[論文レビュー] The Role of Spreadsheets in the Allied Irish Bank / Allfirst Currency Trading Fraud

Raymond J. Butler|arXiv (Cornell University)|Oct 11, 2009

Spreadsheets and End-User Computing参考文献 1被引用数 7

ひとこと要約

この論文は、スプレッドシートがアリエッド・アイリッシュ・バンク／オールファーストにおけるジョン・ラスナックの6億9100万ドルの為替取引詐欺を可能にした仕組みを分析している。この詐欺では、不正なヘッジポジションを確立し、リスク管理の欠陥によって損失を隠蔽した。本論文は、スプレッドシートの誤用——監査証跡の欠如、アクセス制御の不備、検証されていない数式——が詐欺の中心的要因であったことを示し、高リスク環境における財務統制およびスプレッドシートガバナンスの改善に向けた重要な教訓を提示している。

ABSTRACT

This brief paper outlines how spreadsheets were used as one of the vehicles for John Rusnak's fraud and the revenue control lessons this case gives us.

研究の動機と目的

• アリエッド・アイリッシュ・バンク／オールファーストの為替取引詐欺におけるスプレッドシートの果たした役割を調査すること。
• この詐欺が数年間にわたり検出されなかった原因となる、スプレッドシート使用におけるシステム的弱みを特定すること。
• スプレッドシートベースの財務システムにおける内部統制、監査可能性、アクセス管理の欠如を浮き彫りにすること。
• 金融機関におけるスプレッドシートガバナンスの改善に向けた実践的知見を提供すること。
• 重要な財務業務に、セキュリティが確保されておらず監視がなされていないスプレッドシートに依存することのリスクを強調すること。

提案手法

• 長期間にわたり不正なポジションを取った為替トレーダー、ジョン・ラスナックの事例を分析する。
• スプレッドシートが不正取引および損失を記録・隠蔽するためにどのように使われたかを検証する。
• スプレッドシート環境における監査証跡の欠如、バージョン管理の不在、アクセス制限の欠如を調査する。
• 検証されていない数式と検証メカニズムの欠如が詐欺を可能にした役割を評価する。
• スプレッドシートベースのシステムと公式なリスク管理ソフトウェアの間で比較を行う。
• 文書化された事例詳細と業界基準を用いて、スプレッドシートワークフローにおける統制の失敗を評価する。

実験結果

リサーチクエスチョン

• RQ1 スプレッドシートは、アリエッド・アイリッシュ・バンク／オールファーストの詐欺において、不正な為替ヘッジポジションをどのように隠蔽したか？
• RQ2 この詐欺が3年以上にわたり存続した原因となった、具体的なスプレッドシートの統制の欠陥は何か？
• RQ3 なぜ伝統的な財務統制は、この事例におけるスプレッドシートの誤用を検出できなかったのか？
• RQ4 金融機関におけるスプレッドシートガバナンスの改善に向け、何を学ぶことができるか？
• RQ5 セキュリティが確保されておらず、バージョン管理がなく、監視がなされていないスプレッドシートは、財務業務にどのようなシステミックリスクをもたらすか？

主な発見

• スプレッドシートは、不正な為替取引を記録・隠蔽する主なツールとして機能し、詐欺が3年以上にわたり検出されなかった。
• 監査証跡とバージョン管理の欠如により、スプレッドシートシステムでは不正な変更やポジションの誇張を検出できなかった。
• 検証されておらずテストされていない数式がスプレッドシートに存在し、誤ったリスク計算を引き起こし、顕著な損失を隠蔽した。
• アクセス制御の欠如により、1人のトレーダーが承認なしに重要な財務データを変更できる状態だった。
• スプレッドシートによるリスクレポート作成が、実際にはシステム的脆弱性が存在するにもかかわらず、誤った安心感を生み出した。
• 本件は、ガバナンスと統制が欠如している場合、スプレッドシートベースのシステムが自動化されたシステムよりも危険であることを示している。