事例から学ぶ：#035 重要度の低い不正リスク

 

 

イワン（Ivan）はバクメ・コーポレーション（Bacme Corporation）に勤務する優秀な買掛金係だった。企業側は彼に絶対の信頼を置いていた。イワンは新規納入業者のデータをシステムに入力し、それらの業者に関する請求書の情報も入力していた。彼にすべてを任せたのは大きな間違いであった。イワンは自由にシステム入力ができる立場を悪用し、架空の新規納入業者数社をねつ造して、自分宛に数千ドル相当の小切手を振り出したのである。ある外部監査人のねばり強い検証により、ついにイワンの不正は発覚した。

 

イワンはどのようにして、見つかることなく不正を犯したのか。イワンのシステムアクセスに掛かる主要な軽減コントロールは、３万ドル超の小切手全てに関する証憑書類を含む最終支払登録をレビューするというものであった。イワンは４大監査法人の１つが整備した、このコントロールのことを知っていたため、３万ドルを超える小切手を自分宛に振り出すことは決してしなかった。このコントロールは財務諸表の重要な虚偽記載は防止したが、バクメ社は重要ではないと想定した不正リスクにさらされていた。おそらく、専門的には重要ではないと判断されたかもしれないが、実際には多額の損失が発生したのである。

 

これは架空の事例だが、その事例を引き起こした要因は実在のものである。

 

 

 

 

 

米国サーベインズ＝オクスリー法（ＳＯＸ）は、様々な重大不正事件の発生が契機となって施行された。サーベインズ＝オクスリー法およびその監査基準第５号（ＡＳ５）の要件は、主に企業の財務諸表における重要な虚偽記載をもたらし得る不正に関係する。ＡＳ５の指針によれば「監査人は、企業の統制手続が不正による重要な虚偽記載のリスクに十分対応しているか、経営者が統制を無視するリスクへの対応を目的とした統制手続が有効に機能しているかどうかを評価しなければならない」。ＳＯＸ法、具体的にはＡＳ５は、重要な不正の防止に焦点を絞っている。

 

しかし企業経営者は重大なリスクのみに目を奪われてはならない。小規模で重要とはいえないが、企業にとって重大なリスクとなり得る不正（筆者が「重要度の低いリスク」と呼ぶ）が存在するのである。

 

ところで、重要でない不正（immaterial fraud）とは財務諸表監査で使用する用語で、定められた重要性のレベルに満たない不正を指す。immaterialをウェブスター英語辞典で調べると「重要な結果を全くもたらさない」または「とるに足らない」と定義されている。いかなる不正の重要性も極小化されることのないように、本稿では「重要度の低い」という用語を使用する。最高財務責任者（ＣＦＯ）が会社に対する１０万ドルの不正を「全く重要でなく、とるに足らない」と思う最高財務責任者（ＣＦＯ）はいないだろう。

 

 

 

 

 

本稿は、当社がコンサルティングを担当した大手上場企業２社の取組みに基づく。各社とも４大監査法人の１つに外部監査を依頼し、内部監査機能および（または）統制手続の設計を別の４大監査法人に委託していた。いずれの場合も、弊社は、重要度は低いが確固たる不正リスクを識別した。

 

弊社が発見した潜在的リスク要因には以下のようなものがある。

 

 

 

 

 

 

 

 

 

 

これまで多くの場合、企業の財務報告に係る内部統制は、外部監査人以外の会計事務所が構築してきた。これらの統制は、企業の財務諸表における重要な虚偽記載を防ぐ目的で整備されている。例えば、弊社がコンサルティングを行ったある企業では、買掛金係が納入業者情報とその業者宛の買掛金明細をどちらも入力できる状態だった。冒頭で触れた架空事例のように、４大監査法人の１つが設計したそのようなアクセスによるリスクを低減する主な統制は、３０，０００ドルを超える全ての小切手について最終支払登録と証憑書類を点検するというものだった。しかし、それにより企業はその金額以下の支払取引については不正リスクにさらされていた。

 

 

 

ＳＯＸ法施行の要請は、複数の公開企業における不正が財務諸表の虚偽表示につながり、そのうちの数社が崩壊、倒産したことに端を発していた。外部監査人は常に、企業の財務諸表が重要な点において正確に記載されているかどうかに着目する。そのため企業側は、重要度の低い不正を発見する統制手続を設計または再設計する必要がある。

 

 

 

ＳＯＸ法監査に「合格」するため、多くの企業がＳＯＤのコンフリクト・リストの作成を自社の監査人やリスクコンサルティング会社（多くの場合、外部監査人以外の４大監査法人）に依頼している。しかし４大監査法人でもＳＯＤの模範的な手法に一致した見解があるわけではなさそうだ。４大監査法人から受領した「コンフリクト・マトリクス（conflict matrix）」を評価検証すると、様々なアプローチがあることがわかる。（コンフリクト・マトリクスはＳＯＸ法施行後に普及した手法である。）

 

ＳＯＸ法施行以前は、不正検査士などの内部監査人がＳＯＤを組み込んだ不正防止のための統制手続を整備していた。そもそもＳＯＸ法施行以前の監査法人には、全社標準のコンフリクト・マトリクスなど存在しないところが多かった。ＡＳ５の導入により、全社統制もしくは決算プロセスの統制に依存して、ＳＯＤ統制が軽視されたり、完全に廃止されたりする方向にあるのではないかと懸念している。

 

内部統制の検査は、主として企業の財務記録の重要な虚偽記載を防止するために行われる。多くの企業で統制手続の定義が不明確であったり、重要ではない統制手続に検査資源を配分したりしている。さらに、ＩＴ監査人がシステム内のコンフリクトを探そうと、ほとんどのＳＯＤ検査をする場合が多い。しかしシステム外の手作業プロセスにかなりのリスク、特に重要度の基準未満のリスクが存在しており、ＩＴ監査人はそのようなプロセスを監査する訓練をほとんど受けず、経験も浅い。

 

全社共有の標準化したＳＯＤコンフリクト・マトリクスを有する会社であっても、そのリスク評価プロセスは、おそらくまだ成熟段階にある。特定のＳＯＤリスクを適切に評価するためには、コンフリクト毎に手作業のまたはシステム化されたプロセス内のリスクを完全に理解し、全般的リスクの評価プロセスを慎重かつ綿密に構築する必要がある。そして、リスクの低減に資する統制手続を識別したら、残余リスクも識別しなければならない。

 

識別した残余リスクを許容範囲とみなすか追加的な統制手続を導入するかは、適切なレベルの経営管理者による判断を要する。このプロセスには、リスク評価プロセスの適切な実施に対する経営上層部の支援、ならびに様々な技能を有する人材（部門責任者、ビジネス・アナリスト、セキュリティ担当者）が欠かせない。

 

 

 

ＳＯＸ法施行で統制手続の定義が明確になったがゆえに、企業がさらされる不正リスクは高まったという議論も可能だろう。ＳＯＸ法施行以前は、企業の経営管理者が内部統制を検査することはめったになく、内部監査人がその職務を担っていた。不正を犯そうとする者は、いつ、どのように検査が実施されるのか、ほとんど知る由もなかった。しかし現在では、不正リスクの高い従業員（ＩＴスタッフ、ビジネス・アナリスト、経営管理者など）は多くの場合、検査実施に関する情報を事前に入手しており、監視の目を逃れてシステムを巧みに操作し、不正を犯す方法を認識しやすい立場に置かれている。

 

 

 

リスクの高い分野を識別するコンフリクト・マトリクスを適切に作成するためには、従業員が会社から資産を盗みその行為を隠蔽する手口を理解する必要がある。そのためには、以下の点について知らなければならない。

 

 

 

 

レガシーシステム（既存の旧式のシステム）からＥＲＰシステム（ＳＡＰ、オラクルなど）への移行を望む企業は導入作業のあまりの煩雑さに驚くことが多い。ＳＯＸ４０４要件への対応も必要な企業は、統制手続や検査の戦略に加えて業務プロセスの変更に取り組まなければならない。その上、ＥＲＰシステムの導入で、企業はＩＴセキュリティの手順や変更管理プロセスを更新することが求められる。そのためＥＲＰシステムを初めて導入する企業の多くが、システムインテグレーターに頼りきってしまうことになる。

 

 

 

 

プロセス1	プロセス2	指摘されたリスク
供給業者	カード・プロフィール カード・プログラム コード・セット 経費報告書  総勘定元帳勘定セット	費用の不適切な支払
	買掛金会計期間 銀行 バイヤー 銀行手数料の定義 発注書の管理 発注書と受領品の照合 オープンインターフェイスの請求書 支払条件 返品 署名限度 供給業者の商品カタログ 供給業者一覧表 納税証明書 タックス・グループ 勘定項目更新	不適切な支払
	支払バッチセット	支払の不適切な処理
	購入期間の管理	支払時期の相違
	費用勘定のルール 請求書 供給業者の統合 支払バッチ 支払 反復継続する請求書 請求テンプレート 大量のキャンセル発生	架空業者への支払

 

 

 

 

 

1. リスク低減のために既に整備されているすべての統制手続を識別する。

2.  残余リスクを評価する。既存の統制手続の有効性を、設計と実践の両面から検討する。

3. 残余リスクへの対応を決定する。選択肢として、アクセス・コントロールまたはプロセスの変更、関連する統制手続の追加または変更、リスクの許容などが考えられる。真正なリスク分析用に作成されたコンフリクト・マトリクスは以下の点を考慮に入れている。

• 供給業者情報、銀行口座または送金先住所の管理権限などのハイリスクの機能を有するだけで、不正が実行可能となる場合もある。特定のリスクと共に識別されるハイリスクの単一機能を含むマトリクスを探す。

• 場合によっては、ハイリスクの単一機能と「照会のためのアクセス」との間にコンフリクトが生じる。例えば、銀行口座の管理を任された従業員が、ある特定の納入業者への支払期限を知っていれば、どのタイミングで業者の銀行口座を変更すれば、架空口座に入金できるかがわかる。

• 従業員による不正の手口には、在庫品などの資産、入出金された現金を盗むというものがある。コンフリクト・マトリクスを使って「現金へのアクセスｖｓ．クレジットメモの入力」のコンフリクトを識別し、経営管理者または内部監査人が不正流用の発生可能性やその隠蔽手法を調べられるようにする。

• コンフリクトの詳細とリスクについて文書化する際には、システム外のリスクも考慮する。例えば、供給業者の入力について検査する場合、システムに新規業者を入力できる者だけでなく、新規業者の社内申請から承認までの手順も考慮する。業者情報の入力を担当する者が単に承認済の業者を要求に基づいて入力するだけであるならば、入力段階と申請・承認プロセスは個別のリスクとして評価する必要がある。 

 

 

 

業界アナリスト、著述家、コンサルタントであり、コロラド州プラットビルにあるERP Seminars社の創業者兼最高経営責任者（ＣＥＯ）である。