MAS は、サードパーティのリスク管理に関するガイドライン案についてのフィードバックを求めています: Allen & Gledhill

ガバナンス、リスク管理、戦略

このガイドラインは、金融機関の理事会および上級管理職の責任を定めています。これらには、サードパーティサービスによる金融機関のリスクエクスポージャーについて金融機関全体の包括的な見解を提供するための適切なプロセスの確保と、そのようなリスクの評価と軽減を金融機関のリスク管理フレームワークに組み込むことが含まれる。 MAS は、金融機関が、オペレーショナルリスク管理およびサードパーティサービスプロバイダーの利用戦略に関する FI のより広範な枠組みと整合するサードパーティリスク管理フレームワークを確立することを期待します。さらに、FI は、他の関連戦略 (オペレーショナル リスク管理戦略やテクノロジー リスク管理戦略など) および全体的なリスク選好と一致するサードパーティのリスク管理戦略を持たなければなりません。このガイドラインは、FI の第三者リスク管理戦略がカバーすべき領域を定めています。

第三者協定のライフサイクル

ガイドラインは、第三者協定のライフサイクルの段階に関するガイダンスを提供します。

• リスクアセスメント： 金融機関は、リスクの種類とレベル、および第三者協定を通じて提供される潜在的なサービスの重要性を特定し、評価する必要があります。この評価は、FI が既存または新規のサービスプロバイダーと第三者協定を結ぶことを計画している場合、または協定に影響を与える大きな変更があった場合に実施されるべきであり、FI の第三者協定の承認、戦略計画、リスク管理、または内部統制レビューの一環として定期的に再実施されるべきである。ガイドラインは、金融機関がリスク評価の一環として評価すべき要素に関するガイダンスを提供します。
• 適当な注意： このガイドラインは、サービスプロバイダーの一般的な側面や顧客情報の保護など、金融機関がサービスプロバイダーに対してデューデリジェンスを実施する際にカバーできる領域を定めています。銀行およびマーチャントバンクは引き続き通知に基づく要件の対象となり、重要な継続的なアウトソーシング関連サービスに関して通知に定められたデューデリジェンスの頻度に従う必要があります。
• 契約: このガイドラインは、FI が含めるべき契約条項を含め、FI とサービスプロバイダーとの契約に対する MAS の期待を定めています。提案された契約条件には、既存の MAS の期待に加え、国際標準設定団体の関連出版物からの期待も組み込まれています。
• オンボーディングと継続的なモニタリング: このガイドラインは、金融機関が第三者協定を導入および監視するために講じるべき措置に関するガイダンスを提供します。 MAS は、金融機関、サービスプロバイダー、またはサービスの提供に影響を与える可能性のある外部環境に大きな変更があった場合を含め、金融機関が第三者協定のデューデリジェンスを定期的に実行することを提案しています。重要な第三者協定に対するデューデリジェンスを再実施する頻度は、FI の理事会によって承認され、協定によってもたらされるリスクに見合ったものでなければなりません。具体的には、重要な第三者協定の監査頻度は理事会によって承認され、関連するサービスの性質、範囲、複雑さ、協定によるリスクと金融機関への影響の性質と程度に見合ったものでなければならない。銀行およびマーチャントバンクは、引き続き重要な継続的なアウトソーシング関連サービスに関して通知に定められた監査頻度を含め、通知を遵守する必要があります。
• 終了： 金融機関は、さまざまな考えられる終了シナリオに対応するための終了計画を立てる必要があります。ガイドラインは、そのような計画で提供されるべき領域に関するガイダンスを提供します。このガイドラインはまた、FI が第三者との取り決めのためにサービスプロバイダー契約を終了するかどうかを検討すべきシナリオと、MAS が FI に契約の終了を指示する可能性がある状況についても規定しています。

下請け業者の使用

下請け業者の利用は FI のサプライチェーンに追加のリスクをもたらす可能性があるため、FI は下請け業者と直接の契約関係がない場合でも、そのようなリスクを管理する必要があります。可能であれば、重要な第三者協定におけるサービスプロバイダーからのリスクの金融機関の管理に関するガイドラインの期待は、重要な下請け業者からのリスクにも及ぶように読まれるべきである。

MAS は、金融機関が第三者協定の記録に、可能かつ実行可能な範囲で重要な下請け業者を含めることを提案しています。 FI は、可能であれば、重要な下請け業者との契約に先立ち、サービスプロバイダーが FI に書面で通知することが期待されます。

パススルー下請け、つまり、サービスプロバイダーが FI に提供するサービスのすべてまたは大部分を下請けするサービスプロバイダーと契約する FI を含む取り決めでは、FI と最終的なサービスプロバイダーの間に追加のレイヤーが導入されます。これにより、FI が効果的な監督を行う能力が弱まる可能性があるため、MAS は、FI が関連するリスクを評価し、緩和措置を導入し、効果的な監督を確保する必要があると提案している。

MASはさらに、重要な第三者との取り決めについて、金融機関はリスクに見合ったベストエフォートベースで、例えばサービスプロバイダー契約に適切な条項を盛り込んで重要な下請け業者に特定の契約要件を適用するなど、重要な下請け業者がサービスプロバイダーと同様の基準に確実に従うよう合理的な措置を講じるべきであると提案している。

逆境の展開

不利な展開の際には、サービスプロバイダーは包括的かつタイムリーな情報を提供することで MAS に協力することが期待されます。協力レベルが不足している場合、MAS はさらなる措置を検討し、ひどい場合には、金融機関に対し、サービスプロバイダーとの取り決めを終了するか更新しないよう要求することになる。

免除されるサービス

アウトソーシングに関する既存の通知およびガイドラインの下では、金融機関は、「免除サービス」の利用に関して、アウトソーシングに関する MAS 要件および期待の対象にはなりません。免除されるサービスには、政府技術庁 (GovTech) またはその代理店によって完全に提供されるサービスと、その機関の金融業務の遂行のために実行されないサービス (清掃や園芸など) が含まれます。 MAS は、免除サービスを取得または受け取る FI が免除サービスに関して提案されたガイドラインの期待に従う必要がないように、ガイドライン案に「免除サービス」の網羅的なリストを保持することを提案しています。

MAS はさらに、FI による金融市場インフラの使用を提案しています (「FMIこれは、金融機関による FMI と公共料金の使用をガイドラインの期待に従うことの実際的な課題を認識しています。

それにもかかわらず、免除されたサービスの利用は依然として金融機関に重大なリスクをもたらす可能性があり、金融機関はそのようなサービスの利用から生じるリスクを管理するための適切な措置を講じることが期待されています。 FI は、免除されたサービスの使用によるリスクに対処するために、適切な事業継続対策とインシデント対応計画 (例: FI 機密情報の中断または漏洩時など) を備えている必要があります。

移行期間

MAS は、ガイドラインに基づいて定められた期待に応えるためのサードパーティサービス契約の更新など、必要な取り決めを行うための移行期間を金融機関に与えるため、ガイドライン案は発行日から 6 か月後に発効することを提案している。

参考資料