【導入マニュアル】失敗しない経理BPOの始め方：銀行口座の「振込権限・アクセス管理」を安全に委託する5ステップ

経理BPO（業務外注）の導入を決めた経営者や財務責任者が、最後にぶつかる壁が「銀行口座のセキュリティ」です。
「振込作業を頼みたいが、ログイン情報やマスターパスワードを社外に渡すのは怖い」「万が一、外部スタッフによる不正送金や資金流出が起きたらどうするのか」——こうした不安から、結局は社長自身が毎月手作業で振り込みを続けているケースは少なくありません。
結論から言えば、法人口座の**マルチユーザー機能（権限分離）**を正しく設定すれば、BPO担当者が単独で送金を実行できない状態を作れます。本記事では、避けるべき運用の具体例と、安全にアクセス管理を委託する5つのステップを解説します。

運営主体の開示：本記事のメディアは、法人向け銀行サービス「フィンサーバンク」および経理BPOサービスを提供する株式会社f9k・株式会社Finswerが運営しています。記事の後半では自社サービスにも言及していますが、権限設計の考え方は特定の金融機関に依存しない一般的なものです。

この記事の要約
振込業務をBPOへ委託する際のセキュリティ事故を防ぐ鉄則は、「マスターIDとパスワードの共有」と「ワンタイムパスワード機器の貸与」を行わないことです。法人口座のマルチユーザー機能を使い、BPO事業者には振込データの作成（予約）権限のみを付与します。最終的な承認と実行は社内の責任者が行う二段階構造にすることで、委託先の担当者が単独で資金を動かせない状態を作れます。この設計は、IPA「組織における内部不正防止ガイドライン」が示す最小権限の原則と職務分離の考え方に沿ったものです。

マルチユーザー機能とは、1つの法人口座に対して複数の利用者IDを発行し、IDごとに操作できる範囲を個別に設定できる機能です。「振込データを作れるが実行はできないID」「承認だけができるID」といった使い分けができるため、担当者を増やしても口座の資金を動かせる人間は限定したままにできます。

BPO導入時に絶対にやってはいけない3つのアンチパターンとは？

セキュリティ意識の高い企業でも、現場の利便性を優先して陥りがちな運用が3つあります。いずれも「便利だから」という理由で始まり、事故が起きて初めて問題が表面化します。

アンチパターン1：マスターアカウントのIDとパスワードを共有する

最も危険なのが、経営者や管理者が使うマスターアカウント（全権限ID）のログイン情報をBPO担当者に教えることです。これは「振込データを作ってもらう」ために必要な権限をはるかに超えています。

問題は不正送金の可能性だけではありません。全員が同じIDを使っている状態では、操作ログを見ても「誰がやったか」が分からなくなります。証拠が残らない環境では、事故が起きたときに原因を特定できず、身内を疑わざるを得ない事態にもなります。

IPAの組織における内部不正防止ガイドライン（第5版）は、内部不正対策の基本として、利用者に必要最低限の権限だけを与える最小権限の原則を挙げています。ID共有は、この原則と正面から衝突する運用です。

アンチパターン2：ワンタイムパスワード機器やトークンを貸与する

振込の最終実行に必要なハードウェアトークンや、スマートフォンの承認アプリごとBPO事業者に預けてしまうパターンです。「毎回承認を求められるのが面倒だから」という理由で始まることが多い運用です。

これをやると、振込の承認権限そのものを外部へ渡すことになります。作成者と承認者を分ける意味が消えるため、誤送金や二重払いが起きても振込前に止める手段がありません。BPOを入れる目的の一つが二重チェックの確立であることを考えると、本末転倒な設定です。

なぜ作成と承認を分けることが内部統制の基本になるのか、その考え方は本シリーズ第2回の振込・支払業務を自社でやるリスク：不正・手入力ミス・情報漏洩を防ぐガバナンス設計で詳しく解説しています。本記事はその設計を、実際の口座設定へ落とし込む手順を扱います。

アンチパターン3：個人口座・個人カードで立て替えさせる

BPO担当者や社員の個人口座、個人クレジットカードを経由して支払わせる方法です。口座の権限設定を避けたいがために選ばれることがありますが、別の問題を招きます。

会社の資金と私的資金が混ざるため、後から取引を追う難易度が跳ね上がります。立て替えと精算の記録が個人の明細に埋もれ、証憑の突合に手間がかかるようになります。結果として、税務調査の際に経費の実態を説明しきれず、指摘を受ける要因になり得ます。

法人の帳簿書類は、国税庁が定めるところでは原則7年間（青色申告書を提出した事業年度で欠損金額が生じた場合は10年間）の保存が必要です。法人口座を経由していれば取引履歴がそのまま証跡になりますが、個人口座を挟むとこの前提が崩れます。

安全に振込業務をBPO化する「権限設定」の5ステップとは？

不正やミスを仕組みで防ぎながら導入を進めるための順序です。上から順に実施してください。

[Step 1] 業務の切り出し ── 請求書の確認〜振込データ作成までを委託範囲に定義
      ↓
[Step 2] 専用IDの発行   ── マルチユーザー機能でBPO専用アカウントを作成
      ↓
[Step 3] 権限の限定     ── 「振込データの作成」のみ許可し、実行権限はOFF
      ↓
[Step 4] 社内一括承認   ── 作成された振込リストを社内責任者が生体認証で承認
      ↓
[Step 5] 定期ログ監査   ── 月1回、誰がいつ何を操作したかを確認

ステップ1：委託範囲を定義する

BPOに依頼するのは「請求書の確認」「振込先・金額・振込指定日のシステム入力（振込データの作成）」までと明確に線を引きます。この段階では、銀行から資金は1円も動きません。

最初に範囲を文書化しておくことが重要です。範囲が曖昧なまま始めると、繁忙期に「今回だけ実行までお願い」という例外が生まれ、そこから運用が崩れます。

なお、委託範囲を請求書の受領工程まで広げると、届いていない請求書に気づけるという別の効果も生まれます。その仕組みは支払漏れはなぜ防げないのか？「今月、請求書が届いていない」を月次締めの前に検知する仕組みで解説しています。

ステップ2：BPO専用のサブアカウントを発行する

法人口座の管理者画面から、マスターIDとは別にBPO担当者専用のサブアカウントを新規発行します。このとき、担当者個人の氏名とメールアドレスを紐付けます。

部署名や「BPO担当」といった共有名義にしないでください。個人を特定できる形にしておくことが、ログ監査を機能させる前提になります。担当者が交代したらIDも作り直し、前任者のIDは速やかに停止します。

ステップ3：権限を「作成のみ」に限定する

発行したサブアカウントに対して、付与する権限とOFFにする権限を明確に分けます。

ここで確認すべきなのは、作成者が自分の権限だけでは送金を完了できないという状態になっているかです。設定後に必ずテスト振込を1件作成し、実行ボタンが押せないことを目視で確かめてください。

ステップ4：社内の最終承認フローを確立する

BPO側から「振込予約完了（計〇件・〇〇円）」の報告を受けたら、社内責任者が管理者画面へログインします。元の請求書データと突き合わせ、問題がなければ承認して実行します。

このとき、スマートフォンの生体認証で承認できる口座であれば、外出中や出張中でも作業が止まりません。逆に物理トークンが必要な口座だと、責任者が社内にいなければ支払いが進まないため、承認の遅延が構造的に発生します。

重要なのは、振込の最終承認は依頼元企業が行い、実施の責任も依頼元企業が負うという点です。委託しているのはあくまで作業であり、資金移動の判断そのものは手放しません。

信用金庫と日本政策金融公庫で法人融資に携わってきた立場から補足すると、金融機関の担当者が取引先を見るとき、「実際に資金を動かせるのが誰か」は必ず気にする点です。少人数の会社ほど代表者に権限が集中しがちですが、実務を分担しつつ承認だけは代表者に残している会社は、管理体制が整っている先として見られます。権限分離はセキュリティ対策であると同時に、対外的な信用の裏付けにもなります。

ステップ5：アクセスログを定期監査する

月1回、法人口座の管理画面から操作ログを確認します。「誰が」「いつ」「どんな振込データを作成したか」が記録されていることを確かめる作業です。

監査というと重く聞こえますが、実務としては月次決算の締め作業に組み込んで数分で終わります。ポイントは、見ていることを運用として明示しておくことです。ログが確認されている環境そのものが、不注意な操作に対する抑止力として働きます。

なお、ログ監査を行っていても事故の可能性がゼロになるわけではありません。前掲のIPAガイドラインも、内部不正の防止には権限管理・教育・職場環境といった複数の対策を組み合わせる必要があるとしています。権限分離は最も効果の大きい一手ではありますが、唯一の対策ではないという前提で運用してください。

BPO導入を前提にした法人口座のチェックリスト

これから経理BPOを本格化させる、あるいは口座を見直す場合に確認すべき条件です。

とくに見落とされやすいのが3つ目です。明細の閲覧可能期間が「過去◯ヶ月まで」と制限されている口座は珍しくありません。税務調査で過去の振込を照会された際に、銀行へ再発行を依頼する手間が発生します。

インターネットバンキングを狙った不正送金は、現在も高い水準で発生しています。金融庁が公表した預貯金の不正送金被害等の発生状況（令和8年6月30日公表）によれば、令和7年度のインターネットバンキングによる不正払戻しは3,946件、1件あたりの平均被害額は360万円でした（個人・法人の合計。法人分の内訳は同ページの別紙4-3に掲載されています）。

法人口座については、行政も個別に対策強化を求めています。金融庁と警察庁は令和7年9月12日、全国銀行協会をはじめとする9団体に対して法人口座及びインターネットバンキングの利用を含む預貯金口座の不正利用等防止に向けた対策の一層の強化を連名で要請し、口座開設時の実態把握、アクセス環境や取引金額の妥当性の多層的な検知、インターネットバンキング対策の強化などを挙げています。口座の選定基準にセキュリティ機能を含めることは、過剰な要求ではありません。

「実務は外部・承認は自社」を実現する口座の選び方

ここまでの条件を満たしたうえで、BPOとの接続まで含めて設計されているのが、支払特化型の法人口座と代行サービスの組み合わせです。

フィンサーバンクのおまかせ振込サービスは、請求書の代理受領からデータ化、振込申請までを代行し、依頼元企業の作業を最終承認のみに絞るサービスです。承認はスマートフォンの生体認証（To-ride）で完結するため物理トークンが不要で、出張や外出が多くても支払いは止まりません。

前提として押さえておくべき点もあります。利用にはフィンサーバンクの口座開設が必要です（メインバンクを変更する必要はありません）。また振込の最終承認は依頼元企業が行い、実施の責任も依頼元企業が負います。代行側でダブルチェックは行われますが、承認権限まで手放す設計ではないという点は、本記事で述べてきた考え方と一致します。

なお経理BPOの導入判断では、本記事が扱うセキュリティと並んでコストがもう一方の軸になります。採用費・社会保険料まで含めた年間総コストの比較は【コスト検証】経理BPOは本当に高い？自社採用（人件費・教育・離職リスク）との真のROI比較で試算しています。

導入の起点となる考え方は本シリーズ第1回の経理採用の限界：「月額30万円で採用したのに即退職」リスクをゼロにするBPO活用術、業種特有の事情を踏まえた検討は第3回のIT・Web業界：売上拡大に経理が追いつかない！急成長企業が早期にBPOを入れるべき理由も参考にしてください。

参考資料

• 組織における内部不正防止ガイドライン（情報処理推進機構）
• 預貯金の不正送金被害等の発生状況（令和8年3月末）（金融庁）
• 法人口座及びインターネットバンキングの利用を含む預貯金口座の不正利用等防止に向けた対策の一層の強化について（金融庁・警察庁）
• No.5930 帳簿書類等の保存期間（国税庁）
• インターネットバンキングによる預金の不正送金被害への注意喚起（金融庁）

まとめ

経理BPOのセキュリティは、委託先を信用するかどうかで決まるものではありません。ミスや不正が起きても、それが資金移動まで到達しない構造を作れているかで決まります。

• マスターIDの共有とトークンの貸与は、権限分離を無効化するため避ける
• BPO担当者には「振込データの作成」のみを許可し、実行権限は付与しない
• 承認と実行の権限は社内に残し、月1回のログ監査で運用が守られているか確認する

法人口座のマルチユーザー機能を使えば、経営者はデータ入力作業から解放されながら、資金移動のグリップだけは握り続けられます。まずは自社の法人口座が権限を分けられる仕様になっているかを確認するところから始めてください。

サービスの詳細・ご相談はこちら

よくある質問

Q. BPO事業者に銀行口座のIDとパスワードを渡す必要はありますか？

A. ありません。マルチユーザー機能で発行したBPO専用のサブアカウントを使うため、経営者や管理者が使うマスターIDの情報を渡す必要はありません。専用IDには振込データの作成権限のみを付与し、実行・承認権限は付与しないため、委託先の担当者が単独で送金することはできません。

Q. BPO担当者が勝手に送金してしまうことはありませんか？

A. 権限設定が正しく行われていれば、操作そのものができません。振込の実行ボタンは承認権限を持つ社内責任者のアカウントでしか押せないためです。設定後にテスト振込を1件作成し、BPO用アカウントで実行ボタンが押せないことを確認しておくと確実です。

Q. 振込の最終的な責任はどちらが負いますか？

A. 依頼元企業が負います。BPOへ委託しているのは振込データの作成までであり、内容を確認して承認・実行する判断は依頼元企業に残ります。代行側でもダブルチェックは行われますが、承認権限まで移管する設計ではありません。

Q. 操作ログはどのくらいの期間さかのぼれれば十分ですか？

A. 法人の帳簿書類の保存期間に合わせて、7年間さかのぼれることを一つの目安にしてください。青色申告書を提出した事業年度で欠損金額が生じた場合は10年間の保存が必要です。明細の閲覧可能期間が数ヶ月に制限されている口座では、税務調査の際に銀行への再発行依頼が必要になります。

Q. 担当者が交代したときは何をすればよいですか？

A. 前任者のサブアカウントを停止し、後任者の氏名とメールアドレスで新しいIDを発行してください。IDを引き継いで使い回すと、操作ログ上で誰の操作か区別できなくなり、監査の意味が失われます。BPO事業者側の体制変更があった際も同様です。

Q. サービスの利用にフィンサーバンクの口座開設は必要ですか？

A. 必要です。請求書の受領から振込申請までをフィンサーバンク上で完結させる仕組みのため、口座開設が前提となります。ただし既存のメインバンクを変更する必要はなく、支払業務専用の口座として追加する形で利用できます。

Q. 権限を分ければ、不正送金のリスクはゼロになりますか？

A. ゼロにはなりません。権限分離によって「委託先の担当者が単独で送金を実行する」経路は塞げますが、フィッシングによる認証情報の窃取など別の経路は残ります。IPAの内部不正防止ガイドラインも、権限管理・教育・職場環境といった複数の対策を組み合わせる必要があるとしています。権限分離は最も効果の大きい一手として位置づけ、他の対策と併用してください。