信用スコアリングモデルのモデル・リスク管理｜金融庁の原則にもとづく開発・検証・承認・モニタリングの3線体制と残す記録

結論（3行）

モデル・リスクは「モデルの誤り又は不適切な使用に基づく意思決定によって悪影響が生じるリスク」です（金融庁の原則）。管理の対象はモデルの数式だけでなく、使い方と使う人の判断まで含みます。
体制は3線で分けます。開発・使用する部門（第1線）、独立して検証し使用を承認・制限する部門（第2線）、全体の有効性を評価する内部監査（第3線）。作った人が自分で合格を出さないことが要です。
記録は、インベントリー（台帳）・開発文書・検証報告・承認記録・モニタリング報告・変更履歴・審査担当者による上書き（オーバーライド）の記録の7つをそろえます。

1. なぜ管理が要るのか：お金の構造

スコアリングモデルの誤りは、2つの方向で損失になります。点数が甘すぎれば貸倒れ（信用コスト）が増え、厳しすぎれば返済できる先を断って利ざやを失います。どちらも結果が出るまで年単位の遅れがあり、気づいたときには誤ったモデルで実行した貸出が積み上がっています。

日本銀行によると2025年度の信用コスト率は大手行7bp、地域銀行6bp、信用金庫7bpと低位でした。低位の時期に作ったモデルは、貸倒れの少ないデータで学習しているため、景気が悪化したときの精度が確かめられていません。管理の目的は、こうした「まだ表に出ていない誤り」を、損失になる前に見つけて使い方を制限することです。

誤りの例【架空例】	式	年間の影響
PDを過小評価した層への貸出	残高500億円×（実際のPD 3.0%−見込み1.5%）×LGD 50%	3.75億円
過大評価で断った層の逸失利ざや	断った貸出200億円×利ざや1.0%	2.0億円

計算：500億円×1.5%×50%＝3.75億円。200億円×1.0%＝2.0億円。説明用の仮の数字です。

2. 金融庁の原則の要点

金融庁は2021年11月12日に「モデル・リスク管理に関する原則」を公表しました。原則は8つで、ガバナンス、モデルの識別とインベントリー・リスク格付、開発、承認、継続的なモニタリング、独立した検証、外部（ベンダー）モデルの扱い、内部監査を扱います。対象となる金融機関の範囲は原則本文の冒頭で定められているため、自社が対象かは原文で確認してください。対象外であっても、スコアリングを審査に使うなら同じ考え方で管理を設計するのが実務的です。

原則1（ガバナンス）：取締役会等と上級管理職が、モデル・リスクを包括的に管理する態勢を構築する。
原則2（識別・インベントリー・リスク格付）：使用中・開発中・最近使用を停止したモデルの情報をインベントリーに記録し、リスク格付を付ける。部門ごとに管理してもよいが、グループ全体のインベントリーは第2線が責任を持つ。
開発から使用まで：使用開始前に第1線が開発時のテストを行い、第2線が独立した立場で検証し、その結果を踏まえて使用を承認する、という流れが示されています。欠陥が見つかったモデルの使用を制限する権限も第2線に置きます。
原則8（内部監査）：第3線の内部監査が、モデル・リスク管理態勢の全体的な有効性を評価する。

2024年12月のプログレスレポートで金融庁は、対象金融機関がおおむね枠組みを整えて運用段階に入ったとする一方、子会社・一部事業のモデルでリスク格付や態勢づくりの計画が未整理の例、インベントリーの登録内容の更新に課題がある例を挙げています。AIモデルをインベントリーに登録済みだが第2線の検証はこれから、という例も紹介されています。

3. 3線の体制：誰が何を決めるか

線	主な担い手	決めること	決めないこと	残す記録
第1線（所管・開発・使用）	モデル・オーナー（融資企画など）、開発者、使用者（審査担当者）	モデルの目的と使い方、設計、開発時のテスト、監視指標、上書きの運用	使用の最終承認、自分の検証の合格	開発文書、テスト結果、モニタリング報告、上書き記録
第2線（けん制・独立検証）	リスク管理部門、モデル検証チーム	独立検証の結論、使用の承認・条件付き承認・制限、インベントリーの維持、該当・非該当の最終判定	モデルの開発、営業上の目標	検証報告、承認記録、指摘と対応状況
第3線（内部監査）	内部監査部門	態勢全体の有効性の評価、監査の指摘	個別モデルの合否	監査報告

金融庁の原則の解説では、リスク管理部門のように通常は第2線の部署でも、モデルの開発や使用に携わっていればその範囲では第1線になりうると整理されています。小さな組織で人数が足りない場合も、開発した人と検証する人を分けることは崩さず、外部の検証支援を使うなら原則の外部モデル・外部リソースの考え方に沿って統制します。

4. ライフサイクルと記録

登録：インベントリーにモデルIDを振る。目的、使う業務（例：小口事業性融資の一次判定）、オーナー、開発者、使用者、入力データ、出力、リスク格付、状態（開発中／使用中／停止）。
開発：データの期間と除外条件、目的変数（例：12か月以内の延滞90日以上）の定義、変数の選定理由、テスト結果、既知の限界を開発文書に残す。
独立検証：設計の妥当性、データ、識別力とキャリブレーション、時系列での安定性、説明の手段、使い方の妥当性を確認し、指摘を分類する。評価の具体的な方法は評価の記事にまとめています。
承認：使用の範囲（金額上限・業種・対象顧客）、条件（指摘の期限付き対応）、監視指標と閾値、停止の基準を記録する。
使用・上書き：審査担当者がスコアと異なる判断をしたときは、理由を選択肢＋自由記述で残す。上書きが増えるのはモデルか運用のどちらかが合っていない兆候です。
継続モニタリング：入力の分布、点数の分布、等級ごとの実際の延滞率、上書き率を定期的に報告する。
変更・再検証・停止：重要な変更は再検証してから使う。停止したモデルもインベントリーに残す。

承認記録の項目（例）

モデルID・版・インベントリー上のリスク格付
承認の区分：承認／条件付き承認／不承認
使用の範囲：対象の商品・金額の上限・業種・既存取引先か新規か
条件：検証の指摘ごとの対応期限と担当者
監視指標と閾値：何をどの頻度で誰に報告するか
停止の基準と権限：どの状態になったら誰が使用を止め、人の審査に戻すか
次回の再検証の時期
承認者（第2線）と、報告を受けた会議体

記録は「あとから第三者が、なぜこのモデルをこの範囲で使ってよいと判断したのかを再現できるか」を基準に書きます。開発文書と検証報告の版を承認記録から参照し、どの版を承認したのかが分かるようにします。

5. 継続モニタリングと内部監査で見ること

指標	見る理由	超えたときの対応の例
入力・点数の分布の変化	申込の層や資料の形式が変わった兆候	原因の確認、使用範囲の一時縮小
等級ごとの予測PDと実績の差	キャリブレーションのずれ（ただし実績は遅れて出る）	再推定、等級の付け替え
識別力（AUCなど）の推移	良い先と悪い先を分ける力の低下	再開発の検討
上書き率と上書き後の結果	現場がモデルを信頼していない、またはモデルが現場の情報を取り込めていない	運用ルールかモデルの見直し
インベントリーと実際の使用の一致	登録外のモデルや表計算での独自計算が使われていないか	登録・検証・停止

内部監査は、個別のモデルの数式よりも、「登録・検証・承認・監視の手続きが規程どおり回っているか」「第2線の指摘が期限内に対応されているか」「第2線が実際に使用を制限できたか」を見ます。

6. 外部モデルと海外の規則

ベンダーのスコアリングサービスを使う場合も、モデル・リスクは自社に残ります。金融庁のプログレスレポートでは、外部委託の統制がモデル固有の規程ではなく既存の外部委託の手続で行われている例が多いと紹介されています。最低限、開発データの範囲、目的変数の定義、検証結果、変更の通知、自社データでの結果の監視を契約と手続で確保します。

地域・文書	要点（融資のモデルに関わる部分）
米国 SR 26-2（2026年4月17日）	連邦準備制度理事会・OCC・FDICが改訂したモデル・リスク管理の指針。SR 11-7（2011年）を置き換え。リスクに応じた管理を求め、生成AI・エージェント型AIは対象外と明記。連邦準備制度の監督先では総資産300億ドル超の組織に最も関係するとしています。
欧州 EBA/GL/2020/06（2021年6月30日適用）	融資の実行とモニタリングの指針。与信判断に自動化されたモデルを使う場合、方法・入力データ・前提・限界・出力を理解し、偏りの検出、入力データの品質管理、追跡可能性・監査可能性・頑健性の確保を求めています。
EU AI法（規則2024/1689）附属書III	自然人の信用力評価・信用スコアのAIを高リスクに分類（金融不正の検知を目的とするものは除く）。
米国 CFPB Circular 2022-03	消費者向け与信で、複雑なアルゴリズムを使っても、否決の具体的で正確な理由を示す義務は変わらないと明示。

海外の規則は日本の金融機関に直接適用されるとは限りません。考え方の参考として整理しています。

7. 失敗・延期の判断

「PoCで精度が出たから本番へ」：開発時のテストと独立検証を混同しない。PoCの結果は第1線のテストにすぎません。
インベントリーの形骸化：登録時の情報が更新されず、実際の使用範囲と食い違う。プログレスレポートでも更新の課題が指摘されています。
停止基準がない：監視指標が悪化しても誰が止めるか決まっていない。承認時に停止の基準と権限を書きます。
延期すべき状況：独立検証の担い手がいない、否決理由を説明する手段がない、戻し方（人の審査への切り替え）が決まっていない場合は、判定への利用を延期し、参考情報としての表示にとどめる選択肢があります。

信用スコアリングモデルのモデル・リスク管理：開発・検証・承認・モニタリングを誰が担い、何を記録するか