みずほ銀行に対する金融庁の行政指導
金融庁の改善命令のテキストを取り敢えずコピーしておく（***）。
/
ニュースでは、「自ら発言しない」「謂われたことしかやらない」と金融庁がみずほを非難しているという内容が流れている。
天唾は金融庁に留まらない。多くの企業の政府に対する姿勢でも、霞が関全体でも、内閣の中でも、殆どの公務員に共通する実態ではないか。
問題や疑念に対して逃げ回る政治家や公務員ばかり目立つ。その頂上の金融庁から言われる筋合いは本来はない。
だから良く言ってくれたと感謝すべきかも知っれない。
＞
金融庁の天唾
金融庁は、みずほの長年に渡る一連の不祥事に対してどういう監査を実施したのか。何をもってOKとしたのか。監督官庁としての責任を全く果たしていないのではないか。みずほがぬるいのは、みずほを担当する金融庁がぬるいからだろう。
「いうべきことを言わない」とクレームして済ますな。聞くべきことをなぜ聞かないのか。自分の不作為を転嫁するな。
「謂われたことしかやらない」ってクレームして済ますな。謂われたことをやっているか確認できているのか。金融庁は本当に正しいことを言ったのか。その検証は出来ているのか。
＞
外野席またはテレビ桟敷
専門家らしき人がバラエティに出てきて色々解説している。内部の人じゃないから、その内容も、憶測が中心になる。
企業統合によって発生する人事問題、企業風土問題（価値観・理念・歴史観）、組織設計問題（役割責任・権限）、マルチベンダー（４系統４社）システム構築など、広く括れば、問題の本質はその何処かに潜んでいる可能性はある。表面をなでるだけの解説には聞くべき内容は残念ながら少ない。
システムトラブルの原因
トラブルの原因は、実は極めて簡単に推定できる。銀行システムに多いことだが、システム開発運用の責任体制が、自前化を志向することで、逆に曖昧になっていること。多くの銀行はシステムベンダーに初期開発させた後、ベンダーから人材を行内に取り込んで自前運用を目論むが、システム運用にはシステム改編も含まれ属人的な品質問題も入り込みやすい。
何が起きるか？
運用も、実は開発の連続、中途半端な自前化はベンダー側作業との協調協力が欠かせないから、役割区分も曖昧になり直ぐに破綻する。
時代の銀行に要求するシステム要件は４系列に簡単に切り分けられるものばかりではない。常に、連携が試される。最低でもシステムリソースの取り合い問題はクリアしなければいけない。
ベンダー間には他社には知られたくないノウハウもある。協調にも限界がある。牛耳るだけの力量がオーナー側にあれば別だが、システム屋と対峙できる人材はいないだろう。
４系統の開発運用標準が存在していて、各ベンダーはそのプロでも他社の標準については知る筈もない。連携における品質基準はどのベンダーも経験していない世界。みずほの素人のシステム担当には想像もできない世界かも知れない。
みずほに統合された元々の銀行もネット対応の遅い古い体質を持っていた。お互いに遠慮し合いながらのシステム構築なんて、シングルベンダーでも大変だったろうに、マルチのままで行ってしまった。第一勧銀の悪しき慣習が残った印象だ。
*
金融庁は、試しに、みずほ銀行の「システム開発運用管理標準」のようなものを見せてもらえばいい。トラック数台分のコピーが持ち込まれるだろう。標準に精通している人材、標準順守状況の内部監査報告を見せてもらうこと。それが関係者に共有されているか、サンプリングでチェックすればいい。
*
内部システムの外部システムもシームレスにならざるを得ない状況では、ベンダーを絞ったところで、連携は必須要件。問題はどのテンプレートを使うか。品質標準のことだが、これを単に束ねただけのものでなく、一貫性のあるシングル標準にすること。それえは、結局、責任ベンダーを決めることになる。他社を必ずしも切らなくてもよいが、やり方は一つにする。それだけのことだ。
富士通、ＩＢＭ、日立、ドコモ
シングルベンダー化コンペをやればいい。みずほで選定のノウハウがないならオープンでやればいい。その場合は４社以外にもチャンスを与えていいだろう。但し、ＩＢＭは外資だから、国策銀行では無理かな。富士通と日立の競合になるが、担保能力から、責任ベンダーに日立を置いて、サポートベンダーに富士通他を置くのが落ち着く。責任ベンダーを決めれば、今まで、何が災いしていたかもあぶりだされる筈だ。
＞
***
令和３年11月26日
金融庁
みずほ銀行及びみずほフィナンシャルグループに対する
行政処分について
金融庁は、本日、株式会社みずほ銀行（以下「当行」という。法人番号6010001008845。）及び株式会社みずほフィナンシャルグループ（以下「当社」という。法人番号9010001081419。）に対し、以下の通り業務改善命令を発出した。
Ⅰ．業務改善命令の内容
【みずほ銀行】（銀行法第26条第１項）
当行が策定したシステム障害に係る再発防止策を速やかに実行すること。
以下の内容について、業務改善計画を策定し、速やかに実行すること。また、当該業務改善計画について継続的に再検証及び見直しを実施すること。
（１）システム障害に係る再発防止策について、再検証及び見直しを実施し、その上で必要な措置を盛り込んだ再発防止策
（２）システムの安定稼働等に必要となる経営管理（ガバナンス）態勢の整備に係る具体的な取組み
（３）Ⅱ．９．に記載するシステム障害の真因を踏まえた業務の改善に係る具体的な取組み
システム障害の発生原因等を踏まえた経営責任の明確化について報告すること。
上記２．の業務改善計画及び３．の報告について、令和４年１月17日（月）までに、令和３年12月末時点における１．の再発防止策の実施状況とともに提出すること。
上記２．の業務改善計画の実施状況（業務改善計画の再検証及び見直しの結果を含む。）について、令和４年３月末の実施状況を初回として、以降、３ヶ月毎にとりまとめ、翌月15日までに報告すること。
【みずほフィナンシャルグループ】（銀行法第52条の33第１項）
当社が策定したシステム障害に係る再発防止策を速やかに実行すること。
以下の内容について、銀行持株会社としての業務改善計画を策定（当行が策定する業務改善計画についての検証及び必要な見直しを含む。）し、速やかに実行すること。また、当該業務改善計画について継続的に再検証及び見直しを実施すること。
（１）システム障害に係る再発防止策について、再検証及び見直しを実施し、その上で必要な措置を盛り込んだ再発防止策
（２）システムの安定稼働等に必要となる経営管理（ガバナンス）態勢の整備に係る具体的な取組み
（３）Ⅱ．９．に記載するシステム障害の真因を踏まえた業務の改善に係る具体的な取組み
システム障害の発生原因等を踏まえた、当社における経営責任の明確化について報告すること。
上記２．の業務改善計画及び３．の報告について、令和４年１月17日（月）までに、令和３年12月末時点における１．の再発防止策の実施状況とともに提出すること。
上記２．の業務改善計画の実施状況（業務改善計画の再検証及び見直しの結果を含む。）について、令和４年３月末の実施状況を初回として、以降、３ヶ月毎にとりまとめ、翌月15日までに報告すること。
Ⅱ．処分の理由
当庁検査並びに銀行法第24条第１項及び第52条の31第１項に基づく報告を踏まえ、銀行の業務の健全かつ適切な運営を確保するため、以下の理由の通り、本処分を踏まえた業務改善計画の検討、策定及び速やかな実行並びに経営責任の明確化等が必要であると認められる。
当行では、令和３年２月から９月にかけて、顧客に影響を及ぼすシステム障害を計８回発生させており、そのうち、２月28日の障害においては、システムに高い負荷がかかりやすい月末にデータ移行作業を実施することのリスクについて十分な検討を行わないまま作業を実施し、多数のATMが稼働停止する事態を招くとともに、ATMへの通帳やカード取込みを発生させ、多数の顧客にその場での待機を余儀なくさせる事態を生じさせた。また、８月20日の障害においては、全営業部店で一定時間店頭取引が行えない事態を招いた。
さらに、９月30日の障害における復旧対応においては、資産凍結等経済制裁措置に関する法令及び「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」の遵守態勢に係る問題も認められた。
当行及び当行の親会社である当社は、このように短期間に複数のシステム障害を発生させたことにより、個人・法人の顧客に重大な影響を及ぼし、社会インフラの一翼を担う金融機関としての役割を十分に果たせなかったのみならず、日本の決済システムに対する信頼性を損ねたと考えられ、関係する当行及び当社の経営陣の責任は重大である。
今回の一連のシステム障害が発生した直接の原因は、当行において、
開発や障害対応における品質を確保するための検証が不足していること、
保守・運用に係る問題点を是正しておらず、委託先への管理を十分に行っていないなど、当行の新基幹システム（以下「MINORI」という。）を安定稼働させるための保守管理態勢を整備していないこと、
危機対応に係る態勢整備の状況について、訓練や研修などを通じて十分に検証していないこと
にあると認められる。
このような原因の背景には、当行及び当社の執行部門が、IT現場の実態を十分に把握・理解しないまま、MINORIが安定稼働していると誤認し、障害発生時も影響範囲が局所的になりやすいというMINORIの特性を過信したことから、システムの安定稼働に必要な事項（有事を想定した被害の極小化に必要な取組みを含む。）を十分に洗い出さずに、MINORIを開発フェーズから保守・運用フェーズへ態勢を移行させた上、MINORIの保守・運用に必要な人員の配置転換や維持メンテナンス経費の削減等の構造改革を推進したことが認められる。
また、当行の執行責任者は、MINORIは安定稼働していると誤認して、システムリスク管理態勢の実態を把握しないまま、人員の再配置、ベンダーからの業務の引継ぎを行ったことが認められる。
これらの結果、MINORI等の運営態勢を弱体化させているものと認められる。
こうした対応が、令和３年２月から９月に発生した一連のシステム障害において認められた、障害の予兆管理や障害からの復旧に係る対応力といった、IT現場における業務対応力の脆弱化を招く一因となったものと認められる。
当行の取締役会は、障害分析や予兆管理の状況、障害に係る訓練の実態、IT人材の適正配置の状況などを継続的に報告させるといった、有効な牽制機能が働くシステムリスク管理態勢を整備していなかったことから、複雑なMINORI等の運用管理に係る脆弱な実態を把握しておらず、執行責任者に対し、適切な指示等を行える態勢となっていない。
銀行持株会社である当社においては、当行を適切に経営管理していく必要があったが、当社自身に以下のガバナンス上の問題点が認められる。
業務執行を担う経営陣が、適切な資源配分を目指すという構造改革の真意を当社及び当行職員に浸透させられないまま構造改革を推進した結果、コストの最適化が強調され、IT現場の声を十分に拾いきれないまま、MINORIを安定稼働させるための人材の配置転換や維持メンテナンス費用の削減が実施されたという問題
取締役会において、構造改革に伴うシステムリスクに係る人員削減計画と業務量の状況について、十分に審議を行っていないという問題
執行責任者が、過去のシステム障害等も踏まえた危機管理を含む高度な専門性が求められるCIOの人選や候補者育成の指針となる人材像を明示的なものとして策定していなかったという問題。また、取締役会は、グループCEOや主要経営陣の候補者の人材像について十分な議論を行っていないという問題
リスク委員会が、トップリスク運営の導入に当たり「大規模なシステム障害」を選定し、選定したトップリスクに対するアクションの策定等が重要であることを提言したにもかかわらず、当社の執行部門において十分な対応がなされず、また、リスク委員会によるフォローもされていないという問題
監査委員会が、重点監査テーマとして「IT関連ガバナンス態勢」を設定したにもかかわらず、当社内部監査グループから改善提言無しとの報告を受けた際に、経営資源配分の適切性について調査・報告を求めるなど、具体的な指示を行っていないという問題
なお、当行及び当社は、令和３年２月及び３月に発生したシステム障害を受け、抜本的な再発防止に組織全体として取り組むとして、６月15日に再発防止策を公表しているが、８月及び９月にも４回のシステム障害を発生させ、これらの障害の発生原因の一部は当該再発防止策の点検範囲に含まれていなかったことなどを踏まえれば、当該再発防止策は限定的なものに留まっていた。
当庁としては、これらのシステム上、ガバナンス上の問題の真因は、以下の通りであると考えている。
（１）システムに係るリスクと専門性の軽視
（２）IT現場の実態軽視
（３）顧客影響に対する感度の欠如、営業現場の実態軽視
（４）言うべきことを言わない、言われたことだけしかしない姿勢
これらの真因の多くは、当行において発生させた平成14年及び平成23年のシステム障害においても通底する問題である。そのことからすれば、当行及び当社においては、システム障害が発生する度に対策を講じたとしても、過去の教訓を踏まえた取組みの中には継続されていないものがあるという点、あるいは環境変化への適切な対応が図られていないものがあるという点において、自浄作用が十分に機能しているとは認められない。
したがって、当行及び当社においては、
（１）システム障害に係る再発防止策（MINORI等の安定稼働に必要となるシステムリスク管理態勢の整備、システム障害が発生した場合であっても顧客影響を極小化するための対策を含み、さらに当社にあっては適切な資源配分に係る改善策を含む。）、
（２）システムの安定稼働等に必要となる経営管理（ガバナンス）態勢の整備に係る具体的な取組み、
（３）一連のシステム障害の真因として挙げたシステムに係るリスクと専門性の軽視、IT現場の実態軽視、顧客影響に対する感度の欠如や営業現場の実態軽視、言うべきことを言わない、言われたことだけしかしない姿勢といった企業風土を改め、各々の役職員が顧客影響に対する感度を高めていくなど、組織的行動力を強化し、行動様式を変革していくための具体的な取組み
に係る業務改善計画を策定（当社にあっては当行が策定する業務改善計画についての検証及び必要な見直しを含む。）し、これを速やかに実行するとともに、当該業務改善計画について継続的に再検証及び見直しを実施していく必要がある。
お問い合わせ先
金融庁 監督局 銀行第一課
Tel 03-3506-6000（代表）（内線3444、3328）
***
＞
＠2022/02/11
【#みずほ銀 でまた #ATM障害 約7時間後に復旧】
