コトラ（広報チーム） 
金融機関では、融資判断、金融商品の価格評価、市場リスク計測、不正検知、マネー・ローンダリング対策など、多くの業務でモデルが使われています。モデルは業務の高度化や迅速な意思決定に役立つ一方、前提やデータが実態に合わなくなった場合、誤った判断につながるおそれがあります。
こうしたリスクを抑え、モデルを適切に活用し続けるための仕組みがモデルリスク管理です。本記事では、金融庁が2021年に公表した「モデル・リスク管理に関する原則」および2024年のプログレスレポートを踏まえ、管理の対象、体制づくり、導入手順を解説します。
モデルリスク管理の基本と重要性
モデルリスク管理とは何か
モデルリスク管理とは、モデルの誤りや不適切な利用によって、金融機関の意思決定に悪影響が生じるリスクを把握し、低減するための管理活動です。
金融庁の原則では、モデルを、理論や仮定に基づいて入力データを処理し、推定値、予測値、スコア、分類などの出力を得る定量的な手法として捉えています。複雑な統計モデルやAIだけでなく、一定の条件や仮定に基づいて判断結果を出す仕組みも、状況によっては管理対象になり得ます。
モデルリスク管理は、モデルを開発する段階だけの確認ではありません。対象の特定、重要度の評価、開発、承認、使用後の監視、変更、再検証、使用停止まで、モデルの一生を通じて管理する考え方です。
モデルの誤りや使い方がもたらすリスク
モデルリスクは、大きく分けると、モデル自体に問題がある場合と、正しく作られたモデルが不適切に使われる場合に生じます。
例えば、過去データの偏り、誤った仮定、不十分な検証、計算上の誤りなどがあれば、モデルの出力が実態から外れる可能性があります。また、開発当時とは市場環境や顧客行動が変化しているにもかかわらず、同じモデルを使い続けることもリスクです。
さらに、モデルの想定した目的や利用範囲を超えて利用すること、利用者がモデルの限界を理解しないまま結果を判断材料とすることも問題となります。こうした事態は、損失の発生だけでなく、法令違反、顧客への不利益、レピュテーションの低下、経営判断の誤りにつながるおそれがあります。
金融機関でモデル管理が重要になる背景
金融機関では、従来から信用リスク、市場リスク、時価評価、ストレステストなどで数理モデルが活用されてきました。近年は、金融犯罪対策、顧客分析、営業支援、気候変動リスク、業務効率化など、モデルを使う領域が広がっています。
金融庁は2021年11月に「モデル・リスク管理に関する原則」を公表しました。原則の主な対象は、本邦のグローバルなシステム上重要な銀行、国内のシステム上重要な銀行および一定の海外金融機関の本邦子会社ですが、対象外の金融機関においても、原則を自主的に活用する動きが見られます。
2024年12月に金融庁が公表したプログレスレポートでは、対象金融機関において体制整備と実務運営が進んでいる一方、子会社や海外拠点を含むグループ全体での管理、継続的な管理を担う人材・リソースの確保、AIモデルの管理などが課題として示されました。
AI・機械学習の活用拡大による新たな課題
AIや機械学習は、大量のデータからパターンを見つけ、予測や分類を行うことに長けています。そのため、与信審査、不正検知、顧客対応、取引監視などへの活用が進んでいます。
一方で、AIモデルでは、従来のモデル以上にデータの偏り、説明の難しさ、環境変化による性能低下などに注意が必要です。生成AIを利用する場合は、事実と異なる情報をもっともらしく出力する問題、入力情報の取り扱い、外部サービスへの依存といった論点も加わります。
金融庁のプログレスレポートでも、AIモデルをモデル台帳に登録し始めた金融機関がある一方、第2線による検証方法やライフサイクル管理は継続的な検討課題とされています。AIを特別な技術として別管理にするだけでなく、既存のモデルリスク管理とAIガバナンスをどのように連携させるかが重要です。
管理対象となるモデルの範囲
モデルに該当するものをどう見分けるか
モデルの対象範囲を狭く捉えすぎると、重要なリスクを管理から漏らすおそれがあります。一方、すべての計算やシステム機能を同じ水準で管理しようとすると、現場の負荷が過大になります。
対象を見分ける際は、まず、入力データを理論、仮定、ルール、推計手法などにより処理し、予測、推定、スコア、分類といった結果を出しているかを確認します。次に、その出力がどのような意思決定に使われ、誤った場合にどの程度の影響があるかを評価します。
特に、直接観測できない将来の値やリスクを推定するもの、設定した仮定や条件により結果が大きく変わるものは、モデルとして扱う必要性が高いと考えられます。
与信・市場リスク・不正検知で使われるモデルの例
金融機関で使われる代表的なモデルには、次のようなものがあります。
- 与信先の信用力や債務不履行の可能性を推定する信用リスクモデル
- 金利、為替、株価などの変動による損失可能性を測定する市場リスクモデル
- 金融商品の価格や公正価値を推定するプライシングモデル
- 厳しい経済環境を想定して財務への影響を分析するストレステストモデル
- 不審な取引や不正利用の可能性を検知する取引監視・不正検知モデル
- マネー・ローンダリング対策において取引や顧客のリスクを評価するモデル
これらは、誤った出力が損失、規制対応、顧客保護に影響し得るため、重要度に応じた管理が求められます。
AI・生成AIを活用したモデルの扱い
AIや機械学習を用いる仕組みも、モデルの定義に当てはまる場合は、原則としてモデルリスク管理の対象候補です。特に、与信判断、不正検知、取引監視、顧客の分類など、結果が重要な業務判断に使われる場合は、対象から漏らさないことが必要です。
生成AIについては、利用目的を区分して考えることが重要です。例えば、社内文書の検索支援や議事録作成と、顧客への回答、与信・投資判断の補助では、誤出力がもたらす影響が異なります。
生成AIを利用する場合には、出力の正確性だけでなく、利用者による最終確認、参照情報との整合性、入力情報の管理、アクセス権限、利用記録、障害時の対応などをあわせて設計する必要があります。
外部ベンダーやグループ会社が提供するモデルの扱い
外部から導入したモデルであっても、利用する金融機関の責任がなくなるわけではありません。モデルの仕組みがすべて開示されない場合でも、入手可能な情報に基づき、用途、前提、制約、性能、変更履歴、サポート体制を確認する必要があります。
金融庁の原則でも、ベンダーモデルや外部リソースを活用する場合に適切な統制を行うことが求められています。導入前の確認だけでなく、提供元による仕様変更、保守終了、データや外部サービスへの依存などにも備える必要があります。
グループ会社が開発・利用するモデルについても、グループ全体での管理方針、最低限そろえる台帳項目、重要モデルの報告経路を定めることが重要です。子会社や海外拠点を一律に管理するのではなく、共通の基準と各社の実情を両立させる運用が求められます。
対象を漏れなく把握するための棚卸し
モデルリスク管理の出発点は、モデルの棚卸しです。リスク管理部門だけで調査すると、営業、事務、コンプライアンス、システム、子会社などで使われるモデルを見落としやすくなります。
棚卸しでは、業務部門への質問票配布だけで終わらせず、主要業務の流れ、利用システム、外部委託、表計算ファイル、AI利用の申請記録などを横断的に確認します。必要に応じて、現場への聞き取りや業務の確認を行い、モデル候補を具体的に洗い出します。
そのうえで、モデルに該当するかという機能面の判断と、業務への影響度という重要性の判断を分けて行うことが有効です。モデルに該当するものは台帳に登録し、重要度に応じて管理の深さと対応の順番を決めます。
金融機関に求められるモデルリスク管理の考え方
当局の原則と近年のレポートが示す方向性
金融庁の「モデル・リスク管理に関する原則」は、細かな手続きを一律に定めるルールベースのものではなく、各金融機関の規模、特性、リスクの状況に応じて管理態勢を整える原則ベースの考え方です。
原則では、ガバナンス、モデルの特定・台帳管理・リスク格付、モデル開発、承認、継続的な監視、独立検証、ベンダーモデル・外部リソースの管理、内部監査という8つの領域が示されています。
2024年のプログレスレポートでは、各金融機関の取組状況を整理するとともに、グループ・グローバルでの一貫した管理、必要な人材・リソースの確保、AIモデルのガバナンスを今後の課題として挙げています。形式的な規程整備ではなく、実際に管理が機能しているかを重視する方向性といえます。
リスクに応じて管理の強さを変える考え方
すべてのモデルに対して、同じ頻度、同じ深さで検証を実施することは現実的ではありません。そのため、モデルのリスクに応じて管理の強さを変えるリスクベース・アプローチが必要です。
重要度の評価では、財務への影響、顧客への影響、法令・規制との関係、経営判断への影響、モデルの複雑さ、データの不確実性、代替手段の有無などを考慮します。
例えば、規制報告や重要な与信判断に使うモデルは、より厳格な承認、独立検証、監視頻度が求められます。一方、影響が限定的なモデルは、必要な記録や基本的な確認を行いつつ、過度な管理負荷を避けることが考えられます。
経営層から現場までの責任分担
モデルリスク管理は、リスク管理部門だけで完結するものではありません。取締役会等と上級管理職は、モデルリスクを包括的に管理する方針、体制、リソースを整備し、重要なリスクや課題について報告を受ける責任を担います。
現場のモデルオーナーや利用部門は、自らが使うモデルの目的、前提、限界を理解し、利用状況や性能の変化を把握する役割を持ちます。モデルの問題を早期に把握し、必要に応じて使用制限、見直し、報告を行うことが重要です。
管理部門は、全社的な基準を整え、モデルの特定、重要度分類、独立検証、課題管理、経営報告を担います。責任分担を文書化し、実務上の連携方法まで定めることが欠かせません。
3線管理における第1線・第2線・第3線の役割
モデルリスク管理では、実効的なけん制を確保するため、3線管理の考え方が用いられます。
- 第1線は、モデルの開発、使用、日常的な監視を担う部門です。モデルの目的、前提、限界を把握し、性能低下や利用環境の変化を継続的に確認します。
- 第2線は、モデルリスク管理の方針や基準を整備し、モデル台帳の管理、重要度の評価、独立した立場からの検証、全社的なリスクの把握を担います。
- 第3線は、内部監査部門です。第1線と第2線による管理が適切に機能しているか、モデルリスク管理態勢全体の有効性を評価します。
組織規模によっては、各線を完全に分離することが難しい場合もあります。その場合でも、開発者や利用者だけで検証を完結させないこと、検証結果を別の立場から評価することなど、実質的な独立性を確保する必要があります。
モデルのライフサイクル全体を管理する重要性
モデルには、開発して導入した後も、利用環境の変化やデータの変化により性能が低下する可能性があります。そのため、導入時だけの確認では十分ではありません。
モデルのライフサイクルは、一般に、特定、重要度評価、開発、テスト、承認、導入、継続的な監視、変更、再検証、使用停止という流れで整理されます。各段階で、誰が何を確認し、どの記録を残し、誰が承認するかを明確にします。
特に、重要な変更があった場合や、性能低下の兆候が見られた場合には、変更内容に応じた検証と承認を実施する必要があります。使用を停止したモデルについても、停止理由や代替手段を記録しておくことが望まれます。
モデルリスク管理態勢を支える主要な仕組み
モデル台帳で対象・用途・責任者を一元管理する
モデル台帳は、どの部門がどのようなモデルを使っているかを可視化する基盤です。モデル・インベントリーとも呼ばれます。
台帳には、少なくともモデル名、利用部門、モデルオーナー、用途、対象業務、入力データ、出力、開発方法、提供元、導入日、重要度、最終検証日、次回確認予定日、変更履歴などを記録します。
重要な点は、台帳を単なる一覧表で終わらせないことです。台帳をもとに、検証期限、監視状況、未解決の課題、承認状況を把握できるようにし、経営層や関係部門への報告につなげます。
重要度分類で優先順位と管理水準を決める
重要度分類は、限られた人材と時間を、リスクの高いモデルに優先的に配分するための仕組みです。分類基準が曖昧だと、部門ごとに判断がばらつき、運用への納得感も得にくくなります。
評価項目には、利用目的の重要性、財務影響、顧客影響、規制・コンプライアンスへの影響、モデルの複雑さ、データ品質、開発・変更の頻度、外部依存の程度などを設定します。
分類結果に応じて、求める文書の水準、承認者、独立検証の深さ、再検証の頻度、経営報告の対象を定めます。機械的な点数だけで決めず、必要に応じて専門家の判断を加えることも重要です。
開発時に必要な記録と承認の仕組み
モデル開発では、後から第三者が確認できるよう、開発の考え方と根拠を記録する必要があります。記録が不十分だと、担当者の異動や退職後に、前提や限界を理解できなくなるおそれがあります。
モデル記述書には、利用目的、対象範囲、理論的な考え方、主要な仮定、入力データ、データ品質の確認方法、計算方法、出力、利用上の制約、性能評価の方法、監視項目などを整理します。
導入前には、重要度に応じた承認を行います。承認では、モデルの妥当性だけでなく、検証結果、未解決の課題、利用条件、障害時の代替策などを確認し、残るリスクを関係者が理解したうえで使用開始を判断します。
独立した立場で行うモデル検証
独立検証とは、モデルの開発者や日常的な利用者とは異なる立場の者が、モデルの妥当性を確認することです。第2線による重要なけん制機能として位置付けられます。
検証では、理論や仮定が目的に合っているか、データが適切か、実装に誤りがないか、性能が十分か、モデルの限界が適切に説明されているかなどを確認します。必要に応じて、別の計算方法との比較、過去データとの照合、感度分析、厳しい条件を置いた検証などを行います。
金融庁の原則では、正式な使用開始前、重要な変更時、使用開始後の再検証において、独立検証を実施することが示されています。検証で課題が見つかった場合は、改善期限、責任者、代替的な管理策を明確にし、対応状況を追跡します。
継続的な性能確認と変更管理
モデルは、使用開始後に性能が維持されているかを継続的に確認する必要があります。市場環境、顧客属性、取引パターン、制度、データ収集方法などが変化すれば、開発時には有効だったモデルが実態に合わなくなることがあります。
監視項目は、モデルの種類や目的に応じて定めます。例えば、予測精度、誤検知や見逃しの割合、入力データの分布変化、利用件数、例外的な利用状況などが考えられます。
変更管理では、モデル本体の改修だけでなく、入力データ、パラメータ、利用範囲、システム環境、外部提供元の仕様変更も対象に含めます。変更の重要性を判断し、必要な再検証と承認を実施する仕組みを整えます。
導入時に直面しやすい課題と対応策
対象範囲が広がり、モデルを把握しきれない課題
従来はリスク管理部門が所管する数理モデルを中心に管理していた金融機関でも、原則に沿って対象を広げると、営業、コンプライアンス、事務、システム、子会社などに多くのモデル候補が見つかります。
対応としては、最初から全社のすべてを詳細に調べようとせず、影響が大きい業務領域や主要な子会社から段階的に棚卸しを進めます。質問票、システム一覧、外部委託一覧、AI利用申請、業務ヒアリングを組み合わせ、見落としを減らします。
また、モデル該当性の判断基準を示し、現場が自己判断できるようにすることも有効です。判断が難しい案件は、第2線が最終判断する運用を整えます。
現業部門と管理部門の役割分担が曖昧になる課題
第1線は、モデルリスク管理を第2線の業務と受け止め、管理部門に任せきりになることがあります。一方、第2線は現場の業務やモデルの利用実態を十分に理解できず、実務に合わない統制を求めてしまう場合があります。
この課題に対しては、モデルオーナー、開発者、利用者、第2線の役割を具体的に定めることが必要です。例えば、第1線は日常監視と問題の一次対応を担い、第2線は独立検証と全社的な基準管理を担う、といった整理が考えられます。
規程を整えるだけでなく、定例会議、モデル台帳の更新手続、課題共有の窓口、検証計画の調整方法など、日常的な連携の仕組みを設けることが実効性を高めます。
数理・データ・業務を理解する人材が不足する課題
モデルリスク管理には、数理、データ、システム、業務、規制の理解が求められます。AIや機械学習、生成AIまで対象が広がる中、すべてを理解できる人材を十分に確保することは容易ではありません。
人材不足への対応では、重要度に応じて専門人材を集中させることが基本です。高リスクのモデルには専門的な検証を行い、低リスクのモデルには標準化した確認手続を適用するなど、管理の強弱をつけます。
加えて、第1線向けの研修、モデル記述書のひな型、検証観点のチェックリスト、過去の事例共有を通じて、組織全体の基礎的な理解を高めます。必要に応じて外部専門家を活用しつつ、判断や責任を内部に残すことが重要です。
子会社・委託先・ベンダーモデルを管理しにくい課題
グループ内では、会社ごとに業務、システム、管理成熟度が異なるため、親会社と同じ方法をそのまま適用できないことがあります。また、ベンダーモデルは仕組みの詳細が開示されず、十分な検証が難しい場合があります。
対応としては、グループ共通の最低基準を定めたうえで、重要度に応じた段階的な適用を行います。最低基準には、台帳への登録、責任者の明確化、重要度評価、変更情報の把握、問題発生時の報告などを含めます。
外部モデルについては、導入前の確認、契約上の情報提供、定期的な性能確認、サポート終了時の対応、代替手段の検討を行います。詳細な内部構造を把握できない場合でも、入力と出力の挙動、利用条件、実績データなどから、利用上のリスクを評価します。
管理負荷を抑えながら実効性を高める方法
管理負荷を抑えるためには、モデルごとに個別の書式や手続きを作るのではなく、台帳、重要度分類、モデル記述書、検証報告書、変更申請などを標準化することが有効です。
また、台帳と検証期限、承認状況、課題管理を連携させることで、手作業による確認漏れを減らせます。定期報告の内容も、経営層向けと実務担当者向けに分け、必要な情報を見やすく整理します。
ただし、効率化のために記録や検証を形だけにしてはいけません。重要なモデルについては、現場の利用実態、問題発生時の対応、検証結果に基づく改善が実際に機能しているかを確認する必要があります。
モデルリスク管理を導入する進め方
現状のモデル利用状況と管理体制を確認する
導入の第一歩は、現在どのようなモデルが、どの部門で、どの目的に使われているかを把握することです。同時に、既存の開発手続、承認手続、性能確認、内部監査、外部委託管理などを確認します。
この段階では、モデルの数だけでなく、重要な判断に使われているか、規制対応に関係するか、外部提供モデルか、AIを利用しているかといった観点を整理します。既存の管理策と金融庁の原則に照らし、足りない部分を把握します。
管理方針と対象範囲を定める
現状把握の後は、モデルリスク管理の目的、適用範囲、組織体制、役割分担、重要度分類の方針を定めます。方針には、モデルの定義、対象外とする場合の考え方、台帳の管理責任、検証の独立性、報告先などを明記します。
対象範囲は、初年度から全モデルに同じ水準の管理を適用する必要はありません。まずは経営、財務、規制対応、顧客保護に大きく影響するモデルを優先し、計画的に範囲を広げる方法が現実的です。
グループ会社や外部委託先を含める場合は、共通基準と各社の役割、情報連携の方法も方針に盛り込みます。
モデル台帳の整備と重要度分類から着手する
実務上は、モデル台帳の整備と重要度分類から着手すると、その後の検証計画やリソース配分を進めやすくなります。台帳の項目は、最初から過度に細かくしすぎず、継続的に更新できる水準にします。
重要度分類では、評価の基準と判断者を明確にし、複数部門で認識をすり合わせます。分類結果に応じて、どのモデルからモデル記述書の整備、独立検証、継続監視を進めるかを決めます。
この段階で、第1線の現場に対して、なぜ台帳登録や情報提供が必要なのかを説明することも重要です。モデルリスク管理を単なる事務負担ではなく、適切なモデル活用を支える仕組みとして位置付けます。
検証・監視・報告の手順を段階的に整える
台帳と重要度分類を整えた後は、高リスクのモデルから、開発記録、承認、独立検証、継続監視、変更管理の手順を具体化します。
まずは、導入前の検証、定期的な再検証、性能低下時の対応、重要変更時の承認といった基本的な流れを定めます。その後、モデルの種類に応じて、精度検証、データ品質確認、感度分析、厳しい条件を置いた検証などを追加します。
報告では、第2線が全社のモデル数、重要モデルの状況、検証の実施状況、期限超過、未解決課題、主要なリスクを取りまとめ、経営層に伝える仕組みを整えます。
経営層への報告と継続的な改善につなげる
モデルリスク管理は、一度規程や台帳を作れば完了するものではありません。新たなモデルの導入、AI活用の拡大、組織再編、外部サービスの変更などに応じて、対象と管理方法を見直す必要があります。
経営層には、重要モデルのリスク、未解決課題、必要な人材・予算、グループ全体の進捗を定期的に報告します。経営層がリスクを理解し、優先順位やリソース配分を判断できる状態をつくることが重要です。
金融庁のプログレスレポートが示すように、モデルリスク管理の高度化は継続的な取組です。台帳整備と重要度分類を基礎に、検証、監視、変更管理、内部監査を段階的に充実させることで、モデル活用と健全なリスク管理を両立しやすくなります。
