Ⅳ．内部監査のポイント
内部監査のポイントは、固有のリスク・プロファイルや、それを踏まえたリスク管理のあり方によって異なります。
ここでは、主要なリスクに関してＶａＲを計測し、リスク管理に活用しているケースに焦点を当てて、内部監査のポイントや留意点を整理します。

1

目

次

１．リスク管理と内部監査
２．監査計画の策定
３．監査プログラムの作成
４．監査実施のポイント

2

１．リスク管理と内部監査牽制機能の発揮

リスク管理手続き
指示

経営陣
戦略、リスク許容度の決定
報 告

リスク管理部署（ミドル部署）

監査結果の報告監査

リスクの把握フロント部署

監査部署
監査
監査

バック部署

各部署から独立 した組織 とする。

3

内部監査の役割


組織防衛の最終ライン
フロント、ミドルによるリスク管理プロセスを検証することを通じて「組織防衛の最終ライン」として牽制機能を発揮する。



PDCAサイクルの推進力
監査結果にもとづいて、各部署がリスク管理プロセスの見直し、改善を促すことにより、組織全体の「PDCAサイクルの推進力」として機能する。
4

２．監査計画の策定

内部監査の計画はリスクベースで策定する。
年度監査 計画リスク評価監査対象の決定 見･直しフォローアップ

監査報告書

実地監査
監査プログラムの作成

予備調査

監査通知

個別監査計画

品質評価 と 継続的改善
１０９８７６５４３２
１１5

リスクの重要度と監査資源の配分がミスマッチになっていないか
市場VaR

信用VaR

＜信用リスク管理体制

内部監査

市場リスク管理体制

＞

内部監査
6

３．監査プログラムの作成
近年、リスク管理技術は、急速に高度化・専門化している。
 内部監査部門のスタッフに、リスク管理の高度化に精通したものが少なく、実効性のある監査を行ううえでネックとなっている、との声も聞かれる。
⇒ 監査プログラムの作成・実施にあたり、内部監査部門の専門的能力が不足する場合、① CSA（コントロール自己評価）の活用② 外部専門家との共同監査（コ・オーディット）を検討すると良い。
⇒ 業務知識や監査スキルの蓄積に有効。
7

（参考）CSAの活用事例


リスク管理技術が高度化・専門化している業務の担当部署に対して、内部監査部門が 下表のようなリスク・コントロールマトリックスの作成を依頼。
 担当部署による自己評価の結果を監査プログラムの作成に活用する。
管理プロ
固有リスク

項目

リスク内容
影響度

発生
頻度

市場取引のオペミス

大大

市場運用の損失隠し

大

低

残余リスク

セス
有効性の評価

影響度

発生
頻度

評価

大

概ね有効

大中中中

有効

大

低小評

価

8

（参考）外部専門家の活用▽ 共同監査、監査の外部委託の事例
リスク計量化技法・モデルの監査システム監査J-SOX運用テストなど▽ 外部専門家の活用
合計 大手 地域 信金 証券
内部監査業務の全部又は一部を アウトソースしたことがある。
回答先

１４７０３

４４０

１２

１０１０８

日本銀行 「わが国金融機関の内部監査の現状について」（2007/6）
9４．監査実施のポイント

以下の項目について、内部監査を行っているか。

 リスク計測手法に関する記録は適切に文書化され、遅滞なく更新されていること
 リスク計測手法と、戦略目標、業務規模・特性およびリスク・プロファイルとの整合性
 リスク計測手法によって捉えられる計測対象範囲の妥当性
 リスク計測手法、前提条件等の妥当性
 リスク計測に利用されるデータの正確性及び完全性
 継続的な検証（バック・テスティング等）のプロセス及び結果の適正性
 リスク計測手法の特性（限界と弱点）を考慮した運営の適切性（注）金融検査マニュアル・リスク管理態勢の確認検査用チェックリストより抜粋 10

リスク計測手法に関する文書化と変更管理の状況を確認する。


リスク計測手法の採用・変更に関する経営陣への報告資料が適切に文書化され、保存されているか。

（例）報告書に記載を要する重要事項
・リスク計測手法の概要説明（設計思想、前提条件等）
・リスク計測手法選択の検討結果、決定根拠・バックテスト、ストレステストの実施内容、検討結果、判断根拠⇒ リスク計測モデル・手法の概要を把握するため、経営陣への報告・説明資料の提出を求めるのが良い。
⇒ リスク計測手法に関する経営陣の理解レベルも分かる。
11

リスク計測手法とリスク・プロファイルの整合性を確認する。
リスク・プロファイルからみて、妥当なリスク計測手法を採用しているか。
⇒ 例えば、 様々なVaR計測手法をリスク・プロファイルに応じて使い分けていることを確認する。
（例）信用VaRの計測手法の使い分け・モンテカルロ・シミュレーション法：事業性貸出・無限分散を仮定した解析的手法：小口分散された個人ローン等（例）市場VaRの計測手法の使い分け
・分散共分散法：一般金融商品（オプション性、ファットテールなし）
・モンテカルロ・シミュレーション法： オプション性の強い商品
・ヒストリカル法： ファット・テールな損失分布を持つ金融商品
12

リスク計測の対象範囲を確認する。
重要なリスクの計測漏れはないか。
⇒ リスク計測の対象範囲をインタビューし、原データから対象範囲を確認する。

（リスク計測の対象範囲が不適切な事例）
・ 時価評価されない満期保有の有価証券について市場リスクの計測対象から除外している。
・ 事業債の信用リスクを計測していない。
・ 連結対象子会社のオペリスクを計測対象から除外している。
13

リスク計測の頻度を確認する。
リスク計測の頻度は妥当か。
⇒ データの入手可能なタイミングではなく、経営判断を行なうタイミング、コントロール可能なタイミングに合わせて、ＶａＲの計測頻度を決めているか確認する。

（計測頻度の例）
・有価証券投資に係る市場VaR ・・・ 日次計測が一般的。
・銀行勘定全体に係る市場VaR ・・・ 月次計測の先が多いが、日次計測を始めた先もみられる。
・信用ＶａＲ ・・・ 月次計測の先もみられる。
・オペＶａＲ ・・・ 半期・年次計測の先が多い。
14

リスク計測手法の前提を確認する。
 リスク計測手法の前提は妥当か⇒ ＶａＲ計測の目的が、①フロント部署がリスク・ポジションを管理するためなのか、あるいは、②ＶａＲをリスク資本と対比して経営体力の十分性を検証するためなのか、で前提の置き方は大きく異なる。
⇒ リスク計測の目的に照らし、保有期間、信頼水準、観測期間の設定や相関の勘案状況がＶａＲ計測の目的と整合的か、を確認する。

15

（信頼水準、保有期間、相関）＜例①＞フロント部署のポジション管理を目的とする場合
・ 信頼水準、保有期間を統一して、相関も考慮し、リスク量の全体感、方向感を把握するのが原則。
・ 保有期間については、リスク量の全体感、方向感を把握するための「リスク評価期間」とする。必ずしもポジションの解消・再構築に要する期間を考慮する必要はない。
・ 信頼水準については、管理者からみて、より実感の湧く、現実的なレベル（９０％など）に設定することもあり得る。
必ずしも保守的（９９．９％など）に設定する必要はない。
16

（信頼水準、保有期間、相関）＜例②＞経営体力の十分性の検証を目的とする場合
・ リスク資本と、保守的に計測・合算されたＶａＲを対比して経営体力の十分性を確認する。
・ 信頼水準を高く、保有期間を長く、保守的な方向で統一し統合ＶａＲを計測したり、あるいは、信頼水準、保有期間の異なるＶａＲを単純合算（相関は非勘案）して、リスク資本と対比することもある。
・ 信頼水準の設定にあたっては、経営の考え方との整合性を確保する。保有期間の設定にあたっては、ポジションの解消・再構築に要する期間を考慮する。
17

（観測期間）・ 計測目的に応じた、合理的な観測期間が設定されているかを確認する。
⇒ 観測期間（過去）と保有期間（将来）は「過去は繰り返す」と思えるような連続した期間である必要がある。
・ 十分な観測データを確保可能かを確認する。
⇒ 例えば、ＶａＲを日次計測する場合、1年以上の観測データがあることが望ましい 。
・ 観測期間を変更している場合は、合理的な理由があるか、確認する。
18

観測期間１年（ボラティリティ大）99％

観測期間２年（ボラティリティ小）

99％

19

19

データの正確性と完全性を確認する


観測データ・セットは、正確で完全か。

⇒ 規程・マニュアル等で、観測データの入手手続きや時価の算定方法などに問題がないか、を確認する。
⇒ 観測データに関して、システムによる自動入力か、手入力か、を確認する。
⇒ 欠損データの扱い、休日データの扱いをどうしているか、を確認する。
⇒ 観測データに異常値が含まれていないか、を確認する。
20

継続的な検証（バック・テスティング等）のプロセスおよび結果の適正性を確認する。
バックテストを継続的に実施しているか。

バックテストの結果を経営陣に報告しているか。

⇒ ＶａＲは統計的手法で計測された推定値に過ぎない。したがってバックテストによる検証を経なければ、ＶａＲは有効とは言えない。
但し、信用VaR、オペリスクVaRに関しては、データ制約があるため、バックテストの実施が難しい。

⇒ VaRの計測値が経験則、実感に合うか確認する。疑義がある場合は、モデルの選択やパラメータ推計方法の適切性について検討する。
21

継続的な検証（バック・テスティング等）のプロセスおよび結果の適正性を確認する（続き）。
バックテストの結果の評価は適切か。
⇒ ＶａＲ超過回数だけで単純に判断しない。ＶａＲ超過がゼロというのも、ＶａＲ計測モデルが保守的すぎる可能性。
 ＶａＲ超過損失が発生したときの分析は行なっているか。
⇒ 重要なのは、ＶａＲ超過損失の発生要因、背景を十分に分析すること。
 バックテストの実施プロセスは適切か。
⇒ ルートＴ倍法のバックテストは、本来、「ルートＴ倍」の前提を含めて検証するのが妥当。日次ベース損失の検証だけでは不十分。
22

リスク計測手法の限界、弱点の理解とストレステストの実施状況を確認する。


ＶａＲの限界を理解して、ストレステストを実施しているか。



ストレステストの結果を経営陣に報告しているか。



内外環境を十分に分析して、まず、組織全体でストレス事象に関する認識を共有することが重要 。


ストレス・シナリオが顕現化した時の対応策を協議・検討しているか。

23

ストレステスト実施のポイント①


信頼水準の引き上げ、相関の非勘案など、ＶａＲ計測の前提を厳しく置き直したり、過去の幾つかのショック時の変動を形式的に想定するだけでは不十分。



内外環境を十分に分析し、forward-looking にシナリオを作成して、財務面、資金流動性への影響をみるなど、リスクに備えて いるか？
・ 組織のリスクプロファイルの勘案
・ 環境変化の予想

24

ストレステスト実施のポイント②


組織全体でストレス事象に関する認識を共有しているか？



経営陣、フロント部署、リスク管理部署によるリスク・コミュニケーションは十分か？
・ 経営陣の関心の高さ
・ フロントのリスク意識の高さ
・ リスク管理部署のシナリオ提示の工夫

25

ストレステスト実施のポイント③


ストレステストを組織の意思決定に活用しているか？



経営体力（資本）を毀損しない範囲で、ストレステストを行って安心するだけでは意味がない。



さまざまな視点でストレス・シナリオを想定し、いざというときに備えて、予め対応策を協議・検討しておくことも重要。
・アラームポイントの設定
・リスク削減の優先順位、実行手順の検討
・資本増強の必要性、実行のタイミングの検討
・資金流動性の確保方法・実行手順の検討
26

ご清聴ありがとうございました。

27