国家・セクター別リスク評価とリスクベース・アプローチへようこそ

ドメインB「グローバルなAFCフレームワーク、ガバナンス、および規制」の重要学習モジュールへようこそ！政府がどのようにして最も危険な金融犯罪の脅威を特定しているのか、あるいは金融機関がコンプライアンス担当者や監視システムをどこに重点的に配置すべきかをどのように判断しているのか疑問に思ったことがあるなら、この章にその答えがあります。

この章では、以下の内容について学んでいきます。

• 国家リスク評価（NRA）とは何か、そしてなぜ各国・地域がそれを実施するのか。
• セクター別リスク評価（SRA）が何を対象とし、どのように特定の業界に焦点を絞るのか。
• 現代の金融犯罪対策（AFC）の基盤であるリスクベース・アプローチ（RBA）。
• 国家およびセクター別の分析結果が、組織の内部統制やコンプライアンスの優先順位にどのように直接影響を与えるのか。

セクションの前提について：本章では特に、国家およびセクター別の評価と、それらがリスクベース・アプローチに与える影響に焦点を当てています。規制当局、FIU（金融情報機関）、国際機関の具体的な役割などの関連トピックについては、このドメイン内の個別の姉妹章で詳しく解説します。

---

リスクベース・アプローチ（RBA）の理解

リスクベース・アプローチとは？

リスクベース・アプローチ（RBA）の本質は、組織や政府が特定されたリスクの度合いに正比例させて、リソース、取り組み、および軽減措置を配分すべきであるという原則です。端的に言えば、「統制（コントロール）はリスクに見合ったものでなければならない」ということです。

RBAが広く普及する前は、コンプライアンス・プログラムは硬直的で「チェックボックスを埋めるだけ（tick-the-box）」のルールベース・モデルで運用されることが一般的でした。顧客の背景に関係なく、すべての顧客に対して全く同じ本人確認（オンボーディング）審査やモニタリングが適用されていたのです。しかし今日の世界基準では、リソースは有限であり、金融犯罪の脅威は一様ではないという現実が認識されています。

日常的な例えで理解しましょう：救急救命室（ER）のトリアージを思い浮かべてみてください。軽度の擦り傷で来院した患者は、基本的な処置を受け、待ち時間も少し長くなるかもしれません。一方、激しい胸の痛みを訴える患者が到着した場合は、専門医による集中治療へ直ちに搬送されます。RBAも金融犯罪対策において全く同じように機能します。高リスクの状況には集中的な精査を行い、低リスクの状況は標準的または簡素化された手続きで管理するのです。

RBAの基本原則

1. 特定と評価（Identify and Assess）：特定の国・地域、セクター、または金融機関内に存在する具体的な金融犯罪の脅威、脆弱性、およびその影響（結果）を把握します。
2. 軽減と統制（Mitigate and Control）：リスクが高い領域には、より高水準の顧客デューデリジェンス、強化されたモニタリング、より厳格な統制を適用します。リスクが低い領域には、標準的または簡素化された統制を適用します。
3. 見直しと適応（Review and Adapt）：犯罪の手口（タイポロジー）、テクノロジー、規制当局の分析結果の進展に合わせて、リスクモデルを継続的に更新します。

重要なポイント：RBAは、すべてのリスクを完全にゼロにすること（ゼロトレランス）を意味するものではありません。どこに最も高いリスクが潜んでいるかを認識し、その特定の領域に最も強固な統制とリソースを配分することを意味します。

---

国家リスク評価（NRA）

NRAとは？

国家リスク評価（NRA: National Risk Assessment）とは、ある国が自国の金融、商業、法制度の全容を分析し、主要な金融犯罪リスクを特定するために政府主導で実施する包括的な取り組みです。不正資金がどのようにその国・地域に流入し、流通し、流出していくのかについて、包括的かつシステム全体の視座を提供することを目的としています。

NRAの主要な構成要素

各国・地域がNRAを策定する際、通常は以下の3つの主要な要素を評価します。

• 脅威（Threats）：不正資金を生み出す外部または内部の犯罪活動。これには、薬物取引、詐欺、脱税、組織犯罪、汚職、テロリズムなどの前提犯罪が含まれます。
• 脆弱性（Vulnerabilities）：犯罪者に悪用される可能性のある、法制度、規制上の監視体制、国境管理、金融インフラ、法人の実質的支配者情報の透明性などにおける弱点。
• 影響・結果（Consequences）：マネー・ローンダリング、テロ資金供与、その他の金融犯罪が国にもたらす、より広範な経済的、社会的、金融的、そして風評上の悪影響。

NRAは誰が活用するのか？

• 公的機関：規制当局、法執行機関、金融情報機関（FIU）は、捜査リソースの投入先の決定、新たな法制化、監督上の優先順位の調整を行うためにNRAを活用します。
• 民間機関：銀行、資金移動業者（MSB）、決済サービスプロバイダー（PSP）、および特定非金融業者・職業専門家（ゲートキーパー）は、自社独自のリスクモデルにおける主要な外部情報源としてNRAを活用します。

覚え方のヒント — 「T-V-C」：NRAがどのようにリスクを評価するかを覚えるには、頭文字の「TVC」を思い出してください。Threats（脅威：犯罪者とその行為）、Vulnerabilities（脆弱性：開いたままの扉やシステムの弱点）、そしてConsequences（影響・結果：現実世界に及ぼす被害）です。

---

セクター別リスク評価（SRA）

レンズの焦点を絞る：SRAの目的

NRAが高い視座から国全体を俯瞰するのに対し、セクター別リスク評価（SRA: Sectoral Risk Assessment）は、特定の業界や経済の一分野に顕微鏡の焦点を合わせます。SRAは、その特定の事業環境の中で金融犯罪リスクがどのように現れるかを詳細に検証します。

一般的にSRAの対象となるセクター

当局や業界団体は、以下のような多様なセクターにわたってリスクを頻繁に評価しています。

• 銀行セクター：リテールバンキング、プライベートバンキング、商業銀行、コルレス銀行業務。
• 決済・資金移動：資金移動業者（MSB）、決済サービスプロバイダー（PSP）、Eコマースプラットフォーム。
• 先端技術・デジタル資産：暗号資産交換業者等（VASP）、暗号資産プラットフォーム。
• ゲートキーパー・専門職サービス：弁護士、公証人、会計士、信託・会社サービスプロバイダー（TCSP）。
• その他の高リスクセクター：不動産、ゲーミング・カジノ、高額物品商。

なぜセクターごとの違いが重要なのか

セクターによって直面するオペレーショナル・リスクは大きく異なります。

• MSBは、送金人の身元確認や関係の継続性が一時的になりがちな、迅速かつ大量の国境を越えた現金送金を扱います。
• 信託・会社サービスプロバイダー（TCSP）は、実質的支配者を不明瞭にする可能性がある法人、ペーパーカンパニー、複雑な所有構造を扱います。
• 不動産業者は、1回の取引で巨額の不正資金を吸収できる、頻度は低いものの極めて高額な取引を扱います。

このように事業特性が異なるため、SRAは一般的なガイダンスでは捉えきれない、セクター特有のタイポロジーや疑わしい取引の指標を提供します。

重要なポイント：NRAが国全体のリスクのベースラインを提供するのに対し、SRAは固有の脆弱性やビジネスモデルを理解するために必要な業界特有の詳細情報を提供します。

---

組織のリスクベース・アプローチに対するNRAおよびSRAの影響

マクロレベルの分析結果を内部プログラムへ連動させる

最初は難しく感じるかもしれませんが、大丈夫です！外部の評価と金融機関内部のコンプライアンス・プログラムとの関係は、明確で論理的な段階（カスケード）に従っています。

ステップ1：公的評価の公表
政府またはセクターの規制当局がNRAやSRAを公表し、高リスク領域（例：国境を越えた貿易ベースのマネー・ローンダリングの増加、不動産セクターの高い脆弱性、特定の法的構造の悪用など）を特定します。

ステップ2：全社的リスク評価（ERA）の更新
組織は公表されたNRA/SRAを確認し、それらの分析結果を自社の製品、サービス、顧客層、地理的拠点、および提供チャネルと照らし合わせます。NRAがある製品タイプを高リスクと特定した場合、組織は自社の内部リスク評価においてその脅威を認識しなければなりません。

ステップ3：リスク選好度ステートメント（RAS）の更新
経営陣および統括委員会は、そうした高リスクセクターの顧客や取引を自社として受け入れる意思があるか、またどの程度まで許容するかを評価します。

ステップ4：統制（コントロール）の調整
組織は内部の規定、手順、システムを調整します。
• リスクが高まっている場合：強化された顧客デューデリジェンス（EDD）の導入、経営陣の承認の義務化、取引モニタリングのアラート閾値の引き下げ、あるいは定期レビューの頻度の増加などを実施します。
• リスクが明らかに低い場合：標準的または簡素化された措置を適用し、限られたリソースを高リスクの対象に温存できるようにします。

規制当局が期待すること

規制当局による検査（オンサイト査察等）において、検査官はコンプライアンス責任者が自国の最新のNRAおよび関連するSRAの分析結果を熟知していることを求めます。効果的なリスクベース・アプローチを実践していると主張しながら、自国の国家またはセクター別リスクレポートを完全に無視している組織があれば、そのコンプライアンス・プログラムは不備があると判断される可能性が高いでしょう。

---

回避すべきよくある落とし穴

• 間違い1：NRAを自社の内部リスク評価として扱ってしまう
改善策：NRAは公的機関によって作成される外部の国家レベルの文書です。全社的リスク評価（ERA: Enterprise Risk Assessment）は、自社固有のリスクを評価する内部文書です。NRAはERAの策定に有用な情報を提供しますが、ERAの代わりになるものではありません。

• 間違い2：低リスク＝「確認不要」と思い込む
改善策：リスクベース・アプローチのもとでは、リスクが低い場合に簡素化された、または標準的な顧客デューデリジェンスを正当化することはできますが、顧客の本人確認、制裁スクリーニング、または疑わしい取引の届出義務を完全に免除することは決してありません。

• 間違い3：形式的なコンプライアンス（設定したまま放置すること）
改善策：効果的なRBAとは動的なものです。新しいNRAやSRAによって新たな金融犯罪のトレンド（新しい決済プラットフォームへの移行や資金洗浄の新たなタイポロジーなど）が浮き彫りになった場合は、社内のモニタリングシナリオやポリシーを速やかに更新しなければなりません。

---

本章のまとめと復習

重要コンセプトの一覧

• リスクベース・アプローチ（RBA）：コンプライアンスのリソースと統制措置は、特定された金融犯罪リスクの度合いに見合ったものでなければならないという包括的な基準。
• 国家リスク評価（NRA）：国全体の金融犯罪の脅威、システム上の脆弱性、および社会経済的影響を特定するために政府が実施するマクロレベルの評価。
• セクター別リスク評価（SRA）：単一の業界またはセクター（銀行、MSB、TCSP、ゲーミング、VASPなど）に特有のリスク、タイポロジー、脆弱性に焦点を当てた詳細な評価。
• 波及効果（フロー・スルー・エフェクト）：NRAとSRAは、組織の全社的リスク評価（ERA）、リスク選好度ステートメント（RAS）、顧客デューデリジェンスの階層分け（通常 vs. 強化）、取引モニタリングシステムを形作る重要な外部インプットとして機能します。