みずほ銀行は日立に損害賠償を求めるか？ 全ては｢SLA｣次第、経産省ガイドラインを見てみると…

3月11日夜から12日にかけてのシステム障害は、それまでの3回とは少し事情が違う部分があります。

まず、どんなトラブルだったのか。簡単に振り返っておきましょう。

発生時刻は3月11日午後11時39分。｢統合ファイル授受基盤｣のデータセンターでディスク装置内の通信制御装置が故障しました。

本来であればバックアップ機器が稼働するはずでしたが、自動切り替えが機能しない状態に陥りました。つまり、｢冗長構成｣が機能しなかったことになります。

結局、故障した装置の交換とサーバーの再起動に7時間を要しました。加えて、みずほ側でも為替システムの復旧作業手順でミスが発生。顧客による国内の他銀行への外貨建て送金（263件）などに遅れが発生しました。

外貨建ての取引なので、送金が遅れると為替レートの変動次第では金額に差分が発生し、顧客に負担も発生します。

為替レートの差分で生じた損失は｢金額は差し支える｣（坂井社長）としつつ、みずほ側が負担する方針です。

一方で｢統合ファイル授受基盤｣を稼働させているサーバーとディスク装置について、みずほFGはこの日初めてベンダーの｢日立製作所｣が保有するものだと公表しました。

これまで｢日立製作所｣の名前は非公表でしたが、坂井社長は顧客や株主への透明性のために公表に踏み切ったと述べました。

為替レートで顧客に実損が生じたこと。ベンダー（日立製作所）が保有・維持・メンテナンスする機器で故障が発生したこと。この2点が、他3件のシステム障害とは少し事情が異なる部分になりそうです。

みずほ側｢契約に則ってしかるべきタイミングで対処｣

みずほ側は、ハードウエアが故障し、バックアップも機能しなかった際に取るべき｢早期復旧に向けた手順｣が確立されておらず｢障害について発生から復旧まで約7時間を要した｣ことは日立側の不備であると説明しています。

4月5日には日本経済新聞が｢システムの構築を請け負った日立製作所に負担の要求を検討していることが分かった｣と報道。会見では報道陣から、この報道が事実か確認する質問も出ました。

坂井社長はBusiness Insider Japanの質問に対し、｢全責任はみずほにあるのが大前提｣｢ベンダーと協力しながら改善につなげる｣と強調しました。

一方で｢契約に則って（日立側に）しかるべきタイミングで対処していく｣とも発言。｢SLA（Service Level Agreement、サービス品質保証契約）｣に基づき、日立側に損失を請求する可能性を示唆しました。

ただ、バックアップが機能せず復旧に7時間も要するようなトラブルが生じることは｢想定外｣だったと坂井社長は認めました。

責任範囲のカギ｢SLA｣とは？

今回の会見でも度々出てきたのが｢SLA｣という言葉。これが3月12日のシステム障害をめぐる責任範囲のカギになりそうです。

SLAとは｢Service Level Agreement｣の頭文字で｢サービス品質保証｣などと訳されます。

何らかのサービスを提供する企業とサービスを受ける顧客が結ぶもので、提供するサービスの内容や範囲、サービスの水準、水準を満たさなかった場合のペナルティなどを定めた契約です。

経済産業省の｢SaaS向けSLAガイドライン｣では、SLAでの目標水準が達成されない場合、ベンダー側が負う金銭的な補償について｢払い戻しではなく将来の請求額から差し引く形態をとり、上限を設定することが一般的｣と記しています。

つまり、SLAの要求水準に満たない場合はサービス使用料などの割引などが補償の一般的な内容だとしています。

また、このガイドラインでは｢自然災害、電力供給の停止、通信遮断等のインフラ障害や、利用者側の問題に起因する事由によって要求水準を達成できない場合を想定して、SLAの適用対象外となる免責事項が設定されるのが通例｣と記しています。

みずほ側は3月12日のシステム障害について、日立側の体制の不備を指摘すると同時に｢（みずほ側で）外国為替システムの復旧作業の中で手順の誤りが発生｣したと資料に明記。みずほ銀行にもミスがあったと明らかにしています。

ベンダーへの実損請求は｢個別の契約なので…｣

では、為替レートの差分のような実損をベンダーに請求することは可能なのでしょうか。

坂井社長はBusiness Insider Japanの質問に対し、｢個別の契約の問題なので差し控える｣として明らかにはしませんでした。

ただ、SLAの取り決め内容については｢契約関係について双方の理解が異なる部分はない｣｢争いになるようなことは想定していない｣と強調しました。全ては両者で結んでいるSLAの内容次第ということになりそうです。

日立製作所は4月5日、｢皆様に多大なるご迷惑をおかけしたことを、深くお詫び申し上げます｣と謝罪コメントを発表しました。

システムの供給を受けるみずほ側とベンダーの日立側で、｢想定外｣のトラブルをめぐって、何を、どこまで、どのように補償するのか。実損もベンダーの責任範囲に含まれるのか。ITベンダーと顧客との関係を考える上で、再発防止策の実効性と合わせて注目されそうです。

【資料】

・みずほFG｢株式会社みずほ銀行におけるシステム障害に係る対応状況について[PDF]｣（2021年4月5日午後4時、Business Insider Japanを含む報道機関に開示）

・日立製作所｢3月12日に発生したみずほ銀行のシステム障害について[PDF]｣（2021年4月5日）

・経済産業省｢SaaS向けSLAガイドライン[PDF]｣

もっと知る

みずほ銀行は｢社会の“心臓”｣として責任を果たせるか。2週間で4度のシステム障害、藤原頭取｢現時点で因果関係見えず｣

（文・吉川慧）