規制対応範囲

Merlon は主として、非銀行系金融機関を含む日本の金融機関における AML/CFT 業務を対象に設計されている。デフォルトの保持期間、サンプルルール、ドキュメントはこの運用文脈における一例であり、法的助言や規制遵守の証明ではない。

導入企業は、Merlon を自組織の義務、リスクアセスメント、ガバナンス、証跡要件にマッピングする責任を負う。これには FATF 勧告、EU AMLD 及び GDPR 要件、米国 Bank Secrecy Act、その他適用されるあらゆる法令・監督指針に対する追加的な評価が含まれる。

リーガルホールド

Merlon はレコード単位のリーガルホールド機構を持たない。設定済み保持期間を超える保全義務は、導入組織が運用で対応しなければならない。手順とその限界はデータ保持ポリシーを参照。

監査ログ完全性の境界

Merlon は merlon-audit verify による事後検証をサポートする。データベースによって強制される改ざん不能性、データベースによる WORM 制御、監査ログの暗号学的ハッシュチェーンは提供しない。運用者は自組織の環境に適したデータベースロール、バックアップ、アクセス制御、監視を実施しなければならない。