AMLRの要件の概要
エンドツーエンドのフロー
バックエンドがセッションを作成し、ユーザーがワークフローを完了すると、Diditから通知が届き、貴社は判定結果の詳細を取得します。オンボーディングの判定は貴社のチームが担います。モニタリングはオンボーディング後も継続します。デューデリジェンスが適用される場面
第19条は、顧客デューデリジェンスを実施しなければならない場面を定めています。取引関係を確立するとき、単一の取引または関連する複数の取引でEUR 10,000以上となる一時的な取引を行うとき、金額にかかわらずマネーロンダリングまたはテロ資金供与の疑いがあるとき、そしてすでに保有している本人特定データに疑義があるときです。一部の業種では、より低いしきい値が適用されます。一時的な資金移転およびCASPではEUR 1,000、一時的な現金取引ではEUR 3,000(少なくとも本人の特定と検証が必要)、ギャンブルではEUR 2,000です。CASPは、EUR 1,000未満の一時的な取引であっても、少なくとも顧客の特定と検証を行う必要があります。 Diditは、トリガーに該当するかどうかを判断しません。取引の種類と金額に応じて自社のコードでルーティングし、該当するワークフローを開始してください。
バックエンド向けの最小限のルーティング例です。第19条のすべてのトリガー(法人の設立への関与など)を網羅しているわけではなく、貴社に適用される業種別のルールは異なる場合があります:
本人の特定と確認
第22条(1)は、自然人について保持しなければならないデータを列挙しています。すべての名と姓、出生地と完全な生年月日、国籍、該当する場合は国民識別番号、通常の居住地、そして入手可能な場合は納税者番号です。続いて第22条(6)は、本人確認の手段として2つを挙げています。身分証明書、パスポートまたはそれに準ずるもの、またはeIDASの保証レベル「substantial」もしくは「high」を満たす電子識別(eID)と関連する適格トラストサービスの組み合わせです。判定に含まれるデータ項目
GET /v3/session/{sessionId}/decision/が返す判定には、本人確認チェックごとに1件のエントリがid_verifications[]に含まれます。
2つの方法
各ウォレットが報告する保証レベルは、デジタルIDウォレットのページに記載されています。特定のスキームが自社の用途において第22条(6)(b)を満たすかどうかは、自社で評価する必要があります。Diditは顧客がウォレットを利用できるようにする連携であり、それ自体は適格トラストサービスプロバイダーでもeIDスキームでもありません。
リモート確認に関する技術基準草案の内容
第28条(1)に基づく顧客デューデリジェンスに関する規制技術基準(RTS)は、マネーロンダリング対策機関(AMLA)が作成します。AMLAの最終報告書の日付は2026年9月30日で、2026年10月1日に公表されました。これは欧州委員会に提出された最終草案です。採択されておらず、法的効力もありません。 欧州委員会は引き続き内容を変更する可能性があり、草案は発効から6か月後に適用することを提案しています。 この草案は、第22条(6)の2つの手段を原則として扱っています。書類によるリモート確認は、本人に対面での書類提示を合理的に期待できず、かつ要件を満たすeIDを利用できない場合の代替手段です(草案第7条(1))。代替手段を用いる場合、草案はその理由を説明できること、そしてその手段に安全措置が備わっていることを監督当局に示せることを求めています(草案第7条(2)および第7条(3))。草案は技術中立であり、特定の技術を指定していません。 草案の安全措置とDiditのセッションが記録する内容の対応は次のとおりです。
顧客がeIDではなく書類による方法を選んだ理由は、自社で記録する必要があります。自社のシステムに保存するか、セッション作成時に
metadataでセッションに添付してください。
企業と実質的支配者の検証
法人については、第22条第1項(b)により、法的形態と名称、登記上の本店所在地、法定代理人に加え、入手可能な場合は登記番号、納税者番号、取引主体識別子(LEI)が求められます。また、所有構造と支配構造を把握するために、実質的支配者を特定し、その確認のための合理的な措置を講じる必要があります(第20条第1項(b))。実質的支配者とは、株式、議決権その他の所有持分を直接または間接に「25 %以上」保有する自然人(第52条第1項)、または所有その他の手段によって法人を支配する自然人(第51条および第53条)をいいます。支配は所有と並行して評価されます。
設計時に考慮すべき4つのポイント:
- しきい値は自社で設定します。 AMLRの基準は「25 %以上」であり、「25 %超」ではありません。ワークフローのUBOのしきい値は設定可能なため、この基準に合わせて設定し、自社のポリシーがより厳格な場合は見直してください。
- 登記だけでは十分ではありません。 第22条第7項は、実質的支配者の確認に加えて、中央登記簿を参照することを求めています。暦日で14日以内に登記機関へ不一致を報告すること(第24条)は、貴社が行うステップです。
- 登記の照会結果が空であっても、企業に所有者がいないことの証明にはなりません。 登記簿には、特定の企業や国について所有に関する記録が存在しない場合があります。実質的支配者を特定できない場合、第22条第2項により、その旨を記録したうえで、代わりに上級管理職を特定し確認する必要があります。
- 登記のモニタリングは近日公開予定です。 登記の変更を継続的にモニタリングする機能はまだ利用できません。利用可能になるまでは、自社の更新スケジュールに合わせて法人確認を再実行してください。
制裁とPEPのスクリーニング
顧客またはその実質的支配者が対象を特定した金融制裁の対象となっていないか、また制裁対象者が法人顧客を支配していないか、もしくはその50 %超を保有していないかを確認する必要があります(第20条第1項(d))。AMLRにおける対象を特定した金融制裁とは、EUの制裁を指します。また、顧客または実質的支配者が重要な公的地位を有する者(PEP)、その家族または密接な関係者に該当するかを判断する必要があります(第20条第1項(g))。PEPについて、第42条は上級管理職による承認、資産の源泉と資金源を確認するための措置、および強化された継続的なモニタリングを追加で求めています。Confirmed MatchまたはFalse Positiveとして記録するとdata.updatedのWebhookが送信されますが、それだけではセッションの判定は変わりません。PEPとの取引関係に対する上級管理職の承認は貴社のプロセスです。セッションをレビューに回し、誰が承認したかを記録してください。
継続的なモニタリングと情報の更新
第26条は、取引関係の継続的なモニタリングと、顧客情報を最新の状態に保つことを求めています。更新の間隔は、高リスク顧客では1年、その他すべての顧客では5年を超えてはなりません(第26条第2項)。また、顧客の状況が変わったとき、または関連する事実を知ったときにも更新する必要があります(第26条第3項)。制裁チェックは定期的に繰り返す必要があり、信用機関および金融機関では新たな指定があるたびに実施する必要があります(第26条第4項)。status.updatedおよびdata.updatedイベントが送信されます。
1年と5年の更新を自社システムでスケジュールする
更新の周期は、お客様が割り当てるリスク区分によって決まり、その判定は外部委託できません。Diditはお客様のリスク区分を保持しておらず、定期的な更新をお客様に代わってスケジュールすることもありません。1
リスク区分と最終更新日を保存する
これらを顧客レコードに、Diditに送信する
vendor_dataと並べて保存します。2
定期ジョブを実行する
最終更新日から設定した間隔を超過している顧客を抽出します。高リスクでは最長1年、それ以外では最長5年です。これらは最長期間であるため、より短い間隔にするかどうかはお客様が選べます。
3
新しいセッションを作成する
同じ
vendor_dataと更新用のワークフローを指定してPOST /v3/session/を呼び出し、顧客にurlを送信します。4
イベントにも対応する
"Kyc Expired"、セッションを"In Review"に変更するモニタリングWebhook、顧客から報告された変更を、前倒しで更新するトリガーとして扱います。取引目的と資金源
取引関係を開始する前、または一見取引を実行する前に、第25条はその目的と意図される性質を理解することを求めています。必要に応じて、目的と経済的合理性、想定される取引規模、資金源、資金の送付先、顧客の事業活動または職業に関する情報を取得します。「必要に応じて」とは、その範囲がリスクベースで決まることを意味します。強化された顧客デューデリジェンスでは、資産の出所を追加できます(第34条第4項)。
テンプレートは出発点です。自社のリスク評価に合わせて質問を編集し、回答をセッションに保存して、本人確認と同じレコードに残るようにしてください。
取引のモニタリングと報告
継続的なモニタリングは、取引関係の期間中に行われる取引を対象とし、それらが、お客様が顧客について把握している内容と整合していることを確認します(第26条第1項)。資金が犯罪収益である、またはテロ資金供与に関連していることを知った場合、疑った場合、または疑うに足る合理的な根拠がある場合は、第69条に基づき金融情報機関(FIU)に報告します。- 検知基準を承認するのはお客様です。 疑わしい取引や異常な取引を検知するための基準の承認は、外部委託できません(第18条第3項(f))。導入する各ルールを確認し、その承認を自社のポリシーに記録してください。
- レポートを提出するのはお客様です。 Diditはケースからレポートファイルを作成します。FIUに何かを提出することはありません。提出は、お客様のコンプライアンス担当者がFIUの所定の経路を通じて行います。
記録の保存と削除
第77条は記録保存の義務を定めています。顧客デューデリジェンスのために取得した書類と情報、疑念に関する評価の記録、取引記録を5年間保存します。この期間は、取引関係が終了した時点、一回限りの取引が実行された時点、または取引関係の開始を拒否した時点から始まります(第77条第3項)。5年が経過したら、他の法令が適用される場合や当局が特定の記録をより長く保存するよう求めた場合を除き、個人データを削除します。 期間の起算点は、取引関係の終了という、お客様のシステム内で発生するイベントです。Diditはその日付を把握していないため、設定する保持期間と要求する削除は、お客様が判断するものです。1
保存義務の期間より早く終了しない保持期間を選ぶ
セッションは保持期間の終わりに達すると削除されます。顧客との取引関係の期間に5年を加えた長さをカバーする保持期間を選ぶか、無制限のままにしてオンデマンドで削除してください。
2
取引関係の終了を記録する
取引関係の終了日、取引日、または拒否日をお客様自身のシステムに保存してください。その日付から5年間の期間が始まります。
3
期間が満了したら削除する
該当する顧客の各セッションについて
DELETE /v3/session/{sessionId}/delete/を呼び出してください。削除は元に戻すことができず、メディアのURLにはアクセスできなくなります。自動判定に対する人によるレビュー
第76条第5項は、プロファイリングやAIシステムを含む自動化されたプロセスによる判定を行うことを、3つの条件のもとで認めています。データはデューデリジェンスに必要なデータに限られること。取引関係の開始、拒否または維持、一回限りの取引の実行または拒否、デューデリジェンスの範囲の変更に関するあらゆる判定に、意味のある人による介入があること。そして、顧客が判定の説明を受け、異議を申し立てられることです。"Approved"または"Declined"というセッションのステータスは、お客様が設定したチェックの結果です。これはオンボーディングを行うかどうかの判定に対する入力であり、第18条第3項によりその判定はお客様に委ねられています。どの場面で人が関与すべきかを法律顧問と決めたうえで、そのステップをワークフローとお客様自身のバックオフィスに組み込んでください。
アウトソーシング
第18条では、AMLRに基づいて生じる業務をサービスプロバイダーにアウトソーシングすることが認められています。ただし条件があります。プロバイダーが業務を開始する前に監督当局へ通知すること(第18条(1))、アウトソーシングした業務について引き続き全面的に責任を負うこと(第18条(2))、条件を書面による契約で定め、プロバイダーに対して定期的な管理を実施すること(第18条(4))です。また本規則は、要件を貴社自身が実施する場合に、サードパーティのソフトウェアを使用したり、データベースやスクリーニングサービスにアクセスしたりすることはアウトソーシングに該当しないとしています(前文47)。Diditの利用がどちらに該当するかは、利用方法によって異なります。アウトソーシングに関するAMLAのガイドラインは2027年7月10日までに公表される予定です。 次の6つの業務は、いかなる場合もアウトソーシングできません(第18条(3))。これらは貴社が担います。- 事業全体のリスク評価の立案と承認。
- 社内の方針、手続き、管理体制の承認。
- 顧客に割り当てるリスクプロファイルの判定。
- 取引関係を開始するか、または一時的な取引を実行するかの判定。
- FIUへの疑わしい活動の報告およびしきい値に基づく報告。
- 疑わしい取引や活動、通常と異なる取引や活動を検知するための基準の承認。
リファレンスワークフロー
自然人向けオンボーディングワークフローの出発点です。貴社のリスク評価に合わせて調整してください。1
ワークフローを作成する
Business Consoleでワークフローを開き、顧客確認(KYC)ワークフローを作成します。国や結果による分岐が必要な場合は、ビジュアルビルダーを使用してください。
2
国ごとに本人確認の方法を選ぶ
ID検証ステップで、対象国で利用できるデジタルIDウォレットを有効にし、それ以外のすべてのユーザー向けの手段として書類撮影を有効にします。本人確認の方法を参照してください。
3
書類と本人を紐付ける
書類による手段では、ライブネス判定と顔照合を追加し、書類にチップがある場合はNFCも追加します。
4
住所を確認する
書類に住所が記載されていない顧客向けに住所証明を追加します。
5
スクリーニングとモニタリングを行う
AMLスクリーニングを追加し、一致をレビューに回すしきい値を設定して、継続的なモニタリングを有効にします。
6
口座の目的と資金源を確認する
Purpose of AccountおよびSource of Fundsのテンプレートからアンケートを追加します。
7
Webhookを購読する
status.updatedとdata.updatedを購読するWebhookの送信先を作成します。Webhookを参照してください。8
ワークフローを公開してワークフローIDをコピーする
ワークフローを公開し、セッションを作成する際にその
workflow_idを使用します。201 Created):
urlにリダイレクトします。セッションの判定が確定すると、Diditはstatus.updatedのWebhookを送信します。抜粋:
event_idをキーにして冪等性を確保し、statusは大文字と小文字を区別する完全一致の文字列として照合してください。値の一覧は認証ステータスにあります。その後、GET /v3/session/{sessionId}/decision/で判定の全内容を取得し、オンボーディングの判定を行う担当者またはプロセスに渡します。
タイムライン
FAQ
AMLRはいつから適用されるのか
AMLRはいつから適用されるのか
AMLRは2024年7月9日に発効し、2027年7月10日から適用されます。サッカー代理人およびプロサッカークラブには、2029年7月10日から適用されます。2027年7月10日までは、現行指令を国内法化した各国の法律が適用されます。
AMLR、AMLD6、AMLAの違い
AMLR、AMLD6、AMLAの違い
AMLRは規則(EU)2024/1624です。義務対象事業者のルールを定めており、国内法化を経ずに直接適用されます。AMLD6は指令(EU)2024/1640です。加盟国を名宛人とし、監督当局、登録簿、罰則を対象としています。国内法化の期限は2027年7月10日です。AMLAはマネーロンダリング対策庁(Anti-Money Laundering Authority)です。規則(EU)2024/1620によって設立され、フランクフルトに本拠を置きます。技術基準とガイドラインを起草し、2028年からは選定された一部の金融機関を直接監督します。
本人確認書類によるリモート検証は引き続き認められるのか
本人確認書類によるリモート検証は引き続き認められるのか
はい、条件付きで認められます。第22条(6)は2つの手段を挙げています。本人確認書類と、保証レベル「substantial」または「high」のeIDです。2026年9月30日付のAMLAの最終技術基準案は、書類によるリモート検証を代替手段として維持しています。対象となるのは、本人に対面で書類を提示することを合理的に期待できず、かつ要件を満たすeIDも利用できない場合です。この手段を用いる正当性を説明でき、安全対策を示せる必要があります。この案は特定の技術を指定しておらず、まだ法律ではありません。
技術基準は確定しているのか
技術基準は確定しているのか
いいえ。AMLAは2026年9月30日に案を最終化し、欧州委員会に送付しました。この案は、欧州委員会が採択し、官報(Official Journal)に掲載されて初めて拘束力を持ちます。欧州委員会が修正する可能性もあります。案は発効の6か月後からの適用を提案しているため、具体的な日付はまだ決まっていません。
EUDI Walletを受け入れる必要があるのか、Diditは対応しているのか
EUDI Walletを受け入れる必要があるのか、Diditは対応しているのか
AMLR自体は、eIDを2つの検証手段のうちの1つとして挙げています。ただし、すべての義務対象事業者にEUDI Walletの受け入れを命じているわけではありません。受け入れ義務はeIDAS規則に定められています。オンラインでの本人確認に強力なユーザー認証を使用しなければならない民間の依拠当事者は、ユーザーの要請に応じてウォレットを受け入れる必要があります。期限は実施法令の発効から36か月以内で、零細企業と小規模企業は免除されます。これがお客様のオンボーディングに該当するかどうかは、法律顧問に確認してください。DiditではEUDI Walletは近日公開です。現在本番環境で利用できるウォレットは、MitID、BankID Sweden、Finnish Trust Network、Smart-ID、Mobile-IDです。
実質的支配者のしきい値は25%か15%か
実質的支配者のしきい値は25%か15%か
しきい値は、株式、議決権その他の所有持分の「25 %以上」です(第52条(1))。これと並行して、支配の有無も評価します。第52条(2)により、欧州委員会は委任法令によって、高リスクのカテゴリーの事業体に対し、より低いしきい値を最大15 %で設定できます。そのような法令はまだ存在しません。Diditでは、UBOのしきい値はKYBワークフローの設定項目です。
1年ごとと5年ごとの更新をどう実装するのか
1年ごとと5年ごとの更新をどう実装するのか
顧客のリスク区分と最終更新日を自社システムに保存します。次に、設定した間隔を過ぎた顧客を抽出する定期ジョブを実行し、
POST /v3/session/で同じvendor_dataを指定して新しいセッションを作成します。イベントトリガーも追加してください。たとえば"Kyc Expired"ステータス、モニタリングのWebhook、顧客から報告された変更などです。第26条(2)の1年と5年という数値は最長期間です。何を外部委託できるのか
何を外部委託できるのか
外部委託できるのは、本人確認データの収集、検証の実行、登記簿の照会、スクリーニング、承認済みの基準に基づく取引モニタリングの実行などの業務です。外部委託できない業務は次の6つです。事業全体のリスク評価の承認、内部方針の承認、顧客のリスクプロファイルの決定、オンボーディングの決定、FIUへの報告、検知基準の承認です。外部委託した業務についても、お客様が引き続き全面的に責任を負います(第18条(2))。
5年ルールに合わせてデータ保持をどう設定するのか
5年ルールに合わせてデータ保持をどう設定するのか
5年は、顧客を検証した時点ではなく、取引関係が終了した時点から起算されます。Business Console → App Settings → Data retentionで、取引関係の期間に5年を加えた期間をカバーできる長さを選ぶか、無制限のままにしてください。終了日は自社システムで管理し、保存期間が満了したら
DELETE /v3/session/{sessionId}/delete/を呼び出します。記録管理方針が監査ログやスクリーニング履歴に依拠している場合は、それらをエクスポートしてください。Diditを使えばAMLRに準拠できるのか
Diditを使えばAMLRに準拠できるのか
いいえ。コンプライアンスは、お客様のプログラムそのものの性質です。つまり、リスク評価、方針、判定、統制によって決まります。Diditが提供するのは、こうしたプログラムの各部分を支えるチェック、モニタリング、証跡です。ベンダーやツールを対象としたAMLRの認証や承認は存在しません。
関連リソース
AMLRソリューションの概要
ビジネスの視点から、AMLRの適用対象とDiditが果たす役割を説明します。
本人確認の方法
書類の撮影、書類を使わない照会、デジタルIDウォレットについて説明します。
デジタルIDウォレット
ウォレットごとの利用可否と保証レベルを確認できます。
法人確認 (KYB)
登記情報の照会、所有構造、主要人物を確認できます。
AMLスクリーニング
制裁、PEP、ウォッチリストのスクリーニングと継続的なモニタリングを行います。
トランザクションモニタリング
ルール、アラート、ケース、FIU向けレポートの作成に対応します。
アンケート
取引関係の目的と資金源を確認するためのテンプレートを用意しています。
データ保持
保持期間とオンデマンドでの削除について説明します。
Webhook
イベントの種類、ペイロード、署名検証について説明します。
料金
チェックごとの従量課金です。各機能の現在の料金を確認できます。