1 ファームバンキングのパスワード管理
(事例)
A社の経理部ではファームバンキングを導入しており、社内のパソコンにて専用回線を経由して他社へ振込み操作ができるようになっている。
ファームバンキング用のPCは2台あり、経理部長と出納担当の経理部員1名に異なるユーザーID、パスワードが与えられていた。そのうえで、経理部員が振込情報を入力し、経理部長が承認するルールを設けていた。もっとも、業務の煩雑さを回避するため、ファームバンキングへのアクセスの際のユーザーIDとパスワードはお互いが知っており、代行する場合もあるのが実態であった。場合によっては、経理部員が振込情報を作成し、経理部長のユーザーIDとパスワードを用いて自ら承認するケースもあった。また、経理部長による定期的な預金残高のチェックも行われていなかった。
経理部員は、会社の銀行口座から自由に預金を引き出せる状態にあるなか、自分の口座に多額の預金を振込み、その後、病欠を理由に欠勤、自分の口座から預金を引き出したうえで海外に逃亡していた。
(原因)
・ファームバンキングのユーザーIDやパスワードが共有されていた。
・管理者(経理部の上長)による預金残高の定期的なチェックが行われていなかった。
(予防策)
本事例の最大の問題点は、形式的には銀行預金の支払いに関して職務分掌が図られていたものの、パスワード情報が共有されていたため、職務分掌が機能しなかったことにあります。
ファームバンキングの管理においては、ユーザーIDやパスワードは、お互い知り得ることのないように厳格に管理しなければなりません。また、アクセスできる端末もできるだけ1台にして、アクセスできる従業員も限定しておく必要があります。
さらに、管理者がファームバンキングの振込一覧を定期的にレビューし、振込実績がほとんどない口座や不明な口座を定期的に削除するようにすれば、不正を防止する効果は一層高まります。
また、本事例では、経理部長や内部監査室の定期的な預金残高のチェックが行われていないことも大きな問題です。日次でファームバンキングの預金残高情報と帳簿残高を照合したり、月次で銀行から発行される「残高証明書」「当座照合表」と帳簿残高を照合し、残高に差異があるものは銀行残高差異調整表を作成したりといった手続きを実施していれば、すぐに不正が発覚して対策がとれただけでなく、このような手続きを定期的に実施することで、担当者の不正を抑止する効果もあります。
いずれにせよ、「定期的な預金残高照合」といった基本的な内部統制は、不正の防止にも発見にも有用ですので、徹底することが重要です。
なお、監査法人による会計監査を受けている会社の場合、監査法人が直接、銀行や証券会社から「残高確認書」を入手しています。「残高確認書」には、預金残高だけでなく、借入金残高、デリバティブ残高、保証債務残高など会社と金融機関とのすべての取引の残高が網羅的に記載されています。これをレビューすることにより、会社側が認識していなかった取引を発見できる場合もありますので、監査法人に対し、「残高確認書」を借り受けられないか打診してみることも検討に値します。
2 子会社における当座照合表の偽造
(事例)
B社は機械メーカーである。一方、B社の販売子会社であるb社は全国に支店を持ち、営業活動を行っている。親会社であるB社の経理部は、B社の経理業務と連結決算業務を行っており、子会社b社の経理業務はb社経理部が行っていた。
こうしたなか、b社経理部の経理部長は、自分の借金返済のため、会社の預金口座から預金を引き出していた。
B社経理部では、年に1回の決算時にb社の決算書を入手し、連結財務諸表を作成していた。その際、b社の当座照合表のコピーを入手し、当座預金の出納帳の残高と当座照合表上の残高との照合を行っていたが、b社経理部長は当座照合表のコピーを偽造し、B社に提出していた。
(原因)
・B社では当座照合表のコピーで残高照合していた。
・残高照合が年に1回であった。
(予防策)
本事例では、親会社による預金残高のチェックが行われてはいたものの、その「方法」と「頻度」に問題があったと言えます。
まず、当座照合表の“コピー”を使って残高を照合するという「方法」に問題があります。銀行が発行する当座照合表や残高証明書は、その名義人である子会社や支店に送付されるのが一般的です。親会社と子会社が離れた場所にある場合には、親会社が現物を確認することには制約がありますが、だからと言ってコピーを入手するだけでは、偽造される恐れがあります。最近は当座照合表や残高証明書も精巧にできており、コピーすると透かし・模様等が入るので、簡単に偽造できるものではありませんが、一方で不正の技術も高度になっているので、注意が必要です。したがって、本事例では、子会社経由での入手でも構わないので、現物を入手して確認すべきでした。
また、当座照合表との照合も年に一度ではなく、月次・四半期等「頻度」を高めたり、本社(親会社)の内部監査部門が抜き打ちで「支店(子会社)監査」を実施したりするのも有効です。
親会社の管理部門としては、支店や子会社にまかせっきりにするのではなく、常に一定の「猜疑心」をもって、子会社の業務をチェックする意識を持つことが重要です。なお、子会社での不祥事に関しては「子会社で不祥事が発覚した」も参照してください。
これらの事例のように、役員や従業員の不正により会社に損害が発生した場合、会社の内部管理体制や内部統制システムが不十分であるとして、取締役や監査役個人に対する会社への「損害賠償責任」が問われる可能性もあります。