简体 繁體 日本語 한국어 Bahasa Indonesia Русский Українська English Deutsch Français Español Português Tiếng Việt Türkçe العربية עברית

オペレーショナル・レジリエンスとサイバーリスク

FINMA通達2023/1

AIシステムは機関の情報通信技術（ICT）の一部であり、その障害や操作はオペレーショナル・リスクである。2022年12月に公表されたスイス金融市場監督機構（FINMA）の通達2023/1「オペレーショナル・リスクとレジリエンス――銀行」は、2024年1月1日に施行された。同通達は、バーゼル銀行監督委員会が2021年3月に公表したオペレーショナル・リスクおよびオペレーショナル・レジリエンスに関する原則を取り入れている。同通達は、ICTリスク、サイバー・リスクおよび重要データの管理に関する特別な節を含み、FINMAがそれまで承認していたスイス銀行協会の事業継続に関する勧告に代わるものとなった。オペレーショナル・レジリエンスに関する要件には経過期間が設けられ、それは2026年1月1日に終了した。1

オペレーショナル・レジリエンスとは、銀行が深刻な障害が生じても、定められた許容範囲内で重要な機能を継続できなければならないことを意味する。支払モニタリングや顧客のオンボーディングのような重要なプロセスでAIツールが利用されるようになると、機関は、モデルが機能不全に陥り、信頼できない結果を生み出し、または事業者の障害により利用できなくなった場合にも、それらのプロセスを運用できなければならない。実務上これには、代替手順、文書化された手作業のプロセス、および障害シナリオの試験が必要となる。同通達が導入した重要データというカテゴリーも、AIプロジェクトに影響を与える。重要データを用いてモデルを訓練または運用する場合、機関は、機密性、完全性および可用性に関する同通達の統制をAI環境に適用しなければならない。

FINMAへのサイバー報告

サイバー・リスクは密接に関連している。FINMAは、監督対象機関に対し、金融市場監督法第29条第2項に基づき、重要な機能に対する重大なサイバー攻撃を報告するよう求めている。ガイダンス05/2020は二段階の手続を定め、24時間以内の初期通知と72時間以内の完全な報告を求めた。ガイダンス03/2024は、サイバー監督から得られたFINMAの所見をまとめ、以前のガイダンスを明確化し、シナリオに基づくサイバー演習を求めた。FINMAは、サイバー・リスクをスイス金融センターの最大のリスクの一つに数えている。2

AIは脅威の状況を二つの方向で変化させる。攻撃者は生成モデルを利用して、説得力のあるフィッシング・メッセージ、偽造文書、そして経営幹部や顧客を模倣する合成音声を作り出す。上述のとおり、スイス銀行協会は、ディープフェイクと偽の経営幹部からの連絡を生成AIの主要なリスクに挙げている。AIシステムを導入する機関はまた、チャットボットに対するプロンプト・インジェクション、訓練データの汚染、モデルの窃取のような新たな攻撃対象を生み出す。第III節で論じたCheck PointによるチューリッヒのLakeraの買収は、AIシステムの防御がそれ自体として専門分野となったことを示している。

重要インフラに関するNCSCへの報告義務

2025年4月1日以降、重要インフラの運営者は、改正情報セキュリティ法およびサイバーセキュリティ令により、サイバー攻撃を発見から24時間以内に国家サイバーセキュリティ・センター（NCSC）に報告することが義務付けられている。この義務は、インフラの機能を危険にさらし、情報の操作または漏洩をもたらし、または恐喝、脅迫もしくは強要を伴う攻撃を対象とする。初期報告は14日以内に補完することができる。報告懈怠に対する制裁は、2025年10月1日に終了する経過期間の後にのみ科すことができた。3 その法的根拠は、情報セキュリティ法第74a条以下にある。4

情報セキュリティ法は、エネルギー供給事業者、運輸事業者および公的行政機関と並んで、銀行、保険会社および金融市場インフラを報告義務の対象となる組織に含めている。5 監督対象の金融機関にとって、これはFINMAとNCSCに対する二つの並行する報告経路を生み出す。二つの義務はその対象において重なり合うものの、異なる法的根拠に基づき、異なる目的を追求している。健全性監督当局は機関のレジリエンスを評価するのに対し、NCSCは脅威に関する全国的な状況把握を構築する。顧客データの漏洩をもたらす顧客向けチャットボットへの攻撃の成功のようなAI関連のインシデントについては、機関は、連邦データ保護法（FADP）のデータ侵害に関する規定に基づき、連邦データ保護・情報コミッショナー（FDPIC）にも通知しなければならない場合がある。そのような場合、機関は同時に、顧客との関係で銀行秘密の問題にも対処しなければならないであろう。

注

  1. FINMA, “FINMA publishes Circular ‘Operational risks and resilience – banks’”, 2022年12月13日, https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/. ↩
  2. FINMA, “New cyber supervisory approach and guidance”（サイバー・リスク特集）, https://www.finma.ch/en/documentation/dossier/dossier-cyberrisiken/new-cyber-supervisory-approach-and-guidance/（2026年9月閲覧）. ↩
  3. 国家サイバーセキュリティ・センター, “Obligation to report cyberattacks on critical infrastructure comes into force on 1 April”, https://www.bacs.admin.ch/en/25-mp2-en（2026年9月閲覧）. ↩
  4. 国家サイバーセキュリティ・センター, “Legal basis for the reporting obligation”, https://www.bacs.admin.ch/en/legal-basis-for-the-reporting-obligation（2026年9月閲覧）. ↩
  5. Célian Hirsch, “Die neue Meldepflicht wird konkreter”, cdbf.ch, 2024年5月27日, https://cdbf.ch/de/1351/（„Zu diesen Infrastrukturen gehören insbesondere Banken, Versicherungen, Finanzmarktinfrastrukturen oder auch Cloud-Anbieter (Art. 74b ISG).“）。エネルギー供給事業者、運輸事業者ならびに州および基礎自治体（ゲマインデ）の行政機関については、国家サイバーセキュリティ・センター, “Legal basis for the reporting obligation”（前掲）。 ↩

本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。

スイスでの会社設立や事業拡大をご検討ですか？

Helvetica Register は情報ポータルです。世界各地、とりわけ中華圏、中央アジアおよびコーカサス、その他のアジア、中東、アフリカおよびラテンアメリカの企業と起業家がスイスでビジネスを行ううえで知っておくべき事項――会社法、商取引契約、許認可、銀行、税務および居住――を解説しています。

スイスにおける法律相談は Ressos Legal が承ります。Ressos Legal は Dr Alexander Ressos が率いるチューリッヒの法律事務所で、スイス法の全分野について助言を行っています。詳しくは www.ressos.ch をご覧ください。

スイスでのプロジェクト Dr Alexander Ressos に相談する 会社設立、株主間契約および商取引契約、企業買収、許認可、銀行口座、税務、滞在許可：私はスイス法について助言を行い、ご本国の弁護士のほか、必要に応じて他の法域の現地弁護士とも連携いたします。