AppleとGoldmanは、誰も存在を知らなかったステートに何千件もの異議申し立てを失った――代償は8,900万ドル
2020年6月、AppleはApple Cardの異議申し立てフローにフォームを1つ追加した。ささいなことだ。変更前は「問題を報告」をタップすると、Goldman Sachsとのメッセージスレッドに移り、異議申し立てはそのまま処理された。変更後は、最初の送信が完了したところで、2つ目のフォームに記入しなければならなくなった。
そのささいなことが何を引き起こしたのか。もし問題をメッセージで報告したものの2つ目のフォームを一度も完了しなかった場合、システムはあなたの異議申し立てが未完了だと判断した。それはGoldmanに送られることは決してなかった。誰も調査しなかった。受領通知が発送されることもなかった。そしてRegulation Z 第1026.13条のもとでは、それら最初のメッセージの多くが有効な請求誤り通知（Billing Error Notice）だった――債権者が法律上30日以内に受領を通知し、2回の請求サイクル以内に解決することを義務付けられている類のものだ。
その数千件が、ただそこに放置された。送信されたのに、どこにもルーティングされない。2024年10月、消費者金融保護局（CFPB）はAppleとGoldman Sachsに対し、これについて8,900万ドルの支払いを命じ、さらに信頼できるコンプライアンス計画なしに新たなクレジットカードを立ち上げることをGoldmanに禁じた。私はキャリアのかなりの部分をカード発行会社の異議申し立て業務のなかで過ごしてきたが、その命令を読んだとき、私が見たのは過失ではなかった。私が見たのは、穴の開いたステートマシンであり、その穴は、私の知るあらゆる銀行がいままさに自社のワークフローのどこかに抱えているものだった。
それこそが、この小論であなたに納得してもらいたいことだ。あなたの異議申し立てシステムには、まだ見つかっていないデッドステートがあり、それを見つけられずにいる理由は、あなたがそれらをテストすることに終始し、それらが存在し得ないと証明していないからだ。その解決策は、ほとんどの銀行員が提示されたことのない技法――形式検証（formal verification）――であり、だからこそ私たちはVeriprajnaの金融コンプライアンス検証プラクティスをその周りに築いたのだ。
8,900万ドルのバグはミスではなく、ステートだった
何が間違っていたのかを正確に述べておきたい。その正確さこそが要点のすべてだからだ。
Apple-Goldmanのワークフローには、一行で言い表せる到達可能なステートがあった。異議申し立てはFormA_Submitted AND FormB_Pendingの状態にあった。そのステートからは、Investigation_Initiatedへの遷移が存在しなかった。ひとつも。最初のメッセージのあとに手を止めた消費者は、そこに永久にとどまった――法律上は受領通知を受ける権利をもちながら、システム自身のロジック上は何ら権利をもたない状態で。
異議申し立ては失われたわけではなかった。それらはシステムが置いた場所そのものにあった。ただシステムは、「ここ」が異議申し立てが死に得る場所だと、一度も教えられていなかっただけだ。
私のチームがこれを初めてホワイトボードで一通りたどったとき、あるエンジニアが当たり前のことを言った――これはただのバグで、テストで捕まえられたはずの類のものだ、と。私は彼にどうやって、と尋ねた。Apple-Goldmanのフローは、2つのシステム間のひとつの統合ポイントだった。私が仕事をしてきた大手発行会社の多くは、単一の異議申し立てに触れるシステムを10から15も抱えている――Visa VROLポータル、MastercardのGCMS、ケース管理プラットフォーム、コアバンキング元帳、通知書生成システム、信用情報機関へのフィード、仮クレジットエンジン、そして一握りの社内ルーティングキュー。あらゆるAPIの変更、あらゆるパートナー統合、あらゆる新しい製品機能が、その迷路のなかに新たな経路を切り開く。
テストは、あなたが書き出そうと思いついた経路を確認する。それは定義からして、あなたがすでに想像した失敗のリストだ。Apple-Goldmanのデッドステートは、誰も想像しなかった失敗であり、まさにそれゆえにどのテストもそれをカバーしなかった。自分に思い描けない問題を、テストで切り抜けることはできない。それはプロセスの失敗ではない。数学的な天井なのだ。
もっとテストを書くだけではなぜ足りなかったのか？
私はこの議論に午後をまるまる費やした。だからあなたの午後は私が救おう。
そのエンジニアの反論はもっともだった――テストケースをもっと書け。もっと多くの経路をカバーしろ。カバレッジを上げろ。そこで私は図を描いた。異議申し立てワークフローは一本の線ではなく、グラフだ――異議の種類、ネットワーク、仮クレジットが発行されたかどうか、どの期限体系が適用されるか、パートナーシステムが引き渡しを受領したかどうかで分岐する。各分岐は前の分岐を掛け合わせていく。数十の意思決定ポイントをもつワークフローは、あなたがこの先けっして書ききれないほど多くの到達可能なステートをもち、危険なのは、起きるまでは馬鹿げて見えるがゆえに誰も腰を据えて列挙しない組み合わせだ。
彼はしばらく粘った。それから私が組み合わせ爆発を描くと――ステートの数が倍になり、さらに倍になっていく様子を――彼は口をつぐんだ。ステート空間はテストでは打ち負かせない。ステートが尽きる前に、こちらの小銭が尽きる。
これが、私が形式手法について本気で読み始めた瞬間であり、ここで重要になる技法には平易な説明がある。モデルチェッカーは、あなたのワークフローのモデルと、不変条件――常に成り立たなければならない性質――を受け取り、そして到達可能なすべてのステートを、性質が破れるものがないかを探して、余すところなく探索する。不変条件を「送信されたすべての異議申し立ては30日以内に受領通知に至る」と書き、そのチェッカーをApple-Goldmanのフローに向ければ、数秒でデッドステートを、そしてそこに至る正確なステップごとの経路とともに返してくる。TLA+のようなツールは分散システムに対してこれを行う。同じロジックは、厳格な期限をもつ規制対象ワークフローにもそのまま当てはまる。
テストは、あなたが想像した経路をサンプリングする。モデルチェッカーは、想像しなかった経路を訪れる。
誰も所有していないタイムラインの衝突
異議申し立てのマネージャーを夜も眠れなくさせる部分は、ひとつのデッドステートよりもさらに悪い。
単一のデュアルネットワークカードの異議申し立てが、規制とネットワークの時計を3つも4つも同時に作動させ得る。Reg Zは30日以内の書面による受領通知と、2回の請求サイクル以内（上限90日）の解決を求める。Reg Eは、デビットおよび電子送金の誤りを規律するもので、まったく異なるスケジュールで動く――仮クレジットと解決を10営業日以内、45暦日の延長付きで。Visa Claims Resolutionは、Allocationケースを最長70日、Collaborationケースを最長100日で進める。Mastercardの異議申し立てフレームワークは、サイクルに応じて45日から120日で進み、業界はその導入をVisaのものより吸収がさらに難しいと評した。
それらの体系がひとつの異議申し立ての上で衝突すると、コンプライアンスは、その朝どの期限が適用されるかを異議申し立てデスクの誰が覚えているか次第になってしまう。私は、ベテランのアナリストがReg EのタイミングをReg Zの請求誤りに適用するのを目にしたことがある――業務量の多さのなかで両者が混じり合うからだ――そして、まさにその混同こそ、CFPBの検査官が探す違反のひとつなのだ。Citizens Bankは、宣誓供述書の欠如を理由に請求誤り通知を却下したことなどで指摘を受けた。期限は緩やかなものではない。二値だ。30日以内に受領通知をしたか、しなかったかのどちらかだ。
そして、これこそが、形式検証が私に思いつくほぼどの領域よりも金融コンプライアンスによく適合する、静かな理由だ――ルールがすでに数学なのだ。30日というのは主観的な判断ではない。「10営業日以内の仮クレジット」は雰囲気ではない。これらはステートマシン上の時間的制約であり、時間論理（temporal logic）は、まさにこの種の性質を証明するために作られた――異議申し立てが取り得るあらゆる経路にわたって、どの時計も一度も破られないことを。
私は最初に間違ったものを作った
うまくいかなかった、私たちが世に出したバージョンについて話したい。なぜなら、それは市場の大半がいまなお売っているバージョンだからだ。
私たちの最初の本能はモニタリングだった。あらゆる異議申し立てを追跡し、期限を見張り、いままさに違反しそうなものがあれば赤く光るシステムを作る。ダッシュボード。アラート。カウントダウンする仮クレジットのキュー――残り9日23時間、さあ。デモは見事だった。私はそれを誇りに思っていた。
それから私はそれをパイロット銀行のコンプライアンス責任者に見せたのだが、彼女は丁寧に肩をすくめただけだった。その肩すくめを理解するのに数日かかった。モニターは、異議申し立てが死につつあるあいだに死につつあると教えてくれる。それは煙警報器だ。異議申し立てがそもそも追跡されるためにシステムに入り込んだと想定している――それこそApple-Goldmanが打ち砕いた唯一の想定だ。なぜならそれらの異議申し立ては一度も追跡されなかったからだ。それらは、トラッカーが見張ることを知らないステートにあった。モニタリングとは、事後の告白だ。銀行が自らの失敗を、検査官よりほんの少し早く発見することにすぎない。それには一定の価値があるが、彼女が取締役会の前に差し出す必要のあるものではなかった。
モニタリングは、検査官より数日早く失敗を手に入れてくれる。それは、起こり得ない失敗を手に入れさせてくれることは決してない。
その肩すくめは私たちに作り直しを強いたが、それはこの製品に起きた最良の出来事だった。市場は、私が最初に作ったもので溢れかえっている。FINBOAはReg Eの期限を追跡し、仮クレジットを自動化する。それは得意だ。Quavoは異議申し立て処理を自動化し、実際の数字を打ち出す――あるクレジットユニオンは1か月以内に87%の自動化率に達した。FISはネットワークポータルを通じてチャージバックを処理する。それらのどれもが、システムに入ってきた異議申し立てを自動化し、あるいは見張る。だがそのどれひとつとして、異議申し立てがシステムに入る前に失われ得ないことを証明するものはない。
実際に何かを証明しているのは、他に誰なのか？
作り直しのあと、私はものを見張るのではなく証明しているのは他に誰かを探しに行ったが、答えはほぼ誰もいなかった。
唯一の本格的な名前はImandraだ。彼らは金融サービスで本物の形式検証――正しさの数学的証明――を手掛けており、その顧客にはGoldman Sachs自身も含まれる。しかし彼らの世界は資本市場だ――取引所のマッチングロジック、トレーディングプロトコル。消費者コンプライアンス、Reg Z、異議申し立てワークフロー――それは彼らが照準を合わせている先ではないし、総額でおよそ500万ドルの資金調達では、そこに照準を合わせてきてはいない。
その一方で、資本はコンプライアンスの別の隅へと流れ込んでいる。Bretton AIは、旧称Greenliteで、7,500万ドルのシリーズBを2026年2月に調達し、OCC規制下の銀行に――KYC、マネーロンダリング対策、オンボーディングのために――サービスを提供している。SymphonyAIのSensaプラットフォームは、あるスペインの銀行の制裁措置スクリーニングにおける誤検知を91.8%削減した。Alloyは、800を超える機関にわたってアイデンティティをオーケストレーションしている。本物の資金、本物のエンジニアリング――だがそのすべてが金融犯罪とオンボーディングに向けられており、そのどれも、あなたの異議申し立て解決が規制に違反し得るかどうかには向けられていない。
それがギャップであり、それは狭いものではない。異議申し立て業務に最も近いプレイヤー（FINBOA、Quavo）は、それを検証せずに自動化する。唯一の検証者（Imandra）は別の市場で働いている。この2つを組み合わせると、私の見るかぎり誰も立っていないフィールドの一隅が浮かび上がる――消費者の異議申し立てコンプライアンスに照準を合わせた形式検証だ。それこそ、私たちが踏み込んだ一隅だ。
私たちのピッチを作り直した一文
ついにこの価値を私に腹落ちさせたものは、エンジニアからは来なかった。それは、私が腰を据えて話した元検査官から来た。
私は彼女に、請求誤りのレビューの場で実際に何が欲しいのかと尋ねた。彼女は「良いダッシュボード」とは言わなかった。彼女はおおよそ、銀行が自らのプロセスは期限を破ることができない――たいてい破らない、ではなく――と示せることを知りたい、と言った。その一言ですべての姿勢がひっくり返る。「テストして合格した」と書かれた取締役会向けの証明スライドは、あなたが思いついた経路しか確認しなかったという自白だ。証明は、それより次元の異なる強いことを述べる――ワークフローが許すあらゆる経路にわたって、不変条件が成り立つ、と。
そして規制当局は、静かに自らこれへと歩み寄りつつある。OCC Bulletin 2025-26は、リスクまたはコンプライアンスの判断を実質的に左右するあらゆる定量的手法は「モデル」である、と明確にした――そしてこの通達は、AIや機械学習の高度さがそれを検証（バリデーション）の対象から免除するものではない、と明言している。それをよく読めば、自動化された異議申し立てルーターは、いまや単なる業務ツールとしてではなく、モデルとして検査対象になるのだ。そして形式検証は、存在するなかで最も強力なモデル検証だ。それは挙動をサンプリングしない。性質を証明する。
大西洋の向こうでは、EU AI法が信用および信用力に関するAIを高リスクに分類しており、2026年8月2日という厳格なコンプライアンス期限と、EU市場にサービスを提供する米国のプロバイダーをも巻き込む域外適用を伴っている。高リスク分類は、証明可能なシステム特性――正確性、堅牢性、監督――を実証しなければならないことを意味する。それはやはり、まさに証明が提供でき、テストにはできないものだ。
これは異議申し立てキューには過剰では？
人々は何かしらこの類のことを絶えず私に尋ねてくるので、正直な3つの反論に真正面から取り組もう。
1つ目はコストだ。検証は理科の実験のように聞こえるし、コンサルティングという代替策――ビッグ4のファームがあなたのプロセスを再設計する――は50万ドルから数百万ドルかかり、誰も数学的に検証していない再設計済みプロセスをあなたに手渡す。それを損失の側と比べてみよう。Apple-Goldmanは8,900万ドルだった。Wells Fargoの同意命令は、異議申し立て処理を含む複数の失敗にわたって、37億ドルに上った。あなたは、SaaSライセンスの費用に対して検証を買うのではない。テールリスクに対して買うのだ。
2つ目は「うちの業務量なら大丈夫」だ。世界のチャージバックは、年間3億3,700万件に2026年までに達し、2028年までに24%増加すると予測されており、まったく新しい種類の異議申し立てが到来しつつある――顧客が一度も承認していないものを買う自律型AIエージェントからの異議申し立ても含めて。今日それを「さばいている」手作業のデスクは、Wolters Kluwerの2026年第1四半期レポートによれば、機関の42%がいまなおコンプライアンスを手作業のプロセスで回している、そのデスクと同じものだ。業務量の増加に手作業の記憶が加われば、デッドステートが4年間気づかれないままになる、その道筋ができあがる。
3つ目は「うちは前回の検査に合格した」だ。おそらくAppleとGoldmanもそうだった――合格しなくなるその瞬間まで、ずっと。検査に合格するとは、検査官があなたの経路をサンプリングして、壊れた経路には当たらなかったということだ。それはテストとまったく同じサンプリング問題が、別のバッジを身につけているだけだ。
私がいま信じていること
私は異議申し立て業務に、コンプライアンスとは勤勉さの規律だと考えて入っていった――注意深い人々、良いチェックリスト、守られる期限。私はそこから、この形の問題には勤勉さは間違った道具だと確信して出てきた。誰かが機能を出すたびに倍になるステート空間をカバーできるほど、勤勉であることは不可能だ。AppleとGoldmanの注意深い人々は、不注意によってそれらの異議申し立てを失ったのではない。彼らは、誰も描かなかったステートによってそれらを失ったのだ。
だから、異議申し立てデスクを運営する誰にでも私が投げかける問いは、「あなたの人々は注意深いか」ではない。それはもっと狭く、もっと冷たい――あなたは、次にこぼれ落ちる異議申し立てが死ぬことになるステートを描けるか？ 描けないなら、テストもできない。テストできないなら、残された唯一の誠実なことは、それが存在し得ないと証明することだ。それが仕事だ――あらゆる経路の上で、あなたの異議申し立てワークフローがReg Z、Reg E、そしてネットワークの期限に違反し得ないことを、検査官が見逃されたものを見つける前に証明することが。もしそれこそが、あなたが実際に必要としている保証なら、それこそ私たちが築くものだ。
Appleには何千人ものエンジニアがいて、それでもデッドステートがあった。エンジニアが欠けていた変数だったことは一度もない。欠けていたのは証明だった。
