内部統制では防げない「カビ型」不正行為の本質

データ改ざんは情報システムの問題ではない

　一連のデータ改ざん問題は、一見、データの正確性を担保すること、すなわち、「情報ガバナンス」の問題だと思われるかも知れません。情報の正確性を企業内で維持していかないといけないということで、アクセス権の管理だとか、変更履歴の管理といった問題に注目が集まります。

　しかし、その認識はまったく間違っています。それは、データ改ざんという不正行為が個人の行為、いわゆる「ムシ型」不正行為ととらえているからです。個人の行為と捉えれば、個人が不正行為をすることができないように管理や制限をしようという話になりますが、不正行為が業界全体に広がっている場合、必ず背景になんらかの原因があると考えるべきです。個人の意思で勝手にやっている行為ではないのです。

　今回の捏造問題は、要するに「試験をやっていない」ということでした。それは、その認識の程度に差はあれ、社内では多くの人が知っているのです。しかし、ＪＩＳ認証のためには試験データがなければならない。だから、捏造が行われていたのです。

桐蔭横浜大学コンプライアンス研究センター　センター長　郷原信郎氏

　データ捏造、改ざん問題においては、ほとんどのケースが、個人に依存する「ムシ型」ではなく、組織的に問題がある「カビ型」違法行為です。「カビ型」違法行為としてのデータの改ざんというのは、単に「データの正確性」が問題ではないので、情報システムを整えれば解決というわけにはいきません。