2026年4月に発覚した「はてな」の11億円流出事件。同年7月に公表された特別調査委員会の報告書が指摘する最も恐ろしい真実は、犯行グループの手口の巧妙さではない。1人だけで11億円の送金を完結できてしまうスカスカのシステム権限設定、長年にわたる業務のブラックボックス化など、点として続いていた「異常のサイン」を誰一人として拾い上げなかった、経営の無関心という組織病なのである。
「自分で振り込んだ」わけではない 心理的拘束と遠隔操作
5月1日、本欄でこの事件を「IT企業の意外な盲点」と題して取り上げた。当時は公表されていた情報が限られていたが、7月の調査報告書によって、その実態はもっと複雑だったことが分かった。
4月20日午前8時2分、経理部長のH氏の私用携帯に、警察関係者を名乗る人物から電話がかかってきた。「あなたは資金洗浄事件に関与していると疑われている」と告げられ、家族への暴露も禁じられた。ビデオ通話では偽の警察手帳や検察庁証まで提示された。
H氏はその後の作業を「捜査協力」だと信じた。午前10時39分ごろ、正体を理解しないまま会社貸与PCにリモートデスクトップをダウンロード。10時42分ごろには、外部からPCへの接続が確立した。犯行グループは遠隔操作で会社のオンラインバンキングを操作した。
同時にH氏は、社内の経理メンバーにも、別の口座へ資金を移すよう指示していた。その社内口座間の移動は計9億4000万円に達し、結果として、犯行グループが操作できる口座へ「補給」する形になった。最終的に外部へ不正送金された金額は、11億7981万円である。
つまり正確には「従業員が11億円を自分で犯行者の口座に振り込んだ」という単純な事件ではない。心理的に追い詰められた従業員による社内資金移動と、遠隔操作された会社PCが組み合わさった事件だった。
特定の社員に依存 ブラックボックス化した状況
はてなの経理部には、2012年と2014年から業務を担ってきた2人の社員がいた。基本となる経理規定はあったものの、具体的な業務マニュアルや手順書、判断基準は明文化されていなかった。日常業務もオンラインバンキングも、例外処理の多くも、この2人の知識と経験に依存していた。
報告書はそれを「経理部の業務は特定の担当者に依存する属人化した状態」「他の役職員からは把握が困難なブラックボックス化した状況」と表現している。
2024年7月ごろ、その2人が本決算を目前に退職意向を示した。十分な引き継ぎがないまま休暇に入り、8月ごろに退職した。会社は外部専門家も投入して決算を期限内に乗り切り、監査法人からも適正意見を得ている。──ここが最初の分岐点だったのではないかと考える。「仕事を終わらせる」ことと「組織が健全になった」ことは同じではない。
残業203時間の悲鳴 入社4カ月の経理部長を追い詰めたもの
2024年11月、H氏が経理マネージャーとして入社した。会社は採用段階で、H氏に部長マネジメントの経験が不足していること、少人数組織での経理経験がないことを認識していた。それでも経理経験者を早急に確保する必要があり、実務経験を優先した判断だった。
約4カ月後の2025年2月、H氏は経理部長に昇進した。前責任者からの引き継ぎは、当面の業務手順や資料の場所の共有が中心だった。横領や不正支出、事故をどう防ぐか。管理体制をどう構築するか。経理部長としてのリスク管理面は、十分に整理されていなかった。部長就任後の体系的な教育や研修も行われなかった。
経理メンバーからは後に、H氏について「マニュアルもなく、引き継ぎも中途半端な中、読み解きながらなんとかこなしていた状況」という証言が出ている。
そしてH氏の業務量が、急激に膨らんでいく。部長になる前、残業は月10〜15時間程度だった。ところが2025年8月には残業と休日勤務を合わせて203時間26分になる。7月、H氏は上司に「やばい状況だ」と伝えていた。9月、H氏は休職した。
会社の資金を扱う重要な部署で、責任者がここまで追い詰められていた。しかもその部署では、長年の業務がブラックボックス化し、管理職が短期間で交代している。これは人事部だけが見る数字ではない。取締役会が見るべき、内部統制のシグナルではないかと考える。
「H部長のことだから、理由があるのだろう」
報告書の中に、証言に残った言葉がある。事件当日、経理メンバーはH氏から繰り返し資金移動の指示を受けていた。その頻度も、金額も、時間帯も、明らかに異常だった。つまり、違和感を持った人はいたのである。
しかしH氏から「あとで説明をする」と言われると、それ以上詰み込むことが難しかった。「H部長のことだから何か理由があるのだろう」と受け止め、経理メンバーは止められなかった。
報告書によれば、経理部では日頃から「なんとなく質問しづらい」「部長は忙しそうだからまずは自分で考えてから相談する」という雰囲気があったという。これこそ、私が危機管理の現場で何度も目にしてきた問題である。制度として「報告してください」と書かれていても、実際に声を上げられなければ、その制度は存在しないに等しい。部下が「上司だから間違っていないだろう」「忙しそうだから今は聞かない方がいい」「自分が知らない事情があるのだろう」と判断した瞬間、どんな確認の仕組みも実質的に消えてしまう。
内部統制とは、規定集の枚数ではない。違和感を持った人が、その違和感を言葉にして、相手の役職に関係なく一度立ち止まれるかどうかである。
ルールはあった それでも1人で11億円を動かせた
システムの問題は、さらに深刻である。H氏の銀行取引のオンラインバンキングアカウントには、送金の「作成・申請」だけでなく「承認」の権限まで付いていた。1つのアカウントで、振り込みを最初から最後まで完結できた。
承認上限額は、初期設定の999,999,999,999円（約1兆円）のまま変わっていなかった。権限設定を定期的に確認する仕組みもなく、入出金や残高の低下を知らせる通知も設定されていなかった。
会社には経理規定もセキュリティに関する方針もあった。問題は「ルールがなかった」だけではない。ルールの考え方が、実際のシステムと業務の流れに反映されていなかったのである。
資金移動の承認についても、正式な手続きを経るのではなく、H氏が一定額以上についてチャットで上司に連絡するという自主的な運用に依存していた。つまり内部統制が「守るべき人が必ず守る」という信頼を前提に成り立っていたということである。
調査委員会は再発防止の基本方針として、個人の自主性やリテラシーに頼らず、1人では不正・異常な送金を完結できない業務設計を求めている。これはとても重要な指摘だと思う。「だまされない社員を育てる」ことは必要である。しかし、どれほど優秀な人でも、必ず正しい判断をするという前提で会社を設計してはいけない。
警察庁によれば、2026年上半期だけで、ニセ警察詐欺の被害額は507億9000万円に上っている。犯行の手口は、私たちの想定より速く進化している。だから経営者が問うべきは「社員がだまされないようにするにはどうするか」だけではない。「社員がだまされても、会社を回さないようにするにはどうするか」でもある。
取締役会はどこで気付いた？ ニデックや小学校にも通ずる「情報の不透明化」
では、取締役会はどこでこのリスクに気付いただろうか。長年経理を担った2人が、本決算前に退職したときか。十分な引き継ぎがなかったときか。入社4カ月の社員を経理部長に任命したときか。残業と休日勤務が急増したときか。「やばい状況だ」という言葉が出たときか。部長が休職したときか。復職したH氏に資金管理権限をそのまま戻したときか。それともそれ以降か。
報告書は、取締役会について、経理部長の頻繁な入退社は報告されていたにもかかわらず、それに伴うリスクへの「関心が薄かった」と評価している。監査役会についても、重要部署で管理職が短期間に何度も交代することがリスクを高めるとしながら、オンラインバンキングの権限設定など基本的な統制まで詰め込まず、対応が「外形的なものに留（とど）まっていた」と指摘している。
ただし、ここは慎重に読む必要がある。報告書は、取締役会や監査役会が特定の監査をしなかったことが直接に義務違反だったとは断じていない。
取締役会に情報がなかったのではない。情報は、断片的に届いていた。経理担当者の退職、部長の交代、部長の休職と復職、長時間労働、人員補充──。それぞれは「人事」「勤務」「経理」の個別案件に見える。しかし全てを一枚の絵として見れば「この会社の資金を守る部署で、何かがおかしくなっていないか」という問いになる。
その届いているはずの無数の「違和感の点」を、いつしか見過ごし、あるいは自分の手で消し去ってしまう。そんな組織の深い病巣が、今年公表された他の不祥事の報告書からも、読み取れる。
例えば、ニデック（旧日本電産）のケース。現場の実力をはるかに超える高い目標が突きつけられ、過酷な叱責（しっせき）の中で、現場は間違った数字の処理を重ねていた。過重な重圧に耐えかねた経理責任者が「心が壊れていきます」と悲痛なメッセージを残して、わずか1週間で去るなど、組織の異常を示す「点」はあちこちで確かに点滅していた。
しかし、本社の怖れを恐れた社内の監査部長は、現場の切実なヒアリング記録から、その重圧に関する声を消し去ってしまった。結果として、取締役会に届くのは綺麗な報告だけとなり、社外の役員たちは「特段の違和感はなかった」と振り返る事態になった。
また、小学校の報告書に見られるのも、同じ根を持つ問題である。ある作家の起用について、一方の編集部長が「リスクが大きすぎる」と書簡化を見送っていたにもかかわらず、その大切な事実や判断が他方に伝わらないまま、別の現場の判断だけで連載が進められてしまった。
しかし同社には「本をつくる現場の決定権を最も重んじる」という強い文化があった。その良いはずの文化が、いつしか、重大なリスクを外から見えなくする「不透明な壁」となった。意思決定のプロセスや議論の記録を残すルールが言葉として明文化されていなかったため、誰もこのすれ違いに気付かず、現場は疑問を抱きながらも声を飲み込んでしまった。
情報をただの断片として終わらせず、現場のきしみから重大なリスクの兆候を読み取る「点を線にする力」。それこそが、これからの経営に求められることだと考える。
2026年7月21日に改訂されたコーポレートガバナンス・コードも、取締役会に内部統制と全社的なリスク管理体制の整備・運用を求めている。
明日の取締役会で問い直すべき「6つのチェックリスト」
危機管理というと、何かが起きた後の記者会見や謝罪文を思い浮かべる方が多いと思う。もちろん、それも大切である。しかし本当に強い危機管理とは、事後が起きてから言葉を選ぶことだけではない。事態になる前に組織が発している、小さな声を聞くことである。
退職、残業、休職、引き継ぎの不足、例外運用、「質問しづらい」という空気。こうした違和感を、取締役会まで届ける仕組みを作ること。それも、企業のコミュニケーション設計であり、取締役の仕事でもある。取締役会が見るべきなのは、事後そのものではなく、事態になる前の違和感だと考える。
【取締役会における具体的な問いの例】
- 自社には、一人にしかできない重要業務がいくつあるか。
- 経理・経営・法務などの重要部署で、直近1年に退職・異動・休職・管理職交代がどれだけ起きているか。
- 昇進や復職の際、システム上の権限を「元に戻す」のではなく、改めて必要性を確認しているか。
- 一人のアカウントで、会社の資金移動を最初から最後まで完結できる仕組みが残っていないか。
- チャットや口頭だけで動いている「いつもの例外」はないか。
- そして何より「何か変だ」と感じた社員が、相手が上司でも「一度止めましょう」と言える会社になっているか。
事後が起きてから謝罪の言葉を選ぶのは、本当の危機管理ではない。現場から発せられる小さな異変を拾い上げ「何か変だ」と躊躇（ちゅうちょ）なく言える風土を作ること。これこそが、企業と従業員を守る防波堤となる。あなたの会社の取締役会は今、その「小さな悲鳴」に耳を傾けられているだろうか。
