振込先変更と支払承認の
業務リスクレビュー

1. 対象と確認方法

対象

取引先の振込先変更の受付、相手確認、変更登録、支払承認。合意した1つの業務フローを想定。

資料とヒアリングの例

D-01：振込先変更の手順書。D-02：役割・権限の設定一覧。I-01：経理担当へのヒアリング。実際の報告書では、参照した資料の版と確認日を記録します。

方法

手順・権限資料と担当者の説明を照合し、確認事実、判断の前提、未確認事項を分けます。現行資料に記載がないことだけで、システムに制御が存在しないとは断定しません。

対象外

本番操作、攻撃テスト、実際の送金、システム改修、全社の安全性の判定。

2. 確認事項の例

G-01｜独立した確認経路のルール

維持・運用確認

［架空の確認事実］D-01に、登録済みの連絡先で相手へ確認する手順がある。I-01では通常時に実施しているとの説明があった。

残る確認：実施記録と、登録済み連絡先を変更できる役割は未確認。ルールの存在と、毎回の運用・管理の有効性を分けて扱う。

R-01｜承認後に変更された内容の扱い

追加確認を優先

根拠

［架空の確認事実］D-01では、変更申請と支払承認が別々の記録で管理されている。承認後に口座を変更した場合の扱いが記載されていない。

想定される影響

再承認や実行時の照合がなければ、承認者が確認した口座と異なる口座への支払につながる可能性がある。本レビューではその発生や制御の欠如を実証していない。

未確認事項

承認と対象データがどのように結び付くか。変更時に承認が無効になるか。支払実行時に承認済み内容と照合しているか。

対応案

情報システム部門が設定・仕様を確認。判断できなければ、合意した検証環境で動作を確かめる。

R-02｜急ぎの依頼で確認できない場合

運用ルールを整理

［架空の確認事実］I-01では、相手に連絡がつかない急ぎの依頼は上長へ相談するとの説明があった。D-01には保留条件と代替の判断者が記載されていない。

対応案：保留・エスカレーションの条件と責任者を決め、通常の支払期限との調整方法を手順に反映する。緊急時でも相手確認を省略してよい、というルールにはしない。

3. 優先順位と対応計画

以下は架空の前提に基づく着手順です。影響の大きさ、操作頻度、既存対策、確認の確度、対応の依存関係を踏まえて決めます。技術的な深刻度スコアではありません。

表は横にスクロールできます。

実担当者、期限、対応費用は顧客と合意して確定します。サンプルの着手順から、一律の危険度や期限を導くものではありません。

4. 次に技術検証する場合の条件例

以下は検証計画の例であり、実施済みの結果ではありません。業務リスクレビューには含めず、対象環境・範囲・方法・費用を合意して実施します。

• 正常な変更：確認と承認が完了した変更を、想定の手順で処理できる。
• 承認後の変更：承認した口座・金額等から内容が変わった場合、再確認前の実行が保留される。
• 権限外・例外：権限のない役割の操作が制限され、必要な相談・記録につながる。

防御の確認とあわせて、通常操作の所要時間や不要な差し戻しを確認します。結果は環境・条件・期待動作・実際の動作・判定・未確認範囲をセットで記録します。

5. 次の投資判断

運用・既存設定だけで対応するか、技術検証を依頼するか、改修の見積もりへ進むかを判断します。報告内容を使って、自社や既存の委託先で対応することもできます。追加支援の購入は必須ではありません。

実際の報告内容は対象業務、提供資料、合意した範囲によって変わります。初回相談では秘密情報や個人情報の提出は不要です。