
コラム‐GRC/ARCA Viewpoint 英国における重要サードパーティに係る規制動向の紹介
日本の金融機関がオペレーショナルレジリエンスに係る態勢構築を検討する上で参考となる、英国のCritical Third Party規制について解説します。
2020-02-17
筆者はここ数年、コンダクトリスクやリスクカルチャーに関連するサービスを金融機関全般、また不祥事を発端として一般事業法人に対して提供する機会をいただくことがあります。
その中で多いのが、コンダクトリスクの捕捉についての問い合わせです。クライアントと話をしていると、コンダクトリスクについての基本概念は共有されているものの、そのリスクをいかに捕捉するかとなると、整理をし切れていないことも多いように感じられます。そこで今回は、コンダクトリスクの捕捉についての基本的な考え方について記します。
コンダクトリスク自体の捕捉の仕方を考える上では一般的な整理の方法が存在するわけではなく、各業態や各社でさまざまなのが実情です。それゆえ、捕捉の方法を具体的に検討する際に参考となり得る一つの考え方を示すことは有益と考え、ここで試みたいと思います。
コンダクトリスクを捕捉するには、以下の3つの軸をもとに考えることができると考えます。
これまでの筆者の経験上、コンダクトリスクを単なるイベントとして捉えようとするケースも多いように感じます。しかしこれでは単なるコンプライアンスの延長であったり、オペレーショナルリスク(以下、オペリスク)に関するイベントの集合にとどまったりしてしまいます。また、イベント軸で捉えていては、いつまで経っても後追いのリスク管理にとどまり、気が付いた時には手遅れになっていることも多いです。KRI(Key Risk Indicator)を設定することでより速いタイミングで捕捉しようとする努力は評価すべきですが、リスク発生の芽を摘み続けることは難しいと筆者は考えます。
イベントの整理にあたっては、オペリスクのデータコンソーシアムであるORX(Operational Riskdata eXchange Association)が、オペリスクを含めたタクソノミーの整理をあらためて実施していますので、参考にされてはいかがでしょうか。
インパクト軸は非常に重要な軸です。最近はオペレーショナルレジリエンスという概念が海外を中心に広まってきていますが、そこで言うインパクトトレランスの考えと基本的には同様です。コンダクトリスクによる影響を自社に対する影響のみで捉えるのではなく、顧客や市場、社会(経済効果)に対してどのような影響を与え得るか、という視点で捉えることが重要です。
もう1つ重要な検討要素として、このインパクトの水準をどこに置くのか、ということもあげられます。リスク管理という軸で捉える限りは自社へのマイナスのインパクトを評価し、いかに防止・抑制するかを考えるのが通常ですが、例えばフィデューシャリーデューティーなど顧客軸で考えた場合には必ずしもマイナスの観点だけではなく、顧客の期待やリスク許容度、競合他社との比較といった観点で、社会に与え得るプラスマイナスのインパクトをも盛り込んで水準を設定するという考えも、今後はあってもよいと考えます。英国のFinancial Conduct Authority(FCA)による5 Conduct Questions[PDF 541KB]では、コンダクトを望ましくない行動だけではなく、あるべき行動のレベルで捉えるという事例についても触れられています。これについてはコラム「コンダクトリスク管理の観点から、望ましい組織デザインを考える」の「コンダクトリスクの管理」で詳しく述べていますので、ご参照ください。
最後のドライバー軸ですが、これが最も理解することが難しく、実際に整理をする上では相応の工夫(と経験)を要するものです。ドライバーは、コンダクトリスクの特徴を捉える上で本質となる軸です。リスクドライバーとも呼ばれ、企業と顧客の間での情報の非対称性や利益の相反、商品のリスク性や複雑性、インセンティブ/評価体系など、コンダクトリスクを誘発する構造や制度に関わる事項を整理したものです。ドライバーは社内に関わるものに加えて、外部環境(市場環境、競争環境、技術革新、規制動向)に係るものを考慮することも重要です。これをどこまで考慮するのかは一律に定められるものでもないと考えます。
ちなみに一例として利益の相反について記すと、これは単純に自社と顧客間の特定取引における利益の相反(これはコンダクトリスクというよりもコンプライアンス違反になる)だけを指しているわけではありません。部門をまたいで見たり、時間軸を延ばして見たりした時に顧客との間で利益の相反や何らかの便宜(表面的なものではなく経済合理性の観点)での問題がないかを見ることなども重要となります。別の言い方をすると、構造要因間のバランスやそもそもの前提となるルールなどが崩れた時にリスクが高まると言えます。
最後に、コンダクトリスクの管理体制について、筆者の考えを簡単に記します。
コンダクトリスクをリスクとして捉えると、コンプライアンス部門かリスク管理部門のどちらが対処すべきかという話になりがちです。しかし本質的なリスクは各事業部門および商品開発部門に内在することが多いため、一義的には広い意味での第一線で対処すべきリスクと筆者は考えます。また外部環境の捕捉(特に顧客のリスク許容度や脆弱性の変化)という観点からも、「3つのディフェンスライン」のうちの第1線であるの業務執行部門のほうがリスク感度は高いと思われ、コンプライアンス部門やリスク管理部門より適切と考えます。
その前提で、コンプライアンス部門やリスク管理部門は「3つのディフェンスライン」のうちの第2線部署として出てくるわけですが、最近はコンダクトリスクを非財務リスクとして捉える考え方も広まってきており、統合的に捉えればよいと考えます。
さらに言うと、コンダクトをマイナスの側面だけではなく従業員が望ましい行動を取るための必要要素という軸でも見ると、必ずしもリスク管理部門を主幹部署とすることに固執する必要もないのではないかと考えます。金融機関であれば、フィデューシャリーデューティーやカスタマーセントリシティを所管する部署が見るという考えもあってよいのではないでしょうか。また、健全なカルチャー醸成の側面から捉えるのであれば、人材を所管する部署がリスク管理を行う、という考えもあるかもしれません。
マイナスをなくす(従業員によるコンダクトリスクを引き起こしかねない問題行動をなくす)ための打ち手(多くはルール設定やモニタリング)だけでは、いつまで経っても問題はなくならず、逆にコンダクトリスクを助長することになりかねません。顧客の視点に立ちながら、コンダクトリスクを低減させるためにあるべき行動を促す仕組み(例えば、顧客にとって最も望ましい提案や結果を提供できた時に報酬が最大化される、など)を構築していったほうが、組織全体ではよい方向に進むと考えます。
日本の金融機関がオペレーショナルレジリエンスに係る態勢構築を検討する上で参考となる、英国のCritical Third Party規制について解説します。
オペレーショナルレジリエンスに関する米国・英国・バーゼル銀行監督委員会の視点を取りまとめています。
金融庁が高い関心を寄せているコンダクトリスクの管理態勢について、管理に向けた内部監査の動向、アプローチ例、監査上の着眼点などの観点から解説します。
組織内部者による組織への犯罪行為が多発しています。脅威の実態と、企業に求められる対策を紹介します。
ユーザーの質問や命令に対して、文章の回答を返す「対話型生成AI」について、銀行実務における適用イメージ・期待される効果・リスクについて紹介するとともに、今後銀行員に求められるAIリテラシーを解説します(「銀行実務」2023年7月号 寄稿)。
金融機関のコンダクトリスクについて、定義・具体的な事例などを踏まえて、特に重要となる営業部店におけるリスク管理のポイントを概説します。
金融庁が高い関心を寄せているコンダクトリスクの管理態勢について、管理に向けた内部監査の動向、アプローチ例、監査上の着眼点などの観点から解説します。
コンダクトリスクの発生の要因は、自社の基本戦略・ビジネスモデルそのものに内在していることが少なくありません。取締役会が果たすべき責任や、リスク発生の可能性の捉え方について紹介します。