何があった？
2021年2月28日、みずほ銀行でATMの一部が利用できなくなり、多数のATMで通帳やキャッシュカードが取り込まれたまま返却されない障害が発生しました。その後も3月3日、3月7日、3月12日に別のシステム障害が続きました。
みずほフィナンシャルグループは、外部の専門家で構成するシステム障害特別調査委員会を設置。委員会は、個々の技術的原因だけでなく、障害の予兆をどう扱ったか、顧客影響をどう把握したか、休日の連絡体制、事業継続計画（BCP）、過去の障害からの学び、組織の企業風土まで検証しました。2021年6月15日に公表された報告書は167 PDFページです。
背景情報：みずほ銀行（Wikipedia）
この報告書で気になった11か所
この報告書を読むと、障害の原因だけでなく、障害が起きたあとに情報がどのように流れ、誰が何を知り、顧客への案内がどこで止まったのかがかなり具体的に分かります。警告の見落とし、紙と電話によるエラー連絡、待ち続ける顧客への情報の届き方など、現場の運用が分かる11か所です。
警告の閾値は80％。障害前日には87％まで上がっていたが対応されなかった
2月28日の障害では、問題となった索引ファイル（INDEX FILE）の使用率が上昇し、
障害前日の2月27日には87％に達していました。
警告を出す閾値は80％で、警告はシステムログに出力されていました。しかし、担当部署ではその警告が見逃されたか、確認しても対応が必要なものと認識されませんでした。別の運用部門にも警告は出ていましたが、この作業中は同部門の対応は不要とされていました。運用マニュアル上の電話連絡も翌営業日の扱いだったため、担当者へ伝わりませんでした。
委員会は、こうした監視・運用上の対応が、障害の予防機会を逃した要因の一つだったと整理しています。
大量のエラーを画面で見て、印刷し、紙を渡し、電話で読み上げていた
障害当日の午前、短時間に大量のエラーメッセージが発生しました。
監視員は画面をスクロールしながら目視で確認し、重要と判断したエラーを印刷してオペレーターに渡していました。
その後、オペレーターが担当者へ電話し、紙に出力された内容を口頭で伝えます。電話を受けた担当者には、エラーIDなどを記録する義務はなく、通話メモや録音も残っていませんでした。
委員会は、この運用では重要なエラー情報が正確に伝達されたか事後検証できないと指摘しています。
『緊急一報メール』には『監視システム上はATM正常稼働』と書かれていた
10時15分、関係部署へ「緊急一報メール」が送信されました。ATM取引不能が頻発し、原因不明であることを知らせるメールでした。
一方、そのメールには、監視システム上はATMが正常稼働しているという趣旨の定型的な記述も含まれていました。
メールを受け取った本部各部署では、そこから具体的な顧客対応へ動く担当者はいませんでした。委員会は、この文言が受信者の正常化バイアスを助長した可能性にも触れています。
14人まで増員しても、電話の9割がつながらなかった
休日のATMセンターは、東京と大阪を合わせて8人の体制でした。通帳・カード取込みの連絡が急増すると、管理者らも加わり、14人で電話対応に当たりました。
それでも10時以降の呼損率は90％台で推移しました。
別のコールセンターにも32人が配置されていましたが、時間帯によっては電話の約3分の2から7割を受けられない状態でした。広報は関係部署に確認メールを送った。返信がないので自分たちで告知文を書いた
ホームページで障害を告知しようとした広報部門は、関係部署へ状況確認のメールを送りました。
しかし返信がなかったため、広報側で対外告知文案を作成しました。
文案への異存がないことを関係部署に確認した後、掲載作業中に形式上の誤りが見つかり、アップロードをやり直しました。最初の障害告知は13時15分に掲載されました。その後、通帳・カードの取込みが多数発生していることが分かり、「後日返却するのでその場を離れてよい」と告知できないかという話になります。広報は再び関係部署へ確認しましたが、明示的な返信はなく、再び自ら文案を作成しました。
後日連絡の上で通帳・カードを返却する旨の案内は、15時40分頃に関係部長会で確認され、15時58分に掲載されました。
通帳・カードは5,244件取り込まれた。当日返せたのは1,244件だった
2月28日の障害では、ATMに取り込まれた通帳・カードは合計5,244件、顧客数では5,170人に上りました。
リモート操作、警備会社、営業店職員による回収が行われましたが、
当日中に返却できたのは1,244件でした。
残る4,000件は、翌日以降に郵送、来店、訪問などで返却されました。3月7日までに大半は返却されましたが、すべての返却が完了したのは4月22日でした。
顧客の申出には、7時間以上の待機、196回の電話、受験の見送りも
報告書には、銀行へ寄せられた顧客の申出も具体的に記録されています。
通帳やカードを取り込まれて7時間以上待った、駐車場で長時間待って料金がかかった、
電話がつながらず別の窓口へ196回かけてようやくつながった
、といった申出がありました。ほかにも、重要な試験の受験を見送った、仕事を休んだ、イベントに行けなくなった、寒い中で飲まず食わずだった、長時間トイレに行けなかったといった申出が記載されています。ここで紹介しているのは、委員会がすべてを独自に事実認定したという意味ではなく、銀行に寄せられた顧客申出の内容です。
後に行った仕様変更を先にしていれば、5,244件のうち4,915件は起きなかったと委員会は推定した
みずほ銀行のATMは、一定のエラーが起きた際に通帳やカードを機内へ取り込む仕様になっていました。勘定系システムMINORIの稼働後にも、2018年や2019年など複数回、まとまった取込み事象が発生していました。
2月28日の障害後、通信障害やATM処理区画のエラー時に、勘定取引の通帳・カードを返却する仕様へ変更されました。報告書は2021年5月9日時点の変更内容を示しています。
委員会は、この仕様変更が障害前に実施されていれば、5,244件のうち4,915件は発生しなかったと推定しています。
委員会は、過去の取込み事象をATM仕様そのものの見直しにつなげる機会があったにもかかわらず、十分に検討されなかったと指摘しています。
調査委員会の記述
ATMセンターで行われていた復旧対応についての調査委員会の記述
また、ATM センターでは、通常どおり、オートフォンが繋がった顧客に対してリモートで取り込まれた通帳・カードの返却と復旧を行っており、復旧後に次の顧客がその ATM を操作すると、再び取込みが発生するという事態が生じた。
12時30分には『その場を離れてよい』と決めていた。でもATMの前で待つ人には広がらなかった
12時30分頃、コールセンターでは、通帳やカードを取り込まれた顧客に対し、後日返却するためその場を離れても構わないと案内する方針を決めました。
しかし、この案内はATMセンター、営業店、ホームページなどへ同じタイミングでは共有されませんでした。ATMの前では、いつ返却されるのか分からないまま待ち続ける顧客がいました。
委員会は、この情報が適時に提供されていれば顧客の待ち時間を大幅に減らせたと指摘しています。また、午前中はシステム復旧が優先され、ATM停止台数や通帳・カード取込み件数など、顧客影響の情報収集自体が十分に行われていなかったとしています。
休日障害向けのBCP「事務736」の訓練は、5年間省略されていた
多数の通帳・カードが取り込まれる事態そのものを想定したBCPはありませんでした。一方、休日にATMが利用できなくなるなどのシステム障害を想定したBCPは存在していました。
休日のシステム障害を想定したBCP「事務736」の訓練は、過去5年間にわたり省略されていました。
別のBCP「事務46」の訓練を実施しており、実施内容が同一なら省略できるという扱いによるものでした。ATMセンター側の訓練も、緊急メールの送受信確認など形式的な内容が中心でした。委員会はさらに、緊急連絡先が1人しか登録されていない部署や、複数名登録されていても一部が更新されていない部署があったことも確認しています。
委員会の分析：声を上げて責任を負うより、『自分の持ち場はやった』と言える方が合理的になる
報告書の終盤で、特別調査委員会は技術的な障害原因だけではなく、企業風土に踏み込みます。
委員会は、有事の際に担当範囲を超えて自発的に行動する姿勢が弱く、状況が完全には分からない段階でリスクを指摘し、抜本的な判断をすることが控えられる傾向があったとしています。
声を上げて結果的に責任を負うより、「自分の持ち場でやれることはやった」と言える行動の方が、組織内で合理的な選択になってしまう構造を委員会は指摘しました。
委員会は、今回の調査だけで企業風土を論理的に立証することには限界があると留保しています。そのうえで、過去の障害後にも似た問題が残ったことや、抜本的なATM停止判断などがなされなかったことから、失点を恐れて積極的・自発的に行動しない傾向を促す企業風土が根底にあると合理的に推定しています。
調査委員会の記述
ATM利用者に対する本部の認識についての調査委員会の分析
他方で、銀行業務では、従前から単純な入出金や送金が営業店の窓口から ATM の利用に誘導されており、リテール部門における多くの顧客は、ATM でしか銀行と接しておらず、特に本部からすると「顔の見えない顧客」である。そのため、本部において、営業店が持っているような顧客に対する機動的な現場対応力が低下する結果となっているのではなかろうか。
報告書が指摘した背景
特別調査委員会は、一連の障害について、単なる個別システムの不具合ではなく、「危機事象に対応する組織力」「ITシステム統制力」「顧客目線」「企業風土」という複数の層に問題があったと整理しています。
2月28日の障害では、予兆となる警告を拾えなかったこと、短時間に大量発生したエラーを把握・共有する仕組みが弱かったこと、システム復旧が優先され顧客影響の把握が遅れたこと、休日の連絡・BCP・広報・営業店対応が十分につながらなかったことが重なりました。
また、みずほは2002年と2011年にも大規模なシステム障害を経験し、そのたびに再発防止策を講じていました。それでも2021年に、部門間連携、障害時の判断、顧客対応、システム安定稼働への備えなど、過去と共通する問題が再び表れたことを委員会は重く見ています。
背景の参照箇所：報告書 pp.122–130。
この記事の訂正
付箋05のアップロードのやり直しは13時15分の初報に関するもので、15時58分の返却案内とは別の経緯として訂正しました（p.62–63）。付箋07の顧客申出を「関係者の説明」に分類し、付箋10の5年間省略された訓練をBCP「事務736」に限定しました（p.83–84）。背景説明にも原典ページを付け、営業店の対応時点を明確にしました。原典PDFが埋め込みを許可していないため、出典は該当ページを別タブで直接開く方式へ変更しました。