コンプライアンス審査は、単なる方針だけでなく、証拠に基づいて行われる傾向が強まっています。規制当局や監督当局は、金融サービス企業に対し、顧客の成果をどのようにモニタリングし、業務リスクやデータリスクをどのように管理し、AIを活用した意思決定を含む規制対象の意思決定をどのようにガバナンスしているかを、より一層明確に示すことを求めています。
とはいえ、すべての規制において、要求に応じて過去の顧客マスターレコードの提出が義務付けられているわけではありません。しかし、重要な顧客の成果や意思決定の背景にあるデータ、統制、説明責任を説明するために、企業には十分に信頼性の高い証拠が必要であるということは事実です。
顧客や取引相手のデータが複数のシステムに分散している銀行や保険会社にとって、こうした証拠をまとめる作業は時間がかかり、手作業を要し、不完全なものになりがちです。リスクは単に記録に不一致があるということだけでなく、どの身元情報や文脈が意思決定の根拠となったかを、企業が容易に特定できないという点にあります。
規制当局が企業に対してますます証拠の提示を求めている内容、および銀行や保険会社が審査が始まる前にどのように準備すべきかについて、以下で詳しく解説します。
規制当局の精査において、顧客データが何を裏付ける必要があるか
「コンシューマー・デューティ」、一般データ保護規則（GDPR）、デジタル・オペレーショナル・レジリエンス法（DORA）、金融行動監視機構（FCA）およびプルーデンシャル規制庁（PRA）の監督上の期待、そしてEU AI法は、いずれも同一の要件を課しているわけではありません。 しかし、これらを総合すると、データの品質、ガバナンス、レジリエンス、トレーサビリティ、および説明責任への注目が高まっています。
審査の際、企業は、顧客データが特定の結果、プロセス、または意思決定をどのように裏付けていたかを立証する必要が生じる可能性がある。
実際には、規制当局の精査に対して自信を持って対応できるかどうかは、多くの場合、以下の点を示せるかどうかにかかっている。
- 関連する顧客データの出所
- データがどのように、いつ変更され、どの情報源が最終的なものとなったか
- どのような統制、管理措置、承認が適用されたか
- 結果や決定の根拠となったバージョンおよび関係性の文脈
書面によるポリシーには、意図された統制環境が記述されています。データリネージと監査履歴は、特定の時点において特定の記録に対して統制がどのように適用されたかについての証拠となります。
重点が置かれる点は市場によって異なります：
- 英国の企業は、「コンシューマー・デューティ」などのFCA（金融行動監視機構）の要件に加え、データガバナンスやオペレーショナル・レジリエンスに関するFCAおよびPRA（金融政策委員会）のより広範な期待にも直面している
- EUの企業は、GDPRにおける説明責任とデータの正確性、DORAのICTおよびデータレジリエンスに関する要件、ならびに適用対象となる高リスクシステムについては、AI法におけるデータガバナンス、文書化、記録管理、および監督に関する要件を考慮しなければなりません
- 米国の企業は、事業活動や規制当局に応じて、顧客本人確認およびKYC、AMLおよび制裁措置の遵守、公正な貸付、プライバシー、モデルリスクに関する要件を通じて、関連する期待に直面している
こうしたさまざまな重点分野により、共通の業務上の課題が生じています。すなわち、銀行、金融サービス、保険（BFSI）企業は、信頼性の高いデータと正当性を立証できる証拠を必要としているのです。
顧客の外見が4人の異なる人物のように見える場合、どうなるでしょうか
同じ人物が、異なるシステム上で、リテールバンキングの顧客、住宅ローンの借り手、保険契約者、会社の取締役、あるいは実質的所有者として表示されることがあります。各システムには、異なる時期に、異なる目的で作成されたデータが保持されています。
効果的な制裁対象者スクリーニングやKYC情報の更新には、こうした異なる情報や関係性を正確に整理・統合することが不可欠です。身元情報が断片化していると、金融犯罪や制裁対象者の審査は、銀行、住宅ローン、資産運用、保険の各システムにまたがる手作業による照合作業となってしまいます。本来は同一の顧客や当事者であるはずなのに、システムごとに異なる氏名、住所、所有関係、あるいはリスク分類が表示される可能性があるのです。
そのような状況になると、コンプライアンスチームは次の3つの課題に直面することになります：
- どの記録を信頼すべきか？
- 顧客の関係や口座はどのように結びついているのか？
- スクリーニングは全体像に基づいて行われたのか、それとも一部の情報に基づいて行われたのか？
当事者の背景情報は、身元情報と同様に重要です。金融機関は、顧客がどの口座を管理しているか、どの事業を所有しているか、どの保険契約を保有しているか、そして個人、法人、仲介業者がどのように結びついているかを把握する必要があります。
ガバナンスの確立された身元確認レイヤーがなければ、これらの質問に一貫して答えることは時間がかかり、困難になる可能性があります。未解決の身元や関係が一つあるだけで、決定やスクリーニングの結果を正当化する企業の能力は弱まります。
CRMやデータウェアハウスだけでは、顧客の身元確認の問題を解決できない理由
多くの企業では、すでにCRMとデータウェアハウスを運用しています。どちらも不可欠ですが、ソースシステム全体にわたって永続的で信頼性の高い顧客IDを確立するために必要な、ガバナンスの効いたIDの解決、照合、サバイバーシップ、および関係管理を、いずれも必ずしも提供しているわけではありません。
- CRMシステムは、主に顧客とのやり取りやエンゲージメントを管理するために設計されています
- データウェアハウスは、分析やレポート作成のためにデータを統合するものです
いずれも、「これらのレコードは同じ人物または組織を表しているのか、どのソースを優先すべきか、そしてその判断は説明可能か」という、より限定的なアイデンティティに関する疑問に答えるようには設計されていません。
ガバナンスが施されたIDレイヤーは、永続的な顧客および取引先のID、関係性のコンテキスト、そして下流のプロセスで再利用可能な透明性の高いルールを提供することで、CRMやデータプラットフォームを補完します。
AIが顧客データを、コンプライアンス上さらに困難な問題に変えてしまう理由
AIや高度な分析技術は、オンボーディング、不正検知、カスタマーサービス、保険金請求、さらには与信・リスク評価の一部といったプロセスにおいて、ますます広く活用されるようになっています。AIは、これらのプロセスに付随する規制上の義務に取って代わるものではありません。規制の対象となる高リスクのユースケースにおいては、データガバナンス、文書化、記録管理、および人的監督に関する要件が追加される可能性があります。
規制当局がこうした決定のいずれかを審査する場合、精査の対象は以下の点に移ります：
- システムがどの顧客データおよび取引相手データを使用し、それらはどの情報源から得られたか
- そのデータが、その時点で十分に正確、完全、かつ関連性のあるものであったか
- 出力結果に対して、どのような統制、責任者、および人的な監督が適用されていたか
自動化はデータの断片化を助長します。誤った記録、古い記録、あるいは不適切に修正された記録は、そのパターンが検出される前に、下流の多くの意思決定に影響を及ぼす可能性があります。
マスターデータ管理（MDM）だけでは、AIシステムをコンプライアンスに適合させることはできません。しかし、ガバナンスが確立され、追跡可能な顧客IDがあれば、AIを活用した意思決定に活用されるデータに対して、信頼できる文脈と根拠を提供することができます。
その基盤がなければ、AIによる意思決定は、誰も完全に保証できない記録に基づいており、人間による意思決定と同じ弱点を引き継ぐことになります。
次回の監査前に確認すべき事項
多くのコンプライアンス・プログラムでは、顧客データが外見上適切かどうかを検証していますが、そのデータが正当に説明できるかどうか、どのように選定・管理・利用されたかを検証しているものはほとんどありません。
次回の監査、KYC情報の更新、あるいはAIを活用した意思決定のレビューに先立ち、より厳しい視点から次の問いを投げかけてみてください：
特定の顧客について、特定の時点において、使用された身元情報や関係性を再現し、主要な値のソースまで追跡し、どの統制や例外が適用されたかを示すことはできますか？
その回答を得るために、システムをまたぐ手作業に数週間を要するのであれば、リスクはポリシーと運用データの間に存在する証拠のギャップにあると言えます。
Stibo SystemsがBFSI企業による顧客本人確認の証明をどのように支援するか
Stibo Systemsは、信頼性の高いインテリジェンスプラットフォーム「STEP」を基盤としたMDMを通じて、顧客の身元情報を管理します。その機能は以下の通りです：
- 設定可能な決定論的および確率的マッチングを用いて、顧客および当事者のレコードを照合します
- 透明性の高いマージおよびサバイバーシップルールを適用し、信頼できる値を決定します
- 個人、法人、口座、保険契約、仲介業者、および関連当事者間の関係や階層をモデル化します
- 顧客および取引先データを、製品、所在地、サプライヤーデータなど、他の管理対象ドメインと連携させます
設定可能なワークフロー、検証ルール、スチュワードシップ、アクセス制御、リネージ、および監査履歴により、企業はマスターデータがどのように変更されたか、誰が変更したか、およびどの制御が適用されたかを把握できます。
STEPは、運用上の信頼レイヤーとして機能します。CRM、データプラットフォーム、GRCツール、あるいはモデルガバナンスに取って代わるものではなく、これらに一貫した識別情報と関係性のコンテキストを提供することで、リクエスト到着後にレコードの履歴を再構築することなく、証拠を容易に検索できるようにします。
規制は今後も進化し続けるでしょうが、運用上の課題は不変です。すなわち、企業は、どの顧客データや取引先データを信頼したか、その信頼がどのように確立されたか、そしてそれがどこで使用されたかを示すことができるでしょうか？
この問いに明確に答えられるBFSI企業は、規制当局の精査や、大規模かつ責任あるAIの導入において、より有利な立場に立つことができます。
自社の顧客レコードが実際にどのような構成になっているか把握できていないでしょうか？当社の電子書籍『Meet Your Frankenstein Customer』をダウンロードして、断片的なレコードがどのように形成されるのか、そしてそれらを、ガバナンスが確立され、説明責任を果たせる単一の顧客ビューに置き換えるために何が必要なのかをご確認ください。
よくある質問
データガバナンスと顧客データの系譜の違いは何ですか？
- データガバナンスはルールを定め、誰がどのデータを所有し、どのように分類されるべきか、そしてどの品質基準が適用されるかを決定します。
- データ系譜は、データが時間の経過とともにどのように変化したかを記録したものです：どこから来たのか、いつ変わったのか、そして誰が変更したのか。
企業は強力なガバナンスポリシーを持っていても、それらのポリシーが特定のデータにどのように適用されたかを示すために必要な系譜を欠いている場合があります。
決定論的マッチングと確率論的マッチングの違いは何ですか？
- 決定論的マッチングは、顧客識別子、アカウント番号、または名前と生年月日の組み合わせなど、正確または明確に定義された属性の組み合わせに基づいてレコードをリンクするために、事前に定義されたルールを使用します。
- 確率的マッチングは、名前、住所、生年月日など、似ているが同一ではないフィールドの組み合わせに基づいて、2つのレコードが同一人物を表している可能性をスコアリングします。
BFSI企業は通常、高信頼性のリンクのための決定論的マッチングと、システム間で識別子が欠落しているか不一致な難しいケースを捉えるための確率論的マッチングの両方を必要とします。
データ中心の検査で規制当局者は何を見ますか？
データに焦点を当てた規制レビューでは、企業が顧客データが特定の結果、プロセス、または意思決定をどのようにサポートしたかを示す必要があるかもしれません。 規制当局は、どの記録が使用されたのか、その出所、当時の最新バージョンであったか、誰が変更する権限を持っていたかについての情報を求めています。
より良い顧客データの系譜は、コンプライアンス以外に何か役立ちますか？
傾向があります。 システム間で顧客の身元を追跡できる企業は、通常、顧客データの一貫性と完全性を向上させることで、重複記録が減少し、オンボーディングが迅速化し、制裁スクリーニングでの誤検出が減少します。
顧客データの監査準備が整うまでにどれくらいの時間がかかりますか？
これは企業によって異なり、顧客データを保持するシステムの数や、その記録がどれだけ断片化されているかによります。
単一のコアバンキングシステムやポリシー管理システムを持つ企業は、通常、異なる時期に構築された複数のレガシープラットフォームで顧客情報を管理している企業よりも迅速に動くことができます。
