#31　権限を分ける

内部監査入門（事件でわかる、内部監査の考え方）｜第31回／章「内部統制」｜読了 約4分

この人が、いないと回らない

内部統制には、予防、発見、是正という、3つの役割があります。そして、3つは連鎖して、初めて機能するんです。

発見しても、是正しなければ、統制がないのと、同じなんですね。

ここからは、その3つの連鎖を、誰がどう担うのかを、見ていきます。皆さんの会社に、「この人がいないと回らない」という人は、いませんか。

経理も、発注も、承認も、全部、一人でやっている。優秀だから、信頼して、任せている。

でも、その人こそ、最大のリスクなのかもしれないんです。

信頼を、守る仕組み

ここで学ぶのが、職務分掌です。Segregation of Duties。

権限を分散させて、組織を守る仕組み、なんですね。原則はシンプルで、「承認する人」「記録する人」「保管する人」を、別の人にする。

一人が全部をやれると、不正も、その隠蔽も、簡単になるからなんです。

分けるのは、この3つだけでは、ありません。仕組みを「作る人」と「動かす人」も、できれば分ける。

そして、どうしても一人に任せざるをえないなら、別の誰かが定期的にチェックする。これを、補完的な統制と言います。

分けられないなら、見張る。職務分掌は、「全部分けられないとアウト」という話では、ないんです。

たとえば、ひとりで回す店を、想像してみてください。注文も、料理も、レジも、たった一人。

こうなると、自分の仕事を、自分でチェックすることに、なります。売上をごまかしても、記録に残さなくても、気づく人が、いないんです。

銀行の窓口も、同じです。お金を数える人、記録する人、金庫を管理する人。

一人が全部できたら、着服のリスクが、跳ね上がります。それに、誰かの記録ミスを、別の人が気づく機会も、なくなってしまう。

誤解しないでください。「人を信頼するな」ではなく、「信頼を守る仕組みを作れ」と、言っているんです。

統制側から、取引側へ

では、この原則が崩れたとき、何が起きるのか。2008年1月、フランスの大手銀行、ソシエテ・ジェネラル。

一人のトレーダーが、49億ユーロ、日本円で約7,000億円もの損失を、出したんです。名前は、ジェローム・ケルヴィエル。

当時、31歳でした。

彼の経歴が、この事件を解く鍵なんですね。2000年、ケルヴィエルが最初に配属されたのは、ミドルオフィス。

取引のチェックや、処理の流れを担う部署です。そこで約4年間、内部の統制の仕組みを、深く理解しました。

そして2005年、取引を行うフロントオフィスに、異動したんです。

仕組みが、信頼を守る

ここで、職務分掌が、崩壊したんですね。取引を実行する権限と、統制の仕組みを知り尽くした知識。

本来なら別の人が持つはずの、この2つが、一人に集中したんです。どこに穴があるか、彼には、全部、見えていたんですね。

ケルヴィエルの手口を、見ていきましょう。彼は、本物の大きな取引の隣に、それを打ち消す、架空の取引を入力したんです。

反対向きの取引を足すと、二つが打ち消し合って、帳簿の上では、相殺される。だから、システムには、リスクをほとんど取っていないように、見えたんですね。

当時の銀行の監視は、この差し引き後の見え方に、頼っていました。取引一つひとつの大きさや、取引が消されたことは、十分に追えていなかった。

だから、巨大なポジションが、小さく見えていたんですね。

それでもアラートが鳴ったら、偽造したメールを、統制部門に送る。「問題ありません」と。

さらに、他人のアクセスコードでシステムに入り込み、架空の取引を、こっそり消す。本来、別々の人が持つはずの権限を、彼は、いくつも握っていたんです。

2007年の一年だけで、少なくとも75回のアラートが、発生していました。でも、一度も、不正の発見には、つながらなかった。

皆さん、彼は、天才的なトレーダーだったのでは、ないんです。天才的に、システムの穴を、知り尽くしていたんです。

ケルヴィエルが抱えていたポジションの総額は、500億ユーロ。ソシエテ・ジェネラルそのものの価値を、超えていたんですね。

たった一人が、銀行を丸ごと、賭けに出していたんです。

皆さん、この回で、覚えてほしいのは、ここなんです。権限が一人に集まると、不正も、その隠蔽も、できてしまう。

だから、承認・記録・保管といった権限を、別の人に分ける。これが、職務分掌なんですね。

人の善意を疑うためでは、ありません。承認する人と、それを実行する人を、別にしておく。

その仕組みがあれば、出来心が芽生えても、一人では実行しにくくなる。だから、信頼が、守られるんです。

次の回へ

皆さんの担当で、承認する人と実行する人が同じ、という手続きはありませんか。では、その分け方が本当に守られているかを、誰が確かめるのか。

次の回で、そこを見ていきます。承認する人と実行する人は別だとつかめれば、自分の仕事が一人に寄っていないかを、見直せます。