[논문 리뷰] The Role of Spreadsheets in the Allied Irish Bank / Allfirst Currency Trading Fraud

Raymond J. Butler|arXiv (Cornell University)|2009. 10. 11.

Spreadsheets and End-User Computing참고 문헌 1인용 수 7

한 줄 요약

이 논문은 스프레드시트가 Allfirst/Allied Irish Bank에서의 John Rusnak의 69100만 달러 규모의 통화 거래 사기 사건에서 불법 포지션을 허용하고, 결함이 있는 리스크 통제로 손실을 가로막는 데 기여한 방식을 분석한다. 스프레드시트 오용—감사 기록 부재, 접근 제어 부족, 검증되지 않은 공식—이 사기의 핵심이었음을 입증하며, 고위험 환경에서 재무 통제 및 스프레드시트 거버넌스를 향상시키는 데 중요한 교훈을 제공한다.

ABSTRACT

This brief paper outlines how spreadsheets were used as one of the vehicles for John Rusnak's fraud and the revenue control lessons this case gives us.

연구 동기 및 목표

• Allied Irish Bank/Allfirst 통화 거래 사기 사건에서 스프레드시트의 역할을 조사하기 위해.
• 수년간 감지되지 않은 채로 지속된 사기를 가능하게 한 스프레드시트 사용의 체계적 취약점을 특정하기 위해.
• 스프레드시트 기반 재무 시스템에서 내부 통제, 감사 가능성, 액세스 관리의 결함을 부각하기 위해.
• 금융기관에서 스프레드시트 거버넌스를 향상시키기 위한 실질적인 통찰을 제공하기 위해.
• 비보안, 감시되지 않은 스프레드시트를 핵심 재무 운영에 의존할 경우 발생하는 위험을 강조하기 위해.

제안 방법

• 장기적으로 불법 포지션을 취한 통화 트레이더인 John Rusnak의 사례를 분석한다.
• 스프레드시트가 불법 거래와 손실을 기록하고 은폐하는 데 어떻게 사용되었는지 검토한다.
• 스프레드시트 환경에서 감사 기록, 버전 제어, 액세스 제한의 부재를 조사한다.
• 검증되지 않은 공식과 검증 메커니즘의 부재가 사기를 가능하게 한 역할을 평가한다.
• 스프레드시트 기반 시스템과 공식적인 리스크 관리 소프트웨어 간의 비교를 수행한다.
• 문서화된 사례 세부 정보와 업계 표준을 활용해 스프레드시트 워크플로우의 통제 실패를 평가한다.

실험 결과

연구 질문

• RQ1 Allied Irish Bank/Allfirst 사기 사건에서 스프레드시트가 불법 통화 포지션을 어떻게 은폐하는 데 기여했는가?
• RQ2 사기 사례가 3년 이상 지속된 데 기여한 특정 스프레드시트 통제 실패 요소는 무엇인가?
• RQ3 기존 재무 통제가 이 사례에서 스프레드시트 오용을 감지하지 못한 이유는 무엇인가?
• RQ4 금융기관에서 스프레드시트 거버넌스를 향상시키기 위해 얻을 수 있는 교훈은 무엇인가?
• RQ5 보안되지 않고, 버전 관리되지 않으며, 감시되지 않는 스프레드시트가 재무 운영에서 체계적 위험을 어떻게 초래하는가?

주요 결과

• 스프레드시트는 불법 통화 거래를 기록하고 숨기는 데 주로 사용되어, 사기 행위가 3년 이상 감지되지 않은 채 지속될 수 있었다.
• 스프레드시트 시스템에서 감사 기록과 버전 제어의 부재로 인해 불법 변경 사항과 포지션 과대 공개가 감지되지 않았다.
• 검증되지도 않고 시험되지 않은 공식은 잘못된 리스크 계산을 유도하여 중대한 손실을 가로막았다.
• 액세스 제어의 부재로 한 명의 트레이더가 감독이나 승인 없이도 핵심 재무 데이터를 수정할 수 있었다.
• 스프레드시트를 통한 리스크 보고에 의존함으로써 체계적 취약성에도 불구하고 허위의 통제 감각을 갖게 되었다.
• 이 사례는 거버넌스와 통제가 부재할 경우 스프레드시트 기반 시스템이 자동화된 시스템보다 더 위험할 수 있음을 보여준다.