2026年4月17日、FDIC、通貨監督庁、および連邦準備制度理事会は、モデルリスク管理に関する改訂ガイダンスを共同で公表した。これは、2011年のSR 11-7以来、銀行監督のこの分野における最も重要な更新である。 このガイダンスにより、従来の2通の金融機関向け通達（FIL-22-2017およびFIL-27-2021）は廃止され、今日のモデル環境に合わせて構築された、現代化された原則に基づく枠組みに置き換えられた。
銀行業界のリスクおよびコンプライアンス担当責任者にとって、核心となる問いは、単に何が変化したかということではなく、現在のガバナンス・プログラムが、このガイダンスが求める厳格さと継続性を満たすように設計されているかどうかという点にある。
各機関の発言――そして語られなかったこと
改訂されたガイダンスは、意図的に原則に基づくものであり、規範的なものではありません。関係当局は、これが強制力のある基準を定めたものではなく、準拠していないこと自体が監督上の指摘につながるわけではないことを明確にしています。しかし、この柔軟性を「期待水準が低い」ことだと誤解してはなりません。このガイダンスでは「健全な実務」がどのようなものかを説明しており、規制当局は検査においてその基準を適用することになります。
主な対象範囲： 総資産が300億ドルを超える銀行機関 。ただし、このガイダンスは、「モデルの普及度や複雑さにより、モデルリスクへのエクスポージャーが著しい」小規模な金融機関にも明示的に適用される。
本ガイダンスにおける「モデル」とは何でしょうか。 統計学的、経済学的、あるいは金融学的な理論を適用し、入力データを処理して定量的な推計値を導き出す、複雑な定量的手法 、システム、またはアプローチを指します。 単純な算術演算、決定論的なルールに基づく処理、および基本的なソフトウェアはこれに含まれません。
対象外となるもの： 脚注3において、生成AI およびエージェント型AIモデルは明示的に除外されています。しかし、各規制当局は、これらのツールについて「銀行のリスク管理およびガバナンスの実践に基づき、適切なガバナンスと統制を決定すべきである」とも述べています。つまり、生成AIについても、何らかの形でガバナンスが求められるということです。
銀行のリスク管理およびコンプライアンス部門に対する5つの示唆
1. モデル在庫は、今や当然の基準となっている
本ガイダンスでは、包括的なモデル・インベントリの維持を「業界の一般的な慣行」と位置付けており、この表現は検査官の期待を示唆するものです。インベントリには、モデル間の依存関係、共通のデータソース、共有された仮定など、個別および全体レベルでのモデルリスクを理解するために十分な情報が盛り込まれている必要があります。
つまり、モデルの在庫管理はスプレッドシートだけの段階から脱却しなければならない。検索可能で、常に最新の状態が保たれ、検証ステータスや管理体制と連携した、ガバナンスが確立された一元化されたリポジトリこそが、説得力のあるモデル・リスク管理プログラムの基盤となる。
2. 重要性がガバナンスの階層を決定づける
本ガイダンスでは、ガバナンスの厳格さを評価するための主要な視点として「重要度」が導入されている。モデル上の重要度は、以下の2つの要因によって決まる：
- モデルのエクスポージャー — ビジネス上の意思決定におけるモデル出力の重要性 。これは 、ポートフォリオの規模やビジネスへの影響度によって測定可能である。
- モデルの目的 — モデルが規制要件や財務リスク管理（リスクが高い）を支援するものか 、それともその他の用途を支援するものか
重要度の高いモデルについては、「包括的かつ厳格な監督」が必要である。重要度の低いモデルについては、より緩やかな手法で特定・監視を行うことができる。リスクおよびコンプライアンスの責任者は、この階層化を方針とシステムの両面で具体化するとともに、重要度の分類がどのように行われ、見直されているかを文書化しなければならない。
3. 「効果的な課題提起」には、技術的な専門知識以上のものが求められる
「効果的な異議申し立て」を行うには、適切な専門知識、十分な独立性、そして変革をもたらすための組織内での地位と影響力という3つの資質を兼ね備えた人物でなければなりません。この3つ目の要素こそが、銀行がしばしば不足している点です。
内部監査の役割が明確化された。すなわち、内部監査は、モデル・リスク管理の実務が厳格かつ効果的であるかどうかを評価すべきであり、モデルの開発や検証活動を重複して行うべきではない。外部リソースを活用する銀行は、適切な監督を維持し、その業務をより広範なプログラムに統合しなければならない。
4. 継続的なモニタリングでは、状況の変化を把握しなければならない
このガイダンスでは、継続的なモニタリングを、状況の変化（商品、エクスポージャー、顧客、データの妥当性、市場の動向など）と明確に結びつけています。開発当時は良好なパフォーマンスを示していたモデルであっても、金利環境が変化したり、ポートフォリオの組み換えが行われたりした後は、もはやその目的に適さなくなる可能性があります。
これは、カレンダーに基づくレビューサイクルではなく、継続的なモニタリングへの明確な転換を示しています。年次または半期ごとのレビュープログラムを実施している銀行は、自社のモデルの重要性のプロファイルを踏まえて、そのレビュー頻度が妥当であるかどうか、また、モニタリング体制によってパフォーマンスの低下をほぼリアルタイムで検知できるかどうかを評価すべきです。
5. ベンダーモデルの検証は最優先の義務である
本ガイダンスでは、ベンダーおよびサードパーティのモデルについて、一節を割いて解説している。基盤となるコード、データ、あるいは手法が専有情報である場合でも、モデル・リスク管理の原則が適用される。銀行は以下を行わなければならない：
- ベンダーモデルの概念的な妥当性、設計、および開発データについて理解を深める
- ベンダーのモデルが依然として目的に適合しているかどうかを評価するため、継続的なモニタリングと成果分析を実施する
- ベンダーモデルをカスタマイズするために実施した調整内容を文書化し、その根拠を示し、評価する
多くの銀行機関にとって、ベンダーのモデルリスクは重大かつ増大しつつある課題となっています。フィンテック企業との提携の急増、AIを活用した与信・不正検知モデル、およびサードパーティ製のBSA/AMLシステムの普及により、銀行が最終的に責任を負わなければならないモデルの数が膨大に増加しています。これは、ベンダーが基礎となる知的財産権を保有している場合でも同様です。
AIガバナンスの不確定要素
このガイダンスの適用範囲から生成AIやエージェント型AIが明示的に除外されていることは、一時の猶予のように思えるかもしれない。しかし、そうではない。
各機関は、これらの技術が「斬新であり、急速に進化している」こと、また、銀行独自のリスク管理慣行に基づいて、ガバナンスと統制が依然として必要であることを認めています。もし貴行が、いかなる業務プロセスにおいても大規模言語モデル、AIエージェント、または生成AIツールを導入している場合は、モデル・リスク・プログラムと並行して機能し、かつそれと統合された、専用のAIガバナンス・フレームワークが必要となります。
その枠組みでは、AIによる在庫管理、バイアスおよび公平性の評価、AIによる意思決定の透明性、規制順守状況のマッピング（策定中のEU AI法や国内の枠組みを含む）、ならびに規制当局や顧客双方に対する説明可能性について対応しなければならない。
「AIはモデルリスクに関するガイダンスの対象外である」という状況と、「AIは規制の対象外である」という状況との間のギャップこそが、まさに規制上のリスクが存在する場所である。
アーチャーが、銀行業界の組織がこの基準を満たすのをどのように支援するか
Archer AI Governanceは、一元化されたAIインベントリ管理機能を備えたモデルリスク管理フレームワークのためのエンタープライズ向けアプローチを提供します。これは、リスクレベルや適用分野ごとに追跡される、包括的で分類されたAI資産のリポジトリです。 あらかじめ用意された、あるいはカスタマイズ可能な評価機能により、銀行は規制要件に照らしてAIモデルを評価することができます。すぐに利用できるコントロールライブラリは、倫理的なAIの実践を促進し、透明性確保ツールは、規制当局やステークホルダー向けにAIによる意思決定の明確な文書化を提供します。EU AI法に準拠したArcher AI Governanceは、進化し続ける各国のAIフレームワークにも対応できる柔軟性も備えています。
AIガバナンスのアプローチには、AIや統計モデルに関連する独自の規制要件やリスクを評価するための具体的な機能が含まれています。コンプライアンス評価プロセスでは、包括的な監査ログと詳細なコンプライアンスレポートを活用し、モデルと既存の規制要件との照合を支援します。データガバナンス機能により、高いデータ品質と完全性が確保されます。これは、モデル開発におけるデータ品質の重要性を強調するガイダンスに対する直接的な対応策となります。
結論
改訂された省庁横断的なモデルリスクに関するガイダンスは、規制当局が銀行組織に対し、リスクに見合った厳格さ、重要度に見合った継続性、そして検査に耐えうる十分な文書化を備えたモデルリスク管理フレームワークを用いてモデルを管理することを期待していることを示唆しています。これは継続的な取り組みであり、単発の年次プロジェクトではありません。依然としてスプレッドシート、手動による検証ワークフロー、定期的なレビュースケジュールに基づいてモデルリスク管理を行っている銀行にとって、現状と検査官の期待との間にはますます大きな隔たりが生じています。 AIをネイティブに活用する早期導入企業は、手作業によるコンプライアンスコストを40～60％削減し、3年以内に投資回収を実現しています。朗報は、これが解決可能な問題であるということです。一元化されたインベントリ、リスクベースのガバナンス階層、自動監視、統合されたAIガバナンスは、単なる理想像ではありません。これらは、Archerの顧客が現在実際に運用している機能なのです。
よくある質問
資産総額が300億ドル未満の場合、新しい省庁間モデルに基づくリスクガイダンスは当行にも適用されますか？
その可能性があります。本ガイダンスの主な対象は総資産が300億ドルを超える銀行機関ですが、モデルの普及度や複雑さによりモデルリスクへのエクスポージャーが著しい小規模な金融機関にも、その適用範囲は明示的に拡大されています。貴行が与信、不正防止、BSA/AML（銀行秘密法・マネーロンダリング防止）その他の業務において定量モデルに大きく依存している場合は、資産規模にかかわらず、自社のエクスポージャーを評価する必要があります。
当行では、サードパーティやベンダーが提供する複数のモデルを利用しています。それでも、それらの検証は当行の責任となるのでしょうか？
はい、その通りです。このガイダンスでは、ベンダーモデルの検証が最優先の義務として位置づけられています。基盤となるコード、方法論、またはデータが独自のものである場合でも、銀行は概念的な妥当性を理解し、継続的なモニタリングを実施し、カスタマイズ内容を文書化する責任を負い続けます。フィンテック企業との提携やAIを活用したサードパーティ製システムの普及が進む中、これは今日の銀行組織にとって、最も重要でありながら、しばしば過小評価されがちな課題の一つです。
生成AIはこのガイダンスの対象外となっていますが、それはつまり、生成AIを管理する必要がないということでしょうか？
いいえ。この除外措置は「無条件の許可」ではありません。各規制当局は、生成AIやエージェント型AIツールに対する適切なガバナンスと統制は、銀行自身のリスク管理慣行に基づいて決定されるべきであると明示しています。 銀行が業務プロセスにおいて大規模言語モデルやAIエージェントを導入している場合、モデルリスクプログラムと並行して運用される専用のAIガバナンスフレームワークが必要となります。これには、資産管理、バイアス評価、説明可能性、および規制コンプライアンスのマッピングが含まれます。「モデルリスクガイダンスの対象外」と「ガバナンス未整備」の間のギャップこそが、まさに規制上のリスクが存在する場所なのです。
