定期的なレビューが大切

金融機関に求められるリスク管理の見直し

金融機関にとって差し迫った課題となっているリスク軽減手法の見直し準備に役立つように、リスク管理プロセスに取り入れられるベストプラクティスを紹介する。

公開 2008年07月29日 07時30分

更新 2012年09月04日 18時48分

著者

Rick Lawhorn

[TechTarget]

印刷する

　最近の世界的な信用収縮を背景に、金融機関のリスクに対する見方が変わりつつある。リスクの領域が急速に広がっており、その中には流動性、ヘッジファンド、デリバティブエクスポージャーなど、外部の市場要因によるものだけでなく、インサイダーの脅威、規制違反、バランスシートに直接影響する管理の不備など、内部要因によるものも含まれるようになってきている。

　仏銀行大手のSociete Generaleに巨額の損失をもたらした同行のトレーダーによる不正取引など、最近発生した事件の要素を加味すると、リスクの領域はかなり広がる。このため、金融機関がリスクの評価方法を変え始めているのは当然の動きだ。リスク評価は、従来は一定期間ごとに行われるのが一般的だったが、継続的に評価基準の充実を図りながら、それらに照らして、より頻繁に評価を行うことが重視されるようになってきている。これらの基準は、動向調査を踏まえて追加や調整を施していく必要があり、それらに基づくリスク評価は、個々のビジネスプロセスやバックオフィスプロセスの一環として行わなければならなくなっている。

　周知のように、金融機関の外部リスク基準は、Societe Generaleの事件のような問題が公になると、その影響をもろに受けて変動することになる。インサイダーの脅威、甘いセキュリティ管理、規制違反の公表などの問題は、厄介な状況を招く。金融界がネガティブなニュースに過敏になりがちな景気低迷下ではなおさらだ。また、ずさんな管理が発覚すると、身内の従業員や投資家から民事責任や刑事責任を問われる場合もある。そうなれば、ブランドや顧客ロイヤルティーが損なわれてしまう。

　そこで、差し迫った課題となっているリスク軽減手法の見直しの準備に役立つように、金融機関のリスク管理プロセスに取り入れられるベストプラクティスを紹介しよう。

リスク情報センターの活用

　リスクやコンプライアンスに関連する、世界で公開された情報やニュースの中央リポジトリを利用するワークフローを構築する。最新の問題やセキュリティ侵害事例をチェックするためだ。収集したデータは、あなたの会社の管理状況についてリスク調査を行い、万全の態勢を整えるための大きなきっかけになる。

リスク評価の自動化

　リスク評価を既存のビジネスプロセスやITプロセス、例えばアクセス制御や従業員のライフサイクルイベントなどに統合する。こうしてコンプライアンス上のチェックポイントを適切なプロセスに組み込むことで、アラートやインジケーターを使って不正行為を早期に発見できる。さらに、従業員の特定の作業（データ転送など）を自動化によって標準化できるため、強制チェックによって適切なアクセス制御を実現できる。

コンプライアンスの監視

　従業員とマネジャーが、特定のリスク許容度の範囲内で通常の日常業務を行うように、階層的な監視を確立する。同じ職位の人の間でコンプライアンスとリスク軽減に関する行動基準が共有されるようにすることで、企業は業務行動上の問題点に気付く、つまり対応しやすくなる。このことは、職掌の分離が必要な領域に特に当てはまる。

法律専門家のサポートを受ける

　リスクが特定されたら、通常、社内の管理体制の現状を判断するために、その正確な検証を行うことが必要になる。管理対策の定期テストの実施を決めたら、早い段階で法務チームの関与を得て、テスト方法に関する専門的な指示やテストの監督を受けたり、テスト結果を活用して会社の将来のリスクエクスポージャーを削減する方法についてアドバイスを受けたりするとよい。

　適切な文書化を行い、チェックリストで所定のタイミングでチェックを行っているというだけでは、一定レベルのコンプライアンスやセキュリティを確保していると主張しても、もはや通用しない。こうした流れがすっかり定着し、顧客と投資家の保護を目的に、セキュリティポリシーの導入と強制が積極的に進められているのだ。

　ITにおけるビジネスリスクエクスポージャー管理という考え方は、会社全体ではまだあまり理解されていない。しかし、投資家と経営陣は証拠を見せるよう要求する。自分たちが民事責任や刑事責任に問われる可能性があるからだ。肝心なのは、リスク管理対策を定期的にレビューし──新たに発見されたリスクへの対策を順次レビュー対象に加えながら──、その結果を踏まえて対策を見直し、対策の効力を合理的に維持していくことだ。リスク軽減策は、ITオペレーションの一環として進めることで、会社にとってより大きな効果をもたらす。

本稿筆者のリック・ローホーン氏はCISPP、CISA、CHSS、TNCPの資格を持つ。GE Financial AssuranceとGenworth Financialの最高情報セキュリティ責任者（CISO）を経て、現在はPlanIT Technology GroupのCISO。IT業界で17年以上の経験を持ち、セキュリティの経験が豊富。CISOのための指標確立を目指す作業部会を設置した。

印刷する