「実効的なリスクベースアプローチ」と「ゼロトレランス実現」を両立するためのAML/CFT高度化 ～GRCの基本原則からの考察～

上述のとおり、GRCの基本原則に照らしてAML／CFTのあるべき姿を整理することはこれまであまりなされて来なかった。しかしながら、（1）態勢を構築する際の判断、（2）構築した態勢のPDCAサイクルを回す、（3）全員が能動的に参画するという三つの側面からAML／CFTにおいてやらなければいけないことを考察してみると、やるべきことは一般的なGRCと同一である。

（1）態勢構築の判断をする際に求められるのは「対外的に説明可能で一貫した対応を採る」こと
GRCの態勢を構築するに際しては、組織体制を構築して役割と責任を明確化すること、管理態勢を定め、実施しPDCAサイクルを回すこと、管理部署だけでなく行員一人一人が責任を負うことを認識して取り組むよう管理態勢を根付かせることが必要になる。
これらの対応は、管理の対象となるリスクや事象の種類を問わず「普遍的」に遵守すべき内容である。GRCの一翼を担うAML／CFTにおいても同様であり、態勢構築の判断に迷った場合は、こうしたGRCの常識に立ち返って判断すれば良い。その際、「対外的に説明可能で、一貫した対応（チェリーピッキングしない）を採る」ことを忘れなければ、やるべきことの判断（規制解釈）を誤ることはない。

（2）「リスクを見つけて潰しこむ」ためにPDCAサイクルを回すこと
構築した態勢のPDCAサイクルを回すとは、どういうことか。それは、組織がどのようなリスクに晒されているのかを「特定」し、当該リスクの潜在的な大きさや組織に与え得る影響を「評価」し、そのリスクが増大していないか「把握（モニタリング）」を継続実施するとともに、増大しないように「管理^※5」することである。許容できないリスクについては、「削減」のための活動を行うことになる。
このプロセスは、特にオペレーショナル・リスクの領域において成文化^※6されてきたものだが、他のリスクカテゴリーにおいてもやるべきことは同じである。信用リスクや市場リスクでは、対象とするリスクが特定できており、評価するための手法も確立されているため、このような一連のプロセスの中で語られることはないが、既に「特定」済みではっきりしているリスクを「評価」し、「把握（モニタリング）・管理・削減」するというやり方に違いはない。
金融庁のAML／CFTガイドラインでは、「特定・評価・低減」という言葉が使われているが、「特定・評価・把握（モニタリング）・管理・削減」とはプロセスの切り取り方が違うだけで、やるべきことは全く同一である（図1）。

（3）全員が能動的に参画すること
GRCの文脈では、3つのディフェンスラインを構成する一線（業務執行部門）、二線（リスク管理部門・コンプライアンス部門）、三線（内部監査部門）の役割分担がお互いの活動領域を定めるために利用される場合がある^※7など、過度に強調される場合もあるように思う。
AML／CFTについてみると、「ゼロトレランス実現」のために顧客や取引に直に接する一線が水際でマネー・ローンダリングを食い止める必要がある。従って、一線の果たす責任の大きさが、他のGRCの領域と比較しても各段に大きい。
3つのディフェンスラインの役割分担に関する原理・原則を強く意識すると、AML／CFTにおける「ゼロトレランス実現」のための一線重視が他のGRCとは異なる特徴に見えるかもしれないが、特異かというと、決してそうではない。一線に立つ行員一人一人が高い意識を持ち、誤りなく堅確に業務を遂行すること、不正や誤謬が起こらない企業風土を作ることがとりわけ重要であり、一線のメンバーであっても、自らの職務に関するリスク管理・コンプライアンスの責任を負うことについては、二線のメンバーや三線のメンバーと何の違いもないはずである。特に、歴史的に一線と二線を切り分けることによって不正ができない環境を構築して来た市場リスク管理の領域では、リスク管理は二線が行うもの、一線が行ってはいけないとの考えが未だ残っているが、この考えは誤りである。アクセルとブレーキは切り離して別々に運用するものではなく、アクセルを踏む人（フロント）は暴走しないよう自らブレーキも踏む義務（リスク管理の責任）を負っているはずである。これは、いかなるGRCの領域においても同一である。

（1）目指すべき高度化の方向性
次に、高度化の方向性について、既に相応の管理を実施している定性的管理の領域と、高度化の余地が大きい定量的管理の領域に分けて考えてみたい。
既に相応の管理を実施している定性的管理の領域については、「ゼロトレランス実現」のため、これまで実施して来たKYC、取引フィルタリング、取引モニタリングといった管理は、これまでと同様に悉皆的に継続して実施しなければならない。定量的管理の高度化によって確認の観点は高度化して行くが、管理手法は基本的に同じである。また、AIなどのテクノロジーを用いた「効率化」は不断に検討すべきであるが、「高度化」を論じる余地は少ない。
定量的管理の領域は高度化の余地が大きいが、注力すべきは潜在的なリスクの洗い出しの範囲や確度を向上させ、本来あるべき潜在的事象の発見に向けたフォワードルッキングな管理を高度化することである。
すなわち、定量的管理の領域における「実効的なリスクベースアプローチ」を高度化することによって、「ゼロトレランス実現」のために既に実施している定性的な管理手法の効率と正確性を上げることへの寄与に最も注力すべきである。

（2）高度化の具体的な手法
潜在的なリスクの洗い出しの範囲や確度を向上させ、本来あるべき潜在的事象の発見に向けたフォワードルッキングな定量的管理を高度化するには、どのような手法を採用すべきであろうか。その答えの一つとして、顧客属性データを説明変数、疑わしい取引の届出を目的変数（正解データ）として、これらの相関から、リスクの高い業務や営業店をあぶり出し、警鐘を鳴らすといったフォワードルッキング的な管理を行うことが考えられる。
すなわち、AIを用いて、説明変数である「取引時確認や本人確認資料などで得られた顧客属性データ（職業、年齢、住所など）」と、目的変数である「過去に疑わしい取引の届出が行われた顧客属性データ」との間に相関性を見出し、モデル化をすることができると考えている。これまでは、人が当たりをつけて定性的にリスクの多寡の判定を行っていたが、AIによる機械学習で無数のデータの組み合わせを検証することにより、これまで定性的に設定していたリスクスコアを、属性の相関性を定量的に算出して最適化したリスクスコアに変えることができ、人間では検知・認識ができなかった因果関係を捕捉し、高度なモデルが作成できるはずである。
これにより、リスクが高い領域においては一段と強固な防止措置をとるといった、「実効的なリスクベースアプローチ」の高度化が可能になる。ひいては、「ゼロトレランス実現」のために効率と正確性を上げることを常に意識して、高度化を企図して行かなければならない。