一度きちんと作り込んで内部監査もクリアすれば、あとは回していける——多くの管理態勢は、こういう「いつか完成する」前提で設計されてきました。ところが最近、その前提が通じなくなってきた領域が増えています。整えたはずなのに「これで十分だ」という手応えが持てない。そんな違和感を覚えることはないでしょうか。
特にAML（アンチ・マネー・ローンダリング／資金洗浄対策）は、その違和感がいちばん先鋭に出ている領域のひとつです。
ここ数週間、海外当局の発信を追っていて、こう感じました。
AMLの規制が、これまでのように「改正されたら対応する固定のルールブック」ではなく、当局が常に期待値を動かし続ける「動く標的」に変わりつつあるのではないか、と。
本稿ではAMLを主な題材にしますが、話の骨格は「ルールや期待値が動き続ける時代に、態勢をどう設計するか」という、もっと広い問いにつながっていきます。
- 「規制が動的になった」と感じる三つの兆候
- 見落とされがちなのは「文書の改正速度」の話ではないこと
- 被監督側のペインポイント——「完成」と「追走」のギャップ
- では何を前提に態勢を組むのか（現時点の整理）
- まとめ
「規制が動的になった」と感じる三つの兆候
この問いに答えるために、まず最近の当局や市場の動きを三つ並べて整理します。いずれもAMLの世界のニュースで、単独ではよくある話ですが、並べると同じ方向——「監督のやり方そのものが動き続ける」——を指しているように見えます。
英国FCAが金融犯罪を「国家安全保障」の問題として語り直した
英国の金融行為規制機構（FCA）のニキル・ラティ長官は、金融犯罪を一部門の遵守事項ではなく国家安全保障に関わる脅威として位置づけ、規制を静的なチェックリストではなく、脅威に応じて資源（人・予算・監督の重点）を動かし続ける対象として語った、と私は整理しています。「どこを重点的に見るか」を当局が動的に変える、という宣言に近いものでした。
欧州に「統一監督」という新しい型が立ち上がった
欧州では、各国バラバラだったAML監督を束ねる統一監督機関（AMLA・欧州反マネーロンダリング機構）が2025年に発足し、2028年の直接監督の開始に向けて組織の立ち上げを進めている段階です。注目したいのは個別の規則よりも、監督の「型」そのものを更新し続ける主体ができたという点です。AIを活用したAML対応の標準化も視野に入れているとされ、被監督側にとっては「監督のやり方が固定されていない」状態が常態になります。つまり、域内全体で監督手法がアップデートされ続ける環境に、被監督側も付き合わざるを得なくなる、ということです。
RegTechへの資金流入が「補助ツール」を「基盤インフラ」に変えつつある
規制対応技術（RegTech）への投資も無関係ではありません。AIによるAML/KYC（顧客確認）の自動化に資金が集中しているという報道が相次いでいます。AIが「あれば便利な補助ツール」から「それを前提に態勢を組む基盤インフラ」へと位置づけが変わりつつあります。一方でイングランド銀行（BoE）は、自律的に動くエージェント型AIをシステム全体に関わるリスク要因として警告の度合いを引き上げています。技術が態勢の前提に組み込まれ、その技術自体がリスク源にもなる、という二重構造です。AIがインフラ化するほど、被監督側には、そのシステム自体が陳腐化していないかを常にモニタリングし続ける負荷が新たに生まれます。
見落とされがちなのは「文書の改正速度」の話ではないこと
ここで一つ、よくある誤解を挟みます。「規制が動的になる」と聞くと、ガイドライン（GL）やFAQの改正頻度が上がる話だと受け取られがちです。しかし本質は、改正のスピードではなく、当局が「何を見るか」という期待値そのものが動いている点にあると考えています。
リスクベースアプローチ（RBA）（規制の字義どおりではなく、自社のリスク実態に即して対策の優先順位を決める考え方）には、暗黙の前提がありました。「年に一度リスク評価を更新し、それに沿って態勢を整えれば、ひとまず一区切りつく」という前提です。規制の動的化が突きつけるのは、この「一区切り」がもう来ないのではないか、ということです。文書が改正されていなくても、当局の期待値が動いていれば、昨日まで十分だった態勢が今日には物足りないものになりうる。ここが、改正対応とは性質の違う難しさだと感じています。
ここで一度、AMLから視野を広げておきます。「期待値が、文書の改正を待たずに動き続ける」という構造は、AMLに固有のものではありません。AIの規制、個人情報保護、サイバーセキュリティ、ESG開示——いずれも、去年の「正解」が今年には物足りなくなる領域です。AMLはその変化がもっとも早く・はっきり表れている最前線にすぎず、ここで起きていることは、多くの管理・ガバナンスの現場でこれから一般化していくのだろうと見ています。だからこの先の話は、AMLの担当ではない方にも、どこか自分の持ち場の風景として読めるかもしれません。
被監督側のペインポイント——「完成」と「追走」のギャップ
態勢を完成形として作り込み、内部監査で「できている」を確認する発想と、動く標的を追い続ける発想とでは、態勢設計の思想そのものが違います。前者は「いつか終わる工事」ですが、後者には終わりがありません。このギャップは、多くの組織が持つ三つの防衛線（3線＝現場・管理部門・内部監査の三層でリスクを見る考え方）それぞれに、別の形で降りてきます。
- 第1線（営業の現場）：取引モニタリングの閾値や顧客リスク格付の前提が、どのくらいの速度で古びるのか。設定した時点では妥当でも、手口や当局の関心が動けば、同じ閾値が見落としを生みます。
- 第2線（コンプライアンス管理）：GL改正という明示的な合図だけでなく、当局トップの発信や他国の相互審査（MER）結果といった「文書になっていない期待値の変化」まで読みにいく負荷が増します。
- 第3線（内部監査）：何をテスト対象に選ぶか、というRBA的な射程の引き方そのものが陳腐化します。去年の監査計画が、今年の脅威の地図とずれている、という状態です。年次計画に縛られず、リスク環境の変化に応じて期中でも監査テーマを組み替える「アジャイル監査」的な発想が要るのではないか、と感じています。
個人的にいちばん薄気味悪いと感じるのは、「整備済み」という言葉が、いつの時点の期待値に対して整備済みなのかが曖昧になることです。完成したつもりの態勢が、当局の期待値が動いた瞬間に、誰も気づかないまま静かに陳腐化している。改正通知のように「ここから変わります」という合図がないぶん、ずれが可視化されにくいのです。
もう一つ気をつけたいのは、「動的であること」そのものが新しいリスクを生む点です。期待値が動くたびに閾値やチェック項目をいじり続けると、第1線の業務フローが混乱し、現場が意味を理解しないまま「とりあえずチェックボックスを埋める」形骸化を招きかねません。更新し続ける態勢は、フロントの疲弊という別のコンプライアンスリスクと背中合わせだ、という自覚も要りそうだと感じています。
では何を前提に態勢を組むのか（現時点の整理）
明確な答えを出すというより、発想の置き換えが要るのだろうと見ています。「整備の完成」をゴールに置くのではなく、「更新の仕組み」そのものを態勢の一部として設計に組み込む、という置き換えです。
そのとき効いてくるのは、AIが自動では埋めてくれない問いだと思います。たとえば「当局の期待値が動いたことを、誰が・どの情報源で・どの頻度で検知し、誰の責任で態勢に反映するのか」。出発点は、ごく小さな一歩でよいはずです。たとえば、第2線が四半期ごとに他国の相互審査報告書（MER）や制裁事例を棚卸しし、自社の取引モニタリングの閾値や前提とズレが出ていないかを点検する——そんなプロセスを定常業務に組み込むだけでも、「更新の仕組み」の入り口になります。これは検索や自動要約で出てくる空欄ではなく、自社のリスクと体制に即して人間が設計する判断構造です。動く標的の時代に問われるのは、答えを速く出す力よりも、こうした「更新を回す問い」を態勢の中に明示的に持てているかどうか、なのかもしれません。
この点は、私たちのようなコンサルティング側の役割の移り方とも重なります。「当局の言葉を翻訳して渡す」役割から、「クライアントが自分の言葉で、動く標的に対する更新の仕組みを説明できる枠組みを一緒に作る」役割へ。少し前にAIに任せる側に回るという話を書きましたが、規制の動的化は、その役割移行をさらに後押ししているように感じています。
まとめ
整理すると、論点はおおむね三つに分かれました。第一に、規制は文書ではなく「期待値の水準」で動いていること。第二に、静的なRBAが暗黙に置いていた「一区切り」の前提が崩れること。第三に、態勢は完成形ではなく「更新の仕組み」を内側に持つ設計へと重心を移す必要がありそうだ、ということ。現時点では、このあたりが整理の到達点です。そしてこれはAMLだけの話ではなく、「ルールが動き続ける時代に、完成ではなく更新を前提に組織をどう設計するか」という問いの、ひとつの入り口なのだと思います。
逆に整理しきれなかったのは、その「更新の仕組み」を、頻度・トリガー・責任の所在まで含めて態勢にどう具体的に埋め込むか、という一段下の設計です。ここは私自身もまだ言葉にできておらず、別途、実務に即してあらためて書いてみたいと思います。
長くなりましたが本日はこれまで。
より深く読みたい方へ
この記事で触れた「規制インフラの動的化」について、英国FCAのラティ長官スピーチを起点に、実務的な観点からnoteでより詳しく書いています。
FCA Rathi——金融犯罪の国家安全保障再定義 → https://note.com/urawanotami1/n/n8095e01d3633
金融機関のAML・コンプライアンス担当者向けの内容ですが、規制と実務の距離の取り方に興味がある方にも参考になるかもしれません。
