内部監査
成熟度モデルの紹介
PwCあらた有限責任監査法人 パートナー 辻田 弘志
2019年8月20日
本資料はPwCとしての公式な見解を示すものではありません。

Agenda「金融機関の内部監査の高度化に向けた現状と課題」について
1. 高度化への道筋を提示した意義
2. 金融庁の示す水準のポイント

04
05

PwCの成熟度モデルについて
1. 成熟度モデルとは
2. PwCの成熟度モデル
3. 成熟度を測る寄与要因（Attributes）
4. 成熟度モデルにおける到達度

12
13
14
23

Appendix

26

PwC

2

「金融機関の内部監査の高度化に向けた現状と課題」について

高度化への道筋を提示した意義
今般、金融庁より「金融機関の内部監査の高度化に向けた現状と課題」が公表された。従来の指針は、内部監査に求められる最低限の内容を示すものだったのに対し、今回公表された指針では、内部監査の成熟度を４段階で表し、各段階ごとで求められる内部監査機能を明示することにより、高度化の道筋を示した。
これにより、各金融機関は自身がどの段階に位置し、また、次の段階に進むために何が必要とされているのかを、より具体的に認識することができるようになった。

第一段階（Ver.1.0）

第二段階（Ver.2.0）

第三段階（Ver.3.0）

第四段階（Ver.4.0）【事務不備監査】【リスクベース監査】【経営監査】【信頼されるアドバイザー】• 事務不備、規程違反等の発見を通じた営業店への牽制機能の発揮• リスクアセスメントに基づき、高リスク領域の業
務プロセスに対する問題を提起• 内外の環境変化等に対応した経営に資する保証を提供• 保証やそれに伴う課題
解決に留まらず、経営戦略に資する助言を提
供

PwC

4

金融庁の示す水準のポイント
内部監査の位置づけ、フォーカス領域
特に第三段階（Ver.3.0）以上では、内部監査は経営陣に対し、ビジネスモデルやガバナンスの有効性・妥
当性といった、組織全体に関わる問題についても保証を提供することが求められている。
また、これに伴い内部監査の位置づけやフォーカス領域もより経営目線となる必要がある。

内部監査の位置づけ•

組織体のガバナンス、リスクマネジメント等の有効性・妥当性の評価と、改善に向けた示
唆の提供•

よりフォワードルッキングな観点からの、内外の環境変化に対応した経営に資する保証の提供
フォーカス領域•

ビジネスモデルやガバナンスに係る問題の根本原因の追究•

経営戦略の遂行状況•

実質的に良好な金融サービスが提供されているか•

経営環境の変化や収益・リスク・自己資本のバランス
価値提供の対象•
PwC

被監査部署から経営陣へ
5

金融庁の示す水準のポイント
内部監査の地位（人材）
内部監査態勢を高度化する上では、内部監査の重要性を考慮した、通常のローテーションによる人員配置とは異なる人事戦略を実施する必要がある。
また、トレーニー受け入れやキャリアパスの一環としての運用など、人材を輩出する部門としての機能も求められている。
想定される人事戦略•

中長期的な視点での人材ポートフォリオ管理→ 専門領域や監査経験を踏まえた、監査リソースの確保•

組織全体のビジネスや経営戦略を理解した人材の戦略的な配属→ 経営監査実施のため、組織全体に精通した人材確保が必要•

執行部門からの短期トレーニー受け入れ等、内部監査の部分的な活用→ 執行部門における管理能力の向上•

若手職員、部門長候補または経営者候補のキャリアパスの一部としての運用→ 内部監査部門の地位向上および職員の組織におけるキャリア形成

PwC

6

金融庁の示す水準のポイント
内部監査の体制
経営目線での監査を実施するにあたり、特にグループ・グローバルで業務を展開する金融機関においては、
グループ・グローバルベースでの内部監査体制の構築がなされる必要がある。
また、経営監査においては内部監査部門の独立性が特に意識されることから、独立性を強化する取組みもまた必要である。

取組み例

PwC

•

グループ・グローバルでの内部監査機能の連携・報告体制の見直し•

グループ・グローバルでの監査手法の統一化•

マネー・ロンダリング等の専門領域におけるグローバル一体監査の実施•

取締役会（職務上）やCEO（部門運営上）との指示・報告経路の確立

7

金融庁の示す水準のポイント
内部監査の品質管理
従来行われているIIA基準への適合性評価のみならず、ビジネスと関連する様々な国際基準への適合性についても品質評価を実施できる態勢を構築する必要がある

取組み例

PwC

•

品質評価専担者の配置（グループ・グローバル）•

被監査部署による改善対応の有効性評価のための専門チームの配置•

FRB、OCC、CIIA等による内部監査への期待事項への対応状況評価の実施

8

金融庁の示す水準のポイント
第四段階（Ver.4.0）に向けて複雑さが増す昨今の経営環境を背景に、保証や課題解決に留まらない役割の発揮が内部監査に期待されている。しかし、第四段階（Ver.4.0）で示された「信頼されるアドバイザー」を目指す上で、金融機関は以下の点に留意する必要がある。

•

経営監査の基本として、戦略課題・経営課題へのリーチが重要•

戦略課題・経営課題が変わればフォーカス領域は変わりうる•→ 第四段階（Ver.4.0）において紹介されている領域（カルチャー、経営環境の変化）は今のトレンドを表しているだけであり、必ずしもこれらがフォーカスされ続けるわけではない

独立性を維持した状態で経営の意思決定に対する提言機能を強化する→ 個別監査の報告のみならず、日常モニタリング（オフサイトモニタリング）の場で質問・提言を行うなど価値提供の場を増やす→ これに伴い、アジャイル監査の導入など監査アプローチも変わる必要がある•

内部監査態勢の高度化は、内部監査部門のみでは達成できない→ 高度化に係る要請は経営が出すべきものであり、第四段階（Ver.4.0）を目指すには経営陣（取締役、業
務部門単役員）の内部監査に対する期待や理解を変える必要がある→ 同様に、2線の高度化（3LoD自体の高度化）もセットで行う必要がある• あくまで成熟度モデルは積み上げであり、アシュアランス業務を疎かにしてはいけない
PwC

9PwCの成熟度モデル
金融庁の示す水準とPwCの成熟度モデルの比較
金融庁が示した四段階の成熟度と、PwCの成熟度モデルとの比較は以下のとおり。

信頼される
ビジネス
アドバイザー

経営への貢献レベル

洞察提供者

問題解決者

アシュアランス
提供者
問題発見者

準拠性の
検証者

内部統制上の問題を提起している

組織の内部統制の有効性に対す
る客観的なアシュ
アランスを提供している

根本的な原因分
析に基づき課題を抽出し、組織の問題解決を支援
している組織のパフォーマ
ンスや品質の向上に有益な示唆を積極的に提供
している

ビジネス活動に対する付加価値の高い戦略的なアドバイスを実施している

定められたルールの運用状況を検証している低第一段階（Ver.1.0）
PwC

中内部監査の成熟度
第二段階（Ver.2.0）

第三段階（Ver.3.0）

高第四段階（Ver.4.0）
10

PwCの成熟度モデルについて

成熟度モデルとは

IIA基準と成熟度の違い
一定の基準を示すIIA基準に対して、成熟度は、どこまで到達しているかの段階で示すもの• 成熟度の最上位は必ずしも実務的に実現できているものでもない。基本はベストプラクティスをベースとしたもの

内部監査はどのような価値を提供してくれるのか？
内部監査に何を期待すべきか？
マネジメント 被監査部門

成熟度モデル6

期待• すべての組織が最上位を目指すべきものでは無く、利害関係者の期待に合わせていくべきものである• 一方で、利害関係者自体が、成熟度やIAが提供できる価値を完全に理解しているわけではないので両者のコミュニケーション（理解促進）が重要となる

5
4
現状

3
2
1

• 傾向として欧米の金融機関は Trusted Advisor を目指す傾向が強い。本邦の金融機関では利害関係者を含めてそれに対して懐疑的な見方をする金融機関もみられる

利害関係者は何を望んでいるのか？
現在の達成度は？何を強化すべきか？
内部監査部門PwC

12

PwCの成熟度モデル
PwCでは6段階の成熟度モデルを定義• 最上位の「信頼されるビジネスアドバイザー（Trusted Advisor）」はPwCの定義に限らず、広く世の中で受け入れられているものである（内部監査に限らず、2線においても同様）• IAにおいてはアドバイザー的役割と厳格な保証の提供の2つの考え方がある。両者についての選択的な議論が多くなされるが、本来は矛盾するものでも、相互排他的なものでもなく、保証の上にアドバイザー的な役割が成立するものである
信頼される
ビジネス
アドバイザー

経営への貢献レベル

洞察提供者

問題解決者

アシュアランス
提供者
問題発見者

準拠性の
検証者

内部統制上の問題を提起している

組織の内部統制の有効性に対す
る客観的なアシュ
アランスを提供している

根本的な原因分
析に基づき課題を抽出し、組織の問題解決を支援
している組織のパフォーマ
ンスや品質の向上に有益な示唆を積極的に提供
している

ビジネス活動に対する付加価値の高い戦略的なアドバイスを実施している

定められたルールの運用状況を検証している

低PwC

中
内部監査の成熟度

高13

成熟度を測る寄与要因（Attributes）
PwCでは8つの寄与要因を定義
PwCでは、6段階の成熟度を測るための寄与要因として、8つの構成要素を定義している。
8つの構成要素の詳細については公表していないため、次頁以降では各構成要素について一般化して紹介する。
品質と革新

ビジネスとの方向性の一致• 品質標準が定義され、内部監査部門の全活動をカバーしている• 改善の機会を発見するために、公式な品質評価が定期的に行われている• 革新が内部監査の文化に混みこまれており、継続的に発展し、報いられている• 期待は明確に表現され、伝達されている• 内部監査は自らの目標及び価値を定義し明示している• 公表された目標とビジョンへ向けての進捗を測定するために、測定基準が開発されている

利害関係者管理• 利害関係者は、内部監査が業務的に卓越しており、必要に応じて戦略的なサポートを提供していると認識している• 期待、コミュニケーション戦略、タイムラインを含んだ
内部監査の戦略的な計画が存在する• 内部監査は、一対一インタビューと調査票方式の両方を通じて、定期的に自部門に関するフィードバックを求めている• 内部監査部門は、期待を定義し、監査の範囲を共有するために、事業部門と調整している

リスクフォーカス
ビジネスの品質と革新 方向性との一致

利害関係者
管理

リスク
フォーカス

費用対効果

人材最適化
モデル

• リスク評価の方法論を定め、定期的にリスク評価が行っている。
• KRI（重要なリスク指標）を定め、期中において動的に内部監査
計画に反映し、内外のリスク環境変化に対応している。
• 監査計画はトップダウンの戦略的なアプローチとビジネスリス
クを識別するためのボトムアップアプローチとの両方に基づいている• 監査計画は企業と外部ビジネス環境の変化に対応するため、常に更新されている

人材最適化モデル
費用対効果• 人材配置モデルは、監査活動を効率的に完了するた
めに、スタッフレベルや地理的な場所を変えながら、内部と外部リソースを効果的に活用する• 生産性は、最も費用対効果の高いサービスを提供するために、積極的に測定され管理される• 監査方法論とプロセスは費用対効果のために標準化・簡略化される• 監査のインフラへの投資は、練り上げられたROIアプ
ローチに基づいて実施されるサービス文化• 利害関係者の期待に基づいて顧客の満足度を測定している• すべてのサービスは目的と価値のバランスを取って提供される
PwC

サービス文化

テクノロジー• 要求される期待に合わせるため、核となる内部監査と特定事項の専門家(ビジネス感覚を十分に有する者を含む)の適切な組み合わせが存在している• コンフリクト管理とクリティカルシンキングに加え、ビジネスや関連するリスクについての内部監査の知識を向上させるための継続的な学習と能力開発モデルが存在する• スタッフへのパフォーマンスフィードバックは部門のみならず、スタッフ自身の成長と能力開発を促進するために行われる

テクノロジー• データ分析が行われているため、事業領域と方向性を一致させることが可能となり、また、自動化を通じて効率よくテストを行うことが可能となる• データは、ビジネス上の課題と所見、改善提案において深くかつ説得力ある情報を提供するために利用される• 継続的な監査技法はリスク兆候を初期に警告するため及び監査範囲を拡大するために活用される• 関連する活動はｶﾞﾊﾞﾅﾝｽ･ﾘｽｸ･ｺﾝﾌﾟﾗｲｱﾝｽ(GRC)ツール活用を通じて、効果的にコーディネートされる
14成熟度を測る寄与要因（Attributes） 1/8
ビジネスとの方向性の一致
組織の戦略と一致する内部監査の目的や戦略が定義され、その進捗の測定基準が開発されているか
準拠性の検証者

問題発見者

アシュアランス
提供者

信頼される
アドバイザー

問題解決者

洞察提供者

- 公式に存在- 一部の重要事項に焦点が置かれた部
分的なもの- 公式に存在- 内部監査業務全般についての網羅的な戦略- 短期的な組織目標の達成を意図

- 公式に存在- 内部監査業務全般についての網羅的な戦略- 短期的および長期的な組織目標の達成を意図- 年次の見直し- 公式に存在- 内部監査業務全般についての網羅的な戦略- 短期的および長期的な組織目標の達成を意図- 年次の見直し- 外部の内部監査
関連分野のトレンドを考慮- 公式に存在- 定量的な指標- 公式に存在- 定量的な指標- 公式に存在- 定量的な指標- 所要時間などの内部指標に焦点がおかれた部分的な測定基準- 内部監査業務全般についての網羅的な測定基準- 短期的な部門目標の達成を測定- 内部監査業務全般についての網羅的な測定基準- 短期的および長期的な部門目標の達成を測定- 公式に存在- 定量的および定性的な指標- 内部監査業務全般についての網羅的な測定基準- 短期的および長期的な部門目標の達成を測定

内部監査の目的と戦略- 存在しない- 非公式に存在【具体的な施策例】• 企業戦略と整合した内部監査戦略（P27）• 戦略目標に整合した監査テーマの選定（P28-29）
業績の測定基準- 存在しない- 非公式に存在【具体的な施策例】• 内部監査のチャーターの制定（内部監査の価値、パフォーマンス測定指標（KPI））
（P30）

PwC

15

成熟度を測る寄与要因（Attributes） 2/8
リスクフォーカス
トップダウンアプローチおよびボトムアップアプローチとの両方に基づき、内外のリスク環境の変化に対応したリスク評価および監査計画の策定を行っているか
準拠性の検証者

問題発見者

アシュアランス
提供者- 年次の実施- 非公式なプロセス- 限定的な業務範囲のリスクポートフォ
リオを反映- 年次リスク評価に基づかない計画

信頼されるアドバイザー

問題解決者

洞察提供者

- 年次の実施
- 公式のプロセス- 組織全体のリスク
ポートフォリオを反映- 年次の実施
- 公式のプロセス- 組織全体のリスク
ポートフォリオを反映- 主要な利害関係者のニーズを考慮- 年次の実施
- 公式のプロセス- 組織全体のリスク
ポートフォリオを反映- 主要な利害関係者のニーズを考慮- リスク評価結果を
組織全体で共有- 年次の実施
- 公式のプロセス- 組織全体のリスク
ポートフォリオを反映- 主要な利害関係者のニーズを考慮- リスク評価結果を
組織全体で共有- リスク評価結果をERMに反映- 年次リスク評価に基づく計画- 最高経営者および取締役会への事
前協議- 年次リスク評価に基づく計画- 最高経営者および取締役会への定
期的な報告- 専門家の活用- 年次リスク評価に基づく計画- 最高経営者および取締役会への定
期的な報告- 専門家の活用- 内部監査部門外の監査スケジュールを考慮- 年次リスク評価に基づく計画- 最高経営者および取締役会への定
期的な報告- 専門家の活用- 内部監査部門外の監査スケジュールを考慮- 継続的な更新

リスク評価- 不定期の実施- 非公式なプロセス

監査計画- 存在しない【具体的な施策例】• グループベースでのオーディットユニバー
スの統合・統一化• グループ横断的なリスク評価（グループ
ベースでのリスク評価方法の統一）

PwC

16

成熟度を測る寄与要因（Attributes） 3/8
人材最適化モデル
利害関係者からの期待に応えるための適切な人員構成となっており、また職員の継続的な学習と能力開発モデルが存在しているか
準拠性の検証者

問題発見者

アシュアランス
提供者

信頼される
アドバイザー

問題解決者

洞察提供者

- 人材確保戦略の定義および策定- ニーズを反映した
採用基準- 戦略の年次見直し- 人材確保戦略の定義および策定- ニーズを反映した
採用基準- 戦略の年次見直し- 年次の技能棚卸- 人材確保戦略の定義および策定- ニーズを反映した
採用基準- 戦略の年次見直し- 年次の技能棚卸- 最高経営者による支援- 人材確保目標の
業績評価指標への組み込み- 財務監査の技能- ビジネスプロセス
およびITGC関連
技能- 幅広いビジネスおよび業界知識- 財務監査の技能- ビジネスプロセス
およびITGC関連
技能- 幅広いビジネスおよび業界知識- 専門分野への第三者の活用- 財務監査の技能- ビジネスプロセス
およびITGC関連
技能- 幅広いビジネスおよび業界知識- 専門分野への第
三者の活用- ジョブローテーショ
ンを通じた包括的なリスク認識人材確保戦略- 資格取得状況の
非公式な管理- 人材確保計画を策定- 人材確保計画を策定- ニーズを反映した
採用基準【具体的な施策例】• 人材の確保（P32）• 1-3線間での人材ローテーション、内部監
査の経験を含むキャリアパスの確立
スキルセット- 限定的な知識と専門性- 財務監査の技能- 限定的なビジネス
プロセスおよびITGC関連技能【具体的な施策例】• 各職階、専門職を含む各職種で達成すべ
きコンピテンシーの定義、教育・指導（P31）• CoEの確立（P33-34）• コソーシング、アウトソーシング（P33-34）
PwC- 年次リスク評価に- 財務監査の技能- ビジネスプロセス
およびITGC関連
技能17

成熟度を測る寄与要因（Attributes） 4/8
費用対効果
内部と外部のリソースを効果的に活用するとともに、最も費用対効果が高いサービスを提供できるよう生産性が管理・測定されているか
準拠性の検証者

問題発見者

アシュアランス
提供者- 監査業務ごとの予算策定- 予算に対する進捗状況のモニタリング- 監査業務ごとの予算策定- 予算に対する進捗状況のモニタリン
グ

問題解決者

洞察提供者

- 監査業務ごとの予算策定- 予算に対する進捗状況のモニタリング- 第三者の活用経費を検討した予算- 監査後の所要時間に係る余剰分析- 監査業務ごとの予算策定- 予算に対する進捗状況のモニタリング- 第三者の活用経費を検討した予算- 職員の職階や担当を考慮した、監査後の所要時間に係る予実分析
- コストの余剰を最小限にするための
行動計画

信頼される
アドバイザー

予算とモニタリング- 監査業務ごとの予算策定- コストの余剰を最小限にするための行動計画- 監査業務ごとの予算策定- 予算に対する進捗状況のモニタリング- 第三者の活用経費を検討した予算- 所要時間、監査技能等を含めた、各
職員ごとの総合的な生産性分析
- 費用対効果を最大とする行動計画【具体的な施策例】• アジャイルオーディットの活用（P38）• 生産性の分析（価値ある発見事項への注力、真因分析の強化）• コソーシング、アウトソーシング（P33-34）• SDC（Shared Service Center）の活用（P34）• アシュアランスマップを活用した業務の整理（3LoDによる役割分担、２線との連携） （P35）

PwC

18

成熟度を測る寄与要因（Attributes） 5/8
品質と革新
全領域をカバーする品質水準が定義されるとともに、定期的な品質評価を活用し、内部監査の継続的な発展を行っているか
準拠性の検証者
監査方法論- 非公式に存在

問題発見者- 公式に存在

アシュアランス
提供者

信頼される
アドバイザー

問題解決者

洞察提供者

- 公式に存在- 監査方法論についての部門内教育- 公式に存在- 監査方法論についての部門内教育- コンサルティングおよびアシュアランス
業務以外についての方法論の策定- 公式に存在- 監査方法論についての部門内教育- コンサルティングおよびアシュアランス
業務以外についての方法論の策定- 年次見直し- 監査関連出版物の見解を考慮

- 公式に存在- 監査方法論についての部門内教育- コンサルティングおよびアシュアランス
業務以外についての方法論の策定- 年次見直し- 監査関連出版物の見解を考慮
- 方法論を継続的に改善するプロセス- 年次実施- 一連の基準と整合した品質評価基準- 年次実施- 一連の基準と整合した品質評価基準- 品質評価後のモニ
タリング- Quality
Management
Review、Engagement
Compliance
Reviewの年次実
施- 一連の基準と整合した品質評価基準- 品質評価後のモニタリング- 品質評価結果の取締役会によるレビュー- QMR、ECRの年
次実施- 一連の基準と整合した品質評価基準- 品質評価後のモニタリング- 品質評価結果の取締役会によるレビュー- 最小要件より多い
頻度の外部評価【具体的な施策例】• IIA基準以外にも、監督当局（CIIA等）の要請事項に対する評価• グローバルベースでの監査メソドロジーの統一
品質評価- 行われていない- 年次実施- 一連の基準と整合しない品質評価基準【具体的な施策例】• グローバルベースでのQAチームの確立

PwC

19

成熟度を測る寄与要因（Attributes） 6/8
利害関係者管理
利害関係者との良好なコミュニケーションを確立し、得られたフィードバックを監査業務に活用できているか
準拠性の検証者

問題発見者

アシュアランス
提供者

問題解決者

洞察提供者

- 内部の利害関係者を特定- 全ての内部の利害関係者との確立されたコミュニケーション- 内部および外部の利害関係者を特定- 全ての内部および外部の利害関係者との確立されたコミュニケーション

信頼されるアドバイザー

利害関係者とのコミュニケーション- 利害関係者は未
特定- 内部の利害関係者を特定- 内部の利害関係者を特定- 監査プロセス内における、限定的なコミュニケーション- 内部および外部の利害関係者を特定- 全ての内部および外部の利害関係者との確立されたコミュニケーション- 利害関係者からのフィードバックの、監査計画策定等への活用- 価値あるビジネス
パートナーとの利害関係者からの認識【具体的な施策例】• 内部監査のチャーターの制定（P30）• 満足度調査の実施

PwC

20

成熟度を測る寄与要因（Attributes） 7/8
テクノロジー
監査管理システムやデータ分析などのテクノロジーを活用し、監査品質の向上が行われているか
準拠性の検証者

問題発見者

アシュアランス
提供者

信頼される
アドバイザー

問題解決者

洞察提供者

- オンラインレビュー
機能等の、チーム
間連携を支援する機能を含む、統合的な監査管理シス
テム- オンラインレビュー
機能等の、チーム
間連携を支援する機能を含む、統合的な監査管理システム- スタッフの技能やKPIとの紐づけ- リスク管理システ
ムとの親和性- リスク評価結果と監査結果が関連付けられた統合的な監査管理システム- 監査業務全般におけるデータ分析の活用- データ分析についてのトレーニングの提供- データ分析による
示唆の提供- 監査業務全般におけるデータ分析の活用- データ分析についてのトレーニングの提供- データ分析による問題の発見および根本原因の事前
解決- 専門チームの活用- ビジネス部門と直接連携したデータ
分析に基づく監視

監査管理システム- 各職員のローカル
ドライブ上での個別管理- 基本的な電子調書システム【具体的な施策例】• GRCシステムの活用（P36）• コラボレーションツールによる監査中の情報共有、協働作業• RPAによる定型業務の自動化
データ分析- データ分析は未活
用- データ分析の限定的な実施【具体的な施策例】• 個別監査におけるデータ分析、AIの活用（P37）• 継続的モニタリング• CoEの確立（データ分析機能の共有）（P33-34)

PwC- 電子調書、業務管理、発見事項トラッキング機能を含む、統合的な監査管理システム- 一部の周期的な業
務へのデータ分析の活用- 監査業務全般においてデータ分析の活用を検討- データ分析についてのトレーニングの提供- 専門チームの活用- スタッフの技能やKPIとの紐づけ- 第２線とのシーム
レスな情報共有21

成熟度を測る寄与要因（Attributes） 8/8
サービス文化監査業務のオーナーと適切に連携し、目的と価値のバランスが取れたサービスを提供できているか
準拠性の検証者

アシュアランス
提供者

問題解決者

洞察提供者

信頼される
アドバイザー- 被監査部門との、確立されたコミュニケーション- 被監査部門との、確立されたコミュニケーション- 被監査部門との、確立されたコミュニケーション- 被監査部門との、確立されたコミュニケーション- 被監査部門との重要事項に関する事
前協議- 被監査部門との重要事項に関する事
前協議- 被監査部門からの積極的なインプット- 他の監査チームとの連携による、監査対象業務への理解深耕- 被監査部門との重要事項に関する事
前協議- 被監査部門からの積極的なインプット- 他の監査チームとの連携による、監査対象業務への理解深耕- 他部門との連携による業務の重複抑制- 被監査部門との重要事項に関する事
前協議- 被監査部門からの積極的なインプット- 他の監査チームとの連携による、監査対象業務への理解深耕- 他部門との連携による業務の重複抑制- 最高経営者の公
式な参加- 内部監査部門の定期経営会議への公式な参加問題発見者

被監査部門とのコミュニケーション- 被監査部門との連携は行われない- 被監査部門からの限定的なインプット【具体的な施策例】• アジャイルオーディットの活用（P38）• ゲストオーディターの活用（相互理解の促進）• アシュアランスマップを活用した業務の整理（3LoDによる役割分担、2線との連携）（P35）

PwC

22

成熟度モデルにおける到達度
国内金融機関と海外大手金融機関の成熟度
国内金融機関の特徴として、成熟度の寄与要因のうち特に「人材最適化モデル」「テクノロジー」が海外大手金融機関と比べて低い傾向がみられる。この他、監査品質の向上への取組の達成度についての「品質と革新」、
被監査部署への価値提供を表す「サービス文化」についても、比較的海外との差が大きい寄与要因である。

信頼されるアドバイザー
洞察提供者

問題解決者
アシュアランス
提供者
問題発見者

準拠性の検証者
1

2

3

4

系列1

PwC

5

6

7

8

9

系列2

23

成熟度モデルにおける到達度
先進的な企業の成熟度
成熟度のモデルにおける先進的な企業であっても、構成要素ごとに各企業の強み、弱みがある。特にテクノロ
ジーについては多くの企業にとって高度化の余地が大きい領域である

信頼されるアドバイザー
洞察提供者

問題解決者
アシュアランス
提供者
問題発見者

準拠性の検証者
1

2

3

4

5

6

7

8

9

系列1

内部監査成熟度モデルの事例
PwC

24

成熟度モデルにおける到達度
先進的な企業の取組み
特に人材最適化、品質管理、テクノロジーについては、先進的な企業では次のような仕組みをもっているか、さらなる充実に向け取り組んでいるところである
人材最適化• Center of Excellence (CoE) による監査業務の集約、および集約による手法の標準化、高度化、効率化を進めることで人材の質的・量的な課題に対処• 監査業務のアウトソース、Shared Services Center (SDC) の活用によるコスト削減、人材の不足への対応
テクノロジー• 個別監査、継続的モニタリングにおける高度なデータ分析の活用、 AIを利用した検知• RPAによる定型業務の自動化• ナレッジマネジメント、個別監査におけるコラボレーションツールの活用（同時ファイル編集、チャット等）
品質管理• グローバルで統一された監査メソドロジー• グローバルで独立したQAチームによる品質管理
PwC

25

Appendix

企業戦略と整合した内部監査戦略
経営に資する監査の実現のためには、企業の戦略・ビジネス構造の理解を前提とした大局的な視点（経営目線）から、重要な経営課題に対する監査を行うことが求められる監査における経営目線の例
 企業の戦略・ビジネス構造の理解
 経営施策の現場での影響の評価
 本社施策が、お客さま本位に寄与しているか

重要な経営課題に対する監査の実践
経営課題対応経営戦略の実行、経営課題に対する対応の適切性検証
機動的な対応 本社施策が、意図通りに現場において実現し、現場での混乱を惹起していないか

オンゴーイングな監査（監査に入るタイミ
ングと報告の早期化）の実施

 環境変化への対応を含む予兆管理（エマージングリスク管理）

３LoDを踏まえたリスク管理態勢の検証 ビジネス・業務プロセス、商品・サービスのライフサイクル（End-to-end）の観点でのリスク評価
 企業グループ全体／グローバルの観点でのリスク評価
PwC

経営に資する監査の実現

第１・２線全体での内部統制の有効性検証

環境変化を踏まえた対応
新たなリスク・課題への対応

27

戦略目標に整合した監査テーマの選定
重要な経営課題に応じた監査テーマのもと、課題対応状況の検証と経営への提言を行うこと が求められている
監査テーマ例
経営課題対応

事業部制対応• 従来のエンティティ単位ではなく、グループ全体での事業運営戦略・状況を踏まえた 監
査を実施

リスクカルチャー• リスクカルチャーに係る仕組みの有効性や、組織の価値観の浸透状況の検証

システム整備プロジェクト• プロジェクトの進捗状況に応じた経営陣向けの報告の適切性、整備計画の見直しの適切性のタイムリー検証• 専門チームの設置や導入テストの推進管理も含めた開発体制の適切性を検証する

海外基盤強化
プロジェクト• 事前の情報収集やオフサイトモニタリングを通じて把握した脆弱な個所について提言 を行う• 提言の実施状況も含め事後のオンサイトで確認する

フィデューシャリー・
デューティー（FD）• 顧客本位の業務運営に関する世間の動向を踏まえ、外部目線を取り入れて検証項目を設定の上で監査を実施• お客様本位の営業活動の推進に資する監査提言の実施

第１線による
統制活動• 機能移管した拠点検査の実効性、現場部門における第１線他部署や第２線の機能発揮状況の検証（移管した検査機能は牽制力が維持され高度化が図られているか）

海外拠点管理態勢• 海外における第１線の統制活動状況、AML、ローカルコンプライアンスへの対応状況の検証• 海外拠点監査部門との連携によるグローバルな視点での深度ある監査の実現

サイバー
セキュリティ

• サイバー攻撃手法の高度化を踏まえ、外部目線を取り入れて直近の攻撃や他社例に基づく目線での検証

外部委託管理• 複雑化する委託構造や委託先の多様化を踏まえた委託・再委託関係の整理とリスクがあるポイントの検証

機動的な対応３LoDを踏まえたリスク管理態勢の検証

環境変化を踏まえた対応PwC

監査／モニタリングのポイント

28

戦略目標に整合した監査テーマの選定－リスクカルチャー監査① 価値観検証： リスクカルチャーは組織内でどのように受け止められ、行動に繋がるかを検証する監査② テーマ監査で検証： リスクカルチャーの醸成に係る仕組み/取組みの有効性を検証する監査③ 根本原因として検証： 個別監査の中で特定された課題の根本原因にリスクカルチャーが関係していないか検証する監査カルチャーと企業活動の一貫性がある状態

カルチャー

•
•
•
•

価値観
ミッション
ビジョン
バリュー
Purpose

行動規範
リスクアペタイト

経営計画
各種施策

施策の実行

評価

カルチャーと企業活動の一貫性がない状態
施策の実行①価値観検証
カルチャー

•
•
•
•

価値観
ミッション
ビジョン
バリュー
Purpose

行動規範
リスクアペタイト

経営計画
各種施策

③根本原因として検証

評価

内部監査の検証アプローチ②テーマ監査で検証
PwC

29

内部監査のチャーター
チャーターとして定義することにより、内部監査の提供価値、パフォーマンスの測定基準について、利害関係者と合意することができる
Aspiration / best practice

Performance criteria / measurement

Stakeholders and services− Proactively manage relationships with key stakeholders,e.g. the Head of GIA and direct reports have direct andstrong relationships with BoD members, businessheads and senior management.

••

Periodic stakeholder feedback
Quarterly Reports

Competencies− Contain a diverse talent pool with a broad mix of skills
and experience gained within internal audit and in
business.

•••

Rate of internal transfers to / from business. Years of experience in financial industry. Years of audit experience

Talent / career development− Develop its personnel through comprehensive training
and development and advanced knowledge
management.

•
•
•
•

Number of training hours consumed. Existence of succession list
Rate of positions filled with succession
candidates

Technology− Leverage data analytics in audit lifecycle (scoping,sampling and testing), in continuous risk assessment
and risk analysis.

••

Number of audits involving data analytics
Use of analytical dashboards for risk assessments

出典： Charter for Group Internal Audit 2018, UBS （一部抜粋）
PwC

30

各職階、専門職を含む各職種で達成すべきコンピテンシーの定義、教育・指導
以下は、能力・経験・専門性として調査・把握している項目のイメージである。これらの項目は、監査単位（オーディットユニバース）と連動しており、業界・ビジネス動向や当局のリスク認識なども踏まえ、常に見直されて最新情報にアップデートされる。また、経営目線の監査を実現するためには、コアスキルや特定領域の専門性だけではな
く、「コアコンピテンシー」の重要性が高まると見られる監査のコアスキル

コアコンピテンシー

業務・財務全般

戦略的な視点・思考

客観性／独立性の保持

市場・信用・流動性リスク

クリティカルシンキング

調査・分析

オペレーショナルリスク

コーチング／コンサルテーション力

情報収集／調査

業界・当局の動向

コミュニケーション力（口頭・文書）

リスク特定、認識、評価

コンプライアンス（法規制）

リーダーシップ／オーナーシップ

監査計画の作成

業務知識・経験

リレーションシップ管理力

監査調書の作成

財務・経理／SOX知識・経験

プロジェクト管理力…

監査実務（インタビュー等）…

内部統制・ガバナンス…

特定領域の専門性
1.コーポレート （1-1 人事労務、1-2 法務・コンプライアンス、1-3 経理・財務、1-4 税務、1-5 総務、1-6 広報・IR、1-7 … ）2.法令・規制 （2-1 ドットフランク、2-2 MiFIDⅡ/MiFIR、2-3 バーゼルⅢ、2-4 GDPR、2-4 ボルカールール、2-5 …）
3.コンプライアンス （3-1 マネーロンダリング、3-2 制裁者リスト対応（EU/OFAC/DFS）、2-3 贈収賄(FCPA/UKBA)、…）
4.コンダクトリスク （4-1 市場の健全性（不公正取引、指標の捏造等）、4-2 顧客保護（適合性違反、優越的地位の濫用、…）
5.リスク管理 （5-1 市場リスク管理、5-2 信用リスク管理、5-3 流動性・ファンディングリスク管理、5-4 オペリスク管理、5-5 …）
6.IT （6-1 ITガバナンス、6-2 IT開発、6-3 ITオペレーション、6-4 ITコンプライアンス、6-5 ITリスク管理…）
…
PwC

31

人材の確保以下は、監査部門に配属される年次の引き下げと、専門人材の確保を通じて監査部門に長く留まることを指向した取り組みである

監査部門に長く留まることを指向した取り組み 若手を監査部門に異動し、コーポレート部門を経由したのち、再度監査部門に従事する
 シニア監査専門職の設置と処遇の見直し
 専門職として監査に従事することを前提に、金融業界の監査経験者やプロフェッショナルサービスファーム出身者などを外部から採用する

PwC

32

CoEの確立
CoEの一環として、グループの監査部門はBU/エンティティ別およびリスク領域別のマトリクス型組織とすることを想定して監査機能・人材を持株会社等に集約する流れが見られる
グループの監査機能

グループ監査機能の集約・一体運営••••

監査部門への要望
グループ経営目線での監査（経営監査機能）
リスクフォーカスのテーマ別監査
監査（等）委員会等の要望を受けたアドホックな対応
限られた監査資源の有効活用

監査部内Ｇ

企画

• 部門内の企画及び全体統括• グループ監査計画策定（及び個別計画取り纏め）とその遂行のモニタリング• リスクアセスメントと監査手法• 品質管理• 教育研修/人材育成• グループの監査（等）委員会とＣＡＥ報告

BU/エンティティ別担当• 担当BU/エンティティの監査計画策定（企
画が個別企画についても一括して担当するオプション有り）• 個別監査チームの組織• BU/エンティティの監査担当役員への報告

リスク領域別担当• BU/エンティティの監査に対する専門的知識及び人材の提供• グループ全体の観点で実施されるリスク領域別監査計画策定とその遂行

オフサイト
モニタリング• 部門内で行われるリスクアセスメント、及びオフサイトモニタリング用データの提供• 第1.5線、第２線のオフサイトモニタリング担当部との連携（機能共有）も検討

グループ監査機能の集約
監査（等）委員会
グループ監査担当役員
A

企

B

C

そ
の
他

BU/
エンティティ別担当

信用
市場

画

オペ・事務

リスク領域別担当

システム
データ・サイバー
オフサイトモニタリング
PwC

部門内サービス組織

役割・責任

33

CoEの確立（アウトソースの活用例）
社内の内部監査部門とアウトソース先、オンサイトとオフサイトでシームレスに連携して監査を実施

In-house

Planning

Provideclarifications anddocuments relating
to the product

SDC Team

Onsite Team

Planningand scoping

Outsource

Fieldwork(Scopedeck.
Testing
Approachand Initial
Kick-Off)

Coordinatingwith Clientand productowners for
obtaining
documents(QA
Tracker)

Perform
walkthrough,review documents
provided by Clientand share list ofqueries/
pending
documents

ReportingTesting conclusions
and workpapers arereviewed by :Perform DEA andOET overmanagements
commitments anddocument results
into workpapers

1. SDC Manager/
AssistantManager
2. Outsource
Manager
3. Outsource
Director
4. IA Senior Vice
President

Validate
exceptions
with Client

Review andvalidate
exceptions
with onsite
team

DEA – Design Effectiveness Assessment ; OET – Operating Effectiveness TestingPwC

34

アシュアランスマップ（例）アシュアランスの強い領域／弱い領域を可視化し、不足部分の強化や重複した業務を整理する
アシュアランスの根拠情報
キーリスク

リスク評価
固有リスク 残余リスク

第１線のアシュアランス
RCSA

部店点検

コンプラ
チェック

第２線のアシュアランス
コンプライ リスク管理 グループアンス
管理

第３線のアシュアランス
SOX

監査

その他

不正・不適切行為
コンプライアンス
内部管理
人事労務環境IT
財務報告
外部委託管理
BCP管理
…
リスク分類
高
PwC

中

低

アシュアランス水準
高

中

低

なし
35

GRCシステムの活用
オペレーショナルリスク管理に必要なツールは、他のディフェンスラインにも適用される。このため、リスクデータの共有を促進する一方、トータルのコストを削減するGRCツールの使用が増加している
第1線 –
管理

第2線 –
オペレーショナルリスク、
コンプライアンス

第3線 －アシュアランス

共通のデータベースおよび機能を活用（GRC）
共有データ例：• リスクとコントロールのタクソノミー• 業務プロセスおよび• コントロール• 組織体制ダッシュボードのイメージ：機能の例：• リスク評価• 主要リスク指標（KRI）のモニタリング• 問題および対応のモ
ニタリング

• 規程類

PwC

36

AIの活用AIツールを用いて、規制情報のテキストスクリーニングの検証を行ったのが以下の事例である。各国規制情報の報
告（ブラック）をAIに機械学習させ、AIがスクリーニングを行った結果、報告情報の識別が可能であることがわかり、当該業務の効率化に貢献している

プロジェクトの実施概要

1 人による規制情報の分類
情報ソース

報告情報 “ブラック”

規制情報
条件式

その他
人間が全文を読んで判断“ホワイト”

2 AIによるスクリーニング
情報ソース

条件式

報告情報(ブラック)のうち5つの記事を
教師データとして機械学習

高スコア

規制情報

選定条件に該当するとして抽出した全記事に対して
スコアリング

比較的
高スコア
低スコア

≒
≒
≒

報告情報

参考情報

その他

• スコアリング結果と実際の記事情報との整合を確認、AIによる判別が可能であることが判明• AIによる１次スクリーニングが効率化の一助となりうる
PwC

37

アジャイルオーディットの活用
環境変化に対応した機動的な監査のあり方として、アジャイルオーディットが注目されている

Agile Auditingの特徴••••

監査期間の短縮（例：４－６週間を一つの監査とする）
より小さい監査チームの組成（３－５人程度）
マネジメント、被監査部署とのより頻繁なコミュニケーションによる早期の合意形成、重要なリスクへのフォーカス
テクノロジー（コラボレーションツール）の活用による迅速化と監査チーム・被監査部署の協働促進

アジャイルオーディット•プランニングの幅が短期的•被監査部署と監査人の距離感が近い•計画から実施・報告までの期間が短い•短期間に問題を発見•監査遅延リスクが低い•変化への迅速な対応力が高い

従来型監査（ウォーターフォール監査）•プランニングの幅が長期的•被監査部署と監査人の距離感が遠い•計画から実施・報告までの期間が長い•問題発見に時間がかかる•監査遅延リスクが高い•変化への迅速な対応力が低い

初期段階でAgile Auditingが当てはまりやすいもの
•
•
•
•
PwC

定型的な業務
監査上、複雑な判断が伴わない業務
End to Endではなく特定の部署など狭い範囲
規制上の保証が必ずしも強く求められていないもの、監査リスクを一定程度とれるもの
38

参考情報
サービスのご案内
本日ご紹介した内部監査態勢の成熟度について、当法人では内部監査機能の外部評価やPwCの成熟度モデルに基づき成熟度を評価するサービスを提供しております。
また評価結果については、個社を特定できない形でグローバルに共有されており、他社との比較も可能となっています。
関連コラムのご紹介•

内部監査機能の外部評価とPwCの内部監査の成熟度モデル
https://www.pwc.com/jp/ja/knowledge/column/viewpoint/grc-column016.html•「3つのディフェンスライン」モデルの進化に向けて
https://www.pwc.com/jp/ja/knowledge/column/viewpoint/grc-column017.html•

アジャイルな内部監査の有効性 ～内部監査の効率化、タイムリーな保証、提言の提供～
https://www.pwc.com/jp/ja/knowledge/column/viewpoint/grc-column015.html•

リスクカルチャーの醸成 ‐リスクカルチャーとコンダクトリスク管理
https://www.pwc.com/jp/ja/knowledge/thoughtleadership/risk-culture1611.html
PwC

39

連絡先
PwCあらた有限責任監査法人
パートナー 辻田 弘志
hiroshi.ｔsujita@pwc.com
090-1424-3247

pwc.com© 2019 PricewaterhouseCoopers Aarata LLC. All rights reserved.
PwC refers to the PwC network member firms and/or their specified subsidiaries in Japan, and may sometimes refer to the PwC network. Each ofsuch firms and subsidiaries is a separate legal entity. Please see www.pwc.com/strucrure for further details.
This content is for general information purposes only, and should not be used as a substitute for consultation with professional advisors.