用語集
更新日
FS AI RMFの策定機関および義務化について
本フレームワークは、米国財務省がCyber Risk Instituteと提携して策定したもので、100以上の金融機関、政府機関、標準化団体からの意見を取り入れて開発されました。これは自主的かつ業界主導のものであり、監督上の規則ではないため、非準拠による直接的な罰則はありません。しかしながら、財務省との協力により開発され、セクター全体で広く採用されている自主的フレームワークは、審査官が企業のAIガバナンス体制を確認する際の参照基準となる傾向があります。
フレームワークの構成内容
FS AI RMFは、原則ベースではなく、実務に即して運用できるように構築されています。企業は3つのステージに沿って対応を進めます。まず、「AI導入ステージ質問票」によってAIの成熟度を分類します。次に、「リスク＆コントロールマトリクス（RCM）」を用いて、そのステージに適用される230の管理目的を特定します。その後、「ガイドブック」および「管理目的リファレンスガイド」に従って実装と文書化を行います。このように段階的な設計が採用されているため、単一のベンダーツールから導入を開始する地域銀行と、トレーディングや引受業務全体でモデルを稼働させる多国籍企業が、同一の管理体制を求められることはありません。
NIST AI RMFとの関係性
FS AI RMFはNIST AI RMFと整合しており、その金融セクター向け拡張機能として機能します。NISTの構造を維持しつつ、それを金融サービスの義務を反映した管理策に変換しています。これには、与信判断における説明可能性、デモグラフィック・グループにわたるバイアス監視、ベンダーやサードパーティの継承リスク、ならびにトレーディングや引受における自律型エージェントシステムに起因するオペレーショナルリスクなどが含まれます。すでにNISTに準拠して取り組んでいる企業は、既存のプログラムを拡張する形で対応でき、新しいプログラムをゼロから開始する必要はありません。
SR 26-2以降、なぜ重要性が高まっているのか
2026年4月にSR 26-2がSR 11-7に代わって導入された際、生成AIおよび自律型AIはモデルリスク管理（MRM）ガイダンスの適用範囲外と定義されました。これにより、米国の銀行は高度なMRMフレームワークを保有していながらも、その設計上、最も急速に成長しているAIカテゴリーをカバーできない状況に置かれました。FS AI RMFは現在、この対象範囲をカバーする最も先進的な金融セクター向けフレームワークです。したがって、これら2つは重複することなく相互補完的に機能します。すなわち、モデルに対してはMRMガイダンスを適用し、MRMの対象から明示的に除外されたAIに対してはFS AI RMFを適用することになります。
例
米国のある地方銀行は、SR 11-7に準拠して構築され、SR 26-2に照らして再基準化された成熟したモデルリスク管理プログラムを運用しています。同行の生成AIカスタマーサービスアシスタントは、これらのガイドラインの適用対象外となっています。この銀行は、2つ目のガバナンス体制を新たに構築するのではなく、AI導入ステージ質問票（AI Adoption Stage Questionnaire）を完了し、自行の成熟度ステージに適用されるFS AI RMF管理目的を特定しました。そして、既存のモデルリスク管理（MRM）のエビデンス構造にこれらをマッピングし、同一のインベントリ、同一の所有権記録、および同一のレビュー頻度を再利用しています。検査官からAIのガバナンス方法について質問された際、同行はモデルとAIシステムを統合した1つの登録簿を提示し、各エントリーに対して適用可能なフレームワークが記録されていることを示しています。