請求書が買掛金（AP）システムに届いた時点では、すでに手遅れかもしれない。それが、Martin Reschが全国のすべての最高財務責任者（CFO）に持ってほしい前提だ。企業クライアントを代表して年間900億ドル以上の決済を処理する、セントルイスに本拠を置く創業120年のCass Information SystemsのPresident兼最高経営責任者（CEO）として、Reschは他の経営者にはなかなか得られない決済不正への視点を持っている。彼が目にする現実は、財務チームがリスクについて考える方法の根本的な見直しを求めている。「すべての財務プロセスはゼロトラスト環境へ移行しなければならない」とReschは述べる。「不正が確認されるまでは取引を有効と見なすという従来のモデルとは逆に、すべての取引は不正でないと証明されるまでは不正であるという前提に立つべきだ。」
偽造された信頼の経済学
多くの役員会がまだ認識していない脅威は、高度なものではなく、安価なものだ。ダークウェブでは、偽の請求書作成エンジンがほぼ無料で入手でき、数千ものベンダーポータルがプリロードされ、地域ごとにターゲットを絞った説得力のある公共料金請求書、たとえばカリフォルニア向けのPacific Gas and Electricの請求書など、本物と視覚的に見分けがつかないものが生成される。Reschが最も頻繁に立ち返るのは、この経済的非対称性だ。防御を構築するのは費用がかかり時間もかかるが、攻撃はより安価になっている。
この非対称性により、従来のAPの常識の多くが時代遅れになっている。かつてAPシステムが繰り返し現れるベンダーを認識できたパターンマッチング、つまり3回や4回目の出現後に公共料金の請求書が自動的に表示されるような学習機能は、今や不正エンジンが悪用するまさにその予測可能性になっている。架空の請求書は本物とまったく同じに見える。かつて十分だったプロセスはもはや通用せず、多くの社内チームはまだその現実に対応できていない。
まず可視性、次にコントロール
大量決済環境における効果的なリスクコントロールは、自社システム内で実際に何が起きているかを把握することから始まる。「プロセスフロー全体の可視性と透明性が必要だ」と彼は強調する。「取引を見ることができて初めて、それをコントロールできる。」プロセスの各ステップには、明確なコントロールポイントと例外プロトコルが必要だ。受信した請求書上のベンダーの送金詳細がオンボーディング時に記録されたものと異なる場合、その不一致がシグナルだ。問題は、組織が支払い前にそれを検知する能力を構築しているかどうかだ。
決済チャネルが増加するにつれ、こうした対応はより困難になっている。かつて企業の財務担当者がほぼすべてを厳密なコントロールポイントを持つ単一の銀行ポータル経由で処理していた時代から、今日のCFOは、自動決済機関（ACH）、電信送金、バーチャルカード、リアルタイムネットワーク、そしてキャッシュバック収入を売りにするフィンテック（fintech）チャネルなど、多様な決済レールの乱立に直面している。新しいチャネルはそれぞれ新たな攻撃対象となる。キャッシュバックについてReschは明確に述べる。「カードのキャッシュバックが収益源や費用相殺になるという考えは、大げさに言われすぎている。」
摩擦は今や機能の一つ
ベンダー体験の最適化に慣れた財務リーダーにとって、この示唆は居心地の悪いものだ。決済におけるゼロトラストは、フロントエンドでの利便性とセキュリティを明示的にトレードオフする。ベンダーには認証済みプロファイルの作成が求められるべきだ。申請時の2段階認証がベースラインとなり、新規サプライヤーの摩擦を下げるために設計された汎用アップロードポータルは負債となる。「ベンダーが申請しにくくする必要がある」とReschは認める。「理想的ではないが、もはや誰かが請求書をアップロードできる汎用ポータルを提供するわけにはいかない。」
このトレードオフはバックエンドでも成立する。より高いオンボーディング基準をクリアしたベンダーは、スムーズに処理され、期日通りに支払いを受ける。摩擦は入口にあり、決済サイクルの中にはない。これはまた、誰かの業務の片手間で管理できるものでもない。「これは誰かの役割でなければならない」とReschは明言する。「当事者意識を持ち、リスクコントロール、透明性、可視性に対して責任を負わなければならない。」その能力を社内で構築する意志のない組織にとっての答えは、すでにそのコントロールをプロセスに組み込んでいるパートナーを選ぶことだ。脅威がこれほど急速に進化している中で、昨日のアプローチが明日のリスクに対処できると思い込むことは、選択肢にはならない。
決済リスクコントロール、大量取引のコントロール、そして企業の買掛金を保護するゼロトラストフレームワーク構築についてのさらなる知見は、LinkedInでMartin Reschをフォローするか、Cass Information Systemsをご覧ください。
