本人確認（KYC）とは？意味・プロセス・要件
本人確認（KYC）とは何か。書類の確認から継続的なモニタリングまでプロセスの進み方と、FATFと東南アジアの規制当局が求めることを解説します。
本人確認（KYC）とは、規制対象の事業者が、顧客が名乗っているとおりの人物であることを確かめ、その顧客がもたらすリスクを把握するために行う一連の確認です。身元に関するデータを集め、信頼できる独立した情報源と照合して検証し、最新の状態に保つことを意味します。金融活動作業部会（FATF）の基準が土台を定め、詳細な規則は各国が定めます。
本記事が扱うのは事業者側の義務であり、顧客が特定のアプリでKYCをどう済ませるかではありません。例はフィリピン、マレーシア、シンガポールを中心に取り上げ、インドネシア、ベトナム、タイは表に示します。規則は国ごとのものであり、どの一国のやり方も地域の標準とは読めません。
KYCの意味
KYCはKnow Your Customer（顧客を知る）の略です。顧客を特定し、その顧客がもたらすリスクを把握する義務であり、マネー・ローンダリング対策（AML）の枠組みの一部をなします。FATFがこれらの措置に用いる言葉は顧客管理（CDD）です。「KYC」という言葉は本人の特定と検証の部分を指して使われることが多く、一般的な用法では確認の全体を指します。本記事では全体を指すものとして使います。
FATF基準は、信頼できる独立した情報源の書類、データまたは情報を用いて顧客を特定し検証することを求めており、各国はこれを自国のマネー・ローンダリング及びテロ資金供与対策（AML/CFT）の規則に落とし込みます。事業者を拘束するのはFATF基準そのものではなく、こうした各国の規則です。
KYCの4つの中核要素（FATF勧告10）
FATF勧告10は、4つの顧客管理措置を定めています。
- 顧客を特定し、信頼できる独立した情報源の書類、データまたは情報を用いて顧客の本人性を検証する。
- 顧客を最終的に所有または支配する自然人である実質的支配者を特定し、その本人性を検証するために合理的な措置をとる。
- 取引関係の目的と想定される性質を理解し、必要に応じてその情報を入手する。
- 取引関係の全期間を通じて継続的な顧客管理と取引の精査を行い、必要な場合には資金の出所も確認する。
FATF基準は、取引関係を設定するとき、一定の一回限りの取引のとき、マネー・ローンダリングまたはテロ資金供与の疑いがあるとき、そして以前に得た本人特定データに疑いが生じたときに、これらの措置をとることを求めています。KYCを3つの要素として説明する解説もありますが、FATFの基準が定める措置は4つです。
KYCのプロセスの進み方
以下の手順はFATFの4つの措置に沿い、これにスクリーニング、リスク評価、そして判断を加えたものです。順序と細かさは事業者と国によって異なります。
- 身元データの収集。事業者は顧客の身元データを収集します。規則が挙げる項目は国によって異なり、後掲のデータ表のとおりです。
- 本人性の検証。データは信頼できる独立した書類、データまたは情報と照合されます。対面でも非対面でも行えます。たとえばシンガポールでは、シンガポール金融管理局（MAS）がMyinfoを信頼できる独立した情報源として扱っており、フィリピンではフィリピン中央銀行（Bangko Sentral ng Pilipinas、BSP）がフィリピン国民識別システム（PhilSys）を同じように扱っています。FATF基準は取引関係の設定前または設定時の検証を求めていますが、リスクが実効的に管理され、通常の業務を中断しないことが不可欠である場合には、各国はその後合理的に実行可能な限り速やかに検証を完了することを認めることができます。
- 実質的支配者の特定。該当する場合、事業者は顧客の背後にいる自然人を特定し、その本人性を検証するために合理的な措置をとります。FATF基準は法人の実質的支配についても定めています（勧告24）。
- 目的の把握。事業者は、顧客がなぜその取引関係を求めるのか、その関係が何を想定したものなのかを確かめます。マレーシアとインドネシアの規則は、入手すべき情報のひとつとして目的を挙げています。
- スクリーニング。各国の規則では、制裁リスト照合と重要な公的地位を有する者（PEP）の照合は通常、顧客管理の一部です。FATF基準は勧告12でPEPを扱っています。
- リスクの評価。評価によって確認の深さが決まります。簡素な顧客管理、通常の顧客管理、厳格な顧客管理のいずれかであり、次の節で扱います。
- 判断。事業者は顧客を受け入れるか、上位者に上げるか、謝絶します。顧客管理を完了できない場合、FATF基準は、口座を開設せず取引関係を開始しない、あるいは既存の関係を終了し、疑わしい取引の届出（STR）を検討すべきだとしています。
- モニタリングと更新。継続的な顧客管理には、取引の精査と、見直しによってデータを最新に保つことが含まれ、とくにリスクの高い顧客について求められます。FATF基準は、重要性とリスクに応じて既存顧客にも顧客管理を行うことを求めています。
リスクベースのKYC：簡素・通常・厳格な顧客管理
FATF基準は、顧客管理の範囲をリスクベース・アプローチに従わせることを求めており、確認の深さは顧客のリスクによって変わります。FATFの解釈ノートに挙げられた例は手引きであって、必須の要素ではありません。
| 区分 | 適用される場面 | 典型的な措置（FATFの例） | 各国の例 |
|---|---|---|---|
| 簡素 | リスクが低く、十分に分析されている場合。疑いがある場合や特定の高リスクの場面には適用しない | 取引関係の開始後に本人性を検証する、データの更新頻度を下げる、モニタリングを減らす、といった例がある | マレーシア中央銀行（Bank Negara Malaysia、BNM）の政策文書は、リスクが低いと評価される場合に簡素な顧客管理を認めていますが、高いリスクや疑いがある場合は除きます。インドネシア金融サービス庁（Otoritas Jasa Keuangan、OJK）の規則2023年第8号は、十分なリスク分析を経た場合にこれを認めています |
| 通常 | 低リスクの要因も高リスクの要因も、異なる深さを示していない場合 | 上記の4つの顧客管理措置 | BNMの政策文書は、個人顧客に対する通常の顧客管理で入手すべきデータを挙げています（データ表を参照） |
| 厳格 | リスクが高い場合 | 顧客と取引関係に関するより多くの情報、資金の出所や資産の形成経緯および取引の理由に関する情報、上級管理職の承認、強化されたモニタリング、より頻繁なデータ更新といった例がある | OJKは、PEPを含む高リスク顧客に対するより踏み込んだ顧客管理として厳格な顧客管理（EDD）を定義しています |
FATFの例では、非対面の取引関係は、適切なリスク低減措置がとられていない場合に限って、高リスクとなりうる要因として挙げられています。したがって非対面のKYCが自動的に高リスクになるわけではありません。
KYCに必要な書類とデータ
具体的な項目は各国の規則と事業者自身のリスク評価から決まります。表に示すのは個人顧客の特定について規則が挙げるデータです。規則によって情報のまとめ方が違うため、各欄は同じ土俵の比較ではありません。たとえばMAS Notice 626は取引関係の目的を別の項で定めている一方、マレーシアとインドネシアの一覧はそれを含んでいます。したがって項目の数は、その国が求める量を示すものではありません。タイの規則の内容はここでは扱いません。
| 国（規則） | 個人顧客の特定について規則が挙げる情報 |
|---|---|
| シンガポール（MAS Notice 626、銀行向け） | 別名を含む氏名、固有の識別番号、居住地の住所、生年月日、国籍 |
| マレーシア（BNMの政策文書） | 氏名、国民登録身分証明書（NRIC）・旅券その他の公的書類の番号、居住地および郵送先の住所、生年月日、国籍、職業の種類、勤務先または事業の内容、連絡先電話番号、取引の目的 |
| インドネシア（OJK規則2023年第8号） | 別名を含む氏名、本人確認書類の番号、住所、出生地および生年月日、国籍、職業、勤務先の住所と電話番号、性別、婚姻状況、母親の旧姓、さらに実質的支配者、資金の出所、所得または純資産、取引関係の目的 |
| ベトナム（マネー・ローンダリング防止法） | 氏名、生年月日、国籍、職業または役職、電話番号、身分証明書・市民身分証明書・個人識別番号または旅券の番号（外国人居住者は発行日および発行地も）、居所 |
| フィリピン（BSPの規則） | 最低限の情報として氏名またはPhilSys番号、あるいはその両方。完全な一覧はここでは示しません |
法人の場合、プロセスは実質的支配者にも及びます。法人顧客の確認は法人確認（KYB）が扱う領域です。
東南アジアのKYC要件：各国の概観
表には各国の主な規範を挙げます。どの規則が存在するかを示すものであり、それぞれが何を求めるかを示すものではありません。
| 国 | 規制当局／資金情報機関（ここで名前を挙げるもの） | 主な規則（現行版） | 適用範囲と記載の限界 |
|---|---|---|---|
| フィリピン | フィリピン中央銀行（Bangko Sentral ng Pilipinas、BSP）、資金情報機関であるAnti-Money Laundering Council（AMLC） | 2001年マネー・ローンダリング防止法（Republic Act No. 9160）およびその改正。直近の改正はRepublic Act No. 11521（2021年）です。BSPの顧客管理規則はCircular No. 1170（2023年）により改正されています | BSPの規則はBSPの監督を受ける事業者に適用されます。完全なデータ一覧はここでは示しません |
| マレーシア | マレーシア中央銀行（Bank Negara Malaysia、BNM） | 金融機関向けのマネー・ローンダリング対策、テロ資金供与および拡散金融への対抗、ならびに対象を定めた金融制裁に関するBNMの政策文書（BNM/RH/PD 030-14）。2024年2月6日施行で、2020年1月1日施行の版に代わるものです | その適用範囲にある金融機関に適用されます。データ項目は通常の顧客管理における個人顧客向けです |
| シンガポール | MAS、資金情報機関であるSuspicious Transaction Reporting Office（STRO） | 銀行向けのMAS Notice 626（直近の改正は2025年6月30日）。ほかの金融機関には対応する通達があります | Notice 626は銀行に適用されます。ほかの通達の番号はここでは扱いません |
| インドネシア | インドネシア金融サービス庁（Otoritas Jasa Keuangan、OJK）、資金情報機関であるPPATK（Pusat Pelaporan dan Analisis Transaksi Keuangan） | 金融サービス分野におけるマネー・ローンダリング対策ならびにテロ資金供与および拡散金融への対抗に関するOJK規則2023年第8号 | 表題は非公式な英訳によります |
| ベトナム | ベトナム国家銀行（State Bank of Vietnam、SBV） | マネー・ローンダリング防止法第14/2022/QH15号。2026年12月1日施行で改正されています | 英語の表題は非公式なものです。改正の内容は確認していません |
| タイ | タイのマネー・ローンダリング対策当局であるAnti-Money Laundering Office（AMLO） | マネー・ローンダリング防止法 B.E. 2542（1999年）およびその改正、顧客管理に関する省令 B.E. 2563（2020年） | 規範の名称のみです。内容と施行日はここでは扱いません |
2026年10月30日に確認しました。規則は変わりますので、現行版は各規制当局にご確認ください。FATF基準は2026年6月改正版として引用しています。2026年10月26日から30日のFATF全体会合の結果は、本ページの確認時点では公表されていませんでした。ベトナムの法律は、法律データベースが収録する英訳にもとづいて記述しています。インドネシア、ベトナム、タイの表題は非公式な英訳です。
フィリピン。PhilSysはフィリピン国民識別システム法（Republic Act No. 11055）にもとづいて設けられました。BSPの規則はCircular No. 1170（2023年）による改正後、個人のPhilSysの記録を公的かつ十分な本人確認の手段として認めています。
マレーシア。BNMの政策文書は、取引関係の設定前または設定時に本人性を検証することを事業者に求めています。
シンガポール。MAS Notice 626は、信頼できる独立した情報源のデータ、書類または情報を用いて本人性を検証することを銀行に求めています。
本記事は情報提供のみを目的とするものであり、法務上または規制上の助言ではありません。
対面のKYCとeKYC
電子的な本人確認（eKYC）は、オンラインまたはモバイルの経路で同じ確認を行うもので、顧客管理の水準は経路によって変わりません。シンガポールでは、MAS Notice 626が、銀行の非対面の顧客管理を対面の顧客管理と少なくとも同程度に堅牢なものとすることを求めています。非対面の確認では通常、本人確認書類の真贋判定、生体情報の照合、ライブネス検知が用いられ、マレーシアのe-KYC政策文書はこれらを事業者が用いうる措置として挙げています。FATFが2020年に公表したデジタルIDに関するガイダンスは、あるデジタルIDが顧客管理に適しているかどうかを規制対象事業者が判断する助けになります。
KYCでよくある誤りとリスク
- KYCを一度きりの作業とみなす。FATF基準は、見直しによって顧客管理のデータを最新に保つことを、とくにリスクの高い顧客について求めています。
- すべての顧客に同じ確認を当てる。リスクベース・アプローチは、リスクが低いところでは簡素な措置を、高いところでは厳格な措置を求めます。
- 実質的支配者を見落とす。実質的支配者の特定はFATFの4つの措置のひとつであり、任意の追加作業ではありません。
- 非対面の顧客を既定で高リスクとみなす、あるいは顧客の層をまるごと切り捨てる。FATFは、顧客の層をまるごと切り捨てるデリスキングを自らの基準は想定しておらず、リスクベース・アプローチを求めるものだと述べています。
- 検証済みの本人性を正当な利用の証拠とみなす。シンガポールがFATFに報告した事例では、147人が自国のデジタルIDを犯罪組織に渡し、組織はそれを使って8つの銀行で276の口座を非対面で開設しました。
- 非対面の確認に対する攻撃を見落とす。2022年、欧州連合サイバーセキュリティ機関（ENISA）は、写真、映像の再生、3Dマスク、ディープフェイクによる攻撃を、リモートでの身元確認に対する主要な顔の提示攻撃（presentation attack）として挙げ、カメラを迂回する映像インジェクションは提示攻撃ではないと指摘しました。MASのガイダンスは、インターネット経由の申込みには、架空の申込みを何件も行いやすいことを含め、より大きなリスクがありうると述べています。
KYCは申込み時の一度きりの確認ではありません。リスクベースの顧客管理、すなわちFATFの4つの措置を顧客のリスクに応じた度合いで適用し、取引関係の間ずっと最新に保ち、各国の規則によって形づくられるものです。
収集するデータも根拠となる規範も国ごとに異なるため、ある市場で通用することを別の市場でも当然に前提とすることはできません。これらの手順にソフトウェアがどう対応するかを検討している方は、KYC確認ソフトウェアについてさらにお読みいただけます。
ここで取り上げた規則のいくつかは最近のものであるか、後の日付から施行される改正を受けています。依拠する前に、現行版を各規制当局にご確認ください。
よくある質問
