FSAガイドライン対応表
本文書は、金融庁（FSA）が2026年3月31日に改正した 「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」 の主要な統制領域と、Merlon の機能および導入組織の責任を対応付ける。実装確認の補助資料であり、法的見解や適合証明ではない。
状態の定義
- 機能実装済み: Merlon が記載した技術機能を提供する。導入組織による設定、運用、有効性検証は別途必要である。
- 部分対応: Merlon は統制の一部を支援する。外部システム、人の判断、外部サービス、または文書化した運用手順が必要である。
- 導入組織の統制: Merlon は証跡の保持または入力の取込みを支援できるが、統制自体は導入組織が担う。
対応表
実装の最終確認日: 2026年7月16日。
| ガイドライン領域 | 状態 | Merlon の機能とリポジトリ証跡 | 制約と導入組織の責任 |
|---|---|---|---|
| 組織全体のリスク評価とリスクベース・アプローチ | 機能実装済み | Score-Driven Architecture、設定可能なCDDウェイト／階層しきい値、スコア履歴（docs/architecture.md、content/schema/cdd_weight_v1.json） | 自社のリスク評価に基づきリスク選好、要因、しきい値を定め、変更承認と有効性確認を行う。サンプル設定は本番統制ではない。 |
| 顧客管理とリスク評価 | 部分対応 | 顧客情報、CDDスコアリング、リスク階層、状態履歴、厳格な顧客管理へのエスカレーション（api/internal/engine/native、api/internal/server/customer_status.go） | 本人確認、実質的支配者確認、資金源の証跡、正本となる顧客情報は、組織の手続または連携システムから供給する。 |
| 継続的な顧客管理 | 部分対応 | 定期再スクリーニング、バッチ評価、階層変更イベント、アラート、ケース、レビュー証跡（api/internal/screening/scheduler.go、api/internal/batch） | 顧客リスクに応じた見直し頻度、元データの鮮度、アラート処理、厳格な確認の記録、スケジュールの妥当性を管理する。 |
| 取引モニタリングと分析 | 機能実装済み | ネイティブTMシナリオ、インライン／バッチ評価、集計ウィンドウ、アラート、ケース、リカバリ、バックテスト（api/internal/engine/native、api/internal/batch） | シナリオの選定・調整、アラート調査、誤検知と見逃しリスクの測定、定期的な有効性検証を行う。 |
| 制裁・ウォッチリストのスクリーニング | 部分対応 | スクリーニングアダプター、リスト取込み、バージョンスナップショット、鮮度確認、再スクリーニング、照合結果レビュー（api/internal/screening） | Merlon は公的リストの配信者ではない。完全かつ最新のリストを取得し、取込み範囲、結果判定、資産凍結・届出等の法定対応を管理する。 |
| 疑わしい取引の届出 | 部分対応 | アラートからケースへの調査フロー、調査メモ、ケース状態、STR記録、エクスポート支援（docs/case-management.md、api/internal/server/case.go） | 有資格の担当者が届出要否、様式、期限を確認し、承認した上で所管当局の経路から提出する。 |
| 記録、監査証跡、保持 | 運用統制を伴う機能実装済み | 追記専用の監査イベント、原子的なルール承認イベント、設定可能な保持期間、パージ統制、監査権限検証（docs/compliance/data-retention.md、docs/operations/audit-hardening.sql） | 最小権限のDBロール、暗号鍵とバックアップの保護、必要なリーガルホールド、復元訓練、法定期間の証跡保持を実施する。 |
証跡と見直し
上記パスはソース管理された実装証跡である。実運用の証跡には、対象リリースのダイジェスト、エンジン設定のダイジェスト、ルール版と承認、監査記録、CI結果、対象期間の運用記録も含める。ガイドライン改正、重要な機能変更、設定変更、運用モデル変更の後に本表を再確認する。
本対応表は、導入組織のAML/CFT態勢がFSAガイドラインその他の適用法令に適合することを保証しない。導入組織は法律・コンプライアンスの専門家による確認を受け、最終的な適合性、ガバナンス、要員、データ品質、運用について責任を負う。