コントロールルームへようこそ：マネジメント報告とリスク調整

これまでの章では、金融犯罪対策（AFC）プログラムの「エンジン」にあたる、ポリシー、チーム、そしてリスクアセスメントをどのように構築するかを見てきました。しかし、取締役会や経営陣は、そのエンジンが実際にうまく動いているかどうかをどうやって判断するのでしょうか？「車」がオーバーヒートしそうになっていることを、どうやって察知するのでしょうか？

この章では、経営情報（MI）、重要な意思決定を行う委員会、そして組織の安全を維持するためにAFCチームが他の部署とどのように連携するかについて焦点を当てます。これは、組織における「ダッシュボード」と「通信システム」のようなものだと考えてください。

1. ガバナンス委員会：意思決定者たち

効果的なAFCプログラムは、誰か一人が孤立して運営するものではありません。監督を行い、ハイレベルな意思決定を下すためのガバナンス委員会が必要です。

構造と権限規定（ToR）

すべての委員会には「ルールブック」が必要です。これは権限規定（ToR: Terms of Reference）と呼ばれ、以下を定義します。

  • 誰が委員会に参加するか（構成員）。
  • どのくらいの頻度で開催するか。
  • 何を決定する権限があるか（権限）。
  • 何に対して責任を負うか（説明責任）。

ワンポイント・アドバイス：委員会には「AML委員会」や「リスク監督委員会」など、さまざまな名称が使われますが、名前を覚える必要はありません。試験で重要なのは、それらが明確なToRを持ち、定義された意思決定の役割を担っているという点です。

2. 経営情報（MI）：KPIとKRIの違い

経営陣は、すべての疑わしい取引を一つひとつ確認することはできません。プログラムの健全性を理解するために、要約されたデータが必要です。このデータは主にKPIとKRIの2つのカテゴリーに分けられます。受験生の皆さんはここを混同しがちですので、シンプルに整理しましょう！

主要業績評価指標（KPI）

KPIは、チームがいかに効率的に動いているかを教えてくれます。つまりパフォーマンスを測定するものです。KPIは車の「スピードメーター」だと考えてください。どれくらいの速さで進んでいるかを示します。

KPIの例：

  • 顧客身元確認（CDD）ファイルの完了にかかる平均時間。
  • 期限内にAFCトレーニングを完了したスタッフの割合。
  • 今月の疑わしい活動報告（SAR）の提出件数（前月比）。

重要リスク指標（KRI）

KRIは、銀行が直面しているリスクのレベルを教えてくれます。これらは将来予測的なものであり、早期警戒システムとして機能します。KRIは車の「エンジンチェックランプ」や水温計だと考えてください。

KRIの例：

  • 高リスク管轄権に居住する顧客の数。
  • \(30\)日を超えて「未解決」のままのアラート数（これはバックログのリスクを示します）。
  • 顧客ベースにおけるPEP（重要な公的地位にある者）の著しい増加。

新興リスクの報告

経営陣は、次に何が起こるかを知る必要もあります。これはホライゾン・スキャニング、または新興リスク報告と呼ばれます。新しい法律、新しい犯罪の手口（例：暗号資産を悪用した詐欺の新手口）、あるいは機関のリスクプロファイルを変化させる可能性のある地政学的な変化について取締役会に伝えます。

重要なまとめ： KPI ＝「仕事は進んでいるか？」 | KRI ＝「危険にさらされていないか？」

3. 他のリスク管理部門との連携

金融犯罪は単独で起きるものではありません。顧客が詐欺を行っていれば、マネーロンダリングも行っている可能性があります。そのため、AFCチームは他のリスク管理部門と連携しなければなりません。

リスクの近隣関係

AFCプログラムは、以下の領域と対話する必要があります。

  • オペレーショナル・リスク：取引モニタリングを停止させるようなシステムダウンなど、内部の失敗に焦点を当てます。
  • 財務・非財務リスク：犯罪が銀行の自己資本や安定性に与える影響を扱います。
  • レピュテーショナル・リスク（風評リスク）：AFCにおいてこれは非常に重要です！もし銀行が麻薬カルテルを支援しているとニュースになれば、評判へのダメージは実際の罰金よりも深刻なものになります。

フロントオフィスとの相互作用

フロントオフィス（リレーションシップ・マネージャーや営業店スタッフ）は「第1の防衛線」です。AFCチームは彼らと協力し、以下のことを行う必要があります。

  • 彼らがリスク・アペタイート声明（RAS）を理解しているか確認する。
  • オンボーディング（新規取引開始）時に「レッドフラッグ（警告サイン）」を特定できるよう支援する。
  • 顧客体験（カスタマー・エクスペリエンス）のニーズと、セキュリティのニーズのバランスをとる（摩擦と流れの調整）。

4. 支援機能：プライバシーとサイバー

AFCプログラムは、2つの特定の「ボディーガード」機能からの助けなしには存続できません。

データプライバシー

AFCの専門家は犯罪者を捕まえるために大量のデータを必要としますが、データプライバシー法（EUのGDPRなど）はデータの使用や共有を制限しています。AFCチームは、プライバシー法を破ることなく犯罪調査を行えるよう、プライバシー管理部署と連携しなければなりません。

サイバーセキュリティ

今日の金融犯罪の多くは「サイバー対応型」（例：銀行口座をハッキングして資金を盗む）です。サイバーセキュリティチームは、AFCチームが異常なパターンを見つけるのに役立つ技術的なデータ（IPアドレス、デバイスIDなど）を提供します。

5. 管轄地域固有の報告

CAMS試験はグローバルなものですが、国によって報告要件が異なることを知っておく必要があります。世界中のすべての法律を暗記する必要はありませんが、AFCプログラムは、それが運営される国の特定のルールに適合できる柔軟性を持たなければならないということを理解しておきましょう。

例： 米国の銀行はFinCENの要件に従わなければなりませんが、EUの銀行は最新のEUマネーロンダリング防止指令に従う必要があります。SARやSTR（疑わしい取引報告）の報告は、現地の期限や形式に従う必要があります。

クイックレビュー：知識の確認

よくある間違い： SARの提出件数が多いことは、常に「良い」KPIであると考えてしまうこと。
正解： 必ずしもそうではありません！罰則を恐れて何でも報告している（防御的届出）可能性もありますし、あるいは銀行のリスクコントロールが機能しておらず、入り口で悪意のある人物をブロックできていないことを意味している可能性もあります。

暗記のヒント：マネジメント報告の「3つのC」

  • Committees（委員会）： 誰が決定するか？（統治体）
  • Clarity（明確さ）： そのデータは何を意味するか？（KPI/KRI）
  • Coordination（調整・連携）： 他に誰が知る必要があるか？（サイバー、プライバシー、フロントオフィス）

まとめ： 効果的なマネジメント報告は、取締役会が不意打ちを受けないようにするためのものです。パフォーマンスを追跡するKPIと危険を察知するKRIを活用し、サイバーやプライバシーなどの部署と連携することで、AFCプログラムは組織全体を守る盾となります。