⽇本⾦融監査協会殿

⾦融⾼度化ウェビナー・イブニング

DX時代の内部監査のあり方と新たな監査手法への挑戦「シャドー監査」と「ブリッジ監査」
DX defines ”Raison d’etre” of Internal Audit
to intensify our challenge for practicing

SHDOW and BRIDGE GAP
2021年7月19⽇
PayPay銀⾏株式会社
監査部⻑

松本弘則

監査主席

町田

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

睦

目次
1.ガバナンス⾼度化に資する内部監査

P. 1

2.新たな監査手法の導入による経営監視の仕組み

P. 6〜6つの⽇常モニタリングによる実態把握と徹底した分析・データベース化〜
3.シャドー監査について

P. 7

4.シャドー監査を発展させたブリッジ監査について

P.13

5.シャドー監査とブリッジ監査はガバナンス⾼度化に資するキラーメソッド

P.14（参考）AR監査（Active Remote Audit）への挑戦

P.15

PayPay銀⾏ではお客さまサポートアシスタントの”モネ”がLINEチャットでお客さまのご質問にお答えします︕
Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

1.ガバナンス⾼度化に資する内部監査（1/5）
PayPay銀⾏は邦銀で唯⼀監査規程とともに内部監査態勢を⼀般に公開し、利⽤者の皆さまに経営監視の健全性と安全安⼼への取り組みを紹介しています。

（出典）PayPay銀⾏株式会社ホームページ「各種方針」
Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

1

1.ガバナンス⾼度化に資する内部監査（2/5）

2（出典）PayPay銀⾏株式会社ホームページ「各種方針」
Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

1.ガバナンス⾼度化に資する内部監査（3/5）（出典）PayPay銀⾏株式会社ホームページ「各種方針」
3

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

1.ガバナンス⾼度化に資する内部監査（4/5）
【日本独自のガバナンス】【国際標準のガバナンス】

取締役会（社内取締役主体）

監査役会

社長CEO・執行役員
指揮命令

業務執行

（1線）

取締役会
リスク委員会（社外取締役主体）（社外取締役主体）
社長CEO・執行役員

指揮命令

指揮命令
リスクマネジメント
コンプライアンス
セキュリティ
品質管理
財務管理
（2線）

連携

指揮命令

監査委員会
（社外取締役主体）

ダイレクト
アクセス
チャレンジ

指揮命令

内部監査
（準拠性監査）業務執行

リスクマネジメント
コンプライアンス
セキュリティ
品質管理
財務管理（2線？3線？）

（1線）

（2線）

指揮命令

内部監査
独立したアシュアランス（3線）【PayPay銀行のガバナンス】
取締役会（社内・社外取締役）
社長CEO・執行役員
指揮命令

指揮命令

業務執行

リスクマネジメント
コンプライアンス
セキュリティ
品質管理
財務管理

（1線）

（2線）

グループ会社A

グループ銀行

B

監査役会
指揮命令

連携

連携

内部監査（独立したアシュアランス）（3線）

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

監査法人

協議
報告

リソース
スキル
支援

グループ銀行
監査部連携

監査人
連携

4

1.ガバナンス⾼度化に資する内部監査（5/5）

当社では監査部が取締役会の直下に配置され、執⾏部門からの⾼度な独⽴性を確保するとともに、監査部⻑が決議機関を含む全ての重要な会議体のメンバーとして発言権を持ち、監査役会との強固な連携のもと経営監視にも参加しています。
（下図「当社の内部監査態勢について」再掲ご参照）

また監査部⻑は、毎月定期的に社⻑との⾯談を通じて全社的な課題に係る情報共有や意⾒交換を⾏うことでリスク認識を共有し良好なコミュニケーションを維持しています。
5

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

2.新たな監査手法の導入による経営監視の仕組み

また当社の監査部は、社内情報に対して制限のないアクセス権限を与えられており、オフサイトモニタリングによって⽇常的に社内情報を収集するとともに、社内各部署の業務運営状況の実態を把握しデータベースに記録し分析しています。
さらに様々な事象の発⾒に際しては、直ちに対象部署へ改善のアドバイスを⾏い、その状況を月次の監査会議で経営陣と共有しています。
実態把握に迫る６つのオフサイトモニタリング（隠密監視）・ガバナンスモニタリング
・OAシステムモニタリング
・ぶらり監査・自主検査モニタリング
・外部委託先モニタリング
・重要会議決議事項履⾏状況モニタリング

実施内容を全登録

分析

モニタリング
データベース（「オフサイトモニタリングマニュアル」より抜粋）[日常モニタリング活動の実施フロー]
オフサイトモニタリング（調査・検証・リスク認識）フォ ロー ア ップ

改善 対応 回答

不備 の改善や
リ スク対応策

改善提案 記録票共有 化 した
リ スク認識リ スク認識の共有 化

外部委託先モニタリング

事実 確 認

自主検査モニタリング

週次会議 で情報共有 し対応を協議

OAシステムモニタリング
ぶらり監査

リ スク認識カバナンスモニタリング

事実確認・実態把握・リスク認識共有化・改善提案・追加対応

重要会議決議事項履行状況ﾓﾆﾀﾘﾝｸﾞ
6

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

3.シャドー監査について（1/6）

シャドー監査とはリモートワークが進むDX時代に威⼒を発揮する新たな監査手法。
そしてシャドー監査が目指すのは、被監査部署に敬遠されがちな内部監査が、頼られる内部監査となって、共にリスクを直視し企業価値向上に貢献することです。
当社では内部監査の規程の中でシャドー監査を下記の通り定めています。
シャドー監査（隠密監査）
疫病感染拡大状況下や広域災害発生等による緊急時態勢下では、監査対象部署は本来業務が最優先され監査対応が困難な場合がある。⼀方でそのような緊急時には業務プロセスに大きな変更が加えられ新たな潜在リスクが発生する場合があり、内部統制の健全性を維持するためには内部監査によるチェックが重要になる。
この事態に対応するため、監査部は通常の監査で監査対象部署に対して事前に求めるヒアリングや資料提出を原則求めず、第11章で後述する⽇常モニタリング活動に則ったオフサイトモニタリング（隠密監視）によって実態把握と分析を基に監査対象を検証する「シャドー監査」手法による監査を実施する。
なおシャドー監査は、監査プロセスの大半を監査対象部署に依存せず、監査部独自で実態把握と検証を進めることから、発⾒した事象や課題点を経営ならびに監査対象部署と共有し潜在リスクを予防的にコントロールすることを目的とする。
（「内部監査運営規則」より抜粋）
7

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

3.シャドー監査について（2/6）

疫病感染拡大状況におけるテレワーク環境下の内部監査では、社内情報や手続きのDXの進展度が極めて重要な環境要件となりますが、シャドー監査においては正に必須の要件となります。
シャドー監査の成否の鍵は、被監査部署に依存しない独自の情報収集と実態把握が実効的に可能となるか否かにあります。
このため内部監査で最終的に調査検証等の証跡となる様々な規程・マニュアル類やドキュメント、会議資料や議事録、決裁⽂書、⽇常業務で使⽤する資料やドラフト、研修資料や記録、業務処理プロセスの記録内容、予算管理資料等のほか勤務状況やスケジュール管理等が電⼦化されていることが、網羅性や有効性の観点からシャドー監査を可能にするために最も重要な環境となります。

8

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

3.シャドー監査について（3/6）

従来の監査手法は実態把握やリスク分析が後追いとなる場合が多くあり、予防的な監査の実践は困難でした。シャドー監査ではオフサイトモニタリングによって⽇常的に社内各部署の実態を把握し⽇々変化するリスクプロファイルを機動的分析しプロアクティブに予防対応できる態勢の確⽴が可能となります。
つまり個別監査開始時には既にリスク分析や課題整理ができた状態となっています。
従来の監査プロセスとシャドー監査プロセスの⽐較概念図
多⾯的アプローチ

インシデント
事故・不正所管業務
施策等

マクロアプローチ
ミクロアプローチ
SWOT分析

プ ロセ ス評価
リ スク アセ スメ ント

外部要因
内部要因

リ スクウ ェイトモデ ル

従来 の監査プ ロセ ス

年間監査計画の策定・承認

ヒア
リ
ン
グ等

課
題
把握

個別監査の実施
個別計
画

検証
実
施

事
実
確
認

インシデント
事故・不正

所管業務
施策等

多⾯的アプローチ
マクロアプローチ
ミクロアプローチ
SWOT分析

プ ロセ ス評価
リ スク アセ スメ ント

外部要因
内部要因

リ スクウ ェイトモデ ル

シャドー監査プ ロセ ス

オフサイトモニタリング(各部署は知らない間に全て⾒られ実態把握され分析されている)オフサイトモニタリングDB
リスクプロファイリングDB

個別計画監査DB

検証
実施

事実確認

進捗管理と自動化
9

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

3.シャドー監査について（4/6）

シャドー監査では、オフサイトモニタリングで収集分析した情報やドキュメントに基づいて課題整理とリスクの洗い出しを網羅的かつ確実にするため、ワークシートによる3つの分析手法を⽤いて個別監査実施のためのアセスメントを⾏います。

ワークシートによる3つの分析手法
フローチャート分析法

利害関係者関係図分析法

フローチャート分析では、監査対象業務の業務プロセスを⼀気通貫のフローチャートで可視化することにより業務処理統制におけるリスクの所在や課題の有無を分析する。
具体的には、監査対象業務の業務プロセスをフローチャート化して、各プロセスにおける処理内容等をチャート上に展開する。
さらに現在の運⽤状況で課題となっていたり改善の必要性があると思われるリスクをオフサイトモニタリングで調査把握し、その結果をチャート上の当該プロセスにプロットして、業務プロセスにおけるリスクの相関関係を分析する。

利害関係者相関図分析では、監査対象業務の所管部署の他、関連部署や顧客ならびに外部の関係者とともに其々の利害関係を俯瞰的に⼀覧展開することで、各関係者の権限と責任、所管すべきリスク等を可視化する。
具体的には、監査対象業務の運⽤体制を図式化して、関係者の間に存在する権利・義務等を根拠ルールとともに記載する。その後、それらの権利・義務等の⾏使において、想定されるリスクの有無や対応策等をプロットして、将来顕在化の懸念があるリスクの有無を分析する。

10

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

3.シャドー監査について（5/6）

シャドー監査では、オフサイトモニタリングで収集分析した情報やドキュメントに基づいて課題整理とリスクの洗い出しを網羅的かつ確実にするため、ワークシートによる3つの分析手法を⽤いて個別監査実施のためのアセスメントを⾏います。

ワークシートによる3つの分析手法
フローチャート分析法

利害関係者関係図分析法

チェックリスト分析法(RCMに類似)分析結果から課
題
整理
する

チェックリスト分析では、コントロールと実際の運⽤状況を分けて課題有無と所在を分析する。
具体的にはコントロールの分析においては職務権限に基づき、監査対象業務で権限⾏使が必要となる業務に係る規程や手順書等の整備状況を調査しコントロールに⽋落がないかどうか⾒極める。
この際監査対象業務で想定されるリスクの洗い出しが過不⾜なく⾏われ適切なリスク認識の下対応策が検討整備されているかどうかについても把握した状況を整理する。
運⽤状況の分析においては、上記コントロールで分析されたリスクを踏まえた運⽤体制の整備状況と適切性を検証分析するとともに、潜在するリスクの顕在化に備えた具体的対応策の有効性を分析する。

11

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

3.シャドー監査について（6/6）

このように、シャドー監査は単に個別監査の手法を新たにしたものではなく、DXによる完全ペーパーレスな業務環境と⾼度な独⽴性により与えられた制限ないアクセス権限、そしてDB化により分析能⼒を⾼めたオフサイトモニタリング機能を結集した総合⼒の監査手法なのです。

総合⼒の結集がシャドー監査

⾼度な独⽴性と制限ないアクセス権限

THE AUDIT OF

DBをINTEGRATION駆使したオフサイト
モニタリングによる実態把握分析

DXによる
完全ペーパーレスな業務環境

12

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

4.シャドー監査を発展させたブリッジ監査について

テレワーク環境下での外部委託業務管理において解決すべき課題として外部委託先監査があります。残念ながら他社に対してはシャドー監査による検証は困難です。
そこで、外部委託先に対する新たな監査手法として、ブリッジ監査の構築を進めているところです。ポイントは外部委託先の内部監査部門との連携で様々な調査分析や証跡入手を実現する仕組みです。
2021年度は新たにブリッジ監査による外部委託先監査に取り組みます。
外部委託先企業

PayPay銀⾏

委託業務所管部署

委託業務統括部署

委託業務統括部署

シャドー監査内部監査部署監査プロセスの共有と情報連携による調査検証分析で実態把握

監査部

13

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

5.シャド監査とブリッジ監査はガバナンス⾼度化に資するキラーメソッド

シャドー監査とブリッジ監査は、様々な事態発生に伴う事業継続環境下において、有⽤性が⾼い監査手法だと私は考えています。
留意すべきは内部監査の有効性と品質を担保しつつ経営の健全性と内部統制の有効性を検証し、その結果とリスク認識を適時適切に経営と共有すること、そして被監査部署に対しては最適な改善策をプロアクティブに提案することで潜在リスクの顕在化を予防的にコントロールしともに企業価値向上に貢献するという目的を忘れないこと。
シャドー監査とブリッジ監査は、現在は単に当社が提唱するひとつの監査手法に過ぎませんが、DXが進展する今だからこそ、その可能性に着目いただき多くの内部監査人の方々に挑戦していただきたい
DX時代のガバナンス⾼度化に資するキラーメソッドと考えています。
14

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021

参考︓AR監査（Active Remote Audit）への挑戦

テレワーク環境下では、隔地や遠地にある被監査部署や外部委託先への往査による実況⾒分を如何にして⽰現するかが大きな課題となります。カメラ等による現場の状況の撮影が想定されますが、監査における現場主義・実物主義の観点からは十分とはいえません。
そこで、当社では分⾝ロボットを活⽤して時間や場所を自由に遠隔操作で⾒分するAR監査の研究を進めています。
外部委託先企業
委託業務所管部署

PayPay銀⾏
被監査部署
AR監査

委託業務統括部署

監査部

15

Copyright of Hironori Matsumoto, General Manager of Internal Audit Dept. PayPay Bank Corporation,19 July. 2021