特に重要な業務の再委託への監査権について、一部のクラウド事業者では第三者監査等の報告書を提示するのみで直接の立入監査への対応はしていない場合が考えられる。金融機関等が直接監査はできない場合があると考えられるが、どのような対応方法が考えられるか。

特定システムの全部又は一部が再委託される場合は、【監１】において「再委託先に対しても金融機関等の責任において監査を行う必要がある。」としているとおり、「金融機関等みずからの責任において」監査を実施するということを考え方として提示しております。 監査の実施は、金融機関等が直接監査を実施するケースのほか、外部の機関を利用するケース、保証型監査報告書を利用するケースなどが考えられ、これらの手法を【監１】で例示しています。また、技術的な専門性が求められる場合（クラウドベンダーに対する監査も該当する可能性がありますが）、外部の機関を利用すること又は、保証型監査報告書を利用することが望ましいとして、【統24】に記載しています。 なお、クラウド事業者が利用している外部委託先（金融機関等から見ると「再委託先」）の管理方法については、金融機関等が事前審査を行うことが困難なことがあるため、クラウド事業者に対して、外部委託を実施しているサービスの範囲や外部委託先におけるセキュリティ対策、及びその実施状況等の開示を契約により求めるか、第三者保証による報告書等によって再委託管理に関する記載を確認することが考えられることを【統21】に記載していますので、あわせてご確認ください。 ＜ガイドライン記載箇所＞ 【監1】　5. 【統21】　1. 【統24】