金融機関の基幹システム移行プロジェクトにおけるリスク管理の着目点 1. はじめに以前は、ほとんどの地銀が自前で事務センターを構え、ホストコンピューターを設置し、自ら預金、融資、為替といった銀行の主要業務を支える勘定系基幹システムの開発・運用を行っていました。 2000年を過ぎたあたりから、大手コンピューターメーカーやソフトウェア開発会社を中心にシステム関連業務をアウトソーシング（外部委託）する動きが活発化すると同時に、複数地銀がグループを作ってシステム開発やシステム運用を共同でアウトソーシングする「システム共同化」も始まりました。また、保険・証券等の銀行以外の業態においても、基幹系システムを他システムへ移行する、あるいはASPサービスを利用する動きが活発化しています。 2. システム移行プロジェクトのリスク管理システム共同化をはじめとする勘定系基幹システム移行プロジェクトに対するシステム外部監査を数多く実施してきた経験からリスク管理の着目点をいくつかご紹介させていただきます。プロジェクト運営に係るリスク管理金融機関の基幹システム移行プロジェクトは、一般的に長期間に亘る上、システム開発部門のみならず、下記のような様々な組織が参加することになります。 ► ユーザー部門・事務部門、顧客対応部門、広報部門 ► 移行前後システムのメーカーやソフトウェア開発会社 ► 関連サブシステム所管部門、関連サブシステムの委託先会社 ► 対外接続機関の関連部門従いまして、これら関連組織全てに関する進捗管理、問題・課題管理、要員管理、経営陣への定期的な報告、予算管理がリスク管理上重要となります。通常、基本計画（関連作業全てを網羅したマスタースケジュール）・実行計画（基本計画の下位に相当するもの）を策定し、これに基づき進捗状況を把握・管理することとなりますが、例えば次のような点がポイントとなります。 ► ► ► ► 基本計画には、業務・事務対応、顧客対応、外部機関とのテスト等、主要な作業項目全てが網羅されていること開発の各工程（要件定義、設計、開発、テスト等）が把握できること主要イベント（データ移行テスト、全店リハーサル、システム停止、移行判定等）が全て網羅されていること相互依存関係/クリティカルパスが分かるように記載されていること、等プロジェクト運営に係るリスク管理では、例えば次のような不十分な事例が見受けられます。 ► ► ► ► 2 基本計画書の変更手続（重要事項の変更は取締役会承認、軽微な変更は各種委員会承認等）が明確でなく、期限延長が委員会報告のみで済まされている計画対比実績が把握できる記載となっていない（例：上段に計画、下段に実績を記入する様式とする）実行計画書の詳細作業項目が重要度付け（ウェイト付、大/中/小）されてなく全ての項目に同じようなリソース配分がなされている主要な作業項目（フォールバックプラン作成、移行判定基準書作成等）が線表化されていない、等システム開発に係るリスク管理金融機関の基幹システム移行プロジェクトは、小規模システム開発案件とは異なり、カットオーバーまでに次のような数多くの作業項目も必要となるため、システム開発に伴うリスクは極めて高くなります。 ► 新システム（含むパッケージシステム）のカスタマイズ ► 勘定データ、顧客データ等元帳のデータ移行作業 ► データ移行試験 ► 移行リハーサル ► 総合運転試験 ► 対外機関との接続試験 ► 口振/給振/総振等の取引先とのテスト ► 全店テスト ► フォールバック訓練、等一般的にはプロジェクトの初期段階（要件定義段階）で新システムと現行システムの機能の差異をしっかりと分析し、顧客の利便性を十分に考慮しつつ、例えば、次のような分類分けを行った上で、商品・サービス内容に関する対応方針を決定することとなります。 ► 修正開発無しでそのまま引き継ぐことが可能なもの ► 新システムを修正（カスタマイズ）して引き継ぐべきもの ► 新システムに新たに開発を行うべきもの ► 新システムには機能無く（あるいは不十分）、顧客影響軽微のため、廃止するものこの分類分けの結果は、その後の開発規模や顧客・事務対応に大きく影響を与えるため、システム開発部門のみならず、関係各部署と十分協議を重ねた上で、経営判断を仰ぐことが求められます。要件定義の結果を受け、基幹システム移行プロジェクトの基本計画・実行計画が固まることとなりますが、その後の工程で留意すべきリスク管理上のポイントとして例えば次のようなものがあります。 ► 新旧2つのシステムへの開発負担軽減と不整合に伴うシステムトラブルを避けるために重要な制度対応を除いた「現行（旧）システムの開発凍結」&開発凍結後におけるシステム仕様変更承認ルール化 ► 改造の多い機能に対する重点的・優先的な検証 ► 新システムへの現行（旧）システムからの追っ掛け反映の最小限化とルール化 ► 次工程へ進むための判定基準（クライテリア）の明確化 ► 移行データ検証ツールの整備と品質評価の徹底 ► 特殊明細（移行不可能取引、特定項目移行不可能等）の明確化と事前・事後の対応方法明確化 ► データ移行試験の適切な回数と実施時期の設定 ► 移行リハーサルの適切な回数と実施時期の設定 ► 移行前に旧システムへデータ修正しなければならい取引の明確化 ► 移行日を跨ぐ特殊作業・事務処理の早期明確化 ► 重要サブシステムとの連携テスト、等金融機関の基幹システム移行プロジェクトにおけるリスク管理の着目点システム開発に係るリスク管理では、例えば次のような不十分な事例が見受けられます。 ► ► ► ► 新システム開発機能凍結後の仕様変更が適切なプロセス・ルールに基づいて実施されていない開発途上の品質（未解決残障害）状況を踏まえたその後のスケジュール遵守見込が十分には検証されていない作業項目総数と完了総数の報告に留まり、週別の計画対実績となっていないことから、当初計画通り進捗しているのか、遅延が発生しているのか判断がつかないサブシステムの開発進捗状況の把握が不十分であり、基幹システムとのインターフェーステストスケジュールに影響を与える可能性がある ► 対外機関との接続試験日程調整状況の把握が不十分である ► フォールバック時の作業項目（チェックリスト）が作られていない ► メーカーやソフトウェア開発会社等との役割分担が不明確なまま進められている ► 次工程へ進むための判定基準（クライテリア）が不明確である ► 品質評価基準が不明確（バグの収束状況等の評価がない等）である顧客対応に係るリスク管理商品・サービスが変更されることに伴い、様々な顧客対応が必要となります。一方、口座振替、給与振込、総合振込等の取引先とのデータ授受を行っている部分に関しては、基幹システムが変更となるため、商品・サービスの変更有無とは無関係に問題がないことを予め十分なテストを行っておく必要があります。基幹システムの移行に伴い、次のような事項が想定されます。 ► 従来から取り扱ってきた商品やサービス内容が変更となる ► 商品売り止めにより、顧客に事前に解約をお願いしなければならない ► ► ► ► 共同化対象の他金融機関が先行開発している場合、先行開発金融機関側の遅延の影響を把握していない、等一部の通帳やキャッシュカードが使えなくなるため、事前の交換が必要となる商品・サービス内容に大きな変更はないものの、利息計算方法等の細かな部分が変更となるため、予め該当顧客に説明が必要となる顧客への周知・応対として、例えば次のような方法が考えられます。 ► 重要先・大口顧客への営業職員訪問による個別説明 ► ダイレクトメールによる周知 ► 店内のポスターの掲示 ► ホームページへの掲載 ► パンフレットの配布 ► マスコミ（テレビ、新聞、ラジオ等）でのATM停止の告知 ► 問い合わせ窓口の設置、担当者用Q&A集の準備顧客対応に係るリスク管理では、例えば次のような不十分な事例が見受けられます。 ► 商品・サービスの廃止・変更に伴う顧客説明・交渉の実施状況を一元的に把握・管理する態勢が不十分である（金融機関として一元管理されていない） ► 移行前（カットオーバー前）の顧客宛依頼作業の進捗状況に応じた適切な対処が検討されていない（例：放置しておくと移行直後に営業店側の混乱が想定されるケースで具体的なアクションについて経営陣を交えて検討されていない等） ► 移行に伴う顧客宛依頼作業や顧客からのクレームに関するリーガル面からの検討が不十分である切替・移行作業（あるいはこれに加えて全店リハーサル等）のために休日ATMを停止させる必要がある、等顧客対応において留意すべきリスク管理上のポイントとして例えば次のようなものがあります。 ► 顧客対応項目一覧化（一覧表の作成）とタイムリーな進捗状況把握 ► カードや通帳の差替の要否、媒体試験など、対応ボリュームとスケジュール等が明確化された上での進捗管理金融機関の基幹システム移行プロジェクトにおけるリスク管理の着目点 3 業務・事務変更に係るリスク管理利用する基幹システムが変更となるため、ユーザー画面、操作方法、事務処理手続や伝票・原票等も合わせて変更となることが想定され、次のような作業項目が必要となることが想定されます。 ► 変更前後の事務手続・処理フロー等相違点の整理と関係者への周知 ► 営業店および本部の社員・職員・行員のための研修 ► オンライン端末を使って操作を行う集合研修 ► 研修テキストを使った自習・集合研修 ► 研修用システム環境を利用したオンライン打鍵練習 ► 事務習熟度の把握方法の早期明確化 ► 営業店、本部各部利用の還元帳票の検証 ► 組織全体の研修計画・スケジュール表の作成とタイムリーな進捗状況把握 ► 変更前後の特殊事務処理の整理と作業進捗管理 ► 重要度（事務処理頻度の高いものを優先する）を付けた研修機会の提供、等基幹システム変更直後の業務・事務に混乱が生じないよう、利用者に対して業務・事務をしっかりと習熟させることが求められますので、例えば次のような工夫を凝らした客観的な業務・事務の習熟度の把握が重要となります。 ► 行員への事務習熟度アンケートによる把握 ► 定期的な理解度テストの実施 ► 全店テストでの打鍵エラー率の把握 ► テストシナリオの処理時間の計測 ► 習熟度指標の整備と管理職による個人別習熟度判定業務・事務に係るリスク管理では、例えば次のような不十分な事例が見受けられます。 ► 移行後システムを前提とした業務量・事務量の予測・分析が早い段階で行われていない ► 営業店側から見た作業・対応項目が一覧化されておらず、各所管部署から個々の依頼通達が発信されているのみとなっており、全体が鳥瞰できない ► ► 出力帳票別の調整中・調整未済・調整結果（採否）など、関連各部との調整状況が一元管理されていないカットオーバー直前の約1ヶ月間は、各種準備作業による多忙を理由に研修が行われない計画となっているその他最終的なシステム変更を判断するためには、移行判定基準とプロセスを予め明確にした上で、しかるべき会議体（通常、取締役会、理事会等）で承認されていることが求められます。この移行判定基準・プロセスを決める上で次の点が重要となります。 ► システムの品質のみならず、顧客対応面、業務・事務品質面、その他事項（対外報告・連絡・届出・申請、各種事務用品等準備等）も判定されるよう留意する ► 移行リハーサル・営業店試験等共通的なイベントや重要なサブシステムに関しては網羅する ► 項目毎に1次判定（最初に判定する）責任部署を明確にする ► 総合運転試験等、判定時点では途中段階になることが明らかであるものは、進捗率（○○%完了していること、○○項目中△△が完了していること等）を予め明確にするその他のリスク管理面では、例えば次のような不十分な事例が見受けられます。 ► サブシステムの移行作業タイムチャートが作成されていない ► 開発委託先要員のスキル・経験（システム開発経験、金融機関業務知識等）に関して全く把握していない ► 「外字」不使用による影響・対応方針について明確にしていない以 4 金融機関の基幹システム移行プロジェクトにおけるリスク管理の着目点上 Ernst & Young ShinNihon LLC お問い合わせ先新日本有限責任監査法人｜金融アドバイザリー部｜プリンシパル藤森一弘 Tel: 03 3503 1138 [email protected] 新日本有限責任監査法人｜金融アドバイザリー部｜シニアマネージャー渡邊慎一 Tel: 03 3503 1138 [email protected] 新日本有限責任監査法人｜金融アドバイザリー部｜マネージャー山内啓 Tel: 03 3503 1138 [email protected] アーンスト・アンド・ヤングについてアーンスト・アンド・ヤングは、アシュアランス、税務、トランザクションおよびアドバイザリーサービスの分野における世界的なリーダーです。全世界の16万 7千人の構成員は、共通のバリュー（価値観）に基づいて、品質において徹底した責任を果します。私どもは、クライアント、構成員、そして社会の可能性の実現に向けて、プラスの変化をもたらすよう支援します。「アーンスト・アンド・ヤング」とは、アーンスト・アンド・ヤング・グローバル・リミテッドのメンバーファームで構成されるグローバル・ネットワークを指し、各メンバーファームは法的に独立した組織です。アーンスト・アンド・ヤング・グローバル・リミテッドは、英国の保証有限責任会社であり、顧客サービスは提供していません。詳しくは、www.ey.com にて紹介しています。新日本有限責任監査法人について新日本有限責任監査法人は、アーンスト・アンド・ヤングのメンバーファームです。全国に拠点を持ち、日本最大級の人員を擁する監査法人業界のリーダーです。品質を最優先に、監査および保証業務をはじめ、各種財務関連アドバイザリーサービスなどを提供しています。アーンスト・アンド・ヤングのグローバル・ネットワークを通じて、日本を取り巻く世界経済、社会における資本市場への信任を確保し、その機能を向上するため、可能性の実現を追求します。詳しくは、www.shinnihon.or.jp にて紹介しています。アーンスト・アンド・ヤング FSO（日本エリア）についてアーンスト・アンド・ヤングフィナンシャル・サービス・オフィス（FSO）は、競争激化と規制強化の流れの中で様々な要望に応えることが求められている銀行業、証券業、保険業、アセットマネジメントなどの金融サービス業に特化するため、それぞれの業務に精通した約3万5千人の職業的専門家をグローバルに有しています。また、各業界の規制動向を予測し、潜在的な課題に対する見解を提示するため、業種別にグローバル・ナレッジ・センターを設け、規制動向の収集や業界分析を行っています。アーンスト・アンド・ヤング FSO（日本エリア）は、グローバル・ネットワークと連携して、約1300人の金融サービス業に精通した職業的専門家が一貫して高品質なサービスを提供しています。 © 2012 Ernst & Young ShinNihon LLC. All Rights Reserved. 本書又は本書に含まれる資料は、一定の編集を経た要約形式の情報を掲載するものです。したがって、本書又は本書に含まれる資料のご利用は一般的な参考目的の利用に限られるものとし、特定の目的を前提とした利用、詳細な調査への代用、専門的な判断の材料としてのご利用等はしないでください。本書又は本書に含まれる資料について、新日本有限責任監査法人を含むアーンスト・アンド・ヤングの他のいかなるグローバル・ネットワークのメンバーも、その内容の正確性、完全性、目的適合性その他いかなる点についてもこれを保証するものではなく、本書又は本書に含まれる資料に基づいた行動又は行動をしないことにより発生したいかなる損害についても一切の責任を負いません。