コトラ（広報チーム） 
CDDは、金融機関などが顧客の本人確認や取引目的の確認、リスク評価を行い、金融犯罪を防ぐための顧客管理です。口座開設や契約時だけで終わるものではなく、取引開始後も顧客情報や取引内容を確認し続ける点に特徴があります。
マネーロンダリングやテロ資金供与の手口は変化しており、事業者には顧客ごとのリスクに応じた対応が求められます。本記事では、CDDの意味、確認項目、運用方法、SDD・EDDとの違いを解説します。
CDDとは金融犯罪対策における顧客管理
CDDの正式名称と意味
CDDは、Customer Due Diligenceの略称で、日本語では「顧客管理」や「顧客に関する注意深い調査」と訳されます。
金融犯罪対策におけるCDDとは、顧客が本人であることを確認し、取引目的や資金の流れを把握したうえで、その顧客がマネーロンダリングやテロ資金供与に利用されるリスクを評価する一連の取り組みです。
単に身分証明書を確認するだけでは十分ではありません。顧客がどのような目的でサービスを利用するのか、申告内容と実際の取引に不自然な点がないかを継続的に確認することが重要です。
KYC・AML/CFTとの関係
CDDは、KYCやAML/CFTと密接に関係する考え方です。
KYCはKnow Your Customerの略で、「顧客を知るための確認」を指します。氏名、住所、生年月日、法人の所在地などを収集・確認し、取引相手が本人であることを確かめる取り組みです。
AMLはAnti-Money Launderingの略で、マネーロンダリング対策を指します。CFTはCountering the Financing of Terrorismの略で、テロ資金供与対策を意味します。AML/CFTは、資金洗浄やテロ資金供与を防止するための法令、社内ルール、監視、届出などを含む広い枠組みです。
一般的には、AML/CFTという大きな枠組みの中にKYCやCDDが位置づけられます。KYCが本人確認を中心とするのに対し、CDDは本人確認に加えて、顧客のリスク評価や継続的な取引確認まで含む点が特徴です。
半導体やデータ管理で使われるCDDとの違い
CDDという略語には、金融犯罪対策以外の意味もあります。半導体や電子回路の分野では、クロック信号を配分する装置を指す略語として使われる場合があります。また、データ管理の分野では、データ定義書やデータ辞書に関連する用語として使われることもあります。
ただし、金融・決済・暗号資産・不動産取引・コンプライアンスの文脈でCDDといえば、通常はCustomer Due Diligence、すなわち顧客管理を指します。前後の文脈から意味を判断することが必要です。
CDDが必要とされる事業者
CDDは、特に金融取引や高額取引を扱う事業者に求められます。日本では、犯罪収益移転防止法により、一定の事業者は取引時確認や疑わしい取引の届出などを行う必要があります。
代表的な対象には、銀行などの金融機関、証券会社、保険会社、資金移動業者、クレジットカード事業者、暗号資産交換業者などがあります。また、宅地建物取引業者、貴金属等取引業者、士業者なども、取引内容によっては確認義務の対象となります。
自社が法令上の特定事業者に当たらない場合でも、高額な取引、海外送金、法人との継続取引、紹介を介した取引などにリスクがある場合は、CDDの考え方を取引先管理に取り入れる意義があります。
CDDが求められる理由と関連するルール
マネーロンダリングやテロ資金供与を防ぐため
マネーロンダリングとは、犯罪で得た資金の出所を分かりにくくし、正当な資金であるように見せかける行為です。犯罪収益が複数の口座や取引を経由して移転されると、元の犯罪との関係を追跡しにくくなります。
テロ資金供与は、テロ行為やテロ組織の活動に必要な資金を提供・移転する行為です。資金の額が大きいとは限らず、通常の送金や決済に見える取引が悪用される可能性もあります。
CDDによって顧客の本人確認、取引目的、資金の出所、取引パターンを把握することで、不自然な取引を早期に発見しやすくなります。金融システムや取引サービスが犯罪に利用されることを防ぐための基本的な対策です。
顧客ごとにリスクを見極める考え方
CDDでは、すべての顧客に同じ深さの確認を行うのではなく、リスクに応じて対応を変えるリスクベース・アプローチが基本になります。
リスク評価では、顧客の属性だけでなく、取引内容や利用する商品、取引する国・地域、取引方法などを総合的に確認します。たとえば、非対面での取引、複雑な法人構造、多数の海外送金を伴う取引などは、追加確認が必要になることがあります。
一方で、低リスクと合理的に判断できる顧客に対してまで過度な確認を求めると、顧客の負担や事業者の業務負担が増加します。リスクの高い領域に人員や確認作業を重点配分することが、実効性のあるCDDにつながります。
国際的な基準とFATF勧告
FATFは、マネーロンダリング、テロ資金供与、大量破壊兵器の拡散に関する資金供与への対策を検討する政府間組織です。1989年にG7サミットの宣言を受けて設立されました。
FATFは、各国に求める対策として「40の勧告」を示しています。この勧告には、顧客管理、実質的支配者の確認、疑わしい取引の届出、制裁対象者への対応、国際協力などが含まれます。
FATFは各国の取り組みについて相互審査も行っています。日本もFATF参加国の一員として、国際基準を踏まえた法整備や監督体制の強化を進めています。
日本の犯罪収益移転防止法と金融庁の指針
日本では、犯罪収益移転防止法により、特定事業者に取引時確認、確認記録・取引記録の作成保存、疑わしい取引の届出などが求められています。
取引時確認では、個人の場合は氏名、住居、生年月日などの本人特定事項を確認します。法人の場合は、法人の名称や本店所在地に加えて、事業内容、取引目的、実質的支配者などの確認が必要です。
金融庁は、金融機関等に対し、マネーロンダリング・テロ資金供与対策に関するガイドラインを示しています。ガイドラインでは、顧客ごとのリスクを評価し、リスクに応じて簡素な顧客管理、通常の顧客管理、厳格な顧客管理を使い分ける考え方が示されています。
CDDで確認する主な項目
顧客本人の氏名・住所・生年月日など
CDDの出発点は、顧客が申告した本人情報が正しいかを確認することです。個人顧客では、氏名、住居、生年月日などを確認します。確認方法は、取引形態や法令上の要件に応じて、運転免許証やマイナンバーカードなどの本人確認書類、信頼できる公的情報、電子的な本人確認の仕組みなどが用いられます。
法人顧客では、名称、本店所在地、法人番号、登記情報、代表者情報などを確認します。取引を担当する人が法人を代表する権限を持つかどうかも確認対象になります。
本人確認は、なりすましや架空名義による利用を防ぐための基礎です。ただし、確認書類がそろっていても、取引内容が顧客の属性や目的と合わない場合には、追加の確認が必要です。
取引の目的と資金の出所
CDDでは、顧客がサービスを利用する目的を把握します。たとえば、口座を給与受取や事業資金の決済に使うのか、投資や海外送金に使うのかによって、想定される取引内容は異なります。
資金の出所も重要な確認項目です。高リスクと判断される取引では、資金がどのように得られたものか、取引に見合う収入や資産があるかを確認します。必要に応じて、契約書、請求書、決算書、納税関係書類、銀行取引の記録などの提出を求めることがあります。
申告された取引目的と実際の取引が大きく異なる場合は、顧客のリスク評価を見直す必要があります。
法人の事業内容と実質的支配者
法人との取引では、法人名義だけを確認しても十分ではありません。実際に法人を所有または支配している人を把握することが重要です。このような人を実質的支配者といいます。
法務省は、法人の透明性を高め、資金洗浄目的での法人悪用を防ぐため、実質的支配者リスト制度を2022年1月31日から運用しています。この制度では、株式会社などが申出を行うことで、商業登記所から認証文付きの実質的支配者リストの写しの交付を受けられます。
犯罪収益移転防止法上、資本多数決法人では、議決権の総数の50％を超える議決権を直接または間接に保有する自然人がいる場合、その人が実質的支配者に該当します。そのような人がいない場合は、25％を超える議決権を保有する自然人などを確認します。
複数の法人を経由する複雑な所有構造では、最終的に誰が支配しているのかを確認する必要があります。
制裁対象者・反社会的勢力との関係
CDDでは、顧客本人、法人、実質的支配者、関係者について、制裁対象者や反社会的勢力との関係がないかを確認します。
制裁対象者とは、国際的な制裁措置などの対象となっている個人・団体を指します。取引先が制裁対象者に該当する場合や、制裁対象者が実質的に支配している場合には、法令上の制限や資産凍結などの対象となる可能性があります。
また、反社会的勢力との関係が疑われる場合は、取引開始や取引継続の可否を慎重に判断しなければなりません。名称が完全に一致しないケースもあるため、単純な文字一致だけで判断せず、生年月日、住所、関係会社、報道情報などを含めて確認することが重要です。
取引内容や利用状況の妥当性
CDDでは、顧客情報を集めるだけでなく、実際の取引内容が顧客の申告や属性と整合しているかを確認します。
たとえば、個人の利用目的として申告された内容と無関係な多額の資金移動が続く場合、法人の事業内容と異なる資金の流れが見られる場合、短期間に多数の口座を経由する取引がある場合などは、確認が必要になることがあります。
重要なのは、特定の取引だけを見て直ちに違法と判断することではありません。顧客の取引目的、過去の取引傾向、業種、取引相手、国・地域などを踏まえ、不自然な点がないかを総合的に見極めます。
CDDの進め方と継続的な確認
取引開始時に行う本人確認
CDDは、取引関係を始める前または取引開始時に行う確認から始まります。事業者は、顧客が本人であることを確認し、必要な顧客情報を取得します。
個人の場合は本人確認書類などにより本人特定事項を確認し、法人の場合は登記情報や事業内容、取引権限を持つ担当者、実質的支配者などを確認します。あわせて、取引目的や想定される取引内容を確認します。
確認が不十分なまま取引を開始すると、後からリスクを把握できず、犯罪利用を見逃すおそれがあります。必要な情報が得られない場合は、取引開始を見合わせることも検討が必要です。
顧客情報にもとづくリスク評価
本人確認などで得た情報をもとに、顧客ごとのリスクを評価します。評価では、顧客属性、事業内容、居住地・所在地、利用する商品・サービス、取引方法、取引先の国・地域などを確認します。
たとえば、法人の所有構造が複雑で実質的支配者が分かりにくい場合、海外取引が多い場合、高額な現金取引を行う場合などは、追加確認が必要になることがあります。
リスク評価は、低・中・高のように区分して管理する方法が一般的です。ただし、区分の数や評価項目は、事業者の規模、顧客層、提供する商品・サービス、取引量などに応じて定める必要があります。
取引を続ける間のモニタリング
CDDは、取引開始時だけの作業ではありません。顧客の状況や取引内容は変化するため、継続的に取引を確認する必要があります。
取引モニタリングでは、顧客の想定取引と実際の取引に差がないか、不自然な送金や入出金がないか、制裁対象者との関係が生じていないかなどを確認します。高リスクの顧客では、より短い間隔での確認や、より細かな取引確認が必要になります。
継続的な確認によって、取引開始時には見えなかったリスクを発見できる場合があります。顧客のリスク評価が変わった場合は、確認の深さやモニタリングの基準を見直します。
情報更新を依頼するタイミング
顧客情報の更新は、定期的に行うほか、リスクの変化につながる事象が発生した際にも行います。
情報更新が必要になる主な場面は、次のとおりです。
- 顧客の住所、連絡先、職業、勤務先が変わったとき
- 法人の本店所在地、代表者、事業内容、株主構成が変わったとき
- 実質的支配者が変わったとき
- 取引量、送金先、取引目的に大きな変化があったとき
- 制裁情報、報道情報、取引モニタリングなどから新たなリスクが判明したとき
金融庁のFAQでは、顧客リスクに応じて確認頻度を変える考え方が示されています。例として、高リスク先は年1回、中リスク先は2年に1回、低リスク先は3年に1回とする考え方があります。ただし、実際の頻度は、各事業者が自社のリスク評価に応じて定める必要があります。
疑わしい取引を見つけた場合の対応
取引モニタリングなどで疑わしい取引を検知した場合は、事実関係を確認し、必要に応じて追加情報を収集します。顧客への照会、取引の背景確認、関連する口座や取引先の確認などを行い、リスクを評価します。
確認の結果、犯罪収益の移転に利用されている疑いがある場合などは、法令に基づき、疑わしい取引の届出を検討します。届出の要否は、取引金額だけでなく、顧客の説明、取引経緯、資金の流れ、過去の取引状況などを踏まえて判断します。
必要な顧客管理を実施できない場合や、リスクを許容できない場合には、取引の制限、取引の謝絶、契約関係の見直しなども検討します。ただし、合理的な根拠なく一律に取引を断るのではなく、個別の事情に応じた判断が必要です。
CDD・簡素な顧客管理・EDDの違い
通常のCDDを行う場面
通常のCDDは、多くの顧客に対して行う標準的な顧客管理です。本人確認、取引目的の確認、法人の場合の実質的支配者確認、顧客リスク評価、継続的な取引確認などを行います。
通常のCDDでは、顧客の属性や取引内容に応じて必要な情報を収集し、取引開始後も定期的に情報を更新します。すべての顧客に過剰な確認を行うのではなく、法令上の確認事項と自社のリスク基準に沿って、適切な深さで対応することが重要です。
簡素な顧客管理を検討できる場面
簡素な顧客管理は、マネーロンダリングやテロ資金供与のリスクが低いと合理的に判断できる顧客や取引に対して、確認の方法や頻度を簡素化する考え方です。英語ではSimplified Due Diligenceと呼ばれ、SDDと略されます。
SDDでは、法令上必要な確認を省略するという意味ではありません。顧客情報の更新頻度を低くする、取引モニタリングの基準をリスクに応じて調整するなど、低リスクであることを前提に管理の強度を調整します。
低リスクと判断するためには、取引実態や過去のデータなどにもとづく根拠が必要です。十分なリスク評価を行わずに、手続きの負担を減らす目的だけでSDDを適用することは適切ではありません。
EDDが必要となる高リスクの顧客・取引
EDDはEnhanced Due Diligenceの略で、日本語では「厳格な顧客管理」や「強化された顧客管理」と呼ばれます。高リスクの顧客や取引に対して、通常のCDDに追加の確認や監視を上乗せする取り組みです。
EDDが必要となる可能性がある場面には、外国の重要な公的地位にある人物等に関係する取引、制裁リスクの高い国・地域に関係する取引、なりすましや虚偽申告の疑いがある取引、複雑な所有構造を持つ法人との取引などがあります。
EDDでは、資産や収入の状況、資金の出所、取引の背景、法人の営業実態などについて、追加資料や追加説明を求める場合があります。また、上級管理職による取引開始・継続の承認、取引モニタリングの強化、情報更新頻度の引き上げなども行われます。
リスクに応じて確認の深さを変える方法
CDD、SDD、EDDの使い分けでは、まず全顧客に対してリスク評価を行い、その結果に応じて管理方法を決めます。
- 低リスクと判断できる場合は、SDDを適用し、情報更新やモニタリングの頻度を適切に調整します
- 通常のリスクと判断される場合は、標準的なCDDを実施します
- 高リスクと判断される場合は、EDDとして追加情報の収集、上級管理職の承認、モニタリング強化などを行います
顧客のリスクは固定ではありません。取引内容の変化、制裁情報の更新、法人の所有構造の変更などにより、低リスクから高リスクへ変わる場合もあります。定期確認と随時確認を通じて、管理水準を見直すことが必要です。
CDDを運用する際の課題と改善策
手作業による確認漏れや業務負担
CDDでは、本人確認書類の確認、法人情報の調査、実質的支配者の特定、制裁リスト照合、取引内容の確認など、多くの作業が発生します。手作業に依存すると、確認漏れ、記録のばらつき、担当者ごとの判断差が起こりやすくなります。
特に法人顧客では、親会社・子会社・株主・実質的支配者の関係が複雑な場合があり、確認に時間がかかります。確認件数が増えるほど、表計算ソフトや個別のメール連絡だけで管理する方法には限界があります。
改善策としては、確認項目を標準化し、案件ごとの進捗や判断根拠を一元管理することが有効です。本人確認、法人情報確認、リスク評価、承認、定期更新までの流れを整理し、担当者が変わっても同じ基準で対応できる状態を整えます。
顧客への情報更新依頼が進まない問題
継続的な顧客管理では、既存顧客に対して住所、職業、事業内容、実質的支配者、取引目的などの更新を依頼する必要があります。しかし、顧客が回答しない、書類提出を後回しにする、依頼の趣旨を理解しないといった課題が起こりやすくなります。
情報更新が進まない場合は、郵送だけに依存せず、ウェブサイト、アプリ、電子メール、電話、来店時の案内など、複数の連絡手段を使うことが有効です。顧客に対しては、金融犯罪防止や法令対応のために必要な確認であることを、分かりやすく説明する必要があります。
また、更新依頼の対象をリスクに応じて優先順位付けし、高リスク顧客や情報が古い顧客から対応することで、限られた人員でも実効性を高められます。
顧客体験と厳格な確認を両立する方法
CDDは金融犯罪対策に不可欠ですが、顧客にとっては書類提出や質問への回答が負担になる場合があります。確認が分かりにくい、同じ情報を何度も求められる、手続きに時間がかかるといった状態は、顧客満足度の低下につながります。
顧客体験を損なわずにCDDを行うには、必要な確認項目を分かりやすく示し、提出方法を複数用意することが重要です。オンラインで提出できる書類はオンラインで受け付け、既に保有している情報を適切に活用して重複依頼を減らします。
また、リスクベース・アプローチを徹底し、低リスク顧客に一律の厳格な確認を求めないことも重要です。確認の厳格さをリスクに応じて調整することで、犯罪対策と利便性の両立を図れます。
顧客データを安全かつ正確に管理する方法
CDDでは、本人確認書類、住所、取引目的、資産状況、法人の所有構造など、重要な情報を扱います。これらの情報を安全に管理できなければ、情報漏えいや不正利用につながるおそれがあります。
管理の基本は、収集する情報を必要な範囲に限定し、利用目的を明確にすることです。そのうえで、アクセス権限の設定、操作履歴の保存、データの暗号化、保存期間の管理、不要になった情報の適切な削除などを行います。
正確性の確保も重要です。古い情報や重複した情報が残ると、リスク評価や取引モニタリングの精度が低下します。情報更新の履歴、確認日、確認方法、判断理由を記録し、監査や社内検証に対応できる状態を維持する必要があります。
社内ルールの整備と担当者教育
CDDを実効的に運用するには、現場担当者の経験や判断だけに頼らない仕組みが必要です。顧客の受入れ基準、リスク評価方法、SDD・CDD・EDDの適用条件、追加確認の手順、疑わしい取引の報告先、記録保存の方法などを社内ルールとして明確にします。
特に、高リスク顧客をどのように判定するか、どの時点で上席者や専門部署へ相談するかを具体化しておくことが重要です。ルールが曖昧だと、担当者によって確認水準が異なり、見落としや過剰対応が発生しやすくなります。
教育では、法令や社内ルールを説明するだけでなく、不自然な取引の例、本人確認書類の確認時の注意点、法人の実質的支配者を確認する際の考え方、顧客から情報提供を受けられない場合の対応などを扱うことが有効です。定期的な研修とルールの見直しを行い、変化する金融犯罪リスクに対応できる体制を整えます。
