G7のAI机上演習合意：金融当局の情報共有はどこで滞るか

1. 合意が動かすのは、国際的な練習の段階

片山財務相は10月16日の会見で、前日のG7等の会議を受け、AIリスクの机上演習を今後行うと説明した。[1] 机上演習は、想定した出来事への対応を議論する訓練である。[2] 合意の意味は、各国が判断を持ち寄って試す機会へ進む点にある。公表された計画を読む際には、実施日、具体的な想定、参加する金融機関、実施後の結果をそれぞれ分けて確認したい。

金融にとって重要なのは、同じ障害が起きても、それを知る当局、報告を求める当局、情報を渡せる相手が一致するとは限らないことだ。銀行の担当者は自社のサービスを調べる一方で、複数の当局が異なる問いに答えを求めるかもしれない。ここで情報の更新が止まれば、市場参加者は不明な部分を残したまま資金や取引の判断を迫られる。SG Groupは今回の合意を、AIの性能を競う催しより、こうした制度の境目を試す機会として評価する。演習の価値は、書類を一つにそろえたかだけでは測れない。どの判断に必要な情報が、どの制約のために届かなかったかを具体化できるかが焦点になる。

2. 昔からある課題に、AIという新しい圧力が加わる

国際的な演習や報告の改善は、今回初めて生まれた発想ではない。G7の2020年の基礎的要素は、演習計画を導く拘束力のない指針である。金融安定理事会（FSB）も2023年4月13日、報告制度のすり合わせに関する提言を公表した。報告の負担や基準、適時報告の文化、定義、安全な通信、越境共有の制約を扱っている。これらは背景となる既存資料であり、2026年10月の会議で成立した新しい法律ではない。[2][3]

AIへの関心を理由に、従来の仕事をすべて新しい問題として売り直す必要はない。問うべきなのは、従来の連絡や判断に使える時間が変わった場合、その手順が今も成り立つかである。2026年9月9日の国際決済銀行（BIS）金融安定研究所の論考は、先端AIによる防御上の機会とともに、対応時間の短縮や第三者への依存がもたらす金融機関のリスクを論じた。技術の進展が速くても、各国の法制度が同じ速度で変わるわけではない。その差が大きいほど、演習には新しい攻撃名を加えるだけでなく、従来の報告手順をどこまで圧縮でき、どこは圧縮できないかを見つける役割が生まれる。[4]

3. SG Groupの見方：報告の共通化には、目的の違いを残す

同じ出来事について複数の報告を求めることには、無駄な重複と、必要な違いの両方がある。サービスを止めた範囲を知りたい担当者と、金融市場への波及を知りたい担当者では、必要な説明が違う。前者が詳しい技術記録を求める一方、後者は決済や資金の移動にどこまで影響が出るかを先に知りたいかもしれない。質問の目的を整理せず、すべての欄を共通化すれば、短い報告書にはなるが、誰かの判断に必要な情報を落とす恐れがある。反対に、目的が同じなのに名前や並びだけが違う欄は、揃える余地が大きい。

そこで、報告の見直しは「同じ事実を再利用する部分」と「受け手の目的に合わせて補う部分」に分けて考えたい。共通部分には、対象サービス、観測した時点、影響の範囲、次の更新予定などを置く案が考えられる。ただし、これは本稿の分析例であり、G7が採用した新しい様式ではない。追加部分には、それぞれの制度が求める説明を残す。共通化の成果は、項目を減らした数よりも、同じ事実を転記する手間を減らしながら、受け手の必要な判断を失わなかったかで評価する方がよい。制度ごとの目的を残すことと、報告の負担を下げることは両立し得る。

4. 報告を始める条件が違えば、沈黙の意味も違う

仮に、二つの法域で同じ金融サービスの障害を把握したとする。一方はサービスへの影響を重く見て早い段階で報告を求め、もう一方は影響の大きさについて追加の評価を求める、という想定を置く。この場合、前者に報告があり後者にないからといって、後者の国には問題が及んでいないとは言えない。報告の有無は、出来事だけでなく、報告を始める条件にも左右されるためだ。ここでは実在の国の基準や期限を比較しているのではなく、条件の違いが情報の見え方を変える仕組みを示している。情報の量を比べる前に、その情報が作られる条件を読む必要がある。

国際演習で試したいのは、この沈黙を関係者がどう解釈するかである。受け手は、報告がまだ条件に達していないのか、評価中なのか、連絡経路に問題があるのかを見分けられるだろうか。送り手も、自国の正式な報告義務が始まる前に何をどこまで共有できるかを、制度に即して知る必要がある。曖昧なまま連絡を急がせれば、現場は不適切な開示と過度な萎縮の間で迷う。演習では、誰かが気を利かせることを成功条件にせず、どの種類の情報ならどの根拠で伝えられるかを説明できるかが重要になる。その確認により、連絡がないことを安全の証拠と読む誤りを減らせる。

5. 初報は、小さくても後から直せる形にする

原因が分かるまで連絡を待てば、受け手は重要な時間を失うかもしれない。一方で、初期の推測を確定事項として伝えれば、その訂正にも時間がかかる。この二つの費用を同時に扱うため、最初の報告と追加の報告には役割分担が要る。初報で知らせるべきなのは、少なくともその時点の判断に必要な変化であり、後続の更新で調査や影響評価を深める考え方だ。ただし、段階を分けるだけで各国の期限や提出先が同じになるわけではない。制度上の義務に従う部分と、共通の情報を更新する部分を接続することが課題になる。

例えば、ある決済関連サービスに遅れが出たという架空の場面を考える。初報で対象サービスと観測時刻が明確でも、遅れた処理がすべて失われたのか、後で処理できるのかは未確定かもしれない。追加報告でこの違いが分かれば、利用者が取り得る対応も変わる。大切なのは、後の数字を足すだけでなく、前の説明のどこを置き換えたかを受け手が追えることである。古い版と新しい版を混在させたままでは、同じ会議に出ている人同士でも別の状況を前提に話してしまう。初報の速さを評価するときには、その後の修正が確実に伝わる設計まで含めたい。

6. 同じ言葉でも、集計する単位が違う

国際的な情報共有を考えるには、報告書の件数と被害の広がりを分ける必要がある。たとえば、一つの外部サービスの障害を三つの銀行が別々に報告したとする。この仮定では報告は三件でも、原因となる障害は一件かもしれない。反対に、一つの銀行の報告に、決済、顧客への通知、社内の照合作業という異なる支障が含まれることも考えられる。報告の数だけを合算すると、共通の原因を重複して数えたり、複数の影響を一つに縮めたりする。演習では件数の多寡を競う前に、何を一件と数え、どの関係を別に記録するかを揃えたい。

もっとも、分類を細かくすれば解決するわけではない。初報の時点では原因が分からず、銀行同士が同じ事業者を使っているかも確定していないことがある。そこで、原因が同じと確認できた情報と、同じ可能性があるだけの情報を分けて持つという方法が考えられる。後者を無理に統合せず、関連を示す仮の印を付け、確認後に直せるようにする。これは本稿の分析上の提案で、今回の合意で採用された分類方式ではない。原因の特定を待たずに影響を伝えながら、仮説が確定事実として流通するのを避けるための工夫である。

7. 報告負担は、フォームの数だけでは測れない

複数の当局へ報告する金融機関にとって、同じ数字を何度も入力する負担と、別の目的に合わせて数字を作り直す負担は違う。仮に、ある部署が影響を受けた取引件数を把握していても、別の当局が必要とする未決済の金額や通貨別の内訳を直ちに出せるとは限らない。フォームを一つにしても、その裏側で異なる集計が必要なら作業量は残る。演習で調べたいのは、提出先の数だけでなく、誰がどの元データから何を計算し、どの数字が他の報告にも使えるかである。共通の入力欄を増やしただけでは、実務が軽くなったとはいえない。

報告の共通化には、優先順位も必要だ。障害の最中に詳細な集計を求めれば、その作業へ人員を振り向けるため、顧客の問い合わせや決済の確認が遅れる可能性がある。一方、集計を後回しにしすぎれば、当局は他の金融機関への波及を判断しにくい。この関係は、報告が少ないほどよいという話ではない。初動の判断に不可欠な情報、一定の時間をかけて確認すべき情報、平常時に用意できる情報を分けることが重要になる。演習後には、削った欄の数よりも、必要な判断を妨げずに作業の重複を減らせたかを評価する方が役に立つ。

8. 越境共有では、必要な情報と送れる情報を分ける

国外の当局が判断に必要とする情報と、国内の金融機関がその当局へ送れる情報は、必ずしも一致しない。顧客を識別できる情報、取引先との契約に関わる情報、攻撃への対応に使う情報では、共有の条件が異なる可能性がある。本稿は個別の国の法令について結論を示すものではない。重要なのは、演習への参加や情報の有用性だけでは、共有する権限が生まれないという点だ。受け手が欲しいという理由で送信できると仮定したシナリオでは、本番に残る制約を見落としてしまう。

実務上は、元の情報を丸ごと共有する以外に、判断に必要な部分だけを伝える方法を検討できる。たとえば、個別の顧客名を出さずに、影響のあるサービスと通貨、金額の集計、確認できた範囲を示す設計が考えられる。ただし、集計したというだけで常に共有可能になるわけではなく、少数の取引から相手を推測できる場合もある。演習で問うべきなのは、匿名化という言葉を使ったかではなく、その情報が受け手の判断に十分か、送る根拠が確認されているか、再共有の条件を説明できるかである。共有できない部分も明示すれば、受け手は空欄を影響なしと読み違えにくくなる。

9. 連絡経路は、受信した後の扱いまで決める

安全な連絡手段を用意することと、受け取った情報を業務に使えることは別の課題だ。仮に暗号化された経路で初報が届いても、担当者が誰に回してよいか分からず、判断する部署へ届かなければ情報共有は止まる。反対に、転送を急いで受け手の範囲を広げれば、秘密保持の条件を守れなくなるおそれがある。ここでは特定の通信製品の良し悪しを論じているのではない。送信先、受領の確認、利用できる部署、更新版への差し替え、保存の扱いを一続きの手順として考える必要がある、という制度と実務の問題である。

連絡先の一覧は、役職と個人を分けて管理する方が実態を把握しやすい。担当者の異動や時差があると、登録した名前へ連絡できることだけでは判断の権限まで確保できないからだ。仮の演習で、窓口は応答したが集計の解釈を確認できなかった場合、それは通信の成功だけで終えてよい結果ではない。どの部署が数値を説明し、どの部署が相手国への回答を承認するかが残る。連絡を受けたという記録と、内容を理解して次の行動を選べたという記録を分ければ、設備の問題と組織の問題を混同せずに改善できる。

10. 一つの銀行の問題か、共通サービスの問題か

金融システムへの影響を考えるとき、当局は個別銀行の規模だけを見ていればよいわけではない。小さな銀行でも、複数の機関が使うサービスで問題が起きた最初の報告者になる可能性がある。ここで必要なのは、その銀行が大きな損失を出したと推測することではなく、同じ機能に依存する他の機関があるかを調べることだ。反対に、大きな銀行からの報告でも、影響が独立した一部の業務に限られる場合はある。個別機関の健全性を見る問いと、共通する依存関係を見る問いを分けると、報告の受け手と必要な情報がはっきりする。

ただし、共通の事業者名が出ただけで各国の影響が同じとは判断できない。同じ会社のサービスでも利用する機能、契約、接続先、処理する通貨が違えば、障害の範囲も違い得る。机上演習では、事業者名をキーに全件をまとめる場合と、業務機能ごとに分ける場合で判断がどう変わるかを試せる。これは本稿が考える演習上の問いであり、実際に決まったシナリオではない。情報を細かく持つ目的は、依存先の一覧を充実させることより、どの決済や顧客への支払いについて次の確認が必要かを絞ることにある。

11. 決済の遅れは、資金不足とは限らない

決済に関する情報には、少なくとも二つの違う問いがある。支払う資金があるかという問いと、指図を正しく処理し相手へ届けられるかという問いだ。仮に口座残高が十分でも、指図の状態を確認できなければ、受け手は入金を使えるとは限らない。一方、システムが動いていても、必要な通貨を必要な時刻に用意できなければ支払いは進まない。報告が単に「決済に影響」と記すだけでは、当局も取引相手も、技術上の確認を待つべきなのか、資金の手当てを検討すべきなのか判断しにくい。

この区別は、中央銀行の支援を当然視するためのものではない。資金供給の対象、担保、申請、判断にはそれぞれ条件があり、今回の演習合意から新しい支援の権利を読み取ることはできない。本稿が重視するのは、原因が未確定でも、処理待ちの支払い、受領が確認された支払い、確認できない支払いを分けて伝えるという分析上の考え方である。同じ指図を再送すると二重払いになる可能性があるため、資金を増やせば解決するとは限らない。必要な情報を揃えることと、対応策を決める権限を持つことも別であり、演習ではその境界が残る。

12. 国境を越える支払いには、締切と通貨の違いがある

越境決済では、同じ障害の情報が届いても、相手国で残されている時間が同じとは限らない。ここでは実際の各国の締切時刻を比較しているのではなく、一般的な時間のずれを考えている。送金側には確認を待つ余地があっても、受け手側の業務上の締切が近ければ、受け手は別の資金を確保する必要が生じるかもしれない。翌日扱いになれば、利息、為替予約、取引先への支払いなどに影響が及ぶ可能性もある。報告書の更新時刻だけでなく、どの判断までに次の情報が必要かを共有すると、同じ「後ほど回答」の意味の違いが見えてくる。

時刻の記載も、情報の解釈を左右する。送信した時刻、観測した時刻、数値を集計した時点が混ざると、新しい報告でも中身は古い可能性がある。仮の演習なら、同じ形式の報告に異なる基準時点を入れ、受け手が取り違えずに判断できるかを確認できる。単に世界共通の時計で表示するだけでは、データの時点と判断の期限の違いは消えない。通貨についても、全体の金額を一つの通貨へ換算することと、実際に支払いへ使える通貨を持つことは違う。集計表が整っていても、必要な資金の場所と通貨が分からなければ、現場の判断には足りない。

13. 公表情報と当局間の情報は役割が違う

当局間で詳細を共有できても、そのまま市場へ公表できるとは限らない。対応中の弱点や個人を特定する情報を含む場合、広く知らせることで別の問題を生むおそれがある。一方、公表を控える間にも、顧客や企業は給与、仕入れ、投資資金の支払いを判断しなければならない。必要なのは、秘密情報をすべて出すか何も言わないかという二者択一ではない。利用できるサービス、確認中の範囲、顧客が取るべき行動、次に案内する時点などを、確かめられた範囲で説明する余地がある。これは公表の一般的な考え方で、今回のG7合意が特定の開示義務を定めたという意味ではない。

市場が求める説明と、技術担当者が確定できる説明の間にはずれが生じる。障害が終わる時刻を答えられなくても、現在どの取引が利用できるかを伝えることはできるかもしれない。未確認の復旧予想を約束に変えると、外れた際に説明への信頼を損なう。逆に「調査中」だけを繰り返せば、利用者は自分に関係する範囲を判断できない。机上演習では、非公開の情報が増えたときに、公表文のどこを更新できるかを検討するとよい。情報を集めた量ではなく、守るべき情報を守りながら、利用者の次の選択をどこまで具体的に支えられるかが焦点になる。

14. 市場への経路は、費用、資金、信用で分ける

AIリスクへの共同演習という発表だけから、金融株の利益や市場全体の値動きを予測することはできない。経済への経路を考えるなら、まず費用、資金繰り、信用の問題を分けたい。費用の面では、報告作業や追加の照合、顧客対応に人員が必要になる可能性がある。資金繰りの面では、入金を確認できない企業や金融機関が、一時的に余分な手元資金を持とうとする場合がある。信用の面では、支払いの遅れが続いたときに取引先の支払い能力をどう評価するかが問題になる。これらは条件付きの経路であり、今回すでに費用増や資金需要が発生したと述べているのではない。

報告の改善が役立つとすれば、全ての損失を防ぐからではなく、どの経路が動いているかを早く見分けるためだ。事務処理の遅れが中心なら、信用不安として広く扱うことは過剰な反応になり得る。反対に、複数の支払先で資金不足が続いているのに、単なる通信の問題として扱えば必要な判断が遅れる。演習後の評価では、報告が何分速くなったかだけでなく、違う種類の問題を区別して、適切な担当へ渡せたかを見るべきだろう。ただし、判断に役立ったことと、実際の市場で損失が減ることは別の証明を必要とする。演習結果をそのまま経済効果の金額へ換算することはできない。

投資家が確認する場合も、演習の参加そのものを収益の材料に置き換えない方がよい。報告の改善に伴う費用は先に出ても、事故が起きなかった場合の便益を個別企業の決算から切り分けるのは難しい。また、顧客の離反や契約条件の変更は、障害の種類と長さ、説明の内容によって変わり得る。政策上の備えと企業価値の評価の間には、実際の業務、費用、契約、顧客行動という確認すべき段階が残る。今回の発表だけで、その段階を飛ばした売買判断を導くことはできない。

15. 企業は、入金予定と使える現金を分けて考える

企業の立場では、銀行や当局の報告様式より、売上の入金をいつ支払いへ使えるかが重要になる。たとえば、輸入企業が代金を受け取る予定でも、その着金を確認できなければ、仕入先へ支払うために別の現金を用意する必要があるかもしれない。手元資金が少ない企業ほど、短い遅れでも取引条件の変更を求められる可能性がある。ただし、すべての企業が同じ影響を受けるわけではない。支払い期限、利用する通貨、代替の決済手段、取引先との契約、余裕資金によって差が出る。金融当局が知りたい集計と、企業が必要とする自社の取引状況は、その目的が異なる。

この違いから、当局間の連携が進んでも、企業への案内が自動的に改善するとは限らないことが分かる。全体の影響を把握する集計と、個々の顧客が確認する照会先をつなぐ工夫が必要になる。本稿の分析では、顧客へ説明できる事項と、当局向けにしか扱えない事項を演習中に分けることが有用だ。事業者が代替手段を案内する場合も、利用可能な条件や二重払いを避ける手順を伴わなければ混乱を増やすおそれがある。演習の価値は、企業に新しい対応義務を増やすことではなく、既存の契約やサービスの範囲で何を確認できるかを明確にする点にある。

16. 参加者の幅と、演習の負担を両立させる

大手金融機関だけで情報共有を試すと、専門部署や人員が揃っていることを前提にした手順になりやすい。ここで述べるのは、今回の参加者がそうだという事実ではなく、演習設計に対する注意点である。小規模な機関では、一人が顧客対応、集計、当局への連絡を兼ねる場合も考えられる。提出する情報が同じでも、必要な時間や代わりの担当を置ける余地は異なる。共通の様式を採用するなら、専門の担当者がいない場面でも使えるか、平常時の準備で埋められる情報は何かという確認が必要になる。参加者の数が増えただけでは、こうした違いを検証したことにはならない。

負担を軽くする方法として、すべての参加者が同じ量の演習を行う以外の設計も考えられる。共通する連絡手順を確認する部分と、国境を越える複雑な報告を扱う部分を分ければ、各機関の役割に応じて参加する範囲を決めやすい。ただし、簡略化した機関が重要な依存先につながっているなら、その接点まで省いてはならない。効率化の判断には、組織の規模より、どの情報を誰に渡す役割があるかを使いたい。演習を一度終えることに合わせて条件を軽くするのではなく、普段の業務で維持できる手順かどうかを確かめることが、継続する備えにつながる。

17. 演習後の改善は、次に試せる形へ落とす

演習で報告の遅れが見つかっても、「連携を強化する」という結論だけでは、次回に何が変わったかを確かめにくい。たとえば、同じ数字の意味を当局間で何度も確認したなら、必要なのは連絡回数を増やすことではなく、定義や記入例を見直すことかもしれない。送れる情報の範囲で判断が止まったなら、文書の書式だけを直しても解決しない。原因ごとに改善策を分け、どの部署がいつまでに何を変え、どの場面で再確認するかを決める必要がある。これは2020年のG7原則が扱う演習と改善の関係にも沿うが、今回の合意について具体的な改善計画が公表されたとは確認できていない。[2]

測定する対象も、見かけの速さだけに寄せない方がよい。初報が早く届いても、その後に大幅な訂正が続き、受け手が古い数字で判断したなら、実務上の改善とは呼びにくい。一方、初報に少し時間をかけたことで重要な区分が明確になり、余計な照会が減る場合も考えられる。本稿では、初報までの時間、重要な修正の伝達、必要な判断に使えたかを組み合わせて評価するのが妥当と考える。どれを重視するかは業務次第であり、単一の点数にすると違いが隠れる。実際の演習結果が出る前に、国や機関の順位を付ける材料にはならない。

18. 共通化がかえって判断を遅らせる場合もある

報告の統一には有力な反論がある。全ての当局の要望を一つの様式へ盛り込むと、項目が増えすぎて初報が遅くなるかもしれない。国際的に合意できる最低限へ絞れば、今度は国内の重要な判断に必要な情報が足りない可能性がある。また、共通の分類に当てはまらない事象が起きたとき、例外を書く余地がなければ、形式は整っていても実態を伝えられない。標準化はそれ自体が目的ではなく、異なる受け手が必要な情報を解釈するための手段である。空欄をなくすことを優先して、確かめていない数字まで埋める設計では逆効果になる。

この反論への答えは、共通化をやめることでも、国内の要求を無条件に優先することでもない。共通して使う情報と、目的に応じて追加する情報を分け、分からないことを分からないまま伝える欄を持つ方法が考えられる。ただし、それだけで負担が減ると決めつけず、同じ事象を別の形式で報告した場合と比べる必要がある。演習で比較できるのは、求めた情報が使われたか、重要な問いが残ったか、修正が追いついたかである。比較の結果、共通の様式がある場面では役立ち、別の場面では個別のやり取りが必要だと分かっても、それは失敗とは限らない。適用できる範囲を知ること自体に価値がある。

19. 効果を見る三つの条件付きの展開

第一の展開は、演習が報告の実務を改善する場合だ。受け手が必要とする情報と、その情報を作れる部署が明確になり、初報と更新の扱いが揃う。国ごとの権限が違っていても、何を共有できないかを事前に説明できれば、照会の行き違いを減らせる可能性がある。この場合も、事故の発生率や損失が下がったと直ちに結論付けることはできない。演習で確認した改善が平常時の手順に残り、担当者の交代後にも使えることが次の条件になる。合意の発表は、この展開の出発点であって、結果の証明ではない。

第二の展開は、演習によって制度上の制約が明確になる一方、解決には時間がかかる場合である。情報を共有する根拠や当局の役割が課題なら、担当者の練習だけでは変えられない。第三は、演習を行ったという実績が先に立ち、実務の変更が確認できない場合だ。公表される情報が限られるため、外部の読者が改善の有無を断定できないこともある。この三つに確率や点数は付けない。進展を見分けるには、演習の回数だけでなく、課題の種類、改善を担う主体、再確認の有無など、公表できる範囲の具体性が必要になる。機密の詳細が出ないことと、改善がないことも同一ではない。

20. 何が分かれば、今回の評価を変えるか

今後の公表でまず確かめたいのは、演習が扱うAIリスクの範囲と、金融当局がどの役割で参加するかである。AIを使った攻撃への対応、金融機関が使うAIの障害、外部サービスへの依存では、必要な情報も連携先も違う。現時点の一次資料から、その全てを今回の演習が含むとはいえない。実施日や詳細が発表された場合も、発表された計画と実施済みの結果を分けて読む必要がある。報道で広い意味のサイバー演習と説明されても、公式資料の対象が狭ければ、その範囲で評価するべきだ。未公表の設計を補って好意的にも悲観的にも描かないことが大切である。

SG Groupは、今回の合意を国際的な備えを進める機会として見る。ただし、評価の中心は、共通の文章ができたかではなく、異なる当局が異なる目的で必要とする情報を、許される範囲で使えるようになるかに置く。演習後に、報告の重複を減らしながら重要な判断を保てたと確認できれば、評価を引き上げる材料になる。反対に、同じ数字の解釈や共有の根拠が毎回未整理のままなら、演習回数が増えても改善は限られる。金融市場と企業にとって重要なのは、危機への強い言葉より、支払い、資金、説明に関する不確実性をどこまで狭められるかである。