金融機関 システムリスク管理表（報告が要る現場）
説明
金融機関のシステムリスク管理表。★これまでの文書は「直せば終わり」でしたが、金融は違います。直したあとに、外部へ説明する仕事が残り、しかも説明の期限はこちらの都合では決められません。★核は3枚です。（1）事象の区分 … 障害が起きてから「これは報告が要るのか」を相談すると必ず遅れます。どの事象がどの区分になるかを平時に決めて表にします。迷ったら重いほうに倒してください。後から下げるのは記録に残せば説明できますが、上げるのは「なぜ最初に気づかなかったか」を問われます。（2）時刻と記録 … 報告の期限は「気づいた時刻」ではなく「起きた時刻」から数えられることがあります。検知が遅れた分だけ、報告に使える時間が減ります。時刻同期が無いと、何が先に起きたかを説明できません。（3）平時の備え … 直す人と説明する人を分けてください。同じ人だと必ずどちらかが止まります。★制度・法令・監督指針の細部には踏み込みません。業態・年度で変わるため、扱うのは管理表の作り方です。
使い方
★どの事象がどの区分になるかを、自組織の言葉で平時に書いてください。判定者も1人に決めてください。起きてから相談すると、判定そのものに時間を使ってしまいます。★迷ったら重いほうに倒してください。区分を変えたときは、誰がいつ変えたかをその場で残してください。★「起きた時刻」を後から言えるようにしてください。検知の遅れが、そのまま報告に使える時間を削ります。全機器の時刻同期を四半期ごとに確認してください。無いと何が先に起きたかを説明できません。★影響範囲（誰が何件か）をすぐ出せる手順を平時に用意し、実際に試しておいてください。報告で最初に聞かれます。「調査中」の繰り返しは、それ自体が問題として扱われます。★復旧の指揮と、報告の作成・外部対応を別の担当にしてください。体制は起きてからでは決められません。★夜間・休日の連絡が経営層まで実際に届くかを、年1回試してください。重い事象は時間帯を選びません。★第一報の様式を1枚用意し、年1回は実際に書く訓練をしてください。書く訓練をしていないと当日に書けません。★報告先の連絡先を四半期ごとに確認してください。異動で届かなくなっているのが最も多い形です。★基準そのものは本書に書き写さないでください。業態・年度で変わります。自組織の規程と監督指針を参照してください。
この型で検査する
記入済みのファイルをアップロードすると、この型の必須項目（システムリスク管理表の組込みルール）を満たしているか検査します。ファイルは保存されません。
関連するテンプレート
同じフェーズ（運用）や業界でよく使われている型です。
顧客管理チェック表（本人確認・反社・疑わしい取引）
顧客管理のチェック表（本人確認・反社・疑わしい取引・苦情）。★システムリスクは「止まったとき」の話ですが、顧客管理は「入口で止める」話です。入れてしまったあとに気づくのと、入口で止めるのとでは、かかる手間が桁で違います。★核は3つです。（1）本人確認 … 取引の入口だけでなく続きも見ます。口座を作るときは確かめても、そのあと住所も職業も変わります。「作ったときの情報」で何年も動いているのが、この分野の典型的な穴です。（2）反社・疑わしい取引 … 反社の確認は「確認した日」を残します。データベースは更新されるので、いつ時点で確認したかが無いと、後から「そのときは載っていなかった」と説明できません。疑わしい取引は現場が「判断しない」で上げる形にします。現場に判断させると上がってきません。上げたが該当しなかった記録も残します（上げたこと自体を評価しないと、次から上がらない）。（3）苦情 … 件数ではなく、同じことが繰り返されているかを見ます。受けたその場で相手の言葉のまま書きます。★犯罪収益移転防止法・金融庁のガイドライン・業態ごとの規制の細部には踏み込みません。業態・規模・年度で変わるため、扱うのは確認の型です。
監視項目一覧
監視が機能しなくなる最大の原因は、閾値の設定ミスではなく★アラートが多すぎて誰も見なくなることです。項目ごとに「想定発報数（件/月）」を持たせ、合計と★1日あたりの件数を数式で出します——1日10件を超えたら、その監視は運用に渡してはいけません。★もう1つの原因は「起きても業務が動いてしまうもの」で、v3 では「業務影響（即時／性能／潜在）」の列を足しました。冗長が失われた状態（パスが1本・スタックが1台・HAが片系・仮想IPが待機系）、バックアップの失敗、保存先の空き、ログ転送の停止、レプリケーションの遅れ、書込キャッシュ保護部品の劣化、証明書の期限は★起きても業務は動く＝潜在で、監視に入れていなければ次の1つで全断になるまで誰も気づけません。★潜在なのに重要度が「通知」の行は赤くなり、件数も集計されます。一次対応（障害対応フローの INC-xx）と閾値の根拠も必須の列で、空欄は赤。監視基盤そのものを別の仕組みから監視する項目と、★「監視の穴」シート（監視していないものを、していないと書いて残す）つき。
アカウント・権限管理表（Excel・棚卸し記録つき）
「今このシステムに誰が入れるのか」を即答できる状態にするための台帳。棚卸しから1年以上経った行、有効期限が切れた行、退職時の扱いが決まっていない行、特権なのにMFAが無い行は自動で赤くなります。パスワードは書かせず保管場所だけを持つ設計です。権限定義（ロール）と棚卸し記録を同梱し、監査で問われる「いつ誰が何件確認したか」まで残せます。
証明書管理台帳
証明書は切れるまで誰も見ないので、台帳側から期限を突きつける形にしないと必ず落ちます。残日数を数式で出し、期限切れ・残30日以内・更新担当が空の行は赤、残90日以内と自己署名のままの行は橙になります。サーバ証明書だけ更新して中間CAの配布を忘れる事故（端末によって出方が変わるので発見が遅れる）を防ぐため、ルート・中間CAと信頼ストアへの配布先を別シートで持ちます。更新作業の予定・実績・検証結果を残す更新記録つき。