制裁スクリーニングのアラートは、かつての小雪程度から、今や雪崩のような規模へと変化しています。
- 2023年以降、ロシア関連の制裁だけでも816％増加しています
- 73% コンプライアンス担当者の73％が、規制当局の活動が活発化すると予想している
- さらに44%のコンプライアンス担当者が、自社がペースを維持するために支出を増やしていると報告しています
今日、コンプライアンスは新たな変革期、すなわちデジタル革命のただ中にあります。
どれほど専門的な知識や経験を持っていても、人間だけでは終わりのない要件をこなすだけの時間が一日に十分にありません。
テクノロジーのツールは不可欠です。しかし、すべてが同じように優れているわけではありません。Binance、Starling、Synapse などの事例で見てきたように、誤ったデジタル戦略は、失敗や罰金、さらには事業の強制閉鎖につながることもあります。
この記事では、一部の企業がデジタル化の過程でどこで誤った方向に進んでしまったのか、そしてそれをどのように回避すべきかを考察します。
1. 規制遵守を決して軽視しないこと
2008年の金融危機を受けて、既存企業は、高額な制裁金や罰金が新設された規制当局から次々と科される中で、収益性よりもまず規制遵守を優先しなければならないということを、痛い教訓として学びました。
その危機は、コンプライアンスを徹底できなかった体系的な失敗によって一部引き起こされました。そこでは、内部統制よりもリスクと利益追求が優先され、その結果として重大な影響が生じ、多くの消費者が被害を受けることになりました。
同じような厳しい教訓が、いまフィンテック企業やチャレンジャーバンクにも押し寄せています。彼らの多くは、2020年のフィンテックブーム以降、一気に主流の存在となりました。このわずか24か月のあいだに、Block、TD Bank、Binance、Evolve Bank、Synapse、Mercury、そしてStarlingまでもが次々と非難の的となる様子を、世界は指の隙間から見守ることになったのです。
- TD銀行は特に大きな打撃を受けました。マネーロンダリングを助長したとして、目を疑うような30億ドルの罰金を科されたのです。
- これまでのところ、フィンテック企業の60％が、規制当局から25万ドルを超える罰金を科されています。
- また、フィンテックとの提携や、提携先（第三者）における不十分なマネーロンダリング・テロ資金供与対策（AML/CTF）管理を理由として、銀行に対するOCCの同意命令が相次いでいる状況も見られます。
フィンテック企業やBaaSプロバイダーは、より良いユーザー体験を提供し、従来の金融サービスから取り残されてきた人々を含む、より多くの層にサービスを届けようとするあまり、しばしばコンプライアンスを後回しにしてきました。摩擦を減らし、革新的なプロダクトを素早く立ち上げ、高リスクまたは十分にサービスが行き届いていないセグメントにリーチするためにオルタナティブデータを活用するという動きは、堅牢なリスク管理を犠牲にして進められました。多くの場合、コンプライアンスは成長の戦略的な柱というよりも、スピードを落とす障害物のように扱われ、その結果、内部統制の脆弱化と、規制当局からの厳しい監視にさらされるリスクの高まりを招きました。
その結果、フィンテック企業との提携や、提携先における不十分なAML/CTF（マネーロンダリング・テロ資金供与対策）管理を理由として、銀行に対するOCCの同意命令が相次ぎました。さらに米国の連邦規制当局は、フィンテック企業や第三者が「銀行の規制上の義務と整合しない形で成長を促進するインセンティブを持ち、その結果としてリスク管理およびコンプライアンス義務への配慮が不十分になる」ことを警告する共同声明まで発表しました。類似の警告はEUや英国FCAからも出されており、今後は他の法域にも広がっていくと見込まれます。
教訓：規制コンプライアンスを決して軽視してはいけません。単なる法的義務ではなく、フィンテックを成功に導く土台となる要素です。
2. コンプライアンス体制の拡張性を確保する
テック業界は、あらゆるものを自社内に取り込むのが大好きです。カスタムチップから独自のデータセンター、さらには自前の発電所に至るまで、「何でも自分たちで作る」という精神は、マグニフィセント・セブンの間ではほとんど教義のようなものになっています。
しかし金融の世界では、その考え方は負債になりかねません。規制環境はあまりにも重要で、あまりにも専門的で、しかも変化が激しすぎるため、DIY（自前主義）で対応できるものではありません。
まさにこの点で、多くのフィンテック企業がつまずき、大きな代償を払うことになりました。最初の数十万、あるいは50万人近いユーザーには十分だった自前のツールも、本格的なスケールで事業を運営する現実には対応できていなかったのです。フィンテックが一気に一般層へと広がる中で、そうした初期のシステムは次第に綻びを見せ始めました。そして、その成長スピードは驚くほど速いものでした。たとえばRevolutは、2019年11月以降、6倍以上に成長し、784万人の顧客から5,000万人超へと拡大しています。
当局がその共同声明の中で述べているように、「急速な成長は、リスク管理やオペレーションのプロセスがそのスピードについていけなくなる可能性がある」
事業拡大に伴ってコンプライアンスツールをアップグレードしなかったフィンテック企業は、重要な義務への対応で遅れを取り始めました――KYCの定期更新からトランザクションモニタリングに至るまで。こうした遅れにより、規制当局や提携先、顧客の不安を招き、行政処分やライセンス取得の遅延、場合によっては事業停止にまでつながっています。
教訓：コンプライアンスソリューションは、データ量やリスクへの曝露が増えるにつれて、単に規模を拡大するだけでなく、より高度で賢くなるように拡張可能でなければなりません。規制産業において、スマートなコンプライアンスなしの成長は時限爆弾です。
3. 自前のコンプライアンス対応は、かえって高くつくことがある
DIYによるコンプライアンス対応のもう一つの問題は、「社内で対応すればコストを抑えつつ高い品質を維持できる」という根強い思い込みです。理屈の上では賢い選択に聞こえますが、実際には非常に危険な近視眼的判断であることがわかりました。
2020年から2021年にかけて、DIYコンプライアンス全盛期には金融犯罪が急増しました。米国市民は、不正被害が30％増加したと報告しており、その要因にはパンデミックによる孤立、デジタル活動の急増、そしてサイバー犯罪に対する認知不足が挙げられます。同じ期間中、金融機関の63％が攻撃の増加を経験しました。2024年半ばまでには、サイバー攻撃はパンデミック前と比べて2倍に達していました。
多くのフィンテック企業ではコンプライアンス体制が不十分であり、それが犯罪者にとって格好の標的となっていました。犯罪者は、オンボーディング、KYC、トランザクションモニタリングの抜け穴を悪用して口座を開設し、盗難資金を移動させました。チャレンジャーバンクは、特に認可済みプッシュ決済（APP）詐欺に対して脆弱になりました。英国では、Monzo、Starling、Metro Bank が、不正取引の割合が最も高い金融機関であることが判明しました。
自社開発のコンプライアンスプラットフォームは、そもそもこれほど高度かつ大量の不正に対抗できるようには設計されていませんでした。コストを抑えるための手段として始まったものが、あっという間に大きなリスクへと変わってしまったのです。今、私たちが目の当たりにしているのはその後遺症です。数百万ドル規模の罰金、強まる規制当局からの圧力、そして薄れつつある公共の信頼です。
自社開発のコンプライアンスプラットフォームは、起こるべくして起きた大惨事でした。案の定、今まさに私たちは、数百万ドル規模の罰金が雪崩のように押し寄せ、フィンテック企業を規制の嵐が直撃している光景を目の当たりにしています。
教訓：DIYによるコンプライアンス対応は見せかけの節約にすぎません。初期段階で手を抜けばコストは抑えられるかもしれませんが、その分、犯罪者に付け入る大きな隙を与えてしまいます。
4. データ共有は業界全体のレジリエンスを高める
長年にわたり、伝統的な銀行は、法執行機関や他の金融機関とリスクに関する知見を共有するため、安全なコンソーシアムを共同で構築してきました。
これらのコンソーシアムは、厳格な法的枠組みのもとで構築され、金融犯罪との闘いにおいて不可欠なツールとなってきました。しかし、脅威の状況は変化しています。犯罪者たちは今や、モダンな決済レールやフィンテックアプリ、暗号資産取引所を利用し、従来のシステムでは検知することを前提としていなかった方法で不正資金を移動させています。
フィンテック企業はこの課題を見過ごしているわけではありません。多くの企業が、業界全体でのデータ共有に貢献し、その恩恵を受けたいと考えています。しかし、こうしたネットワークへアクセスすることは容易ではないのが現状です。承認プロセスは不透明で、適格性の基準は時代遅れであり、インフラもフィンテック企業を想定して構築されていません。その結果、最も機動的で巧妙な不正スキームに直面している企業ほど、効果的に連携するためのツールを持たないまま取り残されてしまうのです。
一方で、不正行為者たちはこうした隙を最大限に利用しています。プラットフォーム間の連携不足を悪用し、その網の目をすり抜けているのです。
私たちは、より多くのデータを、より広く共有すべきです。
アメリカのサイバー防衛機関の言葉を借りれば、「情報共有こそが大規模なサイバー攻撃を防ぐ鍵である」。これはフィンテック企業がまだ十分に活用していない手段です。
フィンテック企業は、Sonar のような取り組みを通じてデータやインテリジェンスを共有することで、コスト面での優位性を維持しつつコンプライアンスを強化することができます。これは、社内に経験豊富なコンプライアンス専門家を抱えると同時に、業界全体向けに特化して設計されたテクノロジーを活用することを意味します。
教訓：データ共有は業界全体のレジリエンスを高めるものであり、最良のリスクインサイトを得るためには、金融スタックのあらゆる部分を活用する必要があります。
Sardine は、現代のコンプライアンスのニーズに合わせて構築されています
Sardine では、罰金が科されてから初めてコンプライアンスに本気で取り組む、ということはしません。創業当初から、コンプライアンスは私たちのプロダクトづくりを支える中核的な柱です。コンプライアンスは後付けの機能でも、リリース直前の最終チェックポイントでもありません。私たちのロードマップに組み込まれ、アーキテクチャに練り込まれ、コンプライアンスを最優先に考える専門家たちによって、プロダクト開発の方向性そのものが導かれています。
私たちのシステムはスケールを前提に設計されており、最初の1万人の顧客に有効だった仕組みが、その先の1,000万人の顧客に対しても同じように機能するようになっています。私たちは、プロファイルされたデバイスによる世界最速成長中のグローバルネットワークを構築し、136以上の国と62億1,000万台を超えるデバイスにわたってリスクの高い行動を可視化しています。つまり、初日から、より高度なインテリジェンス、より優れた検知能力、そしてより強力な保護を提供できるということです。
また私たちは、Sonarも設立しました。これは、銀行、フィンテック企業、決済プロセッサー、加盟店、そして暗号資産プラットフォームを結集し、ファーストパーティ不正や取引相手リスクに関する知見を安全に共有する、メンバー主導のコンソーシアムです。ここは、協働が行動へとつながる場であり、レジリエンスは決して孤立した状態では築けないという考えに基づいています。
何よりうれしいのは、多くのクライアントから「自分たちのチームの一員のようだ」と言っていただけることです。
協力し合うことで、私たちは単なる足し算以上の力を発揮し、高額なコストをかけることなく、より強力で安全なオンボーディングプロセスを構築できます。
コンプライアンスの幽霊にゾクッとしてしまったら、ぜひご連絡ください！私たちは、ほんの数クリック先にいます。