第１回 AML・CFT 研究会
デジタル ID とマネーロンダリング対策
弁護士 中崎 隆
第１ FATF「デジタル ID に係るガイダンス（素案）」の内容について
１ 素案の概要について
最初に概要（Executive Summary）があり、第１章は導入部分で、第 2 章はデジタル ID
システムの概念について、第３章は関連する FATF 勧告の内容（特に、顧客管理措置に係る FATF 勧告１０、第三者規制対象事業者の顧客管理措置への依拠に係る FATF 勧告１７等）について、第４章ではデジタル ID システムのメリットとデメリットについて、第５章
では、規制当局及び関係者（規制対象事業者及びデジタル ID サービス事業者等）への勧告（recommendations）について記載されている。
このガイドラインで推奨されるリスク・ベース・アプローチは、デジタル ID システムに係る一定のアシュアランス枠組み及び技術基準に依拠している。具体的には、ISO・IEC の枠組・基準等がある。
これらを受けて各国で様々な枠組・基準が設けられているが、このガイドラインでは、主として、米国の NIST の枠組・基準（NIST デジタル ID ガイドライン）及び EU の eIDAS規則に言及している。
これらの枠組・基準は、AML・CFT とは目的が異なるが、大変に参考になるものである。
これらをも参考にした上で、本ガイダンスでは、規制当局に対して、(i)デジタル ID システムの特性を理解すること、(ii)効率的で統合されたデジタル ID システムに係る取り組みを推進するような AML 監督枠組みとすること等の勧告を行っている。特に、注目されるのは、非対面取引について、信用性が高いデジタル ID システムを活用するのであれば、必ずしも、ハイリスク取引とみる必要はなく、通常のリスク又は低いリスクと評価することもありうると記載している点である（第 12 項）。また、マルチステークホルダーのアプローチをとるべきこと（第 15 項）や、デジタル ID システムを ID アシュアランス枠組・基準に基づいて評価すべきこと（第 17 項）としている点なども注目される。
また、規制対象事業者に対しては、(i)顧客管理措置との関係で、インフォームド・リス
ク・ベース・アプローチをとるべきこと（第 21 項）、(ii)デジタル ID システムの特性を理解した上で、顧客管理措置の要件を満たしていることを確認すること（第 22 項）、(iii) 非対面取引について、信用性が高いデジタル ID システムを活用するのであれば、必ずしも、ハイリスク取引とみる必要はなく、通常のリスク又は低いリスクと評価することもありうること（第 24 項）、デジタル ID システムに備わっているフロード対策、サイバー・セキュ
1

リティ対策に係る機能をも活用して、疑わしい取引の検出等を行うよう努めるべきこと（第25 項）、自ら又は捜査機関が本人特定事項等にアクセスできるようにすべきこと等を勧告している。
そして、デジタル ID サービス事業者については、(i)顧客管理措置に係る要件や他の関連法令を理解すること、(ii)政府／承認された専門家団体、もしくはこれらがない場合は、国際的に評判の高い専門家団体から、アシュアランスのテストと認証（certification）を得る
こと、(iii)AML/CFT の規制対象事業者に対して、デジタル ID システムの本人確認、本人認証（及び互換性）に係るアシュアランスのレベルについての情報を提供すること等を勧告している。
２ 第１章

はじめに

（１）範囲個人の顧客管理措置のみが射程であり、法人の顧客管理措置、実質的支配者に係る本人確認、取引関係の性質の理解等は対象外である（第 40 項、第 42 項）。
（２）本ガイドラインの性質
本ガイドラインは、従来の FATF 勧告を変更するものではなく、FATF 勧告を明確化する趣旨である（第 46 項）。
３ 第２章 「デジタル ID に係る用語の意味及び主要な特徴」（１）「ID」とは公式な本人を特定するための事項（本人特定事項）である。規制その他の公式な目的との関係で認められているものをいう。
（２）ID の確認手段
ID の確認手段については、国によって変わってくる（第 50 項）。
多くの国においては、「一般目的 ID システム」により確認が行われている。
他の国においては、「制限目的 ID システム」（別名「機能別 ID システム」）により確認が行われている。例えば、税番号、投票番号、免許証番号、パスポート、ソーシャル・セキュ
リティナンバー、難民認定番号などである。一般目的 ID システムがない国においては、このような制限目的 ID が、マネーロンダリングとの関係でも、利用されうる。
ID システムの提供は、典型的には、政府により行われてきたが、民間と連携し又は民間が運営し政府が認証するものもある（例：デンマークの NemID）。
（３）「デジタル ID システム」の定義
デジタル ID システムは、オンライン又は他の者がいない環境において、個人の本人特定
2

事項を主張・立証するために、電子的な方法を用いる（第 55 項）。
このガイドラインは、顧客から規制対象事業者まで End-to-End で、デジタル ID システ
ムを利用する場合に焦点をあてている（第 56 項）。
デジタル ID システムでは、すべての要素がデジタルでなければならないとされる訳ではない。本人確認及び登録は、書面（の本人確認書類等）を用いてなされても構わない。しかし、バインディング、クレデンシャリング、認証、ポータビリティ、フェデレーションは、デジタルで行われなければならない。
（４）「デジタル ID システム」の重要な要素
デジタル ID システムの主要な要素は、「ID の証明及び登録」、「認証及びライフサイクルマネジメント」、及び任意の要素として「ポータビリティ・互換性の仕組み」である（NISTガイドライン参照）。
「ID の証明及び登録」といった場合は、(i)本人特定事項の収集(collection)・本人の特定（resolution）、(ii)本人に係る本人確認書類／情報の正当性の確認（validation）、(iii)[申告された本人特定事項と取引者]本人との同一性の確認（verification）、(iv)本人特定事項等の登録（enrollment）、ID 識別コードを[規制対象事業者が管理する]ID と紐づける（binding）等して、アカウントを開設すること（credentialing）。
認証といった場合は、三要素による認証（知っている事項による認証、所有している機器等による認証、指紋等の身体認証）が考えられ、多くの要素による認証が行われれば、信頼度が高まる。取引開始時及びその後の顧客管理措置の双方の場面で問題となる（第 65 項）。
ライフサイクルマネジメントとは、認証識別コード（authenticator）及び／又は認証情報（credentials）の紛失、盗難、不法複製、期限切れ、及び取消等の認証識別コードの信頼性に影響を与える事由が生じた場合の対応をいう（第 66 項）。
ポータビリティの例として、EU の eIDAS 規則に基づく相互認定（第 67 項）。
フェデレーションの例として、GOV UK Verify（第 68 項）。
（５）デジタル ID システムに係る枠組み及び技術基準
いくつかの機関（EU・eIDAS 規則、ISO／FIDO／OIDF、ITU／GSMA）により、「デジタル ID システムに係る枠組み及び技術基準」が設けられている（第 69 項、別紙 D）。
４ 第３章 「FATF 勧告」について（１）総論
顧客管理措置（FATF 勧告 10）、リスクベースアプローチ、第三者規制対象事業者の顧客管理措置への依拠（FATF 勧告 17）について説明されている。なお、記録保存（FATF 勧告11）等についても問題となりうるが、本ガイドラインでは、特に言及されていない。

3

（２）顧客管理措置について
FATF 勧告 10 は、基本契約締結時等に、顧客管理措置を求めている。
FATF 勧告 10 では、顧客管理措置が以下を含むものでなければならない旨や、リスクベース・アプローチをとるべき旨等を定める。
(a) 信頼できる独立した情報源に基づく文書、データ又は情報を用いて、顧客の本人特定事項を特定し、確認（verify）すること。
(b) 実質的支配者の本人特定事項を特定し、合理的な手段により確認すること。
(c) 取引関係の目的及びその意図された性質について理解すること(d)

継続的な取引関係について、継続的な顧客管理措置、取引のモニタリングを行い、顧客の属性、意図された取引の性質等と齟齬しないかを確認すること「文書、データ又は情報」となっているから、デジタル ID システムの利用も妨げられない（第 77 項、第 78 項）。
「信頼できる」といった場合、依拠する本人確認書類等の作成の真正、及び、内容の真正の双方が信頼できるものである必要があり、デジタル ID システムを活用した結果が正確である必要がある。そして、「信頼できる」といえるためには、第４章で規定されたリスクに対する低減策が講じられている必要がある（第 83 項）。
「信頼できる独立した」情報かどうかを判断するにあたっては、デジタル ID システムに係る枠組みや基準が参考となる（第 79 項）。
（３）リスクベースアプローチについて（FATF 勧告１、１０、解釈ノート１、10）

リスク・ベース・アプローチとの関係では、FATF の「マネーロンダリング対策とファイナンシャル・インクルージョンに係るガイドライン」等をも参考にしながら、リスクを分析・評価し、リスクに見合った措置を講ずることが期待されている（第 84 項）。
非対面取引
FATF 勧告 10 の解釈ノートでは、非対面取引が、リスクが高い可能性のある取引として例示されている。しかし、信頼性が高いデジタル ID システムが活用されていれば、必ずしも、リスクが高い取引と扱わなくてもよい（第 87 項）。
継続的な顧客管理
FATF 勧告 10 の(d)では、継続的な顧客管理措置が求められている。
規制対象業者は、デジタル ID システムにおける認証機能の信頼性を高めるような手当を、リスクベースアプローチに従って講ずるべきである（第 90 項）。

4既存のデジタル ID システムを利用する場合、規制対象業者は、追加のクレデンシャル（パスワード等）を求めることが考えられる（第 93 項）。
第三者機関の顧客管理措置への依拠 （FATF 勧告 17）
第三者機関の取引時確認に依拠する場合、依拠先は、[犯収法又は同等の外国法令により]規制され、監督に服していなければならない。
また、第三者機関に依拠する規制対象事業者については、以下の措置を講ずることが求められている（第 94 項）。
(1)勧告 10 に定める顧客管理措置の(a)から(c)に関する必要な情報（＝取引時確認の対象となる事項に相当）を速やかに取得すること(2)当該規制対象事業者が、本人確認データの写し、その他顧客管理義務に関する書類を要請に応じて遅滞なく第三者機関から入手しうること(3)当該規制対象事業者が、勧告 10 及び 11 に沿った顧客管理及び記録保存義務との関係で、規制され、監督又は監視され、当該義務を遵守するための適切な措置を講じていることを確保すること。
(4) 依拠する第三者機関を決定する際には、当該第三者機関のある国のリスクレベルに関する入手可能な情報を参照すること。
なお、依拠を行う場合においても、顧客管理措置について責任を負うのは、依拠する側の規制対象業者である（第 95 項）。
デジタル ID との関係での第三者機関の顧客管理措置への依拠
上記の４要件が認められることが必要であるが、本ガイドラインでは、上記の解釈とて、実質的に追加の要件を求めているように見える。
すなわち、(1)の要件との関係では、オフィシャル ID、すなわち、当該国における本人特定事項を特定するために必要な情報の即時の提供が考えられるとしているが、当該説明箇所において、（「Level of assurance of confidence, where applicable」との記載があるため、）信用性レベルに係る情報の提供を直ちに受けることが必要となる場合がありうるように見える。日本における規制強化につながりかねないように読める。
(2)との関係では、免許証等の本人確認書類のデータの提供を受けることが必要という風に FATF 勧告では読めるが、当該データが適正に情報が収集されたこと、かつ、当該第三者の認証手段が適格な情報の提供を可能にするものであることについて、確認が必要となるようにも読める文言となっているように見える。
規制対象事業者による委託等による顧客管理措置

5規制対象事業者であってデジタル ID システムを有する者は、他の規制対象事業者の取引の代理人又は委託先となることにより、顧客管理措置を当該他の規制対象事業者のために実施することができる（第 97 項）。この場合、FATF 勧告の 17 は、適用されない。
５ 第４章 「デジタル ID システムの AML／CFT に係る便益とリスクについて」（１）便益・顧客管理措置の強化
・ファイナンシャル・インクルージョン（２）リスク／課題
・ID 証明及び登録に係るリスク
なりすまし[impersonation]、架空 ID[synthetic ID]等のリスク・認証及びライフサイクルマネジメントに係るリスク
フィッシング、サイバーアタックによるクレデンシャル漏えい等（第 119 項）
不十分なライフサイクルマネジメント（第 126 項） 等
・継続的な顧客管理／取引モニタリングに係る ID 情報へのアクセスの障害

６ 第５章 「デジタル ID システムの信頼性及び独立性の評価」
デジタル ID システムを活用する場合、当該システムについての信頼性が確保されている必要がある（第 138 項）。
デジタル ID システムを活用する場合には、デジタル ID システムのアシュアランスのレベルを理解した上で、リスクに応じた信頼性、独立性が確保されているかを確認する必要がある。
まず、政府が認めるシステムかを確認する（Question1）。政府が認めるシステムであれば、信頼性ありとされる。
異なる場合、そのシステムの信頼性についてのアシュアランス・アセスメントを実施し、又はその実施結果を取得することとなる（Question2）。
そして、AML／CFT との関係でも、アシュアランス・レベルが確保されているかを確認することとなる（Question3）。
Question2 との関係では、様々なデジタル ID システムに係る枠組及び技術基準が参考となる。

6

Question3 との関係では、特に、政府の ID システムの整備が不十分であったり、AML対策等が進んでいない国については、特に留意が必要となる。また、ファイナンシャルイ
ンクルージョンの観点についても、留意が必要となる。
第２ FATF 勧告を受けた日本の法制
１ 取引時確認 （法 4 条 1 項）
２ 継続的な顧客管理措置（明文の法規定なし。金融庁 AML ガイドライン等で言及）

３ 第三者の取引時確認への依拠 （施行令 13 条、規則 13 条）
施行令 13 条は、委託先が過去に行った取引時確認へ依拠することによる金融取引に係る取引時確認の省略。確認記録の作成は不要との解釈。FATF 勧告 17 の要件を満たしていない疑い。
規則 13 条は、銀行引落、カード引落等の場合の取引時確認への依拠。確認記録の作成は必要。FATF 勧告 17 の要件を満たしていない疑い。
４ 委託先による取引時確認本ガイドラインでも示されているとおり、（委託先の過去の取引時確認に依拠するのではなく、）委託元の取引の際の取引時確認を、委託先が、委託元に代わって行うことは許容されている。
５ 記録作成・保存義務とその更新確認記録・取引記録の作成保存義務（法 6 条・7 条）。また、確認記録を最新の内容に保つための措置を講ずる義務（法 11 条）。情報変更等を知った場合に、付記等する義務（規則 20 条）。
６ 疑わしい取引の届出義務 （法 8 条）
第３ 素案に係る論点
１ いかにデジタル ID の活用を進めていくか。
（１）公的個人認証制度の活用
日本においては、マイナンバーカード及び公的個人認証制度があるが、カード会社、貸金業者等を含め、幅広い範囲の特定事業者が、マイナンバーを顧客の取引時確認のために、取得できない。
すなわち、金融機関のグループベースでのデジタル ID の活用は、この段階でかなり制約されている。法改正等がありえないか。
7

（２）金融機関が提供するデジタル ID システムの活用の可能性
本ガイドラインでは、政府以外も含めたデジタル ID システムの活用の可能性が示唆されているが、金融機関が付与する ID 等による ID 連携等が考えられないか。
可能性としては、施行令 13 条、規則 13 条活用、と委託先（FATF 勧告 17 不適用）と３つのパターンがありうるか。
もっとも、施行令 13 条については、政府の見解1により、FATF 勧告 17 よりも、狭くなってしまったようにも思われる。
ただ、下記の事例については、施行令 13 条の活用の余地があるとされているから、デジタル ID システムの活用の可能性が否定された訳ではない。
（具体例２）当該顧客等が A と取引を行うに当たり、下記の事項を全て満たすなど、社会通念上、取引の一部と評価できる行為の委託がある場合。
・令第 13 条第１項第１号の適用に当たり、当該顧客等は、既に B と取引関係(取引時確認済)にある（B の取引時確認が完了しない限り、A は当該顧客等と令第７条第１項第１号に定める取引を行うことができない。）。
・B は、A と当該顧客の取引申込手続の際に、B の社名を A のウェブサイト等に明示した（B のウェブサイト等へと移行させる場合を含む。）上で、A と当該顧客等との間に入ってアカウントのログイン ID・パスの入力を当該顧客等に要求する。
・B が A に当該顧客等に紐づく識別番号を提供することなどにより、A は B が保有する当該顧客等の情報を確認することが可能である。
なお、施行令 13 条は、金融取引に限定されており、カード会社であっても、キャッシング取引であれば、施行令 13 条が使えるものの、ショッピング取引には使えず、不便である（中崎隆「詳説犯罪収益移転防止法・外為法」87 頁参照）
。この点は、手当されるのではないか。
（３）上記以外の可能性 （eKYC 事業者等）
上記のほかに、日本におけるデジタル ID システムの活用の仕組みはありうるか。
２ 取引時確認の方法
パスポートによる確認については、住居の記載がなくなったために、本人確認にかなり使いにくくなった。補完書類が必要となるが、補完書類の取得もなかなかに困難である（後述）。
また、パスポートを eKYC に使えるかについては、規則の文言を満たさず使えないのではないかとの論点も。

1https://www.fsa.go.jp/news/27/sonota/20151214-2.html
8

免許証については、すべての方が持っているとは限らない、再発行も多い等、様々な問題点。
保険証や戸籍抄本等については、顔写真が必ずしもない。
3

補完書類について公共料金等の領収書の類型は使いにくい。領収印を押した半券には、住居等の記載がない領収書が多くなってきている。
Invoice で足りないのか。法改正が考えられないか。
4

グループ内での顧客管理
FATF 勧告 17 では、グループ内の顧客管理への依拠について、要件を一定程度緩和している。日本においても、同様な緩和が考えられないか。
５ データの更新の問題
確認記録については、住所変更等に伴い、付記等を行う必要がある。
グループ全体で、住所変更等を一括で管理するために、どのようなシステムとしたらよいか。公的個人認証制度を通じて取得した情報を、マイナンバーを使えない事業との関係でも利用してしまってよいのか。
６ デジタル ID システムに係る信頼性の確認の方法
デジタル ID システムに係る信頼の確保をどのように行うのか。FATF のガイドライン
では、政府、専門家グループ等による評価が予定されている。
評価が必要となるデジタル ID システムの範囲に、eKYC 業者等も含まれるのか（eKYC事業者は eKYC 事業者で別途の ID を付与するケースが目立つようになってきているようにも思われる）。
また、マネーロンダリングに係る評価については、具体的にどのようにその適切性を評価するのか。
７ eKYC 業者の活用に際しての問題点－ 法律構成委託先と構成するか。
（施行令 13 条も規則 13 条も活用は困難のようにも見える。）－ 継続的な顧客管理のための情報連携（IP アドレス等）をどうするのか。
－ リスクベースの顧客管理をどのように行うのか （追加情報取得等）
ー 本人確認書類の対応等の拡張をどのように行うか。

9

ー 継続的な顧客管理のための情報の連携及びそのデータの帰属等について契約書でどう整理するか。
８ AML 対策をも検討して eIDAS のような規制が必要となるのか。
デジタル ID システムの信用性担保のための枠組みとして、eIDAS のような仕組みを日本でも講じることが有用なのか。
AML との関係で、デジタル ID システムの信用性確認の重要性がうたわれることとなるが、eIDAS のような法制度が重要となっていくのか。（外国人に係る公的情報を取得するため等）
9

マイナンバーカードを通じて取引時確認等を行う場合に暗証番号は必要とすべきか。
法令改正により、公的個人認証制度を活用する場合に、暗証番号を覚えていない方にも配慮し、暗証番号の入力が不要となる類型も是認されるものと認識しているが、本人確認に利用する場合には、当該方法を用いるべきでないのか。どのように考えるべきか。
10 個人情報保護法との関係
本人確認に係る記録と個人情報保護法の関係－ グループ内の共同利用－ 利用目的に、法令等遵守のための第三者提供を明記するか－ 外国への第三者提供の規定との関係の整理

10参考資料：FATF 勧告
https://www.fatfgafi.org/media/fatf/documents/recommendations/pdfs/FATF%20Recommendations%202012.pdf

11