eKYC本人確認方法の見直しと金融庁の早期移行要請：2027年4月施行に向けた実務対応

1　なぜ「2027年4月まで待つ」では足りないのか

2026年10月9日、金融庁は、本人確認書類の画像情報を含む顧客情報等が漏えいするサイバーインシデントが発生していることを踏まえ、金融機関等へ注意喚起を公表しました。注意喚起は、サードパーティリスクやインシデント対応態勢を含むサイバーセキュリティ対策の点検、現行の非対面本人確認における本人確認書類・容貌画像の不自然な点の確認徹底、そして2027年4月1日の制度変更を待たない早期移行の三点を求めています。

ここで重要なのは、「2027年4月1日から新方式が法的に必要となること」と、「2026年10月9日時点で監督上、早期移行を求められていること」を分けることです。注意喚起それ自体が施行規則の施行日を変更するものではありませんが、対象となる金融機関等にとっては、なぜ旧方式を継続しているのか、どのリスク低減策を講じ、いつ新方式へ移行するのかを説明できる状態にしておくことが実務上重要です。

2　2027年4月1日から、何が変わるのか

2027年4月1日に施行される本人確認方法の見直しは、2025年6月24日公布の改正と2026年3月6日公布の改正をあわせて確認する必要があります。2025年改正では、本人確認書類の画像送信と容貌画像を組み合わせる非対面eKYC等、なりすまし等のリスクが高い確認方法の廃止・見直しが行われました。さらに2026年改正では、対面でICチップ付きの写真付き本人確認書類の提示を受ける場合にもICチップ情報の読取り等を求めるなど、対面での本人確認方法も見直されています。いずれも2027年4月1日に施行されます。

もっとも、改正を「本人確認はすべてマイナンバーカードのICチップだけになる」と説明するのは正確ではありません。本人確認書類の種類、対面・非対面、自然人・法人、非居住外国人等の別により、利用可能な確認方法は異なります。2026年3月の警察庁Q&Aでも、ICチップが組み込まれていない一定の写真付き本人確認書類を用いる方法などが示されています。

3　「ICチップ情報の読取に原則一本化」をどう読むか

金融庁の注意喚起は、一連の見直しを「本人確認書類の画像送信を受ける方法は廃止し、ICチップ情報の読取に原則一本化」と要約しています。これは、2025年改正による非対面の画像方式の廃止・見直しと、2026年改正による対面確認でのICチップ情報読取りの導入等を含む方向性を端的に示すものです。もっとも、個々のサービス設計では、施行規則と警察庁Q&Aに戻って適法な方法を確定する必要があります。

• 特定事業者は、法令上認められる全ての本人確認書類・全ての方法に対応する必要まではなく、自社が採用する方法を選択できます。
• ICチップを持たない一定の本人確認書類や、対象者の属性に応じた別の確認方法が残る場合があります。
• 既存顧客については、新規則施行前に適法に実施した取引時確認を基礎に、いわゆる「済み確認」を行うことができ、改正だけを理由として一律に本人確認をやり直す必要はありません。
• 施行日をまたぐ案件では、申込日だけでなく、施行日前に本人確認書類の提示・送付その他の確認行為のどこまでが完了しているかによって取扱いが変わり得ます。警察庁Q&Aに沿って、切替日の業務ルールを具体化する必要があります。

4　2026年3月Q&Aから分かる「ICチップを読めば終わり」ではない実装要件

2026年3月6日に警察庁が公表したQ&Aは、2027年4月以降の本人確認フローを実装するうえで重要な運用上の考え方を具体化しています。特に、本人確認書類の提示とICチップ情報の読取りを組み合わせる方法では、単にICチップを読み取れるだけでは足りず、読み取ったICチップ情報と本人確認書類の券面情報を照合する必要があるとされています。もっとも、必要な確認・照合内容は、採用する法定方法ごとに確認する必要があります。

5　金融機関・FinTech企業・eKYCベンダーの責任を分ける

犯収法上の取引時確認義務を負う主体と、本人確認機能を提供するITベンダーは同一とは限りません。銀行、証券会社、資金移動業者、暗号資産交換業者等のうち、自社が特定事業者として行う取引については、自社に適用される確認方法を特定し、委託先を利用していても法令遵守の責任分界を明確にする必要があります。

一方、eKYCのAPI・SDK、認証画面、審査支援、本人確認資料の保管等を提供するベンダーが、委託元と同じ犯収法上の本人確認義務を当然に負うわけではありません。ただし、ベンダーの仕様・障害・セキュリティ・再委託が委託元の法令遵守を左右する以上、契約・監査・証跡提供の設計が重要になります。ベンダー自身が別の登録業を行う場合には、その法的位置付けも別途確認します。

6　過去の本人確認画像は、方式変更だけではリスクが消えない

今回の金融庁注意喚起の背景には、本人確認書類の画像情報を含む顧客情報の漏えいがあります。新規受付をICチップ方式へ切り替えても、過去に取得した運転免許証等の画像がシステム・バックアップ・委託先環境に残っていれば、漏えい時の影響は残ります。

• 本人確認画像・容貌画像・審査ログ・IC読取結果について、何をどの法的根拠・目的で保存しているかを棚卸しする。
• 法令上保存が必要な確認記録と、業務上保持している原画像・中間データを区別する。
• アクセス権限、暗号化、バックアップ、開発・検証環境への複製、ログ閲覧権限を確認する。
• 不要となったデータの削除時期・削除方法・委託先での削除証跡を設計する。
• インシデント時の初報、原因調査、本人・当局対応、委託先協力の手順を確認する。

個人データの取扱いを委託する場合、個人情報保護法上、委託元には委託先に対する必要かつ適切な監督が求められます。eKYCを外部委託している場合も、契約を締結して終わりではなく、委託先の安全管理措置と実際の取扱状況を継続的に把握することが重要です。

7　eKYC提供契約・SLAで見直すべき条項

法改正対応では、委託元が「新方式に変えてほしい」と依頼し、ベンダーが「標準機能の変更なので追加費用が必要」と説明するなど、仕様・費用・責任の境界が問題になりやすくなります。「法令に適合するサービスを提供する」という抽象的な条項だけでは、実装時の役割分担が決まりません。

8　施行までの移行ロードマップ

2026年10月12日時点では、2027年4月1日まで半年を切っています。しかも金融庁は、施行日まで待つのではなく、可及的速やかな移行を求めています。以下は法定期限ではなく、実装を止めないための実務上の目安です。

9　切替えで見落としやすい4つの論点

9-1　既存顧客を一律に再eKYCしない

警察庁の2026年3月Q&Aでは、新規則施行前に実施した取引時確認に基づいて「済み確認」を行うことが可能であり、施行後に一律に取引時確認をやり直す必要はないとされています。もっとも、継続的顧客管理や別の特定取引で確認が必要となる場面は別問題です。

9-2　IC読取失敗時の代替フローを「画像方式への戻し」にしない

IC読取に失敗した場合の業務継続策は必要ですが、廃止された方法へ単純に戻す設計はできません。Q&A上、装置不具合の場合に合理的な期間内に読取りを行って確認を完了させる取扱いが示されているため、取引保留、再試行、別の法定確認方法、有人対応等を組み合わせます。

9-3　法人KYCと実質的支配者確認を同じフローに押し込まない

今回注目されているのは自然人の本人特定事項確認方法の変更ですが、法人顧客では法人自体の確認、取引担当者・代表者等の確認、実質的支配者の確認等が別に問題になります。「eKYCをICチップ化したから法人KYCも完了」と整理せず、法人向けフローを別に確認します。

9-4　アクセシビリティと法定代替手段を両立する

NFC対応端末を利用できない顧客、ICチップを備えない本人確認書類を保有する顧客等を想定し、法令上利用できる別ルートを確認します。顧客利便性だけを理由に廃止方法を残すのではなく、法定選択肢の中で代替フローを設計することが重要です。

10　弊所の実務上の視点：「本人確認方式マトリクス」を作る

今回の対応では、「eKYCを新SDKへ差し替える」というシステム改修だけで進めると、法令根拠・例外・委託先・保存データが分断されます。弊所では、商品・顧客・取引ごとに本人確認方式を一覧化し、法務・プロダクト・セキュリティ・オペレーションが同じ表を更新する方法が実務的と考えています。

11　移行前チェックリスト

12　よくある質問

13　弁護士への相談を検討すべき場面

• 自社の現在のeKYC方式が2027年4月1日以降も利用できるか、条文・Q&Aへの当てはめが必要な場合
• 複数の商品・顧客区分で異なる本人確認方式を使っており、全社的な移行方針を整理する場合
• eKYCベンダーとの改修費用、移行期限、障害・誤判定、法令適合性に関する責任分担を見直す場合
• 過去の本人確認画像・容貌画像の大量保管や、再委託・国外クラウドを含むデータ管理を見直す場合
• 金融庁の早期移行要請を受け、施行日まで旧方式を継続する合理性や代替統制を整理する必要がある場合
• 新規FinTechサービスで本人確認を組み込み、犯収法上の特定事業者・委託先・登録規制の関係を設計する場合

14　まとめ

eKYC本人確認方法の見直しでは、2027年4月1日という法的な施行日だけを見て対応時期を決めることは適切ではありません。金融庁は2026年10月9日、サイバーインシデントと本人確認画像の漏えいリスクを踏まえ、金融機関等に対し、現行フローの点検とICチップ情報の読取りを用いる方式等への可及的速やかな移行を求めています。

一方で、「ICチップに原則一本化」という説明を、全ての顧客・全ての取引で同じ方式を使うという意味に広げるのも正確ではありません。施行規則と警察庁Q&Aに基づき、顧客・取引・本人確認書類ごとに法定方法を確定し、該当方式でのIC読取・券面照合、例外フロー、既存顧客、法人KYC、委託先、保存データまで一体で設計する必要があります。

柳澤法律事務所では、金融機関・FinTech企業・本人確認サービス提供者における法改正対応、eKYC委託契約・SLA、利用規約、個人データ管理、セキュリティ事故対応について、実際のサービス構造・顧客導線・システム構成を踏まえて検討します。

関連記事

主要な一次資料・公式情報

• 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（2026年10月9日）
• 警察庁JAFIC「令和8年改正犯罪収益移転防止法施行規則（令和8年3月6日公布）に関するQ&A」
• 警察庁JAFIC「令和7年改正犯罪収益移転防止法施行規則（なりすまし等のリスクの高い本人特定事項の確認方法の廃止等）（令和7年6月24日公布）に関するQ&A」
• 犯罪による収益の移転防止に関する法律施行規則の一部を改正する命令（令和7年6月24日公布）
• 犯罪による収益の移転防止に関する法律施行規則の一部を改正する命令（令和8年3月6日公布、令和9年4月1日施行）
• 警察庁JAFIC「犯罪収益移転防止法施行規則の改正による本人確認方法の見直しについて」（2026年7月23日）
• 警察庁JAFIC「犯罪収益移転防止法 同施行令 同施行規則など」「改正事項に関する資料等」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 金融庁「金融分野におけるサイバーセキュリティ対策について」