本ＣＦＯ協会 主任研究委員（ガバナンス・リスク・コンプライアンス） 日
米国公認会計士 公認内部監査人

ＳＡＰジャパン株式会社
早稲田大学大学院非常勤講師

T E C H N O L O G Y
W A T C H
健全な成長を支える事業基盤 中野浩志
としてのＧＲＣ

業価値に大きな毀損をもたらす不正の予防・発見工夫が、各社取組事例から伺える。本稿では、企えてルール遵守がナビゲートされる仕組み作りとと。システムの利用を通して、国や法人の枠を超スの中にリスクを予防する仕掛けを組み込むこへの過度な依存には限界がある。日常業務プロセの予防をしてきた日本企業であるが、直面するグ員の阿吽の呼吸や高い帰属意識に依存してリスクの流動性の高まりや帰属意識の希薄化。従来、社文化・異人種との共働機会増加、そして労働市場バナンスの重要性の高まり、Ｍ＆Ａなどによる異日本企業のグローバル展開に伴う海外子会社ガ判断を促すなど、リスク管理を日常業務プロセス知されると、内部監査部門に通知され調査要否のできなくなる。また、不正リスクのある取引が検ビューなしでは社内承認プロセスを進めることがリスク管理部門に通知され、リスク管理部門のレ合いがシステム入力されると、潜在リスクとして）等をダッシュボードやモバイル端末で継Indicator
続的にモニタリングしている。一定金額以上の引及ぼすリスクを経営者が認識・評価して対応する営理念や事業目的に照らして経営に重大な影響を「ＧＲＣシステム」の整備を段階的に推進した。経「プロセス」、「レポーティング」およびそれを支える族を不測の事故やリスクから守る基盤。そして、故に繋がるケースも少なくない。社員とそのご家

国により不正の捉え方も異なり、認識ＧＡＰが事やつい魔がさしてしまうことは誰にでもありえる。

気づきを与え、考えることを促す。うっかりミス通知することは業務負荷軽減のみならず、現場には、事 業 管 理 の一環 と し て Ｋ Ｒ Ｉ（保障貿易部門に通知されるという具合だ。
KeyRisk
ルールに基づいて例外事象を検出し、担当者にプロセスを構築し、地域・法人・事業等の各責任者

経営トップの意思やリスク管理ポリシーを確実に引先と検知されると、受注ブロックがかかり安全ンプライアンスがチェックされ、取引相手が懸念取値や利用可能在庫、与信限度額のみならず貿易コ注入力を行うと、受注単価・数量などの入力異常チェックして注意を促す。また、受注担当者が受ローバル化やリスクの多様化を踏まえると、「人」に着目して、各社取組事例をご紹介する。

業務プロセスに組込み、グループ全体の健全な成Ａ社は急速なグローバル事業展開に伴うリスクの利用を通してリスク検知やコンプライアンスをの中にルールを組み込む意味は大きい。システム

日本企業がグローバル展開を進める中、海外子長を支える基盤にＩＴは進化している。の多様化、遵守すべき法規制の増大への対応が急遵守する図式ができあがるからだ。例えば、新興会社ガバナンスの共通課題の つが、不正の防止で事業活動とリスク管理の融合務であった。場当たり的なリスク対応では変化対国取引先からの大量注文オファー判断に際して、ＧＲＣフレームワークのもと、「ポリシー」、「組織」、ガバナンス・リスク・コンプライアンスを一貫化した照会を行うのみならず、仕向け国の環境規制をシステムが利用可能在庫、製造拠点別生産能力のれる中、そもそも不正を実行できるような権限のある。ほとんどの業務がシステムを通して実行さ

1

不正リスクへの対応～職務分掌リスク～
応力、コストの両面で限界がある。そこで、同社はＡ社のようにシステムを利用して業務プロセスに組み込む工夫も行っている。

取組事例からの示唆

テ ク ノ ロ ジ ー ・ ウ ォ ッ チ

CFO FORUM ● 14

●GRCシステム概要●●❶ 統合リスク管理（Risk Management）
リスク管理やリスク指標の集約・分析
全社横断的なリスク可視化（ダッシュボード）●❷ 内部統制管理（Process Control）
統制の一元管理（統制文書・社内規定）
統制自己評価（サーベイ）● 管理プロセスの自動化●「持続的統制モニタリング」
自動化❶統合リスク管理●

知、運用の自動化・効率化を実現したグローバル製で、ＧＲＣシステムを利用して職務分掌リスクの検分掌リスクチェックを行うのも限界がある。そこ難しい。人が網羅的にアクセス権限レベルの職務務プロセスの中で職務分掌リスクを検知するのは報システムは間違いなく権限付与を行うという業る。一方、業務ユーザーが必要な権限を申請し、情与え方をしないという職務分掌の視点が大切にな

ナンス業務集約化（ＳＳＣ化）などを実現している。

率と監査品質の向上、職務分掌リスク検知・メンテ

掌リスク検知の仕組みを整備することで、監査効次展開を行った。地域横断で一貫性のある職務分パイロット導入したのを皮切りに、地域単位で順務分掌リスクテンプレートを構築して欧州地域へフレームワークに準拠する形でグローバル共通職て、同社リスク管理フレームワーク／セキュリティい方に一貫性がなかった。そこで次のステップとしテムを利用した全件チェックによる網羅性確保、人監査カバー率と精度を高める意味は大きい。シスでしかできないところに限られた人財を投入してし、システムでできるところはシステムに任せ、人ムで全ての不正検知ができるわけではない。しかトに紐づけて記録・蓄積するという具合だ。システ

してアラートされ、不正調査の経緯と結果をアラー

取引データを持つ取引先が架空売上リスクありと不正検知ルールとして設定し、ルールに抵触する●❹ アクセスリスク管理（Access Control）
職務分掌（SoD：Segregation of duties）分析
職務分掌リスク事前テンプレート（約260リスク）● 特権ユーザー管理（貸出運用・モニタリング）等❸不正管理 ❹アクセス その他
リスク管理（貿易管理等）●

日常業務プロセス

的統制、毎月職務分掌リスクレ

クを事前に自動チェックする予防の権限変更時には、職務分掌リス図った。さらに、組織変更や異動統制を組み入れリスクの軽減を務が避けられない場合は補完的権限設定の見直しを行った。兼状のリスクを分析し、業務分担と形でレポートされる。そして、現空送金リスクのある社員という権限が割り当てられていると、架先マスター登録権限と支払処理上が必要となり、ＩＴを高度に利用した改革が不るためには、不正監査のカバー率・精度の双方の向すます増えるグループ企業のガバナンスを強化す増大が顕在化してきた。現状の監査リソースでまに伴う決算にインパクトを与える不正取引リスクプ企業のガバナンス強化の必要性、グループ拡大を図っている。その中で、Ｍ＆Ａで買収したグルーを積極的に進める中でグローバル経営体制の強化う。同社はグループ全体最適化を目指し、Ｍ＆Ａ系グローバル製造業Ｃ社の取り組みを見てみよ

リスクを検知・予防する取り組みも進んでいる。日引マスターデータなどの大量データの中から不正ＩＴ技術の進化を活かし、取引明細データや取て、システムを利用したリスクコントロールの日常内部統制制度の確立などの従来からの取組に加えることは言うまでもない。ジョブローテーション、ループ企業一人ひとりへの啓蒙活動が最重要であリスク管理は知識でなく意識と言われる。グ●策としても検討の余地がある仕組みであろう。

活用されはじめている。海外子会社ガバナンス施おける不正申告洗い出しなど、さまざまな用途で携帯電話不正利用・代理店不正請求、税務当局に社における不正請求チェック、通信企業におけるトウエア企業のライセンス不正利用、損害保険会

海外に目を向けると不正検知の仕組みは、ソフという牽制効果に加え、熟練社員の経験に基づくポートを出力してリスク責任者可欠である。そこで同社は不正検知ルールに基づ業務への組み込みと継続的モニタリング体制の整

大量取引明細データからがレビューする発見的統制を業いて取引データ全件をチェックし、不正リスクを洗

備は、グローバル市場を土俵に事業を健全に成長

不正発見手法を不正検知ルールとしてシステムに務プロセスに組み込み、統制の持出すＧＲＣシステムを試行した。架空売上（期末させていく上で、今後ますます重要になると思わ不正リスクを炙り出す

続可能性を高めている。ただし、押し込み、翌月戻し）なら期首返品率・額、出荷かれる。

埋め込み、資産化・継承できる点も見逃せない。

各国独自にツールを導入したたら返品までの期間が短く決算期を跨いでいる等を行った。例えば、ある社員に仕入に依存しない監査品質平準化、全件見られている造業Ｂ社の事例を見てみよう。同社はまず、ツールの中に事前定義されている職務分掌リスクテン●

プレートを利用し、網羅的にリスクの洗い出しを❸ 不正管理（Fraud Management）
不正リスク検知・予兆の発見
調査・結果の記録● 不正検知ルールのシミュレーション（誤検知減少）❷内部統制管理オンライントレード

め国ごとにリスク定義の仕方、使15 ● CFO FORUM

手組み 基幹業務システム
ERP 基幹業務システム●