リスク評価手法の内部監査での 25 の活用事例～内部監査での活用方法・改善提言のための確認事項～

一般社団法人 日本内部監査協会
ＣＩＡフォーラム No.a3 ＥＲＭ研究会（第９期）
２０１６年１１月「ＣＩＡフォーラム」は、ＣＩＡ資格保持者の研鑽及び相互交流を目的に活動する、一般社団法人日本内部監査協会の組織上の研究会の一つです。各Ｃ
ＩＡフォーラム研究会は、担当の座長が責任をもって自主的に運営し、研究期間、目標成果を設定し、研究成果を発信しています。
本報告書は、本研究会（CIA フォーラム No.3a ERM 研究会）が、その活動成果として取りまとめたものです。本報告書に記載された事例は、全て本研究会メンバーが会合・合宿等で合議して作成したものであり、研究会メンバーが所属する個別企業等の事例ではありません。報告書に記載された意見・コメ
ント・その他の記載も同様に、全て本研究会としての見解であり、メンバー、およびメンバーが属する組織の見解ではありません。また、協会の見解を代表するものではありません。

1

目
Ⅰ．はじめに次··································································································

Ⅱ．報告書作成の過程で得られた知見

３·············································································

８

１．リスク評価全般に関する普遍的な知見 ·······················································································
２．リスク評価の事例の 6 つの類型 ·····························································································

８９

Ⅲ．内部監査での活用事例（合計 25 項目） ······································································

１１

１．リスク評価のノウハウ（計 15 項目） ············································································（１）重要度の算定手法（4 項目） ··············································································（２）評価での留意点（5 項目） ··············································································（３）内部監査での活用（5 項目） ··············································································（４）その他（金融機関の場合） （1 項目） ··············································································
２．問題のある事例（8 項目） ···························································································
３．良好な事例（2 項目） ···························································································

１１
１１
２５
３１
３５
３７
４３

参考文献

····································································································

2

４６

Ⅰ．はじめに１．リスク評価の重要性と課題（１）有効なリスク評価
・リスクを抽出し、リスク対応の優先順位付けを行なうことは、リスクマネジメントの基本です。
・リスク対応について、限られたリソース（人員・時間・予算等）を、どのリスクにどの程度投入すべきかの判断が、実務上は常に問題になります。
・リスクを把握し、対応の優先順位付けをし、重点的にリソースを投入すべきリスク、ある程度のリソース投入で十分なリスク、リソース投入が不要なリスク等の区分をつけて、一律ではなくメリハリの効いたリソース投入を行うことが、有効かつ効率的なリスクマネジメントにつながります。

（２）課 題・リスク評価は、対応するリスクを優先順位付けして絞り込むためのリスクアプローチの手法として全社的リスクマネジメント（ＥＲＭ）の主要な構成要素であると共に、内部監査でリスクアプローチの手法を用いて監査対象を絞り込むための前提です。そのため、リスク評価の手法は、リスクマ
ネジメント、内部監査の双方にとって重要です。
・しかしながら、リスク評価の手法は様々な報告書や書籍で詳細に紹介されていますが、内部監査の実務で活用しようとする場合には、なかなかフィ
ットしたものが見つけにくいのが現状です。その理由の一つは、記載が抽象的であり、イメージが掴みにくいことがあると我々は考えました。
・そこで、本研究会ではリスク評価手法の内部監査への活用方法やリスクアプローチへの活用をはじめとする具体的な内部監査への活用事例を研究しました。
・作成に当たっては、最初にリスク評価の手法に関する最新の考え方を示したＣＯＳＯの「リスク評価の実務 Risk Assessment in Practice」（2012年）を輪読し、リスク評価の基本的な手法の習得に努めました。

２．本報告書の目的と特徴①本報告書の目的は、リスク評価を内部監査に活用するための手法を提示することです。そのため、リスク評価の活用事例として、リスク評価の具体的なノウハウ、問題のある事例、および良好な事例について、25 の「具体的事例」を紹介すると共に、「内部監査での活用方法／確認事項／改善提言」を示しました。
②リスクの評価基準として、「顕在化に至る速度」と「対応策の有効性」を取り上げ、適用事例を紹介しました。
③被監査部門の内部統制、リスクマネジメント、さらには全社的リスクマネジメント（ＥＲＭ）を評価し、改善提言するという内部監査の実務に活用できるように努めました。

３．使用上の注意①本報告書は、前述の通りリスク評価を内部監査に活用するための 1 つの手法を提示したものであり、評価方法を網羅的に紹介するものではありません。あくまでも、多々ある手法の事例の 1 つとして参照願います。

3

②本報告書の記載内容に関する責任は、全て本研究会にあることにご留意願います。
③本報告書に記載した事項の全てを満たす必要はなく、自社で活用できる項目から活用し、自社の現在のリスクマネジメントやＥＲＭの状況を出発点
として、高度化していくことが大切です。

4４．研究会メンバー
No.
１
２
３
４
５
６
７
８
９
１０
１１
１２
１３
１４
１５
１６
１７
１８
１９
２０
２１
２２
２３
２４

氏名
吉野 太郎
野口 正文
藤枝 繁
坂井 香苗
紀谷 倫有
宮内 隆行
村井 直樹
吉岡 靖之
真柳 元
丹羽 珠希
有村 祥一
小堀 真
伊藤 裕美子
樫原 忠
宇田 文顕
斉藤 千春
田中 宏
大島 誠
石井 学
今井 俊雅
省略
和田 有弘
鈴木 均
成繁 新治

（ＣＩＡフォーラム
会社名等

東京ガス（株）損害保険ジャパン日本興亜（株）
みずほ情報総研（株）
NEC マネジメントパートナー（株）
個人会員
住友化学（株）個人会員
個人会員
ジャパンベストレスキューシステム（株）（株）三井住友銀行（株）日本政策投資銀行(株)大和総研
ＮＥＣネッツエスアイ（株）
キリンホールディングス（株）
ＳＣＳＫ（株）オザックス㈱大正製薬(株)
第一屋製パン（株）
ＫＤＤＩ（株）
個人会員
省略
出光興産（株）
オリンパス（株）
楽天（株)Ｎｏ.a3 ＥＲＭ研究会（第９期））
所属・役職
リビング企画部ライフパル監査役チーム・担当副部長
監査役室・主査
業務監査部システム監査室・参事役
リスクアドバイザリー事業部 内部監査サービス第二部・監査マネージャー
内部統制・監査部・主席部員
私立大学事務局職員
監査役室長
常勤監査役
監査部・上席考査役
監査部・参事・内部監査担当
内部監査部・次長
経営監査部・担当課長
グループ経営監査担当・主査
リスク管理部リスク管理課・課長
監査室副室長監査部・参事常勤監査役
リスクマネジメント本部・課長補佐
省略
内部監査室・室長付
内部統制統括部・内部統制企画担当部長
内部監査部・課長5５．本研究会の活動の経緯
本研究会は 2004 年 4 月から活動を開始し、９期にわたり、全社的リスクマネジメント（ＥＲＭ）を内部監査に活用する手法を研究し、内部監査の質的向上に微力ながらも貢献していきたいとの思いで活動を続けてきました。その間の研究成果とその概要は以下のとおりです。
活動期間
研究成果（報告書）
概要
第１期
ＥＲＭについて理解を促進するためのＦＡＱ。
2004 年 4 月
ＥＲＭのよくある質問集（ＦＡＱ）～2005 年 2 月
第２期
ＥＲＭの８つの構成要素が有効に機能しているかど
使えるＥＲＭ（全社的リスクマネジメント）導入チェックポイント集
2005 年 4 月
うかのチェックポイントと、その具体的な事例。
～ 一目でわかるＥＲＭと内部統制の基本的要素の具体例 ～～2006 年 3 月
第３期
ＥＲＭ実施体制構築の要件と、その具体的事例、お2006 年 4 月
ＥＲＭ実施体制を構築するために必要な１０の要件
よび中小企業であっても行うべきＥＲＭの最低要～2007 年 4 月
件。
第４期
法対応の内部統制から価値創造のＥＲＭ（全社的リスクマネジメント）へ 内部統制法制化への対応で得られた成果のＥＲＭ実2007 年 5 月～ 会社法と金融商品取引法対応の内部統制を活かしたＥＲＭづくり 施体制構築への活用。
～2008 年 7 月への提言 ～
第５期Ａ分科会
ＥＲＭ的な視点を取り入れた内部監査の手法
内部監査にＥＲＭ的な視点を取り入れ、内部監査の2008 年 10 月
～ ＥＲＭの視点を活用して、企業目標の達成に寄与し付加価値を提供 質を高め、企業目標の達成に寄与するための手法･ノ～2010 年 1 月する内部監査を行うためのノウハウ ～ウハウ。
第５期Ｂ分科会
格付会社が公表している情報を参考に我が国の一般格付会社のＥＲＭ確認項目を用いた事業会社向けＥＲＭチェックリスト
2008 年 10 月
事業会社を対象としたＥＲＭの取組状況を確認する～ 事業会社の目線に立った格付会社のＥＲＭ確認項目の読替と解説～～2010 年 1 月
ための項目についての解説。
第６期「ＣＯＳＯ内部統制モニタリングガイダンス」の手「ＣＯＳＯ 内部統制モニタリングガイダンス」に基づいた2010 年 4 月
法や考え方を反映させたＥＲＭのモニタリング事例
ＥＲＭモニタリング事例集～2012 年 6 月
集。
「リスク選好・リスク許容度」、「主要リスク指標」、
全社的リスクマネジメント（ＥＲＭ）を活用した内部監査手法の研究
第７期「戦略的優位性を確保するＥＲＭ」に関するＣＯＳ～「リスク選好・リスク許容度」、「主要リスク指標」、「戦略的優位性を2012 年 8 月
Ｏの３つのレポートから、それらの業種別の具体的確保するＥＲＭ」についての業種別事例とリスクベース内部監査への～2014 年 10 月
事例、および内部監査における確認事項と内部監査活用事例～の実務で役立つ視点をまとめたもの。
第８期
改訂版ＣＯＳＯ内部統制フレームワークの内部監査での活用事例
17 の原則ごとに「具体的視点」を例示し、「内部監査
2015 年 2 月～改訂版 COSO の 17 の原則の観点から見た内部監査において留意すべき において留意すべき問題事例」と「改善提言のため～2015 年 11 月
問題事例と改善提言のための確認事項～の確認事項／改善提言」を説明。

6

リスク評価の具体的なノウハウ、問題のある事例、リスク評価手法の内部監査での活用事例（本報告書）
および良好な事例について、「具体的事例」を紹介す～内部監査での活用方法・改善提言のための確認事項～
ると共に、「内部監査での活用方法・確認事項・改善提言」を紹介。
（注）上記報告書は全て、社団法人 日本内部監査協会のホームページの「ERM 資料集」コーナー（http://www.iiajapan.com/data/ERM_TOP.htm）上で公開されています。
第９期（当期）2016 年 2 月～2016 年 11 月

7Ⅱ．報告書作成の過程で得られた知見
１．リスク評価全般に関する普遍的な知見（１）４つのリスクの評価基準
・リスクを評価するための評価基準は以下の 4 つがあると考えられます。
①影響度②発生可能性③顕在化に至る速度④対応策の有効性（２）評価基準の使い方
・第１段階:まず、リスクの影響度と発生可能性の組み合わせで、対応すべきリスクの候補を選択します。（このためのツールがリスクマップやヒート
マップです。
）
・第２段階:次に、選択されたリスクの候補から、顕在化に至る速度とリスク対応策の有効性の観点から優先的に対応すべきリスクを特定していきます。

（３）リスク評価の際の視点
・リスク評価の際の視点には、以下の 3 つの視点があると考えられます。
・いずれも平時から必要な備えをしておくものです。

リスク評価の際の視点①顕在化の予防②損失の低減・移転③早期の把握内

容

影響度・リスクが顕在化しないよう、リスクが発生する可能性を減らす。
例：㋐手入力からシステム入力への変更（オペレーションの自動化）、㋑職務の分離など職務分掌の設定・リスクが顕在化した場合の影響度（損失など）を低減する／もしくは影響度が甚大となることを防ぐ。
例：㋐BCP の策定、㋑建物・設備の耐震補強、㋒システムの二重化、㋓供給のバックアップ協定の締結、㋔保険の付保・リスクが顕在化する予兆を把握する／もしくは顕在化したリスクを早期に把握する。

8

主に関係する評価基準
顕在化に至
発生可能性
る速度
〇

対応策の有
効性
〇

〇

〇

〇

〇

例：㋐各種先行指標のモニタリング、㋑リスク情報のエスカレ
ーションルールの策定・徹底

２．リスク評価の事例の 6 つの類型
・本報告書の 25 の事例は、以下の 6 つに類型化できる。

（１）リスクの数値化の事例
①
②
③

（3 件）

表
題
リスク評価の 4 つの評価基準を用いたリスク重要性の評価 ～影響度・発生可能性・顕在化に至る速度・対応策の有効性による評価㋐「リスク要素」の抽出→㋑「関連テーマ」の紐付け→㋒「リスク・ファクター」の評価によるリスクの重要性評価「保有しているリスク」と「顕在化したリスク」の評価結果を用いたリスクマップによるシステムリスクの評価方法

No
１
２
３

（注）
「No」欄に記載の番号は、本文中の通し番号（１～25）を示す（以下同じ）。

（２）リスクの顕在化に至る速度の適用事例
①
②
③
④

表
題
債権回収不能等の回収事故発生時の「顕在化に至る速度」と「対応策の有効性」を考慮した債権回収リスクの評価方法（注）下記（３）①と同一事例「顕在化に至る速度」の違いを踏まえた地震と感染症のリスク評価方法の違い「顕在化に至る速度」が極めて遅いデータ改ざんリスクの評価方法
金融機関における信用リスク評価手法（３）リスクの対応策の有効性の適用事例
①
②
③

（4 件）
No
５
６
７
15

（3 件）

表
題
債権回収不能等の回収事故発生時の「顕在化に至る速度」と「対応策の有効性」を考慮した債権回収リスクの評価方法（注）上記（２）①と同一事例

標的型ウイルス感染時の情報漏洩リスク評価の誤り「対応策の有効性」が急激に低下するリスクの評価

No
５
19
23

9

（４）固有リスクと残存リスクの活用事例

（2 件）
表

①
②

（12 件）

表
題
発生可能性は低いが影響度が甚大なリスクをリスクマップで評価する場合の留意事項
内部監査部門と被監査部門のリスク評価結果の比較による重点監査項目の決定
交通事故へのリスク対応状況の評価
親会社内部監査部門から出向した子会社監査役を活用することによる企業集団のリスク評価の品質向上
完工までに長期間を要しその間の各段階でリスクが変化する建設業におけるリスク評価手法
専門家の評価の不適切な利用による埋蔵量評価の誤り
知見のない高度先端技術分野でのリスク評価の誤り
社長発案の大型投資案件に対する不十分なリスク評価
海外の現地企業の買収に伴うリスクへの対応
セキュリティ管理の対象外となっている特定用途向きパソコンのリスク評価の不備（未登録・暗号化未済・機密情報保管）
責任者全員への記名式リスク調査 ～一般的なリスク評価手法の適用が難しい大学固有のリスクの評価事例
企業グループ全体でのリスク管理手法の展開（６）その他①②

No
４９

統制の段階別でのリスク評価
残存リスクのみに限定したリスク評価（５）リスク評価方法・ノウハウの事例
①
②
③
④
⑤
⑥
⑦
⑧
⑨
⑩
⑪
⑫

題

No
８
10
12
13
14
16
17
20
21
22
24
25

（2 件）

表
題
リスク評価に不慣れなメンバーが多い内部監査部門でのスキル向上策
増資引受先の持つリスク評価の未実施（合計 26 件） ※うち 1 件は同一事例が 2 つの類型に該当するため事例は 25 件である。

10

No
11
18

Ⅲ．内部監査での活用事例
１．リスク評価のノウハウ（１）重要度の算定手法
No表（4 項目）

題

リスク評価の 4 つの評価基準を用いたリスク重要性の評価～影響度・発生可能
性・顕在化に至る速度・対応策の有効性による評価
１（計 15 項目）

具体的事例

内部監査での活用方法・確認事項・改善提言

・ある製造業の内部監査部門では、下記のリスク評価結果に基づき、監査計画を策定している。
①評価基準
ⓐ影響度
㋐売上損失
（1（小）～3（大）の 3 段階評価）
㋑財産損失
（同 上）
㋒賠償責任
（同 上）
㋓人的損害
（同 上） ※㋐～㋔のうち最大値を選定㋔企業イメージ毀損 （同 上）ⓑ発生可能性（同 上）ⓒ顕在化に至る速度（1～5 の 5 段階で最低 0.9～最大 1.4 の指数評価）
ⓓ対応策の有効性（1～5 の 5 段階で最低 0.8～最大 1.2 の指数評
価）
※具体的な評価基準は【図表１－①】を参照。
②リスクの評価
・ⓐの最大値×ⓑ×ⓒ×ⓓ※評価のイメージは【図表１－②】を参照。

［事例から得られた知見］
・リスク評価については、従来から、「影響度」と「発生可能性」の 2 つの評価基準による評価がなされていたが、新たに「顕在化に至る速度」、「対応策の有効性」を加えることにより、より適切な評価が可能になる。
・特に国際的な規制の強化に対しては、例えば米国の腐敗防止法では多額

11（活用方法）
・左記の通り。

の賠償金が課されるが、リスクが顕在化する速度は早いものがあり、「顕在化に至る速度」を評価基準に取り入れることにより、より適切なリスクの評価が可能となる。

12

【図表１―①】
リスク評価の４つの評価基準
ⓐ影響度
細

目

㋐売上損失

㋑財産損失

㋒賠償責任

㋓人的損失

㋔企業イメージ毀損

ランク
３
２
１
３
２
１
３
２
１
３
２
１
３
２
１

説明
大
中
小
大
中
小
大
中
小
大
中
小
大
中
小

定義
全社的に大きな被害（50 億円以上）
全社的な被害（1－50 億円）
全社レベルに至らない（1 億円未満）
全社的に大きな被害（50 億円以上）
全社的な被害（1－50 億円）
全社レベルに至らない（1 億円未満）
全社的に大きな被害（50 億円以上）
全社的な被害（1－50 億円）
全社レベルに至らない（1 億円未満）
全社的に大きな被害（50 億円以上）
全社的な被害（1－50 億円）
全社レベルに至らない（1 億円未満）
全社的に大きな被害（50 億円以上）
全社的な被害（1－50 億円）
全社レベルに至らない（1 億円未満）

評価指数
３
２
１
３
２
１
３
２
１
３
２
１
３
２
１

ⓑ発生可能性
ランク
３
２
１

説明
高い
中程度
低い

定

義

評価指数
３
２
１

毎年、もしくは 2～3 年に 1 度
5～10 年に 1 度
30～50 年に 1 度ⓒ顕在化に至る速度
ランク

説明

５

非常に速い

４

速い

定 義
・非常に急激に発症。
・ほとんど、あるいは全く警告がなく、即時。
・数日から２，３週間のうちに発生

13

評価指数
１.４
１.３

３
２

中程度
遅 い

・２，３ヶ月のうちに発生・数ヶ月のうちに発生・非常に遅い。
１
非常に遅い
・一年またはそれ以上※減ずるためにコンマ以下の評価指標を設定。

１.２
１.１
０.９

ⓓリスク対応策の有効性
ランク

記述

定義：現状分析として
評価指数・対応策が実行されていない、または正しく計測されていない
５
とても低い
１.２
・リスクの説明能力の欠如、経営者の理解力の欠如
・キーとなる対応策は実行されている。
４低い
１.１
・リスクの説明力が低い、経営者の理解力が低い
３
中
・中程度
１.０
・対応策は概ね実行されている。
２高い
０.９
・緊急時のリスク対応策は正しく計画され、訓練も実施している。
・戦略の全ての対応策が正しく選択されている。
１
とても高い
０.８
・全社でリスクの理解がされリスクへのテストや、定期的な訓練を実施している。
※減ずるためにコンマ以下の評価指標を設定。

14

【図表１―②】「影響度」「発生可能性」「顕在化に至る速度」「対応策の有効性」に基づくリスク評価のイメージ
影響度
No. 部門

1

営業
本部

リスク

海外子会社
が米国腐敗
防止法
（FCPA）で
提訴される

売上
損失

財産
損失

賠償
責任

ⓐ

人的
損失

企業
ｲﾒ0ｼﾞ
損失

経営
への
影響

発生
可能性

顕在化
に至る
速度

対応策の
有効性

評価結果

MAXⓐ

ⓑ

ⓒ

ⓓ

ⓔ＝MAXⓐ×ⓑ×ⓒ×ⓓ

10.08

2

1

3

1

2

3

2

1.4

1.2

大

小

大

小

小

大

中

非常に
速い

とても
低い

【図表１－

③】

評価結果に基づくランク付け
評価結果

ランク

対応重要度

１０以上

Ａ

大

５以上１０未満

Ｂ

中

５未満

Ｃ

小

15

ランク

Ａ

No

２

表

題

具体的事例

内部監査での活用方法・確認事項・改善提言

・金融機関向けシステムを受託している A 社では、下記のリスク評価結果 （活用方法）に基づき、監査計画を策定している。
・中期経営計画、および内外環境は変化するため、期初に想定した「リスク要素」を、上期㋐「リスク要素」の ①「リスク要素」の抽出・「関連テーマ」の紐付け
・中期経営計画、および内外環境の変化等を考慮して「リスク要素」を抽終了時点で確認し、見直しや追加の要否を検抽出→㋑「関連テー討する。
マ」の紐付け→㋒「リ 出し、「関連テーマ」を紐付けると共に、その影響度（大・中・小）、リスク（不具合）の発生可能性（高・中・低）、を評価する。
・同様に、「リスク・ファクター」についても、
スク・ファクター」
・なお、影響度、発生可能性が小、低のリスク要素は対象外とする。
（影
5 段階の評価やウェイト付けが上期終了時点の評価によるリスク
響度・発生可能性を評価対象とするのはこの段階まで）で妥当であるか確認する。
の重要性評価・リスク・スコアを再計算し、上位 10 位のテ＜「リスク要素」ごとの「関連テーマ」の例＞
ーマに変動がある場合は、下期の監査計画をⓐリスク要素：大規模システムの更改・構築の不備見直す。
関連テーマ：システム開発・運用 ※影響度：大発生可能性：低ⓑリスク要素： サイバーセキュリティ対策の不備
関連テーマ：サイバーセキュリティ
影響度：大発生可能性：低ⓒリスク要素： 外部委託先の破綻関連テーマ：外部委託先管理
影響度：中発生可能性：低②「リスク・スコア」の算出（リスクの重要性評価）・各関連テーマに対して、合計 100％となるようにウエィト付けした「リスク・ファクター」を設定し、（リスク・ファクター）それぞれを１から５の 5 段階で評価して、リスク・スコアを算出する。
＜「リスク・ファクター」の例※システム開発・運用の場合＞
リスク・ファクター
評価
①利益率
（40％）
３
②コスト削減効果 （30％）
５16

③保守容易性（20％）
５④コンプライアンス（10％）
１
合 計（100％）
・リスク・スコア＝３×40％＋５×30％＋５×20％＋1×10％＝３.８③監査対象テーマの選定
・関連テーマ毎に算出した「リスク・スコア」を比較し、スコアの高い上位 10 テーマを監査対象とする。

［事例から得られた知見］
・経営目標、外部・内部環境の変化を考慮してリスク要素を洗い出すことにより、想定するリスクの影響度、発生可能性の根拠が明確になる。
・また、根拠が明確になっているため、期中に見直しを行う際も、外部・内部環境の変化の当初想定との差異を分析することで、見直しの理由を明確にすることができる。

17

No

表

題

「保有しているリスク」と「顕在化したリスク」の評価結果
を用いたリスクマッ
プによるシステムリ
スクの評価方法３

具体的事例

内部監査での活用方法・確認事項・改善提言

・Ａ社は他社のシステム開発から情報システムの受託運用までを担う SI （活用方法）（注１）（system integration）
ベンダーであり、障害やオペレーションミ ・システムリスクに関する監査での監査対象シ
ステムの決定で活用する。
ス等に伴うシステム停止や情報漏洩等は、会社のブランドの毀損や信頼①原則として保有しているリスクと顕在化しを失墜させるため、受託システム毎の脆弱性を認識し、適切にコントロ
たリスクの評価結果の合計値の高い順からールすることが求められる。
監査対象とするが、合計に明らかな相違が・そのため、所管部は受託システムのシステム管理（注２）で要求される管見られない場合は、リスク対応の脆弱性を理基準に従い、運用開始時点と年次のタイミングで、㋐管理基準に対す重視し顕在化したリスクが高いシステムをるコントロールの適切性の自己評価（CSA）、㋑システムが保有する情報優先して監査対象とする。
価値（注３）と情報量、㋒システム属性（注４）、および㋓障害・オペレーシ ②年度末時点では前年度のヒートマップとの変動を評価・分析し、保有しているリスクョンミス・情報漏洩等の発生事案の頻度から、保有しているリスクと顕と顕在化したリスクの合計値または、保有在化したリスクの評価を行い、監査対象とするシステムを決定する。
しているリスク、顕在化したリスクのいず（注１）顧客の業務内容を分析し、問題に合わせた情報システムの企画、構築、
れかの変異が大きいシステムについて、優運用などを一括して行なうこと。
先的に次年度の監査対象システムとする。
（注２）運用管理体制、オペレーション管理、機器管理、アクセスコントロール③監査テーマが情報漏洩リスクを目的とする等。
場合では、保有しているリスクと顕在化し（注３）個人情報、機微情報、口座・カード情報 等たリスクの合計よりもむしろ、保有してい（注４）可用性、システム規模、・ユーザ数 等るリスクを構成する情報価値と情報量が高・保有しているリスクと顕在化したリスクの評価は、システム毎（①～⑨）
いシステムを監査対象とするなど、テーマに下記の手順で行う。
に応じた監査対象の決定にも活用する。
(a)保有しているリスクの評価方法
・（システム毎に）㋐情報価値に関する約 10 項目のリスク、および、㋑シ
ステム属性に関する約 10 項目のリスクの重要度を 5 段階で評価し、全項目の評価結果を合算した合計値により評価する。
＜情報価値に関する「個人情報」の 5 段階評価の例＞
100 万件以上⇒５、50 万件以上⇒４、10 万件以上⇒３、1 万件以上 ⇒２、 1 千件以上⇒１＜システム属性に関する「可用性」の 5 段階評価の例＞
停止不可⇒５、数時間以内⇒４、半日以内⇒３、

18

翌営業日⇒２、1 週間以内⇒１
・システム毎に、リスク（リスク 1～リスク n）の評価結果を合計して、保有しているリスクの重要性を評価する。
（【図表２－①、②】参照）(b)顕在化したリスクの評価方法
・㋐CSA による約 200 項目のコントロールの充足率、および、㋑障害等の発生件数に基づき、保有しているリスク同様にリスクを 5 段階で評価し、全項目の評価結果を加算した合計値とする。
＜CSA による「コントロールＡの充足率」の 5 段階評価の例＞
コントロールＡの充足 50%以上⇒５、60%以上⇒４、70%以上⇒３、80%以上⇒２、90%以上⇒１＜「障害Ａの発生件数」の 5 段階評価の例＞
障害Ａの発生件数 5 件以上⇒５、4 件以上⇒４、3 件以上⇒３、
2 件以上⇒２、1 件以上⇒１
・システム毎に、リスク（リスク 1～リスク n）の評価結果を合計して、顕在化したリスクの重要性を評価する。
（【図表２－①、②】参照(c)「保有しているリスクと顕在化したリスクの評価結果を用いたリスクマップ」の作成
・保有しているリスクを X 軸、顕在化したリスクを Y 軸として、それぞれの評価結果をプロットしたリスクマップ【図表２－③】を作成し、シス
テム毎のリスク値を可視化し、対応の優先順付を行う。

［事例から得られた知見］
・システムリスクに関連する保有しているリスクと顕在化したリスクを評
価し、リスクマップとして”可視化”することにより、㋐リスクベー
ス監査の実効性の向上、および㋑リスク項目や評価の見直し・チュー
ニング等の精緻化を通したリスク評価の高度化が図れる。
・さらに“可視化の効果として、㋒社内のリスクコミュニケーションの活性化やリスクカルチャーの醸成が期待できる。

19

【図表２－①

リスクの評価結果】
固有リスク

システム名

ﾘｽｸ1 ﾘｽｸ2 ﾘｽｸ3

・・・

【図表２－②

残存リスク
ﾘｽｸn 合計 ﾘｽｸ1 ﾘｽｸ2 ﾘｽｸ3

・・・

1

1

1

・・・

1

8

1

1

1

・・・

1

4

②

3

2

5

・・・

2

41

4

1

1

・・・

2

15

③

2

2

3

・・・

2

25

2

1

5

・・・

2

10

④

4

3

1

・・・

3

30

1

3

1

・・・

3

8

⑤

3

5

2

・・・

4

55

3

5

4

・・・

4

23

⑥

5

4

3

・・・

2

68

5

4

5

・・・

2

33

⑦

2

1

3

・・・

2

30

2

3

5

・・・

2

20

⑧

1

1

1

・・・

1

15

1

1

1

・・・

1

8

⑨

3

2

4

・・・

2

45

5

5

4

・・・

2

30

【図表２－③
リスクマップによる対応の優先順付け】
40

大

優先4

優先3

優先2
⑨

優先1
⑥

優先4
⑦

優先3
⑤

優先2

←
30

残
存
リ
ス
ク

20

優先4
②

優先3

③

→

10

⑧
小

④

①
20

小

優先4
40

←

固有リスク

固有リスク

残存リスク

特大

60 以上 80 未満

30 以上 40 未満

大40 以上 60 未満

20 以上 30 未満

中

20 以上 40 未満

10 以上 20 未満

小0 以上 20 未満

0 以上 10 未満

ﾘｽｸn 合計

①

60

80

→

大

20

重要性の評価基準】

No

表

題

具体的事例

内部監査での活用方法・確認事項・改善提言

・Ａ社は全社的なリスクマネジメントの PDCA サイクルの中で全社的リス
クマップデータベースを活用している。

統制の段階別でのリ
スク評価

４（活用方法）①以下の３つにリスクマップを活用する。
㋐リスクカテゴリー毎や事業本部毎の全社(1)概 要的リスク分布状況の把握
・Ａ社各部室は、「リスク評価ガイド」で定められた評価項目と評価方法㋑固有リスク・残存リスクの状況を踏まえた（【図表３―①】参照）に従い、㋐信用リスク、㋑市場リスク、㋒資金
リスクベースアプローチによる重点監査
流動性リスク、㋓オペリスク（事務リスク、評判リスク、人材リスク、項目の選定
有形資産リスク、情報資産リスク、法的リスク）の４つのリスクカテゴ㋒監査リソースの配分
リーの中から当該部室用に選定されたリスクシナリオに基づいて、Ａ～
Ｄの統制の各段階でのリスクを評価して、「リスク評価表」を作成している。
②リスクベース監査では、実績残存リスク（Ｃ・リスク統括部が、各部室のリスク評価表を取り纏めて、データベース化段階）が高いところが最優先されるが、そする。
れ以外にも、以下の点に注意する。
・リスクマネジメント・コミッティーでは、データベースから、リスクカ(a)固有リスクが大きいにもかかわらず、残テゴリー毎のリスク量の集計を行い、固有リスク、計画残存リスク等の存リスクの小さい、リスク削減効果の大
各統制段階別でのリスク量を可視化したグラフを作成している。
【図表
きいリスク削減策については、その有効
３－②】参照）
性を検証する。
(2)統制の段階別でのリスク評価(b)大きなリスク削減効果のあるリスク削減
Ａ：固有リスク＝①影響金額×②発生頻度
策は、好事例として、全社的に横展開さ☞何の統制も行わない場合の原初のリスクれているか。
Ｂ：計画残存リスク＝Ａ固有リスク×（100％－③現在の統制でのリ(c)影響金額の期待値のみに注目すると、影スク削減効果）響金額が大きく発生頻度の低いリスク☞現在の統制を 100％実施した後に残るリスクを見落とすおそれがあるため、そうした
Ｃ：実績残存リスク＝Ａ固有リスク×（100％－③現在の統制でのリリスクに対して対策が準備されている
スク削減効果×④統制実施率）
か。
☞実際の統制実施率を加味した、現在、実際に残っているリ
スク③リスクベース監査の根拠となっているため、
Ｄ：目標リスク＝Ａ固有リスク×（100％－⑤追加の統制でのリスク
リスク評価の算定プロセスについて、算定
削減効果）
根拠の妥当性や客観性について監査対象と☞新たな統制を加えた、リスクの低減目標
する。
例えば、算定された損失金額が、過去の実際の損実金額を下回っていることが無いか［事例から得られた知見］

21

・事業部門別やリスクカテゴリー別などの切り口でクロス集計が可能（【図表３－②】参照））で、様々な括りでリスクの所在を確認しやすい。
・また、年度毎の時系列データを蓄積し、カテゴリー別のリスク量の増減
趨勢についても分析できる。

22

など。

【図表３―①】「リスク評価ガイド」で定められた評価項目および評価方法①影響金額
・大きなリスクは算定根拠の数値も明記する。小さなリスクは概数でよい。
＜影響金額と 1 の後の 0 の数＞㋐影響甚大→6～5、㋑影響大→4（1 人・年）～3（1 人・月）、㋒影響軽微→2（1 人・数日）、㋓影響微小→1（1 人・数時間）～0（１人・数十分）※影響無しは単純に 0（例）影響軽微＝100（千円）②発生頻度
・統制がないと発生する危険がある年間回数を推測して記載する。
・評価に至った具体的なロジックが分かるようにする。
＜発生間隔と 1 の後の 0 の数＞㋐数十秒→6、㋑数分→5、㋒1 時間→4、㋓8 時間→3、㋔数日→2、㋕月→1、㋖年→0、㋗10 年→-1、㋘百年→-2、㋙千年→-3（例）数日＝100（回/年）、百年＝0.01（回/年）③現在の統制でのリスク削減効果
・現在の統制を完全実施することによって当該リスクをどの程度削減できる見込みかを記載＜削減率のイメージと評価値％＞㋐完全削減→100%、㋑9 割削減→90%、㋒8 割削減→80%、㋓半減→50%、㋔2 割削減→20%、㋕1 割削→10%、㋖削減不能→0%④統制実施率・現在の統制でのリスク削減がどの程度実現できるかを％で記載。
＜イメージと実施率％＞㋐完全実施→100%、㋑軽微不備→98%、㋒９割実施→90%、㋓半分実施→50%、㋔３割実施→30%、㋕実施皆無→0%⑤追加の統制でのリスク削減効果
・追加で統制を増やす場合に、“追加の統制でのリスク削減効果”がどの程度見込めるかを％で記載。
（0～100％）23【図表３－②】
リスクカテゴリー別の切り口でのクロス集計
1000
800
600
400
200
0

事業部門別の切り口でのクロス集計

目標リスク

信用リスク

計画リスク
市場リスク

資金流動性リスク

事務リスク

評判リスク

人材リスク

有形資産リスク

情報資産リスク

法的リスク

実績リスク
固有リスク

24

（２）評価での留意点
No

表（5 項目）

題

債権回収不能等の回収事故発生時の「顕在化に至る速度」と「対応策の有効性」
を考慮した債権回収リスクの評価方法５

具体的事例

内部監査での活用方法・確認事項・改善提言

・回収事故は客先に起こるため、自社が「発生可能性」を低減する対策を （確認事項）
取ることはできない。
・4 つのリスク評価基準、すなわち「影響度」、
・与信管理および、担保取得により、事故時の「影響度」を一定限度内に「発生可能性」、「顕在化に至る速度」、「対応
抑えることができる。
策の有効性」のうち、後の２つ、すなわち「顕・しかし、回収事故は直前まで情報が隠されている（「顕在化に至る速度」 在化に至る速度」、および「対応策の有効性」
が速い）ことが少なくないため、客先訪問等による事故の兆候や予兆のを踏まえた対応を行なっているか。
把握が重要になる。
［主に「顕在化に至る速度」を踏まえた対応］
・回収事故が一旦明らかになると、他の債権者や法的処理の進捗との時間 ㋐与信管理や担保管理を行なっていることに的争い（「顕在化に至る速度」が速い）になるため、事故発生時の速や安心し、予兆把握が疎かになっていないか。
かな対応（「対応策の有効性」）も重要になる。
㋑事故発生時の情報伝達経路が定められているか。
・「対応力」を持つ企業は、事故発生時の有効な指揮命令や手順が定めら ［主に「対応策の有効性」を踏まえた対応］
れ、関係者は全員それを熟知しており、第一報が入った直後に各自が整 ㋒事故発生時の指揮命令系統が定められてい斉と債権保全を実行する。
るか・「対応力」を持たない会社は、事故発生時に各自が何をなすべきかが分 ㋓事故発生時の対応マニュアルが定められてからず、また指揮命令が混乱し、矛盾した指示が複数経路から出される。 いるか。定められていても、事実上誰も知らそのため、取っていたつもりの担保が破産管財人に提出され、自社の回ない状態になっていないか。
収には使えないケースが発生する。
㋔担保の取得は行なっていても、事故時の担保の活用について検討しているか。

［事例から得られた知見］

６「顕在化に至る速度」の違いを踏まえた地震と感染症のリ・リスク対応には、事前的対応（予防的コントロール、発見的コントロール）の他に、リスクが顕在化した場合の影響を最小限にとどめる事後的対応があり、後者のリスク評価も重要である。
①地震など「顕在化に至る速度」が速いリスクへの対応
・地震など突発性災害では、何時、何を基準にして災害対策本部の設置な
どの初動対応を行うか、また何をもって終息を判断するかについて、これまで明確な基準がなかった。
・従来は、震度情報（例えば震度 6）をもとに初動対応の実施を決めてい25（活用方法）
・地震や感染症など BCP 関連リスクの評価では、被害レベル（「影響度」）に加え、リスク事象の「顕在化に至る速度」を踏まえて評価することにより、残存リスクを正しくスク評価方法の違いたが、“遠隔地で発生した地震で自社の社員や自社工場などには影響は評価し、㋐初動開始や終息時期の決定、㋑
ないが、取引先に大きな影響が出た場合”では事前の想定と実際の対応
有効な対策を行うための意思決定が可能にが全く違っていた。
なる。
・リスク評価を、従来の被害の質や大きさ（「影響度」）に加えて、対応力 ・とりわけ、「顕在化に至る速度」は、地震の（「対応策の有効性）を尺度として使うことで、対策（コントロール）
ような突発性災害の場合と、感染症や台風と残存リスクをより定量化することができた。
などリスク事象の被害レベルがある程度予・また、事前に計画していた対策の有効性が評価できるようになった。終想できる警戒性災害とでは、リスク評価方
息時期の決定もリスクレベルの変化を可視化することで対応できるよ
法を変える必要がある。
（【図表４】参照）
うなった。
・内部監査において、BCP 関連のリスクマネジ②感染症や台風など「顕在化に至る速度」が遅いリスクへの対応
メントプロセス、特にリスク評価ならびに・一方、感染症など警戒性災害では、事象が顕在化するまでの速度は、地対策の有効性を評価する時には、「顕在化に震に比べて遅い。
至る速度」を十分考慮して、対策が設計さ・したがって、事前に予防対策を打つよりも、対策に必要な情報をタイムれているかを確認する。
リーかつ正確に収集し、適切な意思決定のもと対応していく方が有効であり効率的である。
・さらに、リスク事象が顕在化した段階でも、被害状況を見ながら、並行していくつかの対策シナリオを準備できる。
・リスクの評価を多段階で行うことで、臨機応変で無駄のない対策を行うことが可能になった。
・正確かつタイムリーな情報収集のためには、平時から情報収集体制を構築しておくことが重要である。

［事例から得られた知見］
・地震と感染症では、「顕在化に至る速度」がリスク評価に大きく影響を与える。
・「顕在化に至る速度」を踏まえたリスク評価を行うことにより、リスク対応（対策の実施）がより効率的かつ、有効になる。

26

27

No

７

表

題

具体的事例

内部監査での活用方法・確認事項・改善提言

・マンション建設時の杭打ちデータや車両燃費の算定データなどのデータ改ざん等は、長年にわたり、多数行われてきているため、顕在化した時点で初めて経営者がリスクの重大性を認識し、その時点では極めて重大「顕在化に至る速度」
な事態となっている場合が多い。
が極めて遅いデータ改・すなわち、デーダ改ざんのリスクの「顕在化に至る速度」は、極めて遅ざんリスクの評価方法
いという特徴がある。

［事例から得られた知見］

発生可能性は低いが影響度が甚大なリス
クをリスクマップで評価する場合の留意事項
８（活用方法）①リスクの種類により「顕在化に至る速度」に違いがあることを理解し、「顕在化に至る
速度」が遅いリスクを、CSA、やアンケートなど幅広く情報を収集したうえで特定する。
②特定された顕在化に至る速度の遅いリスクについて、㋐顕在化が遅い原因・背景、および㋑「経営者へのリスク情報の到達速度」
を検討する。

・データ改ざんリスクは、「経営陣へのリスク情報の到達速度」は極めて遅く、その間に損失が拡大する傾向がある。
・そのため、リスク評価においては、「経営陣へのリスク情報の到達速度」という観点を取り入れる必要がある。
・リスクマップの上で重要なリスクを選択する際に、【図表５－①】、【図 （確認事項）
表５－②】共にリスクＡは重要リスクと評価される。
・被監査部門が行なったリスク評価を利用する
・他方、リスクＢについては、二つの考え方がある。
場合、リスクＢについては、以下について十㋐限られたリソースを、発生可能性が低いリスクにまで投入すること分なヒアリングを行なう。
は無駄となる恐れがある。
㋐リスクＢを重要ではないと判断した場
そのため、影響度と発生可能性の双方が高いリスクを重要リスク
合には、その判断根拠。
とする。
（影響度と発生可能性を同じウエートで評価する）。
（【図表㋑リスクＢを重要であると判断した場合
５－①】のような選択線となる）には、対応策へのリソースの投入水準㋑上記㋐を基本としつつも、発生可能性は低いが万一発生した場合にの判断根拠。
は甚大な影響を及ぼすリスクは、たとえ発生可能性が低くても、重要リスクとする。（【図表５－②】のような選択線となる）［事例から得られた知見］
・東日本大震災で巨大津波のように発生可能性が極めて低くとも、顕在化した場合には企業の存続に影響しうるリスクに対する検討が必要である。
（対応するにしろ、対応しないにしろ）

28

【図表５－①】

大↑【図表５－②】
リスク選好を超える受け入れがたい
高リスクの領域

●
リスクＢ

大
↑

●
影
響
度

リスク選好 →

影
響
度

リスクＡ

リスク選好

→

●
リスクＡ

リスク選好の範囲内にある受け入れられる
低リスクの領域

リスク選好の範囲内にある受け入れられる
低リスクの領域

発生可能性

●
リスクＢ

リスク選好を超える受け入れがたい
高リスクの領域

発生可能性

→

→ 高

高
・上図は、リス
クマップ上に事象Ａ、Ｂをプロットしたリスクのポートフォリオであり、縦軸は影響度、横軸は発生可能性を示している。
・黒太の線がリスク選好を示しており、線の右上の領域はリスク選好を超える受け入れがたい高リスクの領域を、左下の領域はリスク選好の範囲内にある受け入れられる低リスクの領域を表している。

・リスク選好を示す曲線は、原点から凹の線で描かれる。
・影響度が大きくても発生可能性が低いリス
クＢは、重要性は低いと評価。

・リスク選好を示す曲線は、原点から凸の線で描かれる。
・発生可能性が低くても影響度が大きなリス
クＢは、重要性が高いと評価。

29

No

表

題

残存リスクのみに限定したリスク評価

９

具体的事例

内部監査での活用方法・確認事項・改善提言

・Ａ社では、監査計画策定のために行うリスク評価では、「固有リスク」 （活用方法）と「残存リスク」の双方ではなく、「残存リスク」のみで評価している。 ・監査メンバーがリスク評価に慣れていない場
・理由は、「固有リスク」を評価するためには、現在のリスク対応策のリ合や、監査経験のない特殊な業務を監査する
スク低減効果を除去して評価する必要があるが、どこまでその低減効果
場合には、「残存リスク」の評価から開始すを除去するかについて、評価者によりバラつきが出たり、客観性・合理る。
性を確保することが難しいためである。
・例えば、㋐品質リスクを防止するための品質管理マニュアルの周知・徹底、㋑各種の品質検査、および㋒作業事故リスクを防止するための各種の作業安全訓練や管理・指導など、既にリスク対策が日常業務の中に定着しているリスクは、それらによるリスク低減効果を客観的・合理的に把握することは難しい。

［事例から得られた知見］
・既にリスク対策が日常業務の中に定着しているリスクについては、特に固有リスクの評価が難しいため、残存リスクで評価することが適切である。
・対応策の有効性をリスクの評価基準に取り入れる意義がここにある。

30

（３）内部監査部門での活用
No

表

題

内部監査部門と被監査部門のリスク評価
結果の比較による重点監査項目の決定

10（5 項目）
具体的事例

内部監査での活用方法・確認事項・改善提言

・Ａ社の内部監査部門では、監査を実施する際にリスクマップを作成しリスク評価を行っている。
・その上で、被監査部門の部長以上に集まってもらい、投票ツールを使用したリスク評価を実施し、双方の評価結果を比較し、以下のようなリス
クを重点監査項目としている。
(a)監査部門は低リスクと評価したが、被監査部門では高リスクと評価したリスクでの確認事項①監査部門で把握していない過去の事故等がないか。
（重要問題であれば全社にエスカレーションされるが、基準以下の場
合はエスカレーションされる部門が少ないため、発生可能性・影響度の把握に差が出る可能性がある。）②監査部門として、発生可能性や影響度の見落としはないか。
③監査部門と被監査部門との間で、リスクの「顕在化に至る速度」やリスクへの「対応策の有効性」についての認識に違いはないか。
④過去の監査時からの変更点を確認する。
例えば、トップの交代や業績の大幅な変化があった場合、統制が有効に働いていない可能性があり、過去の監査で指摘し改善された統制でも有効ではなくなっている可能性がある。
(b)監査部門は高リスクと評価したが、被監査部門では低リスクと評価したリスクでの確認事項①被監査部門が有効に機能していると認識している統制に穴はないか。
運用も適切に行われているか。
②被監査部門が想定していない事象の発生可能性や影響度を確認する。
例えば、購買部門の監査の場合の不正リスクの確認において、バイヤー自身の不正に対する対応策の有効性、影響度や発生可能性をどう見ているか確認する。
（一例として、バイヤーが親族の会社等を使って架空取引を行った場合を想定し、それを現状の統制でどこまで防ぐことができるか、等）。

31（活用方法）
・左記の通り。

③過去の監査時からの変更点を確認する。
過去に大きな問題があったが、例えば、トップの交代や業績の大幅な変化により、統制が大幅に強化された可能性がある。
(c)双方で高リスクと評価したリスクでの確認事項①有効に機能していない統制はないか。運用も適切に行われているか。
②双方が高いと評価しているが、発生可能性や影響度の認識に差異はな
いか③双方の間で、リスクの「顕在化に至る速度」やリスクへの「対応策の有効性」についての認識に違いはないか。
④上記②、③で差異や認識の違いがある場合、被監査部門が想定していない事象の発生可能性や影響度を確認する（逆もないか確認する）。

［事例から得られた知見］

リスク評価に不慣れなメンバーが多い内部監査部門でのスキ
ル向上策
11・内部監査部門と被監査部門のリスク評価結果の違いを分析することによって、より深くリスクを評価することができる。
・Ａ社の内部監査部門では、監査計画策定のために部門独自で全社のリス
ク評価を行ったが、全社的なリスク評価が初めてのメンバーが多いた
め、以下の順でステップを踏んで実施。
①監査計画策定に先立って行った経営者インタビューの結果を、部員全員に報告し、全員の認識を共有。
②リスク評価を初めて行う部員に対し、リスク評価の基本的事項についての説明会（ガイダンス）を実施。
③部員全員を対象に、想定されるリスクや個別リスクの評価方法など
具体的なリスク評価手法についての説明会を実施。
④部員全員に、全社のリスクに関するアンケート調査を実施。
（初めてのメンバーでも誤解無く回答できた。
）⑤リスク評価に関するワークショップを開催し、㋐アンケート結果を踏まえたリスク評価や、㋑メンバーのリスク評価に対する疑問点の質疑や意見交換を実施。
⑥リスク評価を確定し、監査計画を策定。
⑦監査計画を経営者に説明し、結果を部員全員に報告し、全員の認識を再度共有。

32（活用方法）
・左記の通り。

［事例から得られた知見］

交通事故へのリスク
対応状況の評価方法

12

・リスク評価の理解度が不十分な監査部員が多い場合には、ステップを踏んだ評価手法の習熟からスタートすることによって、部員に多くの知見が得られる。
・Ａ社の内部監査部門では、交通事故リスクを監査テーマとして取り上げ、 （活用方法）
以下の手順でリスク対応状況の評価を実施。
・左記の通り。
①関係書類の閲覧を以下の 3 項目について行い、５段階評価。
㋐事故の発生防止・損失低減策に関する社内規程の周知・徹底状況㋑事故発生時の対応に関する社内規程の周知・徹底状況㋒啓発・教育に関する社内規程の周知・徹底状況②実査を以下の 3 項目について行い、３段階評価。
㋐運転者・管理者へのインタビューによる社内規程の認知・実践状況㋑運転日誌の査閲による社内規程の遵守状況㋒社有車の目視による社内規程の遵守状況［事例から得られた知見］

親会社内部監査部門
から出向した子会社
監査役を活用するこ
13 とによる企業集団のリスク評価の品質向
上・関係書類の閲覧では、「仕組み」面からリスク対応状況を評価し、実査では「運用」面からリスク対応状況を評価することができる
・その結果、施策立案部門と施策対象部門のそれぞれに対して、きめ細かな評価をフィードバックすることができる。
・親会社の内部監査部門では、企業集団のガバナンスの維持・向上のため、 （活用方法）
子会社のコンプライアンスに関するリスクマネジメントの構築・運用状 ・左記の通り。
況を重点的に評価している。
・リスク評価は、同部門にて標準化された手法を子会社に適用している。
・標準化されたリスク評価手法の適用により各要員のリスク評価のスキル向上とともに評価のバラツキが低減する。
・そのため、必要に応じて内部監査部員を子会社の監査役として出向させ、内部監査のメソドロジーを有した子会社監査役が、標準化されたリスク評価手法を用いて、各社のコンプライアンスリスクを評価している。

［事例から得られた知見］
・子会社監査役を親会社内部監査部門から出向させることは、以下の点で33

完工までに長期間を要しその間の各段階
でリスクが変化する
建設業におけるリス
ク評価手法

14

有効。
(a)監査のメソドロジーを有する人員を活用できる。
(b)内部監査部門が企業集団全体の状況を把握し、必要な改善提言を行えるため、コンプライアンスなど特定分野のリスクマネジメントの構築・運用を企業集団全体で推進できる。
(c)監査役監査の品質向上。
・Ａ社はプラント建設を主とする元請会社である。
（確認事項）
・プラント建設では、㋐営業～契約～設計～工事の各段階でリスクが変化 ・左記の通り。
すること、㋑完工まで長期間にわたること、㋒投資額が多額であること、㋓安全・環境に対する要求レベルが高いこと等が特徴的である。
・各段階での主なリスクは以下の通り。
(a)営業段階☞㋐新技術の必要性、㋑顧客・協力会社の財務状況、㋒独禁法遵守(b)契約段階☞㋐新技術に対する法規制、㋑追加工事・納期遅れ等に対する取決め、㋒適切な工事保険の付保(c)設計段階☞㋐新技術の開発遅れ・他社技術の侵害、㋑設計ミス、㋒協力会
社の経営悪化(d)工事段階☞㋐建設業法遵守、㋑工事ミス、㋒工期遅れ、㋓人身事故の発生、㋔検査結果の偽装、㋕廃棄物の不法投棄
・Ａ社では、プロジェクトマネージャーが、チェックリストを用いて、上記(a)～(d)の各段階ごとに、リスクを評価すると共に、節目の進捗検討
会で問題の有無・対応策を確認している。

［事例から得られた知見］
・多段階で長期に渡る事業では、段階により変化するリスクの評価が要求される。
・蓄積した経験からリスク評価を標準化し、業務の進捗状況を日々モニタリングすると共に、新たな事象に対するリスク評価の手続きを策定しておくことが必要である。

34

（４）その他（金融機関の場合）
No

15-1

15-2

15-3

表

題

（1 項目）
具体的事例

内部監査での活用方法・確認事項・改善提言

・金融機関のリスクの中核である信用リスクの評価プロセスについて、① （確認事項）
影響度、②発生可能性、③顕在化に至る速度、④対応策の有効性の４つ ・左記(a)～(d)の各プロセスが正しく実施されの評価基準に沿って整理すると次の通り（【図表６－①】参照）。
ているか、左記と同様のステップを踏んで確金融機関における認する。
信用リスク評価手 (a)経営状態を審査し、経営破綻の発生可能性（②）を調べ、かつ一年以内の経営破綻発現を評価し、顕在化に至る速度（③）を検討して、格法付（債務者区分、【図表６－②】参照）を行う。
～①影響度、②発生(b)一方、投融資額の観点から影響度（①）を調査し、上記(a)の債務者区
可能性、
③顕在化に
分と併せて信用リスクを評価する。
至る速度、
④対応策
(c)上記(b)の信用リスクに応じて、対応策（④）として担保等の保全措置の有効性 の視点かを検討する。
ら見た場合(d)なお、上記によりリスクテイク（残存リスク）の金額的評価が可能となるので、資産査定を行い、引当額や減損額等を確定する。
・上記(a)～(d)により絞り込まれたリスクの大きなものについて、重点的 （活用方法）に監査を行う。
・重点的な監査を行うことで、㋐リスクベース～内部監査の効率で説得力が高い内部監査結果を得られるだ性向上への活用
けでなく、㋑限られた内部監査資源の有効活用が可能となる。
・営業部店が単に「経営破綻の発生可能性が高い」という理由だけで、投 （改善提言）
・たとえ現時点において、経営破綻の発生可能～顕在化に至る速 融資を躊躇している（改善を要する）。
性が高くても、一定の期間があれば経営改善度の観点の重要性 ・内部監査部門が個別債権評価において、単に「経営破綻の発生可能性が高い」という理由だけで、リスクを高く評価している（改善を要する）。 の可能性が認められる場合には、リスク対応の改善について投融資先を支援することにより、融資を回収できる可能性があることに［15-2、15-3 の事例から得られた知見］
ついて、営業部店・内部監査部門共に十分考・上記①～④の程度に応じた重点的な内部監査を行うことで、リスクベー
慮することが必要。
スで説得力が高い監査結果を得られるだけでなく、限られた監査資源の有効活用が可能となる。
・内部監査部門、被監査部門共に、顕在化に至る速度を十分検討することにより、リスク対応策の改善による状況改善の可能性を正しく評価することが可能となり、短絡的な結論に陥ることを回避できる。

35

【図表６－①】

金融機関における信用リスク評価・資産査定の考え方

・金融機関のリスクの中核である債務者区分、信用リスクの評価、および資産査定を、リスク評価の４つの評価基準である①影響度、②発生可能性、③顕在化に至る速度、④対応策の有効性により、概念整理すると次の通り。

担保等

経営状態の審査
債務者
区分（②発生可能性）
１年以内※の経営破綻発現の評価（③顕在化に至る速度）※決算期間と一致

（【図表
６－②】
参照）

信用
リスク
評価

投融資額（①影響度）【図表６－②】

保全措置

資産査定

（④対応策の

リスクテイクの有効性）

金額的評価の※状況変化に最終的な確定応じて（引当額・減損額等

保全補完等

の確定）

適宜対応

債務者区分のベースとなる考え方

金融再生法
開示債権区分考え方（実際は、各金融機関により更に細分化等定義して管理）

正常債権

業況・財務内容共に特に問題は認められない、あるいはあっても軽微な問題と考えられる。

要管理債権

当該債権が特に管理すべき状態にあると考えられる。

危険債権

今後、経営破綻状態に至る可能性が大きいと考えられる。

破産更生債権およびこれらに準ずる債権

法的な経営破綻等の事実が認められる、あるいは実質的に経営破たんしていると考えられる。

36

決算
報告

２．問題のある事例
No

表（8 項目）

題

専門家の評価の不適切な利用による埋蔵量評価の誤り16

具体的事例

内部監査での活用方法・確認事項・改善提言

・海外の海底大深度にある資源の探鉱・開発に当たる国内企業では、試掘を行い、業務委託先の解析専門業者の調査結果に基づき、埋蔵量や経済合理性を評価して巨額の投資判断を行っていた。
・本格的に掘削を進めたところ、資源は想定以下の量しか産出せず、しかも価格の下落によりプロジェクトの採算が赤字になった。今後、市況が回復しなければ、赤字が積みあがる状況である。
・解析専門業者からの調査結果を、担当部門が解釈する際、経験値以上の深度の試掘に関して、確率統計的に既存データと同一で扱っていたことが後日判明した。
・価格の回復見込みを勘案した結果、投資損失処理（減損）を行い、本案件からは撤退することになった。

（確認事項）①専門家の技術情報に対する検討（吟味）が十分であるか。（甘くないか、盲信はないか）。
疑問がある場合には、専門家に説明を求める。
②投資採算性の検討において、確率統計的な手法に過度に依存していないか。
③価格相場など外部環境の見通しは適切か。
④シナリオ分析が客観的か。
一見、客観情報のように見えても、そこにプロジェクト推進責任者の恣意や主観の入り込む余地はないか。
⑤問題に気付いてからの経営陣への報告は迅速か。

［事例から得られた知見］

17

知見のない高度先端技術分野でのリスク
評価の誤り

・自社の専門外の分野に関する情報をインプットされた時、専門家の評価結果という一見合理的な根拠で社内コンセンサスを取るのではなく、判断の拠り所である「リスク評価」という原点に立ち返り、専門家から説明を受けた上で自らリスクの「発生可能性」を吟味するという意識行動をとらないと思考停止に陥ってしまう。
（専門家の意見への盲信）
・甲社の乙事業部門は、新しい高度先端技術を活用した商品・サービスを （確認事項）
取引先に提供する部門である。
①新技術の専門的知識を持つ人材がいない場
・内部監査部門は、当該技術に拠って立つ事業のリスクを評価するにあた
合には、被監査部門からの説明を鵜呑みにせって、関連した専門的知識を持つ人材がいないため、専門図書は参考にず、社内外の専門的知識を持つ人材の支しつつも、乙事業部門の説明を鵜呑みにしてリスクを評価していた。
援・補完等を行い、リスク評価を適切に行っ・監査担当役員・部門長も、それで已む無しと是認していた。
ているか。
・しかし実際には、技術面でも一気に陳腐化が進んで来ており、またビジ＊1 年以内に前在籍部門を監査するこ
ネス面でも市場は拡大せず、急速に厳しい状況に追い込まれていたが、とによる利益相反を防ぐためには、外内部監査部門では、それらを把握できないまま「特段の問題を認めず」部の専門的知識をもつ人材を一時的との報告を経営層に行っていた。
に活用する等の対応が必要となる。
また、監査担当役員・部門長も、明確にそ37

れを指示しているか。
・先端技術分野のリスク評価は、状況に応じてこまめに見直しを行う必要 ②高度先端技術分野は、投資額が莫大な一方で、技術価値が認知されるまでは非常に狭隘がある。とりわけリスクの「顕在化に至る速度」は一層こまめに逐次見な市場での戦いを耐えなければならないた直しを行う必要がある。
め、初期段階の確認を緻密に行っているか。
・専門性のある人材、とりわけリスクの「顕在化に至る速度」を評価しう③リスク評価を（静態的でなく）動態的に逐次る人材を確保することが必要。
見直しているか。とりわけ「顕在化に至る速度」に特に注意しているか。
④市場撤退を含めたアクションプランが十分に策定されているか。
・食品メーカーＡ社は事業多角化の推進を進めていたが、冷凍食品市場で （確認事項）
有数のブランドを有するＢ社より事業提携の話が持ち込まれた。
・投資案件に関する意思決定のプロセスを検証
・冷凍食品事業を担当する加工食品事業部は、当該事業提携は冷凍食品事し、適切なものになっているか。
業拡大を推進する好機と認識し、事業提携と引き換えにＢ社の第三者割 ・例えば、㋐関連する規程間に齟齬がないか。
当増資（10 億円程度）を引き受けた。
特に例外規定については、その内容が妥当
・程なく、Ｂ社は会社更生法の適用を申請し倒産、Ａ社は増資引受額の損か。㋑金額レベルに応じてデューデリジェン
ウ 投資案件の失を蒙った。
スの実施を義務付けているか、○・Ａ社では、株式の引き受けに関しては、社内規程上、形式的な点検は求内容に応じて、問題が発生した場合の対策がめているものの、デューデリジェンスの実施は任意であったことから、求められるようになっているか。
今回の増資引き受けにおいても実施しておらず、Ｂ社の財務状態を的確に把握していなかった。

［事例から得られた知見］

増資引受先の持つリ
スク評価の未実施

18［事例から得られた知見］

19

・社内規程には、“抜け穴”ともいえるような規定がある場合がある。規程の遵守について、形式主義に陥ると、その背景にある根本思想が看過される可能性が高まる。
・この事例は、規定の背景にあるリスクへの対応という思想が看過されたことが原因である。
・“抜け穴”ともいえるような規定が看過されたままに放置される場合、規程類の形骸化が進み、リスクへの対応力（リスクの評価、対策の策定等）が低下する恐れがある。
（Ａ事業体における大規模情報漏洩事案）
・Ａ事業体が標的型ウイルスに感染した際に、以下の通り情報漏洩に係る38（確認事項）
・大規模情報漏洩に係るリスク評価について、

標的型ウイルス感染
時の情報漏洩リスク
評価の誤り

リスクを過小評価。

以下のような監査での改善提言が考えられる。

・大規模情報漏洩事案において、情報漏洩に係るリスク評価が誤っていた
以下の事態が認められる。
①最初にウイルスメールを職員数名が開き、パソコン数台に感染している ①-1 標的型攻撃メール等を検知した際の、初ことを検知した日に、職員宛てにメールや掲示等で注意喚起を行った動のリスク評価は適切か。
が、ウイルス感染の影響を過小評価した。その結果、事態が判明するまで保守的（慎重）な対(a)注意喚起の内容には具体性な「タイトル名、メール内容、添付フ応となっているか。（必要最小限ではな
ァイル名」は記載されていなかった。
く、適切な範囲を想定した対応を行って(b)感染したパソコンを隔離したのみで、そのパソコンつながっていいるか）た当該部署のサーバを他のサーバから隔離する等のシステム的対 ①-2 ウイルス感染された際に、自社でその判応はしなかった。
断の適切性を判断できる人材を確保してなお、この時点では、ウイルスがどのような内容のものか、判別いるか。
（セキュリティ会社に判断を丸投できておらず、外部委託先のセキュリティ会社に調査を依頼してげしていないか。
）
いる状況であった。
(c)数日後、セキュリティ会社より、情報流出させるタイプではないとの回答があり、そのまま静観した。
なお、セキュリティ会社の回答がでるまで、当該パソコンの隔離以外のシステム的対応は行われなかった。
②上記①から約 10 日後、多数の標的型ウイルスメールが届き、数十台の ②標的型攻撃メール等が継続的に、かつ増加しパソコンに感染したことが判明した。
ているときのリスク評価は適切か。
（ウイル
この時点で、情報漏洩リスクの再評価は行われたと考えられるが、そのス感染の可能性を高める等、リスク評価を上評価が十分ではなく、その翌日に警察へ捜査依頼は行ったものの、インげることになっているか。
）
ターネットとの接続を遮断する等のシステム的対応は取られなかった。
③上記②から更に数日後、複数の部署で不審な通信が確認された。しかし、 ③不審な通信が行われる等、自社からの漏えい
そこでも、情報漏洩リスクの再評価に基づく対応を変えるに至らず、イが強く疑われる場合のリスク評価は適切
ンターネットとの接続を遮断する等のシステム的対応の判断はなされか。（漏洩が確定するまででも、強く疑われなかった。
る事態があればリスク評価を高くし、インターネットの遮断を検討する態勢ができているか）④上記③から数日後、警察より情報漏洩している事実の連絡が入った。情報漏洩の事実が確定したにも関わらず、インターネットとの遮断は即日

39④情報漏洩の事実が確認された際には、即時にインターネットを遮断する態勢ができていではなく、その翌日であった。
⑤インターネットとの遮断は、上記④の通りとして対外的に公表もされたが、遮断したネットワーク以外にもインターネットに接続している古い
メール専用ネット回線があることが見過ごされており、実際は④で遮断した日より数日後まで完全な遮断は行われていなかったことが判明した。
⑥加えて、上記⑤の事実が監督官庁に報告されていなかったことが、後日判明した。
（出典：ウィキペディア及び YOMIURI ONLINE の記載事例を参考に、架空の事例を作成）

るか。
⑤遮断すべきネットワークを網羅的に把握し、その遮断方法が明確になっているか）⑥遮断すべきネットワークを網羅的に把握し、その遮断方法が明確になっているか。

⑦情報漏洩等、重大な事態が発生した場合の報告ラインは問題ないか。（当局宛て報告も含め、適時適切な報告を行う態勢ができているか）［事例から得られた知見］

20

社長発案の大型投資案件に対する不十分なリスク評価21

海外の現地企業の買・リスクが顕在化していなくても、大規模情報漏洩リスクなど「懸念」の段階でスピード感のあるリスク対応策を取らなければならないリスクがある。
・「懸念」の段階で、業務運営に支障が出かねない対応を取るためには、
平時から経営に甚大な影響を及ぼす可能性があるリスクを想定・評価
し、顕在化した際に取るべき対応策を検討し、それらについて経営者および従業員の理解を得ておく必要がある。
・企業買収や基幹システム導入など大規模な投資案件を社長によるトップ （活用方法）
ダウンで推進する場合、担当部門は、社長のお墨付きがあったとして「投 ・社長によるトップダウン案件は、担当部門お資ありき」で事業を進めようとしていた。
よびリスク管理部門共に、リスク評価が甘く
・リスク管理部門は、投資に懸念があったが、問題点を指摘すると、社長なることを認識しておく。
の意向に反するのではないかと慮り、必要な意見具申を行わなかった。 （改善提言）
・その結果、リスク評価が不十分なまま、投資が実行され、後にリスクが ・社長主導の大型投資案件は、社長が担当部門顕在化する状況にあった。
およびリスク管理部門に対して通常案件より厳しくリスクを評価するよう指示する等、
社長への定例／随時の監査結果報告の場で［事例から得られた知見］
意見具申する。
・社長発案の大型投資案件では、事業担当部門でも管理部門でもリスク評
価が甘くなることを認識する必要がある。
・Ａ社は海外の現地企業の買収を計画したが、PMI（Post Merger（改善提言）
Integration：M＆A 後の経営統合）のための事前のリスク評価のうち、 ・買収によるメリットだけでなく、潜在的なリ現地企業の現経営陣の意向把握が不十分で、Ｍ＆Ａ後、主要ポストを確
スクへの検討を十分に行う。

40

収に伴うリスクへの対応

保できないリスクを識別できず、その対応策を作成しなかった。
・検討にあたっては買収の直接の実施部署だけ・そのため、買収後の現地企業の COO、CFO など主要ポストを確保する方
でなく、コーポレート部門を巻き込んでチー
向で現地企業と交渉したが、Ａ社は海外企業の買収ノウハウに乏しく、 ム編成する等、社内横断的な体制を構築す
買収後の経営体制についての合意を十分しないまま買収を実施した。
る。
・買収直後、現地企業の経営陣から強い抵抗を受けて主要ポストを確保で ・想定外の状況変化が発生した場合は、経営層
きず、その結果、Ａ社の現地企業への関与度合いは、当初の想定よりもに迅速に、状況を報告する。
低いものとなった。

［事例から得られた知見］
・M＆A におけるリスク評価では、PMI を含めたリスク評価を行い、最悪のシナリオに基づく対応策までを網羅的に作成することが必要である。
・システム運用会社Ａ社では、複数の顧客の EC（electronic commerce： （確認事項）
電子商取引）（注）サイトの開発および運用業務を請け負っている。
・以下により「リスク対応策の有効性」を評価（注）自社や他社の商品・サービスを、インターネット上に置いたウェブサイする。

セキュリティ管理のトで販売するサイトのこと。
対象外となっている・Ａ社の営業担当者Ｂが業務で使用しているノートＰＣが自宅で盗難され特定用途向きパソコ
たと緊急連絡センターから報告を受けた。
ンのリスク評価の不 ①Ａ社では持出用のノートＰＣは事前登録制となっており、かつ常時持出①-1 ノートＰＣの全数管理ができているか。
備（未登録・暗号化／一時持出を区分し、任命された部門責任者が管理するルールとなって ①-2㋐全ての情報端末の登録管理、㋑未登録端
未済・機密情報保管） いたが、当該のノートＰＣは社内使用を前提としており、登録管理を行
末の重点管理。㋒集中購買形式での端末配
22っていなかった。（運用不備）
布。（改善提言）②Ａ社では持出用のノートＰＣには暗号化ソフトを導入するルールとな②暗号化未処理ＰＣがある可能性があることっていたが、当該のノートＰＣは社内使用を前提としており、暗号化処を想定して、確認する。
理を行っていなかった。
（運用不備）③Ａ社では機密情報はフォルダごとにアクセス管理をされたファイルサ③-1 ルール整備の通知時に、それまで記録さーバーに保管し、ＰＣのローカル・ハードディスクには、機密情報を保れたデータ削除の記載があったか。
管しない様にルールが整備された。
③-2 ルールの徹底状況を調査する。
しかし、当該のＰＣにはルール整備前の提案資料・要件定義、メールのバックアップなどの機密情報が保管されたままであった。
（運用不備）④営業担当者Ｂは、徒歩圏内にあるビルでの社内打合せのために夕方ノー ④-1 上司に当該ＰＣが持出し登録されていな
トＰＣをカバンに入れて持ち出した。
いことの認識があったか。
打合せ後に、上司に飲み会に誘われたため、自席へ戻らずそのままノー ④-2 持ち出し登録が一目で分かるシールの添トＰＣを自宅に持ち帰った。
付。および登録状況一覧表の定期的な配布と41

上長確認。
（改善提言）⑤営業担当者Ｂは、ローカル・ハードディスクにどのような営業情報が入 ① 機密情報の保管状況の確認徹底。
（改善提っているかを把握していなかったため、影響範囲の特定に時間を要し、
言）対外公表が遅延した。

［事例から得られた知見］

23「対応策の有効性」
が急激に低下するリ
スクの評価

・情報セキュリティ管理の対象外となっている特定用途向きのパソコンに対する管理状況を確認する必要がある。
・業務監査において、具体的リスクに対して必要な規則・組織が整備され、 （活用方法）
一定期間の運用状況の検証を行い問題なければ、「適切」という判断を行 ・業務および人員の量や質の急激な低下など、うことが多い。
「対応策の有効性」に重大な影響を及ぼす要・しかし例えば、㋐震災等の特需で業務が想定外に増えたり、㋑インフル
因を把握しているか。
エンザ感染者・退職者の続出などでマンパワーが想定外に不足したり、また、㋒それらが同時発生した場合に、「対応策の有効性」が一時急激に低下する可能性がある。

［事例から得られた知見］
・想定外の業務増加や人員不足等、リスク対応策の有効性に重大な影響を及ぼす要因のリスク評価を確実に行うことが必要。

42

３．良好な事例
No

表（2 項目）

題

責任者全員への記名
式リスク調査～一般的なリスク評価手法の適用が難しい大学固有のリス
クの評価事例

具体的事例

内部監査での活用方法・確認事項・改善提言（私立大学における組織の特徴とリスク評価の難しさ）（活用方法）
・私立大学は、各大学固有の「建学の精神」に基づいて、教学組織（教員） ①リスク評価サーベイの結果から、大学特有のとこれを支援する事務局組織（事務職員）から構成されている。
リスク分野（注）と所管・関連事務局組織をマ・教学組織は、一般的に学部単位等で独立色が強く、リスク管理もサイロ
トリックスとして整理し、全体のリスク構成型である。
を把握する。
（注）
・さらに、各大学の組織の運営・管理も多種多様であるため、リスク評価㋐カリキュラム（授業、教育課程編成）の際に、同業他社比較等のベンチマーキングが難しい。
（責任者実名アンケートによるリスク評価サーベイ）
・教学組織および事務局組織の責任者全員への実名によるアンケート調査（注）を実施。
（注）例えば、「大学及び大学を取り巻くリスク調査」といった名目で。

24＜メリット＞(a)回答率は 100%。
(b)記名なので情報格差の特定が可能。
(c)責任者による回答であり質が高い。
＜留意点＞(a)コンサル会社等の助言に基づいたアンケート調査の場合、実態に合わないワンパターンのリスク分野で分類されがち。
(b)各大学固有の組織、運営・管理の状況に適合したリスクの整理が不十分
・アンケート結果は集約のうえ、リスク評価が調整され、関係者にフィードバック。

［事例から得られた知見］
・リスク管理体制は所属する組織ごとにユニークであり、リスク評価に必要な情報が限定されているケースにしばしば直面する。
その場合、様々なルートでリスク評価に利用可能な情報を収集すること
が必要。

43

㋑ディプロマ（卒業、学位授与）㋒アドミッション（入試、入学者受入れ）㋓研究費使用管理㋔学生生活支援 等②同時に、責任者回答が多い分野は、大学としてリスクが高い分野であることが推認される。
③上記①、②で把握した全体のリスク構成とリ
スクが高い分野に対して、過去に監事監査および内部監査（業務監査）として実施してきた監査項目、監査対象組織をトレースする。
④その結果、ハイリスクであるにもかかわらず、従来監査対象から漏れていたリスクが把握できる。

企業グループ全体でのリスク管理手法の展開

25

・リスク管理がサイロ型でありリスク管理統括機能が不十分な組織でも、組織横断的な調査やアンケート等が実施されている場合には、それらは有効なリスク評価サーベイとして利用できる。
・自動車メーカーＡ社は、グループリスク管理の一環として、グループリ （確認事項）
スク管理委員会を毎月開催し、取り上げられたテーマについてリスク評 ・グループリスク管理委員会で共有されたグル価を行い、その評価結果に基づく対応策を議論している。
ープリスク管理方針が、どのように社内で報
１．出席者
告・共有されているか。
・親会社コンプライアンス部門 ※事務局：部長、課長、担当者
・グループ各社のコンプライアンス担当者 ※主に部課長クラス（活用方法）
・外部アドバイザー ※専門的知見の提供
・グループリスク管理委員会の議事録を毎回確
２．目的認し、グループおよび自社にとっての重点リ（１）自動車産業のプレーヤーとしての社会的責任を果たすこと
スクや方針などを把握し、内部監査部門での（２）レピュテーションの毀損を予防すること
リスク評価に活用する。
（３）その他事業上のコンプライアンスリスクへの対応
３．主なテーマ
・個別監査の計画・予備調査の段階で、グルー
製造・交通・環境関連のリスクを中心に幅広く時宜にかなったコンプ
プリスク管理委員会で議論された内容がどライアンステーマのように業務に取り込まれているのかを確
４．運営
かめ、必要に応じて監査項目として取り上げ（１）社内外の事例の発生シナリオや損失額からリスク評価を実施し、そる。
のリスク評価に基づき議論を行うことで、グループ内でリスクに対する価値観を共有する。
（２）同委員会を受けてグループ各社は自社でリスク委員会を開催し、自社の状況に置きなおしたリスク評価の実施および統制活動の設計を行っている。

［事例から得られた知見］
・グループ各社のリスク管理担当者が一堂に会して意見交換をすることは、グループガバナンスやグループ全体でのリスク管理の強化に貢献する。
・グループ各社の担当者にとって、自社内に十分な相談相手がいるという状況は稀であり、横のつながりが持てることは有益である。
・また、リスクの識別・評価を自社内だけで実施していると、どうしても漏れや偏りが生じるが、グループ横断的な会議体があることで、相互補44

完やグループポリシーの浸透が期待でき、グループ全体のリスク管理体
制が強化される。

45

参考文献①トレッドウェイ委員会支援組織委員会（ＣＯＳＯ）著『Risk Assessment in Practice（リスク評価の実務）』（2012 年 10 月）②トレッドウェイ委員会支援組織委員会（ＣＯＳＯ）著 八田進二・箱田順哉監訳 日本内部統制研究学会 新ＣＯＳＯ研究会訳『ＣＯＳＯ内部統制の統合的フレームワーク』（2014 年 2 月 日本公認会計士協会出版局刊）」

以

46

上