はじめに：オペレーショナル・レジリエンスへようこそ
皆さん、こんにちは！FRM Part IIのカリキュラムの中でも、非常に実践的で重要な章である「オペレーショナル・レジリエンスの原則（Principles for Operational Resilience）」へようこそ。バーゼル銀行監督委員会（BCBS）のガイドラインに基づくこの章では、単にミスを防ぐことだけでなく、不測の事態が発生した際に銀行がどのように生き残り、業務を継続させるかに焦点を当てます。
かつて銀行は、主にリスクの「防止（Prevention）」に注力していました。しかし、サイバー攻撃やパンデミック、大規模なシステム障害といった複雑な現代社会において、オペレーショナル・レジリエンスの考え方は、「どうすれば事故を防げるか？」から「実際に事故が起きたとき、いかにして最重要業務を継続させるか？」へとシフトしました。最初は少し理論的で難しく感じるかもしれませんが、心配はいりません。7つのコア原則を、分かりやすく噛み砕いて解説していきますね。
1. オペレーショナル・レジリエンスとは？
各原則に入る前に、核となる概念を定義しておきましょう。オペレーショナル・レジリエンスとは、混乱が発生した状況下においても、銀行が重要業務（Critical Operations）を遂行し続ける能力のことです。ショックを吸収し、適応し、迅速に回復するための「タフさ」を備えることが求められます。
「輪ゴム」の例え： 輪ゴムを想像してみてください。オペレーショナル・リスク管理とは、輪ゴムが過度に引き伸ばされないようにすること（予防）です。一方で、オペレーショナル・レジリエンスとは、もし輪ゴムが引き伸ばされたとしても、切れることなく元の形に戻るようにしておくことです。
重要用語：重要業務（Critical Operations）
重要業務とは、中断した場合に顧客や銀行の健全性、あるいは金融システム全体に深刻なダメージを与えるサービスや活動のことです。
例： 顧客のATM出金処理は重要業務ですが、従業員休憩室の改装は重要業務ではありません。
クイックレビュー： レジリエンスは「混乱は必ず起こる」という前提に立っています。目標は、顧客や経済への影響を最小限に抑えることです。
2. レジリエンスの7つの原則
BCBSは銀行が従うべき7つの原則を定めています。これらを覚えるために、「G-O-B-M-T-I-I」という頭文字の組み合わせ（Gigantic Octopus Bakes Many Tasty Icy Items：巨大なタコが美味しくて冷たいものをたくさん焼く）をイメージしてみてください。一つずつ見ていきましょう。
原則1：ガバナンス
取締役会（Board of Directors）が最終的な責任を負います。彼らはレジリエンス・フレームワークを承認し、「許容される混乱の範囲（Tolerance for Disruption）」を設定しなければなりません。つまり、銀行がどの程度の「痛み」まで耐えられるかを決めるのです（例：「決済処理が2時間以上停止することは許されない」など）。
原則2：オペレーショナル・リスク管理（ORM）
銀行は既存のオペレーショナル・リスク管理（ORM）機能を活用し、脅威の特定と軽減を行うべきです。レジリエンスはORMに取って代わるものではなく、その上に構築されるものです。リスクデータを用いて、弱点がどこにあるかを把握します。
原則3：事業継続計画（BCP）
これは「プランB（予備計画）」です。銀行は、深刻だが起こり得るシナリオ（severe but plausible scenarios）を想定したBCPを策定し、テストする必要があります。小さなトラブルだけでなく、メインのデータセンターが洪水に襲われた場合など、大規模な事態を想定してテストしなければなりません。
原則4：相互接続と相互依存関係のマッピング
理解していないものは守れません。マッピングとは、重要業務を遂行するために必要な人、技術、データのすべてを特定することです。
現実の例： クレジットカード決済を処理するためには、サーバー、特定のソフトウェア、インターネットプロバイダー、そして技術者チームが必要です。マッピングによって、これらがどのように関連しているかが可視化されます。
原則5：サードパーティ依存関係の管理
多くの銀行は業務を外部委託しています（Amazon Cloudや給与計算代行など）。この原則のポイントは、「業務は委託できても、責任までは委託できない」ということです。銀行は委託先ベンダーも同様のレジリエンスを備えていることを保証しなければなりません。
原則6：インシデント管理
銀行は、インシデントを検知、対応、復旧するための明確なプロセスが必要です。これには、混乱を招かないよう、一般の方や規制当局に何が起きているかを伝えるコミュニケーション計画も含まれます。
原則7：ICT（情報通信技術）
銀行はコンピュータで運営されているため、ICTおよびサイバーレジリエンスは不可欠です。これには、ハッカーからデータを守ることや、技術システムを最新かつ安全に保つことが含まれます。
3. 「許容される混乱の範囲（Tolerance for Disruption）」の設定
これはFRM試験において極めて重要な概念です。「リスクアペタイト（収益を上げるためにどの程度のリスクを取るか）」とは異なり、「許容される混乱の範囲」は、サービスが停止してもよい時間の「絶対的な上限」です。
設定方法：
1. 重要業務を特定する。
2. 許容できる混乱の最大許容レベル（時間、取引件数、データ損失など）を決定する。
3. 最悪の状況下でも、銀行がその範囲内に収まるように対策を講じる。
ありがちな間違い： 「許容される混乱の範囲」と「リスクアペタイト」を混同しないこと。リスクアペタイトは能動的（何がしたいか）なものですが、許容される混乱の範囲は受動的（何なら耐えられるか）なものです。
まとめの重要ポイント： レジリエンスとは業務を維持すること。取締役会が境界線を設定し、銀行は危機下でもその枠内に留まるようシステムをマッピングします。
4. マッピングとテスト
真に強靭であるためには、銀行はマッピングとテストを徹底する必要があります。
マッピング：サービスの「解剖図」
マッピングは単なるリストではなく、フローチャートです。以下を特定します。
- 内部的な依存関係： 銀行内の他部署。
- 外部的な依存関係： サードパーティベンダーや市場インフラ。
テスト：火災訓練
銀行は定期的にレジリエンスをテストしなければなりません。テストは以下の条件を満たすべきです。
- シナリオベース： 「もしサイバー攻撃ですべての顧客ファイルが暗号化されたら？」といった想定。
- 深刻だが起こり得る（Severe but Plausible）： 5分間の停電テストで満足してはいけません。24時間続く事態をテストしてください。
豆知識： 多くの銀行は現在、自分のシステムのあちこちをランダムに停止させる「カオスエンジニアリング」を取り入れ、レジリエンス計画が実際に機能するかを確認しています！
5. まとめと最終アドバイス
オペレーショナル・レジリエンスは、デジタルバンキングへのシフトを背景に、FRMのカリキュラムでも比較的新しい注目分野です。学習用チェックリストをまとめました。
- 取締役会への注目： ガバナンスはトップから始まることを忘れないでください。
- 重要業務： 顧客や金融システムに影響を与えるサービスを常に優先すること。
- マッピング： 何に依存しているか（人、物、技術）を理解しておくこと。
- アウトソーシング： ベンダーが失敗しても、責任は銀行にあることを忘れないこと。
最後に： この章は非常に論理的です。「嵐の中でも銀行のドアを閉めないようにするマネージャー」の視点で考えれば、各原則は完璧に理解できるはずです。あなたなら大丈夫です！
クイックレビューボックス：
- レジリエンス： ショックを吸収し、回復する力。
- 重要業務： 停止が許されないサービス。
- 許容範囲： 取締役会が決定した「超えてはならない一線」。
- 7つの原則： ガバナンス、ORM、BCP、マッピング、サードパーティ、インシデント管理、ICT。