account-opening-compliance

口座開設コンプライアンス

基本概念

口座開設における CIP の統合

顧客識別プログラム（CIP）は、あらゆる口座開設ワークフローにおける最初のコンプライアンスゲートです。USA PATRIOT Act 第326条およびその施行規則に基づき、金融機関は口座開設前、または開設時に各顧客の本人確認を行う必要があります。口座開設プロセスは、CIP の要件が満たされるまで口座が有効にならないよう設計しなければなりません。

本人確認のタイミング。 規則では、2つの方法が認められています。（1）口座開設前に本人確認を行う方法。これは最も慎重な方法であり、確認が完了するまであらゆる取引を防止します。（2）確認が不完全な状態に伴うリスクを管理する手順（確認が完了するまで口座の利用を制限するなど）を金融機関が備えていることを条件に、口座開設後の合理的な期間内に本人確認を行う方法。デジタルオンボーディングを導入する金融機関の大半は、最初の方法を選択します。申請フロー中にリアルタイムで本人確認を行い、確認結果が合格となるまで申請を進められないようにします。2番目の方法である、本人確認中は利用を制限した状態で口座を開設する方法は、リアルタイムで本人確認を行えない、主に書面ベースまたはアドバイザー支援型のワークフローで使用されます。この方法では、リスク軽減手順（本人確認が完了するまで取引、出金、信用取引を行わないなど）を金融機関が文書化する必要があります。

データベースによる確認は、デジタル口座開設における主な方法です。オンボーディングシステムは、申請者のデータ（氏名、生年月日、住所、SSN/TIN）を API 経由で本人確認ベンダー（LexisNexis Risk Solutions、Alloy、Equifax、TransUnion）に送信します。ベンダーは、信用情報機関の記録、公的記録、政府データベースとデータを照合し、通常は数秒以内に合格、不合格、または判定不能の結果を返します。データベースによる確認は、CIP の非書類による確認要件を満たします。

書類による確認は、データベースによる確認で判定不能となった場合や、利用できない場合の代替手段です。申請者は、政府発行の身分証明書（運転免許証、パスポート、州発行 ID）の写真をアップロードします。OCR でデータ項目を抽出し、システムが書類の写真と自撮り写真を照合してライブネス検知を行う場合もあります。書類による確認は時間がかかり、手続きの負担も増えますが、データベース方式では確認できない申請者（米国以外の居住者、信用履歴の薄い人、データベースの結果が曖昧なケース）には必要です。

確認失敗時の対応。 口座開設ワークフローでは、確認結果ごとに明確な対応手順を定める必要があります。

• 合格 — 次のコンプライアンスゲートに進みます
• 不合格 — 申請を停止し、口座を開設できないことを申請者に通知して、その理由を記録し、CIP の記録保存要件に従って記録を保管します
• 判定不能 — 例外対応キューに回して手動で審査し、追加の本人確認情報または書類による確認を求め、解決までの期限（例：5営業日）を設定します。期限を過ぎた場合は申請を終了します

判定不能の結果に対する例外処理は、運用上極めて重要です。判定不能となる一般的な原因には、氏名の不一致（法的な氏名と希望する氏名の違い、ハイフン付きの氏名、英語以外の氏名の翻字の違い）、住所の不一致（最近の転居、私書箱）、信用履歴が薄いこと（若年層、最近の移民）などがあります。例外処理ワークフローでは、追加書類を収集し、データベースを手動で検索するとともに、標準的な例外処理手順で問題を解決できない場合はコンプライアンス部門にエスカレーションする必要があります。金融機関は原因別に例外発生率を追跡し、全体的な問題を特定する必要があります。たとえば、翻字に関連する例外の発生率が高い場合、本人確認ベンダーが非ラテン文字の文字セットを適切に処理できるよう改善が必要である可能性があります。 米国以外の居住者および外国口座。 米国以外の居住者に対する CIP 検証には、追加の複雑さが伴います。有効な識別番号には、パスポート番号と発行国、外国人識別カード番号、または写真付きで有効期限内の、国籍もしくは居住地を証明するその他の政府発行文書の番号と発行国が含まれます。米国以外の居住者についてはデータベースによる検証の網羅性が低いため、書類による検証（ライブネスチェックを伴うパスポートのアップロード）が主な方法となります。口座開設ワークフローでは、米国以外の申請者を早い段階で検出し、データベースチェックに失敗するのを待たずに、書類による検証の手順に振り分ける必要があります。

記録の保管要件。 CIP 規制では、本人確認情報（氏名、生年月日、住所、識別番号）、本人確認に使用した書類または方法の説明、および不一致の解決内容を保管することが求められます。これらの記録は口座の閉鎖後 5 年間保管する必要があります。口座開設システムでは、検証方法、ベンダーの応答、タイムスタンプ、結果を含む CIP 検証記録を申請ごとに自動生成し、保管する必要があります。

OFAC と制裁リストのスクリーニング

OFAC スクリーニングは、口座開設前に必ずクリアしなければならないコンプライアンス上の必須ゲートです。申請者が申告どおりの人物であることを確認する CIP とは異なり、OFAC スクリーニングでは、申請者または口座に関連する人物が、企業との取引を禁止されている制裁対象の個人または団体かどうかを判定します。

スクリーニングの対象範囲。 企業は主たる申請者だけでなく、口座に関連するすべての個人をスクリーニングする必要があります。対象には以下が含まれます。

• 口座名義人（共同口座の場合はすべての所有者）
• 実質的支配者（法人の口座の場合、株式の 25％を保有する者および支配権を持つ者）
• 権限を付与された署名者および取引権限を持つ者
• 受託者（信託口座の場合）
• UTMA/UGMA 口座の管理者
• 口座に対する権限または受益権を持つその他の人物

スクリーニング対象リスト。 最低限、OFAC の SDN（特別指定国民および凍結対象者）リストを対象にする必要があります。ベストプラクティスでは、セクター別制裁対象者（SSI）リスト、SDN 以外のメニュー方式制裁リスト、外国制裁回避者（FSE）リスト、ならびに FinCEN 314(a) リストや企業固有の取引制限リストなど、OFAC 以外の統合リストも対象にします。自動スクリーニングプラットフォームでは通常、すべての OFAC リストを同時に照合します。

スクリーニングの頻度。 OFAC スクリーニングは口座開設時に実施し、その後も継続的に行う必要があります。継続的なスクリーニングは、（1）OFAC リストの更新（SDN リストは頻繁に更新され、週に複数回更新されることもあります）、（2）口座の所有者または権限を付与された関係者の変更、（3）リスクに基づくスケジュールでの定期的な再スクリーニングによって開始されます。口座開設時のスクリーニングは、口座を有効化する前、および資金の受け入れや取引の処理を開始する前に実施する必要があります。 潜在的な一致の処理。 スクリーニングシステムが潜在的な一致（アラートとも呼ばれます）を生成した場合、ワークフローでは次の対応が必要です。

1. 口座開設プロセスを停止します。アラートが解決するまで口座を有効化してはなりません。
2. アラートを、訓練を受けたコンプライアンスアナリストに回付し、手動で確認してもらいます。
3. 申請者とリスト上の人物について、利用可能なすべての識別情報（氏名、別名、生年月日、国籍、住所、パスポート番号）を比較します。
4. 一致が真陽性（申請者がリスト上の人物である）か、偽陽性（識別情報が類似する別人である）かを判断します。
5. 分析内容、比較したデータ項目、処理結果の判断を記録します。
6. 真陽性の場合：口座申請をブロックし、関連するすべての財産をブロックしたうえで、10営業日以内にOFACにブロック対象財産報告書を提出します。
7. 偽陽性の場合：判断の根拠を記録し、記録を保管したうえで、申請手続きを続行します。

偽陽性の管理は、継続的に取り組むべき業務上の課題です。一般的な名前、転写表記の違い、OFACリスト上の識別情報の不備により、偽陽性率が高くなります。企業は、検出感度と業務上の負荷のバランスが取れるよう、スクリーニングアルゴリズムを調整する必要があります。検出精度を低下させずに偽陽性を減らすには、既知の偽陽性の記録を維持・更新し、照合に複数のデータ項目（名前だけではなく）を使用し、あいまい一致のしきい値を調整する必要があります。調整に関するすべての判断は、記録し、正当性を説明できるようにする必要があります。

スクリーニング結果の記録。 結果にかかわらず、口座開設記録には、実施したすべてのスクリーニングのログ（スクリーニングしたリスト、対象者、スクリーニングのタイムスタンプ、アルゴリズムのバージョンまたは設定、未加工の結果、処理結果）を含める必要があります。一致がなかった場合は、システムログで十分です。潜在的な一致が偽陽性として解決された場合、記録には、識別データ項目の比較内容と、偽陽性と判断した根拠を含める必要があります。真陽性の場合、記録にはブロッキング報告書、OFACへの通知、その後のやり取りを含める必要があります。これらの記録は、口座の存続期間中および閉鎖後5年間保管し、規制当局の検査時に提出できるようにする必要があります。

実質的所有者の証明

FinCENのCDDルール（31 CFR 1010.230、2018年5月施行）では、対象となる金融機関に対し、口座開設時に法人顧客の実質的所有者を特定し、本人確認を行うことを義務付けています。

特定が必要な対象者。 法人顧客ごとに、企業は以下の人物を特定する必要があります。

• その法人の持分を直接または間接に25％以上所有するすべての個人（所有者基準）
• 法人の管理、運営、または指揮に重要な責任を負う個人を少なくとも1人（支配者基準）。例として、CEO、CFO、COO、業務執行社員、無限責任組合員、社長、副社長、または財務担当役員が挙げられます。

1人の個人が両方の基準を満たす場合もあります（例：単独所有者であり、管理者でもある場合）。報告する実質的所有者の人数は通常、最大5人です（所有者基準で4人、支配者基準で1人）。ただし、25％以上を所有する個人が4人を超える法人は、その全員を報告する必要があります。

25％の所有割合のしきい値。 所有割合は、直接および間接の両方について算出します。ある個人がEntity Aの30％を所有し、Entity Aが口座申請者であるEntity Bの100％を所有している場合、その個人はEntity Bを間接的に30％所有しているため、実質的所有者として特定する必要があります。多層構造の所有関係では、企業は中間法人を通じて所有関係をたどり、最終的に25％以上を保有する自然人を特定する必要があります。 免除対象の事業体。 所有者情報がほかの規制上の仕組みを通じてすでに透明化されているため、特定の事業体は実質的支配者の確認要件が免除されます。

• 米国の証券取引所（または同等の基準を満たす外国の取引所）に上場している公開会社
• SEC に登録された投資会社および投資顧問会社
• 州の規制を受ける保険会社
• 連邦銀行監督機関の規制を受ける銀行、信用組合、その他の預金取扱金融機関
• SEC に登録されたブローカー・ディーラー
• 連邦政府または州政府によって設立された事業体
• 金融機関が運営する合同投資ビークル（ただし、基礎となる投資家は対象外）

証明書フォームの管理。 事務所は、証明書フォーム（FinCEN の標準フォームまたは事務所独自の同等フォームに基づく）を使用して実質的支配者情報を収集します。口座開設ワークフローでは、申込者が法人である場合にこのフォームを提示し、各実質的支配者について必要な情報を収集して、事務所の CIP 手順に従って特定された各実質的支配者の本人確認を行う必要があります。フォームには、法人を代表して口座を開設する個人が、情報の正確性を証明する署名（書面または電子署名）が必要です。事務所は、口座閉鎖後5年間、証明書フォームと本人確認記録を保管する必要があります。

所有権変更の継続的なモニタリング。 CDD ルールでは、事務所に対してリスクに応じた実質的支配者情報の更新が求められます。口座開設プロセスでは、所有権情報を更新する契機を設定する必要があります。定期的な確認（通常、高リスクの事業体は毎年、標準リスクの事業体は3年ごと）、事象に応じた更新（所有権変更の通知、企業再編、合併）、および顧客からの更新依頼です。口座開設システムでは、次回の確認日を表示し、適切な確認キューに振り分ける必要があります。

Corporate Transparency Act との関係。 Corporate Transparency Act（CTA）は当初、2024年から大半の企業に対し、実質的支配者情報を FinCEN に直接報告するよう義務付けていました。しかし、FinCEN が2025年3月に発表した暫定最終規則により、米国内で設立されたすべての事業体（従来の「国内報告会社」）とその実質的支配者は CTA に基づく報告が免除されています。報告会社として残るのは、外国法に基づいて設立され、米国で事業を行うために登録された事業体のみであり、米国人である実質的支配者については報告する必要がありません。口座開設における実務上の帰結として、CTA に基づいて報告されたデータは、事務所独自の実質的支配者情報の収集に代わるものではなく、CTA によって金融機関の CDD ルール上の義務が免除されることもありません。事務所は引き続き、証明書フォームのプロセスを通じて独自に実質的支配者情報を収集し、確認する必要があります。また、CTA の規則制定は現在も流動的であるため、規則の現状を確認する必要があります。

税務コンプライアンス：FATCA と CRS

口座開設時には、国際的な税務報告義務を満たすための情報を収集する必要があります。これらの要件は、口座名義人の市民権にかかわらず適用され、外国での税務上の居住を示す兆候がある場合に発動します。

FATCA（Foreign Account Tax Compliance Act）。 米国の金融機関は、口座名義人が米国人（W-9 の収集が必要）か、米国人以外（W-8BEN または W-8BEN-E の収集と FATCA 分類が必要）かを判定する必要があります。信託などの法人名義口座については、FATCA に基づきその法人を分類し（例：Active NFFE、Passive NFFE、Financial Institution）、Passive NFFE については、支配者のうち米国人である者を特定する必要があります。有効な W-8/W-9 フォームを収集できない場合、報告対象となる支払いに対して 24% の予備源泉徴収が発生します。

CRS（共通報告基準）。 口座名義人または支配者のいずれかが CRS 参加地域（米国以外のほとんどの国）における税務上の居住者である場合、外国の納税者識別番号（TIN）を含む税務上の居住地に関する自己証明を収集する必要があります。英国居住の受託者がいる家族信託の場合、CRS に基づき、会社の CRS 報告経路を通じて HMRC に口座を報告する必要があります。自己証明は、口座開設時またはその前に収集する必要があります。

口座開設ワークフローとの統合。 税務コンプライアンスの確認では、次の対応を行う必要があります。

• 口座開設時に、すべての米国人から W-9、米国人以外のすべての人から W-8BEN を収集する
• FATCA に基づき法人名義口座を分類する（Active/Passive NFFE、Financial Institution など）
• 外国での税務上の居住を示す兆候があるすべての人から、CRS の自己証明フォームを収集する
• 発行国で一般的な形式に照らして TIN の形式を検証する（例：英国の NI 番号の形式：英字 2 文字＋数字 6 桁＋英字 1 文字）
• 税務フォームの未提出または期限切れがある口座にフラグを立て、有効化前に是正する
• W-8 フォームの更新時期を設定する（状況に変更がない限り、3 年ごとに期限切れとなります）

越境取引の複雑さ。 口座名義人が複数の地域で税務上の義務を負う場合（例：米国と英国の二重国籍者、または受託者が異なる国にいる信託）、会社は FATCA と CRS の両方に基づく報告が必要になることがあります。口座開設システムは、収集した税務上の居住地に関する申告に基づいて複数地域にまたがる報告義務を特定し、該当する口座をコンプライアンス審査に回す必要があります。

口座開設時の適合性評価

口座開設は、投資適合性の評価に必要なデータを収集する主要な機会です。コンプライアンスの枠組みでは、以後の投資推奨の適合性を評価するのに十分な情報を、最初の推奨時またはそれ以前に会社が収集することが求められています。

投資プロファイルの記録。 口座開設プロセスでは、FINRA Rule 2111 および Regulation Best Interest で定義される顧客の投資プロファイルの全要素を収集する必要があります。これには、投資目的、リスク許容度、投資期間、流動性ニーズ、財務状況（収入、純資産、流動純資産）、投資経験、税務上のステータス、および顧客が開示するその他の情報が含まれます。プロファイルは、長期保存でき、後から検索可能な形式で記録する必要があります。採点後に破棄されるアンケートに記録するだけでは不十分です。

適切な商品およびモデルへのマッピング。 口座開設時に収集した適合性データに基づいて、口座を投資モデルまたは戦略にマッピングします。口座開設システムは、適合性アンケートからリスクスコアまたはカテゴリーを算出し、そのスコアを所定の範囲のモデルまたは戦略にマッピングする必要があります。このマッピングは文書化し、アドバイザー間で一貫して適用するとともに、その妥当性を定期的に見直す必要があります。マッピングからの逸脱（例：アドバイザーが顧客のリスクスコアが示すより積極的なモデルを選択する場合）は、コンプライアンス審査の対象とする必要があります。 口座タイプの推奨に関するReg BIのケア義務。 Regulation Best Interestでは、口座タイプ自体の推奨（例：証券口座と投資助言口座、IRAと課税口座、手数料ベースとコミッションベース）がケア義務の対象となります。ブローカー・ディーラーの口座開設プロセスでは、合理的に利用可能な代替案と顧客の投資プロファイルを考慮し、推奨する口座タイプが顧客の最善の利益にかなうことを記録する必要があります。つまり、口座開設時のコンプライアンス管理では、選択された口座タイプだけでなく、代替案ではなくその口座タイプを選択した理由も記録する必要があります。

適合性に関する文書化要件。 会社は、顧客の投資プロファイル、リスク評価またはスコア、推奨したモデルまたは戦略、および推奨の根拠を記録として保持する必要があります。一任口座については、口座開設時に投資方針書（IPS）を作成する必要があります。Reg BIの対象口座については、推奨時またはその前にForm CRSを交付し、推奨の根拠を記録する必要があります。

口座開設時の投資顧問の受託者としての考慮事項。 RIA口座では、受託者としてのケア義務により、推奨を行う前に顧客の財務状況と投資目標を理解する必要があります。口座開設時の適合性確認アンケートは、ケア義務の分析の基礎となります。また、提供する助言に影響を及ぼす可能性のある重大な利益相反を特定し、開示する必要があります。口座開設プロセスには、Form ADV Part 2AおよびPart 2B（またはパンフレット補足資料）の交付、受領確認の取得、投資顧問契約の締結を含める必要があります。これらの開示義務は、単なる適合性要件ではありません。口座開設時に履行されなければ、顧問関係全体を通じた継続的なコンプライアンスリスクにつながる受託者としての義務です。

強化された適合性審査の開始条件。 口座開設プロセスで次の条件が検出された場合、口座を有効化する前に強化された適合性審査を開始する必要があります：

• 顧客が、財務状況と整合しない投資目標またはリスク許容度を選択している（例：流動性のある純資産が限られているにもかかわらず積極的な成長を選択）
• 顧客が、プロファイルに通常は適合しない商品または機能を希望している（例：保守的な投資家がオプション取引を希望）
• 顧客がシニア投資家である（65歳以上）
• 顧客の投資経験が限られているにもかかわらず、複雑な戦略を選択している
• 顧客が申告した投資期間が口座タイプと整合しない（例：長期の退職口座で短期の投資期間を希望）
• 顧客が特定の適合性情報の提供を拒否している場合、会社はそれに応じて適合性のある推奨の範囲を狭め、拒否を記録する必要があります
• 口座に雇用主のプランからのロールオーバーが含まれる場合、プランに残る場合と比較してロールオーバーの推奨が顧客の最善の利益にかなうかどうかについて、Reg BIに基づく分析が必要になります

リスクベースの審査区分

すべての口座申請が同じコンプライアンスリスクを伴うわけではありません。リスクベースのアプローチでは、リスク指標に基づいて各申請を審査区分に割り当て、高リスクの申請には強化された審査を適用しつつ、標準的な申請を効率的に処理します。

標準審査は、口座開設の大半に適用されます。対象となるのは、CIPの確認に問題がなく、OFACスクリーニングで該当がなく、投資プロファイルが明確な米国居住者の個人口座または共同口座の課税口座、IRA、その他の一般的な口座タイプです。標準審査は完全に自動化できます。システムがすべてのコンプライアンス要件を満たしていることを確認し、手動での介入なしに申請を承認します。業務監督者またはコンプライアンス担当者が、事後的に自動承認された口座のサンプルを審査する場合もあります。 強化レビューのトリガー。 次の指標に該当する場合、申込は標準レビューから強化レビューに引き上げられ、口座の有効化前にコンプライアンス担当者によるレビューが必要になります。

• 政治的に重要な人物（PEP） — PEP スクリーニングデータベースで特定された、外国の上級政治家、その家族、および親密な関係者
• 高リスク地域 — FATF、FinCEN の勧告、または会社独自のリスク評価によって高リスクと特定された国の市民権、居住地、または重要な関係を持つ申込者
• 複雑な所有構造 — 多層構造の事業体、名義人、受益者構造が不透明な信託、複数の権限者がいる口座
• 資産形成源に関する懸念 — 申告された資産形成源が既知の雇用状況または事業と一致しない、申込者のプロフィールに対して初回入金額が異常に大きい、高リスク地域を源泉とする資金
• ネガティブな報道または不利な情報 — スクリーニング結果で明らかになった不利なニュース、訴訟、規制措置、または犯罪歴
• 高齢の投資家 — 65 歳以上の申込者。FINRA Rules 2165 and 4512 に基づく年齢別レビューの対象となります
• 多額の初回入金 — 会社が定める基準額（例：100 万ドル以上）を超え、資金源の確認が必要となる入金額
• 裁量権限 — 取引裁量を付与する口座では、助言契約と投資権限の監督レビューが必要です

口座開設時のリスクスコアリング。 多くの会社は、リスク要因を加重評価し、口座開設時に各口座へ数値のリスクスコアを割り当てています。一般的なスコアリングの評価項目には、次のものがあります。

• 顧客の種類（個人、事業体、信託、外国籍、PEP）
• 地理的リスク（顧客の居住地、市民権、資金の流れが関係する地域）
• 商品の複雑さ（標準的な証券口座、助言、信用取引、オプション、オルタナティブ投資）
• 資金源（確認済みの銀行からの ACH、国内銀行からの電信送金、外国銀行からの電信送金、第三者小切手）
• 関係の特性（新規顧客、追加口座を開設する既存顧客、紹介元）
• 口座規模（定められた基準額を超える口座には、より高いスコアが必要です）

リスクスコアによって口座開設時の CDD リスク評価が決まり、その評価に応じて継続的なモニタリングの頻度と深度が決まります。スコアリングモデルは文書化し、定期的に検証し、一貫して適用する必要があります。ほぼすべての口座を同じ区分に分類するほど大まかなモデルや、通常の口座の不釣り合いな割合をエスカレーションするほど感度の高いモデルは避けてください。

コンプライアンス部門へのエスカレーション。 強化レビューが必要となった申込は、コンプライアンスアナリストまたはコンプライアンス担当役員に回され、手動でレビューされます。レビュー担当者はリスク要因を評価し、申込者に追加書類（資金源に関する声明、追加の本人確認書類、口座の目的など）を求める場合があります。そのうえで、承認、却下、またはエスカレーションを決定します。レビュー担当者がリスクを解消できない場合、申込は上級コンプライアンス担当者または最高コンプライアンス責任者にエスカレーションされます。すべてのレビュー判断、裏付けとなる分析、書類を保管する必要があります。

リスク区分ごとの文書化要件。 標準レビューでは、自動コンプライアンスチェック（CIP、OFAC、適合性スコア）の結果を保管する必要があります。強化レビューでは、これに加えて、エスカレーションのトリガーとなった具体的なリスク要因、レビュー担当者の分析、収集した追加書類、承認の判断と理由、および承認者の身元を記録する必要があります。リスク区分が高いほど文書化の基準も高くなります。たとえば、PEP の口座では、資産形成源の分析と承認の根拠を説明する詳細なメモを作成する必要があります。 口座開設の拒否手続き。 コンプライアンス部門が口座を開設すべきでないと判断した場合、拒否の取り扱いには慎重を期す必要があります。会社は拒否の具体的な理由を文書化し、その記録をコンプライアンスファイルに保管するとともに、OFAC 審査の結果や SAR 関連情報を明かさない方法で申込者に拒否を通知する必要があります（情報漏えいによる違反を避けるためです）。拒否通知書には、具体的なコンプライアンス上の理由を示さず、現時点では口座を開設できない旨を記載します。OFAC または AML に関する懸念が拒否の理由である場合、会社は SAR の提出が妥当かどうかを評価する必要があります。同じ個人が繰り返し口座開設を試みている場合や、特定の紹介元からの申込みが繰り返し拒否されている場合など、傾向を把握できるよう、拒否した申込みは一元管理された記録簿で追跡します。

高齢投資家の保護

高齢投資家（一般に65歳以上。ただし、60歳を基準とする会社もあります）の口座開設には、金銭的搾取や判断能力の低下から投資家を守るための追加のコンプライアンス義務が伴います。

FINRA Rule 4512 — 信頼できる連絡先。 2018年2月に発効した FINRA Rule 4512 は、各顧客の口座について、信頼できる連絡先の氏名と連絡先情報を入手するために合理的な努力を払うことを会社に義務付けています。信頼できる連絡先は口座の正式な権限者ではなく、口座で取引を行うことはできません。その目的は、会社が金銭的搾取や判断能力の低下を疑った場合、または顧客の安否に懸念がある場合に、連絡できる相手を確保することです。口座開設手続きでは、信頼できる連絡先の指定欄を標準項目として設け、会社は高齢者に限らず、すべての顧客からこの情報を入手するために合理的な努力を払う必要があります。ただし、信頼できる連絡先は高齢投資家にとって特に重要です。

FINRA Rule 2165 — 特定成人に対する金銭的搾取。 2018年2月に発効したこの規則は、特定成人（65歳以上の人、または自らの利益を守れなくなる精神的もしくは身体的な障害があると会社が合理的に判断する18歳以上の人）の口座からの払出しを一時的に保留する場合に、会社がセーフハーバーを利用できるようにするものです。口座開設時に、会社は次のことを行う必要があります。

• 顧客の年齢と、判断能力の低下を示す観察可能な兆候を文書化する
• 信頼できる連絡先の指定について、その目的も含めて説明する
• 信頼できる連絡先の情報を口座記録に記録する
• 年齢に基づくモニタリングと強化審査の対象として、会社のシステムで口座にフラグを付ける

口座開設時の強化審査を開始する年齢基準。 申込者が65歳以上の場合、口座開設手続きでは次の対応を開始する必要があります。

• 信頼できる連絡先情報の取得を必須とする（顧客が拒否した場合は、取得に向けた努力を文書化する）
• 適合性の強化審査 — 推奨する口座種別、投資戦略、商品構成は、顧客の年齢、投資期間、流動性ニーズ、認知能力に適しているか
• 金銭的搾取の可能性を示す兆候の確認 — 第三者が口座開設に不当な影響を及ぼしていないか。顧客が不適切な商品を購入するよう圧力を受けていないか
• 州固有の保護措置 — 州によっては、疑わしい高齢者の金銭的搾取について報告を義務付けるなど、追加要件を課しており、口座開設手続きでこれに対応する必要があります

口座開設手続き中に確認される可能性がある判断能力の低下を示す兆候：

• 口座の目的や投資の性質について混乱している
• 申込手続き中に提供された情報を理解または想起できない
• 質問への回答や意思決定を第三者に頼っている
• 既存顧客が新たに口座を開設する際に、以前から知られている行動や意思決定のパターンから大きく変化している
• 適合性に関する質問への回答に一貫性がない、または矛盾がある これらの兆候が見られる場合、会社は口座開設を一時停止し、確認した内容を記録したうえで、上司や必要に応じて信頼できる連絡先に相談し、手続きを進めることが顧客の利益になるかどうかを判断する必要があります。

一時保留権限。 FINRA Rule 2165 は、特定の成人の口座からの資金または有価証券の払い出しについて、会社が金融搾取が発生した、発生している、試みられた、または試みられると合理的に判断した場合、一時保留を行う権限を会社に認めています。保留期間は最長15営業日で、会社が州の規制当局もしくは管轄権を有する当局または裁判所に案件を報告した場合は、最長25営業日まで延長できます。この権限は口座開設後に適用されますが、口座開設プロセスは、必要なときに保留権限を効果的に行使するための基盤（信頼できる連絡先、システムフラグ、監視トリガー）を会社が整備する段階です。

州レベルの保護措置。 多くの州が独自の高齢投資家保護法を制定しており、その多くは NASAA の「金融搾取から脆弱な成人を保護するモデル法」に基づいています。こうした州法では、義務的な報告義務（会社に対し、疑わしい搾取を成人保護サービス機関または州の証券規制当局へ報告するよう求めるもの）が課されたり、FINRA Rule 2165 を超える保留権限が認められたり、報告を怠った場合の罰則が定められたりすることがあります。口座開設時のコンプライアンス体制では、顧客の居住地に基づいて適用される州法を特定し、州固有の義務をワークフローに組み込む必要があります。

コンプライアンスの自動化

手作業によるコンプライアンスプロセスでは規模の拡大に対応できません。口座数の増加に伴い、会社は効率と管理の質の両方を維持するため、コンプライアンス審査、承認の振り分け、例外の追跡、監査証跡の生成を自動化する必要があります。

審査ワークフローの自動化。 口座開設時に行う主要なコンプライアンス確認（CIP 検証、OFAC 審査、PEP 審査、ネガティブメディア審査、法人の実質的所有者確認）は、申請がワークフローを進むのに合わせて自動的に実行する必要があります。各審査ステップは API 呼び出しによって起動し、その結果が申請記録に保存されます。ワークフローエンジンは、結果に基づいて申請を進めるか停止します。すべての審査を通過した申請では、手作業による介入は不要です。

ルールベースの承認振り分け。 ワークフローエンジンは、設定可能なルールセットに照らして各申請を評価し、承認経路を決定する必要があります。

• 自動審査をすべて通過し、追加審査のトリガーがない申請は、自動承認（または簡易なオペレーション審査）に回します。
• 追加審査のトリガーが1つ以上ある申請は、トリガーの種類に応じた審査担当者に回します（OFAC アラートはコンプライアンスアナリスト、PEP はシニアコンプライアンス担当者、書類上の問題はオペレーションスーパーバイザー）。
• 複数のトリガーが同時に発生した申請、または最もリスクの高い兆候がある申請は、CCO またはシニアコンプライアンス委員会に回します。

ルールエンジンは、コンプライアンス部門が設定可能（IT 部門によるハードコードではない）で、監査可能（すべてのルール変更について、発効日と承認者を記録）かつテスト可能（新しいルールを本番環境に導入する前に、過去の申請に適用して検証できる）である必要があります。

コンプライアンスチェックリストの自動化。 口座の種類ごとに、コンプライアンス要件が定められています。システムは、口座の種類と機能に基づいて申請開始時にチェックリストを自動生成し、各項目の完了状況を追跡するとともに、必須項目がすべて満たされるまで申請の提出を防ぐ必要があります。チェックリストは、オペレーションチーム、アドバイザー、コンプライアンス部門が確認できるようにします。口座の種類別のチェックリストの例：

• 個人課税口座： CIP 検証（合格）、OFAC スクリーニング（問題なし）、適合性アンケート（完了）、リスクスコア（生成済み）、Form CRS（交付済み）、プライバシー通知（交付済み）、信頼できる連絡先（情報収集済み、または拒否を記録済み）、新規口座申込書（署名済み）
• 法人（LLC/Corp）： 各権限者について個人向けチェックリストの全項目に加えて、法人分類（記録済み）、実質的支配者証明（完了）、実質的支配者の CIP 検証（各人が合格）、実質的支配者の OFAC スクリーニング（各人について問題なし）、設立書類（収集済み）、会社決議書または運営契約書（収集済み）、EIN 検証（確認済み）、コンプライアンス審査（承認済み）
• 信託： 受託者の CIP 検証（各人が合格）、信託分類（撤回可能か撤回不能かを記録済み）、信託証明書または信託契約書（収集済み）、実質的支配者の判定（根拠とともに記録済み）、関係者全員の OFAC スクリーニング、撤回不能または複雑な構造の場合はコンプライアンス審査
• IRA／退職口座： 標準的な個人向けチェックリストに加えて、IRA 加入契約書（署名済み）、受益者指定（完了）、IRA 開示書（交付済み）、ロールオーバー／移管書類（該当する場合）、ロールオーバーの推奨に関する Reg BI 分析（該当する場合）

例外の追跡。 申込が例外状態（CIP 判定不能、OFAC の要確認一致、書類不足、強化審査の発動）になった場合、システムは例外の作成から解決までを追跡する必要があります。例外の追跡には、例外の種類、発生日、割り当てられた審査担当者、現在のステータス、解決内容（承認、却下、追加情報待ち）、解決日、裏付けとなる書類を含める必要があります。例外の経過日数レポートでは、定められたしきい値（例：CIP の例外は3営業日、OFAC アラートは1営業日）を超えて例外状態にある申込を表示する必要があります。

監査証跡の生成。 口座開設プロセス中のコンプライアンスに関するあらゆる措置を、変更不可能な監査証跡に記録する必要があります。記録する内容は、措置を実行した人物、措置の内容、実行日時、結果です。これには自動処理（システムが14:23:07にOFACスクリーニングを実行 — 結果：一致なし）と手動処理（コンプライアンスアナリストのJ. Smithが15:10:22にOFACアラート #4521を審査 — 判定：誤検知 — 根拠：生年月日とパスポート番号が異なる）の両方が含まれます。監査証跡は口座の存続期間中および適用される規制上の保存期間（口座閉鎖後5～6年）にわたって保存し、規制当局の検査時に提出できるようにする必要があります。

口座開設パイプラインのコンプライアンスダッシュボード。 リアルタイムダッシュボードにより、コンプライアンス部門と業務管理者は口座開設パイプラインを可視化できます。対象となるのは、処理中の申込総数、段階別の申込数、例外状態の申込数、経過日数の長い例外、承認率、自動承認率、平均口座開設所要時間、NIGO率です。このダッシュボードにより、コンプライアンス部門はボトルネック、人員配置のニーズ、新たなリスクパターン（例：特定の地域からのOFACアラートの急増）を特定できます。

コンプライアンススクリーニングのベンダー管理。 多くの企業は、本人確認、OFACスクリーニング、PEPデータベース、不利な報道のフィードについて、サードパーティベンダーに依存しています。コンプライアンス自動化フレームワークには、ベンダーのデータソースと精度に関する初期デューデリジェンス、応答時間と稼働時間に関する契約上のサービスレベル契約（SLA）、定期的な検証テスト（既知の陽性例と陰性例をベンダーのシステムに通して精度を確認すること）、ベンダーの停止時の緊急時対応手順を含める必要があります。スクリーニングベンダーが利用できない場合、企業は代替プロセスを用意する必要があります。たとえば、ダウンロード可能なOFACリストを使った手動スクリーニングなどにより、スクリーニングなしで口座を開設することも、停止中にすべての口座開設を中断することも避けられます。 RegTech（レグテック）に関する検討事項。 コンプライアンス自動化を取り巻く環境は急速に変化しています。口座開設時のコンプライアンス対応に RegTech ソリューションを導入するか検討する企業は、既存の口座開設プラットフォームやカストディアンの API との統合機能、開発者の介入なしにコンプライアンス部門がスクリーニングのルールやしきい値を設定できるかどうか、監査証跡やレポートの品質、単一のワークフローで複数の法人・法域にまたがるスクリーニングに対応できるかどうか、ベンダーの規制上の実績（ベンダーの技術が規制当局の審査を受けたことがあるか、また、その結果はどうだったか）を評価する必要があります。企業はコンプライアンス上の判断に対する責任を保持する必要があります。自動化は判断を支援しますが、エスカレーションされた案件に対するコンプライアンス上の判断に取って代わるものではありません。

口座開設時に設定する継続的モニタリングのトリガー

口座開設プロセスは、口座が有効化された時点で終了するわけではありません。開設時に行われたコンプライアンス上の判断が、口座の存続期間全体にわたる継続的モニタリングの枠組みとなります。

CDD リスク評価の割り当て。 すべての口座には、開設時に CDD リスク評価（例：低、中、高、または数値スコア）が割り当てられます。リスク評価は、開設プロセスで評価されたリスク要因、すなわち顧客の種類、地理的なエクスポージャー、商品の複雑さ、資産形成の源泉、PEP 該当状況、および強化レビューで判明した事項に基づいて決定されます。リスク評価によって、継続的モニタリングの強度と頻度が決まります。高リスク口座では、取引モニタリングや定期レビューの頻度を高め、異常な活動をより厳しく精査します。

イベント起点のレビュー・トリガー。 口座開設プロセスでは、口座の存続期間中にコンプライアンスレビューを開始するイベントを設定しておく必要があります。

• 口座の所有権または権限を付与された関係者の重要な変更
• 投資プロファイル（投資目的、リスク許容度、財務状況）の大幅な変更
• 確立された口座の活動パターンと整合しない多額の入金または出金
• 高リスクの法域が関係する取引
• リスクを高めるマージン、オプション、またはその他の機能の追加
• OFAC リストの更新により、既存の口座保有者との新たな候補一致が生じた場合
• 口座保有者または実質的所有者に関するネガティブメディア情報の検出
• 顧客が65歳に到達（高齢投資家保護が適用されるため）
• 口座に関連する顧客からの苦情または訴訟
• 口座保有者または実質的所有者の死亡
• 口座保有者に関する規制当局からの照会または召喚状
• 予想されるしきい値を超える口座残高の大幅な変動（増加または減少）
• 長期間にわたる口座の非活動状態の後に、取引量が急増した場合

定期レビューのスケジュール設定。 開設時に割り当てられた CDD リスク評価に基づき、システムは次回の定期レビューをスケジュールする必要があります。高リスク口座は毎年、中リスク口座は2～3年ごと、低リスク口座は3～5年ごとに実施します。定期レビューでは、顧客プロファイルが最新の状態に保たれていること、リスク評価が引き続き適切であること、新たなリスク要因が生じていないことを確認します。

口座の活動モニタリングのしきい値。 口座開設プロセスでは、顧客プロファイル、口座の種類、申告された目的に基づき、口座の活動に関するベースラインとなる予測を設定する必要があります。これらのベースラインは会社の取引モニタリングシステムに取り込まれ、活動が予測から大きく逸脱した場合にアラートが生成されます。たとえば、「長期退職後のための貯蓄」を目的として開設された口座で高頻度取引が始まった場合、コンプライアンスレビューのアラートが生成される必要があります。

開設時のコンプライアンスから継続的コンプライアンスへの引き継ぎ。 口座開設から継続的なコンプライアンス対応への移行は、明示され、文書化されている必要があります。口座開設プロセスの完了時に、システムは次の情報を継続的モニタリングのインフラストラクチャに送信する必要があります。CDD リスク評価、実質的所有者の記録（法人の場合）、次回の定期レビュー予定日、強化レビュー中に課された承認条件（例：「最初の6か月間、資金源との整合性をモニタリングする」）、信頼できる連絡先の記録、および適合性プロファイルです。この引き継ぎにより、開設時のコンプライアンス上の判断が失われず、継続的モニタリングに開設プロセスで確立したリスク評価が反映されます。引き継ぎに不備がある場合、たとえば条件付きで承認された口座について、その条件への準拠を追跡するシステムがない場合は、重大な統制上の弱点となります。

具体例

出来高の多いブローカー・ディーラー向けのコンプライアンス審査の自動化、複雑な事業体構造における実質的所有者の確認（所有関係の追跡、信託の分類）、4段階のリスクベース審査フレームワーク（自動承認からCCO審査まで、50万ドルおよび200万ドルの資金拠出基準）の3つの具体例は、references/examples.md にあります。具体的な審査、実質的所有者の確認、または審査段階のプログラムを設計する際は、このファイルを読み込んでください。

よくある落とし穴

• CIP 検証が完了する前に口座を開設すること — PATRIOT Act では、口座開設前または開設時の本人確認が求められており、「その後の合理的な期間内」は審査担当者によって狭く解釈されます
• OFAC に対して主たる口座名義人のみを照合し、共同所有者、受託者、実質的所有者、承認済み署名者を見落とすこと — 関連するすべての個人を審査する必要があります
• FinCEN の実質的所有者証明書を収集しても、申告された実質的所有者の本人確認を行わないこと — CDD Rule では、特定と確認の両方が求められます
• 中間事業体を介した間接的な所有関係を追跡しないこと — 親事業体の40％を所有する自然人が、その親事業体を通じて申請事業体の100％を所有している場合、その自然人は40％の実質的所有者であり、申告する必要があります
• リスクにかかわらず、すべての申請に同じ審査強度を適用すること — これによりコンプライアンスリソースが圧迫され、逆説的に高リスク口座への審査が手薄になります
• 適合性データの収集を、投資判断やコンプライアンス審査に役立つ情報を集めるのではなく、単なるチェック項目の消化として扱うこと
• Reg BI に基づく口座種別の推奨理由を記録しないこと — 口座種別そのものが推奨であり、注意義務の対象です
• 高齢の投資家から信頼できる連絡先情報を取得しないこと、または顧客が拒否した際に合理的な努力を記録しないこと
• 頻繁なリスト更新に追いつけない手動の OFAC 審査プロセスに依存すること — 審査は自動化し、リストの変更を契機に実行する必要があります
• コンプライアンスルールをワークフローシステムにハードコードし、規制や会社の方針の変化に応じてコンプライアンス部門がルールを変更できるようにしないこと
• 結果は記録しても、その根拠を記録しないコンプライアンス監査証跡を生成すること — 審査担当者が知りたいのは、どのような判断が下されたかだけでなく、その理由でもあります
• 口座開設時にCDDリスク評価を設定した後、一度も更新しないこと — リスク評価は動的であり、新たな情報や状況の変化に応じて更新する必要があります
• 例外キューをエスカレーションせずに滞留させること — 古い例外は未解決のコンプライアンスリスクであり、時間とともに拡大します
• 関連事業体間で口座開設時のコンプライアンスを調整しないこと（例：共通の所有者を持つブローカー・ディーラーと投資顧問会社が、同じ顧客の口座を開設する場合） — 重複した、または整合性のないコンプライアンス記録が生じる可能性があります
• SEC 登録投資顧問会社に BSA/AML 要件を拡大する FinCEN の2024年最終規則を追跡しないこと — 発効日は2026年1月1日から2028年1月1日に延期されており（FinCEN 最終規則、2025年12月）、FinCEN はそれまでに規則の内容を再検討する意向です。投資顧問会社は規則制定の動向を監視し、2026年の義務が適用されると決めつけずに、最新の状況を確認する必要があります
• FINRA 規則で求められる範囲を超える報告義務を課す可能性がある、州レベルの高齢投資家保護法を見落とすこと

相互参照

• know-your-customer（コンプライアンスプラグイン）：このスキルが口座開設ワークフロー内で実装する、CIP、CDD、および継続的モニタリングの要件を定義します
• anti-money-laundering（コンプライアンスプラグイン）：口座開設のコンプライアンスゲートに関わる、OFACスクリーニング、SARの提出、およびAMLプログラムの要件です
• investment-suitability（コンプライアンスプラグイン）：口座開設時に投資家プロフィール情報を収集する根拠となる適合性義務です
• reg-bi（コンプライアンスプラグイン）：口座開設時の口座種別の推奨および初回投資の推奨に適用される、Regulation Best Interestの注意義務および開示義務です
• account-opening-workflow（クライアント業務プラグイン）：これらのコンプライアンス管理が組み込まれる、口座開設の業務プロセスです。このスキルはコンプライアンス層に、このスキルが示す業務フローに関するものです
• client-onboarding（アドバイザリー業務プラグイン）：口座開設のコンプライアンスをエンドツーエンドのオンボーディングプロセスの一要素として含む、より広範なクライアントオンボーディング体験です
• privacy-data-security（コンプライアンスプラグイン）：口座開設のコンプライアンスプロセス中に収集される機密性の高い個人情報（SSN、財務データ、本人確認書類）を保護します
• examination-readiness（コンプライアンスプラグイン）：規制当局による検査に備え、口座開設のコンプライアンス関連文書と手順を準備します
• books-and-records（コンプライアンスプラグイン）：口座開設時に作成されるCIP記録、OFACスクリーニング結果、実質的所有者の証明、および適合性関連文書に関する記録管理要件です
• sales-practices（コンプライアンスプラグイン）：口座開設時に確立される信頼できる連絡先およびシニアレビューの体制を基盤とする、シニア投資家の継続的な保護（FINRAルール2165／4512に基づく一時的な取引保留および行動基準）です