龍夫=日経SYSTEMS入力データのチェック機能を実装したり,ユーザーの操作ログをすべて取ったりすることができれば,確かに不正入力のリスクは減るだろう。時間が足りない状況で,新しいツールを導入したり,システムを大幅に改修したりするのは難しい場合もある。「売り上げを多く見せるため,商品の単価を書き換える」「販売個数を水増ししてシステムに入力する」――。これらは,不正入力が可能というリスクの具体例である。商品単価や在庫数などは財務諸表に直結するため,不正ができない仕組みが必要である。「入力データのチェック機能を実装する」「ユーザーの操作ログをすべて取ることで不正を抑止したり発見したりする」。このような不正ができない仕組みを実装できれば,確かにリスクは減るだろう。時間が足りない状況で,新しいツールを導入したり,システムを大幅に改修したりするのは難しい場合もある。米SOX法対応を行ったワーナーミュージック・ジャパンもそうした悩みを持つ1社だった。同社では,販売しているCDの価格や印税率といったデータを管理するアプリケーションに修正すべき問題があった。簡略化して説明すると,商品Aは部署Aが,商品Bは部署Bがそれぞれ管轄していた。部署Aの担当者は,商品Bの価格や印税率を修正する権限はない。アプリケーションの修正は絶対に必要。プログラムのロジックを大きく改修することだけは避けたかった。改修に時間がかかるだけでなく,テストに時間がかかるからだ。そこで,画面部分のみを変更した(図2)。具体的には,「部署Aの画面に商品Bを表示しない」というように,権限外の商品情報が表示されないようにした。藤野氏は,「画面だけを修正することで,変更部分を最小限にしながら,内部統制が確立できる仕組みにできた」と振り返る。権限のない商品単価を修正できるリスクがあった。確立した[画像のクリックで拡大表示]不正入力という点で特に見逃せないのは,マスター・データだ。これを不正に書き換えられると,財務上の数字に与える影響は大きい。取引先コードのマスター・データの場合,不正に書き換えられると,架空の取引先から商品を受注したようにみせかけて,架空の売り上げを計上できてしまう。横領のために架空の取引先に現金を支払ったりすることも可能になる。Officer)は,「在庫マスターや仕入れ先マスターといった重要な情報に,不正な変更がなかったかを確認するために操作ログを取得し,確認するようにしている」。マネージャ)は,「誤った取引先コードの入力を防ぐために,決められたファイル・サーバーから取引先コードを毎回ダウンロードし,そのファイルにあるコードを入力する。その上で,入力したコードを上司がチェックするといった仕組みも有効だ」と語る。表計算ソフトのマクロをチェック企業によっては,財務諸表や在庫数などの重要な情報を,マクロを組み込んだ表計算ソフトで管理している場合がある。上場している企業の子会社が連結決算のために,表計算ソフトを使って決算情報のファイルを作成し,それを親会社に送信しているようなケースである。この行為自体が悪い訳ではないが,マクロを無断で修正できてしまうと,不正データが生み出されるリスクとなる。そこでガートナージャパンの松原氏が勧めるのが,ファイル・サーバーで原本のファイルを管理し,そのファイルのマクロをそのまま使うようにする方法だ(図3)。図3●財務諸表の作成に表計算ソフトを利用している場合の統制例ファイル・サーバーでのアクセス権限設定と,原本とのマクロ比較がポイントになる[画像のクリックで拡大表示]具体的には,まずマクロを組み込んだ表計算ソフトのファイルを原本とし,修正できないようにしておく。ファイル・サーバーのアクセス制御機能を使って,ファイルを操作できる担当者を絞り込んでおく。担当者が財務諸表の作成といった作業をする場合は,この原本ファイルをコピーする。コピー・ファイルは修正可能だが,マクロは修正しないで使う。後から上長が,入力された数字のチェックに加え,原本ファイルのマクロと作成したファイルのマクロを比べることで,不正な修正がないかを確認する。23ページより記事は執筆時の情報に基づいており、現在では異なる場合があります。農家が実感した自動飛行ドローンのすごさクラウド現場の負担軽減を!医療界でのAWS活用法SaaSを加速するソリューションとは?クラウドの新形態「aPaaS」のメリットDXを阻むコミュニケーションの壁とは?AWSとSAPの連携強化がもたらす利点は500万社が導入。価値創造型の社内コミュニケーションとは発想を豊かにする有機的な会議ツールとは働き方が変わる。Reserved.このページに掲載されている記事・写真・図表などの無断転載を禁じます。掲載している情報は、記事執筆時点のものです。