電子決済等代行業者に求める事項の基準

【ＡＰＩ連携・口座振替サービス】

• ※1　Application Programing Interfaceの略。アプリケーション同士を連携させるための接続仕様を指します。
• ※2　「リアルタイム口座振替サービス」等を利用した口座振替を指します。ただし、「料金払込サービス＜Pay-easy（ペイジー）＞情報リンク方式」等別に基準を定めている場合には、当該基準を満たすものとします。

1. 電子決済等代行業に係る業務の執行が法令に適合することを確保するために整備すべき体制に関する事項
   
   
   • (1)電子決済等代行業者の登録を受けている等、電子決済等代行業を営むうえで適切な主体であること
     
     
     • ア．電子決済等代行業者の登録を受けており、登録取消のおそれのあると判断するべき事由が認められないこと
     • イ．電子決済等代行業者、その役員、主要株主（※3）または従業員等が、反社会的勢力に該当し、または反社会的勢力と関係を有するとの懸念がないこと
     • ウ．電子決済等代行業者、その役員、主要株主（※3）または従業員等が、日本・米国およびその他の適用対象となる国や国際機関が指定している経済制裁対象者またはその関係者等に該当しないこと
     • エ．当行の商品・サービスをマネー・ローンダリング等の各種金融犯罪、テロ活動の資金支援、および日本・米国ならびにその他の適用対象となる国や国家機関が実施している経済制裁において禁止されている取引、もしくはその疑いがある取引等に利用しない事業者であり、また利用されない管理態勢を十分に整備・構築している事業者であること
     • オ．電子決済等代行業者およびそのグループ会社（※4）の事業が利用者保護のうえで支障があると判断すべき事由が認められないこと
     • カ．電子決済等代行業者およびそのグループ会社（※4）の事業が銀行サービスの向上に資すると判断できること
     • キ．電子決済等代行業者が電子決済等代行業を営むに当たり、当行のシステムに連携するために必要となる内容の契約を締結する意向があり、同契約の内容を適切に履行するうえでの懸念が認められないこと
     • ※3　「口座振替サービス」のみを利用する場合は、「主要株主」は本基準の対象外とします。
     • ※4　「口座振替サービス」のみを利用する場合は、「グループ会社」は本基準の対象外とします。
   • (2)経営および財務の状況が電子決済等代行業に係るサービスの提供を継続的に行うために十分なものであると判断できること
   • (3)電子決済等代行業者のサービスを適切に実施するための組織体制・人的体制を有していること
2. 電子決済等代行業の業務に関して取得した利用者に関する情報の適正な取扱いおよび安全管理措置のために行うべき措置に関する事項
   
   

   以下の各基準に関しては、公益財団法人金融情報システムセンターが定める「ＡＰＩ接続チェックリスト」（※5）を参照します。

   • ※5　当行の審査時における、最新版を参照することを基本とします。また、「口座振替サービス」においては、本チェックリストの「ＡＰＩ接続」等を「当行のシステムと接続」等に読み替えます。
   • (1)利用者に関する情報の適正な取扱いおよび安全管理のために行うべき措置が講じられていること
     
     
     • ア．セキュリティ管理責任の所在が明確であること
     • イ．セキュリティ管理ルールが整備されていること
     • ウ．セキュリティ管理体制の周知・定着が図られていること
     • エ．役職員による守秘義務に関して措置が講じられていること
     • オ．情報資産の廃棄の体制が整備されていること
     • カ．セキュリティ不祥事案の発生に対する体制が整備されていること
     • キ．セキュリティ対策の高度化を図る体制が整備されていること
     • ク．利用者の個人情報等の取扱いの体制が整備されていること
     • ケ．利用者の要配慮個人情報の取扱いの体制が整備されていること
     • コ．コンピュータ設備およびオフィス設備に係る情報漏洩対策が講じられていること
     • サ．システム開発・運用管理の体制が不十分と判断すべき事由が認められないこと
     • シ．サービスに係る情報の取扱いの体制が不十分ではないと認められること
   • (2)不正アクセスやサイバー攻撃の防止策等が適切に講じられていること
     
     
     • ア．不正アクセスやサイバー攻撃の発生を想定した体制が適切に整備されていること
     • イ．不正アクセスやサイバー攻撃のリスクを低減するための対策が適切に講じられていること
     • ウ．サービスに係るユーザーの認証機能が不十分と判断すべき事由が認められないこと
   • (3)利用者への情報提供、問い合わせ等への対応、補償対応その他の利用者保護が図られていること
     
     
     • ア．利用者の被害拡大を未然に防止する体制が適切に整備されていること
     • イ．利用者への情報提供・注意喚起の体制が適切に整備されていること
     • ウ．利用者への説明が適切に行われていること
     • エ．利用者からの相談・照会・苦情・問い合わせ等に対する対応を的確に行う体制が整備されていること
     • オ．利用者への補償対応の体制が適切に整備されていること
   • (4)外部委託管理の体制が適切に整備されていること
   • (5)電子決済等代行業者において適切な法令遵守体制や内部管理体制が整備されていること

以上