内部・外部監査等による IT システムの有効性の検証ポイントとして、具体的にどのようなものを想定しているのでしょうか。
例えば、取引モニタリングシステムにおけるシナリオ・敷居値等が、各金融機関等の業務やリスクの特性を的確に捉えているか、当該システムで検知された事項が的確に営業部門や管理部門等におけるモニタリングのプロセスに組み込まれているか、取引フィルタリングシステムが、入力された人名や地名のスペルに慣用的な違いがあったとしても適切に検知できる設定になっているかなど、様々なものが考えられます。いずれにせよ、IT システムの有効性の検証については、各金融機関等の規模や特性等に応じて、個別具体的に判断する必要があります。
更新前設備の定格消費量と稼働時間に加えて負荷率等の変動要素を考慮して算出して想定するのが適切と考えられます。
１．取締役会等の議事録については、どのような議論がなされたか具体的に記載されていないなど簡潔に記載されていることがありますが、経営管理の観点からは、取締役会等における議案及び議事の内容の詳細な記録が残されていなければその適切性を検証することができないため、「原資料と併せて」「議案及び議事の内容の詳細が確認できるものとなっているか。」を検証することとしました。２．原資料の例としては、例えば、議事録として整えられる前に作成された議事の詳細な記録、発言内容メモや、会議に提出された資料等が挙げられますが、これらに限られるものではなく、経営管理の観点から必要となるものを適切に保存及び管理しているかを検証するものです。
レガシー（旧式）システムとは、政府においては、毎年度１０億円以上の経費を要する中央省庁の情報システムのうち、次のいずれかを満たすものと定義しています。
汎用コンピュータ、オフコンを使用したシステム及びこれに接続するためのシステム
１９９４年度以降随意契約が継続しているシステム
具体的には、「社会保険オンラインシステム」、「登記情報システム」、「特許事務システム」など３６のシステムがあり、従前、これらのシステム経費が電子政府関連予算の大半を占め、戦略的なＩＴ投資や現場における技術革新・業務改革を阻害してきました。
こうした状況を改善すべく、各システムについて「レガシーシステム見直しのための行動計画（アクション・プログラム）」を策定し、システムの刷新可能性調査を実施した上で、最適化の実施において特に重点的に取り組んでいるところです。
研究期間確保の観点からの実績報告書の提出期限の延長や委託費における様式の統一など可能な範囲での改善を図りつつあるところです。今後も、配分機関や省内WGなどにおいて、制度の目的、特性等に応じ検討を進めて行きたいと考えております。
「リスクに応じた簡素な顧客管理（SDD）」を行う対象は、一般的に、なりすま しや不正利用等のリスクが低いことが考えられる顧客や口座を想定しています。その上で、以下の点に留意することが必要と考えており、当庁としては、以下の①から⑥及び（注１）から（注３）に即している限り、SDD の対象とすることが可能と考えます。
① 法人及び営業性個人の口座は対象外であること（注１）
② 全ての顧客に対して、具体的・客観的な根拠に基づき、商品・サービス、取引形態、国・地域、顧客属性等に対するマネロン・テロ資金供与リスクの評価結果を総合して顧客リスク評価を実施し、低リスク先顧客の中から SDD 対象顧客を選定すること
③ 定期・随時に有効性が検証されている取引モニタリングを活用して、SDD対象口座の動きが把握され、不正取引等が的確に検知されていること
④ SDD 対象顧客については、本人確認済みであること（注２）
⑤ SDD 対象顧客は、直近１年間において、捜査機関等からの外部照会、疑わしい取引の届出及び口座凍結依頼を受けた実績がないこと
⑥ SDD 対象顧客についても、取引時確認等を実施し、顧客情報が更新された場合には、顧客リスク評価を見直した上で、必要な顧客管理措置を講ずること（注３）
（注１）法人や営業性個人は、取引関係者や親子会社等、関与する者が相当に多いことが一般的であり、法人や営業性個人の行う取引に犯罪収益やテロリストに対する支援金等が含まれる可能性が相応にあるものと考えられるため、SDD 対象とすることは相当ではないと考えます。
（注２）④の「本人確認済み」とは、基本的には、2016 年 10 月の改正犯収法 施行以降に同法に基づく取引時確認を実施したことを意味しています。また、1990 年 10 月１日以降に取引を開始した顧客についても、当時の規制等に沿った手続が確認されれば、「本人確認済み」と整理することは可能であると考えます。一方で、1990 年 10 月１日より前に取引を開始した顧客については、公的又は他の信頼できる証明書類等に基づき、氏名、住所及び生年月日を確認した証跡が存在しない限り、「本人確認済み」と整理することはできないものと考えます。
（注３）⑥については、SDD 対象顧客に対して顧客リスク評価の見直しを実施した場合に、再度SDD 先と整理することを妨げるものではありません。
当該委託契約及び当該内規等によって、個人データの提供先である外国にある第三者が、我が国の個人情報取扱事業者の講ずべきこととされている措置に相当する措置を継続的に講ずることを実質的に担保することができる場合には、適切かつ合理的な方法に該当するものと考えられます。
不正対策に関する方針やルール等を見直した際には、改めて提出を求めることが望ましいと考えます。 
法令では特に明確な定めはありませんが、工事設計書に記載された工事設計の内容が電波法の技術基準に適合するものであるかどうかについて検証を行っていただくことになりますので、製造業者又は輸入業者の組織のうち、そのような検証を確実に実施する能力のある部署が行うことが望まれます。 具体的には、技術基準に関する電波法規を十分に理解し、かつ、製造又は輸入しようとする無線設備の理論、構造、機能等について知見を有する技術的な事項を取り扱う部署が担当することが望まれます。