金融機関や暗号資産交換業者がDeFi型サービスとの提携、流動性接続、ウォレットへの機能組み込みなどを検討する際、判断軸となるのは「DeFiだから規制対象外か」ではありません。サービスを成立させる人物、ガバナンス構造、フロントエンド、開発・運用機能などを含むDeFi arrangement全体の支配構造と接続後の取引フローを把握し、自社のAML/CFT、利用者管理、取引監視、技術管理によって残余リスクを管理できるかを検討する必要があります。
金融活動作業部会（Financial Action Task Force、FATF）は2026年7月21日、「Targeted Report on Regulatory Challenges from Decentralised Finance」を公表しました。FATFは、マネー・ローンダリング（ML）、テロ資金供与（TF）、大量破壊兵器の拡散金融（PF）への対策に関する国際基準を策定・推進する政府間機関です。
今回の報告書は、2021年の「Updated Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers」を更新・補完する位置づけにあります。2021年ガイダンスが示した機能重視の考え方を踏まえ、DeFi arrangementをどのように分類し、「支配または十分な影響力」をどう判断するか、金融機関やVirtual Asset Service Provider（VASP）が接続するときに何を確認すべきかを具体化しています。
重要なのは、FATF基準が技術中立であるという前提です。この前提のもと、スマートコントラクトやソフトウェア自体を規制の対象とするのではなく、対象となる機能と実態を確認することで、金融サービスを業として提供したり、または積極的に仲介する自然人・法人を規制の対象と位置づけます。これは、名称に「分散型」と掲げていることや、取引がスマートコントラクトで自動執行されることだけでは、そのサービスや業態がFATF基準を適用すべき対象かどうかを区別できないからです。
一方、この報告書は非拘束的な文書です。各国で直ちに新たな法的義務を生じさせるものではなく、日本法上の適法性、許認可の要否、個別サービスの実施可否を直接決定するものでもありません。報告書はFATFの責任で作成されたものであり、日本政府の見解を示すものではありません。金融庁も2026年7月29日の公表ページでその旨を注記しています。
したがって、日本の事業者にとって本報告書の意義は、DeFi型サービスが一律に許容または規制されたということではなく、これまで曖昧になりやすかった分類、支配構造、接続時の統制を共通の論点として扱いやすくなった点にあります。
FATF報告書は「DeFi」と「DeFi arrangement」を区別しています。DeFiは、ブロックチェーン上のスマートコントラクトを通じて提供される技術やサービスを指します。これに対してDeFi arrangementは、そのサービスを成立させる人物、ガバナンス構造、フロントエンド、開発・運用機能などを含む、より広い仕組みです。
この区別により、コードが自動で動作しているという技術的特徴と、そのコードを誰が変更し、利用者への提供方法を誰が決め、経済的利益を誰が受け取るのかという運営実態を分けて評価できます。FATF報告書は、ガバナンスと支配構造に基づいてDeFi arrangementを大きく3つに分類しています。
第1は、支配者または十分な影響力を行使する者を識別できるDeFi arrangementです。管理者、開発者、投資家、ガバナンストークン保有者、財団、法人、フロントエンド運営者などが、重要な意思決定や金融サービスの提供を実質的に支配している場合が該当し得ます。
たとえば、特定の者がスマートコントラクトをアップグレードできる、プロトコルを停止できる、主要パラメータを変更できる、トレジャリーを管理できるといった場合です。ガバナンスをDAOへ移行していても、創設者や特定の法人が議決権、管理鍵、開発体制を維持していれば、実態として支配が残っている可能性があります。
FATFは、この分類をFATF基準の適用対象、すなわちAML/CFT対応を求められる事業主体に足り得るものとして整理しています。ただし、具体的な登録・ライセンス要件や義務内容は、各国によるFATF基準の実装と適用法令によって異なります。
第2は、支配または十分な影響力が存在すると判断できる一方、アドレスの仮名性や国境をまたぐ構造などにより、支配者を容易に特定できないDeFi arrangementです。
たとえば、特定のウォレット群が議決結果を継続的に左右している、管理鍵による変更が行われている、特定アドレスへ手数料が流れていると確認できても、それらを保有する自然人や法人を識別できない場合があります。
FATF報告書では、この分類もFATF基準の射程内にあると整理されています。しかし、義務を負うべき者を特定できなければ、監督や執行を実効的に行えないことがあります。その場合には、真に分散化されたDeFi arrangementと同様の代替的なリスク軽減措置を講じつつ、ブロックチェーン分析、ガバナンス活動の監視、関係当局や民間事業者との情報共有を通じて支配者の特定を継続するという二段階の対応が示されています。
第3は、支配または十分な影響力を行使する者が存在しない、真に分散化されたDeFi arrangementです。FATF報告書は、この分類について、義務を課すべき自然人・法人が存在しないためFATF基準を直接適用しにくく、その適用範囲外になると整理しています。
ただし、これは違法金融リスクが存在しないことや、日本国内で自由に利用できることを意味しません。他の業規制、経済制裁、利用者保護、サイバーセキュリティなどの論点も別途残ります。
また、DeFi arrangement自体に直接AML/CFT上の義務を適用できない場合でも、ステーブルコイン発行者、VASP、金融機関、オン・オフランプ、フロントエンド運営者など、周辺に存在する管理可能な接点を通じたリスク軽減が検討されます。
FATF報告書は、「支配または十分な影響力」を判断する固定的な単一基準を設けていません。DeFi arrangementごとに構造が異なるため、複数のオンチェーン・オフチェーン情報を組み合わせる機能的な評価を求めています。
報告書が示す指標は非網羅的であり、いずれか1つに該当すれば直ちに支配者と確定するものではありません。反対に、権限を複数のウォレット、法人、開発チームへ分散していても、全体として同一の者や協調する集団が意思決定を左右していれば、実質的な支配が認められる可能性があります。
オンチェーンでは、主に次の7つの観点を確認します。
オフチェーンでは、次の5つの観点が中心になります。
金融機関やVASPが接続可否を検討する際も、相手方の自己申告だけで「分散化」を判断するのは十分ではありません。オンチェーンとオフチェーンの情報を横断して確認する必要があります。
FATF報告書は、金融機関やVASPがDeFi arrangementと接続する場合、提供される商品・サービスのリスク評価を行い、特定したリスクを管理・軽減する措置を講じるべきだとしています。これはFATF勧告15が示す、新技術に関するリスク評価の考え方に基づくものです。
評価対象はDeFi arrangement単体ではありません。接続するスマートコントラクト、フロントエンド、オラクル、クロスチェーンブリッジ、利用するウォレット、入出金経路、基礎となる利用者まで含めた取引全体を見る必要があります。
識別可能な支配者が存在し、いずれかの法域で登録・ライセンスを受けている場合には、支配者の身元、登録状況、監督当局、事業内容、AML/CFT管理の設計と有効性を確認します。
FATF報告書は、DeFi arrangementが金融機関やVASPの顧客になる場合の顧客管理について勧告10に言及し、コルレス関係を構築する場合については勧告13を参照しています。実務では、関係の法的・契約的性質を確認したうえで、相手方の顧客受入方針、本人確認、制裁対応、疑わしい取引の検知、記録管理などが自社の管理水準と整合するかを評価することになります。報告書は、これらの義務を果たせない場合には接続を控えるべきだとしています。
支配が存在すると判断できても、その主体を特定できない場合は、登録状況やAML/CFT管理の責任主体を確認できません。そのため、金融機関やVASPは、自社側で利用者確認、継続的モニタリング、アドレススクリーニング、取引制限などを補完できるか検討する必要があります。
同時に、管理鍵、ガバナンス投票、手数料の流れ、フロントエンド、開発組織などに関する調査を継続し、支配者を識別できる新たな情報が得られないかを確認します。接続後にガバナンスや管理権限が変わる可能性もあるため、初回審査だけでなく継続的な再評価が必要です。
FATF報告書は、合理的な手段を尽くしても支配者を特定できない場合には、真に分散化されたDeFi arrangementと同じ軽減措置を適用すべきだと整理しています。支配者を特定できないまま接続するのであれば、相手方に依拠しない統制を自社側で組むことになります。
真に分散化されていることは、接続リスクが低いことを意味しません。むしろ、本人確認や不正取引への対応を担う相手方が存在しないため、自社がどこまで統制を補完できるかが重要になります。
基礎となる利用者を自社で識別できるか、本人確認を経ていないノンカストディアルウォレットからの直接アクセスを制限できるか、高リスクアドレスとの取引を遮断できるか、取引後も資金移動を追跡できるかを確認します。十分な統制を実装できない場合には、利用可能な機能、対象となるデジタルアセット、取引上限、接続経路を限定することも検討対象になります。
FATF報告書は、第三者KYC/CDDサービス、組み込み型の本人確認、許可リスト・遮断リストなどが有効に機能する場合、残余リスクを踏まえて管理措置を調整し得るとの考え方も示しています。ただし、技術的な仕組みがあることと、その有効性を継続的に検証できることは別の問題です。
DeFi接続を社内で検討する際は、事業開発、法務・コンプライアンス、AML/CFT、システム、サイバーセキュリティ、リスク管理が共通の論点表を持つ必要があります。初期段階では、実務統制を「相手方確認」「利用者管理」「取引監視」「技術的管理」「インシデント対応」の5領域に分けると整理しやすくなります。
第1は、相手方確認です。支配者、運営法人、財団、主要開発者、管理鍵保有者、フロントエンド運営者を特定し、登録・ライセンス、所在法域、監督状況、AML/CFT管理、外部監査の有無を確認します。相手方が「DAO」であるという説明だけで終わらせず、契約、連絡、障害対応、当局対応を誰が担うかを明確にすることが重要です。
第2は、基礎となる利用者の管理です。自社の顧客だけが利用するのか、不特定の外部ウォレットも接続できるのかによってリスクは変わります。本人確認済みの利用者に限定する仕組み、ウォレットと顧客情報の対応付け、第三者によるKYC/CDDへの依拠条件、継続的な顧客リスク評価を検討します。
第3は、取引監視です。リアルタイムまたは取引実行前後のブロックチェーン分析を利用し、制裁対象、高リスクサービス、窃取資産、ミキサーなどと関連するアドレスを検知できるかを確認します。
DeFiでは、複数ウォレットへの資金分割、流動性プールへの投入、DEXでの交換、ブリッジを介したチェーンホッピングなどが短時間で連続することがあります。そのため、単一チェーン上の直近取引だけではなく、複数チェーンとスマートコントラクトをまたいだ資金フローを分析する必要があります。
もっとも、ブロックチェーン分析には限界があります。対象外のチェーンや新規プロトコル、プライバシー保護技術、複数利用者の資産を集約するコントラクトでは、個別利用者への帰属が難しくなることがあります。分析ツールのスコアをそのまま受け入れず、対象チェーン、帰属根拠、誤検知、データ更新頻度を検証することが重要です。
第4は、技術的管理です。スマートコントラクト監査の実施主体、対象範囲、監査後の変更、バグ報奨金制度、管理鍵、マルチシグの署名条件、アップグレード権限、停止機能、オラクル、ブリッジの設計を確認します。
AML/CFTとサイバーセキュリティは異なる管理領域ですが、DeFiでは密接に接続します。スマートコントラクトの脆弱性やオラクル操作によって資産が流出すると、その後、DEXやブリッジを経由して不正資金が移転される可能性があるためです。技術的な異常検知を、取引監視や疑わしい取引への対応と連携させる必要があります。
第5は、インシデント対応です。異常取引を検知したとき、接続停止、取引制限、フロントエンドの遮断、管理鍵による緊急停止を誰が判断し、どの時間軸で実行できるかを定めます。相手方、ステーブルコイン発行者、カストディ事業者、ブロックチェーン分析事業者、関係当局との連絡経路も事前に整備します。
資産の凍結や回収が常に可能とは限りません。だからこそ、対応可能な主体と機能を接続前に特定し、法的根拠、実行権限、証跡保存、利用者への通知を含む手順を確認する必要があります。
DeFiをめぐる国際的な議論では、各機関が対象とするリスクと政策目的が異なります。一方で、名称や技術形式ではなく、実際の機能、支配構造、経済的実態を見るという方向性には共通点があります。
金融庁は2026年7月29日、FATF報告書の公表を案内し、政策企画部会（PDG）と暗号資産コンタクト・グループ（VACG）の共同議長国として取りまとめに貢献したと説明しました。ただし、同時に、報告書は日本政府の見解を示すものではないと明記しています。
FATF報告書への貢献は、日本のDeFi規制が確定したことや、DeFi型サービスの提供が承認されたことを意味しません。現時点では、DeFiの技術自体と、利用者インターフェースや運営主体が提供する機能を分け、リスクに応じた対応を検討するための論点が具体化している段階と捉えるのが適切です。
国内でも自民党の次世代AI・オンチェーン金融構想PT提言のように、オンチェーン金融に関する政策・事業上の議論は進んでいます。ただし、政治提言、業界提言、法令、監督指針は法的性質が異なります。事業者は、政策上の方向性を参考にしつつ、個別サービスについては現行法、監督上の取扱い、契約関係、資産管理の実態を別途確認する必要があります。
米国財務省は2023年4月の「Illicit Finance Risk Assessment of Decentralized Finance」で、DeFiサービスの機能や脆弱性を踏まえて違法金融リスクを分析しました。DeFiを単一のカテゴリーとして扱わず、誰がサービスを提供し、どの機能が資金洗浄や制裁回避などに悪用され得るかを見る点は、FATFの機能重視の整理と共通します。ただし、同文書は米国のリスク評価であり、日本法上の取扱いを示すものではありません。
また、金融安定理事会（Financial Stability Board、FSB）は2023年の報告書で、DeFiが伝統的金融と類似する機能や脆弱性を持ち、自動清算や相互接続性によって既存の金融安定リスクを増幅し得ると整理しました。FSBの中心的な関心は金融安定であり、AML/CFTを中心とするFATFとは対象が異なります。
加えて、証券監督者国際機構（International Organization of Securities Commissions、IOSCO）は2023年の政策勧告で、同じ活動とリスクには同等の規制上の結果を目指すという考え方を示し、DeFi arrangementの金融商品・サービスに支配または十分な影響力を持つ責任主体の特定を重視しました。主眼は市場の公正性と投資者保護ですが、表示上の分散性ではなく実態を確認する点はFATFと重なります。
これらの文書を一体の規制として読むことはできません。それぞれの目的と法的性質を区別したうえで見ると、技術中立、機能重視、支配構造の把握、リスクベースの対応という共通の分析軸が形成されつつあることが分かります。
FATF報告書が示したのは、DeFiを一律に規制対象外と見る整理でも、反対に一律に接続不能とする整理でもありません。案件ごとの支配構造と取引実態を確認し、接続する金融機関やVASPが残余リスクを管理できるかを評価する考え方です。
初期検討では、少なくとも次の問いを部門横断で共有する必要があります。
この論点表は、法的評価や導入可否の結論を代替するものではありません。しかし、「DeFiだから対象外」とする抽象的な判断から、ユースケースと接続方式ごとに検討する段階へ進むための共通言語になります。
FATFの整理によって、日本におけるDeFiの制度的不確実性が解消したわけではありません。一方、DeFiの技術とDeFi arrangementを分け、3分類、支配判断、接続時の統制という順序で検討できるようになったことで、従来よりも具体的な社内評価を行いやすくなりました。事業化の判断軸は「DeFiかどうか」だけではなく、ガバナンス、利用者、資金経路、技術的制御、インシデント対応を踏まえ、自社の統制によって残余リスクを管理できるかにあります。
Gincoは、金融機関、暗号資産交換業者、大企業によるデジタルアセット活用を、事業・制度・技術の接点から支援しています。DeFi接続では、AML/CFTやガバナンスの検討に加え、ウォレット、取引監視、スマートコントラクト、鍵管理、インシデント対応を一体で設計することが重要です。
事業構想の整理、接続方式とシステム要件の定義、ウォレット・モニタリング・運用基盤の設計などが可能です。
皆さんのデジタルアセット活用やオンチェーン金融事業実現を専門家チームが支えます。事業全体の構想からシステム要件定義、開発、保守運用まで、あらゆるフェーズからプロジェクトに伴走しますので、ぜひお気軽にご相談ください。
※本記事は2026年7月時点で公表されているFATF報告書・公式資料等に基づき、DeFiに関するAML/CFT上の論点を一般的に整理したものであり、個別事案への法令適用に関する見解を示すものではありません。FATF報告書は非拘束的な文書であり、各国における実装状況や日本法上の取扱いは、今後の公表内容によって変わり得ます。実際の許認可の要否や統制設計の適合性は、最新の法令・ガイドラインを確認のうえ、必要に応じて専門家にご相談ください。
.png)
