KYBと継続的顧客管理。eKYCの外側にある義務

「eKYCサービスを契約したので、当社の犯収法対応は完了です」——この認識のまま監査や当局対応を迎えると、確実に指摘を受けます。犯収法が求める取引時確認は、eKYCが自動化してくれる本人特定事項の確認よりずっと広く、取引目的や職業・事業内容の確認、法人顧客であれば実質的支配者の特定まで含みます。さらに確認は口座開設時の一度きりでは終わらず、継続的顧客管理という運用の義務が続きます。本記事は、金融・決済・レンディングなど法人顧客を持つサービスの開発責任者・コンプライアンス担当者に向けて、eKYCの「外側」にある義務の全体像と、それをシステムとしてどう設計するかを整理します。個人の本人確認方式そのものはeKYC完全マップ2026が担当します。法令確認日: 2026年8月23日。

この記事の要点

• 犯収法の取引時確認は本人特定事項＋取引目的＋職業/事業内容、法人はさらに実質的支配者と取引担当者の確認まで含みます。eKYCが自動化するのはこの一部です
• KYB（法人確認）の中心は実質的支配者の特定です。書類・ヒアリング・資本構造の理解が必要な領域で、APIの契約だけでは完結しません
• 継続的顧客管理はリスク格付け・情報の定期更新・取引モニタリング・記録の4点セットで、初回確認と同じ基盤で回せる設計が後の負債を防ぎます
• 「本人確認APIの契約」と「AML/CFT態勢の整備」を混同しないことが、監査対応でもシステム開発でも出発点になります

取引時確認の全体像——eKYCがカバーするのは一部

まず、犯収法の「取引時確認」で確認すべき項目を分解します。本人特定事項はそのひとつに過ぎません。

確認項目	個人	法人
本人特定事項	氏名・住居・生年月日	名称・本店所在地
取引目的	必要	必要
職業 / 事業内容	職業	事業内容
実質的支配者	—	必要（自然人まで遡る）
取引担当者の確認	—	担当者の本人特定事項と代表権限等

eKYCサービス（IC読み取り、JPKI、画像方式）が自動化してくれるのは、主に個人の本人特定事項の確認です。方式ごとの違いはeKYCの方式一覧にまとめていますが、いずれの方式を選んでも、取引目的や職業の申告を受けるフォームの設計、その申告をリスク評価へつなぐ業務設計は自社側の仕事として残ります。法人の実質的支配者に至っては、そもそも資本構造の確認という別種の作業です。「eKYC導入済み＝犯収法対応済み」ではない——これが本記事の出発点です。

KYB——法人確認の中心は実質的支配者

KYB（Know Your Business）は法人顧客に対する確認の通称で、実務は3つの作業に分かれます。

1. 法人の実在確認

登記情報（名称・本店所在地）を確認します。オンラインで完結させる場合、登記情報提供サービスの利用や商業登記電子証明書による方法が犯収法施行規則に定められています。

2. 実質的支配者の特定

その法人を実質的に支配している自然人が誰かを特定します。株式会社であれば議決権の25%超を保有する自然人が代表的な基準で、該当者がいなければ出資・融資等を通じて支配的な影響力を持つ者、それもいなければ代表者、と段階的に遡って特定します。

3. 取引担当者の確認

実際に手続きを行う担当者の本人特定事項（ここは個人向けのeKYCがそのまま使えます）と、その人が法人を代表して取引する権限があることの確認です。

この3つのうち、難所は明らかに実質的支配者です。持株会社が間に挟まる、株主が法人である、外国法人が資本に混ざる、といった構造では、申告ベースの確認と資料（株主名簿・登記・有価証券報告書等）との突き合わせが必要になります。補助となる公的制度として、商業登記所の実質的支配者リスト制度——法人が自ら申告したリストの写しの交付を受けられる制度——がありますが、義務的な登録制度ではないため、これだけで確認が完結するわけではありません。

システム設計の観点: KYBは「グラフとワークフロー」

開発の目線で言うと、KYBは「1回のAPI呼び出しで判定が返る」ものではありません。実態に合うのは次の2つを備えた設計です。

• 法人構造のデータモデル: 法人—株主—自然人の関係をグラフとして持ち、遡り判定（25%超→支配的影響力→代表者）の適用過程を再現できるようにする
• 確認資料と申告の証跡ワークフロー: どの資料で・いつ・誰が・どう判断したかを保持する。この証跡の持ち方はeKYCの証跡設計の考え方がそのまま使えます

ベンダー製のKYBツールや企業データベースは「補助データの提供」までを担い、構造の確認・申告との突合・最終判断は自社の業務です。この境界を発注時に誤解すると、「ツールを入れたのに確認業務が残っている」という不満につながります。

継続的顧客管理——確認は一度きりではない

FATF（金融活動作業部会）の対日審査以降、日本の金融機関等にはリスクベースの継続的な顧客管理が求められています。金融庁のマネロン・テロ資金供与対策ガイドラインは、顧客のリスク評価に応じて確認情報を定期的に更新することを「対応が求められる事項」として挙げています。実務に落とすと4つの要素になります。

要素	内容	実務上のポイント
顧客リスク評価	顧客・取引・国等の属性からリスクを格付け	高リスク顧客ほど短い周期で情報更新
情報の定期更新	住所・職業・取引目的・実質的支配者の変化を確認	郵送アンケートの不達・未返送が最大の課題
取引モニタリング	申告内容と実際の取引パターンの乖離を検知	取引目的・職業の申告をルールに接続する
記録	更新履歴・判断根拠を保存	保存要件は本人確認記録の保存要件を参照

とくに情報の定期更新では、郵送による確認依頼の不達・未返送が実務上の大きな課題になっており、アプリ内の更新導線や、マイナンバーカードによる再認証を使ってオンラインで完結させる設計が増えています。銀行・資金移動業での適用の実際は銀行・金融のeKYC、暗号資産交換業の事情は暗号資産交換業のeKYCで扱っています。

初回確認と同じ基盤で回す

eKYC基盤の設計に引きつけると、重要なのは「確認セッション」を初回オンボーディング専用の使い捨てにしないことです。再確認・定期更新でも同じ状態機械を回せる設計（詳細は壊れないeKYC APIの設計）にしておくと、継続的顧客管理が後付けの別システムにならず、確認記録も一元管理できます。逆にここを初回専用に作り込むと、数年後に「定期更新システムをもう一式作る」ことになります。

「eKYC API＋何か」の分担マップ

どこまでがツールで解決でき、どこからが自社の業務・設計なのか。発注前にこの境界を押さえておくと、ベンダー選定と社内体制の議論が噛み合います。

領域	ツール（eKYC等）で解決できる部分	自社の業務・設計が必要な部分
個人の本人特定事項	eKYC（IC読み取り・JPKI）	例外フロー・手動審査
取引目的・職業	フォーム部品	質問設計・リスク評価への接続
法人実在確認	登記情報連携サービス	確認結果の判断・記録
実質的支配者	補助データ（登記・企業DB）	構造の確認・申告との突合・判断
継続的顧客管理	再認証・通知の仕組み	リスク格付け・更新周期・モニタリング基準

発注前チェックリスト——KYB・継続的顧客管理を見据えて

eKYC・本人確認システムの企画段階で、次の項目を確認しておくと手戻りを防げます。

• 法人顧客を受け入れるか（受け入れるならKYBのワークフローが必要）
• 取引目的・職業/事業内容の申告フォームとリスク評価への接続を設計したか
• 実質的支配者の遡り判定（25%超→支配的影響力→代表者）を業務フローに落としたか
• 確認資料・申告・判断根拠の証跡をどこに保持するか決めたか
• 顧客リスク格付けと、格付け別の情報更新周期を定義したか
• 定期更新の導線（アプリ内更新・マイナンバーカード再認証等）を用意したか
• 確認セッションの状態機械が再確認・定期更新でも使い回せる設計か
• 確認記録・更新履歴の保存期間と削除設計を決めたか

まとめ

• 犯収法の取引時確認は、本人特定事項＋取引目的＋職業/事業内容、法人はさらに実質的支配者と取引担当者の確認まで含みます。eKYCが自動化するのは一部です
• KYBの中心は実質的支配者の特定です。25%超の議決権保有者から段階的に遡る判定を、法人構造のデータモデルと証跡ワークフローとして設計します
• 実質的支配者リスト制度は補助にはなりますが、義務的な登録制度ではないため、それだけで確認は完結しません
• 継続的顧客管理はリスク格付け・定期更新・取引モニタリング・記録の4点セットです。初回確認と同じ基盤・同じ状態機械で回せる設計が将来の二重投資を防ぎます
• 「本人確認APIの契約」と「AML/CFT態勢の整備」を混同しないことが、監査でも開発でも出発点です

よくある質問

Q. KYBとは何ですか？KYCとの違いは？

KYB（Know Your Business）は法人顧客に対する確認の通称です。個人の本人確認（KYC）に対して、法人の実在確認（登記情報）、実質的支配者の特定、取引担当者の本人確認と代表権限の確認という3つの作業から成ります。個人のeKYCがそのまま使えるのは取引担当者の本人確認の部分だけで、実質的支配者の特定には資本構造の確認という別種の作業が必要です。

Q. 実質的支配者はどうやって特定しますか？

株式会社であれば、議決権の25%超を保有する自然人が代表的な基準です。該当者がいない場合は出資・融資等を通じて支配的な影響力を持つ者、それもいなければ代表者、と段階的に遡って特定します。持株会社や法人株主が挟まる構造では、申告と株主名簿・登記等の資料を突き合わせる確認が必要です。商業登記所の実質的支配者リスト制度は補助になりますが、義務的な登録制度ではないため、これだけでは完結しません。

Q. eKYCを導入すれば犯収法対応は完了しますか？

完了しません。eKYCが自動化するのは主に個人の本人特定事項の確認です。犯収法の取引時確認には取引目的・職業/事業内容の確認が含まれ、法人顧客には実質的支配者の特定が必要です。さらに確認後もリスクに応じた継続的顧客管理（情報の定期更新・取引モニタリング）が求められます。ツールの契約とAML/CFT態勢の整備は別物です。

Q. 継続的顧客管理では何をすればよいですか？

金融庁のマネロン・テロ資金供与対策ガイドラインに沿って、(1)顧客・取引・国等の属性によるリスク格付け、(2)格付けに応じた周期での確認情報の更新、(3)申告内容と実際の取引パターンの乖離を検知する取引モニタリング、(4)更新履歴と判断根拠の記録、の4点を運用します。高リスク顧客ほど短い周期で情報を更新します。

Q. 顧客情報の定期更新はどうやって実施するのが現実的ですか？

郵送アンケートは不達・未返送が多く、実務上の大きな課題になっています。このためアプリ内に更新導線を設ける、マイナンバーカードによる再認証でオンライン完結させる、といった設計が増えています。システム面では、初回確認に使った確認セッションの仕組みを定期更新でも使い回せる設計にしておくと、別システムの追加開発を避けられます。

Q. KYBはツールやAPIで自動化できますか？

部分的にはできます。登記情報連携サービスによる実在確認や、企業データベースによる補助データの取得は自動化できます。しかし実質的支配者の構造確認、申告との突き合わせ、最終的な判断とその記録は自社の業務として残ります。KYBは一発判定のAPIではなく、法人構造のデータモデルと確認証跡を持つワークフローとして設計するのが実態に合います。

主な参考資料: 警察庁 犯罪収益移転防止法関係（JAFIC）、e-Gov 犯罪収益移転防止法施行規則、金融庁 マネー・ローンダリング及びテロ資金供与対策に関するガイドライン、法務省 実質的支配者リスト制度

TodoONada株式会社は、マイナンバーカード認証（JPKI・eKYC）を組み込んだWebサービス・スマホアプリの受託開発を行っています。犯収法・携帯電話不正利用防止法など業種ごとの本人確認要件の整理から、KYB・継続的顧客管理まで見据えたデータ設計・ワークフロー設計、開発・運用までをワンストップで支援します。料金の目安は認証機能組込みプラン150万円〜、認証込みアプリ開発プラン400万円〜、大規模・個別要件は1,000万円〜です。詳しくはマイナンバーシステム導入支援、ご相談はお問い合わせからどうぞ。

---

この記事に関連するサービス

TodoONada株式会社では、マイナンバーカード認証を組み込んだシステム開発を行っています。

• マイナンバーシステム導入支援 — JPKI・eKYC対応の本人確認をワンストップで

導入・開発のご相談はお問い合わせからお気軽にどうぞ。検討段階のご相談も歓迎です。