ドバイ発・金融犯罪対策の次なるフェーズ

カンファレンスのセッションで、ある金融機関関係者が示した見解は、金融業界における環境犯罪対策の現状を鮮明に浮かび上がらせるものであった。環境犯罪という概念自体は金融機関の間でも一定程度認知されつつあるものの、自機関のリスク評価や日々の業務にまで十分に組み込めている例は依然として限られている。このギャップは、野生生物の違法取引や違法伐採といった行為が、依然として環境保護のテーマと捉えられ、金融機関が向き合うべき対象としての認識が十分に浸透していないといった現状を示唆している。

環境犯罪は年間数千億ドル規模の不正収益を生み出しており、その資金洗浄ルートは麻薬取引や人身売買と重複していることが指摘されている。環境犯罪に関連する資金洗浄の主なリスクは以下の通りである。

○ 合法と違法の混同

違法に伐採された木材や採掘された鉱物は、サプライチェーンの初期段階で正規のライセンス商品と混ぜ合わされる。こうした手口を金融取引のデータだけで見抜くことは不可能に近い。

○ 特定産業における調達リスク

具体的な高リスク産業として、香水や家具製造業が挙げられる。これらの産業では、原材料となる希少動植物の調達プロセスに犯罪組織が関与しているリスクがある。商社や製造業を顧客に持つ金融機関にとって、サプライヤー管理の不備はレピュテーションリスクのみならず、法的なリスクにも直結する可能性がある。

そのため今後は、金融機関においては、環境犯罪リスクを単なるESG評価の一要素として扱うのではなく、リスク評価書に分析対象として組み込む必要性が高まると考えられる。とりわけ、木材、貴金属、希少動物由来製品などを取り扱う取引先（高リスク先）については、資金源の確認だけでなく、調達経路の正当性や追跡可能性を見極める、より高度なデュー・デリジェンスの導入が求められるようになるだろう。

OFACが用いる「50％ルール」と整合的な所有権基準が、米国産業安全保障局（以下、BIS）は、2025年9月に輸出管理規則（EAR）のエンティティリストにも導入された。このエンティティリストとは、米国の国家安全保障または外交政策上の利益に反する行為に携わっている、またはその恐れがあると米国政府が判断した企業や個人を掲載したリストである。従来、金融機関のスクリーニング業務は、SDNリスト（Specially Designated Nationals and Blocked Persons List）を中心とした制裁対象者の特定に重点が置かれてきたが、今回のBISによる輸出管理の適用範囲の拡大により、取引当事者とその背後の所有構造を広範に把握する必要性が高まっている。特定企業の子会社・関連会社を十分に把握できなければ、意図せず制裁・輸出規制違反に該当するおそれがあり、金融機関にとってもスクリーニング実務の負荷とコンプライアンス上のリスクは一層増大している。

地政学リスクの最前線を議論するセッションでは、ロシアが欧米の制裁を回避し、原油を海上輸送するために使用する老朽化したタンカー群、通称「影の船団」や、イランによる調達網が、極めて複雑な迂回ルートを形成していることが報告された。

これらのリスクに対しては、国際銀行間通信協会（SWIFT）上の決済メッセージ情報と、実際の船荷証券や船舶追跡データとの間に齟齬がないかを確認するなど、貿易金融におけるコンプライアンス実務の高度化が不可欠である。取引データのみに依存したモニタリングでは、実態を伴う物流リスクを検知することは困難となっている。

ある政府機関の関係者からは、環境犯罪と高度な制裁回避という2つの脅威に対抗するため、金融機関のリスク管理は、従来の、顧客を知るための対応（KYC: Know Your Customer）だけでは不十分な段階へ移行しており、具体的には、KYG、KYSCの2つの視点が重要であるとのメッセージが共有された。

○ KYG (Know Your Goods)

顧客が取り扱う商品・サービスの検証。その商品が絶滅危惧種由来ではないか、あるいは軍事転用可能な部品や技術ではないかという観点での確認。

○ KYSC (Know Your Supply Chain)

エンド・ツー・エンドでの商流把握。商品がどこから調達され、最終的にどこへ渡るのかという流通過程全体の可視化。

さらに、この技術を防御のみならず、攻撃者のコストを増大させる能動的防御へと応用する動きも見られる。カンファレンスでは、AIペルソナを用いて詐欺師との対話を意図的に長期化させ、攻撃者のリソース（時間や労力）を消耗させる取り組みの可能性が示唆された。これは、単に自衛するだけでなく、攻撃側のコストを高めることで犯罪の実行を経済的に割に合わないものとし、抑止効果を狙う新たなアプローチである。

例えば、モバイルウォレットを悪用した手口では、攻撃者は、盗取したカード情報をデジタルウォレットに登録した後、直ちに不正利用を行うのではなく、「数週間寝かせる」手法をとる。これにより、システムに正規利用者の端末であると誤認させ、信用スコアが上昇したタイミングで資金移動を行う。このような時間差攻撃や、人間の心理・行動パターンを模倣した攻撃に対し、固定的なルール（静的防御）は無力化しつつある。常に変化する攻撃パターンをリアルタイムで学習し続ける動的なAIモデルの実装が不可欠となっている。

AI導入の議論において、多くの日本の金融機関の課題として、データ整備が挙げられる。しかし、現地の専門家からは、不完全なデータ環境であっても、整備を待たずに可及的速やかにAI導入を開始すべきであるとの見解が示された。 具体的には、以下のCrawl、Walk、Runと呼ばれる段階的な導入フレームワークが推奨された。

① Crawl（初期段階）

データ整備が不要な領域から着手する。

例）複雑な規制文書と社内の規程類のマッピングや、経営陣向けの説明資料の要約など、テキストベースの業務に生成AIを適用する。

② Walk（発展段階）

不完全なデータでも効果が見込める領域へ拡張する。

例）名寄せにAIを活用し、分散したシステムにある顧客データを統合することで、調査効率の向上を図る。

③ Run（応用段階）

整備されたデータを基盤として高度な活用を図る。

例）エージェント型AIによる高度な意思決定の支援や、リアルタイムの予兆検知を実現する。

AI導入の効果については、誤検知の削減やコストダウンといった投資対効果の観点で語られることが多い。しかし、今回のカンファレンスでは、AIで武装した攻撃者に対抗するためには、防御側も同等の技術力を備える必要があるという点が多くのセッションで強調されていた。金融機関にとってのAI活用は、単なる先進事例ではなく、顧客資産を保護し、組織としての信頼を維持するための生存戦略として再定義されるべき局面にある。

VARAに関するセッションにおいて、日本の実務家にとっても示唆に富む事実が共有された。それは、ドバイにおける法執行機関の捜査対象の大半が、P2P（ピア・ツー・ピア）取引や無登録業者に関するものであり、VARAのライセンスを取得したVASP（暗号資産サービス業者）ではないという点である。 VARAは発足から短期間で多数のVASPにライセンスを付与し、市場の拡大を許容する一方で、無登録業者に対しては多くの厳格な執行処分を行い、巨額の制裁金を科している。ライセンス業者への事業機会提供と、無登録業者への厳格な排除を明確に区分するこのアプローチが、イノベーションハブとしての安全性を担保している要因といえる。

日本の金融機関においては、暗号資産交換業者との取引を一律に高リスクと見なす傾向が見られる。しかし、VARAの事例が示唆するのは、適切な規制下にある業者を金融システムに取り込むことこそが、結果として資金フローの透明化につながるという点である。リスクを遠ざけるだけでなく、管理可能な枠組みの中で包摂する発想の転換が求められている。

FATFが主導するトラベルルールの実装に関しては、現場レベルでの課題が浮き彫りとなっている。異なるソリューション間での相互運用性の欠如によるデータ形式の不整合や、ブロックチェーン上のウォレットアドレスのみでは実質的支配者や制裁対象者の特定が困難であるといった問題である。

これらの課題に対し、ドバイではテクノロジーによる解決が志向されている。VASPに対し、単なるリスト照合にとどまらず、ブロックチェーン分析ツールとAIによる行動検知の併用を求める動きが進んでいる。具体的には、過去の取引履歴からダークウェブとの接点やミキシングサービス（資金洗浄ツール）の利用有無をAIが解析する手法である。コンプライアンス業務は、形式的な点検作業から、高度な分析を伴うフォレンジックの領域へと進化しているといえる。

暗号資産そのものの投機的価値を超え、注目を集めているのがRWA（Real World Assets：現実資産）のトークン化である。不動産、債券、コモディティなどをブロックチェーン上でトークン化することで、24時間365日の取引と即時決済を実現するこの仕組みは、伝統的な金融機関（TradFi）との親和性が高い領域でもある。

RWAは、分散型金融（DeFi）の流動性と伝統的金融の信頼性を繋ぐ架け橋として期待されている。一方で、新たなリスクへの対応も不可欠となる。

• 裏付け資産の監査：トークンに対応する実物資産の実在性証明
• スマートコントラクトの脆弱性：自動執行プログラムにおけるバグやバックドアの検証 

これらのリスクを管理するためには、コード監査や外部データ連携の信頼性評価といった、従来の金融実務にはなかった新たなデュー・デリジェンス能力の獲得が必要となる。

多くの日本の金融機関において、リスク評価書の更新は、年に一度の定期的なプロセスとして定着している。しかし、リスク管理戦略に関する議論では、この慣習の有効性に疑問が呈された。リスク環境は常に変動しており、過去の時点での評価は現在の脅威に対して有効性を失っている可能性があるためである。 推奨されているのは、Living Risk Assessment（生きたリスク評価）への移行である。これは、AIを活用してニュース、規制動向、内部取引データを常時監視し、リスクスコアをリアルタイムで更新し続ける仕組みである。例えば、特定の国で政変が発生した場合、即座に関連顧客のリスク評価を引き上げ、モニタリングの閾値を厳格化するといった対応が可能となる。人間は、AIが検知した変化に対してのみ、高度な判断を下す役割を担うことになる。

組織論における主要なテーマとして、機能の融合が挙げられた。 従来の金融機関の組織では、AML（事後対応）、不正対策（リアルタイム対応）、サイバーセキュリティ（システム防衛）が別個の部門として機能していることが一般的である。しかし、犯罪者はフィッシングメールでIDを盗取し（サイバー）、口座を乗っ取り（不正）、資金を暗号資産で洗浄する（AML）といった複合的な手口を用いている。部門間で情報共有が遅延することは、対応の遅れに直結し、被害拡大の要因となる。