元CFOが4.6億円を私的流用 ― イーエムネットジャパン不正・5つの統制の穴
こんにちは、「IA Insight Lab（IAラボ）」管理人のHIROです。米国でGRC/内部監査専門のコンサルファームの代表をしています。このシリーズでは、公認不正検査士/公認内部監査人の私が、世の中の不正や不祥事といったインシデントを分かりやすく解説します。
今日解説するのは、東証グロース市場に上場する株式会社イーエムネットジャパン（証券コード7036）で起きた、元CFO（最高財務責任者）による資金の私的流用と会計帳簿の改ざん事件です。同社は2026年6月16日、東京証券取引所の徴求に応じた「改善報告書」を提出し、公衆縦覧が始まりました。
この事件が私たち実務家にとって重いのは、不正を働いたのが平社員でも現場担当者でもなく、「財務の番人」であるはずのCFO、それも公認会計士の資格を持つプロフェッショナルだったという点です。会社のお金を守るべき責任者が、最大のリスク源になってしまった。なぜそんなことが起き、3年近くも止められなかったのか。公開された改善報告書を一次資料として、丁寧に読み解いていきます。
記事全体のサマリー
本文を読み進める前に、まずは本記事のサマリー画像を掲載しますので、全体の理解促進にお役立ていただければ幸いです。
1. 不正/不祥事の事案解説：何が、どれだけ起きたのか
最初に、事件の全体像をつかみましょう。「誰が」「何を」「どれだけ」やったのか。ここを正確に押さえることが、後半の原因分析と教訓を理解する土台になります。
1-1. 一通のメールが、すべての始まりだった
発覚のきっかけは、実にあっけないものでした。2026年1月5日、同社の財務担当マネージャーが、当時の常務取締役CFO（以下「元CFO」）に対して一通の電子メールを送ります。内容は「2025年12月30日を期日とする4億6,000万円の借入金の返済が確認できないので、詳細を共有してほしい」というもの。経理の現場では、ごく普通の確認作業です。
ところが、このメールには代表取締役社長がBCC（こっそり同報する宛先）に入っていました。これによって社長が初めて異変を知ることになります。社長は翌1月6日に顧問弁護士へ相談し、1月8日には弁護士同席のもとで元CFOへの聞き取りを実施。ここで、元CFOによる会社資金の不正送金と、それを隠すための会計情報の改ざんが明るみに出たのです。
巨額の不正が、たった一通のメールのBCC欄から崩れ始めた。逆に言えば、それが無ければさらに発覚は遅れていた可能性が高い、ということでもあります。
会社の対応は速やかでした。同日中に親会社へ報告し、1月11日の臨時取締役会で第三者委員会の設置を決議。元CFOを職務執行停止処分とし、同日付で取締役辞任届を受理しています。第三者委員会は弁護士2名・公認会計士1名などで構成され、日本弁護士連合会の「企業等不祥事における第三者委員会ガイドライン」に準拠した、利害関係のない外部専門家による調査体制が組まれました。
1-2. 不正の主体は「財務のプロ」だった
ここで強調しておきたいのが、不正を働いた人物の属性です。元CFOは、公認会計士の資格を持つ財務のプロフェッショナルであり、経理・財務はもちろん、総務・人事・法務まで含む管理部門全般を一手に握る、社内で絶対的な存在でした。
会計の専門知識を持つということは、「どこを、どう書き換えれば監査人に気づかれないか」を熟知しているということでもあります。本来、最も信頼すべき相手が、最も巧妙に統制をかいくぐれる立場にいた。この皮肉な構図こそが、本事案の出発点です。
1-3. 数字で見る不正の規模
では、被害はどれほどだったのか。改善報告書は、元CFOの手口を大きく二つの類型に分けて説明しています。
一つ目は、会社名義のキャッシュカードを使ってATMから現金を引き出す手口です。2023年8月から2024年12月にかけて、実に70回（2023年に5回、2024年に65回）、合計6,645万円が引き出されていました。
二つ目は、会社の銀行取引システムを使って、会社の口座から元CFO自身の口座へ振り込む手口です。2024年12月から2025年12月にかけて16回、金額にして5億4,000万円にのぼります。さらに供述により、これらに先立つ2021年から2022年頃にも、約161万円の私的流用があったことが判明しています。
ここで一点、数字の読み方に注意が必要です。手口別の支出を単純に足し合わせると約6億円になりますが、改善報告書が原因分析で「被害額」として総括しているのは4億6,000万円です。報告書はこの差額の内訳までは明示していません。ひとつの解釈としては、元CFOがFX（外国為替証拠金取引）の損失を取り戻そうと、流出させた資金の一部を会社へ戻す「自転車操業」を繰り返していたため、出ていったお金の延べ額（約6億円）と、最終的に会社が認定した被害額（約4.6億円）との間にズレが生じた、という見方ができます。いずれにせよ、本記事では会社が公式に総括した被害額「約4.6億円」を基本に置きつつ、手口別の内訳（類型①が6,645万円、類型②が5億4,000万円）も併せて見ていきます。
2. 手口の解剖：どうやって4.6億円が消えたのか
不正の規模が分かったところで、次は「どうやって」です。お金を抜くこと自体は難しくありません。本当に難しいのは、それを長期間バレないように隠し続けることです。元CFOの隠ぺい工作は、教科書に載せたいほど典型的で、だからこそ学びが多いものでした。
2-1. 動機の出発点は「一時的に借りるだけ」
改善報告書は、元CFOの動機にまで踏み込んでいます。発端は、個人のFX取引で抱えた多額の損失でした。「会社の資金を一時的に流用し、FXの利益で穴埋めすれば発覚しない」という、安易な企図から手を染めたとされています。
しかし相場は思い通りにならず、損失は泥沼化。株価の急落による担保の追加や税負担の増加も重なり、不正送金は加速していきます。これは不正のセオリーそのものです。多くの横領は「ほんの出来心」「すぐ返すつもりだった」から始まり、返せないまま雪だるま式に膨らんでいく。
「一時的に借りるだけ」という自己正当化こそ、横領という長期戦の入口である。最初の一歩を踏ませないことが、何よりの防御になります。
2-2. 二つの流用と、手口が「進化」した理由
興味深いのは、なぜ手口が途中でATM出金から振込送金へと切り替わったのか、という点です。
実は元CFOは当初、銀行取引システムに「特権承認者権限」というものが存在することを知りませんでした。これは、送金の指示と承認を一人で完結できてしまう、極めて強力な権限です。それを知らなかった頃は、振込には他人の関与が必要だと考え、わざわざATMから現金を引き出すという手間のかかる方法を取っていたのです。
転機は2024年12月。皮肉なことに、親会社の内部監査でこの権限のリスクを指摘されたことで、元CFO自身が「自分一人で送金から承認まで完結できる」と気づいてしまった。以降、彼は他者を一切介さず、自分の口座へ直接振り込む手口へと「進化」させ、被害は一気に拡大しました。指摘が、皮肉にも犯行の高度化を招いたわけです。
2-3. 帳簿という「現実」を書き換える
お金を抜いた痕跡は、当然、帳簿に残ります。元CFOはそれを丹念に消していきました。
ATM出金のときは、部下に「金庫保管用に現金を補充した」と虚偽の指示をメールで出し、現金実査表（手元現金を数えて記録する表）に反映させ、実際には存在しない現金が金庫にあるかのように装いました。振込送金のときは、会社の代表印を冒用して金銭消費貸借契約書、つまり「会社が誰かにお金を貸した」という偽の契約書を作り、不正な振込を「未収入金（あとで回収するお金）」として処理。そのうえで合計残高試算表・仕訳帳・勘定科目明細などを書き換え、「未収入金」を減らして「現預金」を増やす改ざんを部下に指示していました。
部下への口止めには「プライバシーに関わることだから口外しないように」という言葉が使われていたといいます。専門知識と権威、そして同調圧力。これらが組み合わさると、現場は「おかしい」と思っても動けなくなる。これは後半の原因分析にも深く関わってきます。
2-4. 監査の目を、どうかいくぐったか
最も悪質なのが、監査対応における偽装です。会計監査人が現金実査に来る際には、自分の手元資金で一時的に帳簿残高と帳尻を合わせ、実査が終われば再び持ち出す。銀行が発行する残高証明書は、PDF上で数字を切り貼りして改ざんし、監査人に提出していました。
親会社の内部監査に対しても同様で、帳簿と異なる金額の現金実査表を作って担当者の印影を貼り付けて提出。前述の特権承認者権限についても「権限を分離して是正した」と報告しながら、実際にはワンタイムパスワードの端末を手元に残し、ほとぼりが冷めた頃に自分で権限を元に戻していました。監査等委員から多額の現金保管を問われた際にも、一時的に現金を金庫に戻して見せ、その場をしのいでいたのです。
つまり、会計監査人・内部監査・監査等委員会という、不正を見つけるべき複数の「目」に対して、それぞれ個別に偽装工作を仕掛けていた。これが、発覚を約3年も遅らせた最大の技術的要因でした。
3. なぜ止められなかったのか：5つの統制の穴
ここからが、内部監査・GRCの実務家にとって本題です。改善報告書は発生原因を丁寧に分析しています。私はそれを「5つの統制の穴」として整理しました。一人の人間の悪意を、組織が止められなかった構造を見ていきましょう。
3-1. 穴①：権限がたった一人に集中していた
最大の要因は、元CFOへの権限集中です。当時、業務執行を担う取締役は代表取締役社長と元CFOのわずか2名。経理・財務・総務・人事・法務といった管理業務のすべてが、元CFO一人の所管でした。
社内規定上も、月次決算書類の承認や会計方針の変更といった重要な決裁が元CFOに集まり、日常的な財務・経理のチェックが同一人物の中で完結していました。これを内部統制の世界では「職務分掌（しょくむぶんしょう）の欠如」と呼びます。お金を動かす人と、それを承認・記録・確認する人を分ける――この当たり前の原則が、まったく機能していなかったのです。
3-2. 穴②：声を上げられない風土と、機能しない内部通報
権限集中それ自体は、ただちに不正を生むわけではありません。被害が4.6億円にまで膨らんだのは、周囲の牽制機能が二重に壊れていたからです。
一つ目の壊れは、組織風土です。元CFOの高圧的な言動が常態化し、部署からは離職者が相次いでいました。公認会計士という専門性、CFOという地位、そして社長との強い信頼関係を背景に、誰も逆らえない空気が出来上がっていた。実際、現場の担当者は2025年の半ばには資金流用に疑念を抱き、年末には互いに相談までしていたのに、行動に移せませんでした。
二つ目の壊れは、内部通報制度です。本来であれば最後の砦になるはずのこの制度に、致命的な欠陥がありました。なんと、通報の受付ルートに元CFO自身が含まれていたのです。役員の不正を通報しようにも、その内容が本人に筒抜けになる。これでは誰も使えません。
「声を上げられない風土」と「上げても本人に届く通報制度」。この二つが重なったとき、組織の自浄作用は完全に死にます。
3-3. 穴③：内部監査が「身内」になっていた
組織内の不正を見つける専門部隊であるはずの内部監査も、機能していませんでした。内部監査室は実質的に元CFOの影響下に置かれ、担当は専従1名のみ。しかもその人物は採用や法務の業務を兼務していました。
さらに深刻なのは、内部監査報告書の作成や押印、収集データまで、すべて元CFOの確認を経る運用になっていたことです。監査される側が、監査の中身を握っている。これでは独立性も何もありません。結果として、金庫の中の現物を自分の目で確かめることなく、改ざんされた帳簿だけを見て「問題なし」としていました。
3-4. 穴④：最後の砦・監査等委員会の形骸化
同社は監査等委員会設置会社で、3名の監査等委員は全員が社外取締役でした。形のうえでは、経営者を監視するガバナンスが効いているように見えます。
ところが、その監査等委員会を支えるべき内部監査部門が元CFOの影響下にあったため、委員への情報提供やサポートが麻痺していました。委員が厳しい姿勢を見せると、元CFOから更迭をちらつかせるような圧力がかかったともされています。実は監査等委員は、不自然な多額の現金保管に気づき、早期の是正を社長や元CFOに進言していました。しかし元CFOは現金を一時的に金庫へ戻す隠蔽で勧告をかわし、長期間放置したのです。経営者の不正を防ぐ「最後の砦」が、形だけのものにされていました。
3-5. 穴⑤：親会社の指摘を「形だけ」で流した
同社は親会社（ソフトバンク株式会社）の連結子会社であり、親会社の内部監査からは適切なリスク指摘を受けていました。前述の通り、まさに問題の核心である「特権承認者権限のリスク」を指摘されていたのです。
ところが同社は、権限を変更し端末を隔離して単独送金を排除した、と親会社へ「改善完了」を報告。実態は、端末が元CFOの手元に放置され、いつでも権限を戻せる状態でした。そして自社の内部監査室は、この親会社指摘に対するフォローアップ監査を一切実施せず、権限が元に戻されていた事実を検知できませんでした。「ひとまず形だけ報告すればよい」という姿勢が、最大の被害拡大局面を許してしまったのです。
4. 会社が打ち出した再発防止策
原因が構造的であった以上、対策も構造的でなければなりません。改善報告書には、主管部署と2026年7月の運用開始時期まで明記した、具体的な再発防止策が並んでいます。要点を二つの方向性に整理します。
4-1. 権限を分散し、相互牽制を物理的に作り直す
まず着手したのが、一極集中していた権限の分散です。不正の温床となった「特権承認者権限」は、割り当てそのものをすべて削除し、一人で送金を完結できる環境を物理的になくしました。そのうえで四半期ごとにシステムの利用履歴をモニタリングし、年2回、誰がどんな権限を持っているかの棚卸しを行うとしています。
物理的な管理も徹底されました。送金システムの設定変更に必要なワンタイムパスワード端末は、入室管理されたサーバールーム内の大型金庫、さらにその中の小型金庫という二重構造で保管し、それぞれの金庫の鍵と暗証番号を別々の担当者に分ける。現金は原則として手元に持たない運用へ移行し、銀行印・通帳・キャッシュカードも別々に保管して管理者を分離します。「一人では何もできない」状態を、仕組みとして作り込んだわけです。
4-2. 監視機能を、経営から「独立」させる
もう一つの柱が、監視機能の独立性の確保です。経営者の不正は、経営から独立した目でなければ見抜けない――今回の事件が突きつけた教訓そのものです。
具体的には、外部の弁護士のみが窓口となる社外専用の内部通報ルートを設け、役員や経営執行部が関与しうる不正の通報は、経営陣を通さず監査等委員会へ直接届く設計に変えました。また、常勤監査等委員には会計システム（freee）や決算データへの直接アクセス権を付与し、執行側に頼らず自力で財務を検証できるようにしています。さらに、内部監査室から監査等委員会へ監査計画や監査結果を直接報告する「デュアル・レポーティングライン（二重の報告経路）」を導入し、内部監査が経営者の支配から離れて声を上げられる道筋を整えました。
5. 本事案から学ぶこと：日本企業が備えるべき内部統制
最後に、この事件を「他社の不祥事」で終わらせず、自社の備えに変えるための視点をお伝えします。規模の大小を問わず、すべての企業に通じる話です。
5-1. 性善説でも性悪説でもなく「性弱説」で設計する
内部統制の出発点は、人間観です。「うちの社員は信頼できるから大丈夫」という性善説は、統制の放棄に等しい。かといって全員を疑う性悪説では、組織は回りません。
実務で取るべきは、その中間の「性弱説」です。人は誰しも、追い詰められれば魔が差しうる弱い存在である。だからこそ、特定の個人が単独で完結できないように仕組みで縛り、本人のためにも不正を「できなくする」。今回の元CFOも、出発点は「一時的に借りるだけ」でした。強固な職務分掌があれば、その最初の一歩すら踏めなかったはずです。
5-2. 経営者不正（マネジメント・オーバーライド）に効く三つの勘所
本事案の本質は、専門用語でいう「マネジメント・オーバーライド」、つまり経営者による内部統制の無効化です。一般の社員不正と違い、統制を作る側・運用する側の人間が不正を働くため、通常のチェックが効きません。これに備える勘所は三つあります。
一つ目は、権限集中のモニタリングです。「あの人がいないと業務が回らない」という属人化は、利便性の裏でリスクのサインです。一人にどれだけの権限が集まっているかを定期的に可視化し、起票と承認は必ず分ける。これが土台になります。
二つ目は、通報ルートの独立性です。通報先に被通報者が含まれていないか。役員の不正が、経営陣を経由せず社外取締役や外部窓口へ直接届くか。今回まさにここが壊れていました。自社の制度を、いますぐ一度点検する価値があります。
三つ目は、現物確認の徹底です。元CFOは帳簿を完璧に改ざんしましたが、金庫の中身そのものは偽れません。監査人や監査役が改ざんされた書類だけを見て満足せず、自分の目で現物（現金・残高・在庫）を確かめる。地味ですが、書類偽装に対する最強の対抗策です。
5-3. 中小・成長企業がいますぐできること
「権限分散といっても、うちは人手が足りない」――成長企業ほど、そう感じるはずです。実際、職務分掌の不備は人員に余裕のない企業に共通する悩みです。
それでも、できることはあります。社長自身が月次で銀行の残高を直接ネットバンキングで確認する、通帳とキャッシュカードと印鑑の保管者を分ける、外部の専門家に通報窓口を委託する。いずれも大きなコストはかかりません。今回の改善報告書が、親会社という後ろ盾を持つ上場子会社ですら起きた事件への対応であることを思えば、独立した監視の目を一つでも経営の外側に置くことが、いかに重要かが分かります。
内部統制は、不正を働く人を捕まえるためにあるのではありません。信頼できる人を、最後まで信頼できるままでいさせるためにあるのです。
この事件は、決して特別な会社で起きた特殊な話ではありません。権限の集中、声を上げにくい空気、形だけの監査――どれも、多くの組織が少しずつ抱えているものです。だからこそ、他社の痛みから学び、自社の「5つの穴」を一つずつ塞いでいく。それが、私たち実務家にできる最も誠実な備えだと、私は考えています。
この記事は、私個人の専門家としての継続学習のため、また読者の方々の学習のために投稿しています。「いいね」や「フォロー」で応援いただけると励みになります。それでは、次回の記事でお会いしましょう！
引用元
株式会社東京証券取引所「（株）イーエムネットジャパンに対する改善報告書の徴求および公表措置の実施について」（2026年6月16日）
株式会社イーエムネットジャパン「改善報告書」（2026年6月16日）
https://www.jpx.co.jp/listing/measures/improvement-reports/t13vrt000001fi07-att/t13vrt000001fi1n.pdf
