DOD主要IT事業18件のうち7件で不正検知研修が届かず

Summary

GAOはDODの主要な業務IT事業18件を調査した。これらの事業に対する2024～2026会計年度の支出計画は計103億ドル。7件は、職員が過去2年間にITシステム内の不正や改ざんを見分けて報告する研修を受けていない、または研修の存在を知らないと回答した。
11件は研修の受講または認知を報告した。自事業の不正リスク評価については10件が実施、5件が未実施、3件が把握していないと答えた。DODでは一般的な不正防止研修が義務だが、ITシステムに固有の兆候を学ぶ研修は現在の義務ではないという。
GAOはCIOとComptrollerの協働を求める新たな勧告を1件出した。DODはComptrollerを2020年7月から省全体の不正リスク管理の担当と位置づける。実施の証拠は各事業のリスク、研修内容、対象職員、通報先を結ぶ記録になる。

修了証は本部に届く。知識は現場で試される

省内の全員に同じ講座を配り、修了人数を集計する仕組みには強みがある。共通の原則を短期間で伝えられる。しかし、業務システムで不自然な権限変更や承認の迂回を見た人が必要とするのは、そのシステムの仕事に即した判断だ。どの変化を保留し、誰に伝えればよいか。一般講座の受講記録からは、その問いの答えを読み取れない。

2026年9月28日公表のGAO報告書は、この隔たりを数字で示した。GAOはDODが大規模投資として登録した業務IT事業から18件を選び、事業部門に質問票を送った。2026年4月時点の回答では、7件が、過去2年間に職員がITシステムの不正や改ざんを見つけて報告する研修を受けていない、または利用できる研修を知らないとした。11件は受講したか、研修を知っていると答えた。中央の制度が存在することと、事業の職員に届くことは別の管理工程だ。

対象のシステムは医療、人事、財務、物流、契約を支える。DODのCIO部門によると、18件の2024～2026会計年度の計画支出は103億ドルに達し、うち4件が半分を占める。これは3年間に予定した資金の規模である。大きな事業ほど権限やデータの経路が複雑になり、共通講座だけでは担当者が自分の画面で起こり得る異常をつかみにくい。投資額と研修修了率を並べるだけでは、その隙間は見えない。

「担当部署」はある。渡す人は誰か

DODはGAOへの回答で、Office of the Under Secretary of Defense（Comptroller）が2020年7月から省全体の不正リスク管理を担っていると説明した。職員には一般的な不正防止研修が義務づけられ、業務システムの年次認証指針にも財務管理の要件が入る。制度の骨格は示されている。CIOは主要IT事業を所管し、各事業は利用者、権限、承認の実際を知っている。

それでもDODの担当者は、ITシステムの不正兆候を見分けて報告する専用研修を現在は義務づけていないと述べた。一般原則を各事業の業務へ翻訳する人が必要になる。どのリスクを教材にするか、どの役割の職員を対象にするか、ソフトウェア変更後に誰が内容を直すか。通報を受けた後の判断者まで決めて、初めて研修が運用につながる。

GAOの質問票はリスク評価でも同じ断絶を拾った。18件中10件は自事業の不正リスクを評価していると答え、5件は評価していないとした。残り3件は、評価をしているかどうかを知らなかった。所在のわからない評価書を研修の出発点にはできない。GAOの不正リスク管理の考え方は、職員が自分の機能に固有のリスクを理解し、通常の財務統制と不正対策の違いを知り、継続的に学ぶことを求めている。

新しい勧告はCIOとComptrollerを同じ宛先にした

今回GAOが新たに出した勧告は1件。国防長官はCIOに対し、Comptrollerと協力して、主要な業務IT事業で不正防止の実践を根づかせるよう指示すべきだという。職員が不正リスクを意識し、担当する仕事で兆候を見分け、リスク評価の活動を知るための研修が中心となる。過去の年次監査から残る6件の勧告は別に追跡する必要がある。

DODは新勧告に部分的に同意した。Comptrollerの既存の役割と業務システム認証指針を挙げたためだ。GAOは、CIOとComptrollerの連携によって事業職員が関連する研修を受け、その存在を知る必要があると応じた。組織図の中に責任者を置くことと、システムの担当者へ教材を届けることは、監査で別々に確かめるべき事実である。

同じ報告書には別の実施不足も並ぶ。ソフトウェアを積極的に開発する10事業のうち8件は、求められるAgileの指標や管理ツールの利用を示せなかった。18件中6件はDODの2027年目標に向けたzero trust導入計画を作っておらず、3件には承認済みのサイバーセキュリティ戦略がなかった。各数字は異なる要件を示す。共通するのは、本部の方針を事業ごとの記録で確かめる必要だ。

今不足している公開上の接続点は、各事業が評価した不正リスク、職員の仕事に合った研修、受講や認知の記録、報告を引き受ける責任者を一つにつなぐ資料だ。後のDODまたはGAOの確認で18事業すべてにその鎖が見えれば、判断は変わる。現時点の7件の回答は、一般研修から現場へ渡す最後の工程に穴があることを示している。