ベンダーマスター銀行情報変更不正統制：サプライヤーの銀行口座情報の変更検証

ベンダーマスターの銀行口座変更詐欺とは何ですか？

ベンダーマスターの銀行口座変更詐欺は、買い手に本物のサプライヤーの銀行口座を詐欺師が管理する口座へと変更させる手口です。 FBIによる2017年五月4日の発表では、2016年までの苦情を基に、IC3は、なりすましと思われる依頼によってサプライヤーの送金先が変更され、請求書の入金がすべて別の送金先へ振り向けられた事例を報告している。 FBIによる2016年六月14日の発表によると、このような依頼は電話、ファックス、またはメールで届き、本物と非常によく似ています。

このガイドでは既存のサプライヤー情報の変更について取り上げています。新規サプライヤーからの銀行詳細情報の収集については リスク階層型サプライヤーオンボーディングガイドで取り上げており、収集した口座情報が使われる支払いの経路については、次のガイドで説明しています： 調達から支払いまでのアーキテクチャに関するガイド.

この詐欺はどのようなプロセスの不備につけ込むのでしょうか？

「 AFPの2026調査レポート」では、465人の財務実務者が2025年について説明した内容に基づくと、詐欺師は主にベンダーや経営陣を装って支払い先の変更を行わせました。 同じ報告書では、二名の匿名回答者がそのギャップを示している。主要ベンダーの新しい銀行口座が財務部門による確認前に手入力された事例や、別件ではクライアントを装った人物から新しい詳細情報が送付され、買掛金（AP）担当者がそのメール内の電話番号に発信してしまった事例がある。

「 回答者の詐欺シナリオに関するAFPの2026年5月の記事」では、いくつかのインシデントで、チームがコールバックを省いたり、メールによる確認を、時にはリクエストが届いたまさにそのスレッド内で受け入れたりしていたことが確認されています。

「 AFPの2024年調査レポート 」（財務担当者（2023を対象とする））では、著者は、ベンダーマスタープロセスにおいて適切な検証なしにベンダーの銀行情報を変更した侵害された従業員から支払いが発生する可能性があること、また、ある回答者が銀行情報を変更しようとして悪用された窃取済みログイン認証情報を報告したことに言及している。

コールバックによる銀行詳細の変更確認はどのように行うべきか？

「 FBIの2016年の発表」によると、企業は、関係構築の初期段階かつ電子メール以外の手段で電話チャネルを設定し、リクエスト内に記載された番号ではなく、事前に把握している既知の番号を使用するべきです。 AFPの2026調査レポートでは、回答組織の94%が、公式記録にある番号を使って承認済みの受取人担当者に電話で資金移動リクエストの確認を行っていると回答し、それらのユーザーの63%が自己評価として非常に効果的であると評価しました。

「 AFPの2026年五月のシナリオ記事」によると、クライアントの改ざんされた銀行口座情報に関する事例では、矛盾点が発覚する前に電話確認をすり抜け、侵害されたサプライヤーのメールボックスからは一見有効に見える書類が送信され、銀行を装った発信者が実際の銀行の電話番号を使用していた。

本ガイドの見解では、その電話は発信によるものであり、関係構築の初期段階または要求前に最後に検証されて以降変更されていない、買い手の記録にある番号宛てであり、要求を受信していない人物によって行われ、かつ記録されるべきである。同じく本ガイドの見解では、新しい口座を示す書面や明細書はファイルの裏付けにはなるが、誰が要求したかを示すものではない。

「 FBIの2017年5月の発表」では、FBIは、ビジネス上の連絡先から突然個人のメールアドレスへの連絡を求められた場合、それは詐欺である可能性があると指摘している。本ガイドの見解では、サプライヤーの電話番号、メールアドレス、または担当者の変更についても、銀行口座情報の変更と同様に、一時停止、以前に検証済みの連絡先への折り返し電話、承認、および記録を行う必要がある。なぜなら、登録情報を書き換えた人物がその後の電話に応じるためである。

変更の受領、検証、承認、および実行を行うべきなのは誰か？

「 職務分掌に関する2014の査読済みモデル」（本ガイドでは概要のみを参照）では、ケビン・コベルスキー（Kevin Kobelsky）は職務分離を、一人の人間がエラーや不正の実行と隠蔽の両方を行えないように業務を割り振ることと定義しており、彼のモデルではシステムアクセスの付与と承認を別々の職務として扱っている。 同じ概要によると、このモデルでは、ITサポートされた業務における一次的な分離に少なくとも三人、二次的な分離に五人必要となる。したがって、本ガイドの見解としては、小規模な拠点には補完的なレビューが必要となる。

「 デロイトによるCOSOフレームワークの概要」では、職務の分離は通常、統制活動を選択する際の一部となっており、分離が実用的でない場合は経営陣が代替の統制を選択します。 同じ概要によると、データ入力を承認作業から分離することは、関係者が共謀しない場合にのみリスクを軽減する。

「 支払先変更に関するFBIの2016ガイダンス」では、FBIは、社内スタッフによる二次承認が第二の要素として機能し得ると指摘しています。本ガイドの見解では、受領者、検証者、承認者、支払実行者の四者は異なる人物であるべきであり、それらの役割がシステム間でどのように横断するかについては、次のガイドで説明しています： 調達から支払いまでの統制ガイド.

本ガイドの考え方では、複数拠点を持つバイヤーには一元化された受付窓口が一つ必要です。拠点またはAP（買掛金）メールボックスでリクエストを受信した担当者は、それをそのまま転送し、自身で入力や回答を行ってはなりません。そうすれば、サプライヤーごとに一回の検証ですべてのERPおよびカンパニーコードのレコードをカバーでき、ポータル、マスターデータハブ、インターフェース、および一括アップロードによる変更にも同様の保留およびコールバックが適用されます。

緊急の変更リクエストはどのように処理されるべきか？

「 AFPの2026調査レポート」では、著者らは、支払期日までの余裕が詐欺の防止に役立つため標準的な支払い処理時間に関する明確なポリシーを策定すること、および即時払いや緊急払いを入念に審査することを推奨しています。 FBIの2017年の発表では、秘密裏の処理や迅速な対応を求める要求は警戒すべき兆候であり、一部の銀行からは、海外送金のリクエストを確認するために通常より長く保留したという報告もあります。

本ガイドの考え方では、緊急時こそ手順を長引かせるべきです。コールバックと承認が完了するまで新規口座への支払いは一切行われず、緊急時には登録されている別の担当者への二回目の架電が行われます。同じ見解では、その間に支払期日を迎える請求書は保留されるか、サプライヤーの確認済み担当者によって口座が現在も有効であることが確認されれば、すでに一度確認された口座に送金されます。調査した資料の中で、一定の保留期間を設定しているものは存在しません。

自動銀行口座検証で何がわかりますか？

「 Nachaの口座検証ページ」（2026年十一月14日閲覧）では、検証は、支払いを送るすべての者にとってベストプラクティスと呼ばれている。 Nachaの同じページによると、検証を義務付けるルールは2021年三月19日から施行されており、オンラインの消費者口座振替における初回利用の消費者口座詳細を対象としています。本ガイドの解釈では、その範囲にサプライヤーの新規口座は含まれません。 そのルールの手法中立的なアプローチのもとでは、選択肢として、事前通知、マイクロ・エントリー、およびプールされたデータやオンラインバンキングの認証情報を使用する商用サービスが挙げられる。

本ガイドの見解では、検証結果は誰が変更を要求したかを示すものではないため、コールバックの代替にはなりません。追加の記録としてファイリングしてください。

休眠状態および重複しているサプライヤーレコードはどのように処理すべきか？

休眠レコードや重複レコードを網羅している公式または調査の情報源は見当たらないため、このセクションは本ガイド独自の分析に基づく。バイヤーが設定した期間中支払いのないレコードはブロックし、再有効化には口座変更時と同じ検証を必要とするようにする。また、指名された責任者が正しいほうを確認した上で、異なる銀行情報を持つ重複レコードは統合またはブロックする。これらのチェックは、次の取り組みの一環として定期的に実施する： オンボーディング後のサプライヤーライフサイクルガバナンス.

変更ログは何を監査人に証明すべきでしょうか？

「 デロイトのCOSO概要」によると、管理方針は文書化され、定期的に評価され、具体的なニーズが生じた際に見直されるべきであり、ITシステムはアクセスを制限し職務分離をサポートできるように設定されるべきです。本ガイドの観点では、変更ログはバイヤーが監査人に提示できるべき記録であり、以下のプロトコルは各ステップが残す成果物を一覧にしたものです。

変更された口座が不正であることが判明した場合、どうすべきか？

「 IC3のBECページ」（2026年十一月14日閲覧）では、FBIは、送金元の銀行（仕向銀行）へ直ちに組戻しや取消、免責・補償状（インデムニティレター）を依頼し、詳細なIC3苦情申し立てを行うよう助言しています。本ガイドの見解では、財務部門がその銀行への連絡を行い、調達部門はすべてのERPで当該サプライヤーへの支払いを停止し、保留中の支払実行から外し、検証済みの連絡先を通じて本物のサプライヤーに電話で確認を取り、回収ならびに法的対応を所管する財務、セキュリティ、法務部門のために証拠を保管します。

AIエージェントは、銀行口座情報の変更確認をどのように変えるでしょうか。