アウトソーシングと第三者リスク

PDF版を読む (4 ページ)

DPTライセンス保有者の大半は、コンプライアンス基盤の中核部分を外部委託しています。本人確認、制裁スクリーニング、取引モニタリング、ブロックチェーン分析、トラベルルールのメッセージングは、いずれも通常はベンダーが提供しています。2016年に初めて発出され、2018年に改訂されたシンガポール金融管理局（MAS）のアウトソーシングに関するガイドライン（Guidelines on Outsourcing）は、決済サービス事業者にも適用されます。同ガイドラインは、アウトソーシング契約の登録簿の作成と、契約締結前およびその後定期的に行うサービス提供者のデューデリジェンスを求めています。書面による契約では、企業とMASに監査権とアクセス権を与えなければなりません。事業継続のための体制も必要であり、重要なアウトソーシングについてはMASへの通知も必要です。¹ 同ガイドラインはクラウド・サービスと国外へのアウトソーシングも扱っており、コンプライアンス・システムがスイスその他の国でホストされている可能性のあるグループにとって重要です。

外部委託した機能についての責任は、引き続きライセンス保有者にあります。検査においてMASは、ベンダーのスクリーニングやモニタリングがどのように機能するかを企業が理解していること、そしてベンダーの出力を検証していることを示すよう求めます。企業は、ベンダーのルールを自社のリスク評価に合わせて調整していること、そしてベンダーの不具合を検知できることを示さなければなりません。分析ベンダーがなぜあるアドレスを制裁対象のクラスターに帰属させるのか、あるいは自社のモニタリング・ルールがどのように設定されたのかを説明できない企業は、処理だけでなく判断までも外部委託していることになります。MASはそれを認めません。

ブロックチェーン分析ベンダーの選定と管理

DPTライセンス保有者のAMLの成果に最も影響を与えるベンダーの選定は、ブロックチェーン分析プロバイダーの選定です。市場はChainalysis、Elliptic、TRM Labsほか数社が占めており、各社の帰属判定は異なります。同じアドレスが、ある会社では高リスクと評価され、別の会社では評価されていないこともあります。帰属判定は、各ベンダー独自のクラスタリングとインテリジェンスに依存しています。MASは特定のベンダーを推奨しておらず、特定のベンダーの利用を求めてもいません。しかしMASは、企業が対応するチェーンについてのベンダーのカバー範囲、ならびにベンダーの帰属判定の手法と誤り率を、企業が評価していることを期待しています。更新の遅延、データ保護の体制、ベンダー自身の制裁遵守も、同じ評価の対象に含まれます。² 大規模な企業は2社のベンダーを並行して利用し、食い違いを調査しています。これは優れた実務ですが、コストがかかります。小規模な企業は、少なくともそのベンダーを選定した理由を文書化し、帰属判定のサンプルを公開情報と照らし合わせて検証すべきです。リスクの閾値は、ベンダーの誤検知と検知漏れの傾向を理解したうえで設定すべきです。

注

1. MAS, Guidelines on Outsourcing, 27 July 2016、2018年10月5日改訂。MASの規制を受けるすべての金融機関に適用されます。MASは一部のセクターについて、第三者リスク管理に関する後継の規制文書について意見募集を行い、これを発出しています。 ↩
2. Guidelines to Notice PSN02、CDDおよび取引モニタリングにおけるテクノロジーと第三者ツールの利用に関する節。MAS Information Paper on DPT service providers' AML/CFT controls、ブロックチェーン分析のガバナンスに関する所見。 ↩

このページは一般的な情報提供のみを目的としています。本記事は法律上または税務上の助言ではなく、個別の案件に関する助言に代わるものでもありません。また、弁護士と依頼者の関係を生じさせるものではありません。10月 2026時点の法状況に基づいています。