TARGET2 は決済インフラの復旧を説明責任の検証へと変えた

要約

• TARGET2 の決済サービスは2020年10月23日14時40分（中央ヨーロッパ時間）頃に利用不能となった。同一リージョン内の復旧は機能せず、コンティンジェンシーモジュールも利用できず、ユーロシステムはサービスを代替リージョンに移行させた。完全な FIN メッセージ処理は、部分的な復旧と SWIFT 接続サーバーの手動再起動を経て、翌朝1時20分頃に再開された。
• 直接の引き金は、週末のネットワーク作業の準備中に設定パラメータによって起動されたサードパーティ製ネットワーク機器のソフトウェア欠陥であった。この事実は、運用責任をベンダーに転嫁するものではない。運用者が変更の分類、タイミング、テスト、ロールバック準備、サービスアーキテクチャ、フェイルオーバーのエスカレーション、参加者へのコミュニケーションを管理していた。
• 公的な影響記録は、遅延または拒否された支払いトラフィック、中断された流動性移転、補助システムへの影響、調整作業、異常な流動性行動の証拠を裏付けている。しかし、信頼できる総合的な経済損失額は裏付けていない。拒否された900件以上のトランザクションの約120億ユーロは支払い額であり、証明された損失ではない。また、約4000億ユーロ少ない翌日預金は流動性フローの比較であり、損害ではない。
• 独立したレビューでは、2020年の TARGET サービス5件のインシデント全体で40の問題が発見され、そのうち17件が高優先度であった。その最も重要な結論は、変更管理、継続性計画、フェイルオーバーテスト、文書化、コミュニケーション、ガバナンス、および管理体制が十分に統合された運用システムを形成していなかったという体系的なものだった。
• ユーロシステムはレビューの一般的な結論を受け入れ、155の是正措置を作成した。2025年7月までに、1つの措置を除いてすべて実施されたと報告された。その後のサービスの証拠は、独立したリスク委員会の設置や、別の2025年の停止時に利用可能なコンティンジェンシー決済など、意味のある変更を示しているが、同時に、大口決済の強靭性は一度限りの完了証明ではなく継続的な説明責任の義務であることも示している。

復旧が公共的な影響をもたらす決済システム

TARGET2 は、インシデント発生時、ユーロシステムのユーロ建て支払いのためのリアルタイム総額決済システムであった。市中銀行、中央銀行、市場インフラは、中央銀行マネーでの高額かつ時間的に重要な債務を決済するためにこれを使用していた。したがって、このシステムは通常の企業アプリケーションでも、ユーザーが数時間利用を放棄できる便利なチャネルでもなかった。その可用性は、銀行の流動性ポジション、補助システム、証券決済の資金調達、および銀行が顧客に転送する支払いの完了に影響を与えた。

規模がこの区別の重要性を説明している。TARGET 年次報告書2020によると、TARGET2 は同年に8870万件の取引（額面465.8兆ユーロ）を処理し、1営業日あたり平均34万5006件の支払い、1.8兆ユーロを処理した。これはユーロの大口決済システムで決済された額の約90％を占める。取引量の大部分は中央銀行が自己資金を移動したものではなく、83％は第三者送金として分類される顧客および銀行間支払いであり、補助システムのトラフィックが別の重要なシェアを形成していた。

この公共的な役割が説明責任の基準を変える。欠陥のあるスイッチに関する技術的に正しい説明は必要だが、それだけでは十分ではない。運用者は、リスクのある変更が適切に分類されテストされたこと、冗長サイトが実際に復旧可能であったこと、復旧目標が期限切れになる前にフェイルオーバーの決定が下せたこと、参加者が何をすべきか知っていたこと、および営業終了時の義務が管理されていたことを証明できなければならない。また、回避不可能な残余リスクと予防可能な管理体制の失敗を区別できるようにする証拠も、監視機関や影響を受けた参加者に提供されなければならない。

TARGET2 は紙上では洗練された強靭性設計を備えていた。2つのリージョンに4つのサイトが存在し、各リージョンに2つのサイトがあった。構造は、アクティブリージョン内のセカンダリサイトと代替リージョンの両方を提供していた。通常 ECONS と呼ばれる別個のコンティンジェンシーモジュールは、通常の決済が利用できない場合に重要な支払いを支援することを目的としていた。このインシデントは3つのレイヤーすべてをテストした：コンポーネントの冗長性、同一リージョン復旧、リージョン間復旧である。これらのうち2つのレイヤーはタイムリーな運用結果を提供できず、3つ目のレイヤーは通常の営業日が深夜まで延長された後にのみサービスを回復した。

中心的な教訓は、複雑なインフラが決して故障しないということではない。冗長性は説明責任を伴う主張であるということである。それは、本番環境に近いテスト、明確な決定権限、訓練された運用者、到達可能な参加者、および実際の復旧の証拠によってストレス下で真実であることが証明された場合にのみ、証明されたものとして扱われるべきである。

インシデントのタイムライン：復旧の境界を明確に

最初の公開運用記録は、ECB の10月23日のインシデントコミュニケーションである。それによると、すべての決済サービスが14時40分頃に利用不能になった。支払い指示、補助システム指示、および TARGET2-Securities および TARGET インスタントペイメント決済との間の流動性移転が処理できなくなった。多くの参加者が活動を監視・管理するための主要インターフェースである情報管理モジュールも利用できなかった。

より詳細な合同 AMI-Pay および AMI-SeCo インシデントプレゼンテーションは、監査に適した順序を提供しているが、それでも一部の分単位の技術的詳細は未公開のままである。最初の TARGET2 危機管理者会議はサービス喪失から35分後の15時15分に行われた。最初の参加者への連絡は15時30分だった。16時30分までに、ECONS が利用不能と報告された。運用者はアクティブリージョン内での復旧を試み続けた。

20時30分頃、停止発生から約6時間後、ユーロシステムは同一リージョン復旧が不可能と結論づけ、TARGET2 をイタリアリージョンに移行することを決定した。技術的なリージョン間フェイルオーバーは22時30分頃に完了した。このマイルストーンはすべての支払いトラフィックが復旧したことを意味するものではなかった。補助システムおよびアプリケーション間トラフィックは23時10分頃に再開した。FIN トラフィックは再開した後、SWIFT 接続サーバーの手動再起動が必要だったため再び停止した。完全な FIN メッセージ処理は10月24日（土）の1時20分頃に再開された。

ユーロシステムは運用スケジュールを延長した。顧客支払いの締め切りは3時00分、銀行間の締め切りは3時30分に設定された。その説明では、T2S からの流動性移転を含むすべてのキューイングされた指示は、バリューデートが3時30分に閉じる前に処理された。スタンディングファシリティモジュールの障害が4時15分頃に特定された。次のバリューデートは5時10分に開設され、10月26日（月）の夜間決済は5時55分に開始された。運用者は対応期間中に17回の危機会議を開催し、市場情報配信および RSS チャネルを通じて15件の参加者メッセージを送信した。

期間の解釈には注意が必要である。公開文書によって異なる終了点が使用されているからだ。ECB の独立レビューの発表では、停止は「ほぼ10時間」と説明された。その後の外部レビューでは約11時間が使用された。14時40分から1時20分の完全な FIN 処理までを数えると約10時間40分となり、22時30分の技術的なリージョン間完了ではより短い間隔、最終的な営業日終了ではより長い間隔となる。これらの記述は、測定されたサービス境界が明示されれば調整可能である。単一の誤った精度の数値にまとめるべきではない。

タイムラインは逆の誤りも防いでいる。TARGET2 が単に営業日を失い、キューを決済しなかったと言うのは誤解を招く。公式記録によれば、バリューデートは開いたままで、保留中の指示は処理された。しかし、その営業日終了の完了を成功した継続性の結果と呼ぶことも同様に誤解を招く。重要なサービスは何時間も利用できず、締め切り時間は変更され、一部の参加者はトラフィックを再送信できず、下流の顧客ファイルは遅延した。元帳の復旧は、それに至るまでの運用上の混乱を消去するものではない。

欠陥のあるデバイスが引き金であり、完全な原因ではない

ECB のインシデント後アップデートは、中央銀行内部ネットワーク内のサードパーティ製ネットワークデバイスのソフトウェア欠陥を根本的な技術的原因として特定した。ユーロシステムは、この欠陥はサイバーインシデントではないこと、是正措置が取られたこと、TARGET2 および T2S が10月26日と27日に正常に運用されたことを述べた。少数の支払い調査が依然として調整中であった。

その後の独立した説明が管理のコンテキストを提供している。次の週末に新しいスイッチをアクティブ化する準備の一環として、エンジニアは4CBnet-NG ネットワークに設定パラメータを導入した。そのパラメータは8台のデバイスのうち6台で機能していた。影響を受けたデバイスでは、ソフトウェアの動作を引き起こし、ネットワーク接続を不安定にし、アクティブリージョン内の両方のサイトに波及した。ベンダーの技術支援機能は2020年5月からこの欠陥を認識していたが、問題は運用者が入手可能な関連マニュアルやリリースノートに記載されていなかった。

このシーケンスは2つの異なる説明責任の命題を生み出す。最初のものは確認済みである：潜在的なベンダーの欠陥が本番ネットワークの変更によって起動された。2つ目は、裏付けのある制度的推論である：停止の期間と範囲は、その欠陥をめぐる運用者管理の防御に依存していた。ベンダーはソースコード、欠陥開示、テクニカルサポートを管理できる。しかし、システム所有者がネットワーク変更をビジネス影響の可能性があるものとして分類するかどうか、サービス時間内にスケジュールするかどうか、代表的な環境でテストするかどうか、ロールバックを検証するかどうか、両方のサイトを共通障害から保護するかどうか、または復旧目標内に代替リージョンにエスカレーションするかどうかは、ベンダーは管理しない。

ユーロシステムが委託し、要約形式で公開されたDeloitte 外部レビューは、これらの防御ポイントのそれぞれに弱点を見出した。ビジネス影響がないとして扱われた変更には、文書化された理由が常にあるわけではなかった。テスト証拠は不完全だった。ネットワーク、ハードウェア、電力、冷却インフラへの一部の変更は、サービスを停止させる可能性があるにもかかわらず、標準的で低リスクとして扱われる可能性があった。レビューでは、ネットワーク変更のための機能的なテスト環境がなく、重要な変更が直接本番環境に進む可能性があった。また、サプライヤーのリリース情報のレビューにも欠陥があった。

したがって、正しい因果モデルは階層的である。ベンダーの欠陥はスイッチが予期せぬ動作をした理由を説明する。変更ガバナンスは、その動作が適切な封じ込めなしに本番環境に侵入した理由を説明する。アーキテクチャとフェイルオーバーの準備は、1つの変更ドメインの障害がアクティブリージョン内の両方のサイトに影響を与え、同一リージョン復旧に抵抗する理由を説明する。危機ガバナンスは、代替リージョンを選択するのにかかった時間を説明する。コミュニケーションと参加者の準備は、技術的な復旧が直ちにすべての支払いフローを回復しなかった理由を説明する。これらのレイヤーのいずれも、個人的な動機についての推測を必要としない。それらは公開レビューに文書化された管理領域である。

名目上の冗長性が共通障害に直面

この停止は、強靭性の主張における繰り返しの弱点を露呈した：2つのコンポーネントまたは2つのサイトは、障害経路を共有しながら冗長に見えることがある。アクティブリージョン内の両方のサイトは、影響を受けたネットワーク環境に依存していた。したがって、試みられた復旧は、それを回避するのではなく、同じ不安定化条件に直面した。危機管理者が最初にコンティンジェンシーオプションを求めたとき、ECONS も利用できなかった。運用者が代替リージョンにコミットする頃には、システム上重要な決済システムに使用される2時間の復旧ベンチマークはすでに経過していた。

問題は単にフェイルオーバーに時間がかかったことだけではなかった。レビューでは、フェイルオーバーシナリオが一貫して定義されておらず、多くの場合、コンポーネント固有または静的なものであり、全体的ではなかった。プライマリサイトとセカンダリサイトは常に機能的に同一ではなかった。復旧時間目標が期限切れになる前に決断を促す十分に明確なトリガー期間はなかった。TARGET2 のフェイルオーバーテストはサイトローテーションに結び付けられており、レビューでは2019年から2020年のローテーションの間にそのようなテストが実施されなかったと報告されている。テスト報告は教訓を継続的改善に確実に集約していなかった。

以前のインシデントは有用だが限定的な反事実を提供する。2020年8月11日、TARGET2 は別の中断に見舞われ、運用者は15時45分に同一リージョンフェイルオーバーを開始した。新しいサイトは16時43分頃に技術的に利用可能になったが、残存サービスの復旧にはさらに時間がかかった。年次報告書の比較は、同一リージョン復旧が一部の障害条件下で機能する可能性があることを示している。また、なぜ成功したテストや以前のフェイルオーバーが共通モードのネットワーク障害に対する強靭性を証明できないかも示している。有効な管理セットは、アクティブリージョンの両方のサイトを除去し、管理インターフェースを損ない、コンティンジェンシーチャネルを利用不能にし、時間制限のあるリージョン間決定を強制するシナリオを必要としていた。

反事実は、ある観察されていない決定が確実にすべての遅延を防いだという主張ではなく、管理テストとして枠組みされるべきである。もし設定が機能的に代表的なネットワーク環境でテストされていれば、ベンダーの欠陥は本番前に検出されたかもしれない。もしサイトが同じ変更の影響から分離されていれば、セカンダリサイトは使用可能なままだったかもしれない。もし危機ルールが2時間目標を保護するのに十分早いリージョン間決定を要求していれば、支払い処理はより早く再開されたかもしれない。もし ECONS の準備と参加者のリハーサルがより強力であれば、通常サービスが復旧されている間も重要なトラフィックが継続したかもしれない。各命題はレビューの推奨事項によって技術的に裏付けられているが、公開記録は各管理が節約した正確な分数や取引を確定することはできない。

それが反事実的説明責任の適切な基準である。それは、誰が欠落した防御を管理していたか、そしてその防御が保護するように設計された観察可能な結果は何かを特定する。それは、もっともらしい代替案を架空の再構築に変えるものではない。

支払い被害は損失額の推定よりも広範囲

公的な支払い停止は、単一の通貨数値に還元されるべきではない複数の種類の被害を生み出す。1つ目は時間的被害：受け入れられた、または期待された支払いが、送金者、受取人、または関連システムが計画したよりも遅れて到着する。2つ目は流動性関連：銀行が口座間で現金を移動したり、証券活動に資金を提供したり、補助システムのポジションを決済したり、準備金を意図通りに配置したりできない。3つ目は運用面：スタッフがチャネルを監視し、営業時間を延長し、指示を再送信し、明細を調整し、例外を調査しなければならない。4つ目は信頼関連：参加者はコンティンジェンシーとコミュニケーションパスが期待よりも弱いことを発見する。

インシデントプレゼンテーションによると、中断が発生した時点で、その日のトラフィックの約65％、取引高の85％がすでに決済されていた。先行する2つの金曜日と比較して、日次取引高は10〜15％低く、トラフィックは3〜5％低かった。900件以上の取引（合計支払い額約120億ユーロ）が拒否された。最大の影響は、いくつかの主要な国のコンポーネントおよび補助システムと銀行間トラフィックで報告された。これらはフローの中断を示す重要な指標である。しかし、120億ユーロが消失したか、経済的損失になったという証拠ではない。

参加者の記録は、総量では明らかにされない結果を追加する。一部の銀行や補助システムは、自社のシステムが再送信できなかったり、すでに閉鎖していたりしたため、メッセージを再送信できなかった。重要な補助システムの義務は決済されたが、SEPA トラフィックの自動決済機関ファイルが欠落したため、最終受益者への送金が遅れた。一部の直接 T2S 参加者は担保再配分の問題に直面した。数十件の支払い例外が調整を必要とした。これらは、元本金額が最終的に決済されたとしても、信頼できる形の運用上の損害である。

流動性行動も変化した。11行が限界貸出ファシリティーを合計1900万ユーロ利用した。銀行は通常のパターンが示唆するよりも約4000億ユーロ少ない翌日預金を行った。これは超過準備を移動する機会が制約されたためである。この4000億ユーロは特に誤用されやすい。これは中央銀行流動性の配置の変化であり、損害、損失、または凍結された顧客資金の公的な推定値ではない。情報源は、逸失利息、参加者の人件費、顧客補償、または波及的な商業コストを定量化していない。

証券インフラへの影響は、全体というよりも選択的だった。T2S 年次報告書2020によると、T2S での証券決済は利用可能であったが、T2S と TARGET2 間の流動性移転は処理できなかった。T2S は独自のスケジュールを延長し、3時30分に閉鎖し、次の夜間決済を6時05分に開始した。この区別は重要である。インシデントはすべての証券記録を利用不能にしたわけではないが、円滑な DVP（引渡し対支払い）と担保運用が依存する現金の機動性を損なった。

この分析でレビューされたアクセス可能な公開記録は、検証済みの総合的な経済損失額、遅延した最終受益者の完全な数、または参加者ごとの補償スケジュールを提供していない。責任ある報告はこれらを未知のまま保持すべきである。システムは、公表可能な損失総額を生み出すことなく深刻な混乱を引き起こす可能性があり、その総額の欠如は損害がないことの証明と誤解されるべきではない。

誰が何を管理していたか

説明責任は、機関名だけでなく機能によって管理が割り当てられると、より明確になる。

運用者のガバナンス構造自体がレビューの一部であった。レベル1機能は統治評議会にあり、レベル2は市場インフラ委員会に、レベル3はサービス提供中央銀行にあった。デロイトは、意思決定が高レベルに集中し、委員会の状況が複雑であると説明した。文書化は常に完全な責任を確立していなかった。十分な権限を持つ中央のセカンドライン管理機能と包括的な内部管理フレームワークは完全には整備されていなかった。以前に特定された監視問題の中には、解決に時間がかかりすぎたものもあった。

これは、すべての参加者が受動的であったり、すべての下流の遅延が中央で管理されていたりすることを意味しない。再送信能力を欠いていた銀行は、その局所的な弱点を管理していた。閉鎖していた補助システムは、自己の可用性の一部を管理していた。参加者は指定された情報チャネルを監視することも期待されていた。しかし、それらの責任はインフラ運用者の義務を打ち消すものではない。運用者はコミュニケーションアーキテクチャを選択し、コンティンジェンシールールを提供し、サービスカレンダーを設定し、共有プラットフォームの強靭性を代表していた。説明責任は同時進行であり、一方の当事者の弱さが他方を免除する競争ではない。

ベンダー関係も同じ論理に従う。既知だが開示されていないソフトウェア欠陥は深刻なサプライヤー管理の事実である。公開記録はベンダーを特定せず、契約を開示せず、アドバイザリー義務が違反されたかどうかを示さず、ユーロシステムが金銭を回収したかどうかを述べていない。これらの未知の点は、ベンダーの責任に関する法的判断を妨げる。しかし、システム所有者がサプライヤーの欠陥を封じ込めることができる独立した管理を必要としていたという運用判断を妨げるものではない。

規制ベンチマークと公開法的記録の限界

停止時点で、TARGET2 はシステム上重要な決済システムに関する監督要件に関する ECB 規則に基づき、システム上重要な決済システムとして統治されていた。第15条は、堅牢な運用リスク管理フレームワーク、事業継続体制、セカンダリサイトを要求していた。体制は、重要な情報技術システムが混乱後2時間以内に再開でき、決済が営業日の終了までに完了できるように設計されることとされていた。計画は少なくとも年1回テストされレビューされることとされていた。規則はまた、重要な参加者、他のインフラ、サービスプロバイダーからのリスク管理を要求していた。

国際的なベースラインは一貫していた。CPMI-IOSCO の金融市場インフラのための原則の原則17は、内部および外部の運用リスクの特定、適切なシステムと管理、セカンダリサイト、2時間以内の重要業務の再開、混乱日の終了までの決済完了を求めている。また、重要なサービスプロバイダーおよびリンクされたインフラによって生み出されるリスクにも対処している。これらの規定は、復旧時間を単なる技術的性能指標ではなく、ガバナンスの目標にしていた。

公開されたタイムラインでは、完全な支払い処理は2時間以内に再開されなかった。同一リージョンサイトとコンティンジェンシーモジュールは利用できず、リージョン間の決定は中断開始から何時間も後に行われた。これは、パフォーマンスを規制ベンチマークと比較するための強力な根拠である。しかし、それ自体で正式に裁定された違反の証明にはならない。ここでレビューされた資料には、10月のインシデントに対して罰則を課す公開された執行決定、責任を割り当てる裁判所の判決、またはコンプライアンスのすべての要素を解決する規制当局の認定は含まれていない。

制度的な設定が証拠を特に重要にしている。ECB の監督ポリシーの説明は、ユーロシステムが情報を収集し、システムを基準に対して評価し、必要に応じて変更を誘導することを説明している。TARGET サービスはユーロシステム内で運用もされている。運用機能と監督機能は別個であるが、同じより広範な公的機関内に存在する。このケースで監督の独立性が損なわれたと主張することは推測になる。それでも、役割の目に見える分離、文書化された異議申し立て、終了証拠を要求することは合理的であり、公衆が制度的保証のみに依存する必要がないようにする。

支払い補償は正確さが重要なもう一つの分野である。当時適用されていたTARGET2 ガイドラインには、技術的な誤動作により同日中に決済できなかった受け入れられた支払い注文に対する補償スキームが含まれていた。管理手数料、金利補償、除外、および受け入れられた補償と他の請求との関係に対処していた。ユーロシステムはすべてのキューイングされた指示が延長されたバリューデートの閉鎖前に処理されたと述べているため、公開インシデント記録は、何件の注文が該当するか、請求が行われたか、何が支払われたかを確定していない。拒否されたメッセージと下流ファイルは、中央システムでの受け入れられた注文とは異なる法的問題を提起する可能性もある。

したがって、法的説明責任には文書化された下限と文書化されていない結果がある。下限は、2時間の復旧設計目標、営業日終了時の決済、年次テスト、サービスプロバイダーのリスク管理である。未知のままの結果には、執行処理、プライベートクレーム、補償額、ベンダーに対する契約上の救済が含まれる。信頼できる評価は両方を述べるべきである。

独立レビューはインシデントをシステム診断に変えた

ユーロシステムはデロイトに、2020年に発生した5件の主要な TARGET サービスの情報技術インシデントをレビューするよう委託した。作業は2020年12月下旬から2021年3月まで行われ、定義された保証方法論の下で文書、インタビュー、テストが使用された。公開された報告書は、セキュリティおよび機密クライアントの理由で要約され編集された。すべての管理の一般的な監査ではなかった。これらの範囲制限は重要であるが、レビューが実際に実証した問題の重要性を弱めるものではない。

レビューでは40の所見が報告された：17件が高優先度、17件が中、6件が低と評価され、非常に高いものはなかった。それらは6つの広範な問題領域にグループ化された：変更およびリリース管理、事業継続管理、フェイルオーバーおよび復旧テスト、コミュニケーションプロトコル、ガバナンス、データセンターおよび情報技術運用。10月のインシデントは6つすべてに触れていた。

事業継続の文書化は断片的で、時に時代遅れだった。詳細な役割は一貫して定義されておらず、訓練の証明は不十分だった。レビューは、TARGET2 と T2S の両方をカバーする有効で最新のビジネス影響分析を受け取らなかった。利用可能な T2S 分析は2015年のサービス開始前のもので、最新の状態に保たれていなかった。最新の影響分析がなければ、復旧優先順位、依存関係、許容可能な停止期間の想定を現在のビジネス現実に確実に結び付けることはできない。

変更管理には、共通の証拠豊富なライフサイクルが欠けていた。レビューでは、リスク評価、分類、テスト文書化、承認、実装計画における弱さが見つかった。営業時間中の変更は、その可能性のある影響に比例した扱いを常に受けていなかった。ロールバックの準備とインフラ依存関係は、より強力な管理を必要としていた。サプライヤーのリリース情報と代表的なネットワークテスト環境の欠如により、最終テストとしての本番動作への依存度が高まった。

コミュニケーションは、危機ガバナンス内部では参加者境界を越えるよりももうまく機能した。レビューでは、内部の危機会議と調整は概ね効果的であった。外部では、一部の参加者は TARGET2 のウェブサイトを知らなかったり、その RSS チャネルに購読していなかったりした。各国中央銀行からのメッセージは異なる可能性があり、コミュニケーションは参加者にどのような行動を取るべきかを常に伝えていなかった。教訓は一貫して正式な所有者と完了日を受け取っていなかった。

文書化と構成管理はこれらすべての領域にわたっていた。レビューでは、断片的または時代遅れの運用資料と、資産、所有者、依存関係、変更を接続できる包括的な構成管理データベースの欠如が見つかった。管理証拠は時々利用できなかった。複雑な障害の後の説明責任は、どのコンポーネントが変更されたか、誰がそれを所有していたか、どのサービスがそれに依存していたか、どのテストがそれをカバーしていたか、どの承認が残余リスクを受け入れたかを再構築することに依存するため、この欠陥は重要である。

したがって、レビューの最も重要な結果は、40の孤立した欠陥のリストではなかった。重要な決済インフラをめぐる防御が1つの一貫したシステムとして管理されていなかったという証拠だった。デバイスの欠陥が本番停止になり、共通の依存関係が局所的な冗長性を打ち負かし、不明確なトリガーが復旧時間を消費し、コミュニケーションの弱さが参加者の主体性を減少させ、断片的な証拠が保証を困難にした。診断は、ネットワーク機器の交換やパッチ適用だけでなく、ガバナンス全体にわたる是正を正当化した。

修復プログラムとその指標が証明すること、証明しないこと

ユーロシステムの独立レビューへの公式応答は、報告書の一般的な結論と推奨事項を受け入れた。受け入れは重要な説明責任のステップであり、インシデントを繰り返し不可能なベンダーの異常として扱うことを避けた。より困難なステップは、推奨事項を観察およびテスト可能な管理に変換することであった。

公開されたTARGET サービスアクションプランは、レビューに対応する6つのワークストリームを通じてこれを行った。変更管理アクションには、標準化されたライフサイクル、より強力なリスクとセキュリティ評価、共通文書化、明示的なロールバックチェック、メンテナンスウィンドウ外の変更に対するより高い承認、専用のネットワークテスト環境の分析が含まれていた。継続性アクションには、改訂された危機手順、危機管理者向けガイド、スタッフトレーニング、全体的な継続性体制、ビジネス影響分析および継続性計画の年次レビューが含まれていた。

フェイルオーバーアクションは、10月の証拠に特に関連していた。明確化された役割、定義されたテスト頻度、2時間目標を保護する決定トリガー、より代表的なシナリオ、共通テストレポート、定期的なトランザクションテスト、参加者シミュレーションを求めていた。コミュニケーションアクションは、より迅速な事実通知、より良いステータスおよび購読チャネル、重要な参加者グループとの直接連絡、中央銀行および証券預託機関間の調整されたメッセージ、正式なインシデント後学習を目指した。ガバナンスおよびテクノロジーアクションは、よりシンプルな運用モデル、法的インベントリ、権限を与えられたリスクおよび管理機能、より良い監視、代替リージョン監視アクセス、サードパーティルール、監査可能な運用、および識別された所有者を持つ構成データベースをカバーしていた。

アクションプランは、約束だけでなく運用の変更も報告した。ECONS 起動手順が実装され、スタッフが訓練された。危機ガイダンスは、意思決定者が早期のコンティンジェンシー起動を検討し、2時間の復旧目標に対してダウンタイムを制限するように改訂された。中央銀行のコンティンジェンシーネットワークへの接続性の定期的チェック、定期的なトランザクションテスト、およびより広範な演習が導入された。これらは、失敗した経路に直接対処する種類の管理である。

進捗報告は中間証拠を提供した。2022年12月の実施状況アップデートは、外部レビュー、監督所見、内部監査から生じた155のアクションを統合した。市場インフラ委員会は月次で作業を監視し、内部監査および主任監督者は裏付け証拠を評価し、統治評議会は6か月報告を受けた。2022年3月31日までに、評価者は79のアクションをレビューし、58がクローズされ、21がさらなる証拠または強化を必要とした。9月30日までに、委員会は155のうち121が完了、16が順調、18が遅延していると報告し、その多くは TARGET2-T2S 統合プログラムに依存していた。

「経営陣による完了」と「評価後のクローズ」の区別は不可欠である。プロジェクトチームは、管理が機能することを証明せずにアクションを完了できる。したがって、2022年報告書の内部監査および監督による証拠レビューの使用は、単純な完了率よりも強力であった。また、ベースラインを静かにリセットするのではなく、遅延を開示した。

2023年末までに、T2S 年次報告書2023は、計画された措置の90％以上が実施され、残りは2024年に見込まれると述べた。2025年7月、統治評議会の公表された決定は、155のアクションのうち1つだけがまだ実装を必要としており、内部監査委員会が引き続き監視すると述べた。評議会は年次報告サイクルを終了した。これは、持続的なプログラム実行の強力な証拠である。しかし、2025年7月までにすべての155のアクションがクローズされたという証拠ではない。なぜなら、評議会は1つの未完了項目を明示的に残したからである。

ガバナンスも進化し続けた。2025年9月、統治評議会は、もともと2021年に要求された TARGET サービスガバナンスの組織レビューが完了し、さらなる措置が2027年まで報告される予定であることを開示した。この後の作業は、単一の残存アクションと自動的に混同されるべきではない。その主題は公的通知で特定されていない。これは、「プログラム報告終了」が「ガバナンス改善終了」と同じではない理由を示している。

その後の運用が真の耐久性テスト

ポリシー文書は、管理が設計され割り当てられたことを示すことができる。後の運用だけが、それらが使用可能なままであるかどうかを示すことができる。TARGET 年次報告書2023は、統合された T2 サービスが2023年に完全な停止を経験しなかったが、より小規模なインシデントは経験したことを記録している。また、2023年末に改訂されたリスクおよび管理フレームワークに支えられた独立した TARGET サービスリスク委員会の設置も報告している。これは、2020年以降に特定されたセカンドラインガバナンスの弱点が制度的な対応を受けたことの関連証拠である。

より厳しいテストは2025年2月27日に訪れた。2026年に公表されたTARGET サービス年次報告書2025は、T2 と T2S の両方を何時間も中断させた別個のハードウェアおよびストレージ障害を説明している。T2 は約10時間、T2S は約8時間利用できなかった。重要なハードウェアとその冗長性が故障した。最初の診断はデータベースの問題に焦点を当てており、リージョンを切り替える決定が遅れた。サービスは18時過ぎに戻り、営業日は真夜中頃に閉じた。

2025年のイベントは、同じネットワーク欠陥の再発として提示することはできず、2020年のアクションプランが全体的に失敗したことを証明するものではない。その価値は、実際のストレステストとしてである。ECONS は後の停止中に重要な T2 支払いをサポートし、2020年10月には利用できなかったコンティンジェンシー能力が運用上有用になった証拠を提供した。同時に、T2 と T2S の同時喪失により、担保の動員が困難になり、接続されたプロセスが遅延した。インシデント後のレビューは20のアクションを生み出し、報告書によれば、ほとんどが2025年の第4四半期までに完了し、いくつかの非時間的重要な項目が進行中であった。

この混合結果は、勝利の主張や失敗の主張よりも情報量が多い。コンティンジェンシーチャネルは重要な支払いを処理したが、診断と代替リージョン復旧は再びかなりの時間を消費した。システムは改善された能力を示し、残存する依存関係を露呈した。永続的な説明責任は、両方の事実を可視化し続けることを必要とする。

作業は2026年もまだ進行中であった。2026年5月の AMI-Pay 会合結果は、2025年のインシデント後の営業日の延長と ECONS の使用に関する協議を記録している。ユーロシステムと各国中央銀行は、ECONS で最も重要な支払いのほとんどを処理するために何時間必要か、いつそこでその日を閉じる準備を開始すべきかをまだ決定していた。参加者はまた、重複指示と自社の内部システムへの悪影響を回避する必要性を強調した。これは未解決の2020年アクションの証明ではない。これは、コンティンジェンシー決済が運用者と参加者の行動を含む運用エコシステムであり、その手順は実際のイベント後に継続的に改善されなければならないという証拠である。

確認された事実、裏付けのある推論、未知の点

確認された事実。TARGET2 の決済サービスは、2020年10月23日14時40分頃に利用不能になった。情報管理モジュール、T2S および TIPS を含む流動性移転、通常の支払い決済、補助システム指示が影響を受けた。同一リージョン復旧はサービスを回復せず、ECONS は初期対応時に利用できず、ユーロシステムは20時30分頃にリージョン間フェイルオーバーを選択した。完全な FIN 処理は1時20分頃に再開された。バリューデートは延長され、運用者はすべての残存キューが3時30分の閉鎖前に処理されたと述べている。

また、設定パラメータがサードパーティ製ネットワーク機器のソフトウェア欠陥を起動したこと、ベンダーが欠陥を認識していたこと、欠陥が関連リリース資料で運用者に文書化されていなかったことが確認されている。インシデントはサイバー攻撃に起因するものではなかった。公開報告書は、拒否されたトラフィック、遅延した下流ファイル、制約された流動性移転、調整作業、変更された翌日預金行動を記録している。独立レビューは2020年のインシデント全体で40の所見を文書化し、ユーロシステムは155の是正アクションを作成し、そのうち1つは2025年7月時点でまだ実装待ちであった。

裏付けのある推論。停止の規模と期間は、デバイス欠陥のみによって決定されたわけではない。変更評価、代表的なテスト、共通モードの分離、フェイルオーバートリガー、コンティンジェンシー準備、参加者コミュニケーションにおける弱さが、運用者の管理下にあった防御を除去または遅延させた。この推論は、外部レビューと、その所見とアクションプランとの直接的な対応関係によって裏付けられている。

バリューデートを維持し、すべてのキューを処理したことで、復旧されなかった日と比較して、決済の最終性と元本リスクの結果が減少したと推論することも合理的である。情報源はその減少の定量化を許可していない。同様に、2025年の ECONS の成功した使用は、コンティンジェンシー能力が2020年以降に改善されたという推論を裏付けるが、どのアクションが改善を生み出したかを特定したり、すべてのシナリオが現在カバーされていることを証明したりするものではない。

未知の点。公開記録は機器ベンダーを特定せず、その契約を開示せず、契約上の救済が追求されたかどうかを示していない。完全な構成ログ、すべての内部決定記録、参加者レベルのキュー、または各銀行がトラフィックを再送信できなかった正確な理由を提供していない。要約されたレビューは、機密の技術的およびクライアント情報を差し控えている。これらの制限は、個々の行動と法的責任の完全な再構築を妨げる。

総経済コストは不明である。顧客損失、流動性コスト、スタッフ残業、機会費用、補償、請求、ベンダー回収の検証済みの総計はない。公開情報源は、10月のインシデントが正式な規制違反の決定、制裁、または訴訟を生み出したかどうかを確定していない。また、2025年7月の通知における155のアクションのうち最後の残存項目を特定したり、クローズされたすべてのアクションに対する公開テスト証拠を提供したりしていない。これらの欠如は、推定値で埋められるのではなく、可視化されたままであるべきである。

大口決済インフラのための永続的な説明責任テスト

このインシデントは、TARGET サービスおよび他のシステム上重要な決済プラットフォームに適用できる実用的なテストを裏付けている。説明責任は、以下の命題が保証ではなく証拠で答えられる場合にのみ永続的である。

第一に、運用者はすべての重要なサービスを所有するインフラと依存関係にマッピングできるか？最新の構成データベースは、デバイス、ソフトウェア、サイト、ネットワーク、ベンダー、ビジネスサービス、責任者、復旧手順を接続する必要がある。ネットワークパラメータへの変更は、影響を受ける可能性のあるすべてのサービスと冗長性ドメインを明らかにしなければならない。

第二に、変更の決定は可能なサービス影響に比例しているか？分類は、基礎となるネットワーク、電力、ストレージ、または冷却の作業を、それが日常的に見えるという理由だけで低リスクにしてはならない。証拠には、ビジネス影響の理由、代表的なテスト、ピアレビュー、承認された実装ウィンドウ、監視、停止条件、リハーサルされたロールバックを含めるべきである。

第三に、冗長性は重要なシナリオの下で独立しているか？1つの変更またはコントロールプレーンが両方を無効にできる場合、2つのサイトは2つの防御を提供しない。テストには、アクティブリージョンの喪失、管理インターフェースの喪失、接続されたサービスの劣化、名目上のコンティンジェンシーパスの失敗を含めるべきである。復旧が等価性に依存する場合、本番構成とバックアップ構成は機能的に等価であるべきである。

第四に、危機ガバナンスは復旧目標が期限切れになる前に決定を強制するか？エスカレーションルールは、誰が同一リージョン、代替リージョン、コンティンジェンシー処理を起動できるか、どのような証拠が必要か、最新の決定時間を指定すべきである。2時間の復旧目標は、代替経路を選択せずに2時間を超えて診断を続けることが許可された委員会によって達成することはできない。

第五に、参加者はコミュニケーションに基づいて行動できるか？ステータスメッセージはタイムリーで、アクセス可能で、運用上具体的でなければならない。影響を受けるサービス、参加者が停止または継続すべきこと、メッセージを再送信する必要があるかどうか、どの締め切りが適用されるか、次の更新がいつ到着するかを述べるべきである。重要なグループは、一部のユーザーが存在を知らないウェブページを超えたテスト済みの連絡経路を必要とする。

第六に、コンティンジェンシー処理は現実的な重要トラフィックを処理できるか？ECONS またはその後継機能は、実際のメッセージパターンと現実的なボリュームを使用して、中央銀行、市中銀行、補助システムとともにテストされるべきである。テストは、重複回避、流動性、担保制約、営業日終了、通常サービスへの移行をカバーすべきである。接続性だけでは十分ではない。

第七に、損害と例外は完全な支払いチェーンを通じて測定されているか？運用者の指標は、キューイング、拒否、再送信、重複、遅延、最終的に決済された指示を区別すべきである。補助ファイル、流動性移転、調整ケース、下流の受益者遅延を、元本を金融損失と誤ってラベル付けすることなく捕捉すべきである。

第八に、独立した管理機能がクローズに挑戦しているか？経営陣による完了、セカンドライン検証、内部監査評価、監督によるクローズは異なる段階である。高優先度のアクションは、独立したレビューアが設計だけでなく運用を確認するまで、所有者、期限、証拠を保持すべきである。

第九に、法的および参加者の救済は可視化されているか？パブリックインフラは機密性の高い請求を開示する必要はないが、該当する補償フレームワーク、可能な範囲での総請求処理、およびベンダーまたは参加者の説明責任が追求されたかどうかを説明すべきである。沈黙は、救済が利用可能または必要であったという想定に変換されるべきではない。

第十に、機関は次のインシデントの後に再び学習するか？後の障害は、以前の管理コミットメントと比較されるべきである。改善されたコンティンジェンシー使用の証拠は信用に値する。診断またはフェイルオーバーの繰り返しの遅延は調査に値する。完了したプログラムは、アーカイブではなく、維持された運用ベースラインになるべきである。

これらのテストは、2つの非生産的な極端を回避する。1つは、すべての停止を強靭性支出の失敗として扱うもので、複雑なシステムには不可能な基準である。もう1つは、アーキテクチャ図、アクションカウント、高い年間可用性を継続性が機能している証拠として受け入れるものである。防御可能な中間は要求は厳しいが測定可能である：障害は発生するものであり、責任ある機関は、予防が比例的であり、復旧がタイムリーであり、損害が管理され、決定が再構築可能であり、同じ弱さが挑戦されずに持続しないことを示さなければならない。

結論

2020年10月の TARGET2 停止は、サードパーティのソフトウェア欠陥から始まったが、複数の運用者防御が同時に失敗したために説明責任のイベントとなった。本番ネットワークの変更が欠陥を起動した。アクティブリージョン内の両方のサイトが露出した。同一リージョン復旧とコンティンジェンシー決済は利用できなかった。リージョン間フェイルオーバーは何時間もの復旧試行の後に行われた。コミュニケーションはすべての参加者が対応できるように装備しておらず、営業日は土曜日の朝まで延長されなければならなかった。

ユーロシステムは最終的にキューを処理しバリューデートを維持し、独立レビューを委託し、体系的な診断を受け入れ、外部化された進捗報告を伴う大規模な是正プログラムを追求した。これらは実質的な説明責任アクションである。その後の独立リスク委員会の創設と、別の2025年の停止中の ECONS の運用使用は、いくつかの重要な管理が変更されたという証拠を追加する。

記録は、強靭性が完了したと宣言するための基礎ではない。155のアクションのうち1つは2025年7月時点で未完了であり、ガバナンス措置は後のタイムテーブルで継続され、2025年のインシデントは診断、冗長性、同時サービス依存関係における新たな困難を露呈した。同様に、公式証拠が確立していない損失、法的違反、または個人の非難を発明するための基礎でもない。

TARGET2 は復旧自体をテストにした。共有決済インフラにとって、説明責任は欠陥コンポーネントの特定や年次可用性の報告によって満たされるものではない。それは、実際の管理を持つ機関が、変更が封じ込められ、フェイルオーバー決定が約束された復旧時間を保護し、コンティンジェンシーチャネルが実際の参加者と機能し、遅延した支払いと流動性効果が正直に測定され、監督が運用者に挑戦でき、修復が次の運用ショックを生き残ることを証明できる場合に満たされる。