試験概要と形式
Certified AFC Risk Managerは、旧称 Advanced CAMS-Risk Management の上級スペシャリスト資格です。金融犯罪リスクの評価と、持続可能なAFCプログラムの運営に関わる実務家を主な対象としています。
ACAMSの案内に基づく試験形式は、単一選択式90問、180分です。確認時点（2026年10月11日）で、ACAMSは試験を英語のみで案内しています。このページは日本語で学習内容を整理するための教材であり、日本語で受験できることを示すものではありません。予約条件や料金は受験前にACAMSで確認してください。
以下の学習優先度は編集上の目安で、公式の出題比率ではありません。FATF基準は国内法と同一ではなく、実際の義務は適用される法域の法令や規制に照らして判断します。
公式情報
- ACAMS Certified AFC Risk Managerで、名称、試験形式、言語、予約に関する最新情報を確認してください。
学習領域と優先度
| 領域 | 主な範囲 | 学習上の優先度（編集上の目安） |
|---|---|---|
| 金融犯罪リスクと新興脅威への対応 | 脅威とタイポロジーの変化、仮想資産、制裁、詐欺の複合化、AI、金融包摂、相互評価、規制上の優先事項 | 高 |
| 金融犯罪リスク評価 | 内在リスク、統制の有効性、残存リスク、顧客・商品・地域・チャネル、データ、採点、集計、手法の検証と限界 | 最優先 |
| AFCリスク管理プログラムの構築と維持 | リスクアペタイト、取締役会の監督、責任分担、方針、統制、KRI、是正、モデル管理、第三者、研修、変更管理 | 高 |
| リスク管理ケーススタディ | 競合するリスク、不完全なデータ、例外判断、統制上の課題、エスカレーション、是正策の選択 | 全領域をつなぐ演習 |
実務判断につながる60の概念 1–10
1. AFCリスク管理の目的
金融犯罪リスクと新興脅威への対応
AFCリスク管理は、金融犯罪の可能性を列挙するだけでなく、組織の活動に応じたリスクを理解し、適切な統制と監督につなげる取り組みです。目標はリスクをゼロと宣言することではなく、重要なリスクを把握し、受容・低減・回避などの判断を説明できる状態にすることです。
実務例: 新しい送金サービスを検討する際、担当部門は収益性だけでなく顧客層、送金先、取引速度、監視能力も評価に含めます。
よくある誤解: リスク管理の成功を、アラートやインシデントが一件もないことと同一視しないでください。重要なのは、リスクを把握し、妥当な対応を継続できることです。
2. リスクベース・アプローチ
金融犯罪リスクと新興脅威への対応
リスクベース・アプローチでは、顧客、商品、地域、チャネルなどのリスクと統制能力に応じて、注意や資源の配分を調整します。全てに同じ強度の措置を適用するのではなく、判断の根拠を記録し、リスクの変化に応じて見直すことが要点です。
実務例: 複雑な越境取引が集中する商品には、通常の商品より詳細な取引分析と管理者レビューを割り当てます。
よくある誤解: リスクベースという言葉は、必要な統制を省略する口実ではありません。低リスクと評価した根拠が弱ければ、措置を軽くする判断も防御できません。
3. 脅威の変化と統制の弱点
金融犯罪リスクと新興脅威への対応
脅威の変化は、犯罪者の手口や外部環境の変化です。統制の弱点は、組織の仕組みがそのリスクを十分に扱えない設計または運用上の問題です。一つの事案に両方が関係することもあり、原因を分けて調べると、評価の改訂と統制の修正を適切に組み合わせられます。
実務例: 新たな口座乗っ取り手口が増えた一方、社内の警告が担当者に届いていなければ、脅威変化と情報伝達の弱点を並行して扱います。
よくある誤解: 全ての事案を新たな脅威のせいにすると、既存統制の不備を見落とします。逆に、統制を直すだけでは、リスク評価の前提が変わった可能性を無視します。
4. タイポロジーの更新
金融犯罪リスクと新興脅威への対応
タイポロジーは、金融犯罪に関連する行動や取引パターンを理解するための手掛かりです。犯罪者は検知を避けるために手口を変えるので、過去の事例を固定的な判定条件として扱わず、新しい情報が自社の顧客や商品にどう関係するかを検討します。
実務例: 複数機関の公表情報で小口送金の組み合わせが変化していたら、自社の取引データにも同じ特徴が現れているかを調べます。
よくある誤解: 公表されたタイポロジーを、そのまま全顧客に当てはめるのは適切ではありません。自社のリスクとの関連性やデータ上の識別可能性を確かめます。
5. 外部情報と自社リスクの接続
金融犯罪リスクと新興脅威への対応
規制当局、法執行機関、業界団体などの情報は、自社データだけでは見えにくい脅威を知る助けになります。ただし、外部情報は自社で発生した事実の証明ではありません。情報の出所、対象範囲、鮮度を評価し、自社の顧客・商品・地域に照らして適用可能性を判断します。
実務例: 業界向け注意情報を受けたチームが、対象の送金経路を使う顧客と過去のアラートを照合します。
よくある誤解: 外部情報を引用しただけで、自社のリスク評価が完了するわけではありません。自社への関連性と、確認に使った証拠を明らかにします。
6. 仮想資産のリスク特性
金融犯罪リスクと新興脅威への対応
仮想資産に関わる活動は、取引速度、国境を越える移転、仲介事業者の役割、取引情報の可視性などによってリスクが異なります。「仮想資産」という名称だけで結論を出さず、具体的なサービス、顧客、資金の流れ、統制がどう組み合わさるかを評価します。
実務例: 新しい仮想資産サービスの審査で、送金経路に加え、取引相手の確認方法や記録の取得可能性を検討します。
よくある誤解: 全ての仮想資産活動を同じ危険度とみなすのは粗雑です。反対に、技術的な追跡可能性があることだけでリスクが解消したともいえません。
7. 制裁リスクの文脈評価
金融犯罪リスクと新興脅威への対応
制裁リスクの管理では、組織に適用される法域や規則、顧客・取引の関係、照合結果の質を確認します。制裁リストへの一致候補は、同姓同名などによる誤一致の可能性も含めて検証が必要です。所有や支配に関する判断も、適用される制度のルールに基づいて行います。
実務例: 候補一致の通知を受けた担当者が、氏名だけで決めず、識別情報と取引の文脈を確認して所定の手順に回します。
よくある誤解: 制裁の所有・支配に関する判定基準を、全ての法域に共通する一つのルールとして扱わないでください。どの制度が適用されるかの確認が先です。
8. 詐欺と資金洗浄の交差
金融犯罪リスクと新興脅威への対応
詐欺で得られた資金が口座、送金、決済などを通じて移動すると、詐欺対策と資金洗浄対策が同じ資金の流れを扱うことがあります。情報共有の遅れは検知の空白を生み得るため、各機能が持つ情報を適切に連携し、目的や権限を明確にして分析します。
実務例: 顧客から不正送金の申告が続いたとき、詐欺チームとAMLチームが受取先や関連口座のパターンを共有します。
よくある誤解: 詐欺の申告があれば、受取人が必ず資金洗浄に関与しているとは限りません。被害の情報と個人の犯罪関与の判断を混同しないことが重要です。
9. AIがもたらす機会とリスク
金融犯罪リスクと新興脅威への対応
AIは分析や業務効率を支援する一方、合成された身元情報や説得力のある偽装などに悪用される可能性があります。リスク評価では、AIの利用有無だけでなく、対象業務、入力データ、判断への影響、人による確認、誤りを発見する仕組みを検討します。
実務例: 本人確認に画像分析を導入する前に、偽造画像への耐性や、例外案件を人が再審査する流れを試験します。
よくある誤解: AIを使えば検知が自動的に改善すると考えるのは誤りです。データの偏りや説明困難な判断が、新しい統制課題を生むことがあります。
10. 金融包摂と比例性
金融犯罪リスクと新興脅威への対応
金融包摂を考慮する際は、必要な犯罪対策を保ちながら、顧客属性や利用環境に応じた適切な方法を検討します。手続の負担が大きいことだけを理由に一律排除せず、リスクを把握できる代替的な確認手段や段階的な管理が可能かを評価します。
実務例: 本人確認書類の取得が難しい顧客層について、適用要件を守りながら利用可能な確認方法を複数検討します。
よくある誤解: 包摂を重視することは、リスク管理を弱めることと同義ではありません。反対に、確認が難しいという事情だけで全員を拒否するのも比例的とは限りません。
実務判断につながる60の概念 11–20
11. 相互評価の活用
金融犯罪リスクと新興脅威への対応
相互評価の所見は、国や制度の技術的な整備状況、実効性に関する課題を理解する材料です。所見を読むときは、評価の対象、時点、指摘の範囲を確認し、自社の顧客や取引への影響を検討します。所見そのものを自社の個別顧客に関する証拠とは扱いません。
実務例: 評価報告で特定分野の監督課題が指摘されていたら、その国に関係する自社業務の統制と情報の限界を確認します。
よくある誤解: 相互評価の指摘だけで、特定の国や顧客を犯罪リスクと断定しないでください。評価結果を個別のリスク評価に結びつける根拠が必要です。
12. 規制上の優先事項の変化
金融犯罪リスクと新興脅威への対応
規制上の重点やガイダンスの変化は、リスク評価やプログラムを見直すきっかけになります。ただし、発表のたびに全社制度を作り直すのではなく、適用される法域、法的性質、対象業務、実施時期を確認し、必要な変更と単なる情報共有を切り分けます。
実務例: 新しいガイダンスを受け、法務部門が適用範囲を確認し、関連する手順の改訂要否を責任者に示します。
よくある誤解: 国際基準や当局資料の公表を、直ちに全ての組織に適用される法律の制定とみなさないでください。法的な位置づけと自社への適用を確認します。
13. 評価の目的と範囲
金融犯罪リスク評価
リスク評価を始める前に、目的、対象業務、対象期間、組織単位、判断の利用者を定めます。範囲が不明確だと、重要な活動が抜けたり、異なる時点や単位のデータを混ぜたりします。必要に応じて、対象外の領域とその理由も明記します。
実務例: 新商品の承認に使う評価なら、商品の利用者、資金の流れ、外部委託先、利用開始予定時期を範囲に含めます。
よくある誤解: 既存の全社評価をそのまま新商品の判断に流用できるとは限りません。評価の目的と粒度が異なれば、追加の分析が必要です。
14. リスク分類体系
金融犯罪リスク評価
リスク分類体系は、顧客、商品、地域、チャネル、取引などを共通の言葉で整理し、評価や報告を比較可能にします。分類は実際の事業活動を捉えられる程度に詳しく、運用者が一貫して使える形にします。新しい活動が既存分類に収まらない場合は、分類自体の見直しも検討します。
実務例: オンライン取引を単一区分にせず、本人確認方法や取引相手の違いを評価上意味のある単位で区別します。
よくある誤解: 分類項目を増やせば評価が精密になるとは限りません。定義が曖昧で入力者ごとに解釈が違う分類は、比較可能性を損ないます。
15. 内在リスク
金融犯罪リスク評価
内在リスクは、統制の効果を反映する前に、顧客や活動が持つ性質から生じるリスクを捉える考え方です。顧客数、取引の複雑さ、地理的範囲、資金の速度など、何を根拠に評価したかを明らかにします。統制の評価と混ぜないことで、元のエクスポージャーが見えやすくなります。
実務例: 新しい国際送金サービスの評価では、送金経路や顧客構成を先に整理し、監視システムの効果は別に検討します。
よくある誤解: 強力な統制があるから内在リスクも低い、と評価してはいけません。統制の効果を先に差し引くと、リスクの原因と管理状況が混同されます。
16. 統制の設計有効性
金融犯罪リスク評価
設計有効性は、統制が想定するリスクを抑える仕組みとして適切に構成されているかを問います。責任者、対象範囲、判断基準、例外処理、記録やエスカレーションが整っているかを確認します。文書が存在するだけでは、統制の目的に対して設計が十分とは限りません。
実務例: 高リスク取引の審査手順に、確認すべき情報、例外の承認者、根拠の記録方法が揃っているかを点検します。
よくある誤解: 手順書があることだけを根拠に設計有効と判定しないでください。その統制が対象リスクを実際に扱える仕組みかを評価します。
17. 統制の運用有効性
金融犯罪リスク評価
運用有効性は、設計された統制が実際に一貫して実行され、意図した記録や結果を生んでいるかを示します。サンプル記録、処理履歴、例外、担当者の実務などを確かめます。運用が確認できなければ、統制文書だけからリスク低減効果を高く見積もることはできません。
実務例: 承認手順の運用を、直近の案件記録と例外処理のログから確かめ、未承認の処理がないか調べます。
よくある誤解: 統制の設計が優れていることと、日々機能していることは別です。実行証拠がなければ、運用有効性を推定で済ませないでください。
18. 残存リスク
金融犯罪リスク評価
残存リスクは、統制を考慮した後にも残るリスクです。単純な点数の差し引きで決めるのではなく、設計と運用の証拠、対象範囲、例外、代替統制を検討します。結果が不自然に低い場合は、計算の仕組みと証拠の質を再確認し、判断理由を記録します。
実務例: 高い内在リスクに対して残存リスクが低く出た案件で、運用記録の不足がないか再調査します。
よくある誤解: 統制評価の点数を機械的に引けば、妥当な残存リスクが出るとは限りません。数値の見た目より、統制の実際の効果を確かめます。
19. 顧客リスク要因
金融犯罪リスク評価
顧客リスクは、顧客の属性や活動、関係の構造など複数の情報を組み合わせて評価します。一つの属性を自動的な結論にせず、資金源、実質的な活動、提供された情報、取引との整合性を確認します。リスク要因は追加確認の理由になり得ますが、それだけで不正の証明にはなりません。
実務例: 事業内容に比べて取引規模が大きくなった顧客について、変更の背景と資金の流れを確認します。
よくある誤解: 国籍、職業、顧客区分など一つの特徴だけで顧客全体を評価しないでください。文脈と具体的な活動を含む証拠が必要です。
20. 商品・サービスのリスク
金融犯罪リスク評価
商品やサービスの設計は、資金の移動速度、匿名性、第三者の介在、取引の取消可能性などに影響します。評価では商品名だけで分類せず、顧客がどのように利用し、どの情報が取得でき、どの統制が働くかを確認します。設計変更後も、当初の評価が有効かを見直します。
実務例: 即時送金機能を追加する際、利用可能な取引情報や事後確認の仕組みが従来と同じか確かめます。
よくある誤解: 既存商品に小さな機能を足すだけならリスクも変わらない、と決めつけないでください。機能変更が速度や追跡可能性を変える場合があります。
実務判断につながる60の概念 21–30
21. 地理的リスク
金融犯罪リスク評価
地理的リスクは、顧客、取引相手、資金移動、事業運営などに関係する地域の条件を踏まえて評価します。国や地域に関する情報は重要な背景ですが、個別の顧客や取引の分析に置き換わるものではありません。情報の時点と対象範囲を確認し、自社への関係を説明します。
実務例: 複数地域を通る送金について、経由地の役割と顧客の取引目的を照合します。
よくある誤解: FATFの監視対象に関する情報だけを理由に、一律の追加措置や取引停止を決めないでください。状況に応じた比例的な評価が必要です。
22. 取引チャネルのリスク
金融犯罪リスク評価
対面、オンライン、仲介業者経由などのチャネルは、本人確認、情報取得、取引監視のしやすさを変えます。チャネル評価では、顧客がどのようにアクセスし、誰が情報を収集し、例外時にどのような確認ができるかを具体化します。同じ商品でもチャネルが異なれば統制の有効性は異なり得ます。
実務例: 代理店経由の申込みが増えた場合、代理店の確認手順と自社側の検証方法を比較します。
よくある誤解: オンラインか対面かという区分だけでチャネルリスクを決めないでください。実際の情報の流れと確認可能性を見ます。
23. 取引活動の分析
金融犯罪リスク評価
取引活動を見るときは、金額や件数だけでなく、顧客の通常の利用、資金の流入と流出、取引先や時間的な連なりを考慮します。取引の特徴は調査や評価を始める手掛かりであり、それだけで犯罪を結論づけるものではありません。顧客情報と他の証拠を組み合わせて意味を判断します。
実務例: 休眠状態だった口座で急に多数の入出金が始まったら、顧客の事業変化と資金の流れを確認します。
よくある誤解: 一定の金額や件数を超えた事実だけを、犯罪の証明と扱わないでください。背景と一連の取引の意味を調べます。
24. データの網羅性と系譜
金融犯罪リスク評価
評価に使うデータの網羅性は、必要な顧客、商品、地域、チャネルが分析に含まれているかを示します。データ系譜を追えると、どのシステムからどの変換を経て結果に使われたかを確認できます。欠落や変換の不明点があれば、結論の適用範囲を限定し、修正の責任者を明確にします。
実務例: 評価集計から一部の海外支店データが抜けていたと判明したら、影響範囲を特定して分析を更新します。
よくある誤解: 表やダッシュボードに数値が表示されているだけでは、データの網羅性は証明できません。対象範囲と取得元を確認します。
25. データ品質
金融犯罪リスク評価
データ品質には、正確性、完全性、一貫性、適時性などが含まれます。欠損や誤分類は、評価スコアだけでなく監視結果や経営報告にも影響します。異常な結果が出たらモデルの変更だけを急がず、入力データ、連携、定義、処理履歴のどこで問題が生じたかを調べます。
実務例: 地域コードの誤入力が判明した場合、影響を受ける評価と報告を洗い出し、入力元まで原因をたどります。
よくある誤解: 悪い分析結果を直ちにモデルの欠陥と決めつけないでください。入力データの問題なら、モデルを変更しても根本原因は残ります。
26. 内部証拠と外部情報の照合
金融犯罪リスク評価
内部データは、組織内で記録された業務や検知・処理された事案を示しますが、未検知の事案、記録の偏り、データの欠落を含み得ます。外部情報は視野を広げますが、自社にそのまま当てはまるとは限りません。両者を照らし合わせ、食い違いがあれば情報源、期間、対象範囲の違いを調べ、どの結論にどの証拠を使ったか記録します。
実務例: 社内のアラート件数が安定している一方、外部情報で新たな手口が示されたため、検知漏れの可能性を調査します。
よくある誤解: 社内で事例がないことだけでリスクがないと結論づけないでください。検知されていない可能性や、データの空白も考慮します。
27. 評価尺度の定義
金融犯罪リスク評価
評価尺度では、各段階の意味と判定に使う証拠を明確にします。段階の定義が曖昧だと、担当者が同じ事実から異なるスコアを付け、比較や集計が不安定になります。定期的に適用例を照合し、尺度が複雑すぎないか、事業の変化に対応できるかを確認します。
実務例: 統制の「有効」という評価に、必要な実施記録と例外の扱いを示す判定基準を設けます。
よくある誤解: 低・中・高というラベルだけで評価の一貫性が得られるわけではありません。誰が評価しても同じ意味になる定義が必要です。
28. 重み付けの妥当性
金融犯罪リスク評価
評価要素の重み付けは、複数のリスク要因を一つの結果にまとめる際の重要な判断です。何を重視し、なぜその比重なのかを説明でき、結果への影響を検証できる必要があります。重みが過去の慣行に依存している場合は、現在の事業やリスクを反映しているか再評価します。
実務例: 顧客属性の点数が他の全要因を圧倒していないか、異なる重みを仮置きして結果の変化を比べます。
よくある誤解: 計算式に数値が入っていれば、重み付けが客観的になるわけではありません。数値の選択根拠と結果への影響を確認します。
29. 集計と集中の把握
金融犯罪リスク評価
個別の評価を組織全体の結果へ集計するときは、平均値だけで重要な集中や相互関係が隠れないか確認します。特定の商品や地域に高いエクスポージャーが集中していても、全体平均では目立たなくなる場合があります。集計方法が示すものと隠し得るものを明記します。
実務例: 全社の平均リスクが安定していても、急増した一つの送金経路を別途表示して判断材料にします。
よくある誤解: 平均スコアが低いことから、どの分野にも重要なリスクがないと推定しないでください。分布や集中箇所も確認します。
30. 評価者の判断と例外
金融犯罪リスク評価
定量モデルだけでは捉えにくい事情がある場合、担当者の判断やスコアの例外処理が必要になることがあります。例外には根拠、承認、影響範囲、期限、再確認の方法を設けます。例外の件数や方向に偏りがないかを確認し、モデルや基準の問題を覆い隠していないか検討します。
実務例: 通常のスコアと大きく異なる評価を採用する際、追加情報と承認理由を記録し、次回レビューを指定します。
よくある誤解: 専門家の判断だからという理由だけで例外を無記録で認めないでください。判断を統制可能にする証拠と監督が必要です。
実務判断につながる60の概念 31–40
31. 評価手法の検証
金融犯罪リスク評価
手法の検証では、分類、入力データ、尺度、重み、集計、出力が目的に照らして妥当かを調べます。過去データへの当てはまりだけでなく、既知のリスクを識別できるか、結果が再現できるか、変更が意図した影響を生むかも確認します。検証の独立性と限界も記録します。
実務例: 新しい採点基準を導入する前に、過去の案件に適用し、現場の判断とのずれとその理由を分析します。
よくある誤解: 計算が正確に実行されることは、手法が妥当であることと同じではありません。何を測る設計なのかまで検証します。
32. 手法の限界と不確実性
金融犯罪リスク評価
評価結果には、データの欠落、過去の知見への依存、定性的な判断などによる不確実性が残ります。限界を明記すると、利用者は結果を過信せず、追加の確認や慎重な判断ができます。評価の限界が重大な意思決定に影響するなら、補完情報や代替分析を検討します。
実務例: 新規事業の実績が少ないため、既存商品のデータだけでは推定に幅があると報告し、追加レビューを設定します。
よくある誤解: 単一のスコアを提示すれば、不確実性がなくなるわけではありません。結果の前提と信頼できる範囲を利用者に伝えます。
33. 評価の粒度と区分
金融犯罪リスク評価
評価の区分は、実際のリスク差を見分けられる程度に細かく、安定して運用できる程度に単純である必要があります。区分が粗すぎれば異なるリスクが埋もれ、細かすぎればデータ不足や判定のばらつきが増えます。結果を誰がどの判断に使うかを踏まえて粒度を選びます。
実務例: 取引経路によるリスク差が大きい場合、全てを一つの「海外取引」区分にまとめず、意味のある単位に分けます。
よくある誤解: 細分化するほど精度が上がるとは限りません。利用できる証拠や運用能力が伴わなければ、細かな区分は見せかけの精密さになります。
34. シナリオ分析
金融犯罪リスク評価
シナリオ分析は、既に観測された事実だけでなく、起こり得る変化が組織のリスクや統制にどう影響するかを検討する方法です。想定を事実と混同せず、前提、影響を受ける業務、必要な準備を明示します。状況が変わったときに何を再評価するかも決めておきます。
実務例: 主要な送金経路が急に利用できなくなる場合、顧客が別経路へ移り、監視の前提がどう変わるかを検討します。
よくある誤解: シナリオ分析の結果を、将来の発生が確定した予測として扱わないでください。前提を置いた検討として使い、実際の兆候と区別します。
35. 評価の再現性と記録
金融犯罪リスク評価
再現可能な評価記録には、使用した情報、適用した基準、判断者、例外、承認、評価時点が含まれます。記録が整っていれば、別の担当者が結論の道筋を追い、変化した条件だけを更新できます。説明できない結果は、妥当性の確認や経営判断を難しくします。
実務例: 監査担当者が同じ資料と手順から評価結果を追えるよう、データ出所と判断理由を保存します。
よくある誤解: 最終的なスコアだけを保存しても、判断の妥当性は後から確かめられません。結論に至る過程も記録します。
36. リスクアペタイト
AFCリスク管理プログラムの構築と維持
リスクアペタイトは、組織が目標を追求する中でどの程度のリスクを受け入れるかを示し、業務判断や統制の基準になります。抽象的な声明にとどめず、責任者、判断の範囲、許容できない状況、見直しの仕組みと結びつけます。法令上の義務を免除するものではありません。
実務例: 新商品が定めたリスク許容の考え方を超える可能性があれば、承認前に上位の審査へ付議します。
よくある誤解: リスクアペタイトを、規制要件を超えて受け入れられるリスクの許可と解釈しないでください。適用される法令や規制は別途遵守が必要です。
37. 取締役会の監督
AFCリスク管理プログラムの構築と維持
取締役会などの統治機関は、主要な金融犯罪リスク、プログラムの資源、重要な弱点、是正の進捗を監督します。日々の案件処理を代行するのではなく、適切な責任者と報告経路が機能しているかを問い、重大な課題に対する対応を追跡できる情報を受け取ることが重要です。
実務例: 重大な監視上の不足について、経営陣が影響、暫定措置、責任者、是正予定を統治機関へ報告します。
よくある誤解: 取締役会で定期報告を行うだけで、実質的な監督が成立したとは限りません。意思決定や未解決課題の追跡につながる情報が必要です。
38. 責任と説明責任
AFCリスク管理プログラムの構築と維持
有効なプログラムでは、意思決定、統制の実施、独立した確認、問題の是正について、誰が責任を持つかが明確です。部門間で役割が曖昧だと、重要な作業が放置されたり、独立確認が自己評価に変わったりします。役割を文書化し、実際の権限や報告経路と一致させます。
実務例: 商品部門が日常統制を実施し、コンプライアンス部門が助言と監督を担い、未解決事項の責任者も指定します。
よくある誤解: 「コンプライアンス部門が担当」とだけ定めると、事業部門の実施責任まで曖昧になりがちです。実行者と監督者を分けて明示します。
39. 統制の所有者
AFCリスク管理プログラムの構築と維持
統制の所有者は、統制が設計どおり実行されること、証拠が残ること、問題があれば対応されることに責任を持ちます。所有者を名指しするだけでなく、必要な権限、能力、代替担当、報告先を整える必要があります。責任者の異動や業務変更があれば、所有権を再確認します。
実務例: 取引監視の責任者を定め、シナリオ変更の承認、運用結果の確認、未解決課題の報告を担ってもらいます。
よくある誤解: 統制の説明書を作った部門が、自動的に日々の運用責任も負うとは限りません。実際に統制を実行する担当を特定します。
40. 方針・手順・統制のつながり
AFCリスク管理プログラムの構築と維持
方針は組織の基本的な考え方を示し、手順は実務での具体的な処理を定め、統制は意図した行動が実施されることを支えます。三者の内容が食い違うと、現場は何を守るべきか判断できません。相互の対応関係を確認し、法令や業務の変更時に関連文書も更新します。
実務例: 顧客確認方針を改訂したら、担当者向け手順、承認基準、記録様式も整合しているか点検します。
よくある誤解: 方針文書を公開しただけで実務が変わるとは限りません。手順、権限、システム、教育までつながっているか確かめます。
実務判断につながる60の概念 41–50
41. 主要リスク指標（KRI）
AFCリスク管理プログラムの構築と維持
KRIは、重要なリスクの変化や統制上の圧力を把握し、管理者の判断を促す指標です。指標ごとに定義、データ源、責任者、確認頻度を定めます。過去の活動量を示すだけの指標ではなく、目的とするリスクとの関係が説明できるか、他の情報と合わせて検討します。
実務例: 未処理アラートの増加をKRIにする場合、件数だけでなく処理能力や滞留期間も併せて確認します。
よくある誤解: 測定しやすい数値が、そのまま有用なKRIとは限りません。指標の変化がどのリスクや判断に結びつくかを説明します。
42. 指標の閾値とエスカレーション
AFCリスク管理プログラムの構築と維持
閾値は、指標の変化を調査や報告につなげる目安です。閾値を超えたこと自体が違反や犯罪の証明になるわけではありません。誰が確認し、何を調べ、どの段階で上位へ報告するかを定めます。閾値の有用性は、実際の事例や業務変化を踏まえて見直します。
実務例: 滞留アラートが設定水準を超えた際、運用責任者が原因を分類し、重大な原因は所定の経営層へ報告します。
よくある誤解: 閾値超過を自動的な違反判定や顧客拒否に直結させないでください。調査と判断のためのシグナルとして扱います。
43. 是正策の優先順位
AFCリスク管理プログラムの構築と維持
是正策は、リスクの大きさ、顧客や業務への影響、統制の弱点の広がり、依存関係、実行可能性を踏まえて優先します。目につきやすい問題だけでなく、他の統制にも影響する根本課題を考慮します。優先順位と暫定対応の理由を説明し、期限と責任者を設定します。
実務例: 複数部署で同じデータ欠損が見つかった場合、個別の報告修正だけでなく、共通のデータ連携問題を優先して扱います。
よくある誤解: 是正項目を発見順や容易さだけで並べると、重大なリスクが長期間残ることがあります。影響と依存関係も評価します。
44. 根本原因と是正計画
AFCリスク管理プログラムの構築と維持
効果的な是正計画は、表面に現れた不具合だけでなく、その原因を特定して対処します。原因には、手順の不足、システム設計、データ、教育、責任分担、管理上の判断などがあり得ます。具体的な成果物、責任者、期限、完了を確かめる証拠を定め、再発していないか確認します。
実務例: 期限超過の審査が続く原因を人員不足と特定し、配置変更後に滞留状況と審査品質の両方を確認します。
よくある誤解: 担当者に注意を促すだけで、再発する業務設計やシステムの原因が残る場合があります。対策が原因に届いているか確認します。
45. モデルガバナンス
AFCリスク管理プログラムの構築と維持
モデルガバナンスでは、モデルの目的、所有者、データ、変更、検証、性能監視、例外処理を一連の管理対象として扱います。モデルの出力は判断を支援するものであり、適切な人による監督や、誤りを検知する仕組みが必要です。変更履歴と承認を残し、性能の低下を追跡します。
実務例: 取引監視モデルの更新で、変更理由、テスト結果、承認者、導入後の性能確認を記録します。
よくある誤解: 導入時に一度検証しただけで、その後もモデルが有効だとみなさないでください。データや脅威の変化に応じた継続監視が必要です。
46. 第三者リスク
AFCリスク管理プログラムの構築と維持
外部委託先やサービス提供者は、データ、判断、業務の継続性に影響し得ます。第三者の利用前だけでなく、契約上の責任、アクセス権、委託先の統制証拠、事故時の連絡、変更や終了時の扱いを確認します。外部委託によって、組織自身の監督責任まで消えるわけではありません。
実務例: 顧客確認を委託する際、確認品質の検証、記録へのアクセス、問題発生時の連携方法を合意します。
よくある誤解: 委託先が大手であることや認証を保有することだけで、個別のリスクが解消するとは限りません。対象業務と証拠を確認します。
47. 役割に応じた研修
AFCリスク管理プログラムの構築と維持
研修は、職務上必要な判断や対応を身につけてもらうために設計します。経営層、顧客対応者、アラート調査者、システム担当者では、必要な知識や行動が異なります。受講記録だけでなく、理解度や業務上の変化を確認し、誤りや脅威の変化を次の研修に反映します。
実務例: アラート担当者向けに、判断根拠の記録とエスカレーションを題材にした演習を行います。
よくある誤解: 全社員に同じ資料を配布したことだけで、能力が身についたとはいえません。役割に合った内容と理解の確認が必要です。
48. 変更管理
AFCリスク管理プログラムの構築と維持
新商品、技術、顧客層、取引経路、法令や組織の変更は、既存のリスク評価や統制の前提を変えることがあります。変更管理では、導入前に関係部門の意見を集め、影響を評価し、承認、準備、導入後の確認につなげます。小さな変更でも重要な影響がないか確かめます。
実務例: 本人確認システムを切り替える前に、既存データの移行、例外処理、監視への影響を関係者で点検します。
よくある誤解: 変更が技術部門の管轄だからと、AFCリスク評価から外さないでください。業務やデータの流れが変われば統制にも影響し得ます。
49. 独立確認と学習の循環
AFCリスク管理プログラムの構築と維持
モニタリング、品質確認、監査などの結果は、統制が意図どおり機能しているかを評価し、改善を促します。発見事項を報告して終わらせず、原因分析、是正の確認、リスク評価や研修への反映まで追跡します。確認の独立性と対象範囲が十分かも検討します。
実務例: 品質確認で記録不足が繰り返されたため、是正後のサンプル確認と評価手順の改訂を実施します。
よくある誤解: 確認作業を定期的に実施しているだけで、改善の循環ができているとは限りません。発見事項が閉じられた証拠を確認します。
50. ケース問題の分解
リスク管理ケーススタディ
複合ケースでは、最初に事実、未確認事項、リスク、統制上の問題、求められている判断を分けます。その後、根本原因に合う対応を選び、選択肢が過剰または不十分でないか比べます。前提の不足を認識しつつ、利用できる証拠から最も説明可能な次の一手を示すことが重要です。
実務例: 警告件数が横ばいのまま取引量が増えたケースで、まず監視の対象範囲とデータの完全性を確認します。
よくある誤解: ケースに出てくる目立つ事実だけに反応し、質問が求める判断を見失わないでください。根本原因と対応の目的を先に整理します。
実務判断につながる60の概念 51–60
51. 競合するリスクへの比例的対応
リスク管理ケーススタディ
ケースでは、犯罪リスクの低減と顧客への不当な影響、業務継続、金融包摂などが同時に問題となることがあります。判断では、適用される義務を守った上で、リスクに見合う措置と、より限定的な代替策があるかを比較します。措置の理由と見直し条件を記録します。
実務例: 特定の取引経路に懸念があるとき、顧客全体を直ちに拒否する前に、経路の限定や追加確認が可能か検討します。
よくある誤解: 最も厳しい措置が常に最も適切とは限りません。反対に、顧客への影響を避けるために必要な統制を見送るのも妥当ではありません。
52. 不完全なデータでの判断
リスク管理ケーススタディ
ケースのデータに欠落がある場合、結論を急がず、何が分かり何が不明かを区別します。不明点が結論を左右するなら、追加情報の取得や暫定的な管理を検討します。判断を保留できない状況では、前提と不確実性を明示し、後から更新する条件を定めます。
実務例: 一部の取引記録が未連携なら、影響する範囲を特定し、集計結果を確定値として報告しないよう注記します。
よくある誤解: データが不完全だから何も判断できない、と停止する必要はありません。暫定判断と追加確認を分けて進める方法があります。
53. 監視対象地域と一律排除の回避
リスク管理ケーススタディ
FATFの監視対象に関する情報は、国や地域のリスクを考える材料の一つです。それだけで全顧客への一律の追加措置や取引停止が求められるわけではありません。自社の接点、顧客、商品、取引、統制を評価し、必要な追加確認を比例的に選びます。
実務例: 対象地域との接点が判明した場合、取引の目的と経路を調べ、顧客の実態に応じて確認方法を調整します。
よくある誤解: 監視対象という名称だけで、その地域に関係する全員を犯罪関与者とみなさないでください。地域情報と個別の証拠は別です。
54. PEPと疑わしい兆候の扱い
リスク管理ケーススタディ
PEPとしての地位や、通常と異なる取引などの兆候は、リスク評価や追加確認を検討する要素です。しかし、どちらも犯罪の証明ではありません。顧客の事情、資金や取引の説明、適用される法令上の要件を踏まえ、記録に基づいて判断します。
実務例: PEPに該当する顧客の取引が大きく変化したら、その背景と資金の流れを確認し、所定の内部手順に従います。
よくある誤解: PEPであることだけを理由に、機械的に顧客を拒否・解約したり、犯罪者と決めつけたりしないでください。個別のリスク判断が必要です。
55. アラート結果と誤検知・見逃し
リスク管理ケーススタディ
監視の有効性は、アラート件数だけで判断できません。誤検知の負担だけを減らそうとすると、重要な活動を見逃す可能性があります。調査結果、品質確認、未検知の事例、データ上の制約を合わせて見て、閾値やシナリオの変更が有用性と負担にどう影響するかを検証します。
実務例: 却下率が上昇した場合、処理時間だけでなく、却下案件の根拠と後日の品質確認結果を分析します。
よくある誤解: アラートを減らすこと自体を成功指標にしないでください。リスクの検知力を維持しながら、不要な負荷が減ったかを確認します。
56. 重大事項のエスカレーション
リスク管理ケーススタディ
重大なリスクや統制の失敗を発見したら、必要な情報を適切な責任者へ迅速に伝え、暫定管理と意思決定につなげます。全ての問題を同じ経路で上げるのではなく、影響、緊急性、権限、未解決期間に応じて経路を使い分けます。決定とフォローアップも記録します。
実務例: 重大なデータ欠損が監視を妨げていると分かった場合、影響範囲と代替措置をまとめて所定の経営層へ報告します。
よくある誤解: 報告を送っただけで問題が解決したとはいえません。受け手の判断、当面の管理、是正の進捗まで追跡します。
57. 制裁判断の法域確認
リスク管理ケーススタディ
制裁に関する複合ケースでは、まず組織、取引、関係者にどの法域の制度が適用されるかを整理します。そのうえで、対象リスト、所有や支配に関する適用ルール、候補一致の証拠、社内の判断権限を確認します。制度間の違いがある場合は、単一の普遍的ルールにまとめません。
実務例: 複数の国に関係する取引の照合候補について、関連する制度と識別情報を確認し、担当部署へ判断を付託します。
よくある誤解: ある法域の所有割合基準や解釈を、別の制度にも当然に適用しないでください。具体的な法域と根拠を確認します。
58. 顧客関係の制限・終了判断
リスク管理ケーススタディ
顧客関係の制限や終了は、個別のリスク、適用法令、確認可能な統制、組織の方針を踏まえて判断します。リスクを管理できる限定的な措置があるか、関係継続による影響は何かを比べ、判断理由と承認を記録します。業務上の都合だけで例外を認めたり、属性だけで一律に排除したりしません。
実務例: 特定のサービスに管理上の懸念がある顧客について、他のサービスを含めた影響と限定措置の有効性を評価します。
よくある誤解: リスクを見つけたら直ちに全関係を終了すべき、とは限りません。反対に、収益性を理由に管理不能なリスクを受け入れることも妥当ではありません。
59. 暫定措置と恒久的な是正
リスク管理ケーススタディ
重大な弱点が見つかった際は、影響を抑える暫定措置と、原因を解消する恒久的な是正を区別します。暫定措置は、恒久対応までのリスクを下げるためのもので、終期や見直し条件を持つ必要があります。両方の責任者、期限、残るリスクを明確にして進捗を追います。
実務例: 監視データの欠損が直るまで対象取引を追加確認し、並行して連携システムの恒久修正を進めます。
よくある誤解: 暫定的な追加確認を恒久対策として放置すると、負担が続き、根本原因も残ります。暫定措置の終了条件を設定します。
60. 判断の防御可能性
リスク管理ケーススタディ
防御可能な判断とは、必ずしも結果が完全だったという意味ではありません。利用できた情報、適用した基準、考慮した選択肢、承認者、残る不確実性、後日の見直し条件を記録し、合理的な判断過程を示せることです。新しい証拠が得られたときに、結論を更新できる仕組みも必要です。
実務例: 追加確認を選んだ案件で、当時の懸念、他の選択肢を採らなかった理由、再評価の条件を記録します。
よくある誤解: 結果が後から正しかったかどうかだけで、判断の質を評価しないでください。判断時点で使えた証拠と手順も検証します。
6段階の学習プラン
公式情報源
主な確認先はACAMS「Certified AFC Risk Manager」です。資格の現在の名称、旧称、試験形式、対象領域および言語に関する記述は、提供された公式情報資料に基づき、2026年10月11日時点で整理しています。学習優先度は編集上の目安です。申込条件や最新情報はACAMSに直接確認してください。