0%
 

オペレーショナルリスク入門(ERMTP基礎編)へようこそ

コースの操作に関するヒント

「メニュー」ボタンをクリックすると、各セクションにアクセスできます。

各セクションの最後にある「ホーム」ボタンをクリックすると、コースのスタート地点に移動します。

「リソース」ボタンをクリックすると、役に立つリンクのリストが表示されます。

「言語の切り替え」ボタンを使うと、異なる言語に切り替えることができます。

「閉じる」ボタンをクリックすると、トレーニングセッションが終了し、コースウィンドウが閉じます。

インターネット経由で直接(Citiネットワークの外部)個人のデバイスからコースにアクセスしている場合、一部のリンクはCitiのネットワーク内の内容にリンクしていると機能しない場合があります。このような場合でも、コースを修了する上では影響はありません。

CitiのEnterprise Risk Management Training Program

Enterprise Risk Management Training Program Risk and Controls Policyに関する知識 一般的なリスクおよびコントロールスキル 特殊なリスクおよびコントロールスキル

なぜこのコースが必要なのか?

このコースは、リスクおよびコントロールの責任に対する理解力の向上を目指す一連の内容となっており、CitiのEnterprise Risk Management Training Program(ERMTP)の一環として行われます。

なぜ今なのか?

Enterprise Risk Management Framework(ERMF)は、Citiのリスク管理の基準となるものです。CitiにおけるEnterprise Risk Management Framework(ERMF)サポート機能の一環として、私たちはCitiのスタッフ全員が日常的なリスクおよびコントロールに関する責任を果たせるよう知識とトレーニングの提供に尽力しています。

なぜこれが私たちに必要なのか?

Citiでは、リスク管理は全従業員が担う責務です。私たち全員がリスク管理者です。Citiの事業にリスクはつきものであり、回避することができません。全員が警戒を怠らず、一貫して、かつ適切な法律と規制の遵守を含む説明責任を伴う形で、リスクを管理しなければなりません。

どのようなメリットがあるのか?

あらゆる防衛線にまたがるリスクおよびコントロールポリシーの知識、役割、責任に関する意識向上および一貫性ある理解力を得ることができます。

ERMF入門


ERMFは、全社的なリスク管理に対する包括的で統合的、かつ一貫性あるアプローチを定めています。

このトレーニングでは、特に、ERMFのピラー3(リスク管理)におけるオペレーショナルリスクに焦点を当てていきます。

CitiにおけるERMフレームワークの4つのピラー。
ピラー1:文化には、価値観、行動、リーダーシップ原則、そしてパフォーマンス管理が含まれます。
ピラー2:ガバナンスには、取締役会とマネジメント、取締役会による監督、委任、経営管理、委員会とエスカレーション、防衛線、そしてポリシー・基準・手順が含まれます。
ピラー3:リスク管理では、リスク管理ライフサイクル(識別・測定・監視・コントロール・報告)、財務リスク(クレジット、マーケット(取引)、マーケット(取引以外)、流動性)、そして非財務リスク(運営、コンプライアンス、戦略、評判)を扱います。
ピラー4:エンタープライズプログラムでは、企業のリスク特定、リスクアペタイトおよび上限、ストレステスト、戦略的プランニング、そして新規アクティビティの承認を扱います。
サポート機能は以下の通りです。人材・パフォーマンス管理および報酬、コミュニケーションおよびトレーニング、テクノロジーおよびデータ、モデルおよびアナリティクス。

コースの学習目標

このコースを修了すると、以下のことができるようになります。

  • オペレーショナルリスクを定義する
  • Citiのすべてのスタッフにとってのオペレーショナルリスクの意味、そしてそのリスクを緩和するべくスタッフの責任を認識する

修了基準

このコースには最終確認テストが含まれています。確認テストに合格してこのトレーニングの履修単位を受け取るには、80%以上のスコアが必要です。

このコースには、任意のテストも含まれています。合格すると、コース内容と最終確認テストをスキップして修了の履修単位を取得できます。

希望する場合は、このテストをスキップしてコース内容にそのまま進むことができます。

オペレーショナルリスクについて理解する

オペレーショナルリスクとは何か

この最初のシナリオでは、カフェテリアの列で一緒になった2人の行員が、たまたまオペレーショナルリスクについて会話を交わすことになりました。Maryは、リスク分野には直接関わらない従業員ですが、Johnはオペレーショナルリスクマネージャーを務めています。

先に進むには、右にある矢印を選択して、詳しく見ていきましょう

 

オペレーショナルリスクについて知る

Mary: 「こんにちは、Maryです。あなたの所属部署はどこですか?」
John: 「こんにちは、Mary。私は、オペレーショナルリスクマネジメントに所属しているJohnです。」
Mary: 「オペレーショナルリスクとは何ですか? 単なるリスクと同じなんでしょうか?」
John: 「説明してあげましょう。」

 

オペレーショナルリスクとは何でしょうか?

John: 「一言でいうと、リスクとは、何らかの価値あるものを失う可能性のことですが、オペレーショナルリスクとは具体的に、社内プロセス、人員、システムが不適切または機能不全であることによって生じる、もしくは外生的な事象によって生じる、損失のリスクのことです。」

 

オペレーショナルリスクの例

John: 「オペレーショナルリスクの例には、システムの故障、盗難、データ損失、人的ミスなどが挙げられます。」

 

影響の例

John: 「オペレーショナルリスクがもたらす影響には、金銭的なもの、評判、データおよびシステムの可用性などがあります。」

 
 

Citiにおけるオペレーショナルリスク

Operational Risk Management Policyでは、オペレーショナルリスクが次のように定義されています。

不適切であるか、機能していない内部プロセス、人員、システム、あるいは外生的な事象から生じる損失リスク。オペレーショナルリスクの定義には、法的リスク 、すなわちCitiの業務のあらゆる局面において、当行が法律、規制、賢明な倫理基準、契約上の義務の遵守を怠ったことから生じる損失のリスク(訴訟費用、和解金、規制上の罰金を含む)が含まれています。ただし、戦略的リスクとレピュテーションリスクは含まれません。

私たちはまた、オペレーショナルリスクがCitiの事業活動に関連した評判リスクに及ぼす影響を認識しています。

Operational Risk Management FrameworkOperational Risk Management Policyには、Citiで実践している効果的なマネジメント方法をしっかりと理解できるよう、詳しい内容が含まれています。

オペレーショナルリスクのカテゴリー

オペレーショナルリスクには、詐欺、処理、データ、サイバー、テクノロジー、第三者、事業活動の混乱と安全性、人的資本、規制および管理の報告、財務諸表の報告、そしてモデルリスクからなる11のサブタイプがあります。

それぞれのサブタイプに関しては、こちらのCitiのリスク分類に詳しく定義されています。

続行するには、各ボタンを選択してこうしたリスクの例を確認してください。

サイバーリスク

サイバーリスク

情報の不正なアクセス、利用、開示、修正、破壊、および/または情報システムへの妨害の可能性に関連するサイバーリスク。

データのリスク

データのリスク

データの不適切な保持、破棄、使用または品質、あるいはデータプライバシーの侵害に関連するデータリスク。

不正リスク

不正リスク

個人的利益を得るため、または損失を招くために、資産、リソース、サービス、利得を不正利用もしくは故意に不正流用することに関連する不正リスク。

事業活動の混乱と安全性リスク

事業活動の混乱と安全性リスク

Citiの施設、サポートユーティリティ、物理的資産、および/または人員に対する物理的危害またはこれらの不足に関連する事業活動の混乱と安全性リスク。

考えてみましょう…

あなたの仕事では、どのようなタイプのオペレーショナルリスクが思い付きますか? また、それらがもたらす潜在的な影響はどのようなものですか?

オペレーショナルリスクのタイプ:

  • システムの故障、盗難、データ損失、処理中のエラー、技術的障害など

影響のタイプ:

  • 金銭的被害、評判への被害、クライアントへの影響など

オペレーショナルリスクに関する質問は、事業内シニアオペレーショナルリスクマネージャー(事業内SORM)またはL1リスクカテゴリーリーダー(L1 RCL)に問い合わせてください。

上記の用語を選択して、各役割の詳細を確認してください。

Register of In-Business SORMs and Independent SORMsRegister of L1 RCLs and L1 RCSMEsを選択して、両方の役割に任命された人物を確認してください。

次のトピック

ここまで、異なるタイプのオペレーショナルリスクについて学習しました。次は、まず過去の経験から学んだレッスン、さらに業界から学んだレッスンについて見ていきましょう。最初は、過去の経験から学んだレッスンについてです。

過去の経験から学ぶ

過去から学んだレッスン

次のシナリオは、サイバーリスクおよび、詐欺と盗難のリスクの一例です。ここでは、AbdullahとLeeが、コンファレンスルームで、まもなく開始される管理強化プロジェクトについて話し合っています。

AbdullahはLeeのマネージャーであり、サイバーセキュリティ分野で10年間の経験があります。Leeは最近、このグループに加わりました。

先に進むには、右にある矢印を選択して、詳しく見ていきましょう

 

AbdullahとLeeの会話

Abdullah: 「潜在的なサイバー攻撃に対する管理を強化するプロジェクトが始まります。このプロジェクトでは、サイバー攻撃によるリスクエクスポージャーを低減し、財務損失からCitiを守ります。サイバー攻撃が大きな財務損失を引き起こす場合を想定できますか?」
Lee: 「すぐには思い浮かびません。」

 

Abdullahが過去の経験を共有する

Abdullah: 「当社で起きたサイバー攻撃について話しましょう。これは、これから取り組む管理強化プロジェクトの重要性をさらに理解する上で役立つはずです。」
Lee: 「承知しました。」

 

Abdullahがサイバー攻撃に警鐘をならす

Abdullah: 「数年前、サイバー犯罪者が当社のオンライン顧客獲得ポータルを狙って攻撃を行いました。このポータルは、数百万人もの新規顧客が、当社が提供しているさまざまなクレジットカード製品の申し込みに使用するものです。

当社のシステムの一つで、顧客の身元検証時にエラーが発生し、それが不正口座の開設につながりました。当社の詐欺防止・検出ツールは、この事象の防止や検出には堅牢性が十分ではなかったのです。」

 

Abdullahが攻撃の内容を説明する

Abdullah:「サイバー犯罪者はこの弱点に付け込んで攻撃を行い、不正申し込みが急増するという事態になりました。その結果、数百万ドルに及ぶ損失が生じたのです。」

 

Abdullahが第2波の攻撃について語る

Lee: 「サイバー犯罪者は、再度攻撃を仕掛けてきたんではないですか。」
Abdullah: 「まさにその通りです。そして、彼らは実際にそうしました。今度は自動化された『ボット』を使って、再び攻撃してきました。しかし、私たちは詐欺防止・検出管理をさらに強化していたため、サイバー犯罪者を撃退することができました。」

 

Leeは過去から学んだレッスンを見い出す

Lee: 「素晴らしいですね!ということは、自動化されたさらなる管理を積極的に導入していくことが、私たちのプロジェクトなんですね?」
Abdullah: 「まさにその通りです。早速取り掛かりましょう。」

 
 

考えてみましょう…

過去に何らかの問題が生じ、日常業務の運営方法に影響があったときのことを思い起こしてみてください。

あなたは何をその事象から学び、どのような調整をして再発防止の可能性を最小限に抑えましたか?

次のトピック

ここまで、まず過去の経験から学んだレッスンについて学習しました。次は、業界から学んだレッスンについて見ていきましょう。

業界から学ぶ

業界から学ぶ

本セクションでは、オペレーショナルリスクを認識するために、業界からどのように学ぶのかを確認し、さらにオペレーショナルリスクを報告する私たち自身の義務について学習します。

下にスクロールしながら進めてください。

手がかりを認識する

このシナリオでは、銀行の運用部門に勤務するMollyが、十分に強力な管理をしていなかったサードパーティーベンダーが原因で発生したデータ侵害に関するニュースを耳にします。

翌日、Mollyは自分の部門のプロセスを評価し、サードパーティーベンダーに問題があるかもしれないと思いました。

Mollyは何をすべきでしょうか?

自分たちのサードパーティーベンダーに問題があるかもしれないと感じているMollyは、次に何をすべきでしょうか?

4つの選択肢から最適な解答を選択し、「送信」をクリックしてください。

「スペース」キーは、キーボードでラジオオプションを選択する場合にのみ使用してください。「入力」キーは、十分にサポートされていません。ラジオオプションを選択するために「入力」キーを使用した場合は、「エスケープ」キーを使用してください。その後、「スペース」キーを使用してラジオオプションを選択できるようになります。

リスクを報告する義務

彼女は、CitiのEscalation Policyを読んで、必要な情報が不十分な場合でも、報告義務があることを認識していました。

その週のチームミーティングで、Mollyは自分の懸念を伝え、彼女のマネージャーは調査することを約束しました。彼女のマネージャーは詳しく状況を確認し、Mollyの懸念が当たっている可能性があると結論付けました。この件は、さらに調査を行うため、サードパーティーリスク管理チームにエスカレーションされました。1か月後、サードパーティー委員会に改善事項が提案されました。

その結果、将来的な管理上の機能不全を最小限に抑える管理手法が積極的に導入されました。

考えてみましょう…

少し時間をとって、会社でのリスク管理に対する自分の責任を顧みてください:

ニュースなどで何かに気づき、それがCitiでも起こり得ると思うときは、あなたの責任で、自分自身がリスクマネージャーになって事案を特定し、エスカレーションしてください。

次のトピック

次に、詐欺と盗難のリスクの例および効果的な管理の実施について見ていきます。

効果的な管理を実施する

効果的な管理を実施する

本セクションでは、詐欺と盗難のリスクの例および効果的な管理の重要性を確認します。

下にスクロールしながら進めてください。

効果的な管理の重要性

このシナリオでは、同僚であるImogenとGirishが、2人でランチに出かけます。Imogenは支店の従業員であり、Girishはマーケティング部門で働いています。ランチを取りながら、GirishはImogenに、ソーシャルメディアで拡散している例のATMの話が耳に入っているかどうかを尋ねます。

先に進むには、右にある矢印を選択して、詳しく見ていきましょう

 

Girish: 「ATMのソフトウェアの更新によってATMネットワーク全体がアクセス可能になってしまった話、聞いてる?」
Imogen: 「いいえ知らないわ、何があったの?」

 

Girish: 「ATMのPINエラーや入手可能な資金をチェックする機能が麻痺しちゃったんだ。それで、顧客が口座残高以上の現金を引き出せるようになってしまった。その上、犯罪者までもが、PINを知らなくても顧客の口座から現金を引き出せてしまったんだよ。」
Imogen: 「どうしてそんなことになったの?」

 

Girish: 「銀行がATMのソフトウェアを更新しているときに、テストでエラーをキャッチできなかったんだよ。そしてこのミスのニュースが、たちまちソーシャルメディア中で拡散されたというわけさ。」

 
Imogen:「銀行の誰かが、すべてのソーシャルメディアの注目が引き起こす結果に思い至らなかったのかしら?」
Girish: 「その時点では不可能だった。銀行は、ソーシャルメディアを事象の発生と同時にはチェックをしていなかったんだ。」
Imogen: 「そう…。で、その後はどうなったの?」

 

Girish: 「銀行は、何が問題だったのかを完全に確認し、このような問題の再発防止策を決定した。

テストを行う段階でさらなる管理を導入し、事象発生と同時にリアルタイムでソーシャルメディアの監視を開始したんだ。

ねえImogen、単純なアップグレードに思えるようなことでも、重大な影響をもたらしかねないことがよく分かる出来事だよね。」

 
 

考えてみましょう…

あなたの担当職務の作業中に、故障が発生した事態に思い当たりますか?

その故障を引き起こした原因は、人、プロセス、テクノロジーのいずれか、それともそのすべてでしたか?

次のトピック

次の処理上のリスクに関する次のシナリオでは、ニアミスから何が学べるかについて見ていきます。

ニアミスから学ぶ

処理上のリスクのシナリオ

Jaydenは会計部門のスタッフです。彼の職務の一つは、現金を顧客に電信送金することです。

Jaydenは、顧客から高額の資金を送金するよう依頼を受けました。

Jaydenは、顧客の銀行へ電信送金するため、通常の準備手順に従って処理を行いました。彼は資金の送金を完了し、夜に帰宅しました。翌日、Jaydenは出勤するやいなや、彼のマネージャーであるNancyのオフィスに呼ばれました。

先に進むには、右にある矢印を選択して、詳しく見ていきましょう

 

Jaydenと彼のマネージャーとの会話

Nancy: 「おはよう、Jaydenさん。」
Jayden: 「おはようございます、Nancyさん。」
Nancy: 「昨夜あなたが行った電信送金を、再確認してくれるかしら?」

 

Nancyがイシューについて説明する

NancyはJaydenに、電信送金が間違った通貨で行われたこと、また送金すべき金額を著しく上回っていることを説明しました。Jaydenは驚愕しました。

 

Nancyはニアミスの事象を解説する

Jayden: 「いったい何が起こったのですか?」
Nancy: 「口座を設定するときに、通貨のフィールドに手動入力エラーがあり、作成/確認処理で見逃されていたようです。送金額は数時間のうちに完全に回収され、顧客には正しい金額が送られています。これはニアミス事象と呼ばれるケースです。」

 

ニアミスから学んだレッスン

Jayden: 「管理を強化するために、何が求められているか評価する必要がありそうですね。」

 
 

考えてみましょう…

少し時間をとって、あなたが経験したニアミス事象について顧みてください。

それは、管理の欠如または自動化された確認が原因で生じたものでしたか? 問題点はどのように修正されましたか?

次のトピック

最後に、求められている要件を理解することの重要性について確認します。

求められている要件を知る

求められている要件を知る

本セクションでは、モデル検証の重要性とモデルのライフサイクルについて詳しく確認していきます。

下にスクロールしながら進めてください。

モデルおよび人工知能(AI)オブジェクトレビュー

Erikは、銀行に新規採用された部長職の社員です。彼の責任の一つは、チームのモデルおよび/またはAIオブジェクトインベントリおよび手法、システムやアプローチ(主要なビジネスプロセス、EUC、ITeSS、CSI、RPA、ベンダー、MISレポート、決定基準、対象基準、戦略、予想、予測など)が、モデルおよびAI非モデルオブジェクトの定義を満たしていることを確認し、使用されたすべてのモデルおよびAIオブジェクトがモデルリスク管理(MRM)に提出・検証されるようにすることです。

以下の仮定のシナリオで、ErikはJaneとミーティングを行います。Janeは、彼の事業向けに年2回のモデルおよびAI非モデルオブジェクトインベントリ証明をまとめている、モデル責任者です。

先に進むには、右にある矢印を選択して、詳しく見ていきましょう

 

ミーティング

Erik: 「こんにちは、Erikです。」
Jane: 「よろしくお願いします。Janeです。」
Erik: 「こちらこそ、よろしくお願いします。」
Jane: 「それでは始めましょう。このミーティングの目的は、あなたのチームが使用している登録済みモデルおよびAIオブジェクトのリストを確認することにあります。」
Erik: 「承知しました。」

 

登録済みモデルおよびAIオブジェクトの確認

Janeが登録済みモデルおよびAIオブジェクトの確認を進めていると、特に1つのモデルがErikの関心を引きました。そのモデルは、Erikのチームが現在使用している別のモデルに類似しています。しかし、彼のモデルはリストに掲載されていません。

 

リストにはErikのモデルが未掲載

Erik: 「私のチームが使用している1つのモデルが、このリストには掲載されていないことに気づきました。未掲載のモデルを登録するにはどうしたらいいのか、処理手順を詳しく説明していただけますか?」

 

モデルおよびAIオブジェクトの識別プロセス

Jane: 「もちろんです。検証が済んでいないモデルまたはAIオブジェクトを使用することは、当社のポリシーに対する違反になります。私たちのチームは、まず初めに、MRMに提出・検証されていないかどうか、また他に何らかの事例がないかどうかを確かめるため、完全なレビューを行います。レビューの実施後、MRMに提出・検証されていないことが分かった場合、モデルリスク管理に提出するための次の手順をお伝えします。」
Erik: 「なるほど。ありがとうございました。」

 
 

考えてみましょう…

少し時間をとって考えてみましょう。あなたの役割では、モデルを使用していますか? 使用している場合、そのモデルが検証済みであることを確認する方法を知っていますか?

Citiの Model Risk Frameworkについての詳細は、Model Risk Management intranet siteを参照してください。

次のトピック

次のセクションでは、このトレーニングの主な要点についてまとめています。

主な要点

これまでの学習内容のおさらい

私たちは、全員がリスクマネージャーであり、オペレーショナルリスクの低減に責任を負っています。

その責務を果たすため、以下を行う必要があります。

  • 当事者意識を持ち、懸念のある事象を見聞きしたときは、エスカレーションする
  • リスクを特定、測定、監視、緩和するために設けられている管理とツール、そしてこれらの強化を通じた損失の低減の仕方について、継続して学ぶ

そうすることによって、より効果的にCitiをオペレーショナルリスクから守ることができます。

次のトピック

次に、短い確認テストを行って、内容の理解度をチェックしてみましょう。

オペレーショナルリスクとは何でしょうか?

4つの選択肢から最適な解答を選択し、「送信」をクリックしてください。

「スペース」キーは、キーボードでラジオオプションを選択する場合にのみ使用してください。「入力」キーは、十分にサポートされていません。ラジオオプションを選択するために「入力」キーを使用した場合は、「エスケープ」キーを使用してください。その後、「スペース」キーを使用してラジオオプションを選択できるようになります。

オペレーショナルリスクのカテゴリーに該当しないものはどれですか?

4つの選択肢から最適な解答を選択し、「送信」をクリックしてください。

「スペース」キーは、キーボードでラジオオプションを選択する場合にのみ使用してください。「入力」キーは、十分にサポートされていません。ラジオオプションを選択するために「入力」キーを使用した場合は、「エスケープ」キーを使用してください。その後、「スペース」キーを使用してラジオオプションを選択できるようになります。

オペレーショナルリスクを管理するために、あなたができることは何ですか?

4つの選択肢から最適な解答を選択し、「送信」をクリックしてください。

「スペース」キーは、キーボードでラジオオプションを選択する場合にのみ使用してください。「入力」キーは、十分にサポートされていません。ラジオオプションを選択するために「入力」キーを使用した場合は、「エスケープ」キーを使用してください。その後、「スペース」キーを使用してラジオオプションを選択できるようになります。

Citiでオペレーショナルリスクを管理する担当者は誰ですか?

4つの選択肢から最適な解答を選択し、「送信」をクリックしてください。

「スペース」キーは、キーボードでラジオオプションを選択する場合にのみ使用してください。「入力」キーは、十分にサポートされていません。ラジオオプションを選択するために「入力」キーを使用した場合は、「エスケープ」キーを使用してください。その後、「スペース」キーを使用してラジオオプションを選択できるようになります。

オペレーショナルリスクを効果的に管理しなかった場合、どのような結果につながる可能性がありますか?

4つの選択肢から最適な解答を選択し、「送信」をクリックしてください。

「スペース」キーは、キーボードでラジオオプションを選択する場合にのみ使用してください。「入力」キーは、十分にサポートされていません。ラジオオプションを選択するために「入力」キーを使用した場合は、「エスケープ」キーを使用してください。その後、「スペース」キーを使用してラジオオプションを選択できるようになります。

ホーム

ようこそ
オペレーショナルリスクについて理解する
過去の経験から学ぶ
業界から学ぶ
効果的な管理を実施する
ニアミスから学ぶ
求められている要件を知る
主な要点
確認テスト

「メニューを閉じる」ボタンに進む

 

「閉じる」ボタンに進む