要約

  • 本件の処分は司法取引（DPA）であり、有罪答弁ではなかった。HSBC Bank USA, N.A.および HSBC Holdings plc は責任を認め、添付の事実陳述書を承認した。検察は刑事情報を提出し、協力、是正措置、独立した監視人などの条件付きで5年間の起訴猶予とした。手続き完了後の却下は、承認を無効にするものでも、その後のすべての管理問題を判断するものでもない。

  • エンティティと当局の境界は重要である。認められた BSA 違反は特に HSBC Bank USA に関連し、制裁違反行為には HSBC Holdings および海外関連会社も関与していた。OCC は HSBC Bank USA に対して措置を講じ、連邦準備制度（FRB）は HSBC Holdings および HSBC North America Holdings に対して措置を講じ、FinCEN は HSBC Bank USA に対して評価を行い、OFAC は HSBC Holdings との特定の制裁違反を解決した。これらの金額と判断は安易に合算すべきではない。

  • 関連会社の地位はデューデリジェンスではなかった。HSBC Bank USA の方針は、コルレス銀行業務の義務が外国銀行のリスク評価を要求していたにもかかわらず、グループの関連会社を異なる扱いにしていた。メキシコは、公的なリスク情報、HSBC Mexico の活動、深刻な内部統制の欠陥にもかかわらず、長年にわたり最も低い内部カントリーリスク区分に留められていた。

  • 監視能力は失敗の一部であった。大口の送金や現金取引は十分な自動レビューの対象から除外されるか、非常に限られた専門リソースで処理されていた。リスク分類、データカバレッジ、しきい値、人員配置、アラートの経過日数、疑わしい活動の判断が一つの依存連鎖を形成していた。

  • 持続可能な是正には運用上の証明が必要である。取締役会と規制当局は、関連会社の監査結果が顧客評価を変更し、高リスクの取引が監視対象となり、アラートの在庫が処理能力内に収まり、ケースが一貫してエスカレーションされ、管理責任者が次のドル決済や銀行券取引を受け入れる前に関連会社を制限できることを示す取引レベルの証拠を必要とする。

2012年の法的マップから始める

米国司法省の解決発表によると、HSBC Holdings および HSBC Bank USA は AML および制裁違反を認め、5年間の起訴猶予合意（DPA）を締結した。HSBC Bank USA は12億5600万ドルの没収に同意し、調整されたパッケージには OCC への5億ドル、連邦準備制度への1億6500万ドルも含まれていた。発表では、OCC への支払いが FinCEN の5億ドルの評価を満たし、OFAC の和解は DOJ の没収によって満たされたことが明記されていた。これらの相殺により、同じ経済的義務を二重に加算した誤った総額が生じるのを防いでいる。

この発表は最初のエンティティ境界を描いている。HSBC Bank USA は、コルレス口座を維持し、ドル決済を行い、銀行券業務を遂行する米国の銀行であった。HSBC Holdings は世界規模のグループの英国親会社であった。HSBC North America Holdings は親会社と米国銀行の間に位置していた。HSBC Mexico は外国の関連会社であり、関連サービスのために米国銀行の顧客であった。それぞれが異なる役割、情報セット、規制上の関係を持っていた。

法的な動詞にも規律が必要である。刑事情報が行為を告発した。DPA と組み込まれた事実陳述書が承認を提供した。検察は、機関が指定された義務を履行する間、事件を猶予することに合意した。本解決において、いずれのエンティティも有罪答弁を行っておらず、陪審員も評決を下していない。同時に、本件を未検証の申し立てとして記述することは、明示的な承認を無視することになる。

調整された措置は、一つの管理システムの複数の視点として読み解くのが最適である。DOJ は刑事的エクスポージャーと協力に取り組み、OCC は国立銀行に、連邦準備制度はグループおよび中間持株会社の監督に、FinCEN は BSA 管理に、OFAC は制裁に取り組んだ。共通の事実があっても、それらの手段が単一の命令になるわけではない。

情報は二つの異なる犯罪ファミリーを告発した

提出された刑事情報は、United States v. HSBC Bank USA, N.A. and HSBC Holdings plc における告発文書である。これは、HSBC Bank USA が銀行秘密法（BSA）に基づき、効果的な AML プログラムを維持せず、外国のコルレス口座に関するデューデリジェンスを故意に怠ったとして告発した。また、米国の制限に違反して処理された取引を含む制裁関連行為を別途告発した。

情報は自己証明するものではない。その申し立ては、被告が DPA に署名し、添付の事実を認めたために、受け入れられた記録の一部となった。報道はその順序を保持すべきである：情報によって告発され、DPA 記録で承認され、条件付きで起訴猶予となった。裁判所が審理後にすべての段落を真実と認定したと言ってはならない。

罪状の分離は異なる管理領域を反映している。コルレスデューデリジェンスは、外国機関、所有権、経営陣、市場、規制制度、予想される活動、AML 履歴が関係とリスクレベルを正当化するかどうかを問う。取引監視は、実際の取引がそのプロファイルに適合するかどうか、疑わしい活動が検出され報告されるかどうかを問う。制裁管理は、当事者、国、支払メッセージ情報が禁止事項を引き起こすかどうかを問う。これらの領域は共有データに依存するが、それぞれに固有の法的テストがある。

したがって、取締役会にはコントロール・チャージマップが必要です。重要な欠陥ごとに、責任主体、法令またはルール、ソースデータ、運用責任者、保証機能、意思決定ポイントを特定すべきです。グローバルな「金融犯罪」というラベルは、あるシステムでの関連会社リスクの決定が別のシステムでの送金監視を無効にし、支払いメッセージの慣行が三番目のシステムでの制裁フィルタリングを妨げるという事実を隠す可能性があります。

DPA は5年間の条件付きプロセスを課した

執行された延期起訴合意は、責任の受諾、協力、没収、是正、報告、および独立したモニターの設置を要求しました。それは起訴を5年間延期し、違反があった場合の延長メカニズムを提供し、政府が被告が合意の条件を満たしたと判断した場合の却下を想定していました。個人を起訴から保護するものではありませんでした。

この法的形式は説明責任にとって重要です。DPA は有罪判決でも無罪判決でもありません。それは検察官が起訴状を維持しながら時間をかけて機関のパフォーマンスをテストすることを可能にします。期間の完了後に続く却下は、合意の手続き上の結果でした。それは歴史的な行為が決して起こらなかった、すべての勧告が完璧だった、または後日弱点が発生し得ないという司法上の認定ではありません。

合意はまた、是正を証拠上の義務に変えました。HSBC は捜査に協力し、管理を維持・強化し、モニターへのアクセスを提供し、進捗を報告する必要がありました。それは、方針の書き換えを約束するよりもはるかに厳しいものです。独立したレビュアーが業務を評価するために使用できるデータ、人材、記録を機関が提供することを要求します。

現代の管理プログラムにとって、DPA の構造は耐久性のある内部契約を示唆しています。重要な是正項目ごとに、責任者、ベースライン、目標状態、証拠ソース、期限、検証方法、遅延の結果を設定すべきです。延長や代替管理は、プログラムの解説に消えるのではなく、明示的に承認されるべきです。クロージャーには、技術プロジェクトがインストールされたという宣言ではなく、持続的な期間にわたる取引サンプルが必要です。

認められた事実はグループの知識と米国銀行のエクスポージャーを結びつける

認められた事実の陳述書は中心的な事実上の権威です。HSBC Bank USA と HSBC Holdings はそれが正確であることに同意し、記述された各自の役員、取締役、従業員、代理人の行為について責任を引き受けました。陳述書は、HSBC Bank USA の行為が効果的な AML プログラムと外国のコルレス口座に関するデューデリジェンスのための BSA 要件に違反したと述べています。

認められたところによると、2006年から2010年にかけて、米国銀行は HSBC Mexico を含むグループ関連会社に対する適切なデューデリジェンスを取得または維持せず、膨大な送金人口と物理的なドル購入を適切に監視できず、十分な AML スタッフとリソースを提供できませんでした。陳述書はまた、グループは HSBC Mexico での重大な AML 問題を知っていたが、その問題とプログラムへの潜在的な影響を米国銀行に知らせなかったと述べています。

最後の点は、情報境界を越えたガバナンスの失敗です。米国銀行はそのコルレス口座について法的責任を負っていましたが、顧客に関連するグループの監査および経営情報は、その格付けと管理を設定する人々に確実に届きませんでした。グループは法的責任を集中化せずに所有権を集中化することができます。エクスポージャーが依存するすべてのエンティティに重要なネガティブ情報をルーティングしなければなりません。

事実記録はまた、被害についての正確性を支持しています。少なくとも8億8100万ドルの薬物密売収益が HSBC Bank USA を通じて検出されずにマネーロンダリングされたと述べています。その認められた金額は、メキシコから処理されたすべてのドルに拡大されるべきではありません。はるかに大きな送金および紙幣の数字は、不十分に監視されたエクスポージャーの人口を説明しており、各取引に犯罪収益が含まれていたという認定ではありません。

関連会社ステータスがリスク盲点メカニズムとなった

コルレス銀行業務により、ある機関が外国銀行、そして間接的にその銀行の顧客のために支払いおよびその他の金融サービスを提供できます。米国のコルレス銀行は、 underlying のオリジネーターと受益者についての直接情報を欠いていることがよくあります。その構造的な距離こそが、外国銀行のデューデリジェンスが存在する理由です。同じ企業グループのメンバーシップはその距離を排除しません。

認められた記録は、HSBC Bank USA の手続きが、HSBC Mexico を含むコルレス口座を維持するグループ関連会社に対するデューデリジェンスを要求していなかったと述べています。これにより、共通の所有権が適切な管理を意味するという前提が生まれました。実際には、グループ関係によりフローがより重要になり、課題がよりセンシティブになりました。顧客は商業的および組織的に近い関係にありましたが、米国銀行は関連会社の顧客と AML の弱点にさらされたままでした。

耐久性のある関連会社管理基準は、パリティから始めるべきです。すべての外国関連会社は、外部の外国銀行に適用される法定およびリスクベースの要件を満たさなければなりません。グループの知識はレビューを深めることはできますが、それを免除することはできません。ファイルには、関連会社の事業、市場、顧客構成、製品、監督環境、AML 記録、監査結果、執行履歴、および米国サービスの予想される使用を含めるべきです。

グループはまた、重要な否定的情報を定義すべきである。重大な監査結果、規制当局の制限、大規模な是正措置の滞留、高リスク商品、異常な現金取引、顧客特定の失敗は、すべてのコルレス提供者への通知をトリガーすべきである。受信エンティティは情報を認識し、リスクを再評価し、制限を記録しなければならない。誰が受信し、その調査結果に基づいて行動したかを証明せずに「共有済み」と表示するダッシュボードは、エスカレーション記録ではない。

カントリーリスクは継承された分類ではなく証拠を反映すべき

米国の銀行は、少なくとも2006年から2009年にかけて、マネーロンダリングのエクスポージャーが高いことを示す広範な公的および内部証拠があるにもかかわらず、メキシコを「標準」リスク（最下位のカテゴリ）に格付けしていた。自動監視のしきい値が国のカテゴリに大きく依存していたため、この分類は単にリスクを記述するだけではなかった。どの取引が監視対象となるかを決定していたのである。

この結合は、格付けプロセスが遅かったり政治的に影響を受けたりする場合に危険である。古い国のスコアは、現地の監査、法執行機関の情報、顧客活動が反対の方向を示していても、何百万もの取引にわたってアラートを抑制する可能性がある。したがって、格付けの所有者は、スコアを消費するすべてのダウンストリームコントロールを理解しなければならない。

防御可能なモデルは、管轄区域の脅威、規制の有効性、商品エクスポージャー、顧客構成、現金の集中度、コルレス先への依存、執行情報、および機関自身の経験を組み合わせる。データの日付、不確実性、オーバーライドを記録する。また、カントリーリスクと顧客リスクを区別する。困難な管轄区域の銀行は強力なコントロールを持っているかもしれないが、名目上は穏やかな管轄区域の関連会社は、その活動や欠陥のために高リスクを示す可能性がある。

格付けはイベント駆動型のレビューを必要とする。重大な関連会社監査、公的調査、現物通貨フローの急増、または是正措置の未完了は、直ちに分類を再開すべきである。システムは、格付けが変更された場合に変更されるすべてのシナリオ、しきい値、承認を特定すべきである。その影響分析により、委員会が監視ロジックを変更せずに新しいラベルを承認することを防ぐことができる。

ワイヤー監視は分類とカバレッジの欠如により失敗

認定された事実は、米国の銀行が2006年から2009年5月にリスク格付けが変更されるまでに、HSBC Mexico から6700億米ドル以上のワイヤー送金を処理し、それらの取引は低い分類のために自動監視システムから一般に除外されていたことを示している。この金額は、不十分に監視された母集団を定義するものであり、6700億ドルがロンダリングされたことを立証するものではない。

この違いは保証を形成すべきである。銀行はアラートの品質を測定する前にカバレッジを測定しなければならない。各シナリオに入る取引の割合は？どの顧客、国、支払いタイプ、データ欠陥が除外されるか？どのしきい値が適用されるか？ギャップはどのくらい続くか？高度なモデルも、それに到達しない母集団を補償することはできない。

データリネージは、コルレス先顧客、関連会社リスク、ワイヤー送金元と受取人、支払メッセージフィールド、地理、金額、チャネル、過去のアラートを結合すべきである。顧客または国の格付けの変更は自動的に監視に伝播され、調整により期待される母集団が変更されたことを証明すべきである。手動による伝播は、ガバナンスが「高リスク」と述べているにもかかわらず、システムが依然としてリスクが標準であるかのように動作する期間を生み出す。

シナリオのパフォーマンスは、すべての異常なワイヤーが犯罪であると推定することなく、関連する類型に対してテストされなければならない。アラートは調査を必要とする活動を特定する。ケースの決定は、レビューされた証拠、関係のコンテキスト、説明、エスカレーション、疑わしい活動報告の判断を記録すべきである。品質保証は、誤ったクローズと不要なエスカレーションの両方をテストすべきである。なぜなら、不適切に調整されたボリュームは、調査担当者を圧倒し、最も重要なケースを見えにくくする可能性があるからである。

紙幣ビジネスには独自のコントロールモデルが必要

事実認定書は、現物通貨の卸売購入と販売を高リスクのグローバルビジネスとして説明している。HSBC Bank USA は、関連期間中に HSBC Mexico から94億米ドル以上の現物米ドルを購入したが、監視は1人または場合によっては2人のコンプライアンス責任者に依存し、自動化されたシステムを欠いていた。繰り返すが、このボリュームはエクスポージャーを説明するものであり、すべての紙幣が違法であるという判断ではない。

現物通貨リスクは通常のワイヤーリスクとは異なる。レビュー担当者は、顧客がなぜドルを蓄積するのか、基礎となる預金者基盤、支店の地理、現金制限、予想される季節性、輸送と保管、カウンターパーティのコントロール、そしてボリュームが地域経済や同業他社と比較して妥当かどうかを理解する必要がある。ワイヤーエンジンだけではこれらの質問に答えることはできない。

キャパシティプランニングは明確でなければならない。経営陣は、顧客ボリューム、例外、強化された審査によって生み出されるレビューの数と複雑さを見積もるべきである。人員配置には、休暇、トレーニング、品質レビュー、調査を含めるべきであり、すべての有給時間が一次スクリーニングに利用可能であると想定すべきではない。需要がキャパシティを超える場合、事業は目に見えないレビュー債務を抱えるのではなく、活動を遅らせる、制限する、または停止しなければならない。

コントロール記録は、集計トレンド分析と取引レベルのサンプリングを保持すべきである。突然の増加、一貫して端数のない金額、支店のフットプリントと一致しないフロー、弱いソース文書、高リスク現金事業に関連する活動は、チャレンジをトリガーすべきである。独立したレビュー担当者は、実際のコントロール時間とケースをモデル化された需要と比較すべきである。収益性の高い紙幣関係は、独自の監視予算を設定することはできない。

人員配置とアラートのバックログはリスクの決定である

AML プログラムは、ルールがアラートを生成しても失敗することがある。調査担当者が迅速にレビューできない場合、疑わしい活動は通常の取引フローに混在したまま、コルレス関係は継続する。歴史的記録は、関連分野における深刻な不足と滞留を記述している。それらは単なる人材問題ではなく、機関がどれだけ未レビューのリスクを許容するかという意思決定だった。 取締役会はキャパシティ台帳を必要とする。それには新規ア

ラート、経過在庫、ケースの複雑さ、アナリストの生産性、品質結果、欠員、契約社員、技術障害、需要予測を表示すべきである。台帳は短期的な季節的急増と構造的な滞留を区別しなければならない。また、リスク検出の改善ではなく主にボリューム削減のためにしきい値が変更されたかどうかを明らかにすべきである。 エスカレーションのしきい値は事前に定められるべきである。例えば、滞留

またはボリュームの違反は、追加スタッフ、新規顧客受け入れの制限、取引限度額の引き下げ、または高リスク商品の停止を必要とする可能性がある。管理機能にはこれらの措置を課す権限が必要である。結果がなければ、赤いダッシュボードはエクスポージャーを正常化する手段となる。 スタッフの質は数と同じくらい重要である。調査担当者は、関連

会社のファイル、多言語の証拠、制裁のコンテキスト、過去の事例へのアクセスを必要とする。品質保証は、リスクとアナリスト別にクロージャをサンプリングし、繰り返し発生する証拠のギャップを特定し、教訓をデューデリジェンスとシナリオ設計にフィードバックすべきである。トレーニング完了はインプットであり、正確でタイムリーかつ再現可能なケース判断がパフォーマンス指標である。 OCC の措置は HS

BC Bank USA に対するもの

OCCの罰金発表は、BSA違反および2010年10月の一時停止命令の完全遵守違反により、HSBC Bank USA に5億ドルの罰金を課した。また、調整されたクレジットについて説明した。OCC の支払いは FinCEN の評価を満たすものである。これにより、2つの5億ドルの数字を合わせて10億ドルの流出として示すこ

とを防いでいる。 エンタープライズ向け OCC 同意命令 は、コンプライアンス委員会、全社的プログラム、リスク評価、人員配置、テスト、報告、その他の是正措置を要求した。その同意および否認も拒否もしない条項は、DOJ の DPA における認容とは異なる。この命令は強制力のある行政和解であり、刑事有罪判決ではない。

別個の 民事罰金命令 は、支払いと現金管理、銀行券、海外コルレス先、BSA/AML 管理に関する調査結果に罰金を結びつけた。命令をプログラム救済から分離することで、取締役会は財務的結果と継続的な運営義務という2種類の説明責任を見ることができる。 エンタープライズプログラムは、親会社がすべてのタスク

を所有することを意味すべきではない。米国銀行の取締役会と経営陣は、銀行のコンプライアンスに対して引き続き責任を負う。グループポリシー、共有システム、関連会社情報は、銀行が完全性と適合性をテストした場合にのみ依存できるインプットである。取締役会委員会は、すべての依存関係、ローカルギャップ、補完的統制を記録すべきである。 連邦準備制度理事会の命令はグ

ループの監督を対象とした 連邦準備制度理事会の

発表 は、HSBC Holdings と HSBC North America Holdings に共同で1億6500万ドルの罰金を課し、子会社全体の AML 管理と米ドル決済の監督が不十分であると述べた。監督の欠陥により、メキシコと米国の銀行子会社間で多額の高リスク取引が可能になったとしている。発表はまた、別個の FinCEN および OFAC の評価は、他の機関への支払いによって満たされると繰り返した。 連邦準備制

度理事会の 罰金命令 は、その評価の対象者と同意根拠を特定している。これは、OCC と連邦準備制度理事会が同じ立場で同じ主体を規制したかのように、HSBC Bank USA に再割り当てされるべきではない。正確な主体の帰属は、どの取締役会、経営チーム、管理責任者が失敗した監督の責任を負っていたかを判断するのに役立つ。 付随

する 一時停止命令 は、監督、リスク管理、法的レビュー、監査コミュニケーション、制裁コンプライアンス、是正措置を網羅するグループの改善を要求した。親会社は、ある関連会社に関する情報が別の関連会社の統制を変更できるようにする必要があり、中間持株会社は自社が管理する米国組織を監督しなければならない。 これが持株会社命令のガバナンス上の価

値である。ローカルの統制エビデンスは、平均化されたグローバルスコアにならずに集約されるべきである。深刻なメキシコ関連会社の調査結果は、経営陣が米国のコルレスエクスポージャーをレビューする際に可視化されなければならない。グループ取締役会は、ローカルの評価が監査と矛盾する箇所、情報がエンティティの境界を越えていない箇所、是正措置が遅れている事業が継続している箇所を認識すべきである。 FinCEN

の評価は民事であり、クレジットが適用さ

れた FinCEN の公式 執行記録 は、HSBC Bank USA に対する案件、日付、民事評価を特定している。索引は出典であり、根底にある文書を超えて新たな調査結果を作成するものではない。

FinCEN の評価は、米国銀行の AML プログラム、外国コルレスデューデリジェンス、取引監視、疑わしい活動の報告に対処しています。これは民事行政措置です。その5億ドルの金額は OCC の支払いによって充足されたため、元帳には法的義務と1つの貸方計上された経済的支払いの両方を記録する必要があります。

この区別は、規制データのモデルを提供します。機関は、査定額、支払額、貸方計上額、受取人、法的手段、および履行状況を別々のフィールドに保持する必要があります。評価フィールドだけで組み立てられた見出しの合計は、現金の影響を実質的に過大評価し、取締役会、株主、および一般市民を誤解させる可能性があります。

同じ構造が調査結果にも適用されます。中央の問題カタログは、法定基準、エンティティ、期間、または文言の違いを消去することなく、複数の機関を1つの根本的な統制にリンクできます。これにより、是正チームはプロジェクトの重複を回避しつつ、法務およびコンプライアンス報告は正確に維持されます。1つの統制改善が複数の命令に対応する場合がありますが、終了には各当局に合わせた証拠が必要です。

OFAC は特定の明らかな制裁違反に対処しました

財務省の2012年の執行インデックスは、その年の民事訴訟における HSBC 制裁和解の公式な出典を提供します。インデックスは、すべての支払いに関する調査結果や別途の損害計算ではありません。

詳細なOFAC 執行通知は、特定の取引について当局の用語「明らかな違反」を使用し、和解とクレジットの仕組みを説明しています。このフレーズは刑事有罪判決として書き換えるべきではありません。制裁行為はドル決済と運用的に重複していましたが、メキシココルレス AML の失敗とは異なる顧客、メッセージ、法的問題を含んでいました。

OFAC 和解合意は、OFAC と HSBC Holdings の間での解除された行為、コミットメント、条件を定義しています。無関係な活動を判断したり、すべての外国子会社を回答者にすることはありません。その3億7500万ドルの和解義務は、調整されたパッケージの下で DOJ 没収を通じて充足されました。

運用上、制裁統制は完全な支払メッセージに依存します。システムは、すべてのフォーマット変換とカバー支払いレイヤーを通じて、送金人、受取人、銀行、国の情報を保持する必要があります。手動修正、省略、または識別データを回避する指示は、保留と調査をトリガーする必要があります。子会社の地位は、不完全なメッセージを正当化できません。なぜなら、米国の清算銀行は取引を米国の制限に照らして評価する必要があるからです。

AML と制裁チームは、取引識別子と関連する関係証拠を共有しつつ、法的判断は別個に保つべきです。疑わしい取引は禁止されていない場合があり、禁止された取引は AML の類型に一致する必要はありません。データを統合すると検出が向上しますが、結論を統合すると不正確な報告が生じる可能性があります。

上院の監視が解決前の統制履歴を文書化

上院常設調査小委員会の聴聞記録は、証人、証拠、および米国金融システムの脆弱性に関する立法調査を特定しています。証言はその発言者に帰属させるべきであり、聴聞会は司法判断ではありません。

超党派のスタッフレポートは、子会社のデューデリジェンス、メキシコリスク、銀行券の流れ、監視のバックログ、監査コミュニケーション、規制監督の詳細な年表を提供します。スタッフの調査結果は強力な監視証拠を提供しますが、刑事責任を確立するものではありません。後の DOJ 声明が事実を認めた場合、その認容がより強力な法的情報源となります。

このレポートは、取締役会の情報がポリシー遵守に還元できない理由を示しています。経営陣は、HSBC Mexico が高リスク環境で事業を行い、関連する統制の弱点があり、異常に大量の物理的なドルフローを生成していたこと、米国銀行の分類が監視を抑制していたこと、リソースが不十分であったことを知る必要がありました。各事実だけでは説明を招く可能性がありますが、それらが一緒になると制限とエスカレーションが必要でした。

立法証拠は、情報がどのように移動したかを明らかにするため、システム設計にも価値があります。監査報告書、規制当局の調査結果、委員会議事録、事業データはしばしば存在しますが、責任エンティティはそれらを組み立てることができません。最新の証拠グラフは、顧客、子会社、監査問題、国スコア、製品、シナリオ、アラート、ケース、取締役会の決定を接続する必要があります。信号と取られたアクションの両方を示す必要があります。

監視人の権限が独立性を検証可能にした

DPA の監視人添付文書は、任命、アクセス、作業計画、報告、勧告、紛争、秘密保持を定義しています。監視人は儀式的な観察者ではなく、プログラムを運営するものでもありません。権限は、独立した専門家に、経営陣がコンプライアンスに責任を負いながら実施を評価し勧告を行うためのアクセスを提供します。

モニターの証拠は慎重な解釈が必要である。任命だけでは統制の弱さは証明されず、勧告は対応が必要な領域を示すものであり、実施活動は有効性を証明するものではなく、勧告の完了は恒久的な保証にはならない。最も強力な証拠は、現実的な量とプレッシャーの下で統制が機能することを示す、テスト済みの取引母集団である。

経営陣は、元の問題、リスク、責任者、提案されたアクション、モニターの対応、実施の証拠、検証結果、および異議を記録した勧告台帳を保存すべきである。経営陣が代替案を提案する場合、記録はなぜそれが目的を達成するのかを説明すべきである。取締役会は、権限のあるチャネルを超えた機密のモニターレポートを受け取ることなく、期限切れの項目や繰り返し発生する指摘事項を確認すべきである。

内部監査機能は、その判断をモニターに外部委託すべきではない。モニターの洞察を利用することはできるが、独自のリスク評価、サンプリング、報告ラインが必要である。モニター期間後も、データ、製品、リスクが変化したときにクローズされた問題を再開するトリガーと反復テストを通じて、保証は継続されるべきである。

取引監視は結合されたデータ製品である

耐久性のある監視は、すべての関連フローのインベントリから始まる。コルレス関連会社の場合、これには送金、決済、現金管理メッセージ、現物通貨の購入、トラベラーズチェック、および対象範囲内のその他の商品が含まれる。各フィードには、オーナー、スキーマ、系列、完全性調整、およびデータが遅延または不正形式の場合のコンティンジェンシーが必要である。

顧客および関連会社のコンテキストは、各取引に伴わなければならない。監視レイヤーは、最新の国および顧客格付け、所有権、商品、予想活動、監査結果、制限、および合法的に利用可能な既知の高リスクサブカスタマーを必要とする。データの所在地によって生データの保存場所が制約される可能性があるが、連合識別子と制御されたクエリによって、リスクシグナルを米国の銀行に届けることは可能である。

シナリオガバナンスは、目的、タイポロジ、母集団、しきい値、除外、モデル仮定、検証、変更承認、およびパフォーマンスを文書化すべきである。しきい値の変更は、実装前にアラート量と人員への影響を推定すべきである。キャパシティが利用できない場合、経営陣はリスクを調整するのではなく、活動を制限すべきである。

毎日、統制責任者はソースシステムの合計を監視取り込みと照合すべきである。欠落した母集団は、リスクと期間に基づいた重大度でインシデントを生成しなければならない。取締役会は、アラート合計だけでなく、重要なカバレッジの失敗を受け取るべきである。見かけ上のアラート率の低下は、改善、データ欠落、または伝播されていないリスク評価の変更を示す可能性がある。

疑わしい活動のエスカレーションにはクローズドループが必要

アラートは決定の開始であり、決定そのものではない。調査担当者は、取引履歴、関連会社のコンテキスト、顧客デューデリジェンス、比較可能な活動、過去の事例、および説明を必要とする。ケース記録は、観察された事実、顧客の声明、分析的判断、および法的結論を区別すべきである。

エスカレーションは、受信者と期限を指定しなければならない。高リスクの関連会社活動、多額の説明不能な現金、繰り返されるデータ欠落、深刻な監査結果、または制裁回避の疑いは、定義された上級コンプライアンスおよび法務の役割に到達すべきである。暫定統制には、取引保留、制限、強化されたレビュー、または関係制限が含まれる場合がある。システムは、受信した責任者がその問題を認識し解決したことを証明すべきである。

疑わしい活動の報告決定には、機密性と管轄権への配慮が必要である。グループは報告書を無差別に回覧することはできないが、他のエンティティが自らを保護できるように適切なリスク情報を共有することはできる。ガバナンスは、法的に共有可能な情報、制限された情報、および制限が評価を損なったかどうかを文書化すべきである。

品質保証は、提出されたケースと未提出のケース、遅延ケース、再開されたケース、および商業的に重要な関連会社が関与する案件をサンプリングすべきである。また、アナリスト、チーム、地域を比較して、一貫性のない基準をチェックすべきである。繰り返し発生する欠陥は、別のリマインダーを生成するのではなく、トレーニング、シナリオ、または監督を変更すべきである。

取締役会の監督はリスク選好をキャパシティに結びつけなければならない

取締役会は、年次のポリシー承認だけで AML を監督することはできない。測定可能な制限に結びついたリスク選好ステートメントが必要である：どの関連会社およびコルレス関係が許容可能か、どの強化されたデューデリジェンスが必須か、どの程度の経過アラート在庫が許容可能か、どのデータギャップが制限を必要とするか、誰が商品を停止できるか。

経営情報は、エクスポージャーと統制の健全性を結合すべきである。各高リスクの関連会社について、取締役は取引量、商品、現在の格付け、未解決の監査結果、監視カバレッジ、アラートおよびケースの経過、疑わしい活動の結果、制裁例外、人員、規制上のマイルストーン、制限を確認すべきである。集約値は、1つの外れ値の関係を隠すべきではない。

異議は記録されるべきである。反対する証拠にもかかわらず経営陣が標準的な格付けを維持する場合、取締役会は理論的根拠、反対意見、補償統制、およびレビュー日を必要とする。監視が損なわれている間に事業が継続する場合、記録は誰がエクスポージャーを受け入れたか、その理由を特定すべきである。繰り返しの受け入れは、業績と報酬に影響を与えるべきである。

取締役会はまた、独立した声を必要とする。コンプライアンスは直接アクセスを持つべきであり、内部監査はビジネスによる編集なしで報告すべきであり、モデル検証はシナリオオーナーシップから分離されるべきである。エスカレーション統計には、上級または高収益のスポンサーに対して提起された案件を含めるべきである。なぜなら、小口顧客にのみ機能するシステムは組織の独立性を示さないからである。

却下とその後の命令終了には限定的な意味しかない

5年間の DPA は、履行後に棄却される条件付きの道筋を創設した。完結と棄却は法的に重要である。すなわち、検察は有罪判決を得ずに合意された手続きに従ったことを意味する。これらは無罪、自白の撤回、または後の取引が弱点を露呈しないことの証明として説明されるべきではない。

規制命令には独自のライフサイクルがある。ある当局による修正または終了は、その当局の命令と日付に関するものである。それは他の機関の命令を自動的に終了させるものではなく、過去の調査結果を告発に変えるものでもない。したがって、現状の台帳は、発効日、修正内容、履行された金銭的条件、未履行の義務、終了の証拠、および残存する内部統制を、各命令ごとに個別に追跡すべきである。

金融機関は、2つの正反対の過ちを避けるべきである。1つは、真の改善と手続きの完了を無視する永続的失敗のレトリックである。もう1つは、棄却された DPA や終了された命令を、基礎となる統制が二度と失敗しないことの証明として扱う終了レトリックである。証拠はより正確な見解を可能にする。過去の自認は記録の一部として残り、後の完了は法的地位を変更し、現在の有効性には現在のテストが必要である。

この区別は、制度的正当性を保護する。市民、顧客、従業員、株主は、組織が何が自認され、何が要求され、何が完了され、何が独立してテストされたかを報告する場合にのみ、進捗を評価できる。「解決済み」のような単一の言葉では、これら4つの意味すべてを伝えることはできない。

データローカリティはリスクローカリティになってはならない

国境を越えた銀行記録は、秘密、プライバシー、雇用法、規制上の機密性、疑わしい取引の報告に関する正当な制限の対象となる。これらの制限は、誰が生の証拠を見ることができ、どこに保存できるかに影響する。しかし、米国の銀行が、その外国のコルレス先が重大なリスクを提示していることを知る必要性を排除するものではない。

連邦設計は、発見と開示を分離できる。グループは、エンティティ、口座、監査結果、コントロール問題について共通の識別子を維持しつつ、機密記録は許可された管轄区域に残すことができる。承認された審査者は、関連する証拠が存在すること、その分類と所有者、および詳細を要求するための統制された経路を確認できる。アクセスが拒否された場合、理由、決定者、およびリスク評価への影響が記録される。

このアーキテクチャには、最低限の情報基準が必要である。外国の関連会社は、現在の所有権と経営陣、規制上の地位、製品、顧客リスクの分布、高リスクのサブ顧客のエクスポージャー、監査評価、重要なインシデント、是正状況、予想されるコルレス活動を提供すべきである。受入銀行は、これらのフィールドを自社の顧客ファイルと照合し、欠落や不一致を指摘すべきである。

制限自体がリスクシグナルになり得る。米国の銀行がデューデリジェンスやモニタリング義務を果たすのに十分な情報を得られない場合、答えは、グループが他の場所で問題を処理したという文書化されていない仮定であってはならない。サービスを縮小し、制限を課し、手動承認を要求し、または関係を解消する必要があるかもしれない。決定と法的根拠は保持されるべきである。

取締役会は、緊急時に連邦統制が機能するかどうかをテストすべきである。深刻な関連会社の監査結果は、基礎となる報告書が移動できなくても、適時に関連するコルレス所有者に届くべきである。所有者は、深刻度、影響を受ける製品、暫定的な保護、および権威ある連絡先を知るべきである。その後、独立した保証によって、リスク評価、監視対象集団、およびビジネス上の制限が意図したとおりに変更されたことを検証すべきである。

耐久性のある保証カレンダー

毎月のコントロール保証は、取引フィードの完全性、リスク評価の伝播、アラート在庫、ケースエージング、高リスク関連会社の制限、および重要なデータインシデントを調整すべきである。結果は、製品、エンティティ、および管轄区域ごとにセグメント化されるべきである。しきい値の超過は、コメントではなく所定のアクションをトリガーすべきである。

四半期ごとのテストでは、リスクベースおよびサプライズサンプルを通じて、関連会社のコルレス関係を選択すべきである。レビュー担当者は、デューデリジェンスを再現し、監査および規制当局の情報を検査し、予想される活動をフローに対してテストし、モニタリングへの組み込みを検証し、クローズされたケースを調査し、エスカレーションを責任ある受信者まで追跡すべきである。サンプリングには、外部または内部の証拠が示唆するよりも低く評価された関係を含めるべきである。

少なくとも年1回、独立したチームが深刻なシナリオをエンドツーエンドで再現すべきである。関連会社の監査不合格、現金の急増、一貫性のない国分類、データの遅延、アラートのバックログを導入し、現在のシステムがリスクを変更し、モニタリングを強化し、活動を制限し、適切な取締役会に通知するかどうかをテストすべきである。机上の議論では不十分であり、本番に近いデータとワークフローの証拠を使用すべきである。

是正の終了には、複数のサイクルにわたる持続的なパフォーマンスが必要である。メトリクスには、グリーンステータスだけでなく、エラー率と制限も含めるべきである。コントロールの所有者は運用を証明し、検証はその証明に挑戦し、取締役会委員会は受け入れまたはさらなるアクションを記録すべきである。重要な再発は、元の問題を自動的に再開すべきである。

越境 AML チェーンにおける各主体の責務

HSBC Holdings の取締役会は、重要な関連会社リスクを伝達し、コンプライアンスに資金を提供し、報酬を調整し、現地法人がより強力な統制を課すことを可能にするグループフレームワークを提供する義務がある。グループ基準の推定が特定の関連会社に関する証拠を置き換えることを許してはならない。

中間米国持株会社は、米国組織の監督と、親会社および銀行双方への明確なエスカレーションを行う義務がある。HSBC Bank USA の取締役会は、米国のコルレス先デューデリジェンス、BSA プログラム、モニタリング、報告、制裁義務の遵守を負う。これらの義務をグループにアウトソースしたり、異議なく関連会社の格付けを受け入れることはできない。

HSBC Mexico およびその他の関連会社は、正確な顧客情報、活動情報、監査情報、是正情報を、承認されたグループおよびコルレス先の受領者に提供する義務がある。ビジネスオーナーは、完全な製品と数量の予測を提供する義務がある。コンプライアンスはリスク分類と異議申し立てを担当し、テクノロジーはフィードの信頼性、オペレーションは例外処理、調査部門はタイムリーな証拠に基づくケース対応、法務は正確な範囲と報告、内部監査は独立したテストを担当する。

規制当局は、回答者、法律、認定、救済、信用、命令のステータスについて正確な声明を出す義務がある。アナリストとジャーナリストも同様である。麻薬取引によって被害を受けたコミュニティ、合法的な国境を越えたサービスを利用する顧客、従業員、株主、そしてコルレス先の機関はすべて、無差別ではなく真剣な説明を必要としている。

アカウンタビリティの基準は独立した可視性

HSBC Mexico の記録は、劇的な罰金や低いカントリー評価に矮小化されがちだが、その深い教訓はアーキテクチャにある。グローバルグループは関連知識の断片を持っていたが、米国銀行の顧客対応、取引システム、人員配置はそれらを比例的な管理に変換できなかった。関連会社への馴染みが、より多くの証拠を提供すべき場面で、監視を緩める理由となった。

独立した可視性とは、コルレス先のプロバイダーが関連会社や商業スポンサーのみに依存することなく、そのリスクを把握できることを意味する。これは、カントリー評価と顧客格付けがモニタリング対象を変更し、現金活動には製品固有の管理が行われ、人員配置は測定された需要を反映し、アラートの滞留がビジネス上の結果をもたらし、取締役会が重大なシグナルをすべて意思決定に結び付けられることを意味する。

また、法務記録が正確に保たれることも意味する。情報は起訴であり、DPA は有罪答弁なしに認否と条件を含み、棄却は本案の免責ではなく手続き完了に基づき、OCC と Federal Reserve の命令は異なるエンティティを対象とし、FinCEN と OFAC の金額は相殺され、上院の結論は有罪判決ではなく立法監視であった。

改革の証明は、グループがグローバルプログラムを説明できることではない。独立したレビュアーが高リスクの関連会社フローを選択し、顧客と取引の証拠を再現し、なぜ監視されたかを確認し、ケースの判断を精査し、米国の金融システムがリスクを吸収する前にアクセスを制限する権限を持っていた者を特定できることである。