不正の手口を知らずに防げるか？企業不正の仕組みと未然防止策
企業のコンプライアンス研修では、過去に発生した不正事件や法令違反の事例を取り上げることがよくあります。
「従業員が会社のお金を横領した」「売上を不正に計上した」「顧客情報を外部に持ち出した」など、実際に起きた事件を紹介し、その問題点や企業への影響を学びます。
こうした事例を知ることは、コンプライアンス意識を高めるうえで重要です。
しかし、不正が起きたという事実を知るだけで、同じような不正を防げるようになるのでしょうか。
不正を未然に防ぐためには、何が起きたのかだけでなく、どのような状況で不正が可能になったのか、なぜ本人は不正に踏み切ったのかを理解する必要があります。
そのためには、不正を防ぐ側の視点だけでなく、あえて不正を行う側の視点から考えてみることも重要です。
本記事では、サイバーセキュリティとの共通点を手がかりに、企業不正の手口や発生原因を理解する重要性を考えます。
さらに、「不正のトライアングル」を活用した原因分析と、ビジネスゲームを通じて不正の未然防止策を考える研修方法を紹介します。
1．サイバー攻撃と企業不正に共通する「攻撃側と防御側の違い」
攻撃者は一つの弱点を狙えばよい
情報セキュリティの分野では、システムの脆弱性（セキュリティホール）が発見されると、そこを狙ったサイバー攻撃が行われることがあります。
攻撃者は、侵入できる弱点を一つ見つければ、そこを突破口に攻撃を仕掛けることができます。
一方、防御する側はどうでしょうか。
企業は、自社のシステムに存在するさまざまな脆弱性を把握し、それぞれに対策を講じなければなりません。
さらに、新しい脆弱性が発見されれば、その都度対応する必要があります。
つまり、攻撃者は一つの弱点を利用すればよいのに対し、防御する側は多くの弱点に備えなければならないという構造的な違いがあります。
そのため、防御する側は攻撃者よりも後手に回りやすく、対策には継続的な手間と労力がかかります。
もちろん、実際のサイバー攻撃では複数の条件が必要になることもあり、一つの弱点だけで必ず侵入できるわけではありません。また、防御側も重要な資産へのアクセス制御や多層的な防御によって、リスクを減らすことができます。
それでも、攻撃する側と防御する側の負担が対称ではないという点は、情報セキュリティを考えるうえで重要です。
企業の悪意ある不正にも同じ構造がある
実は、これと同じことが、企業内で行われる悪意のある不正にもいえるのではないでしょうか。
企業には、経費精算、売上管理、在庫管理、購買、契約、人事管理など、数多くの業務があります。企業は、それぞれの業務について、不正が起こらないようにルールを定め、管理体制を整えなければなりません。
しかし、悪意を持って不正を行おうとする人は、すべての管理体制を突破する必要はありません。
どこか一つに不正を行える弱点があれば、そこを利用しようとする可能性があります。
例えば、経費精算では厳格なチェックが行われていても、在庫管理では特定の担当者に権限が集中しているかもしれません。
購買業務では複数人による承認が必要でも、取引先との関係を特定の担当者しか把握していない場合もあるでしょう。
また、管理体制そのものに問題がなくても、上司による確認が形式的になっているなど、運用上の弱点が存在することもあります。
不正を防ぐ側は、こうしたさまざまな弱点を把握し、継続的に対策を講じる必要があります。一方、不正を行おうとする側は、自分が利用できる弱点を探そうとします。
このように考えると、企業不正の防止にも、サイバーセキュリティと共通する難しさがあることが分かります。
不正を防ぐためには、手口を知ることが重要
サイバーセキュリティでは、攻撃者がどのような方法で侵入を試みるのかを理解し、それに応じた対策を考えます。
企業不正についても、同じ考え方が必要です。
例えば、「従業員が経費を不正に申請した」という事例を知っただけでは、具体的に何を改善すべきかは分かりません。
なぜ不正な申請ができたのか、どのような管理上の弱点があったのか、本人はどのような理由で不正に踏み切ったのか。
こうした背景を理解して初めて、効果的な防止策を考えやすくなります。
不正の手口を知る目的は、不正の方法を覚えることではありません。不正を可能にしてしまう条件を理解し、その条件を取り除くことです。
2.不正事例を知るだけでは、なぜ不十分なのか
「何が起きたか」と「なぜ起きたか」は違う
例えば、ある企業で従業員による経費の不正申請が発覚したとします。
この事例をコンプライアンス研修で紹介すると、参加者は「経費を不正に申請してはいけない」「会社のお金を私的に使ってはいけない」と理解するでしょう。
もちろん、こうした認識は必要です。
しかし、それだけでは、同じような不正を防ぐために何をすべきなのか、十分に考えられないかもしれません。
重要なのは、次のような疑問を持つことです。
なぜ、その従業員は不正をしようと思ったのか？
なぜ、不正な申請ができる環境だったのか？
なぜ、本人は不正行為に踏み切れたのか？
なぜ、周囲の人は不正に気づかなかったのか？
どの段階で、どのような対策を取れば防げたのか？
こうした疑問を持つことで、不正を行った本人の問題だけでなく、業務の仕組み、管理体制、職場の人間関係、組織風土などにも目を向けられます。
3．不正が起こる3つの要因「不正のトライアングル」
企業不正の発生原因を考える際に役立つのが、「不正のトライアングル」という考え方です。
不正のトライアングルは、不正が発生する背景を「動機・プレッシャー」「機会」「正当化」という3つの要因から捉えるモデルです。
不正を個人の倫理観だけの問題として捉えるのではなく、さまざまな角度から分析するために活用できます。
① 動機・プレッシャー：なぜ不正をしようと思ったのか
動機とは、不正を行おうとする理由や、その背景にあるプレッシャーのことです。
例えば、次のようなものが考えられます。
生活費や借金の返済に困っていた
営業目標を達成できず、強いプレッシャーを感じていた
高い評価や報酬を得たかった
自分の失敗を隠したかった
上司から厳しく成果を求められていた
同じ不正行為でも、その背景にある動機は一つとは限りません。
金銭的な問題が原因の場合もあれば、仕事上の評価や人間関係が影響する場合もあります。
こうした背景を理解することで、過度なプレッシャーを生む職場環境や、従業員が問題を抱え込む状況について考えられます。
② 機会：なぜ不正ができてしまったのか
機会とは、不正を実行できる環境や、管理体制の弱点のことです。
例えば、次のような状況です。
一人の担当者が申請から承認まで行える
重要な業務を特定の従業員だけが担当している
上司による確認が形式的になっている
記録や証拠が十分に残されていない
不正な行為を発見する仕組みがない
この「機会」は、先ほど紹介したサイバーセキュリティにおける脆弱性（セキュリティホール）と共通する部分があります。
不正を行おうとする人がいたとしても、不正を実行しにくい仕組みがあれば、発生を防げる可能性があります。
そのため、企業の不正防止対策では、機会を減らすことが重要です。
業務の分担、承認手続き、記録の保存、定期的な確認などは、不正の機会を減らすための代表的な対策です。
③ 正当化：なぜ不正をしてもよいと思ったのか
正当化とは、不正行為を自分の中で許容するための考え方です。
例えば、次のようなものです。
「この程度なら問題ない」
「ほかの人もやっている」
「会社のためにやっている」
「後で元に戻せばよい」
「自分は会社に貢献しているのだから、少しくらい許される」
本人が不正だと認識していても、こうした理由をつけることで、行為への心理的な抵抗が弱まる場合があります。
正当化を防ぐためには、ルールを周知するだけでなく、日頃から問題のある行為を見過ごさない職場風土をつくることも大切です。
4．一つの不正事例にも、さまざまな原因が考えられる
同じ不正でも、背景が違えば原因も違う
不正の原因を考えるうえで重要なのは、一つの事例に対して、必ずしも一つの原因だけが存在するわけではないということです。
例えば、「従業員が経費を不正に申請した」という事例を考えてみましょう。
この事例について、なぜ不正が起きたのかを参加者に自由に考えてもらうと、さまざまな背景が挙がるはずです。
不正のトライアングルによる分類例
※研修参加者が考えた事例を分類した例
※架空の事例に対する原因の例です。実際の事件の原因を示すものではありません。
このように、同じ「経費の不正申請」という事実からでも、複数の原因を考えることができます。
しかも、これらの原因は、必ずしもどれか一つだけが当てはまるものではありません。
生活費に困っていた従業員が、上司の確認不足に気づき、「少しくらいなら問題ない」と考えて不正を行った可能性もあります。
つまり、一つの不正に対して、動機・機会・正当化が複雑に関係していることもあるのです。
5．不正の原因が違えば、防止策も変わる
不正の原因を考えることが重要なのは、原因によって必要な防止策が変わるためです。
例えば、経費の不正申請について、次のような原因が挙がったとします。
動機：営業目標への強いプレッシャー
この場合は、目標設定や評価制度の見直し、上司による適切な支援などが対策として考えられます。
機会：上司による確認が行われていなかった
この場合は、承認手続きの見直し、証憑の確認、定期的な監査などが対策として考えられます。
正当化：ほかの従業員もやっていると思っていた
この場合は、ルールの徹底、管理職による率先垂範、問題を見過ごさない職場づくりなどが重要になります。
このように、不正の発生原因を分析することで、より具体的な対策を考えられます。
一つの防止策だけでは十分とは限らない
不正防止のために、ルールを厳しくすることは有効な場合があります。
しかし、ルールを厳しくするだけでは、問題が解決しないこともあります。
例えば、経費申請の確認を厳格にしても、従業員が過度なプレッシャーを受けている状況が改善されなければ、別の問題が発生するかもしれません。
反対に、職場のコミュニケーションを改善しても、承認手続きに大きな弱点が残っていれば、不正の機会はなくなりません。
重要なのは、動機・機会・正当化という複数の視点から原因を捉え、必要な対策を組み合わせることです。
不正のトライアングルを使った原因分析は、こうした多面的な対策を考える際に役立ちます。
6．不正の原因を考えるコンプライアンス研修とは
事例を読んで終わる研修から、原因を考える研修へ
従来のコンプライアンス研修では、不正事例を紹介し、その問題点や関連するルールを解説する方法が広く用いられています。
こうした研修は、知識を身につけるうえで重要です。
一方で、参加者自身が不正の原因を考える機会を設けることで、学習をさらに深められます。
このような進め方にすることで、参加者は不正事例を受け身で学ぶだけでなく、自分自身で原因を分析し、防止策を考えることができます。
複数人で考えることで原因の幅が広がる
不正の原因を考える際には、グループで話し合うことも効果的です。
同じ事例でも、参加者の経験や立場によって、着目するポイントが異なります。
営業部門の参加者は目標達成へのプレッシャーに注目するかもしれません。
管理部門の参加者は承認手続きの不備を指摘するかもしれません。
管理職は、職場の雰囲気や上司の関わり方に問題があったのではないかと考えるかもしれません。
こうした意見を共有することで、不正の背景を多角的に捉えられます。
また、他の参加者の考えを聞くことで、自分では思いつかなかった原因や対策に気づくこともあります。
コンプライアンス研修では、正しい知識を学ぶだけでなく、こうした意見交換の機会を設けることも大切です。
7．ビジネスゲームを活用して不正の原因と防止策を考える
ゲームを使うことで、参加者が主体的に考えられる
不正の原因を分析する研修では、ビジネスゲームを活用する方法もあります。
ビジネスゲームの特徴は、自然に参加者が与えられた課題に対して、自分たちで考え、話し合い、判断することです。
講師の説明を聞くだけでなく、ゲームの中で考える機会が生まれます。
特に、不正の発生原因を考える場合には、唯一の正解を当てることよりも、さまざまな可能性を考えることが重要になります。
一つの事例に対して、参加者が異なる背景を考え、それぞれに防止策を提案する。
こうした活動は、ビジネスゲームと相性のよい学習方法です。
コンプライアンスビジネスゲーム「無法地帯」
企業向けビジネスゲーム「無法地帯」は、職場で誰もがついやってしまいがちな36種類のコンプライアンス違反事例を題材にしたゲームです。
参加者は、提示された事例に対して、問題が発生する背景や防止策を考えます。
このゲームの特徴の一つは、事例が発生した背景を参加者が自由に想像できることです。
例えば、ある従業員が不適切な行為をしたという事例について、参加者はさまざまな原因を考えられます。
仕事上のプレッシャーがあったのかもしれません。
上司の確認が不十分だったのかもしれません。
職場で同じような行為が当たり前になっていたのかもしれません。
こうした背景を自由に考えることで、一つの事例から複数の原因を見つけ出すことができます。
さらに、研修の振り返りで不正のトライアングルを取り入れれば、参加者が考えた原因を「動機・機会・正当化」の3つの視点から整理できます。
そのうえで、原因に応じた防止策を検討することで、不正の未然防止について理解を深めることができます。
※不正のトライアングルによる分類は、研修の振り返りに取り入れる活用方法の一例です。また、36種類の事例には意図的な不正以外の違反も含まれるため、すべての事例を必ず3分類に当てはめるものではありません。
不正の手口を知ることから、防止策を考えることへ
コンプライアンス研修の目的は、不正の手口を詳しく知ること自体ではありません。
重要なのは、不正がどのような条件で起こり得るのかを理解し、自分たちの職場で何を改善すべきかを考えることです。
そのためには、不正を行った人だけに注目するのではなく、不正を可能にした環境や、行為を正当化してしまう考え方にも目を向ける必要があります。
ビジネスゲームを活用することで、参加者同士がさまざまな視点を持ち寄り、不正の原因と防止策を主体的に考える機会をつくれます。
コンプライアンス教育を、単にルールを覚える研修から、不正を防ぐために考える研修へと発展させる方法の一つです。
「無法地帯」の教材購入や講師派遣による研修については、商品紹介ページをご覧ください。
8．まとめ：不正の手口を知り、発生原因を考えることが未然防止につながる
企業不正を防ぐためには、過去にどのような不正が起きたのかを知るだけでなく、その不正がなぜ起きたのかを理解することが重要です。
サイバーセキュリティと同様に、企業不正にも、攻撃する側と防御する側の負担が対称ではないという難しさがあります。
不正を行おうとする人は、利用できる弱点を探そうとします。一方、企業はさまざまな業務の管理体制を整え、継続的に対策を講じなければなりません。
だからこそ、不正を防ぐ側の視点だけでなく、不正を行う側がどのような弱点を利用しようとするのかを考える必要があります。
その際に役立つのが、不正のトライアングルです。
動機・機会・正当化という3つの視点から考えることで、不正の背景を多角的に捉えられます。
また、一つの不正事例に対しても、さまざまな原因が考えられます。
参加者同士で自由に背景を考え、意見を共有することで、原因の幅を広げることができます。
そして、原因が違えば、必要な防止策も変わります。
不正の手口を知る。原因を考える。防止策を考える。
この一連の学習を通じて、コンプライアンスを単なる知識ではなく、自分たちの職場の問題として考えることができます。
不正の未然防止に向けて、事例を知るだけの研修から、原因と対策を主体的に考える研修へと発展させてみてはいかがでしょうか。
ご紹介の研修やゲームへのお問合せは以下よりお願いします。
コメント