「11億円を自ら振り込んだ」エンジニア集団の悲劇 はてなを襲った巨額詐欺、IT企業の意外な盲点（3/4 ページ）

[大杉春子，ITmedia]

内部統制とは「組織内の血流」を設計すること

　クライアント企業に繰り返しお伝えしていることがある。「リスク管理の設計段階から、コミュニケーションをセットで考えてほしい」ということだ。

　例えば、送金フローの内部統制を整備するとき。「どういうケースで、誰が、誰に報告するか」を決めることは、実はコミュニケーション設計そのものだ。一定金額以上の送金が発生したとき、財務責任者だけでなく代表取締役にも即時通知が届く仕組みを作る。それは単なるセキュリティ強化ではなく、異常を「組織として検知・共有する」ためのコミュニケーション設計だ。

　あるいは、万が一被害が発生したときの対応フローも同じだ。誰が対策本部の責任者になるか。外部専門家（弁護士や危機管理の専門家）にはいつ連絡するか。取引銀行へは誰が連絡するのか。捜査機関への相談と並行して、いつの時点で開示するか。これらをあらかじめ決めておくことが、実際に事案が発生したときの「初動の速さ」と「対外メッセージの整合性」を大きく左右する。

　はてなは今回、「代表取締役を中心とする対策本部の設置」「外部専門家による事実関係の調査」「捜査機関への全面協力」という対応を取った。いずれも適切なステップではある。ただ、それが「あらかじめ決まっていた対応フローに従ったのか」「その場その場で判断したのか」では、組織としての負荷が全く異なる。

BEC詐欺が突くのは「システムの隙」ではなく「人の隙」

　話を冒頭に戻そう。会食で経営者たちが「やらかしそう」と言ったあの反応は、おそらく正直な本音だと思う。

　ビジネスメール詐欺は、特別なシステムの脆弱性を突くものではない。人間の判断の隙を突く。「急いでほしい」「この件は内密に」「いつもの手順を今回は省いて」。こういった言葉で、普段は慎重な担当者も動いてしまうことがある。IT企業のエンジニアが「ゼロトラスト」（何も信じない）の精神でシステムを設計するように、バックオフィスの業務フローにも「指示の真偽を確認する仕組み」を埋め込む必要がある。

　ただ、仕組みを整えるだけでは足りない。「何かおかしいと思ったら、上に相談していい」という組織文化と、それを支えるコミュニケーションの風土が必要だ。

　内部統制と、組織内のオープンなコミュニケーション。この2つは、表裏一体だ。