等に関する知識取得や情 の態勢整備
報取集を含め、⼗分な態勢が整備されていなかった
出所︓⾦融庁「⾦融機関のシステム障害に関する分析レポート」に基づきEY作成

ページ 45

⾦融機関のITガバナンス

DXによる環境変化とシステム障害対応上の留意点

DXによる環境変化によってシステム障害対応にも従来とは異なる視点が必要になります• DXによる環境変化（システム障害対応の観点から）
DX以前

DX以降

変化が少ない領域（基幹系など）取り扱うビジネス領域

変化が激しい領域（新規事業など）

ウォーターフォール

開発⼿法

アジャイル

低頻度な⼤規模リリース

リリースの規模・頻度

⾼頻度な⼩規模リリース

モノリシック（密結合）代表的なアーキテクチャー

マイクロサービス

基盤・アプリケーション・運⽤といった機能別分業組織

組織構成

サービスごとのクロスファンクショナルチーム
が疎結合に並列

堅牢さ、壊れないようにつくる

重視する⾮機能要件

回復性、壊れる前提でつくる

出所︓「企業を揺るがす⼤規模システム障害、「分散化」への対応が成否を分ける _ ⽇経クロステック（xTECH）」に基づきEY作成

ページ 46

⾦融機関のITガバナンス

DXによる環境変化とシステム障害対応上の留意点

DXによる環境変化を受けて、システム障害の観点では、3つの分散化について意識する必要があります• マイクロサービス• アーキテクチャーの分散化

サービス間のやり取りの増⼤・複雑化• クラウド⾃社以外の管理範囲での障害発⽣DXによる「分散化」• 複数のパートナー企業を• ビジネスプレーヤーの 組み合わせたサービス提供

分散化•• 開発・運⽤組織の分散化

障害に対する責任の所在が不明
確化• アジャイル開発・DevOps•

開発チームの分散化、疎結合なチームでの障害対応

出所︓「企業を揺るがす⼤規模システム障害、「分散化」への対応が成否を分ける _ ⽇経クロステック（xTECH）」に基づきEY作成

ページ 47

⾦融機関のITガバナンス• システム全体の可観
測性向上• 責任分界点の理解• クラウド⾃体の耐障害性向上• システム障害時の連携、技術的・業務的対応基準の事前取り決め• 障害時のコミュニケー
ションプロセスの明確化• 監視ツール等の障害対応に必要なツールの共通化

システム障害のITガバナンスのポイント

システムの安定性・信頼性向上には、顧客視点でビジネス部⾨・システム開発部⾨・運⽤部
⾨が⼀体となって戦略的に取組むガバナンスが重要になると考えられます

システム保守・運⽤の経営戦略としてとらえるシステムの可観測性（オブザーバビリティ）の向上

ユーザー・顧客視点での稼働指標設定（SLO）

システム保守・運⽤への投資ページ 48

⾦融機関のITガバナンス

Q&A

Q&A

ページ 49

⾦融機関のITガバナンス

EY | Building a better working world
EYは、「Building a better working world（より良い社会の構築を⽬指して）」をパーパスとしています。クライアント、⼈々、そして社会のために⻑期的価値を創出し、資本市場における信頼の構築に貢献します。
150カ国以上に展開するEYのチームは、データとテクノロジーの実現により信頼を提供し、クライアントの成⻑、変⾰および事業を⽀援します。
アシュアランス、コンサルティング、法務、ストラテジー、税務およびトランザクションの全サービスを通して、世界が直⾯する複雑な問題に対し優れた課題提起（better question）をすることで、新たな解決策を導きます。

EYとは、アーンスト・アンド・ヤング・グローバル・リミテッドのグローバルネットワークであり、単体、もしくは複数のメンバーファームを指し、各メンバーファームは法的に独⽴した組織です。アーンスト・アンド・ヤング・グローバル・リミテッドは、英国の保証有限責任会社であり、顧客サービスは提供していません。EYによる個⼈情報の取得・利⽤の⽅法や、データ保護に関する法令により個⼈情報の主体が有する権利については、ey.com/privacyをご確認ください。EYのメンバーファームは、現地の法令により禁⽌されている場合、法務サービスを提供することはありません。EYについて詳しくは、ey.comをご覧ください。
EYのコンサルティングサービスについて
EYのコンサルティングサービスは、⼈、テクノロジー、イノベーションの⼒でビジネスを変⾰し、より良い社会を構築していきます。私たちは、変⾰、すなわちトランスフォーメーションの領域で世界トップクラスのコンサルタントになることを⽬指しています。7万⼈を超えるEYのコンサルタントは、その多様性とスキルを⽣かして、⼈を中⼼に据え（humans@center）、
迅速にテクノロジーを実⽤化し（technology@speed）、⼤規模にイノベーションを推進し（innovation@scale）、クライアントのトランスフォーメーションを⽀援します。これらの変⾰を推進することにより、⼈、クライアント、社会にとっての⻑期的価値を創造していきます。詳しくはey.com/ja_jp/consultingをご覧ください。
© 2022 EY Strategy and Consulting Co., Ltd.
All Rights Reserved.
ED None
本書は⼀般的な参考情報の提供のみを⽬的に作成されており、会計、税務およびその他の専⾨的なアドバイスを⾏うものではありません。EYストラテジー・アンド・コンサルティング株式会社および他のEYメンバーファームは、皆様が本書を利⽤したことにより被ったいかなる損害についても、⼀切の責任を負いません。具体的なアドバイスが必要な場合は、個別に専⾨家にご相談ください。

ey.com/ja_jp