不正のトライアングルとは ― 機会・動機・正当化

社員による横領や顧客データの持ち出しは、3つの条件がそろったときに起こりやすくなります。「お金に困っている」「誰も見ていない」「自分は報われていない」の3つです。この3つを動機・機会・正当化と呼びます。これらで不正行為が起こる仕組みを説明する考え方が、不正のトライアングルです。

不正アクセスは、外からの侵入やなりすましです。こちらは、組織の内部にいる人が不正を行う内部不正の話です。不正のトライアングルは、内部不正の対策を考えるときに、3つのうちどれを崩すかを決める目安になります。

動機とは、不正をしたいと思う理由です。借金や強いノルマなど、本人を取り巻く事情が引き金になります。

機会とは、不正をしても見つかりにくい状況です。権限が1人に集中していたり、アクセスログを誰も確認していなかったりすると、この機会が生まれます。

正当化とは、不正を自分の中で正しいことだと言い聞かせる理屈です。「みんなやっている」「自分はもっと評価されるべきだ」のように考えることで、良心の歯止めが外れます。

公認不正検査士協会（ACFE）は、この枠組みを犯罪学者ドナルド・クレッシーが作ったものと説明しています。3つがそろえば不正が必ず起きるという意味ではありません。そろったときに、不正が起こりやすい状態になるという考え方です。

次の図で動機・機会・正当化の3つのスイッチを押すと、組み合わせを変えられます。どれか1つでもOFFにすると、不正のトライアングルは成立しません。

IPA「組織における内部不正防止ガイドライン」は、内部不正を防ぐ5つの基本原則を挙げています。ガイドライン自体は不正のトライアングルの語を使っていません。原則の文言を3要素に当てはめると、「機会」を減らす原則が3つ、「動機」と「正当化」を減らす原則がそれぞれ1つになります。

• 犯行を難しくする（やりにくくする）：対策を強化することで犯罪行為を難しくする
• 捕まるリスクを高める（やると見つかる）：管理や監視を強化することで捕まるリスクを高める
• 犯行の見返りを減らす（割に合わない）：標的を隠したり、排除したり、利益を得にくくすることで犯行を防ぐ
• 犯行の誘因を減らす（その気にさせない）：犯罪を行う気持ちにさせないことで犯行を抑止する
• 犯罪の弁明をさせない（言い訳させない）：犯行者による自らの行為の正当化理由を排除する

次の図は、5原則と3要素の対応を示します。

ISMSの技術的管理策・物理的管理策は、主にこの「機会」を減らす対策にあたります。

IPAガイドラインの5原則は、状況的犯罪予防という理論を内部不正防止に応用したものです。状況的犯罪予防は、環境を変えて、犯罪の機会や動機を減らす考え方です。ガイドラインの脚注は、犯罪学者のコーニッシュとクラークが2003年に提唱した理論だと説明しています。

割れ窓理論は、小さな乱れを放置すると、より大きな不正や犯罪が起こりやすくなるという理論です。管理が行き届いていない環境は、それ自体が「機会」になります。

防犯環境設計は、建物や街路の物理的な設計によって犯罪の機会を減らす考え方です。たとえば、見通しをよくしたり、部外者が入りにくい作りにしたりします。社内であれば、座席の配置や入退室管理がこれにあたります。