金融庁ガイドライン・規制動向とIT/FinTech企業の対応

IT・FinTech企業の規制対応では、金融庁が公表する資料を「新しい順に読む」だけでは十分ではありません。法律、政令・内閣府令、監督指針・事務ガイドライン、FAQ、分析レポート、ディスカッションペーパー、業界への要請などは、法的位置付けも、適用対象も、対応期限も異なるからです。

2026年は、資金決済法改正の施行、電子決済手段・暗号資産サービス仲介業の開始、暗号資産規制を金融商品取引法へ移す大きな制度改正、AML/CFTガイドラインの改正、ITレジリエンスやAIに関する金融庁資料の更新が相次いでいます。事業者側では、施行済みの義務と、成立済みだが施行準備中の制度、将来の監督実務を見据えるための資料を分けて管理する必要があります。

1．金融庁資料は「法的階層」を分けて読む

金融庁のウェブサイトには、法令そのものから政策対話のための資料まで、多様な文書が掲載されています。同じ「金融庁が公表した資料」でも、違反時に直接行政処分等につながり得る法令と、監督上の着眼点を示す文書、政策検討の材料であるレポートやディスカッションペーパーでは意味が異なります。

したがって、「金融庁ガイドラインに書かれている＝それ自体が法律上の義務」という整理は正確ではありません。他方で、登録業者等にとって監督指針や事務ガイドラインは、登録審査・モニタリング・検査・行政対応の実務で無視できない資料です。自社に適用される根拠法令と監督資料をセットで管理することが重要です。

1-1．裁判例から見る監督指針と行政処分の関係

東京地裁令和4年5月24日判決（令和元年（行ウ）第411号）は、第二種金融商品取引業者に対する登録取消処分の適法性が争われた事案です。原告は、ソーシャルレンディング型のファンド募集に際し、実際には存在しない貸付対象事業があるかのような表示や、根拠のない売上見込みを表示していました。裁判所は、これらを金融商品取引法・内閣府令上の禁止虚偽表示行為又は禁止誤解表示行為に当たると判断しました。

この事件で重要なのは、登録取消しという処分の重さを審査する際に、金融庁の「金融商品取引業者向けの総合的な監督指針」が具体的に用いられた点です。裁判所は、金融商品取引法52条1項が監督処分の要否・内容について処分行政庁に合理的な裁量を認めているとした上で、監督指針は行政処分の基準をあらかじめ明確にして公表することにより、公平性・透明性を確保するものと位置付けました。そして、その内容は合理的であるとして、取消処分が監督指針に従ってされたかという観点から裁量権の逸脱・濫用を審査しています。

具体的には、①行為の重大性・悪質性、②その背景となった経営管理態勢・業務運営態勢、③自主的な利用者保護対応等の軽減事由が検討されました。裁判所は、長期間・反復的な虚偽・誤解表示、多額の利用者被害、重大な確認不足、事後モニタリングの欠如、組織的な管理態勢の不備などを踏まえ、登録取消処分を適法としました。

この判決は、監督指針それ自体を法律と同じ法規範と扱ったものではありません。他方で、監督指針が公表された処分基準として、行政庁の裁量判断が合理的に行われたかを検証する際の重要な基準となり得ることを示しています。FinTech企業にとっては、法令の条文だけでなく、監督指針がどのような評価項目で重大性、管理態勢、軽減事由を見ているかまで把握し、自社の統制・記録・改善対応を設計しておくことが重要です。

2．2026年9月5日時点の主要な規制動向

2026年のIT・FinTech企業に特に影響が大きい動きを、施行状況とともに整理すると次のとおりです。

特に暗号資産については、「改正法が成立したこと」と「新しい業規制の中心部分が全面的に施行されていること」を混同しないことが重要です。契約書、利用規約、説明資料、システム仕様を改定する際は、現行法ベースの義務と、施行準備として先行対応する事項を区別します。

3．2025年改正資金決済法――2026年6月1日から何が変わったか

2025年に成立した資金決済法改正は、2026年6月1日に施行されました。改正は、電子決済手段・暗号資産、資金移動業、クロスボーダー収納代行等にまたがります。IT企業が決済機能を組み込む場合、「自社は金融事業者ではない」という事業上の呼称ではなく、実際に誰が資金・暗号資産等を受け、誰のためにどの行為を行うかで整理する必要があります。

3-1．電子決済手段・暗号資産サービス仲介業の開始

2026年6月1日から、電子決済手段等取引業者又は暗号資産交換業者の委託を受け、所属業者のために電子決済手段又は暗号資産の売買・交換の「媒介」のみを行う事業を対象とする、新たな仲介業制度が始まりました。従来のフルライセンス型の規制だけでなく、媒介に特化したビジネスモデルに応じた登録類型が用意された点が重要です。

もっとも、「紹介」「送客」「UI提供」「API接続」と称していても、利用者の注文成立にどこまで関与するかによっては媒介性が問題になります。ホワイトラベル型サービス、組込型金融、ウォレット・取引画面提供、ポイント・ステーブルコイン連携等では、契約書の肩書きだけでなく実際の画面・API・顧客導線まで確認すべきです。

3-2．ステーブルコイン・資金移動業も実装変更が必要になり得る

改正に伴う政令・内閣府令では、電子決済手段等取引業者や暗号資産交換業者に対する一定資産の国内保有命令、特定信託受益権の裏付け資産の運用範囲、資金移動業の新たな資産保全方法、第一種資金移動業の滞留規制の一定の緩和、クロスボーダー収納代行の適用関係などが具体化されています。

事業者側では、規制改正を「法務だけの対応」とせず、資金フロー図、分別・保全方法、委託先、口座構成、利用者への表示・説明、会計処理、障害時の返金・弁済まで一体で確認する必要があります。

4．暗号資産規制――金融商品取引法への大きな制度移行をどう管理するか

2026年7月15日、暗号資産を含む制度整備を盛り込んだ金融商品取引法・資金決済法改正が成立しました。背景には、暗号資産が決済手段だけでなく投資対象として広く取引される中、情報提供、無登録業者への対応、投資助言、価格形成・取引の公正性、セキュリティ等の課題が顕在化したことがあります。

制度の方向性は、暗号資産を有価証券とは異なる金融商品として金融商品取引法に位置付け、暗号資産の売買等、投資運用・投資助言、情報提供、不公正取引等について金融商品取引法を中心とした枠組みに移していくものです。現行法上の暗号資産に該当しないNFTやステーブルコインは、この暗号資産規制見直しとは区別して検討されます。

4-1．成立直後の段階では「新法ベース」と「現行法ベース」を混ぜない

2026年9月5日時点では、改正法のうち無登録業に対する罰則引上げ等の一部規定は8月12日に施行されていますが、暗号資産規制の中心部分については施行準備・移行の段階です。したがって、現行サービスの適法性判断は現在施行されている法令で行いながら、新制度への移行計画を別途持つ必要があります。

特に、暗号資産取引、取扱銘柄、発行者情報、投資助言・情報発信、取引監視、インサイダー情報に相当する重要情報、カストディ・ウォレット、システム委託等の各機能について、新制度でどの規制がかかるかを分解して確認しておくことが重要です。

4-2．セキュリティは「交換業者だけ」の問題ではなくなる

制度見直しでは、暗号資産管理に関わる重要なシステム提供者への規制も検討・整備の対象となっています。ITベンダー、ウォレット基盤、鍵管理、インフラ提供等を担う企業は、金融事業者から求められる監査権、インシデント通知、再委託管理、脆弱性管理、BCP、ログ保全等が強まる可能性を前提に契約・運用を見直すべきです。

5．AML/CFT――「体制を作ったか」から「実際に効いているか」へ

金融庁は2018年にAML/CFTガイドラインを公表し、対象金融機関等に対してリスクベース・アプローチによる管理態勢を求めてきました。2024年3月末までに基礎的な態勢整備を完了させることが要請され、その後の監督では、構築した態勢が実際のリスク低減に機能しているかという実効性の確認と高度化がより重要になっています。

2026年3月31日にはAML/CFTガイドラインとFAQが改正され、同日から適用されました。FinTech企業では、KYCサービスや取引モニタリングツールを導入した事実だけではなく、どのリスクを想定し、どの閾値・シナリオで検知し、誤検知・見逃しをどう検証し、誰が判断したかまで記録できることが重要です。

5-1．詐欺対策はAML/CFTと別建てにしない

2026年8月、金融庁と警察庁は暗号資産を用いた詐欺被害等の拡大を踏まえ、業界団体に対して、口座開設時の不正防止、出庫制限・出庫先管理、取引・アクセス環境モニタリング、疑わしい取引検知後の迅速な顧客確認・取引制限、認証強化、情報共有等の対策強化を要請しました。

不正利用対策とAML/CFTを別々の部署・システムで管理すると、兆候が分断されることがあります。ログイン環境、入出金、端末、名義、暗号資産出庫先、顧客属性等を横断して見る体制と、法務・コンプライアンス・セキュリティ・CSの連携手順を設けることが実務上重要です。

6．サイバーセキュリティ――「防御」だけでなくITレジリエンスまで見る

金融庁は「金融分野におけるサイバーセキュリティに関するガイドライン」を公表しており、管理態勢、リスク特定、防御、検知、インシデント対応・復旧、サードパーティリスク管理等を体系的に整理しています。金融サービスのクラウド化・API化が進むほど、金融事業者単体のセキュリティだけでなく、委託先・再委託先を含むサービスチェーン全体の管理が必要になります。

さらに金融庁は2026年7月30日、ITレジリエンスに関する分析レポートを公表しました。近年の地政学リスク、サイバーリスク、サードパーティリスクや、金融サービスのIT依存度の高まりを踏まえ、「障害を起こさない」だけでなく、障害や攻撃が発生しても重要業務を復旧・継続できる設計が重要になっています。

7．AI――ディスカッションペーパーを「必須ルール」と誤読しない

金融庁は2026年3月3日、AIディスカッションペーパー第1.1版を公表しました。これは、金融機関等におけるAIの活用実態、リスク管理・ガバナンスの取組事例、規制の適用関係の明確化が必要な場面等を整理し、今後の対話と政策検討につなげるための資料です。金融庁自身も分析は初期段階であり、技術革新やビジネス環境により論点が変わり得るとしています。

したがって、ディスカッションペーパーの記載を一律の法的義務として規程化するのではなく、自社のAIユースケースに応じて、既存の金融規制、個人情報保護、委託先管理、顧客説明、モデルリスク、セキュリティ等に落とし込むことが適切です。

8．個人情報保護――2027年4月1日適用の改正を先回りして確認する

個人情報保護委員会と金融庁は2026年7月24日、「金融分野における個人情報保護に関するガイドライン」の一部改正を公布し、2027年4月1日から適用するとしています。2026年9月時点では将来適用の改正であるため、現在の法令・ガイドラインに従った運用を続けつつ、改正後の要件とのギャップを洗い出して実装期限を設定するのが適切です。

個人情報対応はプライバシーポリシーの改訂だけでは完結しません。顧客情報を扱うAPI、KYC、AML、クラウド、コールセンター、AI、分析基盤等について、取得、利用、提供、委託、アクセス権限、保存期間、漏えい対応までデータフローを確認し、法務文書とシステム設定を一致させる必要があります。

9．登録の有無は「会社名」ではなく「行為」で確認する

FinTechでは、同じサービス画面の中に、決済、送金、暗号資産、電子決済手段、金融商品、投資助言、広告・紹介、本人確認等の機能が組み込まれることがあります。事業者が自ら「テック会社」「SaaS会社」「プラットフォーム」と呼んでいても、行為規制の対象外になるわけではありません。

新規提携やホワイトラベル提供の前には、金融庁の登録業者一覧等で相手方の登録状況を確認するだけでなく、その登録が今回委託・連携する業務をカバーしているか、海外事業者の場合に日本で無登録業とならないか、再委託や顧客対応の分担が登録上の前提と整合するかを確認します。

• 契約当事者の法人名・登録番号・登録業種を確認する
• 登録の対象業務と、今回のサービス機能を突合する
• 利用者資産・個人情報・認証情報を誰が保持するか確認する
• 広告・勧誘・説明・受注・約定・カストディ等の役割分担を確認する
• 再委託・海外拠点・グループ会社の関与を確認する

10．金融庁の「新着情報」を運用に落とす方法

規制更新リスクが高い分野では、「年1回まとめて法改正を確認する」だけでは不十分です。一方、金融庁の全公表資料を毎日読むのも現実的ではありません。そこで、自社に関係する登録類型・サービス・技術領域をタグ化し、変更管理台帳を運用する方法が有効です。

更新頻度は一律に決めるより、月次の新着確認、四半期の規制台帳レビュー、法案成立・政省令公布・行政処分・重大事故等をトリガーとする臨時レビューを組み合わせると運用しやすくなります。

11．実務で避けたい7つの誤解

12．IT/FinTech企業の規制対応フロー

1. サービスの資金・データ・注文・契約フローを図にする。
2. 各機能について、資金決済法、金融商品取引法、銀行法等の登録・行為規制を確認する。
3. 適用される監督指針、事務ガイドライン、FAQ、業界ルールを特定する。
4. 公表日と施行日・適用日を分け、現行対応と将来対応を別タスクにする。
5. 規程・契約・利用規約・表示・システム・業務フローの変更点を洗い出す。
6. テスト、研修、委託先確認、取締役会等の承認を実施し、証拠を保存する。
7. 施行後もKPI/KRI、事故、苦情、行政処分、新着情報をもとに定期的に見直す。

13．規制対応チェックリスト

14．よくある質問

15．主な一次資料

• 金融庁「令和7年資金決済法改正に係る政令の公布及びパブリックコメントの結果等について」（2026年5月22日）
• 金融庁「電子決済手段・暗号資産サービス仲介業を行うみなさまへ」（2026年6月1日）
• 金融庁「金融商品取引法及び資金決済に関する法律の一部を改正する法律」（第221回国会・2026年7月15日成立）
• 金融庁「令和8年金融商品取引法等改正（20日後施行）に係る政令の公布について」（2026年7月29日）
• 金融庁「マネー・ローンダリング及びテロ資金供与対策に関するガイドライン」・FAQ（2026年3月31日改正）
• 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」
• 金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2026年7月30日）
• 金融庁「AIディスカッションペーパー（第1.1版）」（2026年3月3日）
• 個人情報保護委員会・金融庁「金融分野における個人情報保護に関するガイドライン」の一部改正（2026年7月24日公布、2027年4月1日適用）
• 金融庁「暗号資産を用いた詐欺被害等防止に向けた対策の一層の強化について」（2026年8月6日）

まとめ

金融庁の規制動向を追う際には、「何が新しいか」だけでなく、「どの文書が、誰に、いつから、どの程度の法的・監督上の意味を持つか」を分けて読む必要があります。2026年は、改正資金決済法の施行と新仲介業制度の開始、暗号資産規制の金融商品取引法への移行準備、AML/CFTの実効性重視、ITレジリエンス、AIガバナンス、将来の個人情報保護対応が同時に進んでいます。

IT・FinTech企業では、法令・監督資料を法務部だけで管理するのではなく、プロダクト、エンジニアリング、セキュリティ、コンプライアンス、CS、経営管理まで含む変更管理に落とし込むことが重要です。特に新規事業や金融機関との提携では、サービス開始後に登録要否や監督上の論点が判明すると、事業モデル自体の修正が必要になることがあります。企画段階で資金フロー・契約関係・システム構成を整理し、適用法令と監督資料を確認することが有効です。