信用収縮の今こそ

金融機関のリスク管理見直しのためのベストプラクティス

リスク回避の急速な変化に備えるため、金融機関がリスク評価プロセスに組み込むべきベストプラクティスを紹介する。

公開 2008年10月23日 08時00分

更新 2012年09月04日 18時35分

著者

Rick Lawhorn

[TechTarget]

印刷する

　世界経済を襲った信用収縮の影響で、金融機関のリスクに対する見方が変わりつつある。リスクの範囲は急速に拡大し、流動性、ヘッジファンド、金融派生商品といった外部の市場圧力が露呈するものだけでなく、インサイダー不安、コンプライアンス問題、管理態勢の不備といった、業績に直接響きかねない社内状況も含まれるようになってきた。

　Societe Generale問題（※訳注）のような最近の事例の要素まで含めると、リスクの範囲は相当大きくなる。そう考えると金融機関がリスクの評価方法を変え始めたのも無理はない。ある一時点においてのみ評価を実施するのではなく、継続的かつ発展的な基準に照らしたリスク評価に重点が置かれるようになり、この基準は調査と維持管理を行って個々の企業とバックオフィスプロセスごとに適用すべきものとなっている。

※訳注：フランスの大手投資銀行Societe Generaleで、行内トレーダーが行った不正取引から約72億ドルの損失を出した事件。

　周知の通り、Societe Generaleのような問題が公になると、外部リスク基準はそれに直結して上下することもある。インサイダー不安、セキュリティ管理の甘さ、コンプライアンス問題の発覚といった問題はトラブルを招く。特に景気が後退局面にあり、否定的な報道に対し金融業界が極端に敏感になっているときはなおさらだ。金融機関にとっては、実質的な管理の甘さが公になれば従業員や投資家からの民事訴訟や刑事告発につながりかねず、そうなれば社名や顧客からの信頼に一層傷がつく。

　リスク回避の急速な変化に備えるため、金融機関がリスク評価プロセスに組み込むべきベストプラクティスを以下に紹介する。

リスク洗い出し

　リスク／コンプライアンスに関連したグローバルな情報とニュースを集めた集中リポジトリ活用のためのワークフローを作成する。集中リポジトリは新たな問題やセキュリティ侵害を見つけ出す目的で一般に公開されている。収集されたデータは、自社の管理態勢におけるリスクを検証し、可能な限り万全の備えを固めるための大きなきっかけとなり得る。

自動リスク評価

　アクセスコントロールや従業員の日常イベントといった既存の事業とITプロセスの中に、リスク評価を組み込む。適用可能なプロセスの中でコンプライアンスに触れるポイントを確立しておけば、不正行為があった場合に警告が発せられて早期発見が可能になる。さらに、送金など従業員による特定の行動は自動化を通じて標準化することが可能だ。これによってチェックが必須となり、適切なアクセスコントロールが保証される。

コンプライアンス監視

　階層的な監視機能を構築し、従業員や管理職が一定のリスク許容度の範囲内で確実に日常業務をこなすようにする。コンプライアンスとリスク回避行動について組織横断的に一定の水準にそろえることで、特に職務分離が要求される分野において、問題行動が会社の目に留まりやすくなり、必然的に対応がしやすくなる。

法務部門の協力

　リスクを洗い出したら、組織の現在の態勢を把握するための正確な判定が必要になるのが常だ。管理態勢の定期的な検証を行うと決めたら、プロセスの早い段階から法務部門を巻き込んでおけば、テストのやり方を監督してもらったり、発見事項を保護して会社に及ぼす影響を抑えるための提案をしてもらえる。

　適切な文書を用意している、つまりセキュリティ項目にチェックを入れているだけで、一定レベルのコンプライアンスやセキュリティが保たれているとはもはや主張しにくくなった。会社の顧客と投資家を守るための積極的なセキュリティポリシー導入・強制に向けた着実なシフトが起きている。

　IT上のビジネスリスク露呈が企業全体にとっての試練であることに変わりはないが、民事訴訟や刑事訴追にも直結しかねないことから、投資家や経営陣は証拠を要求する。鍵となるのは、新たに判明したリスクと並んでリスク管理コントロールを定期的に検証し、管理が破られることを防ぐために問題を確実に是正することだ。リスク回避とIT業務との連携が優れているほど、コントロールが組織の敵でなく味方になる確率も高くなる。

本稿筆者のリック・ローホーン氏はPLANIT Technology GroupのCISO（情報セキュリティ管理責任者）。CISPP、CISA、CHSS、TNCPの資格を持つ。過去にはGE Financial AssuranceとGenworth FinancialのCISOを歴任。IT業界で17年以上の経験を持ち、セキュリティの経験が豊富。CISOのための指標策定を目指す作業部会の創設者でもある。

印刷する