[论文解读] The Role of Spreadsheets in the Allied Irish Bank / Allfirst Currency Trading Fraud

Raymond J. Butler|arXiv (Cornell University)|Oct 11, 2009

Spreadsheets and End-User Computing参考文献 1被引用 7

一句话总结

本文分析了电子表格如何通过促进未经授权的头寸和通过有缺陷的风险控制手段掩盖损失，致使约翰·鲁斯纳克在爱尔兰联合银行/全美银行实施了6.91亿美元的外汇交易欺诈。研究显示，电子表格的误用——缺乏审计追踪、访问控制薄弱以及未经验证的公式——是欺诈的核心原因，为高风险环境中改进金融控制和电子表格治理提供了关键教训。

ABSTRACT

This brief paper outlines how spreadsheets were used as one of the vehicles for John Rusnak's fraud and the revenue control lessons this case gives us.

研究动机与目标

• 调查电子表格在爱尔兰联合银行/全美银行外汇交易欺诈案中的作用。
• 识别电子表格使用中的系统性弱点，这些弱点使欺诈在长达数年内未被发现。
• 突出电子表格金融系统中内部控制、可审计性及访问管理方面的缺陷。
• 为金融机构改进电子表格治理提供可操作的见解。
• 强调依赖未受保护、未受监控的电子表格进行关键金融操作的风险。

提出的方法

• 分析约翰·鲁斯纳克（John Rusnak）这一货币交易员长期执行未经授权头寸的案例。
• 研究电子表格如何被用于记录和隐藏未经授权的交易及损失。
• 调查电子表格环境中缺乏审计追踪、版本控制及访问限制的问题。
• 评估未经验证的公式及缺乏验证机制在促成欺诈中的作用。
• 将基于电子表格的系统与正式的风险管理软件进行对比。
• 利用已记录的案件细节和行业标准，评估电子表格工作流中的控制失效。

实验结果

研究问题

• RQ1 电子表格在爱尔兰联合银行/全美银行欺诈案中如何帮助掩盖未经授权的外汇头寸？
• RQ2 哪些具体的电子表格控制缺陷使欺诈持续超过三年？
• RQ3 为何传统金融控制在本案例中未能检测到电子表格的滥用？
• RQ4 金融机构可从本案例中汲取哪些关于改进电子表格治理的教训？
• RQ5 未受保护、无版本控制且未受监控的电子表格如何在金融操作中制造系统性风险？

主要发现

• 电子表格是记录和隐藏未经授权外汇交易的主要工具，使欺诈在三年多时间内未被发现。
• 电子表格系统中缺乏审计追踪和版本控制，导致无法检测到未经授权的更改及头寸的夸大。
• 电子表格中未经验证和未经测试的公式导致风险计算错误，掩盖了重大损失。
• 缺乏访问控制使得单一交易员可在无监督或审批的情况下修改关键财务数据。
• 依赖电子表格进行风险报告造成了虚假的安全感，尽管系统存在严重漏洞。
• 本案例表明，当缺乏治理与控制时，基于电子表格的系统可能比自动化系统更具危险性。