AML/KYC コンプライアンス体制の構築について

さて、私が情報提供屋ということもあり、バンカー達によく教えていただくのは、アンチマネーロンダリング（AML）の運用について頭を悩ませている現状です。この「コンプライアンス」という単語に集約されて論じられる業務分野は、古くは「詐欺師から会員企業を守る」というのを社是とした日本の大手信用調査会社の創業源流にもうかがえますし、またそもそもの不正な競争を防止する為の「反贈収賄」という概念に、米国同時多発テロを経て、大量破壊兵器拡散防止などの「安全保障貿易」という概念が加わって確立されました。さらに米国オバマ政権時には、日本の反社会的勢力（暴力団）が制裁規制対象に加わり、奇しくも国内の反社チェック（暴力団排除条例対策）とAML/KYCが交わって大きな共通概念に至ったような歴史を持ちます。

ご存じの通り、FATF（マネー・ロンダリングに関する金融活動作業部会）によるコンプライアンス体制に関する第三次対日審査（2008年）の結果は「惨憺たるもの」と数多くのメディアに引用されました。これを契機に、国内金融機関に対するコンプライアンス体制の期待値は大幅に引き上げられ、金融庁を筆頭に、行政も汚名返上へ向けた体制・制度の強化に乗り出すこととなります。

余談になりますが、情報提供屋として悲しく思うことがあります。国内に限った話ではありませんが、これまで述べたような歴史を背景に「AML/KYCの情報提供」をうたう企業が数多く設立されました。別に機会があれば述べますが、eKYCという新しいコンプライアンスの運用分野があり、ここでは多くの日系ベンチャーが活躍しています。「○○銀行が日系ベンチャーのeKYCを導入」というニュースを見るたび、喜び半分、同業としての焦り半分を感じています。ただ、コンプライアンス関連の主要な大手企業は外資系企業であり、外圧によって派生したこのビジネスチャンスに乗り、巨万の富が日本の企業から流出しています。かつ冒頭のバンカーの悩みのように、資金と時間を投じても、彼らの課題解決には至っていません。そこでまた新しい情報やシステムに投資をするという状況があり、負の循環になっている気がしてなりません。

2019年の秋、FATFによる第四次対日審査が敢行されました。もちろん金融庁は「今度こそ」という姿勢で臨んだでしょうし、巨万の富をコンプライアンス業者に投じてきた金融機関も、同じ思いであったでしょう。

審査結果の公表は、疫病の影響もあって今年の８月にまで順延されてきていますが、「この間のテスト、どうも赤点だったらしい」という学生時代の私さながら、複数のバンカーから結果が思わしくなかった（らしい）という前評価がよく聞かれます。

それを見越してか、「金融庁がコンプライアンスに関するガイドラインを強化するらしい。具体的な課題としてスクリーニングのモニタリング不備と言っていた。」という声もあります。恐らく2021年2月に公表された、金融庁「マネー・ロンダリング及びテロ資金供与対策に関するガイドライン」*1 の事を言っていたのでしょう。

この改訂版では、リスク管理に対する経営層の更なる関与など、ISMS認証と見間違うような文言が並びます。FATFが懸念する「チェックボックスにすべてチェックが付けばOK」*2 というような解釈の域を、脱し切れていないように映ります。

不思議なことにというべきか元来、銀行の問題であったAML/KYCは、すでに世界的に一般事業会社にも履行が求められるルールになっています。テンセントによる楽天への出資問題や、東芝の外資系ファンドによる買収劇など、新聞報道に接する機会も多いので、より多くの企業が認識を改めることにつながったと思われます。

古くは、日系の商社が海外でのプラント開発事業において、政府高官に接待をしたことにより受注を得たという疑義にもとづく「贈収賄法違反、不正競争防止法違反」を名目とした制裁がありました。また不運なことに非鉄金属性のパイプを製造する中小メーカーが、海外からの引き合いに喜んで輸出したところ、ミサイルの発射台に使われたことにより外為法に抵触。複数年の輸出禁止措置などという事例もありました。

つまるところ、こうした新しい概念やルールなどの適応は、動かす資金が大きいところや影響範囲が広いところから適応される傾向があり、コンプライアンスについては金融業界が最初の対象であったということです。別のブログでも言及していますが、以前のFATF審査が2008年。大手と称される国内企業が、信用調査会社にコンプライアンス関連の情報を求めだした10年程前です。今回のFATFの審査結果が、スクリーニングのモニタリング不備を指摘するものであれば、その改善は必ず金融機関以外の企業にも求められるようになると容易に想像がつきます。

では、事の発端であるFATFは何を求めているのでしょうか。英語が得意で、興味があって、学習熱心な方は、FATFのガイドライン*3をぜひ読んでください。私は正反対の人間なので、104というこのガイドラインのページ数を見ただけで、立ち眩みがします。ただ、みなさんには要約だけ紹介させてください。

• 資金洗浄やテロリスト資金供与を防止する事は、（訴訟などにより）事後対応するよりも効率的である
• ゆえにAML/CFT監視員という役割を設け、制裁規制対象（組織・個人）についての認知を向上すること。ルールを明確化して正しい行動ができるよう整備すること
• AML/CFT規定の順守を徹底し、かつ継続させる事。それらの為に、リスクベースアプローチを採ること
• リスクベースアプローチでは、監視員が特定されたリスクに対応できる体制を構築し、必要なリソースを割けるようにする事。強固なリスクベースアプローチでは、業界から事業者までを含む、リスクの全体像が掌握できるような戦略が組み込まれていること

ガイドラインの中には、FATFがいう「監視員」が行うべきコンプライアンス業務について、その詳細が記されています。端的にはルールを定め、リスクの洗い出しと評価を行い、ルールにもとづいてそのリスクが継続的に回避されているかをレビューする、というサイクルです。

FATFが求めているリスクベースアプローチと、制裁規制関連リストを対比すると、後者は前者の構成要素の一部であることがわかります。

制裁規制リストのチェックをやっているだけではダメで、それを運用する為のルールや、なぜそれが大事なのかというリスクの洗い出し及び検証がなされていることが求められています。

逆に、ルールが立派でも、アクションのトリガーになる情報がなければ、このアプローチは完遂できません。

新規取引を開始する際、相手先の経営状態を見るという目的により、信用調査報告書を活用するという業務は、今や常識となっています。そこに相手先が武器製造を行っていないか、不正資金に関連するような組織・人物が関わっていないかなどをチェックするというプロセスが入り込んできたのは言及の通りです。

ただリスクベースアプローチという観点では、ここに不足が生じます。つまり、取引開始時にチェックを行い、経営安定性も合格、武器・贈収賄・反社などのコンプラリスクも合格と判断して取引を回避しても、その取引先が来週になり武器の製造に関わっていたことにより制裁対象になるといった将来のリスクまでは拾い切れていないのです。頭が痛いところだと思います。

末筆に宣伝染みてしまいますが、リスクの継続管理については、ぜひクレディセイフにご相談ください。取引先や代表者、役員などを登録しておくだけで、将来なんらかの制裁規制リストや、ネガティブな内容で新聞紙面等に露出した場合、アラートとして報告できる仕組みでお手伝いいたします。

そうした最新情報がキャッチされた際、どのようなリスクがあり、会社としてどう対応するのか。ここがFATFが求めているリスクベースアプローチの肝になります。ぜひ（簡単に入手できる）情報を、効果的かつエクスキューズが効く「コンプライアンス」の運用にお役立てください。