CAMS-Audit試験の概要と形式
Certified AFC Auditor（旧称 Advanced CAMS-Audit）は、AFC（金融犯罪対策）監査、コンプライアンス・モニタリング、独立テストに携わる専門家向けの上級認定です。監査担当者が、プログラムやコントロールを独立して評価・検証するための知識を扱います。
ACAMSが公表する試験形式は、単一選択式90問、180分です。認定名称や出題範囲、予約条件、料金、受験言語は変更される可能性があります。受験予約前にACAMSの公式ページで最新情報を確認してください。このガイドは日本語で学習内容を整理したもので、日本語受験が可能であることを示すものではありません。
このガイドの使い方
まず監査の役割とリスクベース計画を押さえ、次にプログラム評価と個別コントロールのテストへ進みます。最後に、所見の根拠、是正、フォローアップをつなげて復習してください。以下の優先度は学習上の編集目安であり、公式の出題比率ではありません。
- 手順書の存在と、実際に機能した証拠を分けて考える。
- 例外を見つけたら範囲を確かめ、根拠に見合う結論を出す。
- 是正策が症状だけでなく原因に対応しているかを確認する。
学習領域と優先度
| 領域 | 主な学習範囲 | 学習上の優先度（編集上の目安） |
|---|---|---|
| AFC監査の計画 | 監査対象の全体像、リスク評価、目的・範囲、サンプリング、重要性、資源配分、関係者との調整 | 重点：リスクに沿った監査設計 |
| プログラムの有効性評価 | ガバナンス、監査機能、組織文化、方針・手順、研修、独立テスト、課題管理、経営情報、取締役会への報告 | 重点：書類上の整備と実効性の区別 |
| 主要AFCコントロールのテスト | KYC/CDD、取引モニタリング、制裁スクリーニング、SAR/STR、モデル、データ品質、品質保証、証拠の評価 | 重点：設計、実行、証拠、原因の切り分け |
| 報告と是正 | 所見の評価、報告書、是正計画、反復課題、残余リスク、完了検証、エスカレーション | 重点：根拠ある所見と実効的なフォローアップ |
実務に役立つ60の重要概念 1–10
1. AFC監査の目的
プログラムの有効性評価
AFC監査の目的は、金融犯罪対策の仕組みがリスクに対応し、実際に機能しているかを独立した立場から評価することです。個別担当者の誤りを探すだけでなく、ガバナンス、設計、運用、情報の流れを合わせて検討し、組織がリスクを管理できているかを判断します。
場面例: 監査人は顧客確認の手順書を読むだけでなく、顧客ファイルを抽出し、必要な確認が実施・記録されているかを検証します。
よくある誤解: 監査を違反や誤りの摘発だけと考えるのは誤りです。コントロールの強みと弱みを評価し、根拠ある改善につなげる役割もあります。
2. 独立性と客観性
プログラムの有効性評価
独立性は、監査対象の業務運営や結論に不適切な影響を受けずに評価できる立場を指します。客観性は、先入観や利害から距離を取り、証拠に基づいて判断する姿勢です。組織図上の位置だけでなく、報告経路、権限、利益相反への対応も確認します。
場面例: 監査対象部門の責任者が監査範囲を狭めようとした場合、監査責任者は理由を記録し、適切な監督先に懸念を伝えます。
よくある誤解: 監査人が別部署に所属していれば自動的に独立している、とは限りません。実際の報告関係や圧力への対処も判断材料です。
3. 取締役会・上級管理職の監督
プログラムの有効性評価
取締役会などの監督機関は、AFCプログラムや重大なリスクについて適切な監督を行います。上級管理職は、承認された方針の実施、責任体制や資源の整備、重大な課題への対応・上申を担います。具体的な役割分担は組織の体制や適用される枠組みによって異なります。監査では、報告が行われたかだけでなく、監督機関の検討と管理職の対応を、それぞれ議事録や決定・進捗記録で確かめます。
場面例: 取締役会向け資料に未解決の重大課題が記載されていたら、監査人は取締役会の検討や決定の記録と、上級管理職による対応・進捗報告を確認します。
よくある誤解: 取締役会と上級管理職の役割を同一視したり、会議資料にAFCの項目があるだけで適切な監督が行われたと判断したりするのは誤りです。検討や対応の実態を確認します。
4. 管理責任と監査保証の区別
プログラムの有効性評価
業務部門はコントロールを日々運用し、その結果に責任を負います。監督・コンプライアンス機能は、定められた役割に応じて助言やモニタリングを行い、監査は独立した評価を提供します。監査が運用責任まで引き受けると、自らの仕事を評価する利益相反が生じます。
場面例: 監査人がサンプリング方法を助言した場合でも、最終的な取引承認や例外処理の判断は業務責任者が行います。
よくある誤解: 監査人が改善を提案することと、コントロールを代わりに運用することは別です。助言で責任の所在を曖昧にしてはいけません。
5. 三つの役割の連携
プログラムの有効性評価
第一線の業務、第二線のリスク・コンプライアンス機能、第三線の内部監査は異なる責任を担いながら、情報共有によって保証の重複や空白を減らせます。実際の役割分担は組織ごとに異なるため、名称だけで判断せず、責任、権限、報告関係を確認します。
場面例: 監査人はコンプライアンス部門のモニタリング結果を入手し、範囲や方法を評価したうえで、自らのテストとの重複を調整します。
よくある誤解: 「三線」の呼び名を機械的に当てはめるのは誤りです。組織の実際の責任分担と独立性を確かめます。
6. 組織文化と問題提起
プログラムの有効性評価
AFC文化は、規程の文言だけでなく、従業員が疑問や懸念を報告できるか、管理職が適切な行動を促すかにも表れます。監査では研修記録に加え、相談・報告経路、対応状況、従業員の認識など複数の情報を照合し、実態を評価します。
場面例: 研修受講率が高くても、現場で警告の報告が抑えられている可能性があれば、相談記録や対応の傾向も確認します。
よくある誤解: 研修受講率や理念の掲示だけで健全な文化を証明することはできません。日々の行動や報告への対応も見る必要があります。
7. 監査対象全体の把握
AFC監査の計画
監査対象全体を整理した一覧は、業務、法人、製品、システム、地域、重要な外部委託先など、監査可能な対象を把握するための基礎です。網羅性と更新状況を確かめることで、重要な領域が計画から抜けていないかを判断しやすくなります。
場面例: 新しいデジタル商品が追加されていたら、監査対象一覧とリスク評価に反映されているかを確認します。
よくある誤解: 前年度の監査一覧をそのまま使えばよいとは限りません。業務やリスクの変化に応じた更新が必要です。
8. リスクベースの監査計画
AFC監査の計画
リスクベース計画では、起こり得る金融犯罪リスクと、その影響、既存コントロール、変化の度合いを踏まえて監査の優先順位を決めます。均等に監査するのではなく、重大なリスクや保証の不足に資源を配分し、判断の理由を記録します。
場面例: 取引量と新商品の構成が大きく変わった部門は、最近監査を受けたという理由だけで低優先度にはしません。
よくある誤解: 前回監査からの経過期間だけで優先順位を決めるのは不十分です。最新のリスクとコントロール状況も考慮します。
9. 固有リスクと残余リスク
AFC監査の計画
固有リスクは、コントロールを考慮する前に存在するリスクです。残余リスクは、コントロールを踏まえた後にも残るリスクを指します。監査計画では両者を混同せず、コントロールの質や実際の運用情報に基づいて、なお監査が必要な領域を選びます。
場面例: 高リスク顧客を扱う部門で強い審査手順があっても、運用実績が不明なら残余リスクを低いと決めつけません。
よくある誤解: 規程が存在するだけで残余リスクが下がったとはいえません。実際に機能した証拠が必要です。
10. リスク評価の根拠
AFC監査の計画
監査のリスク評価は、経営情報、過去の監査結果、課題、規制や事業の変化、取引や顧客の特徴など、複数の情報で支えます。情報源の限界や古さも明らかにし、判断が特定の担当者の印象だけに依存していないかを検討します。
場面例: 担当者が「制裁リスクは低い」と述べても、新しい市場への進出記録があれば、前提と評価を見直します。
よくある誤解: 管理職の自己評価をそのまま独立したリスク評価として扱うのは危険です。別の証拠と照合します。
実務に役立つ60の重要概念 11–20
11. 監査目的の明確化
AFC監査の計画
監査目的は、監査が何を判断するのかを端的に定めます。目的が明確であれば、必要な証拠、対象範囲、テスト方法を一貫させられます。広すぎる目的や測定できない表現は、十分なテストをしても結論が曖昧になる原因になります。
場面例: 「顧客確認を評価する」ではなく、「選定した顧客ファイルで必要な確認が実施・記録されたかを評価する」と定めます。
よくある誤解: 監査目的を「問題がないことの確認」とすると、反証を探す視点が弱まります。何を評価するかを具体化します。
12. 監査範囲と境界
AFC監査の計画
監査範囲は、対象となる期間、業務、法人、システム、コントロールなどを定めます。範囲を明確にすると、結論がどこまで当てはまるかを説明できます。除外項目やアクセス制約も記録し、重要なリスクが対象外になる場合は影響を評価します。
場面例: 顧客確認の監査で海外拠点を対象外とするなら、その理由と、結論への影響を報告書に明示します。
よくある誤解: 範囲を狭くしても、結論を組織全体に一般化できるわけではありません。除外範囲と限界を示します。
13. 監査基準と評価尺度
AFC監査の計画
基準は、観察した状態を何と比較して評価するかを示します。組織の方針、承認された手順、適用される規制上の義務、契約上の要件などを使う場合は、どの基準が対象に当てはまるかを確認します。適用範囲が不明な基準で所見を断定してはいけません。
場面例: 顧客確認の処理を評価する前に、対象地域と顧客類型に適用される社内基準を特定します。
よくある誤解: 国際的な指針を、そのまま全ての法域で法的義務として扱うのは誤りです。適用される基準を確認します。
14. 重要性と影響
AFC監査の計画
重要性は金額だけでなく、顧客、規制、評判、業務継続、ガバナンスへの影響の性質や範囲を踏まえて判断します。発生可能性、発見されにくさ、既存の緩和策はリスク評価や監査の優先順位にも関係しますが、重要性そのものと同一視せず、組織の評価基準に沿って判断理由を記録します。
場面例: 一件の記録漏れでも、同じシステムを使う顧客全体に影響し得ると分かれば、件数だけを理由に軽微な問題とは扱いません。
よくある誤解: 件数や金額だけで重要性を決めるのは不十分です。一方、発生可能性などのリスク要因だけで重要性を決めず、影響の性質と範囲も評価します。
15. 監査の資源と技能
AFC監査の計画
監査計画には、必要な人数、時間、専門知識、データへのアクセス、必要に応じた技術支援を見込む必要があります。能力が範囲に見合わない場合は、支援を手配する、範囲や日程を調整する、制約を報告するなどの選択肢を検討します。
場面例: 取引モニタリングのデータ抽出に専門的な知識が必要なら、開始前にデータ担当者の協力と検証方法を調整します。
よくある誤解: 限られた時間で全項目を確認したことにすれば十分、とはいえません。資源制約が結論に与える影響を明示します。
16. 関係者との事前調整
AFC監査の計画
関係者との調整では、目的、範囲、予定、必要資料、連絡窓口を共有し、実務上の支障を減らします。調整は監査の独立性を損なうためではなく、事実確認と円滑な情報提供のために行います。評価基準や結論を事前に交渉で決めることとは区別します。
場面例: 開始会議で対象期間と必要な記録を説明し、部門からの質問や懸念を受けて記録に残します。
よくある誤解: 関係者の同意が得られなければ所見を出せない、ということではありません。判断は証拠と基準に基づきます。
17. 監査手続の設計
AFC監査の計画
監査手続は、目的に答えるための具体的な確認方法です。どの情報を、どの対象から、どの基準で調べ、どの結果なら追加調査するかを事前に整理すると、テストの一貫性と再現性が高まります。手続はリスクや得られた証拠に応じて調整できます。
場面例: 例外承認を確認するテストでは、承認者の権限記録とシステム上の承認履歴を突き合わせます。
よくある誤解: チェック項目を埋めること自体を監査目的にしてはいけません。各手続が何の判断を支えるかを明確にします。
18. サンプリングの目的
AFC監査の計画
サンプリングは、母集団全件ではなく選定した項目を調べ、定めた目的に応じて証拠を得る方法です。選定方法、対象期間、母集団の定義、テストの限界を記録し、結果からどこまで推論できるかを慎重に判断します。
場面例: 一定期間の顧客ファイルから抽出する際、母集団に対象顧客が漏れなく含まれるかを先に確かめます。
よくある誤解: 少数のサンプルで問題がなかったことは、母集団全体に例外がない証明にはなりません。
19. サンプルの選び方
AFC監査の計画
サンプルは、監査目的に照らして偏りなく、またはリスクに着目して意図的に選びます。無作為抽出は母集団についての推論に役立ち、リスクベース選定は特定の懸念を深掘りできます。選び方が異なれば、結果を一般化できる範囲も異なります。
場面例: 高リスク顧客の処理を調べるため意図的に抽出した場合、その結果を全顧客の発生率として報告しません。
よくある誤解: リスクの高い項目だけを調べた結果を、母集団全体の代表値として扱うのは誤りです。
20. 母集団とデータ抽出
AFC監査の計画
テスト結果の信頼性は、母集団が正しく定義され、抽出データが完全かつ正確であるかに左右されます。抽出条件、件数、期間、照合元を検証し、欠落や重複があれば原因と影響を評価してからサンプルを選びます。
場面例: 取引一覧の件数を元帳やシステム集計と照合し、抽出漏れがないと確認してから検査対象を選びます。
よくある誤解: 表計算ファイルを受け取っただけで母集団が正しいと仮定してはいけません。作成過程と整合性を確認します。
実務に役立つ60の重要概念 21–30
21. ガバナンスの評価
プログラムの有効性評価
AFCのガバナンス評価では、責任者、承認権限、報告経路、問題の上申、監督機関への情報提供が一貫しているかを確認します。方針に役割が書かれているだけでなく、実際の意思決定や未解決課題の追跡記録が整合するかを見ます。
場面例: 重大な顧客確認の遅延について、担当部門から上級管理職までの報告記録と、対応判断を追跡します。
よくある誤解: 委員会や役職が設置されているだけで、実効的なガバナンスがあるとはいえません。責任と行動を確認します。
22. 方針と手順の実効性
プログラムの有効性評価
方針は組織の考え方や責任を示し、手順は担当者が実行する作業を具体化します。監査では、内容がリスクや適用要件に対応しているか、承認・更新されているか、現場で利用可能かを分けて評価し、実際の処理とのずれも調べます。
場面例: 手順書の改訂日を確認したうえで、担当者が現行版を参照して顧客確認を処理した記録を検証します。
よくある誤解: 最新版の方針が存在することは、現場で正しく実行されている証明ではありません。運用テストも必要です。
23. 方針の周知と理解
プログラムの有効性評価
方針が承認されても、対象者に届かず理解されなければ、行動の基準として機能しません。対象職務への周知、アクセス可能性、変更時の連絡、理解度の確認を検討し、資料の配布記録と実際の処理を照らし合わせます。
場面例: 新しい例外承認手順の通知記録だけでなく、担当者が対象案件で正しい承認経路を使ったかを確認します。
よくある誤解: メール配信の記録だけで理解を証明したことにはなりません。実際の認識や行動と合わせて評価します。
24. 研修の適切さ
プログラムの有効性評価
研修評価では、受講の有無だけでなく、役割やリスクに合った内容か、必要な対象者に届いたか、理解を確かめる仕組みがあるかを見ます。研修が十分でも運用上の問題は残り得るため、研修記録をコントロール実績の証拠と混同しません。
場面例: 顧客確認担当者向けの研修が最新の手順を扱うかを確認し、実際のファイル処理の結果とも比較します。
よくある誤解: 全員の受講完了だけで、研修の有効性や行動の改善まで証明されたとは限りません。
25. 独立テストとモニタリング
プログラムの有効性評価
日常的なモニタリングと独立テストは区別して評価します。モニタリングは業務運営の一部として行われる場合もあれば、独立した立場から検証を行う場合もあります。監査では、実施者の役割と独立性、対象範囲、頻度の根拠、方法、結果の報告、指摘後の追跡を確かめます。
場面例: 業務部門による滞留アラートの確認と、別の担当者による定期的なファイルレビューについて、それぞれの責任、確認方法、報告経路、指摘後の対応を検証します。
よくある誤解: モニタリングが実施されているだけで独立した保証も得られているとは限りません。また、「独立テスト」という名称だけで、その独立性や十分性を判断してはいけません。
26. 課題管理の一貫性
プログラムの有効性評価
課題管理では、問題の記録、責任者、優先度、期限、進捗、完了根拠を一貫して追跡します。監査は、重大な課題が一覧から漏れていないか、期限変更や完了判定が適切に承認されているか、遅延が必要な先に共有されているかを確認します。
場面例: 期限を過ぎた課題が一覧から消えていないか、変更履歴と承認記録を突き合わせます。
よくある誤解: 課題管理システムに登録されていれば統制が有効、とはいえません。記録の完全性と追跡の実態が重要です。
27. 経営情報の質
プログラムの有効性評価
経営情報は、AFCプログラムの状態や重大なリスクを判断するために用いられます。数値の定義、作成元、対象期間、集計方法、限界を理解し、正確性・完全性・一貫性を評価します。見栄えのよいダッシュボードだけで情報の信頼性を結論づけてはいけません。
場面例: 未処理アラートの推移を報告しているなら、集計定義と元データの件数を照合します。
よくある誤解: 指標が経営会議で使われているだけで、正確とは限りません。生成過程と定義も検証します。
28. 取締役会向け報告の評価
プログラムの有効性評価
取締役会などへの報告が役立つには、重要なリスク、傾向、未解決の問題、必要な判断が、理解可能な形で示される必要があります。監査では、報告の内容だけでなく、重大な情報の省略、伝達の遅れ、質疑や対応の記録も確認します。
場面例: 重大な課題が定例報告の付属資料にしかない場合、意思決定者がそれを把握し追跡したかを調べます。
よくある誤解: 報告書が提出された事実だけでは、適切な監督や対応があったとはいえません。内容と追跡を確認します。
29. 第三者・外部委託先の統制
プログラムの有効性評価
AFC業務を第三者に委託しても、組織側のリスク管理責任が自動的になくなるわけではありません。委託業務の範囲、情報の受け渡し、サービス水準、監視、問題時の連絡や代替手段を評価し、契約と実際の運用の両方を見ます。
場面例: 外部事業者が顧客確認を補助する場合、例外の通知経路と品質レビューの記録を確認します。
よくある誤解: 第三者の認証や保証報告だけで、委託先リスクを全て評価したことにはなりません。対象と限界を確認します。
30. 変更管理と新しいリスク
プログラムの有効性評価
新商品、システム変更、事業買収、地域拡大などは、AFCリスクや既存コントロールに影響することがあります。変更管理では、リスク評価が実施され、必要な設計・データ・人員・手順の対応が運用開始前後に確認されたかを追跡します。
場面例: 新しい決済経路の導入後、取引データが監視システムに正しく届くか、変更記録とテスト結果を確かめます。
よくある誤解: 通常の変更承認が完了していればAFCリスクも管理済み、とは限りません。金融犯罪対策への影響を確認します。
実務に役立つ60の重要概念 31–40
31. 設計の妥当性
主要AFCコントロールのテスト
設計の妥当性は、コントロールが想定するリスクを予防、発見、または是正できる構造になっているかを評価します。責任者、判断基準、頻度、情報、例外処理、エスカレーションを検討します。設計が整っていても、運用結果は別に検証します。
場面例: 顧客情報の更新コントロールについて、更新を促す条件と未対応時の追跡経路が設計されているかを調べます。
よくある誤解: 手順書が詳しいことだけで設計の有効性を結論づけるのは早計です。リスクを実際にカバーする仕組みかを評価します。
32. 運用上の有効性
主要AFCコントロールのテスト
運用上の有効性は、コントロールが対象期間に、適切な担当者によって、定められた方法で実行されたかを検証します。記録のサンプル、承認履歴、システムログなどを調べ、例外があれば頻度、原因、影響を追加確認します。
場面例: 審査手順が整っていても、抽出した顧客記録で必須レビューの実施証跡がなければ運用例外として調査します。
よくある誤解: 良い手順書を運用実績の証拠として扱うのは誤りです。実際の実行記録を確認します。
33. 統制の予防・発見・是正機能
主要AFCコントロールのテスト
コントロールは、望ましくない事象を予防するもの、発生後に発見するもの、発見された問題を是正するものに分けて考えられます。一つの仕組みが複数の機能を持つこともあります。監査目的に照らし、どの段階をテストしているかを明確にします。
場面例: 制裁照合の警告確認は発見機能、誤った顧客登録を止める審査は予防機能として別々に評価します。
よくある誤解: 警告を出す機能があれば問題が解決する、と考えるのは誤りです。対応や是正まで確認します。
34. KYC/CDDの顧客確認
主要AFCコントロールのテスト
KYC/CDDのテストでは、顧客の識別・確認、関係性の理解、必要な情報の更新、リスクに応じた確認が、適用される基準と社内手順に沿って行われたかを調べます。必要な証拠や判断は顧客類型や適用法域で異なるため、前提を明確にします。
場面例: 選んだ顧客ファイルについて、本人確認、リスク評価、必要な承認の記録を適用手順と照合します。
よくある誤解: 全ての顧客に同じ確認を一律に求めることが常に正しいとは限りません。適用要件とリスクに応じて評価します。
35. 顧客リスク評価
主要AFCコントロールのテスト
顧客リスク評価は、顧客の属性や取引関係など関連する要素を用いて、確認やモニタリングの水準を決める仕組みです。監査では、評価基準の一貫性、情報の正確性、変更時の見直し、例外承認を検証し、結果が実際の対応に反映されたかを確認します。
場面例: 顧客情報の重要な変更後、リスク区分が更新され、必要な追加レビューにつながったかを追跡します。
よくある誤解: リスク区分がシステムに表示されているだけでは十分ではありません。その区分に応じた対応も確認します。
36. PEPなどのリスク要因の扱い
主要AFCコントロールのテスト
PEP（重要な公的地位にある者）としての地位やその他の警戒要因は、確認やモニタリングの水準を検討するためのリスク情報であり、それ自体が犯罪の証明ではありません。PEPの定義や家族・密接な関係者などの対象範囲は、適用法域や制度によって異なります。監査では、適用要件と個別リスクに応じた識別、審査、判断記録があるかを確認します。
場面例: 適用法域と社内基準に照らしてPEPに該当する顧客について、必要な確認や承認が行われ、その判断理由が記録されているかを検証します。
よくある誤解: PEPに該当するだけで犯罪と断定したり、追加のリスク評価なしに一律拒否を当然視したりするのは適切ではありません。
37. 顧客確認の例外管理
主要AFCコントロールのテスト
顧客確認の例外を設ける場合は、適用要件上許容される範囲、承認権限、理由、期限、未解決時の対応を明確にする必要があります。社内の例外承認が、法令上の義務を免除するわけではありません。監査では、例外記録を抽出し、適用要件との整合性、承認権限、必要な追加確認、期限後の追跡を検証します。
場面例: 確認書類の一部が未提出の案件について、その段階で処理を継続できる条件を適用要件と照合します。処理継続が許容される場合は、必要な承認、条件、期限、後日の確認完了を追跡します。
よくある誤解: 例外が社内で承認されているだけで、適用される法令や規則の要件も満たしたことになるとは限りません。
38. 取引モニタリングの流れ
主要AFCコントロールのテスト
取引モニタリングは、データの取込み、ルールやモデルによる検出、警告の優先順位付け、調査、判断、エスカレーションまでの流れとして評価します。警告件数だけで性能を判断せず、各段階の責任、遅延、未処理、結果の品質を確かめます。
場面例: 警告が発生してから調査完了までを数件追跡し、担当割当て、判断理由、必要な上申が記録されているかを見ます。
よくある誤解: 警告が生成されているだけで監視が有効とはいえません。調査と適切な処理まで検証します。
39. 警告調査と判断記録
主要AFCコントロールのテスト
警告調査では、担当者が関連情報を確認し、判断の根拠を残し、必要な場合に追加調査や上申を行っているかが重要です。監査人は、結論の内容だけでなく、記録の十分性、判断の一貫性、品質確認の結果をサンプルで評価します。
場面例: 警告が終了扱いになった案件で、判断理由と参照した顧客・取引情報が記録に残っているかを確認します。
よくある誤解: 警告を「終了」にした事実だけでは、調査が十分だった証拠になりません。判断の根拠を検証します。
40. 制裁スクリーニングの対象範囲
主要AFCコントロールのテスト
制裁スクリーニングの評価では、対象となる顧客、関係者、取引、データ項目、処理時点が、組織の適用義務とリスクに合っているかを確認します。リスト更新、照合設定、警告処理も含めて流れを調べます。具体的な義務は法域や組織により異なります。
場面例: 顧客登録時だけでなく、必要な取引段階でも対象情報が照合されているか、処理記録を追跡します。
よくある誤解: どの組織にも同じ対象範囲や制裁ルールが適用されると仮定してはいけません。法域と適用要件を確認します。
実務に役立つ60の重要概念 41–50
41. 制裁警告の処理
主要AFCコントロールのテスト
制裁スクリーニングの警告処理では、担当者が照合情報を確認し、判断を記録し、必要な場合に適切な担当へ上申する仕組みを評価します。監査人は誤検知の解消だけでなく、未処理警告や判断の一貫性、アクセス権限、処理後の記録も検証します。
場面例: 警告が誤一致として処理された案件について、比較した識別情報と判断記録を確認します。
よくある誤解: システムが警告を出せば制裁リスクを管理できている、とはいえません。人の判断と処理の証拠も必要です。
42. 制裁ルールと所有関係の慎重な扱い
主要AFCコントロールのテスト
制裁の適用や所有関係の判断は、対象法域、当局の規則、組織の活動範囲によって異なります。監査では、特定の制度の基準を全世界共通のルールとして扱わず、組織が採用する判断根拠、情報源、法務・コンプライアンスへの照会手順を確かめます。
場面例: 所有関係が複雑な取引先について、担当者が適用法域の基準を特定し、判断を適切な専門部署に確認した記録を見ます。
よくある誤解: ある国・当局の所有基準を、他の法域にも自動的に適用できると考えてはいけません。適用ルールを確認します。
43. SAR/STRの判断プロセス
主要AFCコントロールのテスト
SAR/STR（疑わしい取引等の届出）の監査では、警戒情報の受付、調査、届出要否の判断、必要な場合の社内承認や届出、記録、届出後の対応を一連の流れとして評価します。承認の要否、届出要件、期限は適用法域や社内手続によって異なるため、該当する要件を特定して確認します。
場面例: 調査案件のサンプルを受付から届出要否の判断まで追い、判断者と根拠を確認します。届出が行われた案件では、提出記録と適用される期限も照合します。
よくある誤解: すべての警告が届出に至るべきだと考えるのは誤りです。個別判断と適用要件に沿ったプロセスを評価します。
44. 届出の記録と情報管理
主要AFCコントロールのテスト
疑わしい活動の調査・届出に関する記録は、判断の追跡可能性と情報の適切な取扱いを支えます。監査では、記録へのアクセス、保存、共有、変更管理を確認し、適用される守秘義務や開示制限も考慮します。承認については、適用法令または組織の手順で求められる場合に、その統制を確認します。
場面例: 届出関連の案件ファイルについて、閲覧権限や変更履歴を確認し、アクセスが職務上の必要性と適用される手順に沿って管理されているかを調べます。
よくある誤解: 監査だからといって、機微な届出情報を全ての担当者に共有してよいわけではありません。適用される要件と権限に従います。
45. モデルのガバナンスと検証
主要AFCコントロールのテスト
モデルガバナンスでは、モデルの目的、所有者、変更承認、検証、限界、継続的な監視が整っているかを評価します。独立性や方法の適切さはモデルの用途や組織の枠組みに照らして判断し、検証済みという表示だけで有効性を結論づけません。
場面例: 取引モニタリングモデルの変更履歴を追い、変更理由、承認、検証結果が一貫して記録されているかを調べます。
よくある誤解: 一度検証したモデルなら、その後も常に適切とは限りません。変更やデータの変化に応じた監視が必要です。
46. モデル性能の評価
主要AFCコントロールのテスト
モデル性能の評価では、用途に即した指標、検証方法、限界、実運用での結果を見ます。警告数の増減だけでは、見逃しや過剰な警告、調査能力との不整合を説明できません。指標の意味と前提を理解し、期待される結果に照らして評価します。
場面例: 警告件数が大きく減った場合、設定変更の記録と、検出対象や調査結果への影響を合わせて確認します。
よくある誤解: 警告件数が少なければモデルが効率的だ、と短絡するのは誤りです。検出の適切さと目的への適合を調べます。
47. モデルとデータ品質の切り分け
主要AFCコントロールのテスト
期待した警告が出ないときは、モデルの設定だけでなく、元データの欠落、変換、重複、遅延、項目の対応付けも調べます。入力データが誤っていればモデルの評価結果も歪むため、原因を切り分けてからモデルの性能や設定を判断します。
場面例: 特定の取引が検出されない場合、まず元システムの記録と監視システムへの取込み結果を照合します。
よくある誤解: アラート不足を見て直ちに閾値を変更するのは早計です。データの完全性や処理経路も検証します。
48. データ品質と来歴
主要AFCコントロールのテスト
データ品質の評価では、完全性、正確性、一貫性、適時性など、目的に必要な特性を確認します。どのシステムから、どの処理を経て、どこに使われるかという来歴を追うことで、欠落や変換誤りが後工程に及ぼす影響を特定しやすくなります。
場面例: 顧客識別情報の項目を元システムから照合エンジンまで追い、空欄や形式変換の不一致を調べます。
よくある誤解: データがシステムに読み込まれているだけで正確とは限りません。元データとの照合と処理経路を確かめます。
49. 品質保証の役割
主要AFCコントロールのテスト
品質保証は、業務判断や処理記録の質を一定の基準で点検し、傾向や改善点を把握する仕組みです。監査では、評価基準、サンプル選定、評価者の能力、再確認、結果の集計と是正への連携を検証します。
場面例: 警告調査の品質レビューについて、評価者の判定と別の検証者の結果を比較し、差異の扱いを確認します。
よくある誤解: 品質保証の実施件数が多いだけで有効とは限りません。評価の正確さや、発見後の改善も調べます。
50. コントロール証拠の信頼性
主要AFCコントロールのテスト
証拠は、監査目的との関連性、入手経路、作成者、改変可能性、再現性などを踏まえて評価します。独立して検証できるシステム記録は有用な場合がありますが、必ずしも単独で十分とは限りません。複数の証拠を照合し、矛盾も調査します。
場面例: 担当者の説明を聞いた後、承認ログと案件記録を突き合わせ、説明どおりに処理されたかを確かめます。
よくある誤解: 証拠に一律の信頼性順位を付けて機械的に採用するのは危険です。目的や生成過程に照らして評価します。
実務に役立つ60の重要概念 51–60
51. 証拠の十分性と関連性
主要AFCコントロールのテスト
関連性は証拠が監査目的に答えるかを示し、十分性は結論を支える量と広がりがあるかを示します。信頼できる証拠でも目的から外れれば役立たず、関連する証拠でも範囲が狭すぎることがあります。両方を意識して追加手続の要否を決めます。
場面例: 手順書は承認経路の設計には関連しますが、個々の取引で承認が実行されたかには別の記録が必要です。
よくある誤解: 資料の量が多ければ十分な証拠になるとは限りません。監査目的に直接関係するかを確かめます。
52. 例外の確認と拡張テスト
主要AFCコントロールのテスト
例外を見つけたら、事実、原因候補、影響範囲を確認し、追加サンプルや別の情報源が必要かを判断します。拡張テストの範囲は、例外の性質、リスク、母集団、監査目的に応じて決めます。例外の存在だけで組織全体へ結論を広げません。
場面例: 複数ファイルで同じ承認不足が見つかったら、該当担当者や期間に偏りがあるか、関連記録を追加して調べます。
よくある誤解: 一件の例外から全社的な失敗を断定するのも、追加確認せず単発として片付けるのも適切ではありません。
53. 原因分析
報告と是正
原因分析は、観察された例外がなぜ発生し、なぜ既存の仕組みで防止・発見されなかったかを掘り下げる作業です。担当者の誤りだけで止めず、手順、権限、システム、データ、監督、資源、研修などの要因を証拠に基づいて検討します。
場面例: 確認書類の欠落が続く場合、担当者への聞き取りだけでなく、画面設計や承認例外の処理も確認します。
よくある誤解: すべての問題を研修不足と決めつけると、仕組み上の原因を見落とします。原因は検証して特定します。
54. 監査所見の構成
報告と是正
明確な所見は、期待される基準、実際に確認した状態、差異の根拠、影響やリスクをつなげて記述します。事実と解釈を分け、読者がテスト範囲と結論を理解できるようにします。証拠で支えられない原因や広範な影響を断定しません。
場面例: 「手順が不十分」とだけ書かず、対象記録でどの確認が欠け、どの基準との差が生じたかを示します。
よくある誤解: 問題の印象や担当者の見解だけを所見にしてはいけません。観察事実と基準を結び付けます。
55. 所見の重大度評価
報告と是正
所見の重大度は、影響、範囲、発生可能性、コントロールの弱点、既存の緩和策などを踏まえて、組織の評価基準に沿って判断します。評価区分や承認経路は組織の枠組みに従い、同種の課題との一貫性も確認します。
場面例: 限られた一部の記録で例外が出た場合でも、共通システムを通じて広がる可能性を検討して評価します。
よくある誤解: サンプル件数だけで重大度を決めるのは不十分です。潜在的な影響と実際の広がりを区別します。
56. 報告書の明瞭さと公平性
報告と是正
報告書は、意思決定者が問題、影響、必要な対応を理解できるよう、簡潔で正確にまとめます。反対意見や管理側の説明も必要に応じて示しつつ、監査人の結論を証拠に基づいて明確に伝えます。専門用語の多用や曖昧な表現は避けます。
場面例: 部門が所見に異議を示したとき、異議の根拠と監査人が確認した資料、最終判断を併記します。
よくある誤解: 公平さとは双方の主張を同じ重みで結論にすることではありません。証拠に基づく判断を説明します。
57. 是正計画と責任者
報告と是正
是正計画には、対応する原因、具体的な作業、責任者、期限、完了を示す証拠を結び付けます。監査人は対応が実務で実行可能か、所見の影響を抑えるかを評価します。管理側が計画を所有し、監査はその妥当性と進捗を独立して確認します。
場面例: 警告処理の遅延に対し、責任者、処理能力の見直し、進捗指標、実施後の検証方法を計画に記載します。
よくある誤解: 「改善する」という宣言だけでは検証可能な計画になりません。担当、期限、完了根拠を明確にします。
58. 反復課題の扱い
報告と是正
同じ、または類似する課題が再発した場合、前回の原因分析や是正が不十分だった可能性を検討します。新しい証拠で今回の原因と範囲を再評価し、前回計画の実施・検証状況を追跡します。再発だけで自動的に同じ重大度になるとは限りません。
場面例: 再研修後に同じ処理漏れが続いた場合、研修の実施記録だけでなく、システム上の制約や監督方法も調べます。
よくある誤解: 同じ是正を繰り返せば解決するとは限りません。再発の事実を踏まえて原因と対応を改めて評価します。
59. 完了検証と残余リスク
報告と是正
是正の完了検証では、計画された作業が実施されたかだけでなく、コントロールが意図したとおり機能するかを確かめます。検証方法は課題の性質に応じて選び、未解消のリスクや検証範囲の限界があれば記録し、必要な監督先に伝えます。
場面例: 新しい承認画面の導入後、稼働記録と実案件を調べ、権限外の承認が防がれているかを確認します。
よくある誤解: 手順書の更新や研修の実施をもって自動的に完了とするのは不十分です。効果の確認が必要です。
60. 未解決課題のエスカレーション
報告と是正
期限超過、対応への異議、重大な残余リスク、必要な資源の不足などがある場合、組織の報告経路に従って適切な責任者へ知らせます。エスカレーションの判断は課題の重要性と状況に基づき、監査人は連絡内容、決定、未解決事項を記録します。
場面例: 重要な課題の期限延長が続く場合、延長理由と残るリスクを確認し、必要な監督者へ状況を報告します。
よくある誤解: 上申すれば課題が解決したことにはなりません。判断後も、責任者と対応状況、残余リスクを追跡します。
6段階の学習プラン
公式情報源
認定名称、対象者、公開されている試験形式や最新の受験情報はACAMSの公式ページで確認してください。掲載内容は2026年10月11日時点で提供された情報に基づく学習ガイドであり、公式教材や出題内容の再現ではありません。学習領域の整理は実務向けの編集構成で、公式の出題比率を示すものではありません。