香港の金融機関向け IT サポート

香港のヘッジファンドの IT 環境はどうなっているか

香港のヘッジファンドや資産運用会社の多くは、想像より小さく、しかし想像よりずっと機微な IT 環境で運営されています。典型的な構成は、メール、ファイル、Teams 用の Microsoft 365、全員分のノートPC と取引デスク用のマルチモニター端末、1 台以上の Bloomberg Terminal、ベンダーがサービスとして提供する注文・執行管理システム、多くはクラウドで動くポートフォリオ・リスク管理システム、そしてプライムブローカー、ファンド管理会社、投資家向けクラウドデータルームへの接続です。通話録音回線や会社が認めたメッセージアプリが注文受付の経路になることもあるため、電話も重要な要素です。

オフィスは中環（セントラル）、金鐘（アドミラルティ）、九龍東のサービスオフィスや内装済みオフィスであることが多く、2 社の回線による法人向けインターネット、ファイアウォール、Wi-Fi、数台のプリンターを備えています。社内にサーバーを置くファンドは今ではごく少数です。リスクはむしろ ID とデータにあります。誰が Microsoft 365 や取引ツールにサインインできるのか、どの端末から入るのか、社員が退職したときに何が起きるのか、という点です。最後の点については、証券会社で社員が退職する際のアクセス権の取り消しに関する当社の記事で詳しく説明しています。

そのため香港のヘッジファンド向け IT サポートは、三つの仕事に分かれます。一つ目は、市場が決める時間帯に取引デスクを動かし続けることです。二つ目は、SFC、出資者、プライムブローカーが納得できるだけのセキュリティとアクセス管理です。三つ目は証跡で、何が設定され、何がテスト済みかを、素早く正確に示せることです。チケットを処理するだけの委託先は、一つ目の仕事しか担えません。ファミリーオフィスには四つ目の仕事があり、それはプリンシパル個人のテクノロジーを、ファンドのシステムと混ぜずに支えることです。

ライセンスを取得したばかりの運用会社は、ファンド管理会社の選定や銀行口座の開設と並行して、これらすべてに一度に向き合うことになります。日系の運用会社が香港に拠点を設ける場合も同様で、日本の本社の IT 規程と香港の規制の両方を満たす必要があります。新たにライセンスを取得した資産運用会社向けの IT 準備ガイドでは、最初の投資家面談までに用意すべきシステムを一覧にしています。

ヘッジファンドやファミリーオフィスの IT 委託先の選び方

まず、投資家が御社の IT 委託先についてどのような質問をするかから考えてください。必ず質問されるからです。運用デューデリジェンスのチームは、委託先がどこの会社で、スタッフがどこにいて、御社のどのシステムにアクセスでき、そのアクセスがどう管理・記録され、委託先に問題が起きたらどうなるのかを知りたがります。候補の委託先には、自社のエンジニアが顧客テナントにどうサインインするのか、アクセス権が個人ごとに名前付きで発行されているか、契約終了時にどう取り消すのかを実際に示してもらいましょう。

次に、対応時間を確かめます。開場前に取引用端末が故障したらどうなるのか、誰が電話を受けるのか、その担当者は御社の環境を見たことがあるのかを聞いてください。パッチと変更をどう計画するのか、リバランス、決算発表、ファンド設定の前後の日を作業禁止にできるのかも確認します。口頭の約束ではなく書面のサービスレベルを求め、応答時間と解決時間を御社の取引時間と照らし合わせてください。日本語での対応が必要な場合は、その範囲も事前に確認しておくと安心です。

そのうえで証跡を見ます。良い委託先なら、契約前の段階で、毎月・四半期ごとにどの書面報告書が届くのか、セキュリティ監査やスキャンの報告書がどのような形式なのかを示せるはずです。顧客名を伏せたサンプル報告書を見せてもらいましょう。出資者に渡せる資料を示せない委託先であれば、その資料は後で御社自身が書くことになります。

最後に、規制対象の会社にとって重要な契約条件を確認します。委託先が導入するツールのデータ保存場所、監査権または委託先自身のセキュリティ証跡を受け取る権利、再委託、インシデントの通知、そして管理者認証情報と文書を返却する退出計画です。コンプライアンス担当者はこれらを、外部委託に関する SFC の期待や、シンガポール拠点であれば MAS の外部委託ガイドラインと照らし合わせます。当社のマネージドIT サービス契約のページと MSP 選定スコアカードには、よく質問される論点をまとめています。さらに、香港以外の拠点をどう支援するかも聞いておいてください。多くのファンドは数年のうちにシンガポール、上海、東京にもアナリストを置くようになります。

金融機関の IT サポート費用は何で決まるか

マネージドIT はユーザーあたりの月額で提供しています。香港ではユーザーあたり月額 HK$195 から、シンガポールでは S$100 からで、条件は価格の前提ページに掲載しています。トップページの料金計算ツールで人数とプランを入れれば金額がすぐに表示されるため、提案書を待たなくてもおおよその規模が分かります。

ファンドやファミリーオフィスの場合、費用を左右する要素は主に四つあります。一つ目は対応時間です。アジア時間だけ取引する運用会社なら平日の営業時間内のサポートで足りることもありますが、アジア・欧州・米国のブックを持つ会社や、移動の多いプリンシパルを抱えるファミリーオフィスでは、通常 24 時間体制が必要です。二つ目はセキュリティの範囲で、マネージド EDR、メールセキュリティ、特権アクセス管理、定期的なペネトレーションテストはそれぞれ費用が加わり、いずれも出資者から聞かれうる項目です。三つ目はオンサイト対応の時間です。プランには決まった回数の訪問が含まれ、追加の訪問、オフィス移転、新しいデスクの設置はトークンで購入します。ルールはトークンサービスのページにあります。四つ目は証跡づくりで、デューデリジェンスの訪問や SFC の検査への準備は通常プロジェクトとして範囲を決めます。

ハードウェアとソフトウェアのライセンスはユーザー単価とは別です。Bloomberg、市場データ、取引システムの契約は各ベンダーと直接結んでいただき、当社はそれらが動く端末を支え、各社のサポート窓口と連携します。Microsoft 365 のライセンスは当社から提供することも、既存の契約を引き続き使うこともできます。

実際には、上のどの項目よりも費用がかかっているのは、COO やコンプライアンス担当者が IT 部門を兼ねて失っている時間であることが少なくありません。当社がファンドのお見積りを作る際には、その方が今 IT に毎月どれだけ時間を使っているかを伺います。その作業を担当マネージャーと vCIO の助言が付くマネージドサービスに移すことこそが、本当の節約につながることが多いからです。香港の金融サービス企業向けマネージドIT 費用の記事では、このページと同じ料金表をもとに具体例を計算しています。

香港とシンガポール：SFC と MAS が求めること

多くのファンドやファミリーオフィスは、香港のライセンス法人とシンガポール法人を並行して運営しており、両地の規制当局はテクノロジーに対して異なる方法で臨んでいます。香港では SFC が、単一の技術規則集ではなく、行動規範、ガイドライン、通達を通じてライセンス法人への期待を示しています。インターネット取引に伴うハッキングリスクの低減に関するガイドラインは、顧客にインターネット取引を提供する会社に適用されます。外部電子データ保管に関する通達は、規制上の記録の保存方法に関わります。SFC のテーマ別サイバーセキュリティレビューは、検査官が実際に何を見るかを示しています。

シンガポールでは、2021 年の MAS テクノロジーリスク管理ガイドライン（Technology Risk Management Guidelines）が、資本市場サービスライセンスの保有者を含む規制対象の金融機関全般に適用され、ガバナンス、IT プロジェクトと変更管理、レジリエンス、アクセス管理、サイバー運用、第三者リスクへの期待を定めています。さらに MAS のサイバーハイジーン通達（Notice on Cyber Hygiene）は法的拘束力があり、資本市場の機関には Notice FSM-N22 が適用されます。管理者アカウントの保護、セキュリティパッチの適用、境界防御、マルウェア対策、多要素認証といった基本的な実務を定めています。外部委託については、銀行以外の金融機関向けの MAS 外部委託ガイドラインがあります。

銀行の場合はまた別です。香港では、HKMA の監督政策マニュアル（Supervisory Policy Manual）のテクノロジーリスク管理モジュール TM-G-1 と、サイバーセキュリティ強化イニシアチブのもとのサイバーレジリエンス評価フレームワーク（C-RAF）が認可機関、つまり銀行に適用され、SFC のライセンスを持つ運用会社には直接適用されません。ただし小規模な会社にも間接的に影響します。銀行がフィンテックのパートナーやファンドを顧客として受け入れる際、これらのフレームワークに基づくデューデリジェンスの質問を送ってくることがあるためです。

個人データについても別の層の要件があり、香港では個人資料（私隠）条例（Personal Data (Privacy) Ordinance）、シンガポールでは個人情報保護法（Personal Data Protection Act）が該当します。両方の法人を持つ会社では、管理策と証跡を一つにまとめるほうが、二つ管理するより簡単です。Premium プランには ISO 27001 などのフレームワークに対するコンプライアンス対照が含まれ、同じ証跡を SFC と MAS の期待に対応付ける作業は、お見積りの中で取り決めることができます。外部委託 IT 向けの MAS TRM チェックリストと HKMA C-RAF の記事で、それぞれをさらに詳しく解説しています。当社は管理策を実装し証跡を保存します。法的な解釈は御社のコンプライアンス担当者と顧問の判断に委ねます。