CAFS試験ガイド：不正リスク管理、検知・分析、調査を実務でつなぐ
Certified Anti-Fraud Specialist（CAFS）は、銀行や銀行以外の金融機関で不正対策に携わる専門職を対象とするACAMSの資格です。不正対策部門、決済リスク、調査、金融犯罪対策、顧客保護の担当者が、商品や取引経路に応じた判断を学ぶ際に役立ちます。
ACAMSの案内によると、試験は100問・175分で、単一選択と複数選択の形式があります。候補者向けハンドブックに記載された合格スコアは75です。公式出題分野は不正リスク管理プログラムの構築40％、不正検知とデータ分析30％、不正調査30％で、技術は各分野に関わります。
学習の進め方
- まず商品、取引経路、顧客、手口から固有リスクを捉え、統制後の残余リスクを評価します。
- 次に検知データの限界、誤検知と見逃し、顧客への影響を比較します。
- 最後に証拠保全、時系列、報告、回収、統制改善を一つの事案としてつなぎます。
公式出題分野と学習重点
| 出題分野 | 公式出題比率 | このガイドの学習重点 |
|---|---|---|
| 不正リスク管理プログラムの構築 | 40％ | 概念1～24。商品・経路別のリスク評価から統制、対応計画、改善まで |
| 不正検知とデータ分析 | 30％ | 概念25～42。手口、データ品質、検知精度、顧客への影響 |
| 不正調査 | 30％ | 概念43～60。優先順位、証拠、時系列、報告、回収、統制への還元 |
押さえておきたい60の概念 1-10
1. CAFSが扱う不正リスクの範囲
不正リスク管理プログラムの構築
CAFSでは、金融機関の商品や取引経路で顧客と組織が受ける不正被害を、予防から調査まで連続した課題として捉える。ACAMSのCAFS資格案内は、不正リスク管理、検知・分析、調査を主な範囲として示す。事案を会計処理だけで分類せず、誰が操作し、資金がどこへ動き、どの統制が作用したかを確認する。商品設計に戻せる発見事項まで追うと、単発の損失処理で終わらない。
事例: 銀行の即時送金で顧客が偽の投資先へ資金を送った。担当者は送金時の警告、受取人口座、顧客との接触記録を調べ、被害対応と送金画面の改善を同じ事案の成果として扱う。
誤解しやすい点: 会計上の損失額だけを不正リスクと見なすと、未遂や顧客の資金流出を見落とす。損失計上の有無とは別に、手口と統制の失敗点を記録する。
2. 三分野の出題比率を学習に使う
不正リスク管理プログラムの構築
ACAMSの候補者向けハンドブックでは、不正リスク管理プログラムの構築が40％、検知・分析と調査がそれぞれ30％と示される。比率は学習時間を見積もる出発点だが、技術は三分野にまたがり、実務事案も一つの分野だけでは解けない。弱点が調査の証拠評価にあるなら、比率だけで時間を固定せず、誤答の原因に応じて復習量を増やす。出題比率と個人の学習配分は区別する。
事例: 模擬練習では管理統制の問題を解けても、調査で証拠保全の順序を誤った。受験者は公式比率を確認したうえで、次回の学習時間を調査の時系列作成と保全判断に多く割り当てた。
誤解しやすい点: 40％の分野だけを深く学べば十分と考えると、検知から調査への引継ぎを説明できない。比率は出題範囲の目安であり、分野間の判断を省く根拠ではない。
3. 経営層の方針を意思決定に落とす
不正リスク管理プログラムの構築
不正対策の方針は、経営層の支持だけで機能するわけではない。どの損失や顧客被害を重視し、どの段階で送金を止め、誰が例外を承認するかまで決めて初めて現場の判断に使える。取締役会などの監督主体には、傾向、重大事案、残余リスクを判断可能な形で報告する。現場には判断権限と記録方法を渡し、事後に方針どおり機能したか確かめる。方針と日々の操作を結ぶ責任者も明確にする。
事例: 新しい海外送金サービスで高額被害が続いた。経営層は顧客被害の抑制を優先事項とし、一定の危険信号が重なる送金の保留権限、解除条件、月次報告先を定めた。
誤解しやすい点: 「不正を許容しない」という表現だけでは、誤検知による顧客の支障と被害防止の衝突を処理できない。許容する残余リスクと判断権限を具体化する。
4. 不正リスク許容度を測定可能にする
不正リスク管理プログラムの構築
リスク許容度は、損失額だけでなく、被害顧客数、回復に要する時間、誤って止めた正当な取引など複数の指標で表すと運用しやすい。商品ごとに取引速度や取消可能性が違うため、一律の閾値は適さない場合がある。指標に限界値と報告頻度を設け、超過時の暫定措置と恒久対策の決定者を決める。過去の平均値は参考になるが、新しい手口による急変まで保証しない。
事例: 即時決済では回収が難しいため、事業部は月間損失に加え、送金後一時間以内の被害申告率を監視した。値が基準を超えると、新規受取人への送金を追加確認に回す。
誤解しやすい点: 不正損失率が低ければ許容範囲内だと即断すると、少数の大きな顧客被害を隠してしまう。損失の分布と顧客への影響も並べて評価する。
5. 商品と経路から固有リスクを洗い出す
不正リスク管理プログラムの構築
固有リスクは、現在の統制が働く前に商品や経路が持つ不正へのさらされ方を指す。顧客の登録方法、認証、送金速度、受取人の種類、取消可能性を工程ごとに並べると、攻撃者が利用できる隙間が見える。発生可能性を過去事例だけから推定せず、新商品の仕様や外部の手口情報も用いる。既存の統制を最初から織り込むと、なぜ統制が必要なのか説明できなくなる。
事例: アプリで開設できる事業用口座を評価した。担当者は遠隔登録、代表者の確認、初回入金後の即時送金を別々の工程として書き出し、それぞれに想定される悪用方法を記録した。
誤解しやすい点: 「オンライン口座は高リスク」とだけ記すと、どの工程に統制を置くべきか決められない。悪用される操作、必要な条件、被害の到達点まで記述する。
6. 発生可能性と影響を別々に評価する
不正リスク管理プログラムの構築
不正リスク評価では、起こりやすさと起きた場合の影響を分けて考える。取引件数、攻撃に必要な労力、既知の手口は可能性の参考になり、金額、顧客被害、サービス停止、信用への影響は結果の大きさを示す。尺度を定めて根拠を残せば、異なる商品を比較しやすい。ただし、まれでも甚大な被害があり得る事象を平均損失だけで低く評価しない。評価の不確実性も明記する。
事例: 小口決済の不正は件数が多いが一件の損失は限られる。一方、企業送金の乗っ取りは件数が少なくても損失が大きい。担当者は頻度と最大被害を別欄で比較した。
誤解しやすい点: 件数が少ない事案を自動的に低リスクとすると、回収不能な高額送金を軽視する。影響の尺度と想定最大額を可能性の尺度から独立して示す。
7. 統制後の残余リスクを確かめる
不正リスク管理プログラムの構築
残余リスクは、設計した統制が実際に働いた後にも残る被害可能性と影響である。手続書に確認工程があるだけでは効果を認めず、作動記録、例外件数、見逃した事案を確認する。統制の設計が適切でも、夜間に担当者が不在なら即時送金を止められないことがある。固有リスクと統制の実効性を別々に記録し、残余リスクが許容度を超えれば追加措置か明示的な受容判断を求める。
事例: 新規受取人への送金は確認電話の対象だったが、週末は電話が翌営業日に回っていた。担当者は手続の存在だけで低リスクとせず、週末に実行された取引を調べた。
誤解しやすい点: 統制を導入した事実をリスク低下の証拠と見なすのは早い。作動しなかった時間帯や例外処理を調べ、実際に残った被害経路を評価する。
8. 統制を取引の段階に配置する
不正リスク管理プログラムの構築
予防、検知、事後対応の統制は、同じ目的でも取引のどの段階に置くかで効果が変わる。登録時の本人確認は架空名義の利用を抑え、送金時の行動分析は後から生じた乗っ取りを捉え、送金後の連絡は被害回復に役立つ。取消できない取引では、事後検知だけでは損失を止めにくい。各統制が遮断できる手口、作動までの時間、顧客への負担を並べて組み合わせる。
事例: 電子財布の出金で、登録時の書類確認だけでは半年後の端末乗っ取りを防げなかった。運営者は新端末での高額出金に追加確認を置き、異常な出金後には直ちに顧客へ通知した。
誤解しやすい点: 強い口座開設審査があれば送金時の監視は不要と考えると、後日の認証情報盗難を見逃す。統制が守る時点と対象の手口を区別する。
9. 認証の強さと口座乗っ取りを区別する
不正リスク管理プログラムの構築
認証は、操作している人が登録済みの認証手段を使えるかを確かめる工程であり、その人の真の身元や送金意思を単独で証明しない。NISTの認証指針は認証器の管理を考える技術資料として使える。新端末、認証器の再登録、回復手続、送金を連続した攻撃経路として見れば、口座乗っ取りに対する追加確認を配置できる。適用される法令と社内方針は別に確認する。
事例: 顧客口座で電話番号が変更され、直後に新端末から高額送金が申請された。担当者はログイン成功だけで本人の意思と判断せず、回復手続の記録と顧客への独立した連絡を確認した。
誤解しやすい点: 多要素認証を通過した取引は必ず正当だと考えると、認証器の再登録を悪用した乗っ取りを見逃す。認証手段の変更履歴と取引行動を併せて見る。
10. 本人確認と取引時の認証を分ける
不正リスク管理プログラムの構築
口座開設時の本人確認は、提示された身元情報が実在する人と結び付くかを評価する。NISTの本人確認指針は遠隔での証拠収集や登録の信頼性を考える助けになるが、金融機関の顧客管理義務をそのまま定めるものではない。開設時の確認が強くても、その後に認証情報を奪われれば別人が操作できる。身元確認の記録と取引時の認証ログを別の証拠として管理する。
事例: 口座開設時の本人確認資料に不備はなかったが、数週間後に新端末から送金が集中した。調査担当者は開設審査をやり直す前に、端末登録と認証手段変更の時系列を確認した。
誤解しやすい点: 本人確認済みの口座だから現在の利用者も本人だと推定するのは誤りである。開設時の身元と各取引の操作者は、異なる時点の証拠で評価する。
押さえておきたい60の概念 11-20
11. 職務分掌で内部からの悪用を抑える
不正リスク管理プログラムの構築
一人の担当者が顧客情報の変更、支払先の登録、送金承認を完結できると、誤操作と意図的な悪用の双方を見つけにくい。重要な操作を分け、権限の付与と変更を記録し、例外的な兼務には期限と独立した確認を設ける。小規模組織で完全な分離が難しい場合は、事後のログ照合など補完統制を設計する。誰が何を承認したか追えなければ、分掌の有効性も検証できない。
事例: 法人送金担当者が受取人情報を変更し、そのまま支払を承認できた。部門は変更権限と承認権限を分け、緊急時の代行操作には翌日の独立したログ確認を設けた。
誤解しやすい点: 担当者を二人に分けるだけで安全になるわけではない。両者が同じ認証情報を共有していれば承認の独立性が失われるため、個人別の権限と記録が必要である。
12. 外部委託先を含めて統制を設計する
不正リスク管理プログラムの構築
本人確認、決済処理、顧客連絡を外部に委託しても、不正リスクの判断は委託元の商品に残る。契約では、必要なログ、事故の通知時点、調査への協力、アクセス権の管理を具体化する。委託先の一般的な認証報告書だけでは、自社の利用設定や例外運用まで保証されない。実際の障害や不正事案を用いて、情報を受け取り対応できるかを定期的に確かめる。
事例: 決済代行会社が危険取引の判定を行っていたが、銀行には判定理由が渡っていなかった。銀行は必要な信号と提供時間を定め、保留した取引の再審査に使える記録を受け取るようにした。
誤解しやすい点: 委託先が検知を担当するから自社の確認は不要と考えると、判定の空白や誤設定を見逃す。責任分界と必要な証拠を契約と運用の双方で確かめる。
13. 例外承認を期限付きの判断にする
不正リスク管理プログラムの構築
不正統制の例外は、事業上の理由だけで恒久化させない。対象取引、理由、代替統制、承認者、有効期限を記録し、期間中の異常を監視する。顧客の緊急送金を認める場合でも、通常の確認を外した結果どのリスクが増すかを示す。期限が来たら、実際の利用件数と事故の有無を見て終了、変更、再承認を判断する。例外の累積は、元の統制設計が現場に合っていない兆候にもなる。
事例: 企業顧客の給与送金が確認手続の期限に間に合わなかった。責任者は一回限りの例外を承認し、既存の連絡先への折返し確認と翌日の取引照合を代替統制として記録した。
誤解しやすい点: 過去に事故がなかった例外を安全とみなすと、取引量や相手先の変化を無視する。再承認時には利用実態と新しい手口を評価し直す。
14. 顧客への警告を行動に結び付ける
不正リスク管理プログラムの構築
送金前の警告は、表示した事実より、顧客が危険を理解して立ち止まれるかで評価する。送金理由や新規受取人など取引に合う具体的な問いを出し、顧客が安全に相談できる経路を示す。警告を繰り返すだけでは慣れが生じるため、表示条件と文面を事案から見直す。顧客が警告を閉じた記録は残せても、それだけで被害の責任が顧客に移ったと判断しない。
事例: 初めての受取人へ高額送金する顧客に、銀行は投資利益を急がせる勧誘の有無を確認する画面を出した。顧客が相談を選んだ場合は送金を保留し、専門担当者につないだ。
誤解しやすい点: 警告への同意を得れば送金は安全だと考えると、誘導を受けた顧客の判断状況を見落とす。警告後の行動と被害事例を検証して、効果を測る。
15. 第一者・第二者・第三者の不正を見分ける
不正リスク管理プログラムの構築
当事者による不正は、口座名義人の関与と被害申告の関係で統制が変わる。第一者不正では名義人自身の虚偽申告などを、第三者不正では外部者による認証情報の悪用などを検討する。第二者不正では、名義人が他者による利用を承知していた可能性も論点になる。ただし分類は調査前の仮説にすぎず、本人の申告、端末、資金の行先を照合して更新する。名称だけで顧客の故意を決めない。
事例: 顧客は身に覚えのない借入を申告したが、資金は顧客と取引のある口座に移っていた。担当者は第三者による乗っ取りと本人関与の双方を仮説に置き、端末と連絡履歴を保全した。
誤解しやすい点: 資金が顧客の知人へ移っただけで共謀と断定すると、脅迫や口座乗っ取りを見落とす。当事者の分類は証拠で検証する仮説として扱う。
16. 対応計画に停止と顧客保護を組み込む
不正リスク管理プログラムの構築
不正対応計画には、検知後に誰が取引を保留し、顧客へどう連絡し、どの条件で制限を解除するかを記す。即時決済では数分の遅れで回収可能性が変わるため、夜間と休日の権限も必要である。一方、根拠の弱い一律停止は正当な顧客に負担を与える。危険度ごとに停止、追加確認、監視を使い分け、誤って制限した際の解除と説明の手順まで試しておく。
事例: 深夜に新端末から高額送金が連続した。担当者は二件目を保留し、既存の連絡先で顧客へ確認した。本人と確認できた後は制限を解除し、保留時間と顧客への影響を記録した。
誤解しやすい点: 停止権限だけを定めて解除基準を欠くと、誤検知の被害が長引く。制限の根拠、再確認の方法、解除責任者を対応計画に含める。
17. 被害申告を統制改善の信号にする
不正リスク管理プログラムの構築
顧客からの申告は、検知システムが拾えなかった不正の情報源になる。申告時刻、取引時刻、利用した経路、警告表示、担当者の応対を結び付け、同じ失敗が繰り返されたかを見る。申告数が増えた場合は被害そのものの増加と、申告手段の改善による増加を分けて考える。顧客保護の対応を急ぎつつ、原因分析に必要な記録を失わないようにする。
事例: 偽の配送通知から口座乗っ取りが続き、顧客申告が週末に集中した。部門は申告内容と認証器の再登録ログを照合し、週末の再登録後送金に追加確認を設けた。
誤解しやすい点: 申告件数の増加を直ちに統制悪化と決めると、相談窓口の周知効果を誤読する。取引件数と申告までの時間も併せて比較する。
18. 不正リスクと金融犯罪リスクを接続する
不正リスク管理プログラムの構築
不正対策で把握した受取人口座や資金の流れは、資金洗浄など別の金融犯罪リスクの評価にも役立つ。ただし、不正の被害者か、資金の受け皿か、口座を貸した人かによって対応は異なる。CAMSの学習分野と接する場面では、適用される顧客管理や報告義務を別に確認し、不正調査の仮説を法的結論に置き換えない。部門間の情報共有範囲と記録の目的も定める。
事例: 詐欺被害金が複数の新規口座へ分散した。不正担当者は受取人と資金移動の事実を金融犯罪対策部門へ渡し、同部門が適用法令と内部基準に沿って別の判断を行った。
誤解しやすい点: 不正の疑いがあれば直ちに別の犯罪類型も成立すると考えるのは飛躍である。各判断に必要な要件、証拠、担当権限を分けて記録する。
19. 統制の所有者と独立した評価者を分ける
不正リスク管理プログラムの構築
不正統制を運用する部門は、取引を承認し、例外を処理し、残余リスクを説明する責任を持つ。独立した評価者は設計と運用の証拠を点検し、弱点を指摘するが、現場の承認者を兼ねるべきではない。役割を混ぜると、問題の発見者が自分の判断を評価する構図になる。報告経路、是正期限、再検証の担当を決めれば、指摘を実際の改善につなげやすい。
事例: 監査部門が送金ルールの閾値を自ら変更しようとした。組織は変更判断を不正対策部門へ戻し、監査部門には変更根拠と事後結果を独立して評価させた。
誤解しやすい点: 独立した評価部門がリスクを指摘したことで、事業部の管理責任が移るわけではない。統制の所有者と検証者を分け、是正の証拠を追う。
20. 管理指標を被害と顧客負担の両面で読む
不正リスク管理プログラムの構築
管理指標には、確認した不正損失、阻止額、見逃し、誤検知、顧客の待ち時間などを組み合わせる。阻止額だけを増やす目標にすると、根拠の弱い取引停止を増やす誘因が生まれる。指標の分母、集計期間、確定前の事案の扱いを揃えないと、商品間の比較も危うい。経営報告では増減の理由と、計測できない被害の可能性を説明し、次の統制変更につなげる。
事例: 送金保留件数が倍増した一方、確定した被害額はほぼ変わらなかった。責任者は保留件数だけを成果とせず、誤検知率と顧客の解除待ち時間を確認した。
誤解しやすい点: 阻止額が高いほど統制が優秀だと読むと、推計方法の違いや過剰な停止を見落とす。確定被害、正当取引への影響、推計の前提を併記する。
押さえておきたい60の概念 21-30
21. 内部監査の指摘を管理判断へ戻す
不正リスク管理プログラムの構築
内部監査は不正統制の設計と運用を独立した立場で評価し、経営側へ改善を促す。IIAのグローバル内部監査基準を参照するときも、監査が経営の代わりに統制を運用したり、リスクを受容したりしない境界を守る。指摘には原因、影響、責任者、期限を付け、改善後は実際の取引記録で効果を確かめる。単に手続書を改訂したという報告では、運用上の欠陥が解消したとは言えない。
事例: 監査は送金保留の解除記録に理由の欠落を見つけた。管理部門は入力欄を設けるだけでなく、解除済み取引を抽出して理由と承認の妥当性を再確認した。
誤解しやすい点: 監査が承認した統制なら事業部は責任を負わないと考えるのは誤りである。監査は独立した評価を行い、統制の運用とリスク判断は管理側が担う。
22. 新商品導入前に悪用経路を試す
不正リスク管理プログラムの構築
新商品や機能の審査では、正常な利用者の流れだけでなく、攻撃者が複数の機能を組み合わせる経路を試す。登録、認証手段の変更、限度額変更、出金を一続きにすると、単独の機能試験では見えない弱点が分かる。発売前に遮断点、必要なログ、事故時の一時停止方法を決めておく。開始後は想定した信号が得られるかを確かめ、実際の被害に応じて調整する。
事例: 新しい即時出金機能の審査で、端末変更直後に限度額を引き上げて出金できることが分かった。部門はこの連続操作を試験し、段階的な限度額と追加確認を導入した。
誤解しやすい点: 各機能が単独で要件を満たしただけでは、連続した悪用経路の安全性は示せない。状態が変わる順序と、統制が働く時点を通して検証する。
23. 脅威情報を自社の露出に結び付ける
不正リスク管理プログラムの構築
外部で広がる手口を把握しても、自社で同じ被害が起こる条件を確認しなければ対策を選べない。攻撃に必要な機能、対象顧客、利用経路、資金の出口を自社の商品に照らす。似た事案がまだなくても、露出があれば検知の試験や顧客への注意喚起を検討する。一方、根拠のない全面停止は顧客負担を増やす。情報の鮮度と出所を記録し、実際の事案で仮説を更新する。
事例: 他社でQRコードを悪用した送金誘導が報告された。自社の担当者は同じ画面遷移が可能か試し、該当する支払経路だけに警告と監視を追加した。
誤解しやすい点: 流行している手口をそのまま全商品へ適用すると、露出のない取引まで止める。攻撃が成立する条件と自社の機能を照合して優先順位を付ける。
24. 改善策の効果を再評価する
不正リスク管理プログラムの構築
不正事案後の改善は、対策を設置した時点では完了しない。対策が狙った攻撃経路を遮断したか、攻撃者が別の経路へ移ったか、正当な顧客に過度の負担が生じたかを確認する。実施前後で取引量や顧客構成が変わるため、単純な件数比較には注意が要る。管理者は残余リスクを再評価し、必要なら閾値、手続、担当権限を見直す。改善の根拠を次のリスク評価へ戻す。
事例: 新端末からの高額送金を保留する措置で乗っ取り被害は減ったが、詐欺師は既存端末で顧客を操作させ始めた。部門は保留効果を確認し、送金理由の確認も追加した。
誤解しやすい点: 導入後に同じ手口の件数が減っただけで成功と断定すると、別経路への移動を見逃す。被害の総量、手口の変化、顧客負担を一緒に見る。
25. レッドフラッグを仮説として扱う
不正検知とデータ分析
レッドフラッグは不正の確定証拠ではなく、確認する価値のある異常である。普段と異なる送金額、新しい受取人、急な端末変更は、それぞれ正当な事情でも起こり得る。複数の信号が時間的にどう並ぶかを見れば、単独の信号より有用な仮説を作れる。各信号がどの手口を示すかを明記し、検知後に何を確認すれば仮説を弱めたり強めたりできるか決めておく。
事例: 顧客が新しい端末から普段より大きな送金を試みた。同じ日に認証器の再登録と新規受取人の追加もあったため、担当者は本人への独立した連絡を優先した。
誤解しやすい点: 新端末という一つの信号だけで不正と断定すると、機種変更した正当な顧客を不必要に止める。関連する操作の順序と確認結果で判断を更新する。
26. APP詐欺を送金意思と誘導の両面で捉える
不正検知とデータ分析
APP詐欺では、顧客自身が送金を承認していても、その判断が偽の投資、なりすまし、緊急性の演出などで誘導されている。認証成功を安全の証拠にせず、送金先の新規性、説明と行動の食い違い、顧客が受けた指示を確認する。口座乗っ取りとは操作主体が異なるため、検知に使う信号と顧客への接し方も変わる。顧客の説明を記録しつつ、誘導された可能性を検討する。
事例: 顧客は自分の端末で高額送金を承認し、銀行には「安全口座への移動」と説明した。担当者は本人操作を確認したうえで、第三者の指示を受けている可能性を調べた。
誤解しやすい点: 本人が承認したから不正ではないと扱うと、誘導による被害を見逃す。認証された操作と、顧客が取引の意味を正しく理解していたかは分けて評価する。
27. 口座乗っ取りの連続操作を検知する
不正検知とデータ分析
口座乗っ取りは、認証情報の取得、連絡先や認証器の変更、受取人登録、送金という連続操作として現れることがある。各操作を別々に閾値判定すると、小さな変化の組合せを逃す。時刻、端末識別子、接続環境、失敗した認証もまとめ、通常の顧客行動との違いを評価する。ただし、旅行や機種変更でも似た変化が起こるため、高危険時には追加確認など段階的な対応を選ぶ。
事例: 顧客の口座で深夜に複数回のログイン失敗があり、その後に連絡先変更と新規受取人への送金が続いた。分析担当者は単一の送金額ではなく、操作列全体を警告条件にした。
誤解しやすい点: 送金額が通常範囲だから安全と判定すると、準備操作を経た乗っ取りを見逃す。送金前の認証失敗や登録変更を同じ時系列で確認する。
28. 第一者不正の申告を証拠で評価する
不正検知とデータ分析
第一者不正を検討する場面では、顧客の申告と取引記録が一致しないことだけで故意を決めない。端末共有、家族による利用、誤認、脅迫など別の説明があり得るからである。申込情報、端末、取引先、返済や異議申立ての時系列を照合し、反対方向の証拠も探す。分析モデルは調査対象の優先順位を付けられるが、顧客への不利益な結論には個別の根拠が必要である。
事例: 顧客が借入を否認したが、申込端末は以前の正当な利用と一致した。担当者は端末一致だけで虚偽申告とせず、同居人の利用可能性と認証手続を確認した。
誤解しやすい点: 端末や住所の一致を本人の故意の証明と考えるのは危険である。共有や乗っ取りの可能性を調べ、申告と反対の証拠も記録する。
29. 第二者不正の関与を安易に推定しない
不正検知とデータ分析
第二者不正では、名義人が他者の利用を認めた、または協力した可能性が論点になる。認証情報の共有や資金移動は手掛かりだが、脅迫、欺罔、家族内の権限関係も考慮する。分析では、口座開設から資金引出しまでの行動と、名義人が利益を得た証拠を分けて確認する。関与の判断を急ぐと被害者支援を遅らせるため、保護措置と事実認定の作業を並行させる。
事例: 口座名義人の端末から複数の受取人へ送金され、現金も引き出された。担当者は情報共有の可能性を調べつつ、名義人が詐欺師の指示を受けていた記録も確認した。
誤解しやすい点: 認証情報を他者へ伝えた事実だけで共謀と断定すると、だまされて情報を渡した被害者を誤って扱う。意思と利益の証拠を別に評価する。
30. 第三者不正に使う信号を選ぶ
不正検知とデータ分析
第三者不正では、外部者が本人の知らないところで口座や決済手段を使う。新しい端末、遠隔地からの操作、短時間の認証失敗、受取先の急増は有用な信号になり得るが、単独では弱い。口座の通常行動とのずれを比較し、顧客へ安全な経路で確認する。検知ルールがどの段階で作動するかも重要で、資金が出た後にだけ警告する設計では被害抑止が限られる。
事例: 通常は国内から利用する顧客のカードが、短時間に複数の遠隔取引で使われた。担当者は取引を保留し、登録済みの連絡経路で本人に確認した。
誤解しやすい点: 位置情報だけを本人性の証拠にすると、旅行や接続経路の変化で誤検知が増える。端末、認証、取引の組合せを見て対応強度を決める。
押さえておきたい60の概念 31-40
31. 分析前にデータの意味を揃える
不正検知とデータ分析
分析の精度はモデルより先に、入力データの定義に左右される。取引の申請時刻と確定時刻、顧客番号と口座番号、拒否した取引と成立した取引を区別して結合する。重複、欠損、時差、後から訂正された値を確認しないと、架空の連続送金や誤った損失率が生じる。処理の手順と除外理由を残せば、調査者が警告の根拠を再現でき、統制変更の影響も比較しやすい。
事例: 同じ送金が申請ログと確定ログに一件ずつ記録されていた。分析担当者は二件の連続送金と誤認しないよう、取引識別子で統合してから速度ルールを適用した。
誤解しやすい点: データ件数が多ければ分析結果も信頼できると考えるのは誤りである。重複や時刻の定義がずれていれば、大量のデータが誤警告を増やす。
32. 分析結果を商品の判断に戻す
不正検知とデータ分析
ACAMSのCAFS資格案内が示す検知と分析は、異常を数える作業だけではない。警告が示す手口、止められる取引段階、顧客確認に必要な情報を具体化し、商品担当者が対応を選べる形にする。例えば同じ高額送金でも、新規受取人、過去に確認済みの企業、顧客自身の資金移動では意味が違う。分析者は判定根拠を説明し、運用者から得た結果を次のルール調整に使う。
事例: 分析チームは高額送金警告を商品担当者へ渡した。担当者が受取人との過去の取引を確認すると、既知の取引先と初回送金を分けて対応できた。
誤解しやすい点: 警告件数の多さを分析の成果とすると、対応不能な通知が現場に積み上がる。各警告から取れる措置と必要な根拠を先に定める。
33. 速度ルールの時間窓を手口に合わせる
不正検知とデータ分析
速度ルールは、一定時間内の取引回数や金額の集中を捉える。時間窓が短すぎると間隔を空けた攻撃を逃し、長すぎると日常的な大量取引を誤って拾う。取引種別と顧客群を分け、既知の被害がどの時間幅で進んだかを調べる。窓の開始時点、保留中取引の数え方、複数口座の集約方法も明記する。閾値変更後は阻止と顧客負担を同時に見る。
事例: 口座乗っ取り犯が五分ごとに少額送金していた。従来の一分窓では警告が出ず、担当者は過去の事案を用いて三十分窓と累計額を試した。
誤解しやすい点: 窓を長くすれば必ず検知が良くなるわけではない。正当な給与支払なども集約されるため、顧客群と取引目的を分けて評価する。
34. 閾値を誤検知と見逃しで調整する
不正検知とデータ分析
検知閾値を下げると多くの疑わしい取引を拾える可能性がある一方、正当な取引も多く保留しやすい。上げれば顧客負担は減っても、少額に分けた不正を逃すことがある。過去の確定事案と正当取引に同じルールを当て、見逃し額、誤検知件数、対応能力を比較する。被害の大きさや取引の取消可能性が違う商品に、同じ閾値を機械的に使わない。
事例: カード取引の警告閾値を下げる案で、不正の追加捕捉は少数だったが、正当な旅行中の取引停止が大幅に増えた。担当者は端末変化も加えた条件を試した。
誤解しやすい点: 検知率だけを最大化すると、正当な顧客を大量に止める。見逃しによる被害と誤検知による負担を同じ期間・顧客群で比較する。
35. 学習用の事案ラベルを点検する
不正検知とデータ分析
不正モデルの学習や評価には、どの取引を不正と確定したかを示すラベルが必要になる。申告直後の未確定事案、後に取消された申告、回収済みだが不正だった事案を混ぜると、結果を誤って解釈する。確定時点と根拠を記録し、モデル評価時には当時利用できなかった事後情報を入力しない。ラベルの偏りも確認し、申告しにくい顧客群の被害を過小評価しない。
事例: 分析チームは顧客申告をすべて不正として学習させていた。後に誤認と判明した申告を区別し、取引時点で利用可能だった情報だけでモデルを再評価した。
誤解しやすい点: 申告件数をそのまま確定不正件数と扱うと、モデルの精度を誤って測る。確定基準、更新時点、未確定事案の扱いを明示する。
36. 評価データを時間順に分ける
不正検知とデータ分析
検知モデルを過去事案で評価するときは、将来に得る情報が学習側へ入り込まないようにする。取引後の顧客申告や調査結果を事前信号として使えば、実運用では再現できない高精度が出る。開発期間と後続の評価期間を分け、手口や商品仕様が変わったときの性能も確かめる。平均の精度だけでなく、高額被害や新規顧客など重要な群での見逃しを確認する。
事例: モデルは過去の全期間を無作為に分けた試験で良好だったが、新しい送金機能の開始後は見逃しが増えた。担当者は開始前で学習し、開始後で再評価した。
誤解しやすい点: 過去の記録を無作為に分けた高い精度だけで導入すると、後の手口変化に弱い可能性がある。時間順の検証と運用後の監視を行う。
37. 顧客確認データと行動データを混同しない
不正検知とデータ分析
顧客の登録情報は、誰が口座を開設したかを調べる手掛かりになる。一方、取引時の端末、操作順序、受取人は現在の行動を示す。CKYCAで扱う顧客確認の考え方を参照しても、登録時の確認が後日の全取引を保証するわけではない。逆に、異常な行動だけで登録情報が虚偽と決めることもできない。目的と時点が異なるデータを結び、どの仮説を検証するか明確にする。
事例: 本人確認を終えた口座から急に送金が増えた。分析担当者は登録資料の有効性と、直近の認証器変更や送金先の変化を別々に調べた。
誤解しやすい点: 本人確認済みという属性を安全な取引の印として使うと、乗っ取りを見逃す。登録時の身元確認と現在の操作の正当性を分けて評価する。
38. ネットワークのつながりを証拠として慎重に読む
不正検知とデータ分析
複数の口座が同じ端末、住所、受取人を共有すると、不正の組織的なつながりを調べる入口になる。ただし、共通の事務所、家族、通信環境による正当な共有もある。つながりの種類、発生時刻、資金の方向を示し、単なる一致と協調した行動を区別する。ネットワーク分析は調査対象の優先順位付けに使い、個々の人の身元や故意を推定だけで確定しない。
事例: 十口座の送金先が同じ受取人に集中していた。担当者は共有端末の有無だけで同一犯とせず、口座開設時期、送金の順序、顧客との関係を調べた。
誤解しやすい点: 同じ端末識別子を共有する口座は同一人物のものだと断定できない。共有端末や記録誤差を調べ、別の独立した証拠で仮説を検証する。
39. モデルの説明可能性を対応に使う
不正検知とデータ分析
高い不正スコアだけでは、調査者は何を確かめ、顧客へ何を尋ねるべきか決めにくい。主要な寄与信号、比較した通常行動、適用された閾値を記録し、保留や追加確認の理由を説明できるようにする。説明はモデルの内部を完全に単純化することではなく、個別判断を支えた事実を示すことにある。説明できない結果は、特に顧客への不利益が大きい場面で独立確認を強める。
事例: モデルが送金を高危険と判定した。担当者は新端末、高額、初回受取人が主な理由だと確認し、登録済み番号への連絡で送金目的を確かめた。
誤解しやすい点: 高スコアを不正の確率そのものと読み替えると、モデルの尺度と証拠を混同する。判定理由と実際の取引事実を確認してから措置を選ぶ。
40. 検知運用の処理能力を設計に含める
不正検知とデータ分析
警告が正しく出ても、担当者が資金移動前に確認できなければ防止効果は限られる。時間帯別の警告量、案件の危険度、必要な確認時間を見積もり、即時保留、自動的な追加確認、人による審査を割り振る。待ち行列が長いと高危険案件が埋もれるため、優先順位と期限を定める。閾値の評価には検知精度だけでなく、現場が処理できる量も含める。
事例: 週末の警告が担当者の処理能力を超え、高額送金の確認が翌日に延びていた。部門は高危険案件を先に保留し、低危険案件には自動の追加確認を使った。
誤解しやすい点: 警告を増やせば被害が減ると考えると、処理待ちで重要な案件が遅れる。危険度別の処理時間と未処理件数を閾値調整に反映する。
押さえておきたい60の概念 41-50
41. 検知の公平性と顧客負担を検証する
不正検知とデータ分析
検知ルールが特定の顧客群を頻繁に止める場合、実際の不正差、データの欠落、代理変数の影響を分けて調べる。全群で同じ警告率を目指すだけでは、異なる被害状況を隠すこともある。確定事案に対する見逃しと正当取引への停止を、商品や経路ごとに比較する。顧客が異議を伝え、迅速に解除を受けられる手順も、検知の品質に含める。
事例: 海外在住の顧客で送金保留が多かった。分析担当者は所在地だけで判定していないか確認し、確定した被害率と正当取引の停止率を比較した。
誤解しやすい点: 群ごとの警告率が違うだけで直ちに差別的だと結論付けるのも、差を無視するのも不十分である。被害、データ品質、停止後の扱いを調べる。
42. 手口の変化を継続監視する
不正検知とデータ分析
検知ルールは、攻撃者が閾値や確認方法に適応すると効果が落ちる。警告に至らなかった被害、送金額の分割、受取人の変更、顧客への誘導文言などを定期的に調べる。変更を急ぐ際も、過去事案への効果と正当取引への影響を試し、承認と実施時刻を記録する。変更後は改善した信号だけでなく、新たな抜け道が生じたかを見る。運用から分析へ結果を戻す循環が必要である。
事例: 高額送金の警告後、被害は閾値未満の連続送金に移った。担当者は個別金額の条件に加え、短時間の累計額を試験してから運用へ入れた。
誤解しやすい点: 新しい手口を見つけるたびに未検証のルールを追加すると、誤検知が積み重なる。変更前後の被害と顧客負担を比較して採用を判断する。
43. 調査の受付で緊急度を決める
不正調査
調査案件を受けたら、まず被害が進行中か、資金を止められるか、証拠が消えるまでの時間を確認する。顧客保護が必要な案件は、事実認定が終わる前でも権限内の暫定措置を取る。受付記録には申告内容と担当者が確認した事実を分けて記す。緊急度は申告額だけでなく、同じ手口が多数の顧客に広がる可能性や、外部の保存期限も考慮して更新する。
事例: 顧客が送金直後に詐欺を申告した。担当者は詳細な聞き取りを後に回し、送金先への連絡可能性と追加送金の停止を先に確認した。
誤解しやすい点: 申告内容の真偽をすべて確かめてから保護措置を取ると、回収機会を失うことがある。暫定措置の根拠と範囲を記録して迅速に判断する。
44. 調査範囲と仮説を明文化する
不正調査
調査開始時には、何が起きた疑いがあり、どの取引と期間を対象にし、どの判断が必要かを明文化する。口座乗っ取り、顧客への誘導、本人による虚偽申告など複数の仮説を置けば、最初の印象に引きずられにくい。各仮説を支持・反証する証拠と取得先を一覧にし、範囲の拡大には理由を付ける。調査の目的は、収集可能な全情報を集めることではなく、判断に必要な事実を確かめることである。
事例: 送金の否認申告を受け、担当者は対象を当日の二件と前日の認証器変更に定めた。乗っ取りと顧客の誘導という二つの仮説について、確認すべき記録を挙げた。
誤解しやすい点: 最初に聞いた説明を事実として固定すると、反対の証拠を探さなくなる。申告、観察事実、未確認の推論を分け、仮説を更新する。
45. 事故対応と不正調査を連携させる
不正調査
口座乗っ取りが技術的侵害を伴う場合、不正調査と情報セキュリティ対応は同じログを必要とする。NISTの事故対応指針は準備、検知、対応、復旧を結び付けて考える技術資料になる。顧客保護のための認証器停止と、原因究明のための証拠保全を同時に計画する。ただし技術資料の手順を、特定地域の金融機関に課される報告義務と混同しない。連絡窓口と判断権限を先に定める。
事例: 攻撃者が顧客の認証器を再登録した疑いが生じた。不正担当者は追加送金を止め、セキュリティ担当者と協力して認証ログと変更記録を保全した。
誤解しやすい点: 侵害への対応を急ぐあまりログを上書きすると、送金経路を再構成できなくなる。停止措置と保全対象を並行して決め、実施時刻を残す。
46. 消えやすい証拠を先に保全する
不正調査
証拠保全では、保存期間が短い通信ログや外部サービスの記録を先に特定する。元データ、取得時刻、取得者、抽出条件、保管場所を記録し、調査用の複製で分析する。画面の写しだけでは前後の操作や時刻の精度が分からない場合があるため、可能なら基礎ログを確保する。保存範囲は調査目的と適用されるプライバシー要件に合わせ、無関係な情報の収集を広げない。
事例: 決済代行会社の接続ログが短期間で削除されると分かった。担当者は対象取引の識別子と期間を指定して保全を依頼し、受領したファイルの取得条件を記録した。
誤解しやすい点: 後で必要になれば再取得できると思い込むと、保存期限を過ぎたログを失う。調査初期に情報源ごとの保持期間と保全方法を確認する。
47. 証拠の取扱履歴を残す
不正調査
証拠の取扱履歴は、誰が、いつ、何を、どの方法で取得・移動・閲覧したかを示す。デジタル記録では元ファイルを保護し、分析に使った複製と変更履歴を区別する。取扱履歴が明確なら、後から数字や時刻に疑義が出ても元の記録までたどれる。履歴の形式は組織の手続や適用法に従うが、少なくとも証拠の出所と完全性を説明できる状態を保つ。
事例: 調査者は送金ログの原本を限定アクセスの保管先に保存し、分析用の複製を作った。複製の作成時刻、担当者、抽出した取引番号を案件記録に残した。
誤解しやすい点: ファイル名に「原本」と書くだけでは、後の変更がなかったことを示せない。取得元、保管、複製、アクセスの経過を記録する。
48. 異なる時計を合わせて時系列を作る
不正調査
不正事案では、アプリ、認証基盤、決済システム、顧客の端末が異なる時計と時刻帯を使う。記録の時刻を共通の基準へ変換し、元の時刻と変換方法を残してから操作を並べる。申請、承認、実行、確定を同じ「送金時刻」として扱うと、どの段階で止められたか誤る。時刻のずれが不明な記録は、その不確実性を示し、前後関係を断定しない。
事例: 認証ログは協定世界時、送金画面は現地時刻で記録されていた。担当者は両方を換算し、認証器変更が送金申請の前だったことを確認した。
誤解しやすい点: 画面に表示された順番をそのまま事件の順番とすると、時刻帯や処理遅延で誤る。元の時刻、基準時、処理段階を併記する。
49. 内部記録と外部情報を照合する
不正調査
内部ログは自社のシステムで起きた操作を示すが、顧客が受けた連絡や送金先の事情まで説明しない。外部の連絡記録、受取側から得られる情報、顧客が保存した画面を照合して仮説を検証する。CAMS-FCIの調査分野に通じる場面でも、取得できる情報の範囲は権限、契約、適用法で変わる。出所が異なる記録が一致しないときは、どちらを優先したかの理由を残す。
事例: 銀行のログでは顧客本人の端末から送金されていたが、顧客は偽の銀行員との通話記録を提出した。担当者は操作主体と誘導の有無を分けて確認した。
誤解しやすい点: 自社ログだけで事案を完結させると、顧客への誘導を見落とす。外部情報の出所と取得条件を確かめ、内部記録との整合と相違を記録する。
50. 面談では誘導せず説明を検証する
不正調査
顧客や従業員への面談では、最初に自由な説明を求め、その後で時刻や取引先など確認可能な点を尋ねる。最初から不正の類型を示す質問をすると、相手の記憶や回答を誘導しやすい。面談前に既知の事実と未確認事項を分け、必要な配慮や通訳の条件を決める。記録には質問と回答を区別して残し、後で新しい証拠が出た場合に説明を照合できるようにする。
事例: 顧客が「銀行員に言われて送金した」と話した。調査者は先に会話の流れを自由に説明してもらい、その後で電話番号、時刻、指示された送金先を確認した。
誤解しやすい点: 「詐欺師に脅されましたね」と先に尋ねると、相手の説明を特定の仮説へ寄せるおそれがある。自由な説明から始め、確認事項を段階的に尋ねる。
押さえておきたい60の概念 51-60
51. 相反する証拠を保留せず評価する
不正調査
調査で一致しない証拠が出たら、都合のよい方だけを採用しない。端末が顧客のものでも、遠隔操作や第三者の指示はあり得る。各記録の作成方法、時刻の精度、改変可能性、独立性を比較し、何を説明できて何を説明できないか明記する。追加確認で解消できない相違は結論の限界として残す。反証を扱うことは調査を弱めるのではなく、判断を検証可能にする。
事例: 顧客は送金を否認したが、端末ログは通常利用の端末を示した。調査者は否認を退ける前に、遠隔操作アプリの有無と送金時の通話記録を調べた。
誤解しやすい点: 一つの強いように見える証拠で他を無視すると、別の説明を排除できない。証拠が示す範囲と示さない範囲を分けて結論を書く。
52. 案件の拡大を根拠付きで判断する
不正調査
一件の送金から同じ受取人、端末、勧誘方法につながる別の顧客が見つかった場合、調査範囲の拡大を検討する。ただし一致する属性だけで全件を同一事案にせず、時間、資金の流れ、独立した証拠を確認する。拡大する目的、対象期間、必要な権限を記録し、影響を受ける顧客の保護を優先する。広げすぎると重要な緊急対応が遅れるため、作業を段階化する。
事例: 被害金の受取人口座に別の顧客からも送金があった。担当者は追加の二件を緊急確認に回し、さらに過去全期間へ広げるかは共通手口の証拠を見て決めた。
誤解しやすい点: 共通の受取人を見つけた時点で全取引を同じ詐欺と断定すると、正当な取引を巻き込む。対象を広げる根拠と確認結果を案件ごとに残す。
53. プライバシーと調査目的を両立させる
不正調査
不正調査では顧客の通信、端末、取引先など機微な情報に触れる。必要な情報、利用目的、閲覧者、保持期間を案件ごとに定め、適用法と組織の方針に沿って取得する。広く集めれば確実になるとは限らず、無関係な情報が判断を曇らせることもある。緊急保全が必要な場合も、後で取得範囲と理由を説明できる記録を残す。法的な開示義務は地域と事案により別途判断する。
事例: 担当者は顧客の通話記録全体を求める案を見直し、疑わしい送金の前後に該当する連絡先と時間帯に対象を絞った。
誤解しやすい点: 調査目的なら顧客情報を無制限に集められると考えるのは誤りである。必要性と権限を確認し、閲覧と保持の範囲を記録する。
54. エスカレーションを判断権限で設計する
不正調査
調査担当者が見つけた事実は、送金停止、顧客への補償、法的対応など異なる判断につながる。各判断の権限者と必要な証拠を事前に定めれば、緊急時に案件が滞りにくい。重大事案では不正対策、法務、情報セキュリティ、顧客対応の間で同じ事実関係を共有し、未確認事項も示す。報告先を増やすだけでは迅速化しないため、誰が何を決めるかを明確にする。
事例: 大口顧客の口座乗っ取りが疑われた。調査者は追加送金の保留を権限者へ求め、顧客への連絡方法を顧客対応部門と合わせ、法務には外部照会の要否を相談した。
誤解しやすい点: 関係者全員へ同じ通知を送れば対応が進むとは限らない。必要な判断、期限、責任者を示し、未確定の推論を事実として共有しない。
55. 回収可能性を時間と経路で評価する
不正調査
被害金の回収は、資金がどの決済経路を通り、どの時点で受取側へ届いたかによって可能性が変わる。調査の結論を待たず、権限内で送金先や決済事業者への連絡を検討する。取消、保留、返還の手続は経路と適用される契約・法令に従うため、一律に約束しない。連絡時刻、依頼内容、相手の回答を記録し、顧客には確認済みの見通しだけを伝える。
事例: 顧客の申告は送金から十分後だった。担当者は送金識別子を確認し、受取側への連絡を急いだうえで、資金がすでに引き出されたかを調べた。
誤解しやすい点: 送金済みなら回収不能と即断すると、受取側で保留できる機会を逃す。経路、到達状況、連絡可能な時間を確認してから見通しを示す。
56. 外部機関への連絡を事実に基づける
不正調査
外部機関への連絡には、受取側事業者への回収依頼、捜査機関への情報提供、監督上の報告など目的の異なるものがある。各連絡に必要な権限、期限、情報範囲は適用される法令や契約で確認する。CFCSで学ぶ横断的な金融犯罪対応にも通じるが、一つの不正疑義からすべての報告義務を推定しない。確定事実、未確認事項、取った措置を分け、提出内容の再現性を保つ。
事例: 銀行は詐欺被害金の受取側へ回収依頼を送った。同時に法務担当者が地域の報告要件を確認し、調査者は連絡文に確認済みの取引情報だけを記載した。
誤解しやすい点: 外部へ早く伝えるために推測を確定事実として書くと、後の訂正が難しくなる。連絡目的ごとに必要な情報を選び、未確認の点を明示する。
57. 調査報告書で事実と判断を分ける
不正調査
調査報告書は、読者が証拠から結論までたどれる構成にする。対象範囲、主要な時系列、証拠の出所、支持された仮説と残る不確実性、取った保護措置を示す。顧客の申告は重要な情報だが、独立して確認した事実とは分けて書く。結論の強さを証拠の質に合わせ、断定できない点を隠さない。意思決定者が次に行う承認や改善を明記すると、報告が記録だけで終わらない。
事例: 報告書には「顧客が第三者の指示を受けたと申告」と「送金は登録済み端末から実行」を別項目に記載した。調査者は通話内容が未検証であることも示した。
誤解しやすい点: 読みやすさのために申告と確認事実を混ぜると、結論の根拠が曖昧になる。出所と確認方法を示し、推論にはその理由を添える。
58. 不確実性を残したまま判断する
不正調査
不正調査では全ての事実がそろうまで待てないことがある。資金の停止や顧客保護は時間に敏感であり、懲戒や故意の認定にはより慎重な証拠評価が必要になる。同じ案件でも判断ごとに必要な確信の程度と権限を分ける。未取得の証拠、別の説明、追加取得の見込みを明記すれば、暫定措置を取りながら後で結論を更新できる。組織の基準と適用法に沿って記録する。
事例: 乗っ取りの疑いは強いが、操作者は確定していなかった。担当者は追加送金を一時保留し、故意の認定は保留して、端末と通話の記録を調べ続けた。
誤解しやすい点: 保護措置を取った事実を、そのまま顧客や従業員の不正認定に使ってはならない。暫定対応と最終判断の目的、根拠、基準を分ける。
59. 調査結果を検知ルールへ戻す
不正調査
調査で明らかになった操作順序や顧客への誘導は、検知ルールを改善する材料になる。確定した不正だけでなく、警告が出なかった理由、出たのに対応が遅れた理由、誤検知だった理由を分けて分析者へ渡す。個別の逸話をすぐ一般化せず、類似取引で同じ信号が使えるか試す。変更後は新たに拾えた被害と顧客負担を測り、調査側へ結果を返す。
事例: 調査で、攻撃者が認証器変更後に少額送金を試してから高額送金していたと分かった。分析者はこの順序を過去取引で試し、誤警告の量を確認した。
誤解しやすい点: 一件の事案に合わせて条件を細かく作りすぎると、別の手口を拾えず正当取引を止める。再現性と顧客負担を検証してから採用する。
60. 事案後に統制の原因と所有者を決める
不正調査
事案の終結時には、被害の直接原因と、統制が防止・検知・対応できなかった原因を分ける。手続の欠陥、設定の誤り、処理能力の不足、顧客への説明不足では改善策が異なる。各対策に所有者、期限、効果を測る指標を付け、再発事案や正当取引への影響で検証する。個人の操作ミスだけに原因を置くと、同じ条件を生む仕組みが残る。残余リスクの再評価まで行う。
事例: 被害事案では担当者が警告を見落としていたが、夜間に警告が大量に届く設計も判明した。管理者は研修に加え、警告の優先順位と当番体制を見直した。
誤解しやすい点: 担当者への注意だけで案件を閉じると、過剰な警告や曖昧な権限が残る。直接の行為と、それを許した統制条件を分けて是正する。
6回の学習計画
参照資料
試験形式と出題比率はACAMSの資格案内・候補者向けハンドブックに基づきます。各概念では関連する公的・専門機関の資料も参照しています。学習計画は本ガイドの提案です。