研究会報告
ＣＩＡフォーラム研究会報告

小規模内部監査部門のリスクアプローチに関するアンケート調査結果
研究会No.ｅ４（小規模内部監査部門のベストプラクティス研究会）

ＣＩＡフォーラムは、ＣＩＡ資格保持者の研鑽及び相互交流を目的に活動する、一般社団法人日本内部監査協会（ＩＩＡ－ＪＡＰＡＮ）の特別研究会である。各研究会は、担当の座長が責任をもって自主的に運営し、研究期間、目標成果を設定し、研究成果を発信している。
当研究報告書は、ＣＩＡフォーラム研究会No.ｅ４が、その活動成果としてとりまとめたものである。報告書に記載された意見やコメントは、当研究会の「見解」であり協会の見解を代表するものではなく、協会がこれを保証・賛成・推奨等するものでもない。

目次
１．はじめに………………………………… 40

４．インタビュー結果の概要……………… 47

２．リスク・ベース・アプローチ（ＲＢＡ）

５．調査の結論……………………………… 48

採用状況…………………………………… 41

６．おわりに～当研究会からの提言～…… 49

３．アンケート調査結果の概要…………… 42

１．はじめにて、さらに深い分析を行うべく2017年春に「小規模内部監査部門のリスクアプローチ手⑴ 調査の目的法」についてアンケート調査を実施した。

ＣＩＡフォーラム研究会No.e4では、小規

2013年に報告した調査では、①リスクアプ模監査部門のベストプラクティスを探るためローチの導入状況および効果、②内部監査でに、過去２回（2010年、2012年）アンケートの指摘事項改善のための方策に着目したが、調査（2010年はインタビュー調査も実施）を小規模内部監査部門のリスクアプローチ導入実施し、その結果を2011年に２回、2013年にの要因、導入に伴う困難さ等については比較１回「月刊監査研究」に発表してきた。

的表面的な状況把握しかできなかった。これ

過去２回のアンケートでは小規模内部監査を踏まえ、今回はアンケート調査項目を絞り部門の実態とその特徴について概要の分析を込み、さらに個別のインタビューを実施する行ったが、今回はそれらの調査結果を踏まえことで実態に迫ることを目的とした。

40

月刊監査研究2018．12（No.541）

研究会報告⑵ 調査の方法～ ３ 人 は57社（40.7%）、 ４ ～ ６ 人 は44社

①アンケートの対象（31.4%）、７人以上は22社（15.7%）であり、日本内部監査協会の会員企業の内部監査部
門にアンケートを送付し、内部監査部門の要員が10人未満の条件に当てはまる140社から２～６人の企業が全体の約72%を占めていた（図１－３）。
内 部 監 査 部 門 の 規 模 別 推 移 に つ い て は、回答を得た。

前回（2012年）の調査結果とはやや異なる②アンケートの実施時期：

が、前々回（2010年）の調査結果である１

2017年３月27日～４月17日

人 監 査 部 門29社（16.4%）、 ２ ～ ３ 人64社（36.2%）、４～６人54社（30.5%）、７人以上⑶ 本調査の回答企業の概要30社（16.9%）とほぼ同様の結果となり、過①組織体規模去の調査と比較し大きな変化はなかった（図回 答 の あ っ た 企 業 等140社 の う ち、 資 本
金10億 円 以 上 ～50億 円 未 満 の 企 業 が49社

１－４）。
＜図１－３＞回答企業の内部監査人数分布（35.0%）、50億円以上の企業が53社（37.9%）
7人以上 1人
16% 11%と多く、両者合わせて102社で全体の約73%を占めているが、10億円未満の企業は38社

2人〜3人
41%

4人〜6人32%（27.1%）と比較的少数であった（図１－１）。
従 業 員 数 で は、300人 未 満 か ら3,000人 以上まで幅広く分布しており、1,000人以上～3,000人未満の企業が37社（26.4%）とやや多いものの、あまり偏りのない分布となっている（図１－２）。

45%
40%

②内部監査部門の規模
回答企業の内部監査部門の人数は、平均4.07人 で あ っ た。 １ 人 は16社（11.4%）、 ２＜図１－１＞回答企業の資本金分布
会社以外1%＜図１－４＞内部監査門規模別推移

3億円未満
12%

5億円以
上〜10億円未満
8%

10億円以上〜50億円未満
35%

30%

▲

●25%

▲

■

20%
15%

▲

■
◆■

◆◆

◆

1人

●

2人〜3人

▲

4人〜6人

■

7人以上

5%
0%

第１回
第２回
第３回
（2010年） （2012年） （2017年）

２． リスク・ベース・アプローチ（以下、ＲＢＡという）採用状況⑴ 組織体規模別採用状況＜図１－２＞回答企業の従員数分布
3,000人以上 300人未満
19%
17%

35%

10%

3億円以上〜5億円未満
6%50億円以上38%●●300人以上〜500人未満15%

回答のあった企業等140社のうち、約半数（51.4%）の72社がＲＢＡを採用していた。

①資本金ベース

1,000人以上〜
3,000人未満 500人以上〜
27%
1,000人未満
22%

会社規模を資本金により５つの区分に分類し、ＲＢＡ採用状況を調査したところ、図２－１に示したとおり、会社規模とＲＢＡ採用

月刊監査研究2018．12（No.541）

41

研究会報告との間に相関関係は認められなかった。

②従業員数ベース

比較的人数の多い７人以上の区分では、図２－４に示したとおり、前回（2012年）の会社規模を従業員数により５つの区分に分58.7%からさらに採用比率が高まり77.3%とな類し、ＲＢＡ採用状況を調査したところ、図っており、ＲＢＡの採用が進んでいることが２－２に示したとおり、組織体規模とＲＢＡ見てとれる。

採用との間に相関関係は認められなかった。

※注： 今回（2017年）、前回（2012年）はＲＢＡ「採用」「未採用」「検討中」と⑵ 内部監査部門規模別採用状況

い う 分 類 で ア ン ケ ー ト を と っ た が、

内部監査部門規模を内部監査部門人数（部

前々回（2011年）は「採用」「併用」「未門長＋内部監査人）により４つの区分に分類採用」という分類でアンケートをとっし、ＲＢＡ採用状況を調査したところ、図２ていた。

－３に示したとおり、内部監査部門人数が多い組織ではＲＢＡを採用しているところが多いという傾向が認められた。
＜図２−１＞規模別（資本金ベース）ＲＢＡ採用状況（採用・未採用・検討中）
資本金

組織体数

3億円未満

16

3億円以上
5億円未満

95億円以上
10億円未満1110億円以上50億円未満4950億円以上

53

会社以外
（※）

2

合計

140

リスク・ベース・アプローチ
採用
未採用
検討中
（割合）
（割合）
（割合）
10
2
462.5%
12.5%
25.0%
44
1
44.4%
44.4%
11.1%
63
254.5%
27.3%
18.2%
221314
44.9%
26.5%
28.6%
29
18
6
54.7%
34.0%
11.3%
10150.0%
0.0%
50.0%
7240
2851.4%
28.6%
20.0%

（※）学校法人および社会福祉法人＜図２−２＞規模別（従業員数ベース）ＲＢＡ
採用状況（採用・未採用・検討中）

42

従業員数

組織
体数300人未満

24

300人以上500人未満21500人以上1,000人未満

31

1,000人以上
3,000人未満

37

3,000人以上

27

合計

140

リスク・ベース・アプローチ
採用
未採用
検討中
（割合）
（割合）
（割合）
10
10
4
41.7%
41.7%
16.7%
98
4
42.9%
38.1%
19.0%
19
5
7
61.3%
16.1%
22.6%
14
13
10
37.8%
35.1%
27.0%
20
4
3
74.1%
14.8%
11.1%
72
40
28
51.4%
28.6%
20.0%

月刊監査研究＜図２−３＞規模別（内部監査人数ベース）Ｒ
ＢＡ採用状況（採用・未採用・検討中）
内部監査部門人数（部門長＋内部監査人）

組織
体数

1人

162人～3人

57

4人～6人

44

7人以上

22

不明、その他

1合計

140

リスク・ベース・アプローチ
採用
未採用
検討中
（割合）
（割合）
（割合）
10
2
4
62.5%
12.5%
25.0%
25
20
12
43.9%
35.1%
21.1%
19
14
11
43.2%
31.8%
25.0%
17
4
177.3%
18.2%
4.5%
10
0
100.0%
0.0%
0.0%
72
40
28
51.4%
28.6%
20.0%

＜図 ２−４＞規模別（内部監査人数ベース）
ＲＢＡ採用推移
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%

1人
2人〜3人
4人〜6人
7人以上

第2回
（2012年）

第3回（2017年）

３．アンケート調査結果の概要
回答のあった企業等140社のうち、約半数（51.4%）を占めるＲＢＡ採用企業のアンケー
ト結果は次のとおりである。

2018．12（No.541）

研究会報告⑴ ＲＢＡ採用企業

政治・経済情勢の変化や新たな取引規制など①リスク評価により損失を被るリスク）」（18.1%）というａ．リスク抽出方法

回答は少なかった。

リスクをどのように抽出し、評価している

ｄ．リスク評価方法

かについては、「前回監査・外部監査等の評リスクの定量的評価については、「定量的価結果、是正状況」（69.4%）、「対象組織の規なリスクと定性的なリスクを分類して評価」

模・重要度（売上高、資産高、従業員数、等）」（59.1%）を挙げる回答が多く、「すべてのリ（65.3%）、「不祥事やコンプライアンス／法令スクを定性的に評価」（30.3%）とする回答も逸脱事象の発生状況」（55.6%）によりリスあったが、「すべてのリスクを定量的に評価」

クを抽出しているとする回答が多かった。一（10.6%）とする回答は少なかった。

方、「ＩＣＴを活用した日常的、継続的、網羅ｅ．リスクの定量化方法

的モニタリングが提起するアラートを評価」

リスクの定量化方法については、「金銭的・（4.2%）してリスクを抽出しているとする回

非金銭的影響を組み合わせて影響度を把握す

答はごく少数であった。

る」（47.6%）と、「定量化せずに、判断してｂ．リスク評価の実施部門いる」（33.3%）とする回答が多く、「金銭的損

年度計画作成時のリスク評価については、失の大きさにより影響度を把握する」（7.9%）

約79%の企業が監査部門で実施していた。
「リとする回答は少なかった。

スク管理部門の評価結果を利用している」

ｆ．リスクの絞り込み方法（33.3%）とする回答は、「リスク管理部門のリスクの絞り込み方法については、「定性的評価を利用していない」（5.6%）を大幅に上評価で絞り込む」（32.3%）、「影響度と発生頻回っており、リスク管理部門がリスク評価を度でリスクマップを作成し、許容限度を特定行っている場合には、その評価結果を活用しする」（27.7%）、「金銭的・非金銭的影響を組ていることが認められた。

み合わせた影響度で絞り込む」（26.2%）を挙ｃ．リスク領域げる回答が１／３程度あったが、その他は少現在使用しているリスク領域として「法的リスク（法規制などに反するリスク（過失、数であった。
ｇ．年度計画作成時のリスク評価時間故意の両方を含む））」（77.8%）、「オペレーシ

年度計画作成時のリスク評価時間についてョナルリスク」（69.4%）、「不正リスク（会社は、「30時間超」（35.0%）、「10時間超30時間資産の横領や詐欺などの不正によって損失を以下」（31.7%）を挙げる回答が多く、次いで被るリスク）」（59.7%）を挙げる回答が半数「５時間超10時間以下」（20.0%）であったが、以上であり、次いで「ＩＴリスク（システム「５時間以下」（1.7%）とする回答は極めて少開発の目的が達成されないリスクやシステム数であった。

障害などのリスク）」（44.4%）を挙げる回答②ＲＢＡが多かった。

ａ．リスク評価結果の内部監査実施スコープ

一方、「戦略リスク（戦略目標が達成されなへの反映いリスク）」（25.0%）、「事業リスク（事業がリスク評価結果の内部監査実施スコープ失敗するリスク）」（27.8%）、「レピュテーシへの反映については、「拠点監査の実施項目ョナルリスク（マスコミ報道、評判・風説・決定」（52.8%）、「特定テーマによる関連部門

風 評 な ど に よ り 評 判 を 下 げ る リ ス ク ）」 はへのテーマ監査の実施」（50.0%）、「年次計（25.0%）、「カントリーリスク（海外における画の監査実施順序を決める参考にしている」

月刊監査研究2018．12（No.541）

43

研究会報告（40.3%）、「拠点監査の実施順序、頻度の決定」「リスクの評価が難しかった」（54.2%）、「リ（34.7%）を挙げる回答が多く、リスク評価結スクの範囲の確定」（43.1%）を挙げる回答が果を監査テーマ、監査実施項目の選定および多く、リスク評価および監査対象とすべきリ監査対象部署の選定に活用していることが見スク範囲について苦労していることが見てとてとれる（図３－１）。

れる（図３－２）。

ｂ．ＲＢＡ監査導入における困難ｃ．ＲＢＡ監査の導入効果
ＲＢＡ監査の導入効果については、「監査ＲＢＡ監査導入過程での困難については、＜図３−１＞リスク評価結果の内部監査実施スコープへの反映

資源の効率的な配分が で き た 」（36.1%）、

全面的なプロセス監査の実施「内部統制の手薄なと特定対象部署へのフルスコープの拠点監査の実施ころが明確になった」

特定テーマによる関連部門へのテーマ監査の実施（34.7%）、「 監 査 資 源

拠点監査の実施項目決定

配分の濃淡の判断根

拠点監査の実施順序、頻度の決定

拠（ ト ッ プ へ の 説 明

統制リスクの高い拠点・領域監査資源配分を厚くし、低リスクの拠点・領域への監査資源の配分を薄くする
高リスク業務・機能に関して内部監査員の教育を実施するに際して）となった」（30.6%）、「早急に対処年次計画の監査実施順序を決める参考にしている

すべき重大な課題が発表面的なリスク評価に終わっている見できた」（27.8%）を

その他（自由回答）
0%

挙げる回答が多く、監
10%

20%

30%

40%50%

60%＜図３−２＞ＲＢＡ監査導入過程での困難スクの高い項目の抽出に効果があったことがリスクの評価が難しかった

見 て と れ る（ 図 ３ －リスク評価の結果を役員に説得するのが難しかった３）。

リスクの範囲の確定

ｄ． ＲＢＡ監査のデメ監査対象でない部門での不祥事等課題の出現

リット、反省事項

特に困難はなかった

ＲＢＡ監査の実施に

その他（自由回答）
0%

おけるデメリット、反
10%

20%

30%

40%

50%

60%

＜図３−３＞ＲＢＡ監査の導入効果

省事項については、「特にデメリットはなかった 」（31.9%） と す る

これまで気がつかなかった領域の監査を実施し、トラブル発生を未然防止できた。

回答が約１／３あっ内部統制の手薄なところが明確になったた。 一 方、「 リ ス ク 評

監査資源配分の濃淡の判断根拠（トップへの説明に際して）となった

価が表面的であったた

早急に対処すべき重大な課題が発見できた

め、監査に参考になる

監査資源の効率的な配分ができた

結果が得られなかっ教育実施により、内部監査員の力量が向上したた」（27.8%）、「リスク特に効果はなかった

評価が不適切であったため、本来は重大なリ

その他（自由回答）
0% 5% 10% 15% 20% 25% 30% 35% 40%

44

査資源の配分およびリ

月刊監査研究2018．12（No.541）

スクのある部署や領域

研究会報告の監査ができなかった」（5.6%）とする回答

る」（83.1%）とする回答が大半を占めた。一が一定数あり、ＲＢＡ監査の成否はリスク評

方「内部監査に適さないと考えられる領域が価の内容が適切かどうかにかかっていることある」（16.9%）とする回答があり、コメントを示している（図３－４）。

として経営判断に関わる領域を挙げるものがｅ．ＲＢＡ監査導入結果の満足度比較的多かった。

ＲＢＡ監査の導入結果の満足度について⑵ ＲＢＡ不採用企業

は、「予想通りであった」（87.9%）とする回答が大半であった。

回 答 の あ っ た 企 業 等140社 の う ち、40社

ｆ．ＲＢＡ監査の継続実施（28.6%）のＲＢＡ不採用企業のアンケート結

今後もＲＢＡ監査の実施を継続するかにつ果は以下のとおりである。

いては、「継続して実施する」（90.2%）とす①ＲＢＡ不採用る回答が大半であった。

ａ．不採用理由

ｇ．ＲＢＡ監査に関する今後の修正点

ＲＢＡを採用していない理由について

ＲＢＡ監査に関する今後の修正点について

は、「メリットはあるが、実施の負荷が高い」

は、「リスク評価の方法改善」（51.4%）、「担当（37.5%）、「実施の負荷に比べてメリットが少者の知識、経験の向上」（40.3%）、「全社的なない」（15.0%）と「実施の負荷」を理由に挙リスク管理との連動性」（37.5%）を挙げる回げる回答が過半数の52.5%（その他（自由回答が多く、リスク評価の態勢、能力に課題が答）を除くと60.0%）を占め、「実施の負荷」あることが見てとれる（図３－５）。

が採用の障害と認識されていることが見てと③その他れる。一方、「自社の高リスク領域はわかっａ．監査の聖域ている」（15.0%）とする回答も一定数あった（図３－６）。

監査領域に聖域を設けているかについて

ｂ．内部監査年次計画策定方法

は、「すべての部門、業務領域を対象としてい＜図３−４＞ＲＢＡ監査のデメリット、反省事項

ＲＢＡ不採用企業では、内部監査年次計画監査を実施しなかった部署や領域で不祥事・トラブルが発生していた（監査後に発生した）リスク評価に時間がかかりすぎて、内部監査の実行が手薄になった（本末転倒）
リスク評価が不適切であったため、本来は重大なリスクのある部署や領域の監査ができなかった
リスク評価が表面的であったため、監査に参考になる結果が得られなかった策定方法として、「全社の部署を順次実施（１年 ま た は 複 数 年 で ）」（72.5%）とする回答が特にデメリットはなかった

多 か っ た。「 ト ッ プ 要その他
（自由回答）
0%

請に基づいて対象部署
5%10% 15% 20% 25% 30% 35%＜図３−５＞ＲＢＡ監査に関する今後の修正
点
リスク評価の方法改善
全社的なリスク管理との連動性
担当者の知識、経験の向上

やテーマを選定、また＜図３−６＞ＲＢＡ不採用理由
その他（自由回答）
13%

実施の負荷に比べてメリットが少ない
15%

メリットはあるが、実施の負荷が高い 採用を考えた
37%
ことがない
20%

検討していない

自社の高リスク領域はわかっている
15%

0% 10% 20% 30% 40% 50% 60%

月刊監査研究2018．12（No.541）

45

研究会報告は監査資源を重点配分する」（17.5%）とする回答も一定数あった。

⑶ ＲＢＡ検討中企業
回 答 の あ っ た 企 業 等140社 の う ち、28社

ｃ．個別内部監査計画策定方法（20.0%）のＲＢＡ検討中企業のアンケート結

個別内部監査計画策定方法として、「すべて果は以下のとおりであった。の部署に同じ内容で実施」（27.5%）より、「業①ＲＢＡ不採用（検討中）

務機能別の監査項目を対象部署に合わせて選ａ．不採用（検討中）理由定し、組合せる」（65.0%）とする回答が多く、ＲＢＡを採用していない理由については、対象部署の業務特性を意識している傾向が認

有効回答のうち、「メリットはあるが、実施のめられた。

負荷が高い」（47.4%）との回答が多く、「自ｄ．ＲＢＡ導入予定

社の高リスク領域はわかっている」（21.1%）

今後ＲＢＡを導入する予定があるかについては、「導入の予定はない」（87.5%）とする回答が大半であり、ＲＢＡは導入に値しないとする回答もあった（図３－７）。
ｂ．内部監査年次計画策定方法
内部監査年次計画策定方法については、「全と評価していることが見てとれる。

社の部署を順次実施（１年または複数年で）」②その他（50.0%）とする回答が半数であり、「トップＲＢＡ不採用グループであったが、以下の要請に基づいて対象部署やテーマを選定、まようにリスク評価に関する回答が寄せられた。

たは監査資源を重点配分する」（17.9%）とす

ａ．リスク評価についてる回答は少なかった。

・表面的なリスク評価に終わっている。

ｃ．個別内部監査計画策定方法
個別内部監査計画はどのように作成してい（25.0%）
・リスク評価が難しかった。
（17.5%）

るかについては、「業務機能別の監査項目を対・リスク範囲の確定が難しかった。（10.0%）

象部署に合わせて選定し、組合せる」（71.4%）

・リスク評価が表面的であったため、監査にとする回答が多く、対象部署の業務特性を意参考になる結果が得られなかった。
（10.0%）

識している傾向が認められた。
ｄ．ＲＢＡ導入予定

ｂ．今後の修正点について・全社的なリスク管理との連動性。（12.5%）

今後ＲＢＡを導入する予定があるかについ・担当者の知識、経験の向上。（12.5%）ては、「導入を予定している」（60.7%）とす

c．年度計画作成時のリスク評価時間る回答が過半数であり、リスク・ベース・ア

有効回答自体が全体のわずか40%（16社）

プローチの導入を前向きに検討している傾向

であり、有効回答のうち、「５時間超10時間以が認められる。

下」（37.5%）、「５時間以下」（31.3%）を挙げ＜図３−７＞ＲＢＡ不採用（検討中）理由る回答が多く、次いで「10時間超30時間以下」（12.5%）であり、「30時間超」（6.3%）とする

自社の高リスク領域はわかっている
21%

回答は少なかった。

メリットはあるが、実施の負荷が高い
47%

また、「10時間以下」とする回答13社のうち内部監査部門人数３人以下の小規模監査部

その他（自由回答）
26%

メリットがわからない
5%

門が10社を占めており、小規模監査部門ほどリスク評価に掛ける時間が少ないといった傾向が見てとれる。

②その他
ＲＢＡ検討中グループからは、次のようにリスク評価に関する回答が寄せられた。

46

月刊監査研究2018．12（No.541）

研究会報告ａ．リスク評価について・監査部門が減員となり、検討未実施。

・リスク評価が難しかった。（35.7%）以上より、ＲＢＡ導入に当たっては、経営・リスク範囲の確定が難しかった。（25.0%）の理解・支援が大きなファクターとなってい・リスク評価が表面的であったため、監査にることがわかった。

参考になる結果が得られなかった。（21.4%）
ｂ．今後の修正点について⑵

・リスク評価の方法改善。（32.1%）①ＲＢＡ採用企業・全社的なリスク管理との連動性。（28.6%）

リスク評価

リスク評価方法について、採用企業各社か・担当者の知識、経験の向上。（28.6%）

らは以下のような説明があった。

ｃ．年度計画作成時のリスク評価時間・影響度と発生可能性でリスクヒートマップ「30時間超」（47.1%）、「５時間超10時間以を作成し、リスクを数値化している。

下」（35.3%）を挙げる回答が多く、次いで「10・リスクの数値化に当たっては、リスク項目時間超30時間以下」（11.8%）であったが、「５の重要性に応じてウェイト付けを行ってい時間以下」（5.9%）とする回答は少数であっる。

た。

・リスクを金額換算することは難しい。
・リスク評価項目を定め、アンケート調査を

４．インタビュー結果の概要
より実態を詳しく把握するために、回答のあった企業等140社の中から、ＲＢＡ採用企業５社、不採用企業３社、検討中企業２社に行っている。
・部門長の交代もリスクとして捉えている。
・長期間監査を実施していないこともリスクとして捉えている。

②ＲＢＡ不採用・検討中企業

インタビューを実施し、各社のＲＢＡ導入のリスク評価方法について、不採用・検討中

経緯、リスク評価、監査対象部署・テーマの企業各社からは以下のような説明があった。

選定、ＲＢＡ導入の効果、ＲＢＡ実施上の課・リスク評価などしなくても、どの部署、ど題について伺った。の業務のリスクが高いかは把握している。
・ＲＢＡは難易度が高い。

⑴ ＲＢＡ導入の経緯・検討状況①ＲＢＡ採用企業

以上より、ＲＢＡ採用企業では、一般的に、影響度と発生可能性でリスクを数値化あるい導入の経緯・きっかけについて、採用企業各社からは以下のような説明があった。

は分類化（大中小）していることがわかった。
一方、ＲＢＡ不採用企業ではＲＢＡはハー・経営（親会社）からの要請。

ドルが高いと感じている姿が浮き彫りになっ・監査法人からの提案。

た。

・部門監査が一巡したこと。
・リスクベース業務運営という社風。

⑶ 監査対象部署・テーマの選定②ＲＢＡ不採用・検討中企業①ＲＢＡ採用企業

導入の検討状況について、不採用・検討中

監査対象部署・テーマの選定について、Ｒ企業各社からは以下のような説明があった。

ＢＡ採用企業各社からは以下のような説明が・経営の支援があり、導入準備中。

あった。

・親会社からの推奨があり、導入準備中。

・リスク評価結果（評点、分類）を参考に監・経営の理解がなく、導入を見送り。

月刊監査研究査優先度を判定している。

2018．12（No.541）

47

研究会報告・監査優先度の判定に当たっては、経営陣の以上より、ＲＢＡ採用企業、導入準備中の企業では、監査対象部署・テーマの選定、監リスク認識にも留意している。

②ＲＢＡ不採用・検討中企業

査実施項目の選定および経営への説明責任に監査対象部署・テーマの選定について、不ＲＢＡ導入の主たる効果を認識している他、採用・検討中企業各社からは以下のような説付随的な効果も認識していることがわかった。
一方、ＲＢＡ不採用企業では、効果を云々明があった。
・どの部署、どの業務のリスクが高いかは監査部門で把握しており、それに基づいて監する以前の問題としてＲＢＡはハードルが高いと感じていることがわかった。

査対象部署を選定している。

⑸ ＲＢＡ実施上の課題・全部署を年１回監査している。
以上より、ＲＢＡ採用企業では、リスク評
価結果および経営陣のリスク認識に基づき監①ＲＢＡ採用企業
ＲＢＡ実施上の課題について、採用企業各査対象部署・テーマの選定を行っていること

社からは以下のような説明があった。

がわかった。

・リスクの数値化が難しい。

一方、ＲＢＡ不採用・検討中企業では、全・評点化した数値そのままで監査の優先順位部署を毎年または一定のサイクルで監査す付けをするのではなく、参考値として使用る、あるいは、監査部門・経営のリスク認識している。に基づいて監査対象部署を選定している実態が見てとれる。

・内部監査計画を立案する上で、負荷が増加した（リスク評価の負荷が大きい）。
・ＲＢＡを行うには監査人の知識・スキルの⑷ ＲＢＡ導入の効果向上が必要。

①ＲＢＡ採用企業②ＲＢＡ不採用・検討中企業

ＲＢＡ導入の効果について、採用企業各社

ＲＢＡ実施上の課題について、不採用・検からは以下のような説明があった。

討中企業各社からは以下のような説明があっ・監査対象部署・テーマの選定がしやすくなた。

った。

・ＲＢＡは作業負荷がかかる。

・監査の着眼点・ポイントが明確になった。

・担当者の知識不足、スキル不足。

・監査計画について役員等に説明しやすくな

・ＲＢＡはハードルが高い。

った（説明責任）。

・ＲＢＡ以前の問題として、内部監査自体に・経営と具体的に意見交換ができる。

経営の理解が得られていない。

・部下指導に活用できる（教育効果）。
・監査対象部署のリスク管理意識が向上した。

②ＲＢＡ不採用・検討中企業
ＲＢＡ導入の効果について、不採用・検討

５．調査の結論⑴ ＲＢＡ監査とは何か

中企業各社からは以下のような説明があった。

ＲＢＡ監査とは、「リスクに注目しリスクの・導入準備中の企業では、監査対象部署・テ大きな領域に焦点を当てて監査を実施する手ーマの選定、説明責任などの効果を想定し法である。内部監査では、内部監査人の人数、ている。

監査日程、予算の制約があり、すべての部門・不採用企業では、効果について特に検討していない。
48

または業務を対象に監査を実施することは困難である。そこで、内部監査を有効かつ効率

月刊監査研究2018．12（No.541）

研究会報告的に実施するために、リスクの大きな領域（部対象を決定していることがわかった。

門・業務など）から順番に、監査を実施するという考え方である。」（島田裕次『内部監査入門』翔泳社、2008年、p.148）⑷ ＲＢＡの採用状況
アンケート結果としての内部監査部門規模

要は、リスク評価に基づいて内部監査の優別ＲＢＡ採用状況を見ると、内部監査部門人先順位付けを行い、限られた資源でリスクの数が７～10人の企業では22社中17社（77.3%）

大きな領域に焦点を当てて効率的に監査を実がＲＢＡを採用しており、全体平均の51.4%施することである。アンケートおよびインタを大きく上回っており、内部監査部門の規模ビュー結果からは、一部の例外を除いて、多が比較的大きな企業はＲＢＡの採用が進んでくの企業がＲＢＡについて同様の理解をしていることがわかる。

いることがわかった。

一方、内部監査部門人数が６人以下の企業
ではＲＢＡを採用していないと回答している⑵ ＲＢＡの目的・（期待）効果

ところが多い。影響度と発生可能性を用いてＲＢＡ導入の目的・（期待）効果は、リスクヒートマップを作成し、リスク評価すａ．監査対象部署・テーマの選定、る「一般的なリスク評価手法」は作業負荷がｂ．監査実施項目の選定、および大きく、担当者の知識・スキルが必要なこと

ｃ．監査計画について経営への説明責任をから、導入のハードルが高いと考えていることが伺われる。「一般的なリスク評価手法」

果たすこと、であると多くの企業で考えていることが、アはあくまでリスク評価の方法論の一つであるンケートおよびインタビユー結果からわかっが、この方法論を採っていないとＲＢＡを採た。

用しているとは言えないと考えている企業がかなり程度存在する可能性があり、このため⑶ ＲＢＡの方法論（リスク評価の方法論）にＲＢＡを採用していないとする回答が多くなっているものと考えられる。

リスク評価の方法論としては、一般的に、影響度と発生可能性でリスクヒートマップを作成し、リスクを評点化または分類化（大中小分類）することが行われており、日本内部

６．おわりに～当研究会からの提言～

監査協会の「内部監査人のためのリスク評価

ＲＢＡとは、リスク評価に基づいて内部監ガイド」でもこのような方法論が紹介されて査の優先順位付けを行い、限られた資源でリいる。

スクの大きな領域に焦点を当てて効率的に監ＲＢＡ採用企業へのインタビューでも、リ査を実施することであり、大規模な内部監査スク評価の方法論としては、上記の「一般的部門のみならず、小規模な内部監査部門こそなリスク評価手法」を採用している企業がほ導入の必要性が高いと考えられる。

とんどであった。但し、リスクを評点化・分それではどのようにすれば、小規模内部監類化している企業でも、リスク評価結果のみ査部門が作業負荷を掛けずに、効果的なＲＢに依拠して監査対象部署・テーマの選定、内Ａを実施できるのか。小さな負荷で自社のリ部監査の優先順位付けを行っているところはスク分野を概括的に評価する手法の開発が求なく、リスク評価結果をベースにしつつも、められる。

経営のリスク認識等他の要素を加味して監査

月刊監査研究当研究会は、各社が「一般的なリスク評価

2018．12（No.541）

49

研究会報告＜表６−１＞簡易リスク評価方法（小規模内部監査部門用）方法」に拘らずに、自社でリスクが大きいと考える評価項目を選定し、評価する方法を推奨する。

評価項目（例）

業種、組織規模、組織構造、経営者のリス長期間監査を実施していないク認識等、各企業ではそれぞれ異なる。各社

規程・ルールが存在しないルールが周知されていないの実状に応じて評価項目を設定することが重組織改編があった要である。例えば、自社にあったリスク評価部門長が交代した項目を10項目程度選定し、これらの項目にどキーマンが他部門へ異動となった

れくらい当てはまるかでリスク評価を行うの苦情が多いであれば、比較的容易にＲＢＡが実施できる残業が異常に多いであろう。評価項目としては、＜表６−１＞

交際費使用額が異常に多いのような項目が考えられる。

事務ミスが多発している

右項目はあくまで例示である。
模内部監査部門のＲＢＡ導入に少しでもお役提案した「簡易リスク評価方法」が作業負に立てれば幸いである。

荷を掛けずに実施できるリスク評価方法として小規模内部監査部門に受け入れられ、小規＜ＣＩＡフォーラム研究会No.ｅ４（小規模内部監査部門のベストプラクティス研究会）メンバー＞
（順不同・敬称略）

役割

氏名

所属座長

田原中男

ＢＭＤリサーチコーディネーター

島田裕次

東洋大学

メンバー

東端清正

東京国際貿易株式会社

山東直大

かんぽシステムソリューションズ株式会社

吉田友愉

株式会社エイビット中西伸行

レオス・キャピタルワークス株式会社

山中良文

ＪＦＥシステムズ株式会社

綿貫雅子

味の素ＡＧＦ株式会社

環境・ＣＳＲ部

東信昭

富士屋ホテル株式会社

監査室

西田宏一

ＳＯＭＰＯシステムズ株式会社

中村俊幸

日本紙パルプ商事株式会社

田中信一

デクセリアルズ株式会社

中一次

ＳＯＭＰＯリスケアマネジメント株式会社

50

総合情報学部総合情報学科

教授

総務部
内部監査部

総務部
内部監査室

内部監査室
企画推進グループ

業務監査部

内部監査室
内部監査部

内部監査課
内部監査部

（メンバーの氏名・所属先は、2018年７月31日現在）

月刊監査研究2018．12（No.541）