フラグが立てられた入金が02:00に到着する。プラットフォームのウォレットに到達する前に、3つのホップを経由して移動した。オンボーディング時の本人確認はすでに通過済みだ。問題はもはや、顧客が誰であると主張しているかではない。金融機関がこのフローを検出し、文書化し、報告するためのシステムを構築しているかどうかだ。そのシステムがマネーロンダリング対策（AML）である。AMLはプログラムであり、犯罪ではない。
マネーロンダリング対策（AML）とは何か？
この分野に新しいコンプライアンス担当者は、よく似た2つの用語を混同しがちだ。マネーロンダリングは犯罪である。不正資金をプレースメント、レイヤリング、インテグレーションを通じて移動させ、出所を偽装する。マネーロンダリング対策はその対応策だ。金融機関がその犯罪を検出、阻止、報告するために構築する、ポリシー、コントロール、人員、および報告義務の集合体である。
AMLは単一のツールではない。本人確認、取引スクリーニング、記録保管、監査を一つの義務に結びつけるリスクベースのプログラムだ。規制当局は、企業がソフトウェアを購入したかどうかを問うのではない。プログラムが機能しているかどうかを問う。リスクベースのアプローチはそのプログラムの根幹である。より高いリスクを持つ顧客、商品、フローに対してより厳しい審査を向けることで、すべてのアカウントに均等にではなく、露出が現実であるところにコンプライアンス予算を費やすことができる。定義の行動面については、マネーロンダリング自体の意味（マネーロンダリングとは何かガイド）を参照されたい。本記事はそれと戦うシステムをカバーする。
AMLプログラムの5つの柱
AMLプログラムはFinCENの銀行秘密法規則が定める5つの柱の上に成り立っている：内部ポリシーとコントロール、指定コンプライアンス担当者、継続的トレーニング、独立監査、そしてリスクベースの顧客デューデリジェンスだ。各柱はツールではなく機能を指す。5つ合わせて、対象金融機関が実施しなければならない最低限のプログラムを定義する。
4つのコア柱は、対象金融機関に対するFinCENのBSA AMLプログラム規則に由来する——たとえば、マネーサービスビジネスに対する31 CFR 1022.210、銀行に対する31 CFR 1020.210などだ。5番目の柱——リスクベースの顧客デューデリジェンス——は、31 CFR 1010.230に基づくFinCENの2018年CDDルールによって追加された。各柱は金融機関が運営しなければならない機能を指し、購入しなければならない製品を指すものではない。
-
内部ポリシー、手順、およびコントロール。企業はスクリーニング、エスカレーション、記録の方法を管理するルールを作成する。暗号資産においては、コントロール層はアドレススクリーニングとトランザクション監視としてオンチェーンに展開され、ウォレットと送金がポリシーの対象となる。
-
指定コンプライアンス担当者。一人の責任ある担当者がプログラムを運営し、報告書を提出し、規制当局に対応する。この肩書きは役割であり、採用ポジションではない。
-
継続的な従業員トレーニング。スタッフは企業のリスクポジション、類型、エスカレーションパスを学ぶ。脅威が変化するため、トレーニングは継続的に行われる。
-
独立監査またはテスト。監査対象機能に報告しない当事者が、プログラムが機能しているかをテストする。独立性は自己採点に対する保護手段だ。
-
リスクベースの顧客デューデリジェンス。企業は顧客を確認し、リスクが高い場合には強化されたデューデリジェンスを適用し、継続的に関係を監視する。この柱には2つのサブレイヤーがある。本人確認レイヤーは金融機関自身のKYCだ。継続的監視レイヤーはオンボーディング後に生じるリスクを監視する。
第5の柱はフレームワークがチェーンと交わる場所だ。本人確認は一度実行される。監視は関係の存続期間中ずっと継続する。いずれかの柱を取り除けばプログラムは崩壊する：監査がなければ誰もコントロールを確認しない；トレーニングがなければスタッフはシグナルを見逃す；コンプライアンス担当者がいなければ誰も発見を担わない。柱は相互依存しており、任意選択ではない。これらの義務を仮想資産サービスプロバイダーにマッピングする国際基準については、仮想資産に関するFATFガイダンスを参照されたい。5つの柱を定めるU.S.規則については、マネーロンダリングに関するFinCENを参照されたい。
| 柱 | 機能 | 暗号資産での展開 | BlockSecの役割 |
|---|---|---|---|
| 1 | 内部ポリシー、手順、コントロール | アドレススクリーニング＋トランザクション監視としてオンチェーンに展開 | スクリーニング＆監視レイヤー |
| 2 | 指定コンプライアンス担当者 | 責任ある担当者；変更なし | 金融機関 |
| 3 | 継続的トレーニング | 継続的；脅威は変化する | 金融機関 |
| 4 | 独立監査 | オンチェーンコントロールが機能しているかテスト | 金融機関 |
| 5 | リスクベースCDD | 本人確認（一回限り）＋継続的監視（継続的）に分割 | 金融機関が本人確認を担当；Phalcon Complianceが継続的監視（KYA＋KYT）を実施 |
暗号資産AMLがより困難な理由と監視の位置づけ
3つの構造的なギャップにより、従来の金融よりもオンチェーンでの5つの柱の運用が難しくなっている。
第一は時間だ。チェーンは数秒で決済される。ファイナリティ後に実行されるコントロールにはウィンドウがない。第1の柱のコントロールと第5の柱の監視は、夜間のバッチ処理ではなく、送金の瞬間に実行されなければならない。
第二はリーチだ。資金はチェーン、ブリッジ、ミキサーをまたいでホップする。最初のホップで止まるグラフではレイヤリングを見逃す。第1の柱のコントロールには、一つの台帳内ではなく、チェーンをまたいで価値を追跡するトレーサーが必要だ。
第三は身元だ。一つのエンティティが多くのアドレスを保有する。一つのアドレスが多くのエンティティに使われる。本人確認レイヤーとオンチェーンレイヤーは切り離されている。本人確認ファイルだけを読むコントロールではフローを把握できない。
Phalcon Complianceはこのスタックの監視とスクリーニングの柱をカバーする。KYA（Know Your Address）は、制裁対象、ミキシング、FATFハイリスク管轄を含む17のリスク指標と6億以上のラベル付きアドレスのデータベースに対してウォレットリスクをスクリーニングする。KYT（Know Your Transaction）は各送金をリアルタイムで監視し、無制限のホップでチェーンをまたいで資金を追跡し、FATFデフォルトエンジンに準拠した行動ルールを通じてレイヤリングパターンにフラグを立てる。送金が不審と確認された場合、プラットフォームは主要な規制管轄に準拠した不審取引報告書を、直接申告のための地域固有のテンプレートを使用してエクスポートする。
Phalcon Complianceが行わないことも同様に定義されている。第5の柱の顧客デューデリジェンス内にある本人確認は行わない。第4の柱の独立監査は実施しない。第3の柱のトレーニングも提供しない。これらは引き続き金融機関自身の義務だ。Phalcon Complianceはプログラムの残りの部分に情報を提供するスクリーニングと監視レイヤーだ。プラットフォームの詳細については、暗号資産向けAMLコンプライアンスプラットフォームを参照されたい。
5つの柱を実践する
5つの柱を挙げることは出発点だ。それを運用することが実際の業務だ。金融機関はポリシー、担当者、トレーニング、監査を担う。オンチェーン監視とスクリーニングレイヤーは、暗号資産コンプライアンスチームが目的特化型ツールを最も必要とする場所だ。なぜなら、第1の柱と第5の柱が送金においてチェーンと交わるからだ。
よくある質問
AMLはマネーロンダリングと同じものか？
いいえ。マネーロンダリングは不正資金を偽装する犯罪だ。AMLは金融機関がその犯罪を検出、阻止、報告するために構築するコンプライアンスプログラムだ。
5つの柱は銀行にのみ適用されるのか？
いいえ。BSA AMLプログラム規則は幅広い対象金融機関に適用される。FATF勧告15の下では、VASPも同等の義務を負う。5つの柱はプログラムの骨格だ。
第5の柱のCDDはKYTとどのように関係しているか？
CDDには2つのサブレイヤーがある：本人確認と継続的監視だ。KYTは継続的監視サブレイヤーのオンチェーン実装だ。身元ではなく、送金とアドレスをスクリーニングする。
独立監査はどのくらいの頻度で実施すべきか？
頻度はリスクベースだ。固定された法定間隔はない。拘束力のある規則は独立性だ：監査人はレビュー対象機能に報告してはならない。
監視の柱が実際のワークフローに展開される様子を見たい読者には、ブロックチェーン法的コンプライアンスガイドがこのフレームワークから運用上の全体像へと案内する。プラットフォームのランディングページでアドレスを入力すると、KYAリスクスコアがどのように生成されるかを確認できる。
