KYCシステム開発の進め方/やり方/流れや方法/手法/工程/手順

KYCシステム開発は、本人確認の電子化だけでなく、法人確認・リスク判定・継続的な顧客管理・監査証跡までを一つの業務基盤として設計することが成功の要点です。

「eKYCを導入すればよいのか」「自社でどこまで作るべきか」「費用はどの程度か」と迷う担当者に向けて、KYCシステム開発の全体像、具体的な進め方、費用相場、見積もりで確認すべき項目を解説します。2026年時点の制度変更や公開料金も踏まえ、金融機関だけでなく、決済、暗号資産、保険、融資、CtoCサービスなどで発注前に整理したい論点をまとめています。

▼全体ガイドの記事
・KYCシステム開発の完全ガイド

KYCシステム開発の全体像とは？

KYCはKnow Your Customerの略で、顧客が本人であること、氏名・住所・生年月日などの本人特定事項、法人の実在性や実質的支配者、取引目的や職業などを確認し、リスクに応じて継続的に管理する業務です。したがって、KYCシステムは本人確認画面だけではなく、審査、顧客情報の更新、リスト照合、調査、監査までをつなぐ仕組みとして考える必要があります。

eKYCは、スマートフォンやWebを使ってオンラインで本人確認を行う入口の機能です。KYCは本人確認に加えて顧客情報を管理する業務全体、CDDは顧客の属性や取引目的を把握してリスクを評価する顧客管理、KYBは法人の実在性・代表者・実質的支配者などを確認する業務を指します。AMLはマネー・ローンダリング対策の総称で、KYCやCDD、取引モニタリング、疑わしい取引の調査・届出などを含む、より広い概念です。

この境界を曖昧にすると、eKYCの導入後に法人審査や再確認が手作業で残り、顧客データが複数の台帳へ分散します。最初に「自社が必要なのはeKYCだけか、法人確認までか、継続的顧客管理までか」を定義すると、過剰開発と要件漏れを同時に避けやすくなります。

個人向けでは、本人確認書類の撮影、ICチップ読取、公的個人認証、顔照合、ライブネス判定、目視審査、再提出依頼を検討します。法人向けでは、登記情報、代表者、実質的支配者、事業内容、法人アカウントと担当者の紐付けが中心です。顧客属性、国・地域、商品、取引目的、PEPs、制裁・反社リスト、過去の不正情報を組み合わせたリスク評価も、対象業種によって重要になります。

さらに、担当者、期限、差し戻し理由、承認履歴、エスカレーションを一つのケースに保存する審査管理、顧客情報の更新や再確認、判定理由・参照リスト・ルールのバージョン・操作者・時刻を残す監査ログが必要です。口座開設や会員登録だけでなく、CRM、決済、勘定系、不正検知、チケット管理とAPIまたはイベントで連携する前提で設計します。

KYCシステム開発の進め方・工程

開発は、いきなり本人確認APIを選ぶのではなく、現行業務の棚卸し、法的根拠の確認、PoC、要件定義、設計・連携、監査テスト、段階リリースの順に進めます。各工程で業務部門、法務・コンプライアンス、情報システム、セキュリティ、運用審査の責任者を参加させると、後からの手戻りを抑えられます。

まず、対象を「口座開設時の取引時確認」「法人アカウントの審査」「既存顧客の再確認」「疑わしい取引の調査」のように分けます。金融機関と暗号資産交換業者、決済事業者、保険・証券、マッチングサービスでは、確認すべき情報やリスクの考え方が異なるためです。犯収法上の確認方式、保存する確認記録、個人情報の利用目的、委託先の範囲を法務・コンプライアンス部門と確認します。

2026年時点では、金融庁のオンライン本人確認Q&Aが2025年7月1日に更新され、警察庁JAFICでも2026年3月公布の改正に関するQ&Aが案内されています。オンラインで使える方式は将来変わる可能性があるため、要件定義書に方式名だけを書くのではなく、「法令改正時に誰が方式の適法性を確認し、いつ実装を更新するか」まで記載します（出典: 金融庁「犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法に関する金融機関向けQ&A」、2025年更新）。

申込、書類提出、撮影不備、顔照合、目視審査、差し戻し、承認、口座開設、情報更新、調査までの流れを一枚の業務フローにします。その際、担当者の判断、Excelへの転記、郵送、二重入力、確認待ちの滞留時間を洗い出します。画面を自動化する前に、どの判断をルール化し、どのケースを人が確認するかを決めることが重要です。

PoCや本番導入で追う指標には、本人確認完了率、平均審査時間、再提出率、誤受入率、誤却下率、目視審査への移行率、審査担当者の工数、1件あたりコストを設定します。AIの精度だけを評価すると、利用者が途中離脱している問題や、担当者が判定理由を説明できない問題を見落とします。導入前の現状値と目標値を同じ条件で計測できるようにします。

PoCは全機能を一度に試さず、一つの申込導線と代表的な本人確認書類に絞ります。例えば、スマートフォンからの申込で、書類撮影方式とICチップ方式を比較し、完了率、審査時間、再提出率、誤判定、利用者の操作負荷を測ります。高リスク顧客や法人確認まで最初から対象に広げると、何が原因で結果が変わったのか分かりにくくなります。

方式は、標準機能が合うならeKYCのSaaS/API、法令対応と自社固有の審査を両立するならパッケージとSIの組み合わせ、顧客・取引・リスクデータを独自の競争力にするならスクラッチまたはハイブリッドが候補です。実務では、本人確認はSaaS、顧客・ケース・監査データは自社基盤、独自のリスク判定は別サービスという分離が、ベンダー変更と段階導入を考えやすい構成です。

実装では、フロント画面と本人確認ベンダーの間にKYCオーケストレーション層を置き、ベンダー固有の項目を自社の標準データモデルへ変換します。顧客ID、確認方式、確認日時、判定結果、信頼度、判定理由、証跡の保管場所、ルールやモデルのバージョンを保存すると、将来の再審査やベンダー変更に対応しやすくなります。

テストは正常系だけでなく、偽造書類、顔不一致、ライブネス失敗、IC読取失敗、リストヒット、重複申込、再審査、権限逸脱、API停止、通信遅延、災害復旧を含めます。金融システムの安全対策では、アクセス制御、監視、ログ、委託先、クラウド、可用性や復旧の確認が欠かせません。FISCの安全対策基準・解説書第13版は2025年3月に公表され、金融庁のサイバーセキュリティに関する対応事項を反映しています（出典: FISC「金融機関等コンピュータシステムの安全対策基準・解説書（第13版）」、2025年）。

リリースは低リスクの申込から始め、KPIを確認しながら高リスクケース、法人確認、継続的顧客管理へ拡張します。稼働後はルールの閾値、再提出理由、不正手口、端末OSの変化を定期的に分析し、3〜6か月程度のチューニング期間を見込んで運用体制を作ります。

KYCシステム開発の費用相場とコストの内訳

KYCシステムの費用は、eKYCの利用料だけなら月額数万円から始められる一方、法人確認、目視審査、AML、基幹系連携、監査対応まで含めると数百万円から数億円まで広がります。以下は公開料金と類似する金融系・RegTech案件から整理した編集用の目安であり、個別見積を保証するものではありません。

eKYC SaaS/APIを標準連携する場合、初期費用は0〜300万円程度、導入期間は1〜3か月程度が目安です。ランニング費用は月額2万2,000円から100万円程度、または本人確認1件あたり50〜700円程度となる場合があります。GMO顔認証eKYCは、公式ページで初期導入費用なし、最小50件・月額2万2,000円からのプランを案内しています（出典: GMOグローバルサイン「GMO顔認証eKYC」、2026年確認）。ただし、この料金は本人確認サービスの公開料金例であり、申込画面やCRM連携、審査運用の開発費は含まれない点に注意します。

eKYCに法人確認、目視審査、CRM連携を加える場合は、初期300〜1,500万円程度、期間3〜9か月程度が一つの参考レンジです。AML/KYCパッケージを金融業務へ適用し、データ移行、ルール設定、帳票、監査対応まで含めると初期1,000万〜5,000万円程度、期間6〜12か月程度となるケースがあります。大規模なスクラッチ開発や勘定系との深い連携では、5,000万円〜3億円以上、期間9〜18か月以上を見込む場合があります。

費用を初期開発費だけで比較すると、導入後に予算が膨らみます。月額基本料や本人確認の従量課金に加えて、クラウド、データ保管、リスト更新、目視審査BPO、監視、問い合わせ対応、保守、法改正対応、脆弱性診断、障害時の復旧訓練が発生します。自社でケース管理や監査ログを持つ場合は、ストレージ、バックアップ、権限管理、ログ分析の運用費も見積もります。

比較には3年TCOを使います。計算式は「初期費用＋36か月分の基本料・従量料＋連携改修費＋保守費＋リスト・審査運用費」です。例えば月間1万件以下の小規模サービスでも、本人確認APIの料金だけでなく、再提出対応や目視審査の人件費を加えます。AIやルールの閾値調整は稼働後にも必要となるため、初年度の運用チューニング費を別枠で確保すると安全です。

なお、金融分野では顧客データの利用目的、安全管理措置、委託先の監督、外国にある第三者への提供なども費用と関係します。個人情報保護委員会・金融庁の金融分野ガイドラインには、安全管理措置や委託先の監督に関する項目が定められているため、契約前の法務・セキュリティレビューを工程と予算に含めます（出典: 個人情報保護委員会・金融庁「金融分野における個人情報保護に関するガイドライン」、2024年）。

KYCシステムの見積もりを取る際のポイント

見積もりの差が大きくなる原因は、ベンダーの技術力だけでなく、見積条件が揃っていないことです。個人だけか法人も対象か、月間件数、対応書類、海外顧客、多言語、目視審査、既存システム、保存期間、SLAを同じ前提で提示し、初期費用・利用料・追加開発・保守を分けて比較します。

RFPには、対象顧客、申込チャネル、月間・繁忙期の件数、本人確認書類、JPKIやICチップの要否、顔認証・ライブネスの要否、法人確認、実質的支配者の確認、PEPs・制裁・反社チェック、再確認の頻度を記載します。さらに、自動判定と人手確認の分岐条件、再提出の通知、差し戻し理由、承認者、エスカレーション、調査・報告までの業務フローを示します。

非機能要件も同じくらい重要です。可用性、応答時間、同時申込数、障害時の代替手段、バックアップ、災害復旧目標、アクセス権限、暗号化、監査ログ、保存・消去、データ保管場所、再委託、脆弱性診断、監査受入れ、法改正時の更新責任を項目化します。AIを使う場合は、判定理由、モデルやルールの版数、人が覆した場合の履歴、再学習にデータを使うかも確認します。

相談先は、短期のAPI導入に強いeKYC事業者、金融業務や基幹連携に強いSIer、法人確認やAMLに強いRegTech事業者など、役割が異なります。株式会社TRUSTDOCKは個人KYC、法人KYB、AML/CFTなどを比較する候補、LiquidはJPKI・ICチップ読取・顔認証や大量処理を比較する候補、GMOグローバルサインは公開料金を基準に小規模導入を検討する候補です。NECは公的個人認証や認証基盤を含む厳格な本人確認、NTTデータは金融業務・CRM・制度対応との統合を相談する候補になります。

ベンダーに確認する質問は、「同じ業種・顧客数の導入事例はあるか」「本人確認後の当人認証や継続管理まで対応できるか」「法改正時のアップデート範囲はどこか」「障害時に自社で業務を継続できるか」「ログと確認データを解約時に返却できるか」「再委託先とデータ保管国はどこか」です。サービス名だけで順位を決めず、自社の業務範囲と責任分界に照らして比較します。

KYCは法令、リスト、不正手口、端末環境が変化するため、納品時点で終わるシステムではありません。サービス提供者が本人確認方式や検知モデルを更新する範囲、自社がルールを変更する範囲、変更前の承認やテストを誰が行うかを契約に定めます。24時間運用が必要なら、一次監視、障害通知、復旧目標、代替フロー、事後報告の責任者も明確にします。

また、ベンダーに任せる本人確認処理と、自社で保持する顧客・ケース・監査データを分けます。自社の標準データモデルで判定結果を管理すれば、契約終了時にデータを移行しやすく、複数ベンダーを比較しやすくなります。個人情報を扱う委託先については、監査権、再委託の承認、漏えい時の報告、データ返却・消去の証跡まで確認します。

よくある質問（FAQ）

KYCシステムを検討するときに特に多い疑問を、開発・費用・運用の観点から回答します。制度上の方式や対象は事業者の業種・取引内容によって異なるため、最終的には最新の法令本文、金融庁・警察庁の資料、所管部門の確認を行います。

eKYCだけで十分とは限りません。本人確認が主目的のサービスではeKYCから始められますが、法人確認、実質的支配者の確認、リスク評価、継続的な情報更新、取引モニタリング、疑わしい取引の調査まで必要なら、KYC・CDD・KYB・AMLを含む構成にします。まず必要な業務範囲を分解し、対象外の機能を明記することが適切です。

標準的なeKYC API連携なら1〜3か月程度、法人確認やCRM連携、目視審査を含む場合は3〜9か月程度が目安です。AML、データ移行、監査帳票、勘定系連携、基幹システムの変更まで含めると6〜12か月以上、大規模なスクラッチ開発では9〜18か月以上かかることがあります。法務レビューやPoC、受入テスト、運用訓練を含めた計画にします。

本人確認の方式や法令対応を自社だけで維持する必要がある場合は、SaaS/APIを活用しつつ、顧客・ケース・監査データと業務ルールを自社側で管理する形が現実的です。自社固有の審査や基幹連携が競争力になる場合は、SIerと共同で開発します。判断基準は初期費用だけでなく、法改正対応、24時間運用、障害時の代替、監査説明、解約時の移行を自社で担えるかどうかです。

本人確認方式の適法性を公開情報だけで固定せず、金融庁・警察庁の最新資料と自社の法務判断を要件変更の起点にします。方式の追加・廃止、確認記録の項目、保存や更新の扱いが変わっても、本人確認ベンダーの交換や画面改修を小さくできるよう、KYCオーケストレーション層と標準データモデルを用意します。契約には法改正の情報提供、対応期限、テスト、リリース責任を明記します。

まとめ

KYCシステム開発では、eKYCの本人確認機能だけを先に選ぶのではなく、自社の顧客・法人・取引・リスク管理業務を分解し、必要な範囲を決めることが出発点です。eKYC、KYB、CDD、AMLの境界を整理し、現行業務の手作業とKPIを可視化します。

費用は、標準API連携の初期0〜300万円程度から、法人確認やCRM連携の300〜1,500万円程度、AMLや基幹連携の数千万円、大規模スクラッチの5,000万円〜3億円以上まで幅があります。公開料金、類似案件からの推定、個別見積を分け、3年TCOで比較することが大切です。

要件定義では、本人確認方式、対象書類、審査と再提出、法人確認、リスク判定、監査ログ、データ保管、SLA、法改正対応、解約時のデータ返却を明文化します。小さなPoCで完了率や審査時間を測り、段階リリースで高リスクケースや継続的顧客管理へ広げると、利用者の利便性とコンプライアンスを両立しやすくなります。

金融・コンプライアンス領域のシステムは、納品後の運用と制度変更への対応まで含めて初めて完成します。ベンダーの機能数や初期価格だけで決めず、判定の説明可能性、監査可能性、障害時の業務継続、データの可搬性を確認し、自社に合う開発体制を選びます。

▼全体ガイドの記事
・KYCシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。