#29　予防だけでは守れない

内部監査入門（事件でわかる、内部監査の考え方）｜第29回／章「内部統制」｜読了 約3分

鍵・カメラ・通報

内部統制を支える土台は、統制環境です。組織の「体質」のことなんですね。

土台が腐れば、上のルールは、どれだけ立派でも形だけになります。そして、内部統制が約束できるのは、絶対ではなく合理的な保証どまり。

だから、独立した内部監査が、機能を検証するんですね。

ここからは、統制の「種類」を、見ていきます。統制には、実は、3つの種類があるんです。

予防、発見、是正。この3つが、どう働くのか。

つかんでいきましょう。

皆さんの家にも、鍵が、ありますよね。泥棒が入らないように、鍵をかける。

これが「予防」です。でも、鍵だけで、完璧でしょうか。

だから、防犯カメラをつける。侵入があったら、映像で「発見」できる。

そしてカメラが異常を検知したら、警備会社に通報が飛び、駆けつけて被害を止める。これが「是正」、つまり対処なんですね。

3つが連鎖して、初めて家は守られるんです。

連鎖して、機能する

この家の防犯を、ビジネスに置き換えてみましょう。まず、予防的統制。

不正や誤りが「起きないようにする」仕組みです。承認プロセスや、アクセス制限が、ここに入ります。

鍵をかけて、入口を閉じる役割なんですね。

次に、発見的統制。起きたことを「見つける」仕組みです。

取引の照合や、日々のモニタリング。防犯カメラのように、異常を映し出す役割です。

そして、3つ目が、是正的統制。見つけた問題を、そのままにしない仕組みです。

被害の広がりを止めて、元の状態に戻す。そして、同じことが二度と起きないように、手を打つ。

警備会社への通報と、その後の対応にあたる役割なんですね。

大事なのは、この3つが、ばらばらに働くのではない、ということです。予防、発見、是正。

3つが連鎖して、初めて統制は機能するんですね。

最大1.1億人規模

皆さん、ここで、考えてみてください。予防的統制は、どれだけ立派に作っても、完璧にはなりません。

人は、ルールをかいくぐる。攻撃する側は、必ず想定の外から来る。

アメリカの銀行、ウェルズ・ファーゴも、ルールという予防の壁はあったのに、経営者の圧力で、内側から崩れてしまいましたよね。

予防の壁は、内からも外からも、破られることがあるんです。だからこそ、発見と是正が、後ろに控えていなければならないんですね。

その「予防が破られる」事件を、見ていきましょう。2013年、アメリカの大手小売チェーン、ターゲット。

米国内で1,797店舗を展開する、巨大企業なんですね。舞台は、この年のクリスマス商戦の、真っ最中でした。

ところが、この最中に、約4,000万件のクレジットカードやデビットカードの情報が、盗まれてしまったんです。

さらに、7,000万人分の個人情報も、漏洩しました。この二つは、重なっている人もいます。

米国議会の報告書は、影響を受けた顧客を「最大で1億1,000万人」と表現しているんですね。

予防が、崩れた

侵入の経路が、また驚きなんです。攻撃者は、ターゲット本体を、直接は狙わなかった。

狙ったのは、取引先でした。ターゲットに空調設備を納めている、HVAC業者です。

HVACというのは、空調設備のことなんですね。

取引先である空調設備の業者に、ネットワークへの接続が認められていたんです。

攻撃者は、このHVAC業者の従業員に、フィッシングメールを送り、認証情報を盗み取りました。

盗んだ認証情報を使えば、どうなるか。攻撃者は、業者になりすまして、ターゲットのネットワークに入り込めたんです。

そこから社内を移動し、レジの決済端末、POS端末にマルウェアを仕込みました。来店客がカードを通すたびに、情報が抜き取られていったんですね。

ここまでは、予防的統制の、崩壊なんです。本来、内部統制は、自社の中だけの話ではないんです。

取引先に渡したIDやアクセス権を、どう管理するか。そこまで含めて、予防は設計しなければいけないんですね。

予防の鍵は、思わぬ入口から破られた。統制は、予防・発見・是正の、3つの連鎖。

そして、予防だけでは、守れないんですね。

次の回へ

取引先に預けた鍵まで、自分たちの守りのうちに数えていたでしょうか。では、もし誰かが異変に気づいていたら、被害は止まったのか。

次の回は、その問いから始まります。予防だけでは足りないと頭に入れば、取引先に権限を渡すとき、いつまで使えるかを先に決めておけます。