クラウドを1社に寄せるか、複数のクラウドに分けるか。マルチクラウドが関わる案件では、この選択は技術の比較だけで決まりません。金融庁がまとめたレポートは、クラウドサービスの利用を業法上の委託として扱う考え方を示しています。技術を選ぶ前に、契約と管理の設計が動き出しているのです。

1. マルチクラウドの判断は、技術の比較では終わりません

技術の比較を始める前に、契約の話に戻ってきます

マルチクラウドという案件名を見ると、まず設計や構築の技術要件を思い浮かべやすいものです。複数のクラウドを扱う経験や、移行の実務経験が問われる場面だと捉えるのは、自然な受け止め方です。

クラウドの選定は、可用性や拡張性、価格といった技術面の比較から始まりやすい作業です。マルチクラウドにするかどうかも、この延長で語られがちです。

ところが金融庁がまとめたレポートを読むと、話の重心が違う場所にあります。クラウドサービスの利用は、銀行法等の業法上、委託に該当するという整理です³。技術の比較よりも、契約と管理の設計の方が、判断を左右するのです。

背景には、基幹系システムへのクラウド導入や検討が進んでいる流れがあります。公益財団法人金融情報システムセンターの令和6年度金融機関アンケート調査結果では、金融分野で8割を超える金融機関がクラウドサービスを利用していると示されています¹。国内のITベンダーがメインフレーム事業から撤退する動きも、この流れを後押ししています²。

設計を担当するエンジニアにとって、この整理は他人事ではありません。技術選定の提案に、契約や監査の視点が加わってくるという意味だからです。可用性やコストの比較表だけを示しても、委託として管理する側からは物足りなく映る場面が出てきます。

これは、クラウドを使い始めた瞬間だけの話ではありません。設計した仕組みが、契約が続く間ずっと点検の対象になる、という話でもあります。組んで終わりにできる仕事ではなくなってきています。

サードパーティとしての管理には、使い始める前から終えたあとまでの流れがあります。契約前の評価に始まり、委託としての管理を経て、期中のモニタリングを続け、出口戦略までを含むライフサイクル管理です⁷。まず、この流れを4つの段階で見ていきます。

出典：金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2025年6月）が示すライフサイクル管理の考え方をもとに作成

この4つの段階は、システムを組み終えてからではなく、組み始める前から動いています。技術の比較を後回しにするという話ではなく、契約と管理の設計を並行して進める、という話です。

2. 使うことが「委託」になる領域があります

委託として管理する3つの観点

技術の選定に集中していると、その技術が契約上どう位置づけられるかまでは、意識が向きにくいものです。設計や実装の話が先に来るのは、自然な流れでもあります。

ですが業法上の整理では、クラウドサービスの利用は二段階以上の委託を含めて委託として扱われます³。加えて、クラウドサービスの特性に由来するリスクを考慮した対策を講じる必要があります⁴。委託としての管理と、クラウド固有のリスクへの対策は、別々に積み上げる項目です。

この2つは重なりません。委託先としての管理は契約と体制の話で、クラウド固有のリスクへの対策は仕組みの話です。片方を厚くしても、もう片方の欄は埋まらないという構造になっています。

この2つを、対象となる範囲とあわせて表に整理しました。

観点	内容
委託の該当性	銀行法等の業法上、クラウドサービスの利用は委託に該当します（二段階以上の委託を含みます）3
クラウド固有のリスクへの対策	クラウドサービスの特性に由来するリスクを考慮した対策を講じる必要があります4
対象となる範囲	銀行法等の業法の対象となる金融機関における取り扱いです3

この整理は、金融機関における取り扱いです。参画する案件がそのまま同じ扱いになるとは限らず、契約条件はクライアントとの協議で確認していく形になります。

案件に携わる側から見ると、委託として管理されるという前提は、提出する資料の性質を変えます。動作すれば良いという説明だけでなく、選定の根拠や運用中の点検体制まで、文書として残しておく場面が増えるからです。

「二段階以上の委託」が意味すること

委託の該当性には、二段階以上の委託を含むという注意書きが添えられています³。クラウド事業者にさらに別の事業者が関わる構成であっても、管理の対象から外れるわけではない、という整理です。

構成図の中に別の事業者が登場するたび、管理の範囲も広がっていきます。技術構成を1枚の図に描くとき、その裏側の委託関係まで意識しておくと、あとで説明を求められたときに困りません。

3. 論点は5つ挙がっています

対話で挙がった5つの論点

マルチクラウドにするかどうかを考えるとき、集中リスクの話はよく出てきます。1社に寄せると、その1社に何かあったときの影響が大きくなる、という懸念です。

金融庁とクラウドサービス事業者との対話では、集中リスクのほかにも、クラウドサービスとオンプレミスの比較、勘定系システムへの利用の趨勢、人材、インシデント対応が論点として挙げられています⁵。1つの論点だけで結論が決まる構成ではありません。

ここで気をつけたいのは、集中リスクが論点として挙がっていることが、複数のクラウドに分ければ解決するという結論ではない点です。あくまで論点として扱われている段階にとどまり、対処の答えまでは述べられていません。

なぜ1つの論点で決めないのか

1つの論点に飛びつくよりも、5つの論点を並べて見ておく方が、判断の抜け漏れを防げます。人材やインシデント対応のように、技術の比較表には出てこない観点が含まれている点も、見落としやすい部分です。

技術の設計だけを積み上げてきたエンジニアほど、契約や体制に関わる論点を後回しにしがちです。5つの論点をひとまとめに扱わず、それぞれ別の観点として確認する姿勢が求められます。

出典：金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2025年6月）をもとに作成

5つのうち、人材とインシデント対応は構成図に現れません。図に描ける論点よりも、図に描けない論点の方が、あとから決定を覆しやすい部分です。

4. チェックリストを埋める作業とは別です

目線をそろえる体制の方が効きます

サードパーティのリスク管理というと、チェックリストの欄を埋める作業をイメージしやすいものです。項目を1つずつ確認し終えると、管理が完了したように見えてしまいます。

チェックリストを用いた確認が中心になりやすいと考えられている一方で、リスク管理を実効的なものにしていくことが重要です⁶。形式的な確認を埋めることよりも、リスク管理の目線をそろえることの方が、効果を左右します。

目線をそろえる具体策としては、サードパーティリスクを一元的に管理する統括部署の設置や、関係部署間の連携が重要です⁶。担当者ごとに別々の基準で見ていては、目線はそろいません。

技術を提案する側にいると、リスク管理は別の部署の仕事だと捉えがちです。ですが目線をそろえる体制ができていない現場では、同じ技術提案でも部署によって評価が割れることがあります。提案の通りやすさにも関わってくる話です。

形式的な確認と実効的な管理の違いを、表に整理しました。

観点	内容
確認の中心	チェックリストを用いた確認が中心になりやすいと考えられている中、リスク管理を実効的なものにしていくことが重要です6
管理体制	サードパーティリスクを一元的に管理する統括部署の設置や、関係部署間の連携が重要です6

チェックリストの欄が埋まっていることと、リスクが実際に管理できていることは、同じとは限りません。両者の違いを意識しておくと、提案の説得力も変わってきます。

統括部署が担う役割

統括部署の設置や関係部署間の連携は、クラウドを含むサードパーティ全体を見渡す役割を担います⁶。個別の契約や個別の技術だけを見ていては、この役割は果たせません。

マルチクラウドの構成を提案する立場からすると、統括部署がどのような基準で確認しているかを知っておくと、提案の準備がしやすくなります。基準を先に把握しておく方が、あとから確認事項が増えるより負担が軽くなります。

5. 中が見えない相手は、書面で確かめます

見えない部分を、書面で補います

クラウドサービスを提供する相手先の内部までは、外からなかなか見えません。設計や運用の細部を、契約の外側から確認する手段は限られています。

特にサービス提供型のサードパーティについては、情報開示に制約がありリスク管理が難しいという意見が挙げられています⁸。中身が見えないからといって、確認をあきらめる必要はありません。

一般的には、契約書や第三者保証による報告書、サードパーティが提供する報告書などを、確認の手がかりとして活用することが考えられます⁸。中を直接見られない代わりに、書面で確かめる形です。

クラウドサービスを比較検討する場面でも、同じ考え方が使えます。機能や価格だけでなく、契約書に何が書かれているか、第三者による保証の報告書が用意されているかを、確認の材料に加えておく形です。

出典：金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2025年6月）をもとに作成

中身が見えない相手を評価するときほど、書面に残っている情報の価値が上がります。口頭の説明よりも、契約書や報告書に書かれている内容の方が、あとから確認できる材料になります。

マルチクラウドの構成では、確認すべき相手の数も増えていきます。1社ずつ書面で確かめる手間は、事業者を分ける判断とあわせて見積もっておきたいところです。

6. 入る前に、出る道を決めます

出口までを、入る前に描いておきます

契約を結ぶ場面では、使い始めることに意識が向きやすく、終え方まで話が及ばないことがあります。動かし始めてから見直すほうが、話としては手早く進むように見えるからです。

サードパーティリスク管理には、契約前のリスク評価、期中のモニタリング、出口戦略などを含むライフサイクル管理が求められます⁷。出口戦略は、あとから足す項目ではなく、最初から組み込む項目という位置づけです。

入り口の設計だけを丁寧に詰めて、出口の話を先送りにすると、あとになって選び直す自由が狭まっていきます。契約を結ぶ前の段階でこそ、終え方の見通しを立てておく価値があります。

契約の期間中に確認しておきたいこと

期中のモニタリングは、契約前の評価と出口戦略をつなぐ役割を持っています⁷。始める前に決めた前提が変わっていないかを、利用を続けながら確かめる段階です。

出口の設計で確かめておきたいことを、段階ごとに表にまとめました。

段階	確かめること
契約前	リスク評価を行います7
利用期間中	モニタリングを続けます7
利用終了時	出口戦略を含めて、終える道までを見通します7

3つの段階は順番に切り替わるものではなく、契約が続く間ずっと並行して動いています。契約前に決めた前提を、期中に点検し、出口の判断にもつなげていく、という関係です。

マルチクラウドにするか1社に寄せるかという問いも、この3つの段階を通して考えると、答えを出しやすくなります。契約前にどこまで評価できるか、期中にどう点検を続けるか、終えるときにどれだけ選び直しの自由が残るか。技術の比較表だけでは見えてこない判断材料です。

入る前に決めることと、出る前に決めることは、切り離せない関係にあります。図で整理すると、次のようになります。

図の作成：Remogu編集部。金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2025年6月）のライフサイクル管理の考え方を整理したもので、統計データではありません

入る前に決めることと出る前に決めることが同時に検討される関係にあるなら、案件に参画する時点で確認しておきたい項目も自然に見えてきます。契約の期間や更新の条件、終了時の対応範囲は、早い段階でクライアントと確認しておきたいところです。

技術者としてこの領域に携わる場合、選定の技術力だけでなく、契約や監査に関わる説明力も求められる場面が増えていきます。積み上げてきた設計の経験を、書面で説明できる形に整えておく価値があります。

クラウド選定やベンダー管理に関わる案件では、契約や運用体制まで踏み込んで携わる場面が増えています。Remoguで取り扱う案件は、こうした場面でもクライアントとの協議を重ねながら進める形になり、案件の90%以上がフルリモート可能です⁹。

契約の話をあとから足すよりも、入る前に出口までを決めておく方が、話が戻る回数を減らせます。技術の比較から入るか、契約と管理の設計から入るか。マルチクラウドの案件に携わるときは、後者から確かめておくと見通しが立てやすくなります。

7. よくある質問

マルチクラウドの案件でよく聞かれる点をまとめました。

クラウドの利用は、どんな場合でも委託に該当しますか

この整理は、銀行法等の業法の対象となる金融機関における取り扱いです³。参画する案件がそのまま同じ扱いになるとは限らず、契約条件はクライアントとの協議で確認していく形になります。業種や契約形態によって位置づけが変わるため、案件ごとの契約内容を確認しておくと安心です。

集中リスクへの対処として、複数のクラウドに分ければよいのですか

集中リスクは、対話で挙がった論点の1つです⁵。複数のクラウドに分けることが結論として示されているわけではなく、論点として扱われている段階にとどまります。分ける判断をする場合も、その根拠はこのレポートの外側で用意する必要があります。

出口戦略とは、具体的に何をすることですか

レポートでは、契約前のリスク評価や期中のモニタリングと並んで、出口戦略を含むライフサイクル管理が求められると述べるにとどまります⁷。契約解除の具体的な手順などは、個々の契約書の内容に沿って確認していく形になります。まずはライフサイクル管理の一部として位置づけられている、という理解から入るとよさそうです。

情報開示に制約があるサードパーティとは、どんな相手ですか

特にサービス提供型のサードパーティについて、情報開示に制約がありリスク管理が難しいという意見が挙げられています⁸。この場合は、契約書や第三者保証による報告書などを確認の手がかりに活用することが考えられます。契約前の段階で、どのような報告書が用意されているかを確認しておくと、あとの手間を減らせます。

クラウド選定やベンダー管理に関わる案件は、リモートで参画できますか

Remoguで取り扱う案件は、案件の90%以上がフルリモート可能です⁹。契約や運用体制に関わる場面では、クライアントとの協議を重ねながら進める形になります。書面で確かめる作業が中心になるため、場所に左右されにくい仕事でもあります。

クラウドとオンプレミスの比較は、この記事で結論が出ていますか

対話で挙がった論点の1つとして扱われているだけで、比較の結論までは述べられていません⁵。どちらが優れているかという話ではなく、検討すべき観点として位置づけられている段階です。

技術力があれば、契約や監査の話は気にしなくてよいですか

クラウドサービスの利用が委託に該当するという整理は、技術力の有無とは別の話です³。技術で解決できる範囲と、契約や管理で確認しておくべき範囲は、分けて考えておく必要があります。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第4編（2025年6月）
＊2 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第4編（2025年6月）
＊3 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第4編（2025年6月）
＊4 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第4編（2025年6月）
＊5 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第4編（2025年6月）
＊6 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第3編（2025年6月）
＊7 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第3編（2025年6月）
＊8 金融庁「金融分野におけるITレジリエンスに関する分析レポート」第3編（2025年6月）
＊9 Remoguサイト公開情報（案件の90%以上がフルリモート可能）