AML有効性検証の進め方 ― 顧客リスク格付（CDD）の場合

金融機関のAML（マネー・ローンダリング対策）に携わっていると、「有効性検証をやることは決まったが、何から手をつければいいのか分からない」という相談を受けることがあります。態勢は整備した。システムも入れた。ではその仕組みが実際に効いているのかを、どうやって示すのか。

本稿では、AML有効性検証の全体像を踏まえたうえで、特に顧客リスク格付（CDD）の妥当性評価に絞って、進め方の一例を整理します。

なぜ、いま

第5次対日相互審査は2027年秋、法令遵守に関する自己申告書の提出から実質的に始まります（財務省「5次のトリセツ」2026年6月（新しいタブで開きます））。オンサイト審査は2028年8月とされ、その1年前にあたる2027年の書類審査では、民間の対応状況について書類審査前の数年分の資料が確認されると見られています（PwC Japan（新しいタブで開きます））。

ここが重要な点です。2027年に向けて準備を始めればよい、という話ではありません。2027年の時点で、それ以前の数年間の運用実績が遡って確認される。 つまり、いま実施している検証とその記録が、そのまま審査の対象になります。

金融庁も、取引モニタリング、フィルタリング、顧客管理（CDD）などAMLシステム全体を対象とした有効性検証を重視し、その取組状況をガイドラインや事例集を通じて明確化しつつあります。

有効性検証が難しい理由

有効性検証は、チェックリスト型で実施できるものではありません。金融機関ごとのリスク特性とシステム構造に応じて、検証の内容そのものを設計する必要があるためです。

「どこから着手し、何を基準に妥当性を判断すべきか」が分かりにくい。多くの金融機関にとっての課題は、検証の実施能力ではなく、体系立った進め方が確立されていないことにあります。

全体の流れ：2つのフェーズ

有効性検証は、評価基準を定めて対応方針を検討する「計画フェーズ」と、その方針に沿って具体的な施策を実施する「実行フェーズ」に分けて進めるのが一般的です。規模によっては、フェーズごとにプロジェクトを分けて進行することもあります。

フェーズ	目的
計画フェーズ	当局要請、業務課題、データ品質等を踏まえ、今年度取り組むべき検証方針を整理する
実行フェーズ	方針をタスク化し、優先度をつけて実施し、改善へつなげる

分けることの意味は、「何をやらないか」を先に決められる点にあります。有効性検証は、やろうと思えばいくらでも広がります。計画フェーズで対象を絞らないまま実行に入ると、工数だけが膨らんで結論が出ません。

計画フェーズ：何に注力するかを決める

計画フェーズでは、リスクベースで検証領域を整理し、対応方針を明確にします。観点の一例は次の通りです。

観点	内容	目的
当局ガイドラインとのGAP	ガイドラインや事例集と現状との差異を整理	求められる重点領域と水準を把握する
現状の業務課題	日常の業務担当者の目線からの情報を集約・整理	自行を取り巻く新たなリスクや改善点を認識する
商品・サービス変更	追加されたサービスやチャネルを整理	適切なAMLシステムへの反映を確認する

この3つを踏まえて、全体の「対応方針」を策定します。

実務上、見落とされやすいのは2つめの「現状の業務課題」です。ガイドラインとの差異はドキュメント同士の突き合わせで見つかりますが、日々アラートを捌いている担当者が感じている違和感は、意識して集めにいかないと表に出てきません。そして多くの場合、そこにこそ改善の糸口があります。

実行フェーズ：4つのステップ

計画フェーズで定めた方針を具体的なタスクに落とし込み、優先順位を付けて実施します。検証結果を記録し、その後の改善につなげることも同じく重要です。

ステップ1：対応方針のタスク化

対応方針をタスクに分解します。個々のタスクについて「目的」と「作業内容」を明確にし、「作業ボリューム」と「優先順位」を検討します。

ステップ2：タスクの選定と実行

直近の有効性検証プロジェクトの対象とするタスクを選定し、実行します。

ここで大切なのは、中長期的な対応が必要なタスクを、明示的に対象から外すことです。別途の課題管理に載せ、対応時期を検討したうえで、直近のプロジェクトからは除外する。曖昧に残しておくと、期限内に終わらないタスクがプロジェクト全体の進行を止めます。

ステップ3：ドキュメント化

一連のプロセスが正しく実施されたことをドキュメント化し、報告・保存します。次回以降の有効性検証を行う際にも参照します。

この工程は後回しにされがちですが、冒頭に述べた通り、審査では過去数年分の記録が確認されます。検証を実施した事実は、記録が残っていなければ存在しなかったことと同じです。

ステップ4：改善対応の検討

得られた結果をもとに、対応策を検討・整理します。改善内容がシステムへの反映を必要とする場合は、影響範囲を確認しながら適用の実施を計画します。

顧客リスク格付（CDD）で見る指標

金融機関によって直面するリスクや状況は異なりますが、一般的な指標の例を挙げます。実際のプロジェクトでは、取得できるデータや情報の内容に応じて変更や増減があります。

基礎的指標

カテゴリ	指標
全体	顧客数、口座数
拠点別	拠点別顧客数、拠点別口座数
非居住者	非居住者顧客数、非居住者顧客残高
外国PEPs	外国PEPs顧客数、外国PEPs残高

リスク指標

カテゴリ	指標
格付分布	格付別顧客数（H/M/L）、リスク評価項目別顧客数
拠点別ハイリスクCIF分布	拠点別ハイリスク顧客数、拠点別ハイリスク顧客率
顧客リスク格付状況	格付別アラート件数、格付別アラート発生率
疑わしい取引届出との相関	格付別届出件数、格付別届出率

指標を並べること自体が目的ではありません。基礎的指標は分母を押さえるためのものであり、リスク指標を率で見るときに初めて意味を持ちます。拠点別ハイリスク顧客「数」が多い拠点は、単に顧客数が多いだけかもしれない。「率」で見なければ判断を誤ります。

分析で作るグラフと、そこから読むこと

顧客リスク格付の有効性検証では、過去データを用いてリスク格付モデルの安定性や正確性を統計的に検証する観点があります。この観点で分析を行う際には、過去データから次のようなグラフを作成し、それをもとに評価するのが一般的です。

格付別の届出数推移（H/M/L別の積み上げ、月次で1年以上） 高リスク格付の顧客から、相応の比率で届出が出ているか。低リスク格付から多くの届出が出ているなら、格付ルールが実態を捉えられていない可能性があります。

顧客リスク格付スコアの分布 スコアがどこに集中しているか。しきい値の直前直後に山があれば、わずかな属性の違いで格付が大きく変わる状態になっており、ルールの見直しを検討する材料になります。

いずれも、単月の断面ではなく経年での推移を見ることが要点です。モデルの安定性は、時間軸を取らなければ評価できません。

必要になる資料とデータ

プロジェクトの実施に当たって必要になると考えられる資料とデータの例です。これも実際には、取得できるデータや情報の内容に応じて変わります。

資料

資料	内容例	補足
リスク評価書	自社が直面するマネロン等リスクの特定・評価の結果	対応方針の作成やタスク優先順位付けにも利用
顧客リスク格付モデル定義書	ルール、スコア、ウェイト、しきい値など	現状を把握するための有効性検証の中心資料
設計書（基本設計など）	上流データとのインターフェース、処理ロジックなど	データガバナンスの観点からも必要
CDD/EDDマニュアル	実務運用（頻度・手順）など	実務とモデルの整合性確認に使用

データ

データ	内容例	補足
顧客管理データ	CIF、属性情報など	有効性検証の基礎データの一つ
リスクスコア履歴	過去から直近までのスコア推移（1年以上を推奨）	経年比較およびモデル安定性の検証に利用
疑わしい取引届出データ	届出件数および対象顧客	格付ルールの有効性や顧客リスク格付との相関分析に利用

実務では、このデータ収集が最大のボトルネックになります。 特にリスクスコア履歴は、そもそも保持していない、あるいは上書きされていて過去が追えないケースが少なくありません。プロジェクトの初期段階でデータの実在を確認しておかないと、分析設計まで進んだ段階で手戻りが発生します。

おわりに

有効性検証は、正解のある作業ではありません。自行のリスク特性に照らして、何を検証すべきかを自分たちで定義するところから始まります。だからこそ、進め方の型を持っているかどうかで、かかる工数と得られる結論の質が大きく変わります。

本稿は一般的な進め方の例であり、実際の設計は金融機関ごとに異なります。個別のご相談はお問い合わせからどうぞ。