平成　　年　　月　　日 金曜日 官 報 （号外第　　号） アルゴリズム取引に係るシステム管理態勢の不備〔金商法第４０条第２号に基づく金商業等 府令第１２３条第１項第１４号〕 当社が行ったアルゴリズム取引を使った自己勘定による裁定取引において、大量の誤発注 が発生したことから、その発生原因等を検証したところ、アルゴリズム売買発注について、 注文制限の設定等、システム障害に係る予防措置が十分整備されていなかったこと、システ ム更新時のプログラムの整合性が取れていないことなど、当社のシステム管理態勢には不備 があると認められた。 　電子情報処理組織の管理が十分でないと認められる状況〔金商法第４０条第２号に基づく金 商業等府令第１２３条第１項第１４号〕 当社は、前回検査においてシステム障害発生に係る当局への未報告について指摘を受け、 システム業務委託先との定例会議の開催、マニュアル及び対応フローの整備等一定の改善が 図られている。 しかしながら、依然としてシステム障害発生の当局への未報告が認められたほか、システ ム障害の原因究明や対応実施に関する管理が不十分であったことから同じ原因によるシステ ム障害が発生している。また、システム監査が十分機能しておらず、システム障害による顧 客への対応においても不適切な取扱いが認められるなど、電子情報処理組織の管理に係る不 十分な状況が認められた。 　金融商品取引業に係る電子情報処理組織の管理が十分でないと認められる状況〔金商法第 ４０条第２号に基づく金商業等府令第１２３条第１項第１４号〕 当社においては、 イ　発生したシステム障害の概要（件数、件名等）については月次で取締役会へ報告してい るものの、システム障害の発生原因、再発防止策の実施状況、システム障害に係る集計・ 分析の結果については報告していない、 ロ　システム障害に係る発生原因の把握、再発防止に向けた対策が不十分なため、同様のシ ステム障害が再発していた。また、顧客に影響があったシステム障害のうち、一部につい て金融庁長官への報告が漏れている、 ハ　システムに関する内部監査担当として専門家を配置しておらず、外部専門家による監査 も実施していなかった。こうした中、当社において、内部監査に当たり十分な証跡に基づ いた検証等が行われずに「問題なし」とされている、 など、電子情報処理組織の管理に係る不十分な状況が認められた。 　金融商品事故等防止態勢の不備〔金商法第５１条〕本章第７‘１‘］参照） （ …　外務員登録を受けた者以外の者に外務員の職務を行わせる行為〔金商法第６４条第２項〕本 （ 章第７‘１‘＿参照） ｆ　信用取引保証金の不適切な引出し〔金商法第１６１条の２に規定する取引及びその保証金に 関する内閣府令第７条〕 当社は、信用取引を受託している顧客に対し代用有価証券として預託を受けていた株式に ついて、信用取引保証金口座から順次引き出すことを容認し、売却させているが、このうち 一部のものについて、以下の状況が認められた。 イ　当該顧客に係る信用取引保証金の預託率が３０％を下回っているにもかかわらず、売却代 金を受渡日に預り金口座に預け入れたままにさせている状況 ロ　売却代金を受渡日に建て玉の品受け代金に充当させ、品受けした株式を代用有価証券と して信用取引保証金口座に入庫させているものの、入庫後の預託率が３０％を下回っている 状況 ｇ　マネー・ローンダリング等防止態勢の不備〔犯収法第９条第１項〕 当社においては、不芳属性情報の存在する顧客については、コンプライアンス部署が注意 口座として顧客口座管理システムに登録し、営業部店において当該システムにより注意口座 との確認が可能な状況となっており、注意口座として登録された顧客への勧誘は、原則、禁 止とされているほか、注意口座での取引については、取引実行後にコンプライアンス部署へ 報告することが定められている。しかしながら、 イ 注意口座として登録がなされているにもかかわらず、当該口座に対し、営業店による入 出金に係るモニタリングが実施されておらず、コンプライアンス部署においても営業部店 に対する点検が行われていないこと等から、疑わしい取引の届出が未提出となっていた事 例が認められた。 ロ　当社の公募株の配分に関する社内規程では、公募株の配分は取引実績等を総合的に検討 して実施することとされているが、部長及び営業担当者等は、当該顧客が不芳属性情報を 持つ顧客であり、原則、勧誘禁止となっていることを認識しながら、過去における特段の 取引実績もない中で、社内ルールを無視し、割り当てられた公募株の消化を目的として勧 誘、配分を行ったほか、コンプライアンス部署への報告を行わなかった。 ｈ　本人確認等に係る顧客管理態勢の不備 当社における顧客管理において、 イ　電話番号等が同一である顧客口座の名寄せ調査における顧客への確認方法が、回答 フォーマット上の項目にチェックさせるという形式的なものとなっているなど、属性情報 に疑義があり、なりすまし等が疑われる口座に係る検証が不十分となっていた。また、名 寄せ調査に基づき、当社が取引停止措置を執っている口座３４件のうち３０口座について、疑 わしい取引の届出を行っていなかった。 ロ　異名義入金に係る顧客確認において、未だに顧客と連絡が取れないことからその確認が 全く行えない状況となっているにもかかわらず、一部について、異名義入金発生以降も取 引が継続していた。 ｉ　情報セキュリティ管理等に係る内部管理態勢の不備 イ　当社の社内規程では、アクセス権限の付与状況の見直しを実施することが定められてい るが、ファイルサーバシステムは部署やプロジェクト毎に作成されたフォルダから構成さ れており、当社の日常業務に係る情報が記録・保管されている情報セキュリティ管理上の 最重要システムと位置付けられているにもかかわらず、当社は、当該システムにつきアク セス権限の定期的な付与状況の見直しを実施していなかった。また、特権ＩＤ（全ての操 作が出来るＩＤ）の付与は限定されるべきであるにもかかわらず、当社においては、必要 のない要員にも、常時、特権ＩＤが付与されていた。 ロ　当社は、社内規程において、情報へのアクセスログを取得し分析等を行うことを定めて いる。しかしながら、当社は、 ファイルサーバシステムのアクセスログを取得しておらず、 ログの分析・レビューによるモニタリングを実施していなかった。また、社内規程におい て、特権ＩＤで行われた作業をモニタリングすることが定められているにもかかわらず、 当社のシステムには、特権ＩＤを使用した操作につきモニタリングが実施されていないも のが多数存在していた。 ｊ　情報セキュリティ管理態勢の不備 当社は、情報ベンダーの端末に関して、外部へのメール送信や外部記録媒体への情報の書 出しの状況について、その内容の適切性に係る管理を行っていなかった。 ｋ　セキュリティ管理態勢及び障害管理態勢の不備 イ　当社においては、本来、コンプライアンス部の役職員のみがアクセスすることが許可さ れている法人関係情報、売買取引申請書、外務員登録情報等の機密性の高い情報が格納さ れたフォルダに対するアクセス権限が全ての役職員へ許可されていた期間があるなど、情 報セキュリティ管理態勢に不備が認められた。 ロ　当社においては、システム障害情報が適切に管理されておらず、システム障害情報に対 するリスク評価基準が不明確であることから、有効性のあるリスク分析が行われず、再発 防止策を検討する態勢が不十分であるなど、システム障害管理態勢に不備が認められた。