Wirecard: 欧州規制を変えた監査の失敗

事件の背景とタイムライン

Wirecard AGはドイツを拠点とする決済処理会社だった。DAX指数の構成銘柄で、時価総額は最盛期に280億ユーロに達していた。
2019年、Financial Timesが同社の会計処理に疑問を呈する記事を連載。特にアジア事業の売上計上とキャッシュフローの不整合を指摘した。監査法人EYは2019年度の監査で無限定意見を表明。しかし翌年6月、同社は第三者に預託していたとされる19億ユーロの現金が実際には存在しないことを認めた。

監査上の論点

ISA 315.13は、監査人に対し、不正による重要な虚偽表示のリスクを識別・評価することを求めている。Wirecard事件では以下の要因が監査の失敗につながった：
第三者預託資産の実在性確認
Wirecard AGは売上高の約半分を第三者パートナー経由で計上していた。この仕組みでは、顧客からの代金がいったん第三者の銀行口座に入金され、その後Wirecardに送金される。問題は、この第三者口座の残高確認だった。
EYは第三者パートナーから残高確認書を入手していた。しかし後に、これらの確認書は偽造されたものと判明した。ISA 505.10は外部確認の信頼性評価を求めているが、確認書の偽造を前提とした手続は一般的でない。
グループ監査の複雑性
WirecardグループはDubaiやシンガポールに子会社を持つ複雑な構造だった。ISA 600.40は、グループ監査人に対し、構成単位の監査人の作業を評価することを求めている。
しかしWirecard事件では、アジアの子会社における売上計上が架空であったにもかかわらず、この事実が十分に発見されなかった。構成単位の監査人からの報告書には売上の実在性に関する懸念が記載されていなかった。

実務上の監査手続の限界

第三者確認の信頼性

ケーススタディ：架空のフィンテック企業での監査
バーチャルペイメンツ株式会社（仮称）は決済代行サービスを提供している。売上高420億円のうち約60%を海外の第三者パートナー経由で計上。年度末現在、パートナー保有口座に87億円の預託資産があると帳簿に記載されている。
監査人の手続：
文書化ノート：外部確認調書にはパートナー名、確認金額、回答日付を記載。代替手続を実施した場合はその内容と結論も文書化する。
このケースでは、銀行口座明細の直接確認まで行うことで、残高確認書だけでは発見できないリスクに対応している。Wirecard事件の教訓は、第三者からの確認書に依存しすぎることの危険性である。

残高確認書の送付: 主要な3つのパートナーに残高確認書を送付
回答の検証: 郵送で回答を受領。金額は帳簿と一致
追加的手続: パートナーの銀行口座明細の入手を依頼
代替的手続: 明細入手が困難な場合、期後の入金確認で実在性を確認

欧州の監査規制改革

Wirecard破綻を受け、欧州では監査規制の抜本的見直しが進んだ。主要な改革は以下の通り：

ドイツ国内の規制強化

財務報告監督法（Finanzkontrollgesetz）
監査品質管理の強化

EU全体の動き

欧州委員会は2021年11月、監査品質向上のための指令改正案を公表。主な内容：
これらの改革により、ISA 220（改訂）やISQM 1の実務適用がより厳格になることが予想される。

監査法人のローテーション期間短縮（25年→21年）
監査委員会の機能強化
PIE（公益法人）監査における非監査サービスの追加制限
監査法人に対する検査頻度の増加
監査調書の詳細レビュー義務化
複雑な金融商品を取り扱う企業の監査における専門家の活用義務
ISA準拠監査の品質管理要件強化
グループ監査における構成単位監査人の責任明確化
第三者確認手続の標準化

日本への示唆

内部統制評価の重要性

J-SOX法により、日本では既に内部統制評価が制度化されている。しかしWirecard事件は、IT統制の評価における課題を浮き彫りにした。
特に決済システムを運営する企業では、以下の統制の評価が重要：

監査証拠の信頼性評価

ISA 500.7は監査証拠の信頼性に影響する要因を列挙している。Wirecard事件を踏まえ、以下の点により注意が必要：

グループ監査の管理

多国籍企業の監査では、ISA 600の要求事項がより重要になる。主監査人は以下を確実に実施する必要がある：

システムアクセス権限の管理
取引データの完全性確保
第三者との契約条件の定期的見直し
外部からの監査証拠でも偽造の可能性を検討
複数の情報源からの証拠の整合性確認
異常な取引や残高に対する職業的懐疑心の発揮
構成単位の重要性の適切な配分
構成単位監査人との十分なコミュニケーション
構成単位の監査調書の適切なレビュー
グループレベルでの分析的手続の実施

実務チェックリスト

外部確認手続の強化: 重要な第三者預託資産については、残高確認書に加えて銀行口座明細の直接確認を検討する
IT統制の評価: 決済システムやERP システムのアクセス統制とデータ整合性統制を重点的に評価する
職業的懐疑心の文書化: 異常な取引や説明の妥当性について、具体的な検討過程を監査調書に記録する
グループ監査計画の詳細化: 構成単位ごとの監査範囲とコミュニケーション計画を明文化する
専門家の活用: 複雑な金融商品や IT システムについては、適切な専門家の関与を検討する
最重要ポイント: 外部からの監査証拠であっても、その信頼性を独立して評価することが不可欠である

よくある監査上の問題点

第三者確認への過度な依存: 国際的な検査でも指摘される問題。代替的手続との組み合わせが重要
グループ監査でのコミュニケーション不足: 構成単位監査人からの報告内容の十分な検討が不足するケース
複雑な取引への対応不足: 新しいビジネスモデルに対する監査アプローチの検討が不十分な場合
IT統制テストの形式化: ISA 315.A126に基づくIT統制の理解と評価で、決済処理システム固有のデータ完全性リスクを見落とし、汎用的な統制テストで完了してしまう

ISA 500 監査証拠収集の実務ガイド: 監査証拠の十分性と適切性の判断基準について
グループ監査計画テンプレート: ISA 600に基づく計画策定支援ツール
内部統制評価チェックリスト: J-SOX対応を含む内部統制評価の実務手法