Commonwealth Bank調査。「善意」があれば、ミスは許されるという声まであった

取締役会監査委員会（BAC）は、重大な統制上の問題を示す「Red」監査報告について、十分な厳格さと緊急性を持って経営陣へ対応を求めていなかったと調査パネルは評価しました。

BAC自身は従来の姿勢を「light hand on the tiller（舵に軽く手を添える）」と表現していました。

委員はRed監査報告書の原本を通常は受け取らず、自ら求めることもほとんどなく、内部監査が作成した要約に依存していました。2017年には運用が変更され、取締役へRed報告書などを直接配布するようになっています。

マネーロンダリング・テロ資金供与対策（AML/CTF）では、2013年、2015年、2016年に計3回のRed監査報告が出ていました。

2015年の監査では、2013年に指摘した問題が、グループ全体のAML/CTFプロセスの所有者が不明確だったため進展していないとされました。

2016年の3回目のRed監査でも、2013年と2015年に指摘された重大な問題の一部が、未解決、再対応中、または未着手のまま残っていました。

内部監査が、事業部門によって「解決済み」とされた監査事項を検証したところ、2016年前半には12%が、リスクを完全には軽減しないままクローズされていました。

2014年12月のAML統制改善については、5つの問題のうち4つが、リスクを完全に解消しないままクローズされていました。

同じページでは、未解決のVery HighまたはHigh監査事項の39%が2年以上残っていたことも示されています。

調査パネルは、CBA内部にリスク対応プロジェクトを実行する能力が弱いという認識があったと記しています。

問題解決の試みが途中で失敗し、同じ問題を直す新しいプロジェクトに吸収されることもありました。

パネルは、この「プロジェクトを作り続ける循環」が、「constant progress（常に前進している）」という誤った印象を与えうると指摘しました。

調査パネルが確認した取締役会資料には、顧客苦情の件数・内容の分析や、苦情から見えるシステム上の問題についての議論がありませんでした。

一方、CBAは顧客満足度で主要4行の中の順位を重視し、2015年7月以降は首位を維持していることを取締役会へ報告していました。

報告書は、取締役会への説明が「他行と比べた顧客満足度の順位」を強調する一方、深刻な苦情を強調していなかったと指摘しています。

Executive Committee（経営会議）は、顧客苦情から浮上した「top」の問題について一部の報告を受けていました。

しかし、経営会議で扱われるのは毎月2件だけでした。

しかも報告書によれば、その2件をどのように選ぶかについて、頑健な選定プロセスは整備されていませんでした。

重大な個別苦情から生じるリスクを、経営会議へ能動的にエスカレーションする仕組みもなかったとされています。

CBAには大量の顧客苦情データがありましたが、システム上の問題を発見するために十分活用されていませんでした。

2015年7月の取締役会資料では、全苦情のうち、システム上の問題を探す目的でレビューされていたのは3.4%でした。

内部監査は、この3.4%という運用では、システム上の重大な問題を見落とす可能性があると評価していました。

苦情データは、システム問題を探すために他のデータ源と結び付けることも一般的には行われていませんでした。

2017年7月のExecutive Committee資料では、顧客苦情からシステム上の問題を特定する担当者は、フルタイム換算で1人しかいないと記されていました。

根本原因分析の能力も未成熟で、その背景として、明確なガバナンスの欠如、手作業、根本原因の解決につながる従業員インセンティブの不足が挙げられています。

その後、責任はCustomer Advocateへ移され、報告書作成時点では5.5 FTEのチームへ増員されていました。

APRA、ASIC、AUSTRACなどの規制当局は、CBAの対応を防御的で、ときに形式的だと捉えていました。

調査パネルは、CBAが挑戦を受けた際の「default response（標準的な反応）」が、法律論中心で防御的だったという証言を得ています。

行動する前に、「なぜそれを法的に行う義務があるのか」を説明するよう求めた事例もあったと報告されています。

パネルは、厳格な法解釈が、リスクや顧客への結果より優先されたように見えたと整理しています。

あるプロジェクトの根本原因分析では、プロセス全体が複雑で、長年のレガシーも積み重なっているため、特定の1人や1チームに責任を負わせることはできない、という結論が出ました。

しかしGroup Risk and Remuneration Review Committee（RRRC）は、その考え方を問題視しました。

RRRCは、「complexity（複雑さ）」を責任不在の説明として今後は認めないと決めました。

多くの重要プロセスが複雑である以上、この説明を認めれば、多くのリスク事項で結局「誰も責任を負わない」ことになるためです。

CBAは価値観を重視する企業を目指していましたが、調査パネルは「good intent（善意）」への過度な依存が、リスク管理上の盲点を作ったと分析しました。

Executive Committeeへのインタビューでは、約80%の上級幹部がgood intentに言及しました。フォーカスグループでは「99.95%の時間、意図は正しい」という発言もありました。

別の参加者からは、悪意がなければミスは許される、全員にgood intentがあれば罰せられない、という趣旨の説明も出ていました。

パネルは、善意に焦点を当てすぎると、能力、結果、プロセスやシステムの弱点への注意が薄れると指摘しています。