証券検査,moomoo証券株式会社に対する検査結果に基づく勧告について

　また、当社は、令和６年１月から、少額投資非課税制度（以下「ＮＩＳＡ」という。）による金融商品の提供を開始し、ネット取引を通じ、ＮＩＳＡの対象商品として、米国上場株式及び米国ＥＴＦの売買の委託の取次ぎ等を行っている。

　なお、当社は、ネット取引開始以降、株式の買付代金の贈呈などを内容とする口座開設のキャンペーン等を展開することにより、新規の口座開設者数を増加させている。

　当社における上記行為は、金融商品取引法（以下「金商法」という。）第38条第１号に規定する「金融商品取引契約の締結又はその勧誘に関して、顧客に対し虚偽のことを告げる行為」に該当するものと認められる。

　上記のとおり、当社においては、本件対象顧客に対して著しく杜撰な対応を行っている。

　しかしながら、当社は、新商品・新規サービスの導入などの業容の拡大を優先する一方で、顧客への影響を考慮する意識が不足していることから、上記②及び③のとおり、著しく杜撰な対応、かつ、顧客間での異なる対応を行っており、ＮＩＳＡの対象商品に係る登録業務等における不適切な業務運営を行っているものと認められる。

　さらに、当社は、遅くとも令和６年４月以降、自社ウェブサイトにおいて、国内上場株式の出庫が可能となるよう対応する予定である旨を表示しているにもかかわらず、検査基準日時点においても、システム開発計画の策定や予算措置などの出庫の実現に向けて必要な対応を何ら行っていない。

　当社においては、顧客の有価証券の移転を管理する口座管理機関としての責務を果たすことが求められるところ、上記行為は、顧客のために善良な管理者の注意をもって、有価証券等管理業務（振替業務）を行っておらず、金商法第43条に規定する「善良な管理者の注意義務」に違反するものと認められる。

　このため、当社では、令和５年９月から同７年７月17日までの間、口座開設を謝絶等した少なくとも延べ1,531顧客に関し、疑わしい取引の該当性を検討・判断していない状況となっている。

　当社における上記の状況は、本来届出を行うべき取引の届出がなされていないことが懸念され、犯収法に違反する可能性があるものと認められる。

　　当社においては、システムリスク評価に係る内部規程の整備が不足していることから、一部の基幹システムが情報資産の台帳に明記されていないなど、重要な情報資産におけるシステムリスク評価が十分に行われていない。また、システムリスク評価及びシステム監査等で特定された課題への対応状況について、一元的・整合的な進捗管理が行われておらず、システムリスクに係る課題管理が十分に行われていないなど、システムリスク評価等が不十分な状況となっている。

　　当社においては、サイバーセキュリティ管理に係る内部規程の整備が不足していることや台帳の整備が不足していることから、ハードウェア及びソフトウェア等の構成情報が適切に管理されていないほか、脆弱性診断等により判明した脆弱性について、業務への影響分析や対応の優先順位付けを実施しておらず、脆弱性に対するリスク対応が十分に行われていない。また、サイバー攻撃を想定したコンティンジェンシープランの実行性を確保するための対応が十分に行われていないなど、サイバーセキュリティ管理が不十分な状況となっている。

　　当社においては、システム障害管理に係る内部規程の整備や適切な人的リソースを配置していないことから、システム障害の適切な記録、根本原因の究明及び傾向分析が十分に行われておらず、システム障害管理・問題管理が不十分な状況となっている。

　　当社では、内部規程において、各部門の情報管理責任者が、情報セキュリティ管理の状況を確認すると定めているものの、当該確認が実施されておらず、各部門の情報セキュリティ管理の実態を適切に把握していないなど、システムリスクに係るモニタリングが不十分な状況となっている。

　　当社においては、システム監査の人的リソースの不足により、システム監査の指摘事項に対して実効性のあるフォロー・アップが行われていないことから、指摘事項が改善されないまま同様の指摘を再度受けるなど、システム監査が不十分な状況となっている。

　　　　当社における上記①から⑥の業務運営の状況は、投資者保護に支障を生ずるおそれがあり、金商法第40条第２号に基づく金融商品取引業等に関する内閣府令第123条第１項第14号に規定する「金融商品取引業等に係る電子情報処理組織の管理が十分でないと認められる状況」に該当するものと認められる。