CIAフォーラムは、CIA資格保持者の研鑽及び相互交流を目的に活動する、一般社団法人日本内部監査協会(IIA-JAPAN)の特別研究会である。各研究会は、担当の座長が責任をもって自主的に運営し、研究期間、目標成果を設定し、研究成果を発信している。
当研究報告書は、CIAフォーラム研究会No.e25が、その活動成果としてとりまとめたものである。

報告書に記載された意見やコメントは、研究会の「見解」であり協会の見解を代表するものではなく、協会がこれを保証·賛成·推奨等するものでもない。

アジャイル型監査を実施している会社に対する実施状況の調査結果
2023 年 12 月報告
CIA ファーラム研究会 e25（アジャイル型監査研究会）
CIA フォーラム研究会 e25（アジャイル型監査研究会）では、アジャイル型監査を実施している 5 社に対するインタビュー等により、アジャイル型監査の導入やその実施状況について調査を行いました。今回、その調査結果をまとめましたので報告します。
調査した内容を以下の３つにまとめています。
【調査結果】
1.アジャイル型監査実施５社の調査結果まとめ（導入背景・時期、導入方法・体制、導入効果等）
2.アジャイル型監査実施５社の調査結果まとめ（アジャイル開発の代表的な手法である「スクラム」のフレームワーク【３つの役割、５つのイベント、３つの作成物】について）
3.アジャイル型監査手法【３つの役割、５つのイベント、３つの作成物】の用語説明と 5 社の導入・実施状況と用語説明「スクラム」に関するルール等については、『スクラムガイド※』に定義されています。ガイドでは、スクラムのフレームワークは【３つの役割、５つのイベント、３つの作成物】とこれらを統括するルールにより構成されると示しています。
今回の調査の結果、アジャイル型監査と言っても一律なものではなく各社各様であることが明らかになりました。そもそもアジャイル型監査を導入する前の従来の監査のやり方が各社各様であり、『スクラムガイド』でのフレームワークやルールをどのように適用していくかについては、各社の内部監査部の状況や解決したい課題によって異なるため、結果としてアジャイル型監査においても従来型監査と同じく、各社各様であって当然だという結論に至りました。そして導入済みの会社においても、発展途上な段階であり、引き続き当研究会での研究を続けていき、内部監査の使命である「組織体の価値を高め、保全すること」に貢献していきたいと考えています。
※スクラムガイド︓Ken Schwaber 氏と Jeff Sutherland 氏が 30 年以上かけて開発・進化・保守しているスクラムを文書化したものである。
日本語版の最新版（2020 年 11 月）2020-Scrum-Guide-Japanese.pdf (scrumguides.org)

1. アジャイル型監査実施５社の調査結果まとめ（導入背景、導入方法、導入効果等）
項目
導入背景

調査結果

導入のきっかけ/目 ・監査の効率化・高度化を目的として導入した会社が多い。
的導入方法

導入時期

・多くの会社では 2020～2022 年に導入している（最も早い会社では 2018 年に導入）。

導入割合

・アジャイル型監査を全ての監査で導入する会社と、スモールスタートとして一部の監査で導入を開始する会社とがある。

アジャイルの・全ての監査で導入した会社では、導入前にメンバー全員を対象とした研修や取締役会等のステークホルダーへの説明等を実施し推進体制ているケースがある。
・一部の監査で導入を開始した会社においても、導入前に社内外の情報収集・研修受講等により、アジャイル型監査の知識・スキル習得に努めている。
・効果的な導入を目指して、ガイダンス作成、取締役会、監査会議などでの説明、監査対象部門への協力要請を実施した会社もあった。

教育・研修・OJT

・全ての監査で導入している会社は、内部監査部メンバー全員に対する研修（必読書の購読を含む）が行われている。
・一部の監査で導入している会社は、まずはアジャイル型監査に取り組むメンバーに対する研修が行われている。

パイロット対象

・一部の監査で導入している会社では、監査の内容・難易度や、監査人のスキル等でアジャイル型監査を適用する監査を選択している。
・適応力や受容性等のある人材を選出してアジャイル型監査に取り組む会社も散見される。

導入後

導入効果

・監査期間の短縮
・監査対象部門に対する透明性向上（見える化）
・コミュニケーション円滑化による認識相違の削減
・遅延・手戻りの削減、適時の改善計画策定
・監査メンバーのチームプレー定着（監査人の自律化、自己組織化）とベストプラクティスの創出
・発見事項（懸念事項）の早期伝達・Action Plan 策定による改善の早期化
・寄り添う監査（共同歩調）を心がけることで内部監査への心象改善

課題点

各社各様
・監査の前提となる各社のリスクアセスメント、オフサイトモニタリング、(予備調査のやり方・監査アプローチを含む)オンサイト等の概念・定義が各社で異なることから、課題点について、共通のものは見いだせなかった。

その他運営 効果測定方法
要領

・全ての会社で監査期間・監査日数を測定している。会社によっては監査時間も集計している。

監査対象部とのコミ ・多くの会社では監査実施前に、監査対象部とキックオフミーティングを行っている。
ュニケーション・監査開始後は、各スプリントレビューでの進捗と監査結果の共有、意見交換を行うケースが多い。
・会社によっては、ミーティングだけでなく、文書での報告を行うこともある。

使用システム・バックログ、ステータスの一元管理等を目的として各種ツールを活用している。

アジャイル型監査ツ ・アジャイル開発用ツールであり Jira の他、MS Planner（Kanban ツール）を使っている会社がある。一方で、アジャイル専用のツールールではなく、Excel,Word を使っている会社もある。

2.アジャイル型監査実施５社の調査結果まとめ（３つの役割、５つのイベント、３つの作成物）
項目
３つのスクラムマスター

役割

調査結果・スクラムマスターを専任で配置するケースと、他の役割と兼任するケースがある。専任のスクラムマスターは、同時に複数の監査にかかわっている。
・専任のスクラムマスターがいない場合はプロダクトオーナーもしくは監査チームメンバーが兼任して役割を担っている。

プロダクトオーナー

・監査担当役員、部長・課長といった監査メンバーの上位の役職者が担うケースが多い。
・海外では監査対象部をプロダクトオーナーとしている事例もあるが、今回の 5 社ではそのような事例はなかった。

５つのメンバー・リーダー１名、担当者 1-4 名の構成が多い。従来の監査と殆ど同様である。

スプリント

・スプリントの期間は 2 週間が多い、1 週間としている会社もある。

イベント・標準スプリント数は、2-4 スプリントが多いが、7,8 スプリントという会社もある。
スプリント

・セレモニー名をスプリントプランニングと呼んでいる会社もあれば、特段呼び名はない会社もある。

プランニング・参加メンバーは全ての会社で内部監査部内のメンバーであり、監査対象部のメンバーを含めているケースはなかった。
・内容は、スプリント開始前に、そのスプリントで実施することの計画についての認識共有が多い。

デイリー・スクラム・呼び名は色々あるが、毎日、15 分間実施している会社が多い。
・参加メンバーは全ての会社で内部監査部内のメンバーであり、監査対象部のメンバーを含めているケースはなかった。
・内容は、昨日の実績、今日の計画、障害や課題等の共有が多い。

スプリント・呼び名はスプリントレビュー、定例ミーティングなど様々。頻度は週に 2-3 回・週次・２週間に一回（スプリント毎）など様々。

レビュー

・内部監査部内のメンバーと、監査対象部のメンバーを含めて実施している会社が多い。
・内容は、監査の進捗状況、そのスプリントでの監査結果（改善提案や提言等）の伝達がほとんど。

スプリント・呼び名は色々あるが、各スプリントのクローズ時にスプリントでの振り返りと、次のスプリントでの改善事項の共有が多い。

レトロ

・参加メンバーは内部監査部内のメンバーである。

スペクティブ
３つのプロダクト

・内容は、監査目的を達成するためのものであり、監査で確認する項目や監査対象組織のあるべき姿を設定するケースがある。

作成物

バックログ

・作成者がプロダクトオーナーの場合もあり、監査チーフ・メンバーの場合もある。
・プロダクトバッグログには監査対象組織の目的やあるべき姿（ユーザーストーリー）が示されている。

スプリント

・呼び名は様々だが、そのスプリントでのタスクとして設定している会社が多い。

バックログ
インクリメント・呼び名は様々だが、スプリントごとに監査対象部へ提示するステータスのわかるレポート類を設定している会社が多い。
・このレポート類をもとに、スプリントレビュー（監査対象部との意見交換会）を行うケースが多い。

3.アジャイル型監査手法（３つの役割、５つのイベント、３つの作成物）の実施状況と用語説明
5 社の実施状況を確認したところ、全体を通してスクラムマスター（役割）、スプリントレトロスペクティブとプロダクトバックログ（イベント）に「×」がついている以外は、「３つの役割、５つのイベント、３つの作成物」に各社大きな差がない事が判明しました。
研究会では、当初、アジャイル型監査と呼べるためには「スクラムマスター」、「スプリント」、「ディリー・スクラム」の有無がキーポイントであると想定していましたが、「スクラムマスター」の有無以外には各社間の差がありませんでした。
アジャイル型監査としては、原則に従い、この「３つの役割、５つのイベント、３つの作成物」が揃っていることが望ましいと考える一方で、同時にすべてを導入するのではなく、一部分を取り入れることから始めてみることも監査の高度化・効率化を図っていくうえで有効であると考えます。現在の監査スタイルにもよりますが、現在の監査機能をそのまま使うことができるケースもありますので、アジャイルを少しずつ試していくことで監査の高度化・効率化につなげられると考えます。
項目

用語説明

３つのス ク ラ ム マ ス ・スクラムの原則に則って活動できるようにチームを支援する役割を担う。

役割

ター・アジャイル型監査を実施する上での障害を明確化し、プロダクトオーナーや監査部長に対して解決・改A

BC

D

E

社

社

社

社

社

× ○ ○ × ×

善に向けて働きかける。
・セレモニーの進め方やアジャイルの作成物について理解を促し、ファシリテートやコーチングを行う。
・プロダクトオーナーとは別のメンバーが担う。
プ ロ ダ ク ト オ ・個々の監査の目標達成の責任者である。
ーナー・ステークホルダー（監査対象部等）との合意を形成する。
・個々の監査の目的や範囲、バックログを作る役割を担う。
・監査責任者や監査主担当者が担うことが多い。

○ ○ ○ ○ ○

メンバー

＜監査担当者＞
・個々の監査のバックログを完成させるためにタスクを作る。

○ ○ ○ ○ ○・プロダクトバックログの要件を満たすことができるように監査手続を計画し、実施する。
・当該監査の目的を達成することができるメンバーが割り当てられる。
５つの

スプリント

イベント

・1 か月以内の期間（1 週間、2 週間、4 週間）で設定するとされている。
・スプリントの期間は原則固定し、スプリント毎の期間の変更はしない。

スプリント

・各スプリントでのスプリントゴール（監査目的）を定め、チームで合意する。

プランニング・プロダクトオーナーはこのスプリントでのバックログ（監査項目）と、バックログに対する受入条件や優先順○ ○ ○ ○ ○○ ○ ○ ○ ○位を示す。【What を示す】
・監査担当者は、バックログの受入条件を満たすために必要なタスク（監査手続き）を決定する。【Howを示す】
デイリー・スク ・チームが毎日、決まった時間に、決まった場所で行うイベント。
ラム・各スプリントプランニングで定めたスプリントゴールであるバックログに向けて、①昨日やったこと、②今日や○ ○ ○ ○ ○ること、③いま困っていること（障害や問題点）について話し合う。
・チームは、バーンダウンチャートを更新し、スプリントゴールを達成できそうか、毎日確認する。
スプリント

・各スプリントでの監査結果や改善の機会を、監査対象部に報告し、フィードバックを得るイベント。

レビュー

・改善提案等がある場合には、その改善対応策について議論する。

○ ○ ○ ○ ○・次のスプリント以降の監査計画やリスク認識等を共有し、フィードバックを得て、次スプリント以降のプロダクトバックログに反映する。
スプリント

・チームでスプリントでの活動を振り返る。

レトロ

・上手くいったこと[Keep]/改善した方がよいこと[Problem] を挙げ、次のスプリントで改善したいこと

スペクティブ[Try]をチームで決める。
・上手くいったことは継続し、上手くいかなかったことは、今後のスプリントに向けて改善策を検討する。

× ○ ○ ○ ○

３つのプロダクト・監査目的を達成するために必要なアイテムを時系列または優先順位の順に並べた一覧。

作成物

バックログ

・なお、監査目的は、対象の「ビジネスの目標」や「プロセスの目標」に着目し、監査対象の「ビジネス目× ○ ○ × ○標」や「プロセス目標」を細分化・階層化したものがバックログとなる。
スプリント

バックログの受入条件を満たすために必要なタスク（監査手続き）一覧。

○ ○ ○ ○ ○スプリント毎に定めたプロダクトバックログに対する監査結果や改善の機会等を記載したレポート。

○ ○ ○ ○ ○バックログ
インクリメント【○×の説明】
３つの役割︓○→その役割の専任者を配置している、×→その役割の専任者を配置していない
５つのイベント︓○→そのイベントを実施している、×→そのイベントを実施していない
３つの作成物︓○→アジャイル用監査用の作成物を作成、×→従来の監査作成物を使用