#32　その仕組みを、誰が検証するか

内部監査入門（事件でわかる、内部監査の考え方）｜第32回／章「内部統制」｜読了 約3分

別の人が、検証する

フランスの大手銀行、ソシエテ・ジェネラルで、2008年に起きたケルヴィエル事件。トレーダーが巨額の無断取引を隠し、銀行に多額の損失を出した事件です。

取引を実行する権限と、統制の仕組みを知り尽くした知識。権限を一人に集めない仕組みである職務分掌が、この2つの集中によって、機能しなかったんですね。

彼は、天才トレーダーだったのではなく、システムの穴を知り尽くしていました。

監視・休暇・権限を、見直す

職務分掌が崩れていないかは、どこを見れば点検できるのか。大きく、3つの観点があります。

1つ目。職務分掌が、設計どおりに機能しているか。

ルールの上で権限が分かれていても、現場で本当に別の人が担っているか。ケルヴィエル事件では、この設計に穴がありました。

こうした統制の弱さを評価して、経営陣や取締役会に届ける。それが、内部監査の役割です。

2つ目。人事異動のあと、旧部署のアクセス権限が、残っていないか。

別の部署に移ったのに、前の部署のシステムに、まだ入れてしまう。これが、権限の集中を生むんです。

ケルヴィエルも、取引のチェックや処理を担う部署、バックオフィス時代の知識と人脈を、そのまま持ち越していたことが、統制の穴を突く一因になったんですね。

だから、旧部署とのつながりが残っていないかも、点検が必要なんです。

3つ目。「この人だけは特別」という扱いが、当たり前に、なっていないか。

「この人は優秀だから」「この人しかできないから」。そう言って、本来は分けるべき権限を、一人に集めてしまう。

その特別扱いが、いつの間にか常態化していないか。これが、例外処理の常態化、なんですね。

皆さん、その口癖、自分の職場で、聞き覚えはありませんか。

この3つの観点は、特別な人だけが使うものでは、ないんです。経営者も、現場の管理者も、自分たちで点検できる。

そして内部監査は、その点検が本当に機能しているかを、経営者から独立した立場で検証し、その結果を、経営陣や取締役会に届ける。

それが、内部監査の役割なんですね。

そして、これは机上の話では、ないんです。事件のあと、ソシエテ・ジェネラルは、まさにこの観点を直す方向で、統制を作り直しました。

2億ユーロを超える、日本円でおよそ300億円規模の投資を、したんですね。

監督と運用のセキュリティを担う部門、SAFEを新設。取引の大きさそのものを監視し、休暇の取得を義務づけ、アクセス権限の管理を、根本から見直したんです。

部門をまたいで監督する仕組みを作り、職務分掌が本当に守られているかを、見張る体制にしたんですね。

気づくことが、出発点

ここで、皆さんの組織を、思い浮かべてみてください。仕訳の入力と、その承認を、同じ人がやれる状態に、なっていませんか。

異動した人の、古いアクセス権限。まだ、残っていませんか。

ハッキリ言います。それは、不正が「できてしまう」設計、なんですよ。

すぐに答えが出なくても、大丈夫です。その問いを持つこと自体が、出発点なんですね。

何かおかしいかもしれない。その気づきこそが、職務分掌を考える、最初の一歩なんです。

仕組みで、組織を守る

ここで、この章の全体を、振り返っていきましょう。まず学んだのは、統制環境です。

ルールがあっても、組織の体質という土台が腐っていれば、ルールは形だけになる。次に学んだのが、予防・発見・是正の連鎖です。

異常を発見しても、それを是正しなければ、統制がないのと、同じなんですね。

そして最後に学んだのが、職務分掌でした。承認・記録・保管といった権限を、一人に集中させない。

人を疑うためではなく、信頼を守る仕組みを作る。それが、職務分掌でしたね。

この3つに、共通するメッセージが、あるんです。内部統制は、人の善意に頼るものでは、ありません。

仕組みで、組織を守るものなんですね。土台を整え、予防から是正までを連鎖させ、権限を分ける。

そして、その仕組みが本当に機能しているかを、独立した人が検証する。それが、内部統制という考え方の、骨格なんです。

次の回へ

自分の仕事を自分で採点して、それで安心できるでしょうか。仕組みで組織を守る話は、ここでひと区切りです。

では、その検証は誰に任せるべきか。次の回からは、そこに入ります。

守るのは人ではなく仕組みだと押さえておけば、職場の決まりを、誰が確かめたかまで問えます。