リスクベースアプローチ

取引のリスクレベルに応じて、適切な本人確認やモニタリングの強度を調整するアプローチ。画一的な対応ではなく、リスクに応じた柔軟な対応を行う規制哲学。

概要

すべての顧客・取引に同じレベルの対策を適用するのではなく、リスクが高い場合は厳格に、リスクが低い場合は簡素化することで、効率的かつ効果的なリスク管理を実現する考え方。

FATF（金融活動作業部会）が推奨し、犯収法をはじめ世界各国のAML/CFT規制に取り入れられている。

基本原則

1. リスク評価

顧客・取引・商品のリスクを評価する。

リスク要因
├─ 顧客属性（職業、国籍、PEPs該当性）
├─ 取引パターン（金額、頻度、送金先）
├─ 商品・サービス（現金取引、匿名性の高さ）
└─ チャネル（対面、非対面、オンライン）

2. リスクに応じた対応

リスクレベルに応じて対策の強度を変える。

高リスク → 厳格な本人確認（EDD: Enhanced Due Diligence）
中リスク → 標準的な本人確認（CDD: Customer Due Diligence）
低リスク → 簡素化された本人確認（SDD: Simplified Due Diligence）

eKYCにおけるリスクベースアプローチ

犯収法では、複数の本人確認方式が用意されており、事業者はリスクに応じて適切な方式を選択できる。

方式とリスクレベル

方式	セキュリティ	リスクレベル	適用シーン
ワ方式	★★★	高リスク	証券口座、法人口座、不動産取引
ヘ方式	★★☆	中リスク	銀行口座、クレカ、暗号資産
ホ方式	★☆☆	低〜中リスク	携帯契約、賃貸、フリマアプリ

リスク判断の要素

高リスクとみなされる要因:

大口取引（数百万円以上）
法人口座
外国PEPs（政治的に重要な地位にある者）
高リスク国・地域との取引
現金取引の多い業種

低リスクとみなされる要因:

少額取引（数万円以下）
個人の日常的な取引
国内完結取引
デジタル決済のみ

金融機関の実装例

銀行口座開設

個人口座（給与振込・生活用）
  → ヘ方式（マイナカードNFC＋自撮り）
  → 簡便、高UX

特定口座・NISA口座（投資用）
  → ワ方式（電子署名）
  → 厳格、低UX

法人口座
  → ワ方式＋法人確認書類
  → 最も厳格

継続的顧客管理（CDD）

本人確認後も、取引パターンをモニタリングし、異常を検知。

通常の取引パターン
  → 自動承認

異常な取引パターン
  ├─ 大口送金
  ├─ 高頻度取引
  ├─ 高リスク国への送金
  └─ → 追加確認、取引停止、当局報告

FATF勧告とリスクベースアプローチ

FATF（Financial Action Task Force）

マネーロンダリング・テロ資金供与対策の国際基準を策定する政府間機関。

勧告10（顧客管理）:

リスクに応じた本人確認の実施
高リスク顧客にはEDD（厳格な顧客管理）
低リスク顧客にはSDD（簡素化された顧客管理）

日本の対応

犯収法および施行規則において、リスクベースアプローチを明文化：

リスク評価: 事業者ごとにリスク評価書を作成
方式選択: ワ・ヘ・ホの中から適切な方式を選択
モニタリング: 疑わしい取引の届出義務

実装上の課題

事業者側の課題

リスク評価の難しさ: 何が高リスクか判断が困難
コスト: 厳格な本人確認はコストが高い
UXとのトレードオフ: セキュリティを上げるとUXが悪化
規制対応: 当局のガイドライン理解と実装

ユーザー側の課題

サービスごとに異なる手続き: 統一感がない
高リスク判定の不透明さ: なぜ追加確認が必要か不明
プライバシー: 過度な情報収集への懸念

今後の展望

AIによる動的リスク評価

従来の静的ルールベースから、AIによる動的評価へ。

機械学習モデル
├─ 取引履歴
├─ デバイス情報
├─ 行動パターン
└─ → リアルタイムリスクスコア

継続的認証（Continuous Authentication）

一度の本人確認で終わらず、継続的に認証レベルを調整。

ログイン時: ★☆☆（パスワード）
送金時: ★★☆（SMS認証追加）
大口送金時: ★★★（顔認証追加）

デジタルID統合

FIDO2、WebAuthn、JPKIの統合により、シームレスな認証を実現。

統合デジタルウォレット
├─ マイナンバーカード（ワ方式）
├─ パスキー（FIDO2）
└─ 生体認証（[[顔認証]]）
  ↓
リスクに応じて最適な認証を自動選択

海外の事例

エストニア

e-IDを基盤に、すべての行政・民間サービスで統一認証。リスクに応じて認証レベルを自動調整。

シンガポール

SingPassで3段階の認証レベル（L1/L2/L3）を定義。サービスごとに必要なレベルを指定。

EU

eIDAS規制で、3つの保証レベル（Low/Substantial/High）を規定。域内で相互認証。

概要