11億円流出が問う内部統制の実効性

この報告書を読んで、まず自社の内部統制を再点検しなければと感じました。同時に、経理実務に携わる者として、他人事ではない怖さを覚えます。

2026年7月24日、株式会社はてなが、約11億8,000万円の資金流出事案に関する特別調査委員会の調査報告書（開示版）を公表しました。警察関係者を名乗る詐欺グループに経理部長が「捜査協力」と信じ込まされ、2日間で会社資金が社外へ送金された事案です。60ページを超える報告書からは、いくつものほころびが連鎖したことがうかがえます。コーポレート実務の視点で、この事案が突きつけた教訓を整理します。

何が起きたのか

報道と開示された報告書によると、発端は経理部長の私用携帯にかかってきた1本の電話でした。詐欺グループは「大規模な資金洗浄事件を捜査中で、本人にも関与の疑いがある」と告げ、ビデオ通話で警察手帳や検察官証とされるものを提示。経営陣も捜査対象だとして家族への口外を禁じ、経理部長を心理的に孤立させたうえで指示に従わせました。

その後、経理部長はリモートデスクトップアプリを実行して業務用PCを遠隔操作できる状態にし、詐欺グループはそこから送金を実行。二段階認証も、経理部長自身が「凍結口座への振込で資金は後で戻る」と信じ込まされ、表示内容を十分に確認しないまま承認していました。銀行口座の残高が尽きると、「給与出金の準備」という虚偽の理由で別の銀行からの資金移動を承認させ、被害は約11億8,000万円に膨らみました。

職務分掌が、内側から無力化された

通常、送金業務では申請者と承認者が分かれており、途中で必ず検証が入るはずです。特に金額が大きければ、複数人のチェックが働く設計になっているのが当たり前です。

ところが今回は、経理部長自身が偽の警察官に信じ込まされ、口外を禁じられた状態で、部下に資金移動を指示しながら約11.8億円もの送金を実行してしまいました。職務分掌という最も基本的な牽制が、心理操作によって内側から無力化されたのです。

そして報告書は、より本質的な問題を明らかにしています。報道によれば、経理規程では「振込の申請者と承認者は別」と定められ、運用上もそうなっていたにもかかわらず、経理部長のアカウントは1人で申請と承認の両方ができる権限設定になっており、上限金額の設定もなかったとされています。ここに、この事案の核心があります。

規程の上では分離されていた職務が、システムの権限設定では分離されていなかった。この「制度と運用のギャップ」こそが、詐欺グループに突かれた最大の穴でした。規程を作ることと、その規程どおりに運用が担保されていることは、まったく別のことなのです。

ほころびの連鎖

報告書からは、権限設定の問題だけでなく、複数の要因が連鎖していたことがうかがえます。

• 担当者の孤立：資金管理の権限が特定の担当者に集中し、その判断を横から検証する目が働きにくい状態にあった
• 過重労働：残業・休日出勤が200時間を超えるような過重な状況にあり、冷静な判断力が奪われやすい状態だった
• 「口外禁止」という常套句：詐欺の典型的な手口である口外の禁止が、周囲への相談を封じた。誰かに一言相談できていれば、止まった可能性は高い
• 銀行の警告も届かなかった：銀行から「9999万円は詐欺でよく使われる金額」という趣旨の警告があってもなお、送金が止まらなかった

特に最後の点は重く受け止めるべきです。外部の銀行がリスクに気づいて警告を発してもなお止まらなかったという事実は、組織のどこかで声を上げられる仕組みが機能していなかったことを示しています。一つひとつは小さなほころびでも、それが連鎖したときに、11億円という規模の被害に至る。内部統制とは、この連鎖のどこか一箇所でも断ち切れる仕組みがあるかどうか、ということでもあります。

自社に置き換えて、問い直す

制度としての職務分掌は整っていても、それをすり抜けてしまったのは、日頃の運用に課題があったからではないか。私自身、自社を振り返らずにはいられません。同じ問いを、多くの管理部門が自らに向けるべきだと思います。

これらは、特別なシステムや多額の投資がなくても、今日から確認できる項目です。とりわけ「規程と権限設定が一致しているか」の点検は、多くの会社で盲点になっている可能性があります。経理規程で申請者と承認者を分けていても、実際の会計システムやバンキングの権限が一人に集約されていないか──今回の事案は、まさにそこを突かれました。

個人を責めるのではなく、組織としてどう守るか

内部統制は、規程を作ることがゴールではなく、日々の運用の中で実効性を保ち続けることが本質です。この事案は、そのことを改めて突きつけました。

そして何より強調したいのは、これをリテラシーの問題として個人を責めるべきではない、ということです。巧妙な心理操作を受ければ、誰もが同じ状況に陥り得ます。警察を名乗られ、経営陣も捜査対象だと告げられ、口外を禁じられ、過重労働で疲弊している──その状況下で冷静さを保てる人がどれだけいるでしょうか。問われているのは個人の注意力ではなく、一人が騙されても組織として被害を食い止められる設計になっているか、です。

この事案は、リテラシーの問題として個人を責めるのではなく、組織としてどう守るかを問い直す教訓として受け止めるべきだと感じています。規程と運用の一致、権限の分散、上限金額の設定、そして「おかしい」と言える組織風土。どれも地味な取り組みですが、その積み重ねだけが、こうした事態から会社を守ります。まずは自社の権限設定を、規程と突き合わせて確認するところから始めたいところです。

【出典・参考】
・ITmedia NEWS「はてな、11億円流出の調査報告書を公開 偽警察、口外禁止、残業・休出200時間超、孤立……ほころびが連鎖」（2026年7月24日）
・株式会社はてな「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」（2026年7月24日）

※本記事は公表情報をもとに一般的な情報提供を目的として作成したものであり、個別の内部統制やセキュリティ対策への適用を保証するものではありません。実際の対応にあたっては、専門家にご相談ください。