金融機関のＩＴガバナンスの構築は社会的な責任である

横浜銀行のＡＴＭから利用客のデータを取得し、カードを偽造したうえで４０口座（最大１３２口座）から計2600万円余りを引き出した犯人が逮捕されたそうです。犯人は横浜銀行のシステム保守管理を再委託されていた上場会社の部長級幹部社員とのこと。外部からの侵入ではなく、管理を担当する内部者（管理受託者）がデータを不正取得した、ということは、まさに銀行の管理責任が問われるものであり、平成25事務年度の金融モニタリング基本方針の中で問われている「ＩＴガバナンス」の課題です。

ところで、先週土曜日（2月1日）に、東証１部上場の情報システム会社の元社長さんから、システム開発に関するお話を、１時間ばかりお聞きする機会がありました。その方は、若いころに銀行のＡＴＭ開発に自ら携わった経験をお持ちの方です。最近はＳＥ（システムエンジニア）の高齢化が進み、製品の販売サイクルの短期化と過酷な労働条件の中で、若いエンジニアが育たないといったお話でした。

私が「そもそもＳＥの技術は若い方に伝承されないのですか？」とお聞きしたところ、今のＳＥの方々の中で伝承すべき技術というものはない、との返答でした。というのは、今のＳＥにとっては開発スキルは二の次で、大切なのは「選ぶ力」だそうです。ユーザーの希望を聞いて、どういったシステムを選ぶのか、どういった最先端の技術を選ぶのかということのほうが重要とのこと。また、分業化が大切だそうで、ユーザーに近いところの「事務系ＳＥ」と開発に近いところの「技術系ＳＥ」とで役割分担を進めなければユーザーの希望をうまくシステム開発につなげることが困難だそうです。つまり技術は「属人性」が強いものであるために、おそらくブラックボックス化してしまい、開発担当者それぞれの責任は希薄化するのかもしれません。

金融機関のＩＴガバナンスについても、金融機関側だけに責任を求めるのではなく、委託先、再委託先との間で、できるだけ少しずつリスク回避のための責任を分担することが効果の面において現実的ではないでしょうか。今回の事件の再委託先企業は、すでに「再発防止策を講じている」とのことですが、委託先にダブルチェックや権限分掌などの万全の不正予防体制を求めるのは厳しすぎるるように思います。そこで、金融機関には「通訳」に近い立場のＳＥが存在し、ダブルチェックとまでは言えないかもしれませんが、再委託先による不正を監視する立場の方が必要かと。

銀行側としては、まさに「ＩＴガバナンス」の構築であり、担当者任せにしないことです。システム開発担当の銀行員というのは、中途採用の方も多いと思うのですが、（前職との関係で）委託先もしくはコンサルタント会社と不適切な関係でシステム開発を進めてしまったり、そもそも不必要に高額な契約を締結していないかどうか、本当に銀行の利益を最優先で開発がすすめられているのかどうか、きちんと把握しておく必要があります。こういったことを銀行側が把握するためにも、信頼のおける「通訳」の役割を担う方が、銀行側に求められるのではないでしょうか。

とりわけＡＴＭはいくら銀行の所有物とはいえ、もはや社会インフラであり、機能不全はまさに金融の信用を毀損することになります。銀行の社会的責任として、真っ先に取り組むべき信用リスク管理のひとつです。経営者自身が取り組まなければならない理由は、そこにあると思っています。

もちろんブラックボックスがすべてクリアにできるわけではありません。しかし粉飾事件が、取引先詐欺や贈賄、脱税など、そもそも経営者の「制度会計軽視につながるような遵法精神の欠如」に由来する場合が多いのと同じように、委託先社員の不正というものも、委託先との信頼関係のどこかにその予兆が出ていることがあります。そういった予兆を発見するには、個別のシステム管理や開発契約を進める上での信頼関係が構築されているかどうか、平時から「通訳」を介してチェックを行い、少しでも違和感を覚えたら、深度ある調査に移行する・・・ということから、ブラックボックスを少しずつ埋めていくことが必要ではないでしょうか。