UK PS21/3 金融サービス企業向けオペレーショナル・レジリエンス要件

金融サービス機関は、オペレーショナル・レジリエンス（業務の回復力）に関してかつてない規制要件に直面しています。英国の監督政策PS21/3は、従来の事業継続計画をはるかに超える包括的な枠組みを確立しています。金融行為規制機関（FCA）および健全性監督機構（PRA）が共同で発表し、イングランド銀行の補完的要件とともに策定されたPS21/3は、2025年3月までの完全な遵守を求めており、深刻な業務障害にも耐えうる包括的なガバナンス、リスク管理、コンプライアンス（GRC）体制を構築することを求めています。

この政策は、企業に対し業務上の依存関係の可視化、明確な責任体制の確立、そして組織全体のオペレーショナル・エコシステムにわたる測定可能なレジリエンス能力の証明という拘束力のある義務を課しています。従来の規制アプローチとは異なり、PS21/3は複数の同時発生的な障害に直面しても重要なサービスを維持できることを証明することを企業に求めています。

本分析では、金融サービス企業が規制コンプライアンスの期待を満たしつつ、実際の事業継続能力を強化するために必要な、主要要件、導入上の課題、運用戦略を検証します。

エグゼクティブサマリー

PS21/3のオペレーショナル・レジリエンス要件は、金融サービス企業が事業継続やセキュリティリスク管理に取り組む姿勢に根本的な変化をもたらします。単なる災害復旧にとどまらず、重要なビジネスサービスの特定、測定可能なインパクト許容値の設定、深刻な障害時にも業務を維持できるガバナンス体制の構築など、包括的なプログラムが求められます。企業は、複数の同時発生的な業務上の課題に直面しても、顧客へのサービス提供や市場義務の履行を継続できることを証明しなければなりません。そのためには、依存関係の体系的な可視化、堅牢なサードパーティリスク管理、現実的なストレスシナリオ下でレジリエンス仮定を検証する継続的なテストプログラムが必要です。これらの要件は、従来のIT継続性を超えて、業務プロセス、スタッフの可用性、物理的インフラ、サービス提供に影響を与える外部依存関係までを網羅します。

主なポイント

1. 重要サービスの特定。PS21/3は、依存関係の可視化とインパクト許容値の設定を通じて、重要なビジネスサービスを体系的に特定・優先順位付けすることを企業に求めています。
2. 測定可能なインパクト許容値。企業は、障害発生時に明確なエスカレーション手順を発動する定量的なサービス劣化の閾値を設定しなければなりません。
3. 拡張されたガバナンス体制。責任は経営層から現場チームまで及び、意思決定の記録や定期的なテスト手順が文書化されている必要があります。
4. サードパーティリスク管理。サードパーティリスク管理（TPRM）が中核となり、外部サービス依存に対する継続的な評価・監視・代替策の確保が求められます。

重要ビジネスサービス特定の理解

金融サービス企業は、PS21/3要件の下で、重要なビジネスサービスを特定・分類するための体系的な手法を確立しなければなりません。このプロセスは、顧客向けサービスだけでなく、サポート機能、市場業務、規制報告など、企業の義務履行を支えるあらゆる機能を含みます。

特定プロセスでは、顧客や市場への影響という観点から、業務全体のエコシステムを検証する必要があります。重要サービスには、決済処理、融資業務、投資運用、カストディ業務、市場形成活動などが一般的に含まれますが、具体的な分類は各企業のビジネスモデルや市場での役割によって異なります。

企業は、各サービス分類の根拠を文書化し、なぜ特定の機能が組織運営上「重要」とみなされるのかを示す明確な基準を設定する必要があります。この文書化は監督当局によるレビュー時に不可欠であり、異なる事業領域間でレジリエンス基準を一貫して適用する助けとなります。

依存関係の可視化と相互接続分析

効果的な重要サービス特定には、技術システム、サードパーティプロバイダー、スタッフ機能、物理的インフラ、規制上の接続など、業務上の依存関係を包括的に可視化することが必要です。これらの依存関係は、しばしば複雑な相互接続の網を形成し、一見無関係な事業領域にも障害の影響を波及させる可能性があります。

技術面の依存関係は、基幹アプリケーションだけでなく、データセンター、ネットワーク接続、セキュリティシステム、クラウドサービスなど、重要業務を支えるあらゆるIT基盤に及びます。企業は、これらのシステムがどのように相互接続しているかを把握し、複数のビジネスサービスに波及しうる単一障害点を特定する必要があります。

サードパーティ依存は、PS21/3の下で特に重視されます。外部サービスの障害は、企業が重要サービスを維持する能力に直接影響を及ぼすためです。これには、アウトソーシング機能、テクノロジーサプライヤー、市場インフラプロバイダー、業務継続を支えるユーティリティなどが含まれます。

インパクト許容値フレームワークの構築

インパクト許容値の設定は、PS21/3導入における最も難易度の高い側面の一つであり、企業はサービス障害が許容できないと判断される測定可能な閾値を定義しなければなりません。これらの許容値は、恣意的な技術指標ではなく、実際のビジネスインパクトを反映する必要があります。

効果的なインパクト許容値は、サービス可用性、処理能力、顧客体験、市場への影響など、複数の側面を組み合わせて設定されます。例えば、決済処理サービスであれば、取引件数、処理遅延、顧客アクセスの時間枠など、実際の事業継続要件を反映した許容値が設定されます。

企業は、インパクト許容値が顧客の期待、規制義務、市場でのコミットメントと整合していることを確認しなければなりません。そのためには、契約上の義務、サービスレベル合意（SLA）、規制上の締切など、業務障害時に影響を受ける可能性のある要素を慎重に分析する必要があります。

定量的指標とエスカレーション手順

インパクト許容値フレームワークには、明確なエスカレーショントリガーとなる定量的指標が必要です。これらの指標は、危機時にも測定可能であり、技術的パフォーマンス指標ではなく、実際の業務インパクトを反映していなければなりません。

処理量の許容値では、最小取引スループット、最大処理遅延、許容エラー率などが設定され、特定の対応手順の発動条件となります。顧客アクセスの許容値では、最大システムダウンタイム、許容待ち行列長、最小サービス可用性時間帯などが定義されることがあります。

エスカレーション手順には、明確な意思決定ポイント、コミュニケーション要件、リソース配分トリガーなどが規定され、サービスがインパクト許容値に近づいた際に発動します。これらの手順は、危機時にも迅速な対応を可能にしつつ、適切なガバナンス監督を維持することを目的としています。

ガバナンスと責任体制

PS21/3は、オペレーショナル・レジリエンスが経営層の適切な関与を受けつつ、障害時には効果的な現場対応が可能となるガバナンス体制の確立を求めています。これらの体制は、戦略的な監督と現場の柔軟性のバランスが必要です。

取締役会レベルのガバナンスには、レジリエンスプログラムの有効性に関する定期的な報告、重要サービス分類の定期的な見直し、インパクト許容値フレームワークの重要な変更の承認などが含まれます。経営層は、レジリエンス計画への積極的な関与と、プログラム成果に対する明確な責任を示す必要があります。

現場のガバナンス体制は、障害発生時にも迅速な意思決定を可能にしつつ、適切な統制と文書化を維持する必要があります。これには、明確なエスカレーション手順、コミュニケーションプロトコル、ストレス下でも機能する意思決定権限の明確化などが含まれます。

部門横断的な連携とコミュニケーション

効果的なオペレーショナル・レジリエンスのガバナンスには、リスク管理、事業継続、技術運用、ビジネスマネジメントなど、従来は分断されていた機能間の連携が不可欠です。これらの機能は、計画段階・対応段階のいずれにおいてもシームレスに連携する必要があります。

コミュニケーション体制は、障害発生時に迅速な情報共有を可能にしつつ、情報過多や矛盾した指示を回避する必要があります。通常、明確なコミュニケーション階層、事前定義されたメッセージテンプレート、危機時にも機能するチャネルの確立が求められます。

定期的な連携会議、部門横断的な演習、共同計画セッションなどを通じて、各機能が自らの役割を理解し、実際の障害発生時にも効果的に連携できる体制を構築します。

サードパーティリスク管理とアウトソーシング監督

サードパーティリスク管理は、PS21/3の下でオペレーショナル・レジリエンスの要となり、重要ビジネスサービスに影響を与えうる外部サービスプロバイダーへの依存を評価・監視・管理することが求められます。これは従来のベンダーリスク管理を超え、包括的なレジリエンス評価を含みます。

企業は、サードパーティプロバイダー自身のオペレーショナル・レジリエンス能力（事業継続計画、冗長化体制、危機管理手順など）を評価し、さまざまな障害シナリオ下でサービスを維持できるかを確認する必要があります。

契約上の取り決めには、サービスレベル要件、レジリエンス基準、通知義務などが明記され、企業のインパクト許容値フレームワークと整合している必要があります。プロバイダーには、テスト・報告・定期的な評価を通じてレジリエンス能力を証明することが求められます。

集中リスクと代替策の確保

集中リスク分析により、複数の重要サービスが同一サードパーティプロバイダーに依存している場合や、代替プロバイダー間で共通の依存関係がある場合など、障害の影響が拡大するシステミックな脆弱性を特定します。

代替策の計画には、主要サードパーティプロバイダーに障害が発生した際に重要サービスを維持するための現実的な選択肢（バックアッププロバイダー、自社内対応能力、代替サービス提供手段など）の構築が含まれます。

代替策の定期的なテストにより、これらの選択肢が実際に有効であり、必要時に迅速に発動できることを確認します。テストには、コミュニケーション手順、データ転送プロセス、業務引継ぎ要件など、危機時の円滑な移行を可能にする要素が含まれます。

テストとシナリオプランニング要件

PS21/3の下では、従来の定期的な事業継続演習に代わり、継続的なテストとシナリオプランニングが求められます。企業はレジリエンス仮定を定期的に検証し、テスト結果に基づいてプログラムを適応させなければなりません。テストは、単一システム障害ではなく、現実的な障害シナリオを検証する必要があります。

シナリオ開発では、複数の同時発生的な障害、連鎖的な障害モード、長期化するイベントなど、企業のレジリエンス能力を試す現実的なリスク環境を想定します。シナリオは、障害特性に関する楽観的な前提ではなく、実際のリスクを反映する必要があります。

テストプログラムでは、技術的な復旧能力だけでなく、人間による対応の有効性（意思決定プロセス、コミュニケーションシステム、連携メカニズムなど）も検証します。定期的なテストにより、重大な脆弱性となる前に能力ギャップを特定できます。

継続的改善と適応的対応

テスト結果は、レジリエンス能力の継続的な改善につなげる必要があり、企業は得られた知見やリスク環境の変化に応じてプログラムを適応させます。そのためには、テストで得られた知見の体系的な収集と、構造化された改善計画プロセスが必要です。

適応的な対応能力により、企業は新たな脅威、ビジネスモデルの変化、規制要件の進化に応じてレジリエンス戦略を柔軟に修正できます。この柔軟性が、業務環境が進化し続ける中でもレジリエンスプログラムの有効性を維持する鍵となります。

定期的なプログラムレビューでは、現行のレジリエンス体制の有効性を検証し、改善の機会を特定します。これらのレビューは、社内テスト結果だけでなく、外部イベントから得られる潜在的な脆弱性や改善機会も考慮します。

結論

PS21/3は、英国の金融サービス企業におけるレジリエンスの考え方を一新し、従来の事業継続計画をはるかに超える取り組みを求めています。遵守に成功している企業には、重要ビジネスサービスの体系的な特定と優先順位付け、明確なエスカレーショントリガーを伴う測定可能なインパクト許容値の設定、取締役会から現場チームまでのガバナンスと責任体制の拡張、サードパーティリスク管理をレジリエンスの中核と位置付ける姿勢、そして一度きりの継続性テストではなく継続的かつシナリオベースの検証への移行という5つの共通点があります。

これらの要件を総合すると、オペレーショナル・レジリエンスはもはやITや災害復旧の一機能ではありません。今や技術、スタッフ、物理インフラ、外部依存関係にまで及ぶ全社的な取り組みとなっており、英国の金融サービス企業はFCAやPRAに対して、単一時点の評価だけでなく継続的にその体制を証明できなければなりません。EU市場でも事業を展開する企業にとっては、PS21/3がEUのデジタル・オペレーショナル・レジリエンス法（DORA）と共通点を持つ一方で、英国のEU離脱後は両者が別個に執行される義務である点にも留意が必要です。

Kiteworksプライベートデータネットワーク

オペレーショナル・レジリエンスプログラムには、膨大なデータフロー、システム間の相互接続、サードパーティとの関係が不可避であり、機密情報に対する攻撃対象領域が拡大します。金融サービス企業は、レジリエンス強化の過程で、顧客データや取引記録、業務上の機密情報のセキュリティ体制が損なわれないよう確保しなければなりません。

Kiteworksプライベートデータネットワークは、オペレーショナル・レジリエンス実装全体でデータプライバシーを維持するための基盤インフラを提供します。このプラットフォームは、FIPS 140-3認証済み暗号化とTLS 1.3によるレジリエンス関連通信の全データ移動の保護、FedRAMP High-ready認証アーキテクチャの採用、改ざん防止の監査ログによるコンプライアンス証明、そして通常時・危機対応時のデータアクセスに対するゼロトラスト・アーキテクチャ検証を実現します。

Kiteworksは、オペレーショナル・レジリエンスプログラムを支える既存のSIEM、SOAR、ITSMワークフローと直接連携し、障害シナリオ下でリスク状況に自動適応するデータ認識型セキュリティ制御を提供します。この統合により、レジリエンス強化が全体のセキュリティ体制を損なうことなく、PS21/3準拠の証明に必要な包括的な監査証跡の文書化も維持できます。

PS21/3コンプライアンス体制の強化を目指す英国の金融サービス企業は、Kiteworksプライベートデータネットワークがオペレーショナル・レジリエンスプログラムをどのように支援するかをご覧いただけます。カスタムデモを予約し、統合型データセキュリティ制御の実際をご体験ください。