「違法な出所による資金の取引の防止および特定に関する連邦法」の改正から一般規則まで：マネーロンダリング防止（PLD）分野におけるコンプライアンスの道筋

2025年7月16日、連邦官報（「DOF」）に、違法な出所による資金の取引の防止および特定に関する連邦法（「LFPIORPI」または「本法」）の諸規定ならびに連邦刑法第400条の2を改正・追加する政令が公布された。 これらは、国家マネーロンダリング対策システムを強化し、国際金融活動作業部会（「FATF」）に対するメキシコの約束を果たすことを目的としている。 要約すると、この改正により、「脆弱な活動」のリストが拡大され、「実質的支配者」の定義が変更され、その特定に関する義務が追加されました。また、国家マネーロンダリング対策システムに様々な当局が組み込まれ、年次監査が義務化され、自主是正手続きの規則が調整され、コンプライアンス担当責任者に対する年次研修が義務化されるなど、様々な変更が加えられました。

これらの義務の大部分は、LFPIORPI施行規則（以下「施行規則」）および一般規則（以下「RCG」）の改正の対象となった。 この改正の第1弾は2026年3月に実施され、税務行政局（「SAT」）の権限、取引の累積に関する論理および24時間事前通知、ならびに政治的に重要な人物（「PEP」）に適用される制度などについて明確化した規則改正が行われた。 第2弾――そして本分析の中心的な対象――は、2026年8月7日に財務・公債省が公布したRCGの改正である。

今回のRCG改革では、「リスクベースアプローチ」から「受益者管理」に至るまで、自動化されたモニタリングメカニズムや年次監査など、12の改革軸が導入され、義務の施行は2026年から2028年にかけて段階的に行われることとなっている。 本分析では、これら12の重点分野と、それらが義務対象者の日常業務にどのような影響を与えるかに焦点を当て、最後に、コンプライアンス達成のために推奨される措置を時系列順にまとめたスケジュールを提示する。各重点分野において、法律または規則に基づく元の義務が明示されている。これは、RCGの大部分が新たな義務を創設するものではなく、前述の改革を運用面で補完するものであるためである。

脆弱な活動に関する届出および登録

この改正により、「脆弱な活動」の届出および登録手続きが強化される。同法第17条では、「脆弱な活動」を行う主体を定義しており、第18条第IVビス項では、ポータルサイトを通じて「脆弱な活動」台帳への届出および登録を行うことを義務付けている。RCGでは、信託や合弁事業などの法的形態を通じて活動を行う者に対する、具体的な届出制度が追加されている。

今回の改正は、仮想資産の交換サービスを提供する事業者にとって特に重要な意味を持ちます。 まだ登録を済ませていない事業者は、ポータルサイトでの登録申請時に第10条の2に定める情報を提出する必要があります。また、RCG改正法の施行前にすでに登録済みであった事業者は、2027年5月30日（施行後6ヶ月以内、第12項の経過措置に基づく）までに情報を更新しなければなりません。 さらに、本人確認に関する複数の付属書に実質的な変更が加えられ、内部のプロセスや書式の更新が必要となっています。 特に重要な変更点は以下の通りです：(i) すべての顧客または利用者に関する付属書において、専門資格証が有効な身分証明書から明示的に除外されたこと；(ii) 「支配受益者」に関する質問票の提出が、法人、信託、および国際機関に対して、当該受益者の実効的な本人確認義務に置き換えられたこと； (iii) 「脆弱な活動」が行われる信託およびその他の法的形態の完全な構造をマッピングし、登録することを義務付ける2つの新しい付属書（2 Bisおよび2 Ter）の追加； (iv) 自然人の書類における実質的受益者の確認について、電子署名を明示的に認めること。これにより、遠隔での顧客受け入れ手続きが可能となる；および(v) 通知の一括提出に関する協定を申請する際、当該会員団体自身の実質的受益者を特定する義務。

リスクベースのアプローチ

リスクベースアプローチ（「EBR」）を採用する義務は、RCGによって定められたものではない。これは、LFPIORPIの改正に伴い、同法第18条第VII項に盛り込まれたものであり、同条項は、「脆弱な活動」を行う者に対し、顧客または利用者のリスクを特定、分析、軽減するための評価を実施することを義務付けている。 しかし、同法の経過規定により、その施行はRCGに委ねられていた。 したがって、RCGの改正に伴い、第IIクアテル章に、少なくとも実施される行為や取引の種類、顧客または利用者、関与する国や地理的地域、ならびに利用される取引およびチャネルを考慮し、脆弱な活動に起因するリスクを特定、分析、理解、測定、および軽減することを可能にする方法論を整備する義務が盛り込まれた。 また、既存の統制措置やリスク軽減策を特定し、その実効性を評価しなければならない。この方法論は、内部方針マニュアルまたはその他の文書に記載され、国家リスク評価およびその更新情報に適用可能な情報を考慮に入れ、少なくとも12ヶ月間の当該業務に関する情報に基づいて構築されなければならない。さらに、評価に使用されるデータと自動化された仕組みに含まれるデータとの間に一貫性がなければならない。

重要な点は、新たな媒体、チャネル、形態、製品、またはサービスを導入する前、あるいは新たなタイプの顧客や利用者に向けて活動を展開する前に、評価を行う必要があるということです。これにより、従来は主に商業的または運営上の決定とみなされていたものにも、リスク分析が組み込まれることになります。 また、SAT（税務当局）は、評価手法やリスク軽減策を精査し、調整を求めたり、行動計画の提出を要求したりすることができるため、この評価は単なる内部文書にとどまらず、コンプライアンス体制における監督対象の要素となります。2027年3月1日以降、当局からの要請があった場合には、この評価書を提示できるよう準備しておく必要があります。

リスクレベルと取引プロファイル

この改革では、分析の第二段階が導入される。すなわち、義務対象者がさらされている一般的なリスクに加え、各顧客または利用者の個別のリスクレベルを評価しなければならない。

第23条の2では、少なくとも「低」「中」「高」の3つの分類を設定することが義務付けられている。また、第23条の2第1項では、顧客または利用者に対し、少なくとも6ヶ月ごとに再評価を行うことが義務付けられており、リスクレベルが高い場合はその頻度を増やすこととなっている。分類を決定するにあたり、第23条の2第2項では、以下のような要素が考慮される：

• 経済活動
• 国籍
• 住居
• 収入源
• 関係について 
• 体積 
• 頻度
• 取引高
• 出典
• 資源の配分。

また、「取引プロファイル」が正式に導入される。これは、入手可能な情報、取引件数・金額、取引頻度、資金の送金元・送金先などを踏まえ、各顧客に期待される行動パターンを特定することを目的としている。これに基づき、顧客の行動における変化や逸脱を適時に検知できるアラートシステムを導入しなければならない。

以前、2025年の改正により、LFPIORPI第18条第I項が改正され、顧客または利用者に対して直接身元を確認・把握し、その身元を検証する義務が強化された。 この改正における重要な点は、「身元確認および顧客理解」の義務が、書類上の手続きと取引関係継続中のフォローアップという2つの側面に分かれ、相互に補完し合う2つの義務、すなわち「身元確認」（取引開始時に顧客または利用者のデータおよび書類をファイルに整理すること）と「顧客理解」（顧客の活動、資金源、および取引関係における予想される行動を把握すること）が区別されたことである。 今回の改正は、とりわけ後者を強化するものである。以前は、顧客または利用者のファイルが完全かつ最新の状態にあることを少なくとも年1回確認することが求められていたが、今後は顧客理解の範囲を、取引関係における行動にも拡大しなければならない。

実際には、個々の取引が閾値を超えていなくても、義務履行者が把握している顧客情報から著しく逸脱している場合には、警告が発せられる可能性があります。このように、本人確認の過程で収集された情報は、単なる書類上の情報にとどまらず、モニタリング、リスク分類、そして場合によっては報告書の提出にも影響を及ぼすようになります。 「脆弱な業務」を行う事業者のこうした内部方針は、2027年3月1日までに完全に策定されていなければならない。 

政治的に重要な立場にある人物

新しいRCGには、「政治的に重要な人物（PEP）」に関する専用の章が盛り込まれている。 第23条の4に基づき、PEPとは、メキシコ国内または海外において、国家元首や政府首脳、政治指導者、政府・司法・軍の高官、国営企業の幹部、および政党や国際機関の要職にある者など、重要な公的職務を現在担っている、または過去に担った自然人を指す。 このカテゴリーには、配偶者、内縁の配偶者、2親等以内の血縁者または姻族、および財産上のつながりを持つパートナーや関係者が含まれます。メキシコ国内のPEPは、その職を離れた後も、翌年までその地位を維持します。

この要件を確認するため、第23条の4第1項では、金融情報局（「UIF」）のアプリケーション「Consulta PEP 2.0」を参照する仕組みが初めて導入された。この仕組みは、「脆弱な活動」を行う者が高度電子署名を用いて利用することも、UIFによる承認を得た金融機関が利用することも可能である。 顧客または利用者がPEPであり、かつリスクレベルが高い場合、強化されたデューデリジェンス措置を適用しなければならない。具体的には、取引または業務を行う前に、管理職の承認を得るか、または「脆弱な活動」を行う者が個人の場合はその理由を記録に残すこと、また、外国のPEPの場合は追加の書類を収集することが求められる。 「PEP照会2.0」による照会機能は、施行から9ヶ月後に利用可能となる。RCG改正が2026年11月30日に施行されることを踏まえると、同ツールは2027年8月30日から利用開始できる見込みである。

受益者・支配者

2025年7月の法改正により、「支配受益者」の概念はすでに変更された。具体的には、支配の閾値が50％から25％に引き下げられ、経済省への登録を規定する第IVビス章が新設され、この概念が「最終受益者」および「実質的所有者」と同等とされた。 

しかし、RCGはこれらの義務の運用面について規定している。以前は、RCGには「支配受益者」に関する専用の条項は存在せず、当時「実質的所有者」と呼ばれていた者の特定については、第12条およびその付属書におけるわずかな言及によって処理されていた。 新しいRCGでは、第IIIクインキエス章「支配受益者について」（第23クインキエス条から第23クインキエス第3条）が新設され、これがこの分野における最も重要な変更点となっている。同章内では、法人顧客の支配受益者を、また適用可能な場合には自然人の支配受益者を、あらゆるケースにおいて特定するための階層的な手法が導入されている。 現在、以下の順序による特定手順が定められている。まず、直接または間接的に資本金の25％以上を保有する者を特定する。これにより特定できない場合は、戦略、経営、意思決定に関連するその他の手段によって支配権を有する者を特定する。それでも特定できない場合は、最も上位の役職者を特定する。

信託の場合、 新しいRCGでは、初めて「支配受益者」の資格を有する者（受託者、委託者、受託管理人、保護者、技術委員会の委員）が具体的に規定されており、これらのいずれかが法人または法的構造である場合には、所有権および支配権の連鎖を遡り、最終的に支配権を行使する自然人に至るまで特定することが義務付けられています。

この本人確認（規制対象者が顧客に対して行うもの）と、2025年から同法の第IVビス章で導入された、より広範な範囲にわたる別の義務とを区別することが重要である。すなわち、商社自身が自らの実質支配者を特定し、その情報を経済省が管理する電子システムに登録する義務である （同法第33条の2および第33条の3）。改正された一般規則（RCG）は、この法人としての義務については規定しておらず、脆弱な活動を行う者が顧客に対して行う本人確認義務のみを規定しているため、これら2つの制度は並行して運用されている。

一方、新しいRCGでは、実質支配者（Beneficiario Controlador）を特定するために実施した手続き（結果だけでなく）を文書化すること、それを裏付ける情報および記録を保存すること、ならびに取引関係の存続期間を通じてそれらを最新の状態に維持することが明示的に義務付けられている。 また、実質支配者のデータを収集する必要がない例外事項の限定的なリストも再確認されています。具体的には、顧客がメキシコの証券取引所または公認された海外市場に上場している場合、あるいはRCGの付属書4-Bis、6-Bis、7-Aおよび7-Bis-Aに記載された法人のいずれかに該当する場合です。

もう一つの重要な変更点は、RCGが「支配受益者」の特定と、新たに創設されたリスク評価手法とを結びつけていることである。RCG第23条の2第4項では、リスクの高い管轄区域や優遇税制と関連する特定の非居住者顧客、および外国の政治的に重要な人物（PEP）を、高リスクとして分類することが義務付けられている。

さらに、第23条の5第3項は、金融情報局（UIF）に対し、SATの意見を聴取した上で、本章全体の遵守に向けた指針を策定する権限を付与しており、当該指針はRCGを改正することなく、インターネット上のポータルを通じて公表されることとなる。 

24時間前の告知

金額に応じた通知の枠組みに加え、改正規則では「24時間前の通知」（規則第7条の2）について詳述しており、これは取引が成立しなかった場合にも適用される。 また、「報告」についても詳細に規定している。これは、改正規則の第2条において、「通知」とは区別された独立したカテゴリーとして導入された概念（「一般的な規則に従って提出されるもの」と定義される）であり、SATが受理および監督の権限を行使する対象である。

不審事案に関する注意喚起 

今回の改革により、新たな取引プロファイルおよびアラートシステムが、疑わしい取引の届出と連動することとなった。顧客に関する情報およびその予想される行動パターンに基づき、当該プロファイルから逸脱する取引や行動を検知し、分析を行い、それらが違法な出所による資金を用いた取引と関連する要素が存在するかどうかを判断しなければならない。 取引プロファイルからの逸脱はアラートを発し、その分析を義務付けますが、自動的に24時間以内の通報を意味するものではありません。通報は、分析の結果、当該取引が不法な資金源と関連していることを示す要素が判明し、かつ関与した人物を特定できる場合にのみ行われます。

社内規定マニュアル

「内部方針マニュアル」は、同法第18条第VIII項で義務付けられており、その詳細についてはRCGに委ねられている。従来、RCGにおいては、顧客確認に関する指針および特定の基準、措置、内部手続きを定めた文書の作成がすでに求められていたが、 しかし、新たなRCGでは、その枠組みが本格的な「内部方針マニュアル」へと置き換えられ、これにはリスク管理手法を統合するとともに、顧客の本人確認および理解、リスク分類、デューデリジェンス、PEP（政治的に重要な人物）、取引プロファイル、警告、取引の累積、研修、監査、およびRCGで要求されるその他の要素に関する手続きを盛り込むことが求められている。

さらに、マニュアルには、取引関係の開始、制限、または終了を決定するための基準を定める必要があり、これらはリスク評価手法と整合していなければならない。 SATは、規則の適切な遵守のために必要であると判断した場合、変更を命じることもできる。リスク評価手法および現行のRCGに規定されるマニュアルのその他の要件を含む改訂版マニュアルは、2027年3月1日より利用可能でなければならない。

自動化メカニズム 

自動化された仕組みによるモニタリングは、2025年に追加された同法第18条第X項で義務付けられており、その運用上の詳細はRCGに委ねられている。自動化された仕組みは、スプレッドシート、データベース、またはその他の同等の手段（必ずしも専用のソフトウェアである必要はない）を用いて実装することが可能であり、必要な機能を満たし、当局による検証が可能である限り、これらを利用することができる。

これらの仕組みは、とりわけ、記録の保存および照会、同一顧客による取引の集計、取引プロファイルからの逸脱の検知、集計処理、リスク評価手法へのデータ反映、顧客分類モデルの実行、およびアラートの生成を可能にするものでなければならない。 また、リスク等級および取引プロファイルの変更履歴は10年以上保存されなければならず、これらの機能は遅くとも2027年6月1日までに導入されなければならない。

電子通知

この改正により、当局による通知制度も変更される。ポータルの確認は、従来の隔週から、少なくとも営業日ごとに1回が義務付けられることとなり（RCG第5条および第6条）、電子通知は、義務履行者が開封していなくても、送信から4営業日後に通知が完了したものとみなされる。 実務上は、毎日の確認を担当する責任者と代理者を指定し、アクセス記録を保管しておくことが望ましい。というのも、ポータルサイトを確認したかどうかにかかわらず、期限は進行するからである。

監査

新たなRCGは、2025年に導入された同法第18条第XI項に規定される年次監査の提出義務を補完するものであり、当該監査は毎年1月1日から12月31日までの期間を対象とし、監査対象年度の翌年3月の最終営業日までに監査報告書を提出しなければならない。 

規則第12条の2では、内部監査または外部監査に基づく意見書、ならびに指摘事項や不整合の是正を証明する文書を取得・保存することがすでに義務付けられているが、RCGでは、その実施の頻度、範囲、および裏付けとなる証拠について、より詳細に規定している。 

本監査は、「内部方針マニュアル」の規定、リスク評価手法、顧客分類と、実際の業務運営状況との整合性を評価することを目的としている。 

監査の実施主体は、義務対象者のリスクレベルによって異なります。リスクが低または中程度の場合、内部監査で十分であり、任意で外部の独立した者による監査を行うことも可能です。リスクが高い場合は、外部の独立した者による監査が必須となります。この者は、UIFが発行した有効な認定資格を有し、義務対象者に対する厳格な独立性に関する規則を遵守しなければなりません。

最初の年度監査期間は2028年1月1日から12月31日までとし、監査報告書は遅くとも2029年3月の最終営業日までに被監査者に提出されなければならない。 当該監査意見書の裏付けとなる書類、および指摘事項の是正を証明する証拠書類は、RCG第51条に基づき、監査意見書の交付日から起算して5年以上保存し、要求があった場合にはSATに提出しなければならない。 

研修と選考

新しいRCGでは、研修の最低必要内容、EBR手法との関連性、講師に求められる経験、保存すべき証拠、および選考プロセスに適用される要件について、現在策定が進められている。 

「脆弱な業務」を行う者は、取締役会メンバー、単独取締役、経営幹部、役員、コンプライアンス担当責任者、および顧客対応、顧客の本人確認、通知の送付、または監査を行う従業員を対象とした研修プログラムを実施しなければならない。 

研修は少なくとも年に1回実施され、リスク管理手法と整合性があり、当該分野において5年以上の経験を有する者によって実施されなければならない。研修の実施に関する文書による証拠は、少なくとも10年間保存しなければならない（第39条の2第1項）。

一方、人材選考にあたっては、対象業種における実務経験の有無、および財産犯罪による有罪判決や資格剥奪の有無について、署名入りの宣誓書を取得しなければならない。 

非営利団体および非営利法人

この改正法は、非営利団体や非営利法人に対しても具体的な措置を講じている。第38条の2から第38条の2の2に基づき、金融情報局（UIF）は、連邦刑法第139条の4に規定される犯罪に関連して、リスクに応じた比例的な措置を講じる。これには、研修・啓発プログラムのほか、寄付者や高リスク国に関連する取引の監視が含まれる。 

遵守スケジュール

日付	根拠	推奨される対応
2026年8月7日	協定第115/2026号（RCG改正）がDOFに掲載された。同法第6条第VII項に基づき公布された。	該当なし
2026年11月30日	新RCGの全面施行（第1過渡規定）。これは、RCGへの適用開始を延期した2025年法改正の過渡規定に基づくものである。	これを以て、新しいRCGが義務化され、本スケジュールに記載されている期限が適用され始める。
2027年1月1日	第1回年次研修期間の開始（第7過渡規定、第39条の2）。法律：第18条第IX項および第20条。	少なくとも年に1回、取締役会、単独取締役、経営幹部、職員、コンプライアンス担当責任者、および一般顧客への対応、顧客の本人確認、通知の送付、または監査業務を行う従業員を対象とした研修コースまたはワークショップを実施すること（第39条の2）。
2027年3月1日	当局からの要請があった場合、リスク評価手法を提示すること（第2過渡規定）。法律：第18条第VII項（および第19条、リスクに基づく簡素化措置）。	当局からの要請があった場合、リスクベースアプローチの手法を提供できるようにしておく。
2027年3月1日	リスク管理手法（第3過渡規定）を盛り込んだ、改訂版内部方針マニュアル。法律：第18条、第VIII項。	リスク管理手法を組み込み、マネーロンダリング・テロ資金供与（PLD/FT）に関する各義務を遵守するための基準および手続きを盛り込んだ、最新版の内部方針マニュアルを整備すること（第37条の2）。
2027年3月1日	行為または取引に適用されるリスク度別分類、取引プロファイル、および支配受益者に関する手続き（第4過渡規定）。法律：第18条第I項および第III項。	各取引や業務について、リスクレベル（低、中、高）および取引プロファイルに基づく分類を適用し、実質的所有者の特定手順を文書化する。
2027年3月1日	新規採用に適用される新たな採用選考手続き（第6項の経過規定；第39条の2）。法律：第18条第IX項。	新規採用者に対しては、第39条の2に規定される署名入り宣誓書を含む、採用選考手続きを適用する。
2027年5月30日	第10条の2に規定される情報の更新期限（施行日から6ヶ月以内）。これは、仮想通貨の交換を常習的かつ職業的に行う者に適用される。	RCG改正法の施行前に仮想資産をすでに登録済みのサービス提供者は、第10条の2に定める情報を更新し、提出すること。
2027年6月1日	自動化された仕組みの導入期限（第9条の経過規定；第41条）。法律：第18条、第X項。	自動化された仕組みは、RCG第41条に定める機能を満たさなければならない。
2027年7月30日	事務局が電子通知システムを導入するための期限（発効日から8ヶ月後）。	事務局に課される義務。
2027年8月30日（最大）	「PEP照会2.0」アプリケーションを通じて、政治的に重要な人物（PEP）に関する金融情報局（UIF）への照会が可能となる期限（発効日から9ヶ月後）。	この日付以降、顧客または利用者が「政治的に重要な人物」であるかどうかを判断できない場合は、金融情報局（UIF）に照会することが可能となります。
2027年12月31日	第1回年次研修期間の終了（第7項の経過措置）。法律：第18条第IX項および第20条。	研修に関する文書上の証拠を、少なくとも10年間保存すること（第39条の2第1項）。
2028年1月1日	2028会計年度の開始、年次監査の対象となる最初の期間（第8項の経過規定；第42条）。法律：第18条第XI項；規則：第12条の2。	2028年度の証拠（リスク管理手法、顧客分類、取引プロファイル、警告、および『内部方針マニュアル』に規定されるその他の管理措置）の取り込みを開始し、これをもって、関連する内部監査または外部監査の根拠とする。
2028年12月31日	2028年度決算、第1回年次監査の対象期間。	この日付を起点として、監査人が2028年の遵守状況の有効性を評価し、監査意見を発行するための期間が開始される。
2029年3月の最終営業日	2028年度を対象とする第1回年次監査の監査意見の提出期限。	意見書を受け取り、その結果を管理機関、経営陣、またはこれに相当する機関に報告する。是正措置プログラムの進捗状況をフォローアップする。
日程未定	新しい通知書の送付は、新しい公式書式を定める決議が施行されてから6か月後に行われる。	新しい公式書式を定める通達が公表されるまでは、何らの措置も求められない。同通達の施行日から、対応完了までの猶予期間は6ヶ月となる。

結論

この改革により、コンプライアンスの重点が、書類に基づくモデル（書類の完備、期限内の届出）から、継続的な監視モデルへと移行します。このモデルでは、顧客情報の把握、リスク分類、自動モニタリングを一貫して維持し、SATによる審査にいつでも対応できる状態にしておく必要があります。 現在、文書基準のみを満たしている義務履行者は、2027年および2028年に、その場しのぎでは対応できないトレーサビリティ、技術、証拠に関する要求に直面することになるでしょう。

2027年3月および6月の期限を考えると、以下の作業を行うための実質的な余裕期間は1年未満となっている：(i) EBRの方法論および内部方針マニュアルの再設計； (ii) 第41条で要求される自動化された仕組みを構築または適応させること；および (iii) 2028年の監査を内部スタッフで対応するか、それともUIF認定の外部監査人を起用する必要があるかを決定すること――この決定は、十分な余裕を持って行うことが望ましい。

貴組織が「脆弱な業務」を行っており、規制改正による具体的な影響を評価したいとお考えの場合、当社のマネーロンダリング・テロ資金供与対策（PLD/FT）コンプライアンスチームが、これらの義務に対するギャップ分析を実施し、導入に向けたロードマップの策定を支援いたします。