InnovatorsBLOGFinTech時代の本人確認はどうあるべきか(後編)INFORMATION2017.05.19FinTech時代の本人確認はどうあるべきか(後編)この記事は、「FinTech時代の本人確認はどうあるべきか(前編)」の続編になります。前編についてはこちらから。FATF勧告に書かれた取引時確認のフレームワークFATF勧告はAML/CFTのため40のRecommendations(勧告)から構成されています。インターネットをベースとした金融サービスの提供に際して必要となる取引時確認との関係で重要なのは、勧告1と勧告10、それと少し勧告8が関連してきます。CDD)について書かれています。NPO)について書かれたものですが、これはAML/CFTのプリンシプルとして比例原則(Proportionality)が認められていることとの関係で、新しい技術を用いた金融サービスに適用される取引時確認と関連してきます。FATF勧告10が求める取引時確認まずは取引時確認について書かれた勧告10について見てみましょう。本文は以下の通り書かれています。金融機関は匿名アカウントや明らかな架空アカウントを維持することが禁じられなければならない。金融機関は以下の場合にCDDを実施することが求められるべきである。ビジネス上の関係を設定するとき(a)適用される金額水準(USD/EUR15,000)を超える取引、または(b)勧告16の解釈指針に記載される状況で行う電信送金を行う取引を実施するときマネーロンダリングまたはテロ資金供与の疑いがあるとき過去に取得した顧客の本人確認データの正確さや十分さに疑義が生じたとき金融機関がCDDを実行すべきであるとの原則は法令に規定されるべきである。各国はCDDの具体的な義務をどのように課するかについて、法令か他の執行手段のいずれを通じて行うかを決定することができる。実施されるべきCDDの方法は以下のとおりである。顧客を特定し、信頼のおける、独立の根拠資料、データまたは情報を用いて、その顧客の同一性を確認する実質的な名義人を特定し、実質的な名義人の同一性を確認する合理的な措置を講じ、これによって金融機関にて誰が実質的な名義人であるかを認識したという状態をつくる。法人の場合や仕組みものの場合、これには金融機関が顧客の実質的な保有者やその支配構造を理解することが含まれる。そのビジネス上の関係の構築の目的および意図について理解し、必要に応じてそのための情報を取得するそのビジネス上の関係について継続的なデューディリジェンスを実施し、実施される取引は、金融機関が持つその顧客やビジネス、リスクプロファイル(たとえば資金源など)についての知識と矛盾がないものであることを確保するよう、その関係の継続中にわたって精査されなければならない金融機関は上記(i)から(iv)のCDDの方法を適用することを義務付けられるものとするが、それぞれの方法につきその程度を勧告10および勧告1の解釈指針に適合する形でリスクベースアプローチ(RBA)を用いて判断しなければならない。金融機関は、ビジネス上の関係を設定する前またはその間、もしくは随時の顧客につき取引を実施する前又はその間に、顧客自身とその実質的な名義人の本人確認を行うことを義務付けられなければならない。各国は、マネーロンダリングやテロ資金供与が実行的に管理され、かつ、通常の事業活動を中断しないことが重要である場合には、金融機関がこれらの確認を、実際のビジネス関係の構築後に合理的な範囲で実務的にすみやかに行うものとすることを許容することができる。金融機関が(RBAにしたがって措置の程度を適切に修正した後の)上記(i)から(iv)の義務を遵守することができない場合、アカウントを開設し、ビジネス関係を開始し、もしくは取引を実行しないよう義務付けられなければならない。そのビジネス上の関係を解除することが義務付けられなければならない。そのうえで、その顧客について疑わしい取引報告を行うことを検討しなければならない。以上の義務は、すべての新規顧客に対して適用されるものとする。金融機関は勧告10を重要性およびリスクの観点から既存顧客にも適用するものとし、適切なタイミングでそれらの既存の関係にもデューディリジェンスを実施するものとする。FATF勧告1が定めるリスクベースアプローチFATF勧告が求めるAML/CFTの態勢は、one-fits-all式の硬直的・形式的な態勢ではなく、リスクベースアプローチを採用しなければならないとされています。この「リスクベースアプローチ」とはなんでしょうか?我々日本人は、法律といえばかっちりと適法と違法の線引があって、ある行為があれば、それが適法なのか違法なのか誰かが一義的に判断することができるものと信じているフシがあります。ある行為をするときには、それがシロなのかクロなのかを見極めなければならない、そしてクロの可能性があればそれは行ってはならないのだ、というのが「あるべきコンプライアンス」だと考える傾向があるように思います。法律上のルールが不明確な場合には、事前にその法律を所管している官庁に「おうかがい」を立てて、問題がないという「お墨付き」をもらわなければやってはいけないのだ、それが正しいコンプライアンスだ、と考えている企業がとても多いように思います。した考え方は、コンプライアンスの一つの考え方ではあっても、これがコンプライアンスの唯一の解ではありません。この点については、「シェアリングエコノミー中間報告書が明らかにした、リスクベースのコンプライアンスの考え方と、日本版レギュラトリーサンドボックスの導入論」に詳しく書いておきました。これ以降の議論を理解していただくために大前提となるコンプライアンスについてのものの考え方なので、まだ読まれていない方はぜひ読んでみてください。RBAで求められているフレームワークの概要は、以下のとおりまとめることができます。個別にマネーロンダリング/テロ資金供与の疑いがあると認められる場合には、3の方法を採用してはならないFATF勧告1にもとづいて対象事業者が行わなければならないことFATF勧告1にもとづいて対象事業者が行うべきとされていることは、以下のとおりです。リスク評価マネーロンダリング/テロ資金供与のリスクを特定し、評価するための適切な手続きを講じる必要があります。地理的属性、提供するプロダクトやサービス、取引内容、提供チャネルなどによって判断される必要があります。対象事業者は、自己判断の根拠を示すことができるようリスク評価にあたっての資料を保持することが求められ、またその評価を最新のものに保つことが求められます。そのうえで、リスク評価情報を関連当局に提供するための仕組みを整えておくことが求められます。特定されたリスクを実効的に管理・軽減するための体制が求められます。この体制とは、必要な社内規則の制定、規則に沿った運用ができる指揮命令系統や手続きを整えることを意味します。これらはいったん作ったら終わりというものではなく、運用をモニタリングし、継続的にこれを改善していくための仕組みも求められることになります。これらの体制の整備は、経営陣の深いコミットのもとで行われなければならず、リスクの管理・軽減措置は、関連当局が定めた方法によるものであることが求められます。評価の結果、リスクが高いものと判断された場合には、高レベルの対応が求められます。これに対し、評価の結果、リスクが低いものと判断された場合には、各国は、より簡略化された対応をとることを認めることができるものとされており、対象事業者は、その簡略化された仕組みによることができることになります。モバイルペイメント/インターネットベースの支払サービスRBAが採用されているFATF勧告を具体的にどのように当てはめるのかについて、FATFはいくつものガイダンスを発表しています。Services」という表題のガイダンスがあります。こちらを便宜的にモバイルペイメントガイダンスと呼ぶことにしましょう。Exclusionに対する配慮を欠くとともに、KYC規制のない類型へとレギュラトリーアービトラージが働いている結果、真に行うべきKYC体制を構築できていないことに重大な欠陥があるということができます。以下、この点について詳しくご説明します。Services(NPPS)のAML/CFTレジーム上の位置づけモバイルペイメントガイダンスは、世界的なFinTechの潮流を受けて、新たな支払いサービス(NPPS)に対するAML/CFT法制におけるRBAの具体的な当てはめについての国際的な目線を提供するものです。モバイルペイメントガイダンスの中でFATFは、「AML/CFT措置につき過度に慎重なアプローチをとることは、本来正当なビジネスや消費者を金融システムから排除するという意図せざる結果を招きかねず、その結果、事業者や消費者はAML/CFTの枠組みに乗らないサービスを利用することを強いられることになる。AML/CFT規制は、既存の金融システムを利用できない人々に対する正式な金融サービスへのアクセスを禁止するものであってはならない。FATFは、こうした金融排除はAML/CFT法制の実効性を損ねることになりかねないと認識しており、したがってAML/CFTはファイナンシャルインクルージョンは車の両輪であると見なければならないと考える。」という趣旨のことを述べています。ひるがえって、日本のFinTechの現状を見てみましょう。モバイルペイメントサービスは、FinTechの大本命であり、日本のFinTechシーンでもこれは例外ではありません。日本でモバイルペイメントサービスを行おうとした場合、正面から資格の問題を考えるとすると、取得すべきは資金移動業者としての登録ということになります。日本の犯収法では資金移動業登録をすると特定事業者となり、その口座開設にあたっては犯収法上の取引時確認が必要ということになっています。してペイメントサービスを構築したり、クレジットカードの収納代行モデルでペイメントサービスを構築したりします。その結果、本来AML/CFT法制において適正な取引時確認が行われなければならないペイメントサービスについて、取引時確認が行われないことになり、AML/CFT法制の実効性が損なわれる結果となりかねない事態が発生します。モバイルペイメントガイダンスが懸念する事態が日本のFinTechのシーンで発生しているといえるでしょう。重要な点として、現在AML/CFT法制によってキャプチャされていないものを無理やり資金移動業をはじめとするAML/CFT規制がかかる事業のカテゴリーに入れて、現在の日本の取引時確認を行わせるというだけでは、FATFが求めるもう一つの価値であるファイナンシャルインクルージョンの要請を没却するものとして、FATF対応として失格である、というところにあります。FATF劣等生の日本として、こうした対応では引き続き劣等生のレッテルを張られるだけに終わり、国際的なレピュテーションの向上につながならないだろうということです。FATFのルールのうえでFinTechサービスをどのように位置づけるかでは、FATFルールは、FinTechのサービスをどのように取り扱うことを求めているのでしょうか。重要な指摘として、モバイルペイメントガイダンスは、各国政府に対して、AML/CFTの規制措置は、NPPSに関するマネーロンダリング/テロ資金供与のリスクとの関係で比例的な取り扱いを受けるべきものであり、規制が新たなサービスの進展を不必要に妨げるようなことがあってはならない、ということを指摘しています(85項)。重要な視点として、規制がファイナンシャルインクルージョンに与える影響について、以下の2点を述べています。第一に、FATFはファイナンシャルインクルージョンの推進に対してコミットしています。Inclusionをご覧ください。モバイルペイメントをはじめとするFinTechサービスは、ファイナンシャルインクルージョンを推進するための重要な役割を担うことが明記されているのです。第二に、G20においても、イノベ―ティブなファイナンシャルインクルージョンに対してコミットしており、ここでは、イノベーションを阻害する不必要な規制を課すことなく金融サービスのリスクを軽減できるよう規制を工夫することによって、リスクと便益のバランスを図るべきであるという比例原則の推進がうたわれています。この規制の比例的アプローチによって、新たなサービス事業者がマーケットに参加しやすくなるとともに、アンバンクト層/アンダーバンクト層がこうした金融サービスの恩恵を受けることができることになります。このアプローチを採用することで、正当な金融チャネルの利用を増やすことができ、その結果、ファイナンシャルエクスクルージョンとリンクしたマネーロンダリング/テロ資金供与のリスクを減らすことができるわけです。FinTechに適用されるRBAについてFinTechにおいても、RBAの基本は変わりません。第一に、そのサービスについて、マネーロンダリング/テロ資金供与のリスクを特定、評価することが必要です。その際には、新たなサービスや新たなビジネス実務を踏まえて決定しなければならないことになっています(勧告15)。した作業をすることで、FinTechサービスに関して特定されたリスクについて、そのリスクを軽減するための適切かつ比例的な措置を採用することができることになります。RBAは、one-size-fits-allの世界ではなく、そのような措置とすることは許容されていません。どのような深度の措置を講ずるかは、どのようなリスクが特定されたかによって変わってくるというのがRBAの考え方です。ハイリスクの取引についてはより高度な措置を講ずることが求められ、ローリスクの取引についてはより簡略化された措置を講ずることが許されなければなりません。そのうえで、FinTechのようなNPPSについては、リソースをより実効的に利用するために、より柔軟な仕組みが許容され、さらには硬直的なAML/CFT措置を講ずることを強制することにより発生する規制回避の動きやファイナンシャルエクスクルージョンを回避するための方法を講ずることが許容されることになります。FinTechに適用されるCDDについて以上を踏まえると、FinTechに適用されるCDD(取引時確認)について、どのようなフレームワークで臨むことができるでしょうか。復習になりますが、CDDを講じなければならないのは以下の4つの場合です。継続的なモニタリングを行うこと、以上の4つです。以上につき各国は、NPPSが低リスクのものである場合には、より簡略化されたCDD措置を講ずることが許容されていることになります。FinTechのリスク評価にあたって第一に検討するべき点として、FinTechが基本的に非対面取引で行われることが挙げられます。これは、現実の対面取引の場合に比べてなりすましや架空人名義取引が行われやすいかもしれないという意味で、FinTechがハイリスクであるということを根拠づける一つの要素になりえます。他方において、FinTechにおける非対面取引性により生じるマネーロンダリング/テロ資金供与のリスクについては、しばしば新たな技術を用いた代替的な本人確認メカニズムを採用することによって相殺することができると指摘されています(44項)。テクノロジーを用いた代替的な本人確認メカニズムを採用することで、非対面取引であるということに伴うリスクは相殺され、プレーンに取引の性質を見てリスクの評価をすることが許されることになります。モバイルペイメントガイダンスによると、低リスクと見られる要素としては、たとえば以下のものがあります。地理的な広がり特にペイメント系のFinTechについて考える場合、支払や送金がグローバルに簡単に行うことができるという点は、マネーロンダリング/テロ資金供与のリスクを考えるうえで重要な要素であるとされています。開発するサービスを、国境を超えてグローバルに支払うことができるような仕組みとする場合、国内の支払いに充てるサービスに比べてハイリスクであると判断されるのに対し、国内の支払いに限定されるようにサービス設計する場合には、それをもってリスク軽減策が講じられているという整理が可能ということになります。資金のソースたとえば送金のためのFinTechサービスについて、その資金がどこから来たのかということはマネーロンダリング/テロ資金供与のリスクを考えるうえで重要な要素です。匿名性の高い方法、たとえば誰が送金者か明確になっていないサービスや、現金を送金するようなサービスについては、その資金源をあいまいにするものとして、マネーロンダリング/テロ資金供与のリスクが高いサービスであると評価されることになります。このことは逆に、信頼性のある取引時確認がなされているソース、たとえばクレジットカードや銀行預金から支払等を行うものについては、リスクが低いということになるはずだということを意味します。現金化の容易さ現金化が容易かどうかという点も、マネーロンダリング/テロ資金供与のリスクを考えるうえでの要素になります。日本では前払式支払手段についてAML/CFTルールの対象から外されていますが、現金化することができないように作り付けられていることがそのような取り扱いとなっている理由の一つであるといえます。現金化できないという形にするほかに、引き出し先が限定されている場合や、引き出し額や引き出し回数が制限されているといったデザインを採用している場合にも、低リスクと評価する要素となります。その他その他にも、たとえば支払金額の上限やアカウント額の上限が課されている場合には、これは低リスクという判断の要素となります。用途が限定されており、たとえば特定の加盟店に対してのみ用いることができるという性質がある場合には、これは低リスクであるとの判断の要素となると指摘されています。サービス全体がばらばらの事業者に担当されているのではなく、取引全体が単一の事業者によって提供されている場合、アウトソーシングが行われていない場合といったものについては、低リスクであるとの判断の要素となります。非対面取引における本人確認については、例外として、通常の事業活動を阻害しないためにそれが必要であり、かつ、マネーロンダリングのリスクが実効的に管理されるのであれば、ビジネス上の関係が構築された後に本人確認が行われることが許容されることが指摘されています(100項)。電子的に行うCDDに対する信頼また、CDDを行う者がオフラインにある場合、実際に行う者がしっかりと訓練されていなければ、不正確な本人確認がなされてしまうリスクがあるのに対して、FinTechのようにCDDが電子的に行われるのであれば、正確かつ信頼できるソースからの情報であれば、これを信頼することができるとされています(101項)日本の犯収法の再検討FATFが要求しているRBAのもとでのCDDは、サービスのリスクに応じた柔軟な方法が許容されていることをご理解いただけたかと思います。FinTechを念頭に、こうした世界のスタンダードと、日本の犯収法との間のギャップを分析してみましょう。第1に、本人特定事項として、日本の犯収法は氏名と生年月日とともに「住所」を一義的に要求していますが、これはFATFが求めているものではありません。FATFは、なりすましや架空人名義でないことを確認するため、その人が本人であることを確認せよということを求めるのみです。第2に、本人確認の方法が法令で決まってしまっています。非対面取引について、テクノロジーを活用した代替的な本人確認手段を用いることでハイリスク性が相殺されるという発想もありませんし、FinTechスタートアップがサービスを適切にデザインしてローリスク取引とすることで、簡略化された本人確認の方法で済むというフレームワークもありません。それどころか、実務的には書留郵便等を転送不要郵便物で送る以外の方法を採用することが事実上できない状態に陥っています。このような硬直的な仕組みとなっていることのAML/CFT法制にとっての弊害は、硬直的な仕組みがマネーロンダリング/テロ資金供与のリスクを高めることにあります。した柔軟性を欠く仕組みは、FATFが車の両輪であるとしてコミットしているファイナンシャルインクルージョンを阻害します。イノベ-ティブな金融ソリューションにより、多様な金融サービス事業者を生み出し、これによって既存の金融サービスから排除されてしまっている人たちを正当な金融サービスに迎え入れることが、AML/CFT法制を回避するサービスを生み出さないための要諦です。法制回避のインセンティブを与えるような柔軟性を欠くCDDの仕組みが、マネーロンダリングやテロ資金供与の温床を作ることになるのです。不必要に厳格な本人確認規制により、イノベーションを阻害し、ファイナンシャルインクルージョンを阻害することは、FATF勧告1に定めるRBAに違反するものと評価されなければなりません。書留郵便等を転送不要郵便物で送付することによって、本人確認が万全にできるという幻想も誤りです。巷で言われているところによると、いまますます増えてきている空家を住所と偽り、人を雇ってその家の前で人を立たせて郵便を待ち、郵便屋から転送不要郵便を受け取れば、この規制は簡単に回避できてしまうそうです。したことは、「住所」を本人特定事項として絶対視し、モバイル端末を駆使することで、もっと実質的に本人確認を講ずる手段がありうるということに目をつぶった怠慢が生んだものであると言われても仕方がないのではないかと思います。eKYCの法制の導入をこうした事態を解消するための方策としては、犯収法に対して全面的にRBAを導入するというのが本道ではあるでしょう。現状の犯収法の本人確認の枠組みが導入されたのは、既存の金融機関が自らの判断で主体的にRBAを講じるということを嫌い、お上にやるべきことを決めてもらってそれを淡々とやればコンプライアンスが果たせたということにしたい、という意向があったからではないでしょうか。あるとすると、RBAの全面導入を主張していくことは、FinTechの本人確認をどうにかしたいという目的との関係では、目的の達成と比してフリクションが大きすぎるように思います。いま、FinTechとの関係で問題となっているのは、インターネットを用いた少額の非対面取引です。先ほどご説明したように、モバイルペイメントガイダンスによれば、非対面取引であることによるリスクの高さは、テクノロジーを用いたより先進的な本人確認手段を採用することで相殺することができるとされています。すると、FinTechのコミュニティが打ち立てるべきアジェンダは、インターネットを用いた非対面取引について、少額であったり現金引き出しが制限されているなど、先ほどご説明したような低リスクな取引の場合には、より簡略化された本人確認手段を講じることが認められるというフレームワーク、たとえばeKYCとでも呼ぶようなフレームワークを、犯収法の中に位置づけるべきである、というアジェンダなのではないかと思います。eKYCというのは、なにも突飛なアイディアではありません。実際、RBAがFATFの想定通り法制化されているAML/CFT規制が整備されている海外では、CDDの方策として、eKYCがソリューションとして提示されています。これは、AML/CFT法制を遵守するためにテクノロジーを活用するビジネスとして、RegTechの重要な一分野として海外ではとらえられているものです。2016年9月にはタイでeKYCに関するレギュレーションが導入されたとのニュースがあります。タイのeKYCが使い勝手がよいかどうかはともかくとして、非対面取引におけるマネーロンダリングリスクを管理するためにeKYCにつき特出ししてルール形成に動くという考え方がありうることを示す例としては意味があるのではないかと思います。まとめ以上、日本のFinTechサービスが犯収法で苦しんでいるという実態が、なぜ起こっているのかというところからスタートし、これが日本のFinTechスタートアップが怠けているからというわけではなく、日本の犯収法の枠組みがFATFの枠組みから大きく外れているからである可能性を指摘しました。それがFinTechで顕著となってしまっている理由として、2013年にFATFから発出されたモバイルペイメントガイダンスを題材に、FATF勧告1に示されたRBAが正しく日本の犯収法に組み込まれていないこと、特に、ファイナンシャルインクルージョン、金融イノベーションの観点からAML/CFT法制を、その枠組みの中で柔軟に国内規制化するべきであるというFATFの見解に、日本が目を背けてきたことに原因があるのではないかということを指摘しました。そのうえで、FinTech時代に適合した犯収法上の本人確認として、非対面取引であることによるハイリスク性をテクノロジーによって相殺することができるというガイダンスの枠組みのもとで、一定の低リスクなFinTechサービスについて、より簡略化された取引時確認の仕組みを導入することは、FATFの要請に合致するということをご説明しました。最後に、そのための制度枠組みとして、海外ではRegTechの重要な一分野として位置付けられているeKYCを犯収法に位置づけ、FinTechサービスにおける本人確認をより実質的なものとすることを提案しました。日本のペイメント系のFinTechスタートアップが、資金移動業を取得することをためらっているのは、資金移動業として金融庁の監督下に入ることを嫌がっているわけでは必ずしもありません。なく、コンバージョンに対して重大な悪影響を与える、不必要に厳格な非対面取引における本人確認の仕組みが、これによって自動的に適用されることを嫌っているのです。海外のFinTechスタートアップは、もっと簡略化されたCDDのもとで行われており、本人確認がネックになるという話が起こることなく、しかるべき金融規制のもとで適切にビジネスができています。日本のFinTechスタートアップは、こうした当たり前の環境を日本にも用意してほしいということを希望しているにすぎません。金融排除を促進する現行犯収法の本人確認ルールを見直し、ユーザーフレンドリーなFinTechのペイメントサービスを、より多くの人が、適切な業規制のもとで安心して使えるようになること。これが、マネーロンダリングの主役である現金を可能な限り使わない、キャッシュレスで安全な日本社会を作り出すカギです。RegTechというFinTechにおける車の両輪ともいえる産業を、適切な形で日本にローンチするためにも、eKYCの制度化は有用であろうと思うのです。eKYCの法制度というアジェンダにはもちろん、マイナンバーカードの活用といったテーマを乗せても良いですし、生体認証テクノロジーといったテーマを乗せても構いません。した「何を使うか」というコンテンツのレイヤーは、いろいろな思惑の人達が適宜考えていけば良いことであります。「住所」を絶対視せず、インターネットを用いてKYCの実質をFATFがいうとおりに十全に確保する仕組みとして、eKYCという制度枠組みを導入することについて、FinTechコミュニティの皆さんが同じ認識を持ってもらうことが大切なんじゃないかなと思います。関連記事はありません。CONTACTrft。