(1)システムリスク管理
①システムリスク管理担当部署は、サービスの多様化による大量取引の発生や、ネットワークの拡充によるシステム障害等の影響の複雑化・広範化などを踏まえ、定期的に又は適時にリスクを認識・評価しているか。
また、定期的なレビューに加え、新規サービス（利用者への影響の大きい変更や、システムの変更を伴わないものの大規模な販売促進活動を行う場合を含む。）の提供とともに、レビューを実施しているか。
②システム障害等の発生時の被害拡大防止策及び迅速な復旧対応について、経営上の重大な課題と認識し、態勢を整備しているか。
特に、サイバーセキュリティ事案の未然防止について、重大な課題と認識し、態勢を整備しているか。
③経営に重大な影響を及ぼすシステム障害等が発生した場合に、速やかに経営上責任を負う立場の者に対して報告することとなっているか。
また、必要に応じて、対策本部を立ち上げ、速やかに問題の解決を図る態勢を構築できるよう検討を行っているか。
④現行システムの仕組み及び開発技術の継承を含め、事業継続のために必要な技術的対応に関する計画を策定し、実施しているか。
⑤提供する新サービス、銀行のAPI仕様変更及び認証方式の変更等について、利用者側の動作環境を踏まえたテストシナリオを設定し、検証しているか。
⑥システムリスク管理態勢の整備・見直しに当たっては、その内容について第三者による評価や金融情報システムセンターが示す基準（API接続チェックリスト解説書等）など、客観的な水準が判定できるものを根拠として整備しているか。また、システムリスク管理態勢は、システム障害等の把握・分析、リスク管理の実施結果や技術進展等に応じて、不断に見直しを実施しているか。
(2)情報セキュリティ管理
①情報資産を適切に管理するために方針の策定、組織体制の整備、社内規程の策定、内部管理態勢の整備を図り、定期的に見直しを行っているか。また、他社における不正事案等も参考に、情報セキュリティ管理態勢のPDCAサイクルによる継続的な改善を図っているか。
②情報の機密性、完全性、可用性を維持するために、情報資産の安全管理に関する業務遂行の責任者を定め、その役割・責任を明確にした上で、管理しているか。また、同責任者は、システム、データ、ネットワーク管理上のセキュリティに関することについて統括しているか。
③コンピュータシステムの不正使用防止対策、不正アクセス防止対策、コンピュータウィルス等の不正プログラムの侵入防止対策等を実施しているか。
④電子決済等代行業者が責任を負うべき利用者の重要情報を網羅的に洗い出し、把握、管理しているか。利用者の重要情報の洗い出しに当たっては、必要に応じ、業務、システム、外部委託先及び電子決済等代行業再委託者を対象範囲とすることも検討しているか。
⑤洗い出した利用者の重要情報について、重要度判定やリスク評価を実施しているか。
また、それぞれの重要度やリスクに応じ、以下のような情報管理ルールを策定しているか。
情報の暗号化、マスキングのルール
情報を利用する際の利用ルール
記録媒体等の取扱いルール 等
⑥洗い出した利用者の重要情報について、以下のような不正アクセス、不正情報取得、情報漏えい等を牽制、防止する仕組みを導入しているか。
社員の権限に応じて必要な範囲に限定されたアクセス権限の付与
アクセス記録の保存、検証
開発担当者と運用担当者の分離、管理者と担当者の分離等の相互牽制体制 等
⑦機密情報について、暗号化やマスキング等の管理ルールを定めているか。また、暗号化プログラム、暗号鍵、暗号化プログラムの設計書等の管理に関するルールを定めているか。また、情報の重要度に応じて管理ルールを設定しているか。
なお、「機密情報」とは、パスワード、トークン等、漏えいにより利用者に損失が発生する可能性のある情報をいう。
⑧機密情報の保有・廃棄、アクセス制限、外部持ち出し等について、業務上の必要性を十分に検討し、より厳格な取扱いをしているか。
⑨情報資産について、管理ルール等に基づいて適切に管理されていることを定期的にモニタリングし、管理態勢を継続的に見直しているか。
⑩セキュリティ意識の向上を図るため、全社員に対するセキュリティ教育（外部委託先におけるセキュリティ教育の実施状況の確認等を含む）を行っているか。
⑪第三者機関のクラウドサービスを利用する場合には、選定に際して、その特性を踏まえた上で、セキュリティの安全性について適切な評価を実施しているか。
⑬電子決済等代行業に関して取得した個人データの第三者提供を行う場合には、金融分野ガイドライン第12条等を遵守するための措置が講じられているか。特に、その業務の性質や方法に応じて、以下の点にも留意しつつ、個人である利用者から適切な同意の取得が図られているか。
イ．金融分野ガイドライン第３条を踏まえ、個人である利用者からスマートフォン等の非対面による方法で第三者提供の同意を取得する場合、例えば、同意文言や文字の大きさ、画面仕様その他同意の取得方法を工夫することなどにより、個人である利用者が、第三者提供先、当該提供先に提供される情報の内容及び当該提供先における利用目的について、明確に認識したうえで同意できるような仕様としているか。
ロ．過去に個人である利用者から第三者提供の同意を取得している場合であっても、第三者提供先や提供する情報の内容が異なる場合、又はあらかじめ特定された第三者提供先における利用目的の達成に必要な範囲を超えた提供となる場合には、改めて個人である利用者の同意を取得することにしているか。
ハ．第三者提供先が複数に及ぶ場合や、第三者提供先により情報の利用目的が異なる場合、個人データの提供先が複数に及ぶことや各提供先における利用目的が認識できるよう、同意の取得方法、同意の取得時機等を適切に検討しているか。また、個人である利用者が、第三者提供先や第三者提供先における利用目的、提供される情報の内容について、過剰な範囲について第三者提供の同意を強いられる等していないか。
(3)サイバーセキュリティ管理
経営上責任を負う立場の者は、サイバーセキュリティの重要性を認識し、「金融分野におけるサイバーセキュリティに関するガイドライン」を踏まえ、必要な態勢を整備しているか。
(4)外部委託管理
①外部委託先の選定に当たり、選定基準に基づき評価、検討のうえ、選定しているか。
②外部委託契約において、外部委託先との役割分担・責任、監査権限、再委託手続き、提供されるサービス水準等を定めているか。また、外部委託先の全社員が遵守すべきルールやセキュリティ要件を外部委託先へ提示し、契約書等に明記しているか。
③システムに係る外部委託業務（二段階以上の委託を含む）について、リスク管理が適切に行われているか。
特に外部委託先が複数の場合、管理業務が複雑化することから、より高度なリスク管理が求められることを十分認識した体制となっているか。
システム関連事務を外部委託する場合についても、システムに係る外部委託に準じて、適切なリスク管理を行っているか。
④外部委託業務（二段階以上の委託を含む）について、委託元として委託業務が適切に行われていることを定期的にモニタリングしているか。
(5)被害拡大防止措置
①システム障害等が発生した場合に、利用者に対し無用の混乱を生じさせないよう、利用者の被害拡大防止策を含め適切な措置を検討しているか。特に、電子決済等代行業者のシステムのみが停止した場合においては、利用者は、当該電子決済等代行業者のシステムを経由せずとも、直接的に銀行のシステムを利用すれば送金指図の伝達や口座情報の取得が可能であることから、適切にそうした案内・利用者からの相談・照会対応ができているか。
なお、クラウドサービスに障害が発生した場合に備え、対応策の検討又は利用者への適時適切な注意喚起が重要であることを念頭にクラウド事業者との障害発生時の連絡体制等の構築に努めているか。
②また、システム障害等の発生に備え、最悪のシナリオを想定した上で、必要な対応を行う態勢を検討しているか。
特に、業務への影響が大きい重要なシステムについては、バックアップシステム等を事前に準備し、災害、システム障害等が発生した場合に、速やかに業務を継続できる態勢を整備しているか。
③システム障害等の発生原因の究明、復旧までの影響調査、改善措置、再発防止策等を的確に検討しているか。
④システム障害等の影響を極小化するために、例えば、部分的障害の影響が波及する経路や迂回不能な単一障害点の把握など、影響波及の観点からリスク評価を行い、クラウドサービスの仕組みを適切に利用してリスク低減を図るなど、利用者の被害を最小化するためのサービス・システム的な仕組みの整備について検討しているか。