クレジットカード・決済業界の案件で求められる業務知識と身につけ方｜当事者・取引の流れ・不正対策

カード・決済の案件で求められる業務知識の中心は、取引に関わる当事者の関係、承認から請求までのお金の流れ、「カード情報」という言葉が指す範囲、不正利用対策の仕組みの4つです。どの立場の会社の案件でも、この4つが分かっていれば、仕様書や会議の話の大半はつながって見えるようになります。

一方で、必要な深さは案件によって大きく違います。この記事では、4つの知識の押さえどころと、案件ごとの深さの目安、参画前と参画中の身につけ方を整理します。案件の種類はカード・決済のIT案件の記事、法令や基準の中身はカード・決済の規制の記事で扱います。

1. 当事者の関係：三者と四者を区別する

日本クレジット協会の説明では、クレジットの基本は、消費者・販売会社・クレジット会社の三者の間の契約です。消費者と販売会社の間の売買契約、消費者とクレジット会社の間の立替払契約、販売会社とクレジット会社の間の加盟店契約の3つがあり、クレジット会社が代金を立て替えて販売会社に支払い、消費者は後日クレジット会社に支払います。

国際ブランドのカードでは、カードを発行する会社（イシュアー）と、加盟店と契約する会社（アクワイアラー）が別の会社のことがあり、その場合は契約が四者の間になります。案件の会話では、さらに次の登場人物が加わります。

自分が関わるシステムが、どの当事者のもので、隣にどの当事者がいるかを最初に確かめると、電文やAPIの相手が分かり、仕様の意味が読み取りやすくなります。

2. 取引の流れ：承認・売上・支払い・請求

カード決済のお金の流れは、会社によって呼び方は違っても、おおむね次の順に進みます。

1. 承認（オーソリ）：利用のたびに、加盟店からカード会社へ、そのカードで決済してよいかを問い合わせ、即時に可否を返す
2. 売上：加盟店が確定した取引をカード会社に送る。承認だけでは代金の受け渡しは起きない
3. 加盟店への支払い：アクワイアラーや決済代行業者が、手数料などを差し引いて加盟店に代金を支払う
4. 会員への請求：イシュアーが、締め日でまとめてカード会員に請求し、口座から引き落とす

取消し、返品、金額の訂正は、この流れのどこで起きたかによって処理が変わります。承認だけ取って売上にならないもの、売上の後に取り消されるものなど、例外の扱いは設計とテストで多くの時間を使う部分です。

支払い方法の区別も押さえておきます。割賦販売法は、カードを使った後払いのうち、購入から2か月を超えない範囲で代金を受け取るものを「二月払購入あっせん」と定めています（第35条の16第2項）。日本クレジット協会は、2か月を超えて（リボルビングを含む）支払う仕組みを信用購入あっせんとして説明しており、カードを使う形は「包括方式」と呼ばれます。一括払いと分割払い・リボ払いでは、請求の計算や扱う規制が変わるため、システムの中でも分けて扱われることが多くなります。

3. 「カード情報」という言葉の範囲

カード・決済の案件では、「カード情報を持つ」「通す」という言い方が設計の前提になります。クレジットカード・セキュリティガイドライン【6.1版】の用語集は、言葉の範囲を次のように定めています。

用語集は、自社のシステムの外でカード番号を元に戻せない別の番号に置き換えるトークナイゼーションや、桁を安全に切り落とすトランケーションを施したものは、カード番号とみなさないとしています。

EC加盟店の決済の作りについては、カード情報が加盟店の環境を通る「通過型」と、通らない「非通過型」があり、非通過型の例として、決済代行業者の決済画面に移る「リダイレクト（リンク）型」と、決済代行業者のJavaScriptを組み込む「JavaScript型（トークン型）」が挙げられています。設計の会議で「この画面はカード番号を通すか」が繰り返し確かめられるのは、こうした区別が対策の要否に直結するためです。誰にどの対策が求められるかはカード・決済の規制の記事で整理しています。

4. 不正利用対策の仕組み

対面の取引：IC・PIN・本人確認

店頭の取引では、ICチップを読み取る決済端末と、暗証番号（PIN）による本人確認が基本です。ガイドラインの用語集では、カードを差し込む「接触IC取引」とかざす「非接触IC取引」を分け、カード会社が本人確認を不要とする上限額を「CVMリミット金額」と説明しています。端末の案件では、こうした取引の種類ごとの動きを仕様として扱います。

非対面の取引：EMV 3-Dセキュアと「線の考え方」

ネットの取引の本人認証がEMV 3-Dセキュアです。用語集によると、イシュアーがデバイスの情報などからリスクを判断し、リスクが低ければパスワードなどの入力なしで認証が終わり（フリクションレスフロー）、中程度なら追加の認証を求め（チャレンジフロー）、高ければ認証を拒否します。

ガイドラインは、EC加盟店での不正利用が、決済の前の不正ログイン、決済時のなりすまし、決済後の商品の配送・転売と、取引の一連の流れの中で起きるとして、各段階で対策を講じる「線の考え方」を示しています。カード会社側には、承認の情報から不正を検知する「オーソリモニタリング」があります。不正対策の案件では、自分の担当がこの線のどこにあたるかを意識すると、前後の対策との関係が見えます。

後払い以外の決済との違い

コード決済や電子マネーには、クレジットカードとは別の法律の仕組みで動くものがあります。資金決済法第3条は、金額などに応じる対価を得て発行される証票や番号などを「前払式支払手段」と定めており、先にお金を払って使うチャージ式のサービスには、この仕組みにあたるものがあります。一方、割賦販売法第35条の16第1項第5号は、利用者からカード番号の提供を受けて自社の決済用の情報と結び付ける事業者を、カード番号の適切な管理の義務を負う事業者に挙げています。同じアプリの中に複数の仕組みが入っていることもあるため、自分が触る処理がどちらに属するかを確かめておくと、仕様の理由が分かりやすくなります。

案件ごとに必要な知識の深さ

身につけ方：参画前と参画中で分ける

参画前：公開資料で骨格を押さえる

1. 日本クレジット協会の「クレジットの基礎知識」：三者・四者の契約関係や、割賦販売法による分類が説明されている
2. クレジットカード・セキュリティガイドラインの用語集：日本クレジット協会のページで公開されており、案件で飛び交う言葉の多くが定義されている
3. 割賦販売法の条文：e-Gov法令検索で、カード番号の管理を定める第35条の16などを読める

全部を覚える必要はありません。当事者の関係と取引の流れを一枚の図に描けることを目標にすると、範囲を絞れます。

参画中：社内の呼び方と取引の状態を記録する

社内では、承認や売上に独自の呼び方や状態の名前が付いていることが多くあります。公開資料の言葉と社内の呼び方の対応表を作り、取引の状態がどう変わるかを書き留めていくと、例外の仕様を追うときの助けになります。ただし、記録は参画先が認めた場所にだけ残し、持ち出さないようにします。参画中の学びの残し方は経験の棚卸しの記事、業界知識を強みにする考え方は業界知識の記事で扱っています。

よくある質問

カード決済の業務知識がまったくなくても案件に入れますか？

技術や役割が合っていれば、入れる案件はあります。決済画面の開発やデータ基盤、テストなどでは、参画後に業務を覚える前提のこともあります。参画前に、当事者の関係と承認から請求までの流れだけでも押さえておくと、立ち上がりが楽になります。

銀行の業務知識はカード・決済の案件でも役立ちますか？

口座からの引き落としや入金の消し込み、締めの処理など、お金の記録を扱う考え方は共通しています。一方、即時の承認、国際ブランドの仕様、不正利用対策はカード決済に固有の知識です。銀行の業務知識は銀行の業務知識の記事で扱っています。

決済に関する資格は取っておいたほうがよいですか？

資格がなくても参画はできます。まずは公開されているガイドラインの用語集や業界団体の基礎知識で、言葉と流れを押さえるほうが、案件で役立ちやすい順番です。資格の考え方全般は資格の記事をご覧ください。