FATF第5次審査に向けた金融機関のマネロン等金融犯罪対策の在り方

マネー・ローンダリング（以下、「マネロン」）とは、違法に得た資金を合法的なものに見せかけるプロセスを指す。これにより、犯罪者はその資金を「洗浄」（犯罪によって得られた不正な収益を合法的なものに見せかける行為）し、合法的な経済システムに組み込むことができる。このような活動が社会的に許容されると、犯罪収益がさらなる組織犯罪に運用される恐れがあり、またこれらの資金がテロリストなどに渡ると、社会の安全や安定に深刻な影響を及ぼす可能性がある。

金融機関におけるマネロン等対策はFATF ¹ 審査や金融当局の動向により、一層重要性を増している。また、直近のリスク環境を踏まえると、犯罪資金の洗浄やテロリストなどへの供与を防ぐことに加え、自らが提供する商品・サービスが犯罪行為そのものに利用されることを防ぐ金融犯罪対策の重要性が一層浮き彫りとなっている。

本稿では、4年後に迫るFATF第5次審査に向け、金融機関が効果的な対応策を検討するための示唆を提供することを目指す。

日本におけるマネロン・テロ資金供与・拡散金融 ² 対策（以下、マネロン等対策）は、FATFの第4次審査が迫る中、2018年に金融庁がマネロンガイドラインを公表し、金融機関に態勢整備を要請したことで取り組みが加速した。第4次審査では、日本は3段階のうち中間の「フォローアップ国」と評価され、これを機に政府は、マネロン・テロ資金供与・拡散金融対策政策会議の設置、マネロン等対策に係る行動計画や基本方針の策定・公表、組織的犯罪処罰法や犯罪収益移転防止法の改正を含むFATF勧告対応法の整備などを進めた。また、金融機関に対して一層の取り組み推進を促す観点から、2024年3月末を対応期限とするマネロンガイドラインの完全実施を求め、その対応状況を監督・フォローするために重点的なターゲット検査 ³ が実施されてきた。本稿の執筆時点（2024年8月）で既にこの対応期限を経過しており、金融庁は、2024年6月に公表した「マネー・ローンダリング等対策の取組と課題」において、金融機関におけるガイドライン対応の完了率は99%（金融機関による報告ベース）であるとし、対応期限を定めた集中的な取り組みが一定の効果を発揮したものと総括した。このように、FATF第4次審査およびそのフォローアップを道しるべとした官民を挙げた取り組みにより、金融機関におけるマネロン等対策が進展し、第4次審査のプロセスで要請される水準へのキャッチアップが図られてきた。

他方、FATFは既に第5次審査のスケジュール ⁴ や審査の観点 ⁵ を公表している。それによると、日本は2028年8月にオンサイト審査 ⁶ が実施される予定である。また、審査の観点は監督当局や金融機関の措置の「有効性」に一層重点が置かれることが示されている。つまり、金融機関はこれまで進めてきた態勢整備の成果を踏まえ、今後数年間のうちに、マネロン等対策の有効性の向上、すなわち、疑わしい取引の検知精度の向上、口座の不正利用の圧縮、顧客リスク評価に応じたリスク低減措置の高度化、より実効的な教育・研修、検証・監査の実施などが求められる。

金融庁は、2024年4月にマネロンガイドラインFAQの改訂版 ⁷ を公表した。その中で、顧客情報の更新頻度を各金融機関が自主的に決定できるように言及するなど、旧版の形式要件を改めた上で各金融機関が創意工夫し、主体的に対応することを促進する要件が盛り込まれている。これは、上記の第5次審査の観点を踏まえ、基礎的な態勢整備の完了を前提に、各金融機関が自らのリスクに応じて、より有効性の高い対策を独自の課題認識に基づいて実施することを期待していることを示している。

さて、現下の金融機関を取り巻くリスク環境に目を移すと、SNSを通じた口座の不正売買、在留カードやマイナンバーカードの偽造、生成AIを活用したフィッシング、ディープフェイクによるIDの偽造などを悪用したサイバー攻撃、「トクリュウ」と呼ばれる流動的な犯罪集団（「匿名・流動型犯罪グループ」）の脅威などが指摘されている。実際にこれらの手段や主体によるインターネットバンキングを利用した不正送金、特殊詐欺、SNS型投資・ロマンス詐欺の被害が増加している。

このように厳しさを増すリスク環境を象徴する事例として、「リバトン」と呼ばれる犯罪組織が摘発された事件が挙げられる。「リバトン」は、経営実態のない約500のペーパーカンパニーと約4,000の法人口座を作成・悪用し、さまざまな匿名・流動型犯罪グループから依頼を受けて少なくとも700億円の犯罪収益を洗浄した疑いがある。これにより複数名の容疑者が逮捕された。

従来、マネロン等対策は、高額の国際間決済取引、反社会的勢力やPEPs ⁸ との取引、リスクの高い国との取引など、一部の取引や顧客に係るレッドフラッグ（疑わしい可能性がある要素）を検知して対処すれば一定の効果が図られた。しかし、現下のリスク環境を踏まえると、口座の不正な利用や売買、アカウントの詐取、犯罪集団にSNSで募集された一般人による悪用など、より身近なサービスや主体による詐欺や偽造、不正利用を含む金融犯罪リスク全般に対して、対策を講じる必要がある。さらに、情報通信技術の進歩や社会的な流動性の高まりなどを背景に、手口や主体も常に変化していく。そのため、金融機関がリスクの高い取引や顧客を判別することは、従来よりも一層困難になっており、対策も常に見直しが求められている。こうしたリスク環境の深刻化も、金融機関に対策の有効性の向上が求められる背景と言える。

先述のとおり、マネロンガイドラインを踏まえた金融機関による態勢整備は一通り進められてきたが、今後、対策の有効性を向上させるためには、犯罪者やその協力者（以下、悪用者）の実態およびその手口を研究し、対策に組み込むことが必要になるだろう。

この点、従来、サイバーセキュリティの分野では、自社や自社が所属する業界をターゲットとするサイバー攻撃の主体やその協力者がどのような思惑を有し、どのような攻撃が想定されるかを把握することが重要とされている。この背景には、システムの複雑化に伴う予測困難な脆弱性の増加、複数の手法を組み合わせた巧妙で発見が難しい攻撃手法の増加、さらに技術進展や犯罪者同士のネットワークにより常に脅威がアップデートされていることが挙げられる。事前に確立された防御策だけでは対応できないこれらの脅威に対し、悪用者の思考や行動を理解し、情報収集を行うことで有効な防御策を構築でき、攻撃の兆候を早期に察知して迅速に対応することが可能となる。

マネロン等金融犯罪の脅威もこれと共通しており、Fintechの推進によるさまざまなシステムの利用や外部サービスとの連携から思わぬ脆弱性が生じた事案や、SNSや通話アプリなどの外部サービスと組み合わせた手口、匿名・流動型犯罪グループの分業体制によるサイバー攻撃と詐欺、マネロンを組み合わせた巧妙な手口などが実際に確認されている。サイバーセキュリティの分野と同様に、マネロン等金融犯罪対策の分野においても、悪用者の視点からまだ顕在化していないサービスの脆弱性を洗い出すことや、可能性として想定される複雑な攻撃パターンを事前にシミュレーションしておくことが有効である。このためには、過去の疑わしい取引や不正利用の事案を事後的に分析してリスク低減策を講じる従来の対策に加え、悪用者の実態や攻撃手法を収集・分析し、今後、彼らがどのようにして自社サービスを悪用する可能性があるか、悪用された場合の自社や顧客への影響はどの程度かを事前に評価し、対策に活かしていくことが不可欠である。

また、匿名・流動型犯罪グループという名称に象徴されるように、悪用者側には組織的な境界がなく、離合・集散を繰り返しながらさまざまなリソースを動員して悪用を試みる状況である。これを鑑みると、防御側たる金融機関も組織の壁を取り払い、各組織に分散する情報、データ、ノウハウを統合して対処にあたる必要がある。例えば、非対面サービスの本人確認や疑わしい取引の検知・届出などの業務をリスク管理部門が、当人認証の手法や第三者による不正利用の検知および利用停止などの業務を業務部門が、犯罪対策に係る警察との連携を総務部門が対応している場合、金融犯罪対策に重要なリソースが各所に分散している可能性がある。これらの情報を統合して分析することで、各組織に閉じたリソースでは見えてこない悪用者の実像や手法が判明し、また、各組織が協力して対処にあたることでより有効な対策が期待できる。

こうした対策を金融機関が進める上では、人員の確保や組織間のコミュニケーション課題の解消、場合によっては業務フローやシステムの刷新が必要となるため、ボトムアップの取り組みには限界があると言える。

先述の環境変化を踏まえ、コンプライアンス対応としての態勢整備から、悪用の防止や疑わしい取引の検知精度の向上といった有効性の確保に対策の主眼が移り変わる中、規制で明示されているかどうかに関わらず効果的な対策にリソースを投じ、組織の協力体制をまとめ上げる経営層の役割はますます重要になるだろう。

本稿では、FATF審査や金融当局の動向、リスク環境の変化などを踏まえ、今後のマネロン等金融犯罪対策のポイントを紹介した。今後、金融庁は、金融機関が自社の対策の有効性を検証する上で参考となる考え方や取り組み事例を公表する予定であり、金融機関はこうした情報も踏まえた対策のアップデートが必要となる。

いずれにしても、2024年3月末の対応期限を経過したとはいえ、マネロン対策は一段落とはいかず、変化し続ける規制環境やリスク（ムービングターゲット）への対応が求められる。引き続き、経営陣の強いリーダーシップのもと、組織横断的に対策を講じていくことが重要である。