FSB最終報告の12項目——重要性とリスクを起点に読む

金融安定理事会（FSB）が2026年10月15日に公表した最終報告書は、12の「健全慣行（sound practices）」を挙げています。

ただしFSBは、慣行の並び順は優先順位を示すものではないとしたうえで、金融機関の規模や、利用事例ごとの重要性とリスクに応じて、実施方法や詳しさを調整する（比例的に適用する）考え方を示しています。

本稿で考えたいのは、利用事例ごとに、文書化の詳しさ、検証の範囲や頻度、人による監督の方法をどう決めるかという問いです。

誰が何を根拠に判断するのかを、最終報告書の原文（PDF）をもとに、第5項「重要性とリスクの評価」と、ほかの項目との関係から読み解きます。

第5項から文書化（第3項）、選定（第6項）、説明可能性（第8項）、性能管理（第9項）、人による監督（第10項）へ、どうつながっているかを確かめます。

サイバー・ICT（第11項）、第三者AI（第12項）、取締役会や役割分担（第1・2・4項）は、重要性との接続に関わる範囲でのみ触れます。

何が公表されたのか——最終報告書の位置づけ

FSBの公表資料によれば、最終報告書「Sound Practices for Responsible Adoption of Artificial Intelligence (AI): Final report」は2026年10月15日に公表されました。

2026年6月10日に公表された協議報告書には、約160件の意見が寄せられました。

最終報告書と同じ10月15日に公表された「Overview of consultation responses」は、寄せられた意見と、最終版への主な反映内容をまとめています。

12項目は二つの群に分かれています。

前半の4項目は、組織全体のAIガバナンスです。

取締役会・経営陣の役割、ガバナンスの枠組みと役割分担、リスク管理枠組みへの組み込みと文書化、組織の適応力が並びます。

後半の8項目は、AIの開発から廃止までを通したライフサイクル管理です。

重要性とリスクの評価、技術の選定、データ、説明可能性、性能管理、人による監督、サイバー・ICT、第三者AIが並びます。

報告書は、国際基準を定めたり、AIの採用方法を一律に指定したりするものではありません。

特定のAI技術を採用するかどうかという事業判断に影響を与えることも、目的としていないと説明しています。

各国の法令・規制上の義務を免れさせるものでもありません。

事例（ケーススタディ）も、あくまで例示であり、期待される成果や基準を示すものではないとされています。

最終版での主な変更は、概要文書によれば次のとおりです。

• 文書化（第3項）：説明責任、追跡可能性、行動の再構成を支えるものであるべきことを明確化（とくにエージェント型AI）
• 説明可能性と透明性（第8項）：リスクや重要性の高い利用事例での透明性を強調
• 性能管理（第9項）：独立した検証に関する記述を拡充
• 人による監督（第10項）：生成AIとエージェント型AIが生む課題への対処を追記
• 第三者AI（第12項）：組み込み型AIや再委託を含む記述に拡張
• エージェント型AI：追加的な考慮事項を新設。ただし概要文書は、これらが協議段階で十分に意見募集されたものではなく、寄せられた回答から抽出されたものであり、今後変わりうると述べています。

変更点はFSBの概要文書に基づいて紹介しています。

協議案と最終版の全文を比較したものではありません。

重要性とリスクの評価を、各管理策につなげる

概要文書は、慣行の並び順は優先順位を示すものではなく、複数の段階にまたがる慣行もある、と述べています。

一方で、附属書に載る12項目の文言を見ると、重要性やリスクへの言及が複数の慣行に現れます。

• 第3項：リスク管理枠組みに、重要性とリスクの評価のプロセスを含める
• 第5項：重要性とリスクを、導入の初期段階とその後に評価する
• 第6項：AIモデルやシステムの選定で、重要性とリスクを考慮する
• 第9項：性能の評価を、重要性とリスクに見合った水準で行う
• 第10項：人による監督を、重要性、リスク、自律性、複雑さ、説明可能性に応じたものにする

ここからは、MIFの読み方です。

MIFは、重要性とリスクの評価を、文書化の詳しさ、検証の範囲や頻度、人による監督の方法を決めるための判断材料として使うことを勧めます。

適用される法令・規制、既存の社内規程、組織が定めたリスクの許容範囲も、あわせて確認します。

採用するモデルや管理策を具体化する過程で評価を見直し、運用後の結果も反映します。

「重要性」と「リスク」は別の軸

第5項で重要なのは、報告書が重要性（materiality）とリスクを、関連はするが別の概念として区別している点です。

報告書の説明では、両者は実務上、一つのプロセスで評価してもよいとされています。

そのうえで、両方の評価が、利用事例に見合った管理策（ガードレールを含む）や、人による監督の方法・程度を決める際に関係するとしています。

重要性が測るもの

報告書によれば、利用事例の重要性は、そのAI利用が、金融機関の存続、重要な業務（critical operations）の継続、主要な法令・規制上の義務の履行に、どれほど重要かを表します。

ここでいう義務には、顧客に対する義務も含まれます。

評価の際に考慮する観点として、報告書は次の四つを挙げています。

• 財務・業務・戦略上の重要性：金融機関にとっての財務上・運用上・戦略上の重要度（その利用事例に依存する重要業務や中核事業を含む）
• 業務の中断をどこまで許容できるか：その利用事例が支える業務の中断に対して適用される許容度（金融機関、当局、基準設定主体のいずれが定めたものでも）
• 使用・参照するデータの性質：学習に使うデータや、成果を出すためにアクセスしうるデータの性質（サービス提供者と共有するものを含む）
• モデル・システム・提供者を代替できるか：基盤となるモデルやシステム（および提供者）を替えられるか、同等の能力をもつものの入手性やコスト

また報告書は、AIが重要業務を支える関わり方には幅があるとし、書類の自動仕分けのような限定的な事務作業から、業務の機能に不可欠なものまで挙げています。

リスクが測るもの

リスクは、金融機関またはその顧客に生じうる害を指します。

報告書は、リスクを生み出し、あるいは増幅しうる要因として、次のような点を挙げます。

• AIの自律性、能力、複雑さ、システムや機微データへのアクセスの範囲、行動の範囲
• サイバー・ICT上の脆弱性、データ依存、説明可能性、信頼性、代替可能性、性能劣化のしやすさ、第三者・サプライチェーンへの依存
• 人による監督の実現可能性と、AIの出力への依存の度合い
• 関連する法令・規制上の要件

評価するのは、対策を講じる前のリスク（固有リスク）と、対策を講じた後に残るリスク（残余リスク）の両方です。

重要性が低くても、リスクは高くなりうる

報告書は、重要性が高くなくてもリスクが高い利用事例がありうると明記しています。

例として挙げられているのは、自律性の高いAIエージェントが、重要性の低い作業を行う場合です。

定められた境界の外で動いたり、閉じた学習環境から外へ出たりすれば、重大な害を生じうるとされています。

この区別は、実務では見落とされうると考えています。

重要性だけを見て「社内の補助的な作業だから管理は簡素でよい」と判断すると、権限の広いエージェントに、権限に見合わない管理しか置かれない事態が起こりえます。

MIFは、重要性とリスクの評価結果に加え、それぞれの判断根拠を記録することを勧めます。

台帳に別々の欄を設けるのは、その一つの方法です。

総合ランクを使う場合も、元の評価と根拠を辿れるようにしておきます。

どちらも固定された値ではない

報告書は、重要性が時間とともに変わりうるとも述べています。

報告書は、金融機関がまず重要性の低い業務でAIを使い、経験を積んでから重要な業務へ利用を広げることが多いと説明しています。

そのため、導入時に加え、定期的な見直しや利用拡大の判断時にも、重要性を再評価する考え方を示しています。

リスクも、技術や利用の変化が速いため、定期的に評価し直すとされています。

インシデントや性能低下の検知といった事象を契機にも評価を繰り返し、その結果としてリスク区分が変わりうるとされています。

エージェント型AIについては、もう一点あります。

報告書は、エージェントの権限が広がると、アクセスに伴うリスクが単純な足し算を超えて複合的に増す可能性を指摘しています。

新しい権限を加える際には、その権限だけでなく、既存の権限との組み合わせで全体のリスクを評価する考え方です。

評価の結果は、どの管理方法の判断材料になるのか

第5項の評価結果が、ほかの慣行の記述にどう現れるかを、報告書の本文から拾います。

慣行	重要性・リスクに応じて変わるもの	報告書の記述（要旨）
第3項 文書化	手続きの厳格さ、記録の詳しさ	重要性もリスクも低い利用事例には簡素な手続き、重要性やリスクが高いものには厳格な手続きを置く例が示されている。必要に応じて記録を詳しくする。重要性のごく低い事例まで全件を同じ詳しさで記録する必要はない、との注記がある
第6項 選定	内製か調達か、どの種類のAIか	重要性とリスクは選定の考慮要因の一つ。最も複雑なモデルが常に最適とは限らず、より単純で説明しやすいもので足りる場合もある
第8項 説明可能性	補完的な管理策の重要度	説明可能性が制約される場合に、その制約を補う管理策（報告書の言う compensating controls。本稿では「補完的な管理策」と訳す）は、重要性やリスクが高い利用事例で特に重要。それでも許容範囲に収まらなければ、性能が劣っても、より説明可能なAIや非AIのモデルを検討する
第9項 性能管理	評価の頻度・範囲・種類、誤りへの許容度	重要性やリスクの高い利用事例は、より高い性能要件と低い誤り許容度が正当化されうる。とくに重要性やリスクの高い事例では、専任の検証担当など独立した担当者による評価を行うとされる
第10項 人による監督	監督の形態	重要性、リスク、技術的実現可能性、比例性、資源の効率性、法令・監督上の考慮を踏まえて選ぶ。複数の方法を併用でき、段階ごとの使い分けもありうる

第10項については、もう一点押さえておきたい記述があります。

報告書は、実効的な監督とは、介入するための十分な能力、権限、動機（インセンティブ）を人が持つことであり、形式的なチェックや「チェックボックスを埋める」ためのものではないと述べています。

監督の形態を重要性やリスクに合わせて選んだとしても、その監督が実際に働く状態になっていなければ意味が薄い、という趣旨です。

また第12項の記述には、第三者AIについて十分な保証や情報が得られない場合の補完的な管理策として、導入当初は重要性もリスクも低い利用事例に使用を限る、という例が挙がっています。

評価結果が、AIを「どこから使い始めるか」の判断にも使われる例です。

なお、評価と管理策の関係は一方向ではありません。

人による承認や接続先の権限制限を設けた結果、残るリスクを低いと評価したとします。

その後に「低リスクだから承認を減らす」と判断すれば、最初の評価の前提が変わります。

MIFは、対策後のリスクが低いと評価された場合も、その評価がどの管理策を前提としているかを残すことを勧めます。

管理策を変更・縮小する場合は、その前提が変わることも含めて再評価します。

保険会社のエージェント事例に見る、任せる業務の重要性と自律性の水準

報告書には、任せる業務の重要性と自律性の拡大を、ともに慎重に判断している保険会社の事例があります。

以下は報告書の記述の要約で、事例は例示にすぎず、基準や期待される成果ではありません。

大手の生命保険会社が、消費者向けの保険金請求の処理に、AIエージェントを使い始めた事例です。

請求情報の受付や保存、初期評価、顧客への応答などの手作業を、エージェントに担わせています。

消費者向けでは初めてのエージェント利用であるため、とくに慎重に進めたとされています。

当初は第三者提供のエージェントを使う予定でしたが、透明性と統制を高めるために自社で構築する方針に変えています。

自律性の水準（最小・制約付き・完全）、権限付与とアクセス、禁止される活動、起動条件などについて標準と手順を整えました。

保護された環境での初期テストでは、エージェントを誘導すると、許可されていないデータベースやシステムにアクセスしようとし、あるケースではデータファイルを削除しようとしたため、権限付与とアクセスの統制を追加したと記されています。

本番では、制約付きの自律性で運用し、各エージェントを個別に登録して追跡し、必要最小限の権限だけを与え、活動を継続的に監視して中間の判断や手順まで記録しています。

そのうえで、この会社は、エージェントの活動（ヒヤリハットや想定外の問題を含む）をさらに時間をかけて確認・分析するまで、エージェントに任せる業務の重要性（materiality）も、与える自律性の水準も拡大する予定はない、とされています。

MIFが注目するのは、任せる業務の重要性と、認める自律性の水準を、拡大前にそれぞれ確認している点です。

この事例は、十分な確認ができるまで両方の拡大を控える方針を示しています。

利用事例ごとに記録しておきたいこと

ここからは、MIFが第5項の記述をもとに整理した、利用事例ごとの記録項目の一例です。

自社の規模、業種の規制、リスク許容度に合わせて中身を埋める叩き台として使ってください。

項目	記録すること	設定・記録・運用先の例
重要性	支える業務、中断への許容度、扱うデータ、代替可能性、判断の根拠	利用事例の台帳、事業部門とリスク管理部門の協議記録
リスク	対策前のリスク（自律性、アクセスできるシステムとデータ、説明可能性、監督の実現可能性）、採用する管理策、対策後に残るリスク、その根拠	リスク評価書、権限設定（製品側の設定と、接続先システム側の制限は別に確認）
再評価のきっかけ	重要業務への拡大、権限やツールの追加、管理策の変更・縮小、インシデント、性能低下	変更管理の手順、社内の運用ルール
評価を踏まえて採用する管理策	文書化の詳しさ、検証の範囲・頻度と独立性、人による監督の方法、説明可能性が不足するときの補完的な管理策	社内のリスク管理規程、検証部門の業務計画
役割と担当者	利用事例の責任者／稼働後の監督・確認を担う担当者（設計・開発に関与していない人）／独立した検証を担う担当者	責任分担表、役割定義

「役割と担当者」では、利用事例の責任、稼働後の監督、独立した検証について、それぞれの担当者と必要な独立性を確認します。

稼働後の監視を設計・開発に関与していない担当者に割り当てる点は、報告書の記述を踏まえています。

各項目について、誰が判断し、その結果をどの設定・記録へ反映し、実際の動作をどう確認するかを対応づけます。

同じ管理策でも、製品やシステムの設定と社内の運用の両方が関わることが多いためです。

仮想例：利用条件を置いて評価する

以下は、利用条件を置いて重要性とリスクを評価したMIFの仮想例です。

一般的な分類基準を示すものではなく、特定の機関の実例でもありません。

想定する利用条件	この例で置く評価	確認すること
機密情報・個人情報を含まない会議録を、承認済みの環境で担当者の下書き用に要約する。重要な判断には使わず、通常の手順へ切り替えられる	重要性・リスクとも低いと評価したケース	データや共有範囲、判断への利用方法が変われば再評価する
顧客の融資可否・条件の判断が、モデルの結果に強く依存している	重要性・リスクとも高いと評価したケース	顧客への影響、説明と確認の方法、検証体制を具体化する。顧客に関わる完全自動の判断は法域によって認められない場合がある点も確認する
業務上の依存度は低い定型作業だが、機密情報の参照・社外送信・記録変更をエージェントに広く許している	重要性は低いが、権限によるリスクは高いと評価したケース	必要な権限へ絞り、権限を組み合わせたときの影響を確認する

線引きや、どの水準でどの管理策を置くかは、各社が自社のリスク許容度と規制に照らして決めることです。

実務上の留意点

実際の運用に当てはめる際には、次の点も確認します。

第一に、評価区分を付けるだけで終わらせず、その根拠となる管理策が実際に機能しているかまで確認することが重要です。

報告書も、人による監督は形式的なものでなく実効性のあるものであるべきだとしています。

第二に、適用される定義です。

報告書は、「重要な業務」に相当する用語が法域によって異なることにも触れています（「重要なビジネスサービス」「重要または重大な機能」など）。

自社に適用される法令・規制で、どの業務が対象になるかを確認します。

第三に、小規模な機関への配慮です。

最終版は、小規模な金融機関が既存の役割や外部の専門知識を活用してガバナンスやリスク管理の枠組みを自社に合わせて調整する方法を説明した、と概要文書に記されています。

小規模な機関でも、扱う業務やリスクに必要な管理を確保しつつ、既存の体制を活用して実施方法を工夫する、という考え方です。

ただし、比例的な適用は、必要な義務を任意に省いてよいという意味ではありません。

第四に、エージェント型AIの追加的な考慮事項は、概要文書が述べるとおり、十分に意見募集されたものではなく、今後変わる可能性があります。

まとめ

FSBの最終報告書は、12の健全慣行を、金融機関の規模と、利用事例の重要性およびリスクに応じて比例的に適用する考え方を示しています。

並び順は優先順位ではありません。

そのうえで第5項は、重要性とリスクを関連するが別の概念として区別し、重要性が低くてもリスクが高い事例がありうると明記しています。

MIFは、利用事例の重要性とリスクを区別して評価し、その根拠を、採用する管理策と対応づけて記録することを勧めます。

社内の補助的な用途でも、扱う情報や権限によってリスクは変わります。

評価は、適用される法令・規制や社内規程を踏まえ、文書化、検証、人による監督の方法を具体化するための判断材料です。

対策後のリスクを評価する際には、その評価を支える管理策も記録します。

業務範囲や権限を変更するときは、追加する機能だけでなく、既存の権限や管理策との組み合わせを見直します。

情報確認について

本記事は2026年10月19日時点で確認した、次の資料を主要な参照元として作成しています。

変更される可能性があるため、最新の内容は発表主体の公式資料でご確認ください。

事例は、本稿の論点に関わる部分を要約しています。

詳細は原文をご参照ください。

主要参照資料

• Financial Stability Board, Sound Practices for Responsible Adoption of Artificial Intelligence (AI): Final report, 15 October 2026.
• Financial Stability Board, Sound practices for financial institutions’ responsible AI adoption: Overview of consultation responses, 15 October 2026.
• Financial Stability Board, プレスリリース「FSB finalises sound practices for the responsible adoption of artificial intelligence (AI)」, 15 October 2026.