ある会社ニュースが世間を賑わせる中、経営者たちから私の元へ悲鳴のような相談が相次いでいる。 「うちの会社も1人決済だ。どうすればいい？」「セキュリティを強化する予算なんてない！」
安心させてやろう。会社の金庫に鍵をかけるのに、数百万のシステム投資など1円もいらない。あなたがやるべきことはただ一つ。今あるネット銀行の「法人・ビジネス口座」のコントロールパネルを開き、設定を数クリック切り替えるだけだ。
今回は、お金をかけずに「完璧な防御陣形」を敷くための、具体的かつ実践的な4つのステップを伝授しよう。
🕵️♂️ ステップ1：1つのパスワードを使い回すな。「IDの完全分離」
まず、最も基本的でありながら、多くの企業が怠っている致命的な欠陥を修正する。 「社長のログインIDとパスワード（またはトークン）を、経理担当者にそのまま預けて振込を丸投げしている」……もし心当たりがあるなら、今すぐそれをやめさせろ。それは鍵を刺したまま金庫を放置しているのと同じだ。
最新のネット銀行（住信SBI、GMOあおぞら、PayPay、楽天など）のビジネス口座には、複数のユーザーIDを発行する機能が標準で備わっている。
- 「データ作成者」のID： 経理担当者に付与。振込先や金額の入力はできるが、最終実行はできない。
- 「承認者」のID： 社長や役員、経理部長が保持。データの修正や入力はせず、中身をチェックして最後の送金実行ボタンを押す。
ログイン環境を物理的に2つに分ける。これが、すべての防壁の基礎となる。
🕵️♂️ ステップ2：銀行の「多段階承認」と「上限金額設定」で罠を張る
IDを分けたら、次は銀行のシステム特性をフルに活かして、犯行の難易度を跳ね上げる。
- 多段階承認の設定： GMOあおぞらネット銀行などのように、最大数段階の承認フローを組める銀行もある。例えば、「300万円以上の振込は、経理課長の承認の後に、さらに社長の承認が必要」といったダブルチェックの網をかけるのだ。
- 1回あたりの承認上限金額の設定： PayPay銀行の「BA-PLUS」などのように、承認者ごとに「1回に動かせる上限金額」を設定しておく。万が一、承認者のIDがハッキングされたり、騙されたりしても、一撃で11億円もの大金が流出するのを物理的に防ぐ保険になる。
🕵️♂️ ステップ3：エビデンス（請求書）の「デジタル照合」をルール化する
「データを作成した」「ボタンを押した」というプロセスだけでは、まだ「騙されたフリをした内部犯行」の余白が残る。そこで、承認時の「照合ルール」を厳格化する。
最近のネット銀行には、振込データに請求書などのファイルを添付できる機能がある。 承認者は、画面に表示された「振込金額」と、添付された「請求書PDFの金額」、そして「振込先の口座名義」の3つが寸分違わず一致しているかを、指差し確認する。
メールで「口座が変わりました」と来たら、そのメールの文面ではなく、「事前に登録された取引先マスターデータ」と一致しているかを銀行画面で確認させるのだ。この1分間の照合プロセスを挟むだけで、「メールに騙されて振り込んじゃいました」という言い訳は、この世から完全に消滅する。
🕵️♂️ ステップ4：最悪のシナリオ「共謀」を潰す、定期的な権限監査
ここまでの罠を仕掛けると、次に犯人が考えるのは「作成者と承認者がグルになる（共謀）」というシナリオだ。
これを防ぐための私の手口は、「定期的なパスワードの強制変更」と「権限設定の抜き打ち監査」だ。 また、先日の講義で話したような「Google WorkspaceのAPIを使った監査ツール」などを組み合わせて、管理者が勝手に承認権限を書き換えていないか、ログインログに不審な挙動（同じIPから作成者と承認者が同時にログインしているなど）がないかをチェックする。
「共謀しても、別の監査ログですぐに足がつく」という恐怖を植え付けることで、内部の悪意を完全に沈黙させることができる。
🕵️♂️ 探偵の結論：設定を変えるのに、数分もかからない
どうだ？ 難しいプログラミングも、高額なセキュリティソフトも不要だ。 必要なのは、経営者であるあなたの「今すぐ設定を変える」という決断だけだ。
「面倒だから」「今まで問題なかったから」と、1人決済のガバガバな金庫を放置し続けるか。それとも、今日のうちに銀行の管理画面を開くか。
次回は最終回。 「社員を信じる」という言葉の本当の意味、そして誰も不幸にしないクリーンな組織を作るための最後の教訓を授けよう。