金融系システムのシステムリスクについてのセミナーに行ってきました

今日はISACAの月例会に参加した。テーマはシステムリスク総点検についてという内容で、主に金融機関を対象としたシステムリスク（システムのダウンや誤作動など、システムの不備、あるいはコンピュータの不正利用によって金融機関が損失を被むるリスク）についての総点検を金融庁が各金融団体に対して要請した（※１）こと、およびその結果（※２）を基にした内容であった。内容の説明は各ホームページに書かれているが、取り組みレベルは機関によりまちまちで、外国銀行やその他銀行、信用金庫、信用組合についてはまだまだ改善の余地があるとの結論だったようです。
この中で話が出ていたのがリスクが見過ごされるケースについてである。誰かが気づいてはいたが、エスカレーションのルートがない、そんなことはあり得ない等の思いこみ、誤った判断、形骸化したアセスメント等によってリスクが見過ごされるというもの。
特に形骸化したアセスメントを実施というところはいろんなところに当てはまるように思えた。目的が明確でない場合などはこの傾向が強くなるであろうとの氏の説明に納得してしまった。
そんな話を聞いていたらふと以前聞いたたとえ話を思い出した。
ある子供の母が魚料理を作るときに必ず魚を半分に切ってから鍋に入れていたのだそうだ。母は「おばあちゃんがやっていたから」という以上の理由は説明できなかったのだそうである。その子はおばあちゃんにあった時になぜ魚を半分にしていたのかを聞いたのだそうだ。すると「なんでって？そりゃ魚が大きくってオーブンに入んないから二つに分けたんだよ」ということであった。
こんな逸話と同じようなことが今でも横行しているように感じる。とくに手順を誤らないように仕事の手順をマニュアルとしてきっちり整備し、理由を知らないままに運用する場合には当てはまるように感じた。
このままで大丈夫なのか心配に感じたひと時であった。

（※１）金融機関におけるシステムリスクの総点検について（http://www.fsa.go.jp/news/23/ginkou/20110708-4.html）
（※２）金融機関におけるシステムリスクの総点検の結果について（http://www.fsa.go.jp/news/23/ginkou/20120120-1.html）