要点
マネー・ローンダリング対策規則は、会社サービス提供者や公証人から銀行まで、あなたにサービスを提供するすべての事業者に、あなた自身のファイルを作成・保管する義務を課しています。法律上は互いの業務に依拠できますが、責任は依拠する者に残るため、実務では各者がゼロから始め、1人の顧客について3件または4件の別個のファイルが作られます。各ファイルには人員とソフトウェアの費用がかかり、顧客がそのすべてを負担します。この事務作業の一部はリスクを低減します。しかし大半は、保有組織が検査官に対し質問したことを示すために存在します。
私は職業としてコンプライアンスを担当しています。Eesti Firmaは認可を受けた信託・会社サービス提供者であり、義務主体です。これは、EU全域でほぼ同様に適用されるマネー・ローンダリング対策（AML）法により、顧客確認と疑わしい事項の報告を求められる事業者の一つです。当社を通じて会社を登録するすべての顧客について、本人確認、スクリーニング、資金源の確認を行っており、これを適切に実施すべきだと考えています。明確な経歴の創業者を特定し、制裁リストおよび政治的に影響力のある者のリストと照合するには、訓練を受けた担当者で約15～20分かかります。オンボーディングの残りは、この15分ほどを中心に構築された事務作業であり、その後、顧客が接する他のすべての義務主体が最初から同じ事務作業を作り直します。
これは顧客確認（KYC）を否定する議論ではありません。それが何へ変質したかについての議論です。連鎖にいる誰もが、実施しない結果を恐れるため、慎重に業務を行います。そしてその恐れが、いつしか目的になりました。私は、このファイルはマネー・ローンダリングを止めるためというより、検査官が来たときに、保有組織が適切な質問をしたと証明するために存在するのだと考えるようになりました。
1人の顧客、3回または4回の確認
当社の典型的な顧客、すなわちエストニアの非公開有限会社（OÜ）と利用可能な口座を希望するドイツ、スペインまたはトルコ出身の創業者が、最初の数か月に経験することは次のとおりです。規則は同じEU指令に由来するため、ダブリンやリスボンでも流れはほぼ同じです。エストニアではe-residentのために独自の手順が追加されます。
- e-residentに対する国家。エストニアのデジタルIDを希望する創業者はe-Residencyを申請し、カード発行前に警察・国境警備局が身元調査を行います。これは法的な意味でのAML確認ではなく別の法律に基づく審査ですが、同じパスポートと同じ目的説明を求め、申請者はそのための国家手数料を支払います。
- サービス提供者。当社は創業者の本人確認を行い、実質的支配者を特定し、制裁リストとPEPリストに照合します（PEPは政治的に影響力のある者であり、公職により贈収賄のリスクが生じる者です）。さらに事業内容と開始資金の出所を確認し、リスク水準を設定します。これは質問票、書類一式、通常はビデオ通話で構成されます。
- 公証人。エストニアのデジタルIDを持たない創業者は、代わりに公証人を通じて会社を設立します。公証人も同じ義務を負う別個の義務主体です。当社のファイルは公証人の事務所では効力を持たず、公証人が自ら顧客を確認し、所有者を確認します。
- 銀行または決済機関。口座を開設する銀行またはフィンテックは、それぞれ独自の様式、必要書類、面談を実施します。事業計画、想定取引量、主要な取引先、資金源を、再び確認します。当社の顧客の多くが必要とする第2口座では、同じ手続がさらに一度必要になります。
経路により、創業者はこのうち3回または4回を経験しますが、確認はそこで終わりません。顧客が当社の請求書を支払う際、当社の銀行が支払者と資金目的を尋ねることがあります。後にその会社を引き受ける会計士も義務主体です。そして、これらの組織はそれぞれ、関係終了後少なくとも5年間ファイルを保管し、最新の状態に保ち、個人データとして保護し、それに照らしてモニタリングしなければなりません。保有する内容について各者が個別に責任を負うからです。
各段階の費用は別々に支払われます。当社のような提供者は、質問票の確認、書類の督促、氏名照合、リスク評価の作成、その後何年にもわたるファイル管理のために人員を雇用しており、その業務は手数料で賄われます。公証人は時間に対して請求します。銀行は圧倒的に最大の支出者です。ある業界調査は、世界の金融セクター全体における金融犯罪コンプライアンスの費用を2022年に$270 billion超としました。各費用は別の予算に計上されるため、誰も合計しません。しかし顧客は手数料と国家手数料でそのすべてを支払っており、各段階のコンプライアンス担当者は前段階で判明した内容を見ません。EUの規則集の他の部分と同様、これは固定費です。銀行は吸収できますが、十数人のスタッフしかいない提供者には全額がのしかかります。
書式がファイルになった経緯
10年前にも確認はありましたが、それはファイルではなく書式でした。口座開設にはパスポート、署名、いくつかの質問が必要で、当社のような提供者は薄いファイルを保管していました。その後、スキャンダルが起きました。EUは2015年、さらに2018年にマネー・ローンダリング対策指令を書き換え、その都度、義務主体と義務を追加しました。エストニアは2017年に新しい国内法を導入し、2018年にはDanske Bankの報告書で、タリンの1支店を通過した非居住者資金が約€200 billionに上り、その多くが後に疑わしいと判断されたことが示されました。小国はロンダリングの代名詞となりました。
Danskeの問題は書式の不足ではありませんでした。同行は非居住者顧客のファイルを保有しながら、自らのモニタリングが示した内容を無視し、監督当局も1つの機関を十分に精査しませんでした。それでも対応は、全員により多くの書式を課すことでした。すべての銀行と監督者は、公の屈辱の後に組織が行うことをしました。より多くを尋ね、より多くを保管し、誰も信用しなくなったのです。私の経験では、この循環は一方向にしか進みません。監督者は防げなかったスキャンダルについて非難されますが、誠実な顧客1万人に記入させた質問票については非難されません。義務主体は空欄にした項目で罰金を科され、追加した項目で罰金を科されることはありません。ブリュッセルにもタリンにも簡素化プログラムはありますが、誰の検査もそれに依存しないため、質問は削除されるより速く蓄積します。
法律は共有を認めるが、実務では誰も共有しない
公平を期せば、本人確認はすでに共有されています。e-residentまたはエストニア居住者がデジタルIDでログインする際、すべての銀行や事業者は国が確認した本人確認に依拠しています。共有されていないのは、ファイル内のそれ以外すべて、すなわち所有者が誰か、事業内容、資金の出所です。法律もそれを認めています。現行のEU指令と、2027年7月から適用される新たなEU Anti-Money Laundering Regulationはいずれも、義務対象事業者が別の義務対象事業者によりすでに実施された顧客確認に依拠することを認めており、新たなEU当局AMLAはその方法に関するガイドラインを発行する予定です。では、なぜ銀行は当社の顧客にゼロから始めるよう求めるのでしょうか。
責任が依拠する側に残るからです。当社のファイルに誤りがあった場合、罰金を受けるのは銀行であり、銀行の監督者は、管理していない会社をなぜ信用したのかを当社ではなく銀行に尋ねます。他社の手続を評価するより、顧客に新しい書式を送るほうが費用が少ないため、各機関は同じ合理的選択をします。法律は紙の上では依拠を認め、実務ではそれを罰します。そして、この合理的な個別選択の総和が、表題の茶番です。ファイルはツールではなく製品になりました。その仕事は存在すること、完全であること、要求時に提出可能であることです。保有者が守られるためです。
会社設立を例にするのは私の仕事だからですが、この構図は経済全体に及びます。EUのどの都市でも不動産を売却すれば、不動産仲介業者、公証人、融資銀行、時には買主の貯蓄を送金する銀行にファイルが作られます。同一の取引で同じ2人について4件のファイルが作られ、どれも前のものを参照しません。エストニアの両替所で€1,000超を現金両替すれば、本人が特定・記録され、両替所は同様の数千件の記録とともに何年も保存します。会計士、監査人、弁護士、貴重品取引業者も同種のファイルを保有します。
ファイル内でリスクを低減するもの
市場全体の銀行と提供者が新会社から収集する標準ファイルは、私の見方では3群に分かれます。会社の悪用を困難にする部分、主に保有者が検査官を満足させるために存在する部分、純粋な儀式である部分です。この表は私自身の分類であり、法的分類ではありません。各行の基準は単純です。この情報に基づき、誰かが実際に行動するでしょうか。
| 標準ファイルの要素 | その役割 |
|---|---|
| 書類との照合およびライブまたはビデオ確認による本人確認 | リスクを低減します。実在する人物が会社に結び付けられます。 |
| 実質的支配者を特定し、登記所と照合 | リスクを低減します。隠れた所有関係はロンダラーが最も必要とするものです。 |
| 資金源書類：契約書、明細書、売買証書 | 誰かが読めばリスクを低減します。資金が合法であるという署名付き宣誓は、書類に何も加えません。 |
| 事業の簡明な説明：誰が誰に、何のために支払うか | 保有者がそれに照らして取引をモニタリングする場合、リスクを低減します。銀行は行います。公証人や設立代行者は取引を見ないのに、同じ説明を収集します。 |
| 制裁およびPEPスクリーニング | リスクを低減し、ソフトウェアが行うため低コストです。 |
| まだ存在しない会社について、千単位までの予想年間売上高 | モニタリングの基準として銀行には有用です。他のすべてのファイル保有者にとっては、二度と見られない数字です。 |
| 顧客がPEPではなく、自身のために行動しているという自己申告 | 主に検査官のためです。虚偽の場合に責任を顧客へ移しますが、何も検知しません。 |
| 各機関が同じ一式を再収集 | 前述のとおり検査官のためです。各写しは保有者を守りますが、2つ目の写しはシステムを守りません。 |
| 何も変わっていない場合の、1年または2年ごとの完全な定期re-KYC | 検査官のためです。カレンダーに従ったことを証明します。 |
表から2つのことが分かります。第一に、ファイルが価値を生むのは、その後に誰かがそれに照らしてモニタリングする場合だけであり、上記の連鎖では銀行だけです。第二に、長さは中間群から生じます。検査官は当社が顧客を理解したかどうかは見られませんが、項目14が記入されたかは見られます。そのため項目は追加され、ほとんど削除されません。
数字が示すこと
私がエストニアの数値を用いるのは、最もよく知っている数値であり、Financial Intelligence Unitが年報を公表しているためです。2024年、同機関は義務対象事業者から14,185件の報告を受けました。捜査当局には分析済み情報を133件送付し、さらに約1,700件の情報提供を行いました。また、捜査当局は同機関が凍結した資産のうち€5.7 millionを差し押さえました。国家リスク評価によると、同機関の分析済み情報送付は2024年に10件の新たな刑事手続につながり、2024年までの5年間でエストニアの裁判所はマネー・ローンダリング事件で32件の判決を言い渡しました。
次に反対側です。エストニアでは毎年25,000件超の新しい非公開有限会社が登録され、登記所には全種別で約370,000の法人があり、e-Residencyプログラムは134,000人超のe-residentを数えます。新会社、口座、デジタルIDのいずれも、少なくとも1件、通常は複数の完全なKYCファイルを意味します。あくまで私の概算であることを強調しますが、エストニアの義務主体は年間に10万件を大きく超えるKYCファイルを作成し、システム全体ではそれが10件の刑事手続と数百万ユーロの差押えになります。1万人に1人の顧客に犯罪意図があると仮定します。他の9,999人はその1人を見つけるために3回または4回の確認を受けますが、上記の数字は通常その1人すら見つからないことを示しています。
もっともな反論は二つあり、ここで明示しておきます。一つは抑止効果です。質問されると分かっているため申請すらしない犯罪者は、どの統計にも現れません。それは事実であり、だからこそ誰もそれを立証する必要がなかったのです。もう一つは規模です。一つの資金洗浄スキームが1,000社の健全な企業の収益を上回る資金を動かすことがあり、書類がDanskeを止めていれば、その費用は何倍にも回収できたはずです。しかし書類はDanskeを止めず、FIUが年報で説明する有罪判決は質問票ではなく、疑わしい取引の報告から始まりました。オンボーディングファイルは資金が費やされる場所であり、モニタリングは成果が生まれる場所です。国際的な証拠も同じ方向を示しています。Europolは2016年、EUにおける犯罪収益のうち没収されるのは約1%にすぎないと推計しました。また、コストと回収額を比較しようとした研究者ロナルド・ポルは、コンプライアンス費用が回収資金を100倍以上上回ると結論付けました。エストニアでは、監督当局が運用する制度について、そのような比較を公表したことはありません。
私はこの均衡が改善するとは考えません。新しいEU規則集は、欧州の監督者、現金支払いに対するEU全域の€10,000上限、クラウドファンディング・プラットフォームからサッカークラブまで複数の新しい義務主体区分を追加します。新しい区分ごとに、さらに引き出しが一つ増えます。将来のスキャンダルごとに項目が追加されます。項目を追加することが、機関が学んだことを示す方法だからです。そして単一の欧州規則集は、無益だと気付いた国会が規則に書かれた質問を削除できないため、後退をより難しくします。
なぜ誰も公言しないのか
これを比較衡量することは流行していません。公の場でマネー・ローンダリングについて安全な立場は、より多くです。より多くの確認、より多くの報告、より強い熱意です。前回の規則強化が何かを達成したか尋ねる者は、犯罪者への規則を減らしたい者と受け取られる危険があります。そのため、私の経験では私的には多くの疑問を共有するコンプライアンス担当者や弁護士も、それを私的な場に留めます。マネー・ローンダリングとの闘いは政策というより大義となり、大義に費用便益の数字が問われることはめったにありません。
誰も比較衡量しなければ進む先を考えると、これは率直に言う価値があります。世界で最も厳格なプライバシー法を書いた欧州は、同時に何百万もの民間事業者に、顧客のファイルを何年も保管し、疑いがあれば国家へ報告し、ファイルが不十分なら責任を負わせています。これらのファイルはすべて、犯罪を止めるという善意で開かれました。まとめれば、誰が何を所有し、誰が誰に支払ったかの常設記録になり、まず検査官に応じる引き出しに保管されています。誰かがこれを設計したとは思いません。また、それが何のためかを誰かが問わずに増え続けるべきだとも思いません。
私が変えたいこと
この大半には新法は不要で、既存法をどう適用するかについて異なる判断が必要なだけです。最初の点は例外です。
- 顧客が携行する、1件の確認済みファイル。誰かが一度だけ本人確認を行い、認可、保険、監査を裏付けとしてその確認に責任を負えば、それに依拠する機関は誤りがあっても罰せられません。その確認者は銀行、公証人、認可済み提供者、またはデジタルIDに基づく国家サービスであり得ます。重要なのは責任の所在です。現在の国内・EU規則はいずれも依拠する者に責任を負わせているため、誰も依拠しません。これを変えるには立法者が必要であり、AMLAが今後発行する依拠に関するガイドラインは、議論を始める自然な場です。
- 書式ではなく成果を監督する。検査は、すべての書式のすべての項目が記入されたかではなく、企業のモニタリングが何を生み、報告がどこへ送られたかを問うべきです。
- 会社に適合する書式。創業者1人で売上のない新会社に必要なのは20ページではなく2ページです。法律が高リスク顧客に限定する強化質問とより深い確認は、活動が始まり、調査すべき対象がある時点で行うべきです。
- カレンダーではなく変更時のre-KYC。新しい所有者、新しい国、または新しい事業分野は再確認の理由です。2年の経過は理由ではありません。
- 国家がすでに保有するデータを使う。既存会社については、エストニア商業登記所（Äriregister）が所有者、取締役会、年次報告書を保有しています。義務主体は、顧客に再入力させる代わりに登記所から取得すべきです。エストニア最高裁判所は2026年1月、金融情報機関がすべての認可済みサービス提供者に送った44問の書式を違法と判断した際、国家はまず自らが保有するデータを使用すべきだとして、監督者自身にも同じ論理を適用しました。
茶番なしに確認を通過する
Eesti Firmaでは、法律と当社自身のリスク評価で必要とされるものを求め、各書類が重要な理由を説明します。また、銀行や決済機関に書き直しなく提出できる書類と回答の一式を最初に作るお手伝いもします。私の経験では、オンボーディングを短く保つのは短い質問票ではなく、尋ねるすべての相手に対して同じ方法で説明された事業だからです。自ら義務主体となる会社には、法律が求める方針および手続を起草します。これは、認めますが、同じ茶番の一部です。当社が違いを作れるのは、単に完全なだけでなく実際に使えるように作成することです。会社を設立し、送付書類を実際に読む人々にコンプライアンス部分を任せたい場合は、会社設立と、その後に続くすべてをお手伝いできます。
