2015年７月公表

内部監査人協会（ＩＩＡ）情報／ＣＯＳＯ

ＣＯＳＯ──ガバナンスと内部統制

３つのディフェンスライン全体でのＣＯＳＯの活用
内部監査人協会（ＩＩＡ）

著者：ダグラス J. アンダーソン （CIA，CPA，CRMA，CMA）
ＩＩＡ Audit Executive Centerコンサルタント

ジーナ・ユーバンクス （CIA，CISA，CRMA，CCSA）
ＩＩＡ

訳者：堺

プロフェッショナルサービス担当ヴァイスプレジデント

咲子

内部監査人協会（ＩＩＡ）国際本部 理事
内部監査人協会（ＩＩＡ）調査研究財団 理事・評議員
インフィニティコンサルティング 代表
公認内部監査人（ＣＩＡ） 内部統制評価指導士（ＣＣＳＡ）
公認金融監査人（ＣＦＳＡ） 公認リスク管理監査人（ＣＲＭＡ）
米国公認会計士（ＣＰＡ（ＵＳＡ））

目次
はじめに… ………………………………………………………………………………………………… 38
エグゼクティブサマリー… ……………………………………………………………………………… 38
Ⅰ．３つのディフェンスラインモデル… ……………………………………………………………… 38
３つのディフェンスラインモデルにおける上級経営者と取締役会の役割… ………………… 41
第１のディフェンスライン：業務部門の経営者… ……………………………………………… 41
第２のディフェンスライン：内部のモニタリングと監督機能… ……………………………… 42
第３のディフェンスライン：内部監査… ………………………………………………………… 44
外部監査人、規制当局、外部の関係者… ………………………………………………………… 45
Ⅱ．３つのディフェンスラインの構築と連携… ……………………………………………………… 46
３つのディフェンスラインの構築… ……………………………………………………………… 46
３つのディフェンスラインの連携… ……………………………………………………………… 47
Ⅲ．３つのディフェンスライン全体でのＣＯＳＯの活用… ………………………………………… 48
Ⅳ．結論… ………………………………………………………………………………………………… 48
キーポイント… ……………………………………………………………………………………… 49
付録… ……………………………………………………………………………………………………… 50
著者について… …………………………………………………………………………………………… 60
ＣＯＳＯについて… ……………………………………………………………………………………… 61
ＩＩＡについて… ………………………………………………………………………………………… 61

Copyright © 2015 by Committee of Sponsoring Organizations of the Treadway Commission, (“COSO”) strictly
reserved. No parts of this material may be reproduced in any form without the written permission of COSO.
Permission has been obtained from the copyright holder, COSO, to publish this translation, which is the same inall material respects, as the original unless approved as changed. No parts of this document may be reproduced,
stored in any retrieval system, or transmitted in any form, or by any means electronic, mechanical, photocopying,recording, or otherwise, without prior written permission of COSO.

月刊監査研究2015．10（No.503）

37

内部監査人協会（ＩＩＡ）情報

はじめにする方法を理解するためには、責任が明確に定められなければならない。リスクとコント

本文書は、トレッドウェイ委員会支援組織

ロールに対処する際の「ギャップ」や不要ま委員会（ＣＯＳＯ）と内部監査人協会（ＩＩたは意図せず重複した業務のいずれも、あっＡ）が共同で作成したものである。本文書は、てはならない。

ＣＯＳＯの『内部統制の統合的フレームワー

３つのディフェンスラインモデル（以下、ク』１と３つのディフェンスラインモデル２をモデル）は、組織の規模や複雑性を問わず、結びつけて内部統制に関する具体的な役割とリスクとコントロールに関する具体的な職務責任の説明や割り当て方法のガイダンスを示を組織内で割り当てて連携する方法を検討しすことにより、組織の全般的なガバナンス体ている。取締役と経営者は、これらの職務の制向上に役立つことを目的としている。

役割と責任の決定的な違いを理解すべきであり、さらに、組織目的の達成可能性を高める

エグゼクティブサマリー

ために役割と責任を最適に割り当てる方法を理解すべきである。特にこのモデルでは、明あらゆる組織には達成に向けて努力してい確に定義しないと誤解が生じ得る、組織のアる目的があるが、それらを追及する中で、組

シュアランス活動と他のモニタリング活動の織は目的の達成を脅かし得る事象や状況に遭相違点と関係性を明らかにしている。

遇する。そのような潜在的事象や状況は、組

先に進むにあたっては、読者が既に『フレ織が識別し分析し定義し対処しなければならームワーク』の基本を理解しているという前

ないさまざまなリスクを生み出す。（全体的提で『フレームワーク』とモデルの両方を引にまたは部分的に）受け入れるリスクもあれ用する。『フレームワーク』に馴染みのない

ば、組織が受容可能な水準にまで完全にまた方は、ＣＯＳＯのホームページの詳しい情報は部分的に低減するリスクもある。リスクをを参照していただきたい。モデルについては、低減する方法は多数あるが、１つの重要な方

本文書の第１章で詳しく述べている。

法は有効な内部統制を整備し運用することである。
ＣＯＳＯの『内部統制の統合的フレームワーク』（以下、『フレームワーク』）は、組織がⅠ．３つのディフェンスライン
モデル

内部統制の運用を通じてリスクを有効に管理

このモデルは、役割と職務を明確にするこするために必要な構成要素、原則、要素を概とにより、リスクマネジメントとコントロー

説している。しかし『フレームワーク』は、ルへの理解を深めている。基本的な前提とな概説している具体的な職務の責任を誰が負うっているのは、リスクとコントロールの有効かについてはほとんど述べていない。各当事な管理のためには上級経営者と取締役会３ の者がリスクとコントロールに対処する際の役

監督と指揮の下で３つの別々のグループ（ま割、説明責任を負う状況、互いの業務を連携

たはディフェンスライン）が必要だという考Internal Control – Integrated Framework , Committee of Sponsoring Organization of the Treadway Commission(Jersey City, NJ: American Institute of Certified Public Accountants. May 2013. Available at coso.org.（訳者注：同書の邦訳書は、八田進二・箱田順哉監訳『内部統制の統合的フレームワーク』日本公認会計士協会出版局、2014年２月。）

１

２
The Three Lines of Defense in Effective Risk Management and Control.（Altamonte Springs, FL: The Institutes ofInternal Auditors, Inc., January 2013）. Available at: 3Lines of Defensein Effective Risk Management and Control.

38

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報＜図１＞目的、フレームワーク、モデルの関係

統制環境
リスク評価
統制活動
情報と伝達

全社レベル
部門
業務単位
機能

コン
プラ
イア
ンス

報告

業務

組織の取締役会

組織目的の設定

目的達成に向けてリスクとコン
トロールを管理するために利用
するフレームワーク

モニタリング活動

第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

財務管理
セキュリティ
経営者によるコントロール

内部統制手段リスクマネジメント

内部監査

品質

リスクとコントロールの職務を執行する組織体制検査
コンプライアンスえ方である。各グループ（または「ライン」）

適切に構築しそれらを有効に運営すれば、網の責任は、以下の通りである。

羅すべき範囲にギャップはなく不要に重複し１．リスクとコントロールを所有し管理する

た業務もなく、リスクとコントロールが有効（現業部門の経営者）。

に管理される可能性が高まる。取締役会は、

２．経営者を支援してリスクとコントロール

組織の最も重要なリスクとそれらのリスクにをモニターする（経営者が整備するリスク、対する経営者の対応に関して偏見のない情報

コントロール、コンプライアンス機能）。

を受け取る機会が増える。

３．リスクマネジメントとコントロールの有モデルは、『フレームワーク』を支持する形

効性に関して取締役会と上級経営者に独立で運用できるように柔軟性のある構造になっ的なアシュアランスを提供する（内部監ている。各ディフェンスライン内の機能は組査）。

織によって異なり、ディフェンスラインをま

３つの各ディフェンスラインは、組織の広たがったり分割したりする機能があり得る。

範なガバナンスフレームワークの中で異なる

例えば、第２のディフェンスラインの中のコ役割を担うが、それぞれが割り当てられた役

ンプライアンス機能の一部が第１のディフェ割を有効に果たすと、組織の全般的な目的達

ンスラインのためにコントロールの設計に関成に成功する可能性が高まる。

与する一方で、第２のディフェンスラインの組織の誰もが内部統制について何らかの責

他の機能がそれらのコントロールのモニタリ任を負っているが、必要不可欠な職務が意図

ングに主眼を置いているという組織もある。

したとおりに確実に行われるようにするため組織が３つのディフェンスラインをどのよに、モデルは具体的な役割と責任を明確にしうに構築するかに関係なく、モデルにはいくている。組織が３つのディフェンスラインをつか重要な原則が内在する。

ＣＯＳＯの出版物と同様に、本文書で「取締役会」という用語は、取締役会、評議員会、無限責任パートナー、所有者、監督機関のような統治機関を指している。

３

月刊監査研究2015．10（No.503）

39

内部監査人協会（ＩＩＡ）情報＜図２＞３つのディフェンスラインモデル
The Three Lines of Defense in Effective Risk Management and Control, The Institute ofInternal Auditors, January, 2013
統治機関・取締役会・監査委員会
上級経営者

第３のディフェンスライン

財務管理
セキュリティ
経営者によるコントロール

内部統制手段リスクマネジメント

規制当局

第２のディフェンスライン

外部監査

第１のディフェンスライン

内部監査

品質
検査
コンプライアンス

１．第１のディフェンスラインは、ビジネス

自らの客観性と組織上の独立性を守るためやプロセスの所有者が担当する。彼らは組に、経営機能を担うことは通常許されてい織の目的達成を促進または抑止し得るリス

ない。さらに第３のディフェンスラインは、

クを、生み出したり管理したりする。彼ら

取締役会に対する直接的報告経路がある。

の業務には、適切なリスクを取ることが含

このように、第３のディフェンスラインはまれる。第１のディフェンスラインはリス

経営機能ではなくアシュアランス機能であクを所有し、それらのリスクに対応する

り、第２のディフェンスラインから切り離ために組織のコントロールを設計し遂行す

れている。

る。

どのような組織でも、ゴールは目的を達成

２．第２のディフェンスラインは、リスクとすることである。これらの目的の追求には、

コントロールが有効に管理されることを確機会の活用、成長の追求、リスクテイク、そ実にするために、専門知識、優れたプロセ

れらのリスクの管理が関わるが、それらすべス、第１のディフェンスラインと並行したては組織の発展のためのものである。適切なマネジメントモニタリングの提供によっリスクテイクや取ったリスクの適正な管理にて、経営者を支援するために整備される。

失敗すると、組織の目的達成を妨げかねない。

第２のディフェンスライン機能は第１のデ企業価値を生み出す活動と守る活動との間にィフェンスラインから分離されているもの

は、常に緊張がある。『フレームワーク』は、の上級経営者の監督・指揮下にあり、通常リスクとコントロールが妥当であり適切に管ある程度の経営機能を果たしている。第２理されることを確実にするように、それらをのディフェンスラインは基本的に、リスク検討するための仕組みを示している。モデル

管理の多くの側面を担う経営や監督の機能は、導入する組織体制と、リスクとコントロである。

ールの有効な管理をより成功させるような役

３．第３のディフェンスラインは上級経営者と取締役会に対して、彼らの期待に一致す

割と責任の割り当てについて、ガイダンスを示している。

るように第１と第２のディフェンスライン
両方が行った業務に関するアシュアランス
を提供する。第３のディフェンスラインは、

40

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報

３つのディフェンスラインモデルにおける上級経営者と取締役会の役割

で、役割と責任をどのように割り当てるかを上級経営者と取締役会は、モデルの中で不上級経営者の積極的な支援とガイダンスがあ可欠な役割を担っている。上級経営者は、取詳しく示している。この体制は、取締役会とれば最適に実施される。

締役会の監督の下、内部統制システムの選択、営者と取締役会のいずれも３つのディフェン

第１のディフェンスライン：業務部門の経営者

スラインの一部であるとは考えられていない

このモデルの第１のディフェンスライン

が、両者は、組織目的の設定、それらの目的は、リスクとコントロールを日常的に所有し達成のためのハイレベルな戦略の決定、リス管理する現業部門と間接部門の経営者が主とクを最善に管理するためのガバナンス体制のして担当する。業務部門の経営者は、組織の構築に共同で責任を負っている。上級経営者

コントロールとリスクマネジメントのプロセと取締役会はまた、リスクとコントロールにスを整備し実施する。これらには、重大なリ関する最適な組織体制を確立するのに最良なスクの識別と評価、意図したとおりの業務遂立場にある。上級経営者は、強固なガバナン

行、不適切なプロセスの検出、コントロール

ス、リスクマネジメント、コントロールを全の機能不全への対処、業務の主な利害関係者

面的に支援しなければならない。さらに彼らへの伝達のために整備した内部統制プロセス

は、第１と第２のディフェンスラインの活動が含まれる。業務部門の経営者は、自身が担に最終的な責任を負っている。彼らの関与は当する業務分野でこれらの作業を実施するた

このモデル全体の成功に不可欠である。

めの適切なスキルを身につけていなければな『フレームワーク』は、取締役会と上級経らない。

整備、評価に説明責任を負っている。上級経営者のこのような責任を明らかにするのに役

上級経営者は、第１のディフェンスライン

立つ。図３に示す通り、上級経営者と取締役のあらゆる業務の全般的な責任を負ってい会は、組織のトップの気風を確立する５つのる。上級経営者は自らが責任を負う第１のデ原則によって支えられる組織の統制環境に一ィフェンスラインの範囲であっても、特定の義的な責任を負っている。

高リスク分野については、現業部門と間接部

モデルは、『フレームワーク』の下での体制

門の経営者に対して直接的な監督も行うこと＜図３＞統制環境の監督責任
統治機関・取締役会・監査委員会
上級経営者
統制環境

統制環境

４．業務遂行能力に対するコミットメン
トの表明

リスク評価

５．説明責任の履行

統制活動
情報と伝達

全社 ベル
全社レベル
ベル
部門
業務単位
機能

３．組織構造、権限・責任の確立

コン
プラ
イア
ンス

２．監督責任の遂行

報告

１．誠実性と倫理観に対するコミットメ
ントの表明

業務

監督

モニタリング活動

月刊監査研究2015．10（No.503）

41

内部監査人協会（ＩＩＡ）情報＜図４＞ＣＯＳＯと第１のディフェンスライン
リスク評価
６．適合性のある目的の特定
７．リスクの識別と分析
８．不正リスクの評価
９．重大な変化の識別と分析

第１のディフェンスライン

統制活動

経営者によるコントロール

10．統制活動の選択と整備
11．テクノロジーに関する全般的統制活動の選択と整備
12．方針と手続を通じた展開

内部統制手段

情報と伝達
13．関連性のある情報の利用
14．組織内における情報伝達
15．組織外部との情報伝達
モニタリング活動
16．日常的評価および／または独立的評価の実施
17．不備の評価と伝達負っている。第２のディフェンスラインは業がある。
第１のディフェンスラインの個々人は、『フ

務部門の経営者と密接に連携することが多レームワーク』の中のリスク評価、統制活

く、導入戦略の定義づけ、リスクの専門知識

動、情報と伝達に関する重大な責任を負っての提供、方針と手続の導入、リスクとコントいる。図４に示す通り、業務部門の経営者は、ロールの全社的視点を生み出すための情報の『フレームワーク』の中に示された残りの12収集を支援する。

の内部統制の原則に一義的な責任がある。

第２のディフェンスラインの構成は、組織の規模や業界により大きく異なることがあ

第２のディフェンスライン：内部のモニタリングと監督機能る。大規模組織、株式公開会社、複雑な組織、第２のディフェンスラインは、第１のディスラインの機能はすべて別々ではっきり分け

フェンスラインが導入したコントロールとリられている。小規模組織、非公開会社、あまスクマネジメントのプロセスが適切に設計さり複雑でない組織、規制が厳しくない組織なれ意図したとおりに運用されることを確実に

どは、第２のディフェンスラインのいくつかするために、経営者が整備した各種のリスクの機能が統合されたり存在しないこともあ

マネジメントとコンプライアンスの機能である。例えば、法務とコンプライアンスの機能る。第２のディフェンスラインは経営機能でを1つの部に統合したり、衛生・安全機能をあり、業務部門の経営者である第１のディフ

環境機能と統合する組織がある。第２のディェンスラインからは分離されているが上級経

フェンスラインの職務の一部または全部を第営者の監督・指揮下にある。第２のディフェ

１のディフェンスラインの経営者が担う組織

ンスラインに属する機能は、通常、コントロもある。

ールとリスクの継続的モニタリングの責任を

42

月刊監査研究規制が厳しい組織などは、第２のディフェン代表的な第２のディフェンスライン機能に

2015．10（No.503）

内部監査人協会（ＩＩＡ）情報

は、以下のような専門的なグループがある。

スに関するガイダンスと研修の提供。

●

リスクマネジメント

第２のディフェンスラインによるモニタリ●

情報セキュリティ

ングは、組織の特定のニーズに合わせるべき

●

財務管理

である。通常、これらのモニタリング活動は、●

物理的セキュリティ

日常的な業務活動とは別のものである。多く●

品質の場合、モニタリング活動は組織中に分散し

●

衛生・安全

ているが、モニタリング機能が１つまたはわ●

検査

ずかな分野に限られている組織もある。

●

コンプライアンス●

法務

１のディフェンスラインの業務からある程度●環境

独立しているものの、本来的には経営機能で●サプライチェーン

ある。第２のディフェンスラインの機能は、●その他（業界特有または企業特有のニーズ

組織の内部統制とリスクのプロセスを直接整による）備し実施し変更することがあり、また特定の経営者の監督の下、第２のディフェンスラ

業務活動について意思決定の役割を担うこと

インの構成員はコントロールが意図したとおもある。第２のディフェンスライン機能の役りに機能しているかを判断するために特定の割が第１のディフェンスラインの業務への直コントロールをモニターする。第２のディフ

接的な関与を必要とする限りは、第２のディェンスラインが行うモニタリング活動は、通フェンスライン機能は第１のディフェンスラ

常、『フレームワーク』で述べられている業

インの業務から完全には独立していない。

第２のディフェンスラインの各機能は、第務、報告、コンプライアンスの３つのすべての目的を網羅する。
第２のディフェンスラインの個々人の責任はさまざまであるが、通常、以下のようなものがある。

第２のディフェンスラインの構成は、組織の規模や業界により大きく異なることがある。
独立的ではないものの、強力で有能な第２リスクを管理するためのプロセスとコントのディフェンスライン機能は言い表せないほ

ロールを設計し整備して、経営者を補佐。

ど重要である。第２のディフェンスラインは、

モニターすべき活動および経営者の期待と適度な客観性を持って業務を行うことと、第比較した達成度の測定方法の決定。

１のディフェンスラインによるリスクとコン

内部統制活動の妥当性と有効性のモニタリ

トロールの管理について上級経営者と取締役ング。

会に重要かつ有益な情報をもたらすことが期●

重大な問題、新たなリスク、異常値の上申。

待されている。第２のディフェンスラインは●

リスクマネジメントフレームワークの提全社的なリスクとコントロールの情報を上級供。

経営者と取締役会に提供することもあるが、組織のリスクとコントロールに影響する既

これは第１のディフェンスラインには期待さ

知および新たなリスクの識別とモニタリン

れていないことである。ディフェンスライン

グ。

として有効であるためには、第２のディフェ

組織の潜在的なリスク選好とリスク許容度

ンスラインは組織各所のリーダーや業務部門の変化の識別。

の経営者を相手にするのに十分な地位がなけ

リスクマネジメントとコントロールプロセ

ればならないが、そのような地位は、敬意を

●

●

●

●

●

●

月刊監査研究2015．10（No.503）

43

内部監査人協会（ＩＩＡ）情報＜図５＞ＣＯＳＯと第２のディフェンスライン

コン
プラ
イア
ンス

報告

業務

継続的モニタリング

モニタリング活動

リスク評価

16．日常的評価および／または
独立的評価の実施

統制活動

全社 ベル
全社レベル
ベル
部門
業務単位
機能

統制環境

情報と伝達

17．不備の評価と伝達

第２のディフェンスライン
財務管理
セキュリティ
リスクマネジメント
品質検査
コンプライアンス

モニタリング活動

払われる権限と直接的報告経路からもたらさ

査部門長と取締役会の直接的報告関係によっれる。

てさらに強化されている。この高度な組織上の独立性により、内部監査人はガバナンス、

第３のディフェンスライン：内部監査

リスク、コントロールに関して取締役会と上内部監査人は、組織の第３のディフェンス

級経営者に信頼性と客観性のあるアシュアラ

ラインとしての機能を果たす。ＩＩＡは内部ンスを提供するのに最適に位置づけられてい監査を次のように定義している。「組織体のる。

運営に関し価値を付加し、また改善するため

内部監査機能は、独立性と専門性を高めるに行われる、独立にして、客観的なアシュア

条件が整えば有効な組織的ガバナンスに貢献

ランスとコンサルティング活動である。内部する。そのため、専門的な内部監査機能の確

監査は、組織体の目標の達成に役立つことに立はあらゆる組織にとって優先事項である。

ある。このためにリスクマネジメント、コン

これは、大規模組織のみならず小規模企業にトロールおよびガバナンスの各プロセスの有

とっても重要である。やや非公式で強固でな

効性の評価、改善を、内部監査の専門職としい体制の小規模組織がガバナンスとリスクマて規律ある姿勢で体系的な手法をもって行

ネジメントのプロセスの有効性を確保しようう。
」４とすると、大規模組織と同様に複雑な環境にさまざまな役割の中でも内部監査は特に、直面することがある。また小規模組織には、ガバナンス、リスクマネジメント、内部統制

有効な第２のディフェンスラインが存在しなの有効性と効率性のアシュアランスを提供すいことがある。しかし、あらゆる組織が独立る。内部監査の業務範囲は、組織の業務のあ性、適切性、能力を備えた内部監査要員を確らゆる側面を網羅することができる。

保すべきであり、内部監査は職務を独立的に

内部監査を他の２つのディフェンスライン

遂行できるように組織内の十分高い地位に報と区別しているのは、その高度な組織上の独告すべきであり、さらに（ＩＩＡの『専門職立性と客観性である。内部監査人は通常の責的実施の国際フレームワーク』のような）世任の一部としてコントロールの整備や運用は界的に認められた適切な基準に従って業務をせず、組織の業務運営の責任も負っていない。

行うべきである。

多くの組織では、内部監査の独立性は内部監
４

専門職的実施の国際フレームワーク（IPPF）2013年版。

44

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報＜図６＞ＣＯＳＯと第３のディフェンスライン
整備・運用状況の評価
統制環境
１．誠実性と倫理観に対するコミット
メントの表明２．監督責任の遂行
３．組織構造、権限・責任の確立
４．業務遂行能力に対するコミットメ
ントの表明
５．説明責任の履行モニタリング活動

リスク評価

統制活動
10．統制活動の選択と整備
11．テクノロジーに関する全般的統制
活動の選択と整備
12．方針と手続を通じた展開

統制活動
情報と伝達

全社レベル
部門
業務単位
機能

統制環境

コン
プラ
イア
ンス

業務

６．適合性のある目的の特定
７．リスクの識別と分析
８．不正リスクの評価
９．重大な変化の識別と分析

報告

有効性に関する
アシュアランス

リスク評価

第３のディフェンスライン

内部監査

モニタリング活動

情報と伝達
13．関連性のある情報の利用
14．組織内における情報伝達
15．組織外部との情報伝達
モニタリング活動
16．日常的評価および／または独立的評価の実施17．不備の評価と伝達

外部監査人、規制当局、外部の関係者

ェンスラインとして取締役会や上級経営者を外部の関係者は、正式には組織の３つのデ含めた組織の利害関係者に重要な視点と見解ィフェンスラインの中にあるとは考えられてをもたらし得る。しかし、そのような関係者

いないが、外部監査人や規制当局などは、組による作業には、異なった目的や概してより織の全般的なガバナンスとコントロール体制

焦点を絞った狭い目的があり、対象とする分に重要な役割を果たすことが多い。規制当局

野は組織内部のディフェンスラインによる評は、ガバナンスとコントロールを強化するこ

価ほど広範ではない。例えば、３つのディフとを意図して規制を設けることがよくあり、ェンスラインは、組織が直面する業務、報告、

規制対象組織について積極的にレビューし報

コンプライアンスのリスク全般に対応するこ告する。同様に、外部監査人は、組織の財務とを意図しているのに対して、特定の規制当報告と関連リスクについて重要な発見事項と局の監査は、コンプライアンス、安全または評価をもたらすことがある。

その他の限られた範囲の問題だけに焦点を当

外部監査人、規制当局、その他組織外部のてることがある。外部監査人や規制当局のよ関係者が有効に連携すれば、追加的なディフ

うな関係者は貴重な情報をもたらすが、組織月刊監査研究2015．10（No.503）

45

内部監査人協会（ＩＩＡ）情報

内部のディフェンスラインの代用と考えるべに検討すべきである。可能であれば、そのよきではない。組織のリスクを管理することはうな状況は短期のものとして、機能が成熟す組織の責任であって外部の関係者の責任ではるにつれて適切に分離すべきである。もしそない。

のような状況が短期や臨時でなく長期間であれば、３つの別々のディフェンスラインを維Ⅱ．３つのディフェンスラインの構築と連携３つのディフェンスラインの構築

持できないために経営とアシュアランスの機能が分離されないことの影響を取締役会は理解すべきである。
モデル内の各グループの基本的な役割を覚

３つのディフェンスラインモデルは意図的えておくと、組織のさまざまなリスクとコンに柔軟に設計されている。各組織は、自らのトロールの機能内で具体的な職務を検討した

業界、規模、業務体制、リスクマネジメント

り割り当てる際に役立つ。

に対するアプローチに合った方法でこのモデ

組織上の独立性と客観性は第３のディフェルを整備すべきである。しかし、３つに分か

ンスラインの本質的な特徴であるため、組織れ明確に定義されたディフェンスラインがあが内部監査機能に第２のディフェンスライン

る時に、通常、全般的なガバナンスと統制環の何らかの役割を統合する場合は特別な注意

境は最強となる。組織の規模や複雑性を問わが必要である。内部監査機能が第２のディフ

ず、何らかの形で３つのディフェンスラインェンスラインの何らかの職務を兼務する場合すべてが存在するというこのモデルと一致す

は、上級経営者と取締役会は、内部監査機能るようなガバナンス体制を整備するように組の組織上の独立性または客観性が損なわれな織は努力すべきである。「ライン」は、別々

いように統合または調整するよう十分確認すの役割と責任、組織のしかるべき方針と手続べきである。内部監査人は、本来は監査対象への明記、一貫した「トップの気風」による業務のいかなる経営上の責任も負うべきでは

裏付けを伴って、はっきりと区別されるべきない。内部監査が第２のディフェンスライン

である。

の業務に関与する組織では、相反する役割はディフェンスラインを引く場所は、各組織他の者またはグループに割り当てて、このよ

特有のニーズによって異なる。小規模会社やうな関与は通常短期間にすべきである。内部

特定の機能が移行中の場合などは、ディフェ監査による第２のディフェンスラインの職務

ンスラインが明確に分かれていないことがあへの関与が短期間ではない場合は、上級経営る。例えば、リスクマネジメント機能を立ち者と取締役会は内部監査が独立的かつ客観的上げる時、整備を促すために他の機能を利用なアシュアランスを提供する能力には限界がする組織もある。しかし、ディフェンスライ

あることを認識する必要があり、影響を受けンの機能がはっきりと分かれていない状況でる特定の業務に関するアシュアランスの提供

は、取締役会はその体制の潜在的影響を慎重を外部の関係者に頼る必要もあり得る。

＜図７＞３つのディフェンスライン間の違い
経営機能
第１のディフェンスライン
業務部門の経営者

46

アシュアランス
第２のディフェンスライン
限定的な独立性
一義的には経営者に報告

月刊監査研究2015．10（No.503）

第３のディフェンスライン
内部監査
大きな独立性
統治機関へ報告内部監査人協会（ＩＩＡ）情報

３つのディフェンスラインの連携

部監査部門長のような役員の主な役割を慎重

３つのディフェンスラインそれぞれが、リにレビューし構築することが極めて重要であスクを有効に管理して組織の目的達成を支援る。それによりリスクとコントロールを担当するという同じ究極の目的を持っている。彼

する他の役員と連携し伝達しながら各自が固らは同じ最終的利害関係者のために働き、同有の責任を果たせる。

じリスクとコントロール上の問題を扱うこと

第１のディフェンスラインは、リスクとそが多い。上級経営者と取締役会は、３つのデの管理手法を一義的に所有している。第２のィフェンスラインが互いに情報を共有し業務

ディフェンスラインは、リスクの専門知識をの連携をすることを期待していると、明確に提供し、導入戦略の設定を助け、方針と手続伝えるべきである。情報の共有と業務の連携の導入を支援する。これら２つのディフェン

は業務の全般的な有効性に役立ち、またどのスラインはリスクとコントロールについて異ディフェンスラインの主要機能も損ねない。

なる役割を持つが、同じ用語を用い、組織の

例えば、多くの組織では、これらの期待を明

リスクに対する互いの評価を理解し、可能な示した取締役会レベルまたは経営者レベルの限り共通のツールやプロセスを活用して、協リスク方針を定めている。

働することが不可欠である。

連携と伝達を組織体制と混同してはならな

第３のディフェンスラインである組織の内い。３つのディフェンスラインの目的は同じ

部監査機能は、組織の重要なリスクとコント

であっても、各ディフェンスラインは固有のロール活動を内部監査業務範囲に含めるべき役割と責任を負っている。しかし別々のディである。第１と第２のディフェンスラインとフェンスラインであっても縦割りで業務を行のコミュニケーションは、内部監査が彼らとうべきではない。３つのディフェンスライン

同様のリスク用語を用いることと、彼らのリは、リスク、コントロール、ガバナンスにつスクに対する考えを理解することに役立つ。

いて情報を共有し業務の連携をすべきであ

内部監査は、第２のディフェンスラインとる。多くの場合、彼らはリスクとコントロー

業務の連携もすべきである。この連携は、組ルに関して共通した見方をしている可能性が織の性質、両者が行う具体的な業務、第２のある。

ディフェンスライン機能の組織上の独立性、すべての重要なリスクに適切に対処しなが上級経営者と取締役会の期待などにより、さらも業務の不要な重複を避けるために、慎重

まざまな形態をとり得る。内部監査は、第２な調整が必要である。この調整は大変重要でのディフェンスラインが行った業務を内部監あり、『基準2050』は内部監査部門長に「適査の評価業務の一部の基礎にできる場合があ

切な内部監査の業務範囲を確保し、業務の重る。この場合内部監査は、その業務が適切に複を最小限にするために、内部監査機能以外

設計、計画、監督、文書化、レビューされたのアシュアランス業務やコンサルティング・

かを確認すべきである。他の機能の業務の利サービスを行う組織体内部および外部の者

用範囲と信頼度は、個々の状況により異なる。

と、情報を共有し活動の調整をすべきであ

第２のディフェンスラインの業務を基礎としる。
」５と求めている。

て内部監査の評価業務を行うことを計画する

この調整を機能させるためには、最高リス

場合は、第２のディフェンスラインの組織上ク責任者、最高コンプライアンス責任者、内の独立性についても慎重に注意を払うべきで５

専門職的実施の国際フレームワーク（IPPF）2013年版。

月刊監査研究2015．10（No.503）

47

内部監査人協会（ＩＩＡ）情報ある。内部監査は偏見のない客観的な評価を提供するために組織上独立的に位置づけられているので、内部監査が依拠する業務を行う

Ⅲ．３つのディフェンスライン
全体でのＣＯＳＯの活用

機能は、十分に高いレベルの組織上の独立性『フレームワーク』は、内部統制の５つのと客観性を示しているべきである。能力と効構成要素とそれらの構成要素に関連する基本率性だけが規準なのではない。第１または第概念を表した17の原則を定めている。ＣＯＳ

２のディフェンスラインが内部監査のためにＯの出版物『内部統制の統合的フレームワー

業務を行う能力があるということは、彼らがク』では、17の原則は５つの構成要素から直必要なレベルの独立性と客観性を提供するこ接導き出されることから、これらの各原則をとを意味するわけではない。同様に、内部監適用することによって有効な内部統制を達成

査が第１または第２のディフェンスラインのすることができると述べている。経営者は17業務を行う能力があるということは、内部監の原則に関連する不可欠な職務を割り当て、査が第１または第２のディフェンスラインの職務が意図したとおりに実施されていること業務を行う場合に組織上の独立性と客観性をを確認する責任を負っている。

必ずしも維持するものでないことを意味している。

付録は、17の原則についての責任を３つのディフェンスライン内で割り当てる方法を例

業務を効率的に連携しやすくするために、示している。『内部統制の統合的フレームワ

内部監査には第２のディフェンスライン機能ーク』は、17の各原則に関連する各種の「着の業務または第三者が提供するあらゆる業務

眼点」も示している。着眼点の多くは３つのについて成果と有効性を評価する責任がある

ディフェンスライン内の個々人の主な責任をということを、内部監査の基本規程に明記す表しているため、『内部統制の統合的フレームべきである。

ワーク』に馴染みのある読者は、着眼点の多連携は、３つのディフェンスラインを超えて外部監査人のような外部の関係者を含めた

くが付録の至る所に反映されていることに気付くだろう。

範囲に広がることもある。内部監査人は、ガ

付録の情報は、３つのディフェンスライン

バナンス、リスクマネジメント、コントロー

内での職務の配分例を示すことを意図していルのアシュアランスを提供する際に、内部まる。組織は皆それぞれ独特であるため、付録

たは外部者の業務に依拠したり利用することの例とは異なる役割や責任を定める合理的ながある。ただしそれは、実施された業務、詳理由があり得る。組織内での職務の割り当て

細な結果、外部者の独立性と能力を、内部監方法に関わらず、内部統制の対象範囲のギャ査が十分に理解した場合である。反対に、外ップを減らし不要な業務の重複をなくすため

部者の要請に合わせて内部監査業務が意図的に、17の原則すべてに関する具体的な役割とに計画され実施されることもある。外部者と責任を明確に定めて関係者全員に伝えるべきの業務の連携は効率性の向上につなげることである。

ができるが、内部監査部門長と取締役会は、外部者の利益のために内部監査業務を設計す
ることの費用と潜在的利益を検討すべきである。

結論
あらゆる組織は、コントロールの「ギャップ」およびリスクとコントロールに関する職
務分担の不要な重複を最小にするように、ガ48

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報

バナンス、リスク、コントロールに関する責

はまるかを確実に理解するために、ＣＯＳＯ

任を明確に定めるべきである。３つのディフの『内部統制の統合的フレームワーク』と併ェンスラインモデルは、不可欠な役割と職務せて利用することができる。

を明確にすることにより、リスクとコントロールに関するコミュニケーションを深めるた

キーポイント

めの有効な方法を示している。モデルは、リ

１．上級経営者と取締役会は、ガバナンス、

スクとコントロールに関する責任について組

リスクマネジメント、コントロールの各プ

織全体で連携する方法を明らかにするためにロセスの効率性と有効性を確実にする最終

利用することができる。

的責任を負っている。

このモデルの基本的前提は、リスクとコン

２．３つに分かれ明確に定義されたディフェ

トロールの有効な管理のためには、上級経営

ンスラインがあれば、リスクマネジメント

者と取締役会の監督と指揮の下で３つの別々は最強となる。組織の規模や複雑性を問わのグループ（ディフェンスライン）が必要だ

ず、どのような組織にも何らかの形で３つということである。３つのグループは、以下のディフェンスラインすべてが存在すべきのとおりである。

である。

●

リスクとコントロールを所有し管理する

３．３つのディフェンスライン内の各グルー（業務部門の経営者）。

プは、適切な方針、手続、報告経路に裏付経営者を支援するためにリスクとコントロ

けられて明確に定められた役割と責任を持ールをモニターする（経営者が整備するリ

つべきである。

●

スク、コントロール、コンプライアンス機●

４．すべての重要なリスクに適切に対処しつ

能）。

つ効率性を向上し重複業務を避けるため

リスクマネジメントとコントロールの有効に、各ディフェンスラインは情報を共有し性に関して取締役会と上級経営者に独立的業務の連携をすべきである。

なアシュアランスを提供する（内部監査）。

５．ディフェンスラインは有効性を損なうよ

３つの各「ライン」は組織の広範なガバナ

うな形で統合または連携すべきではない。

ンスフレームワークの中で異なる役割を担う

各ディフェンスラインは、組織内で固有のが、それぞれが割り当てられた役割を有効に位置づけと責任がある。組織が３つのディ果たせば、重大なコントロールの機能不全に

フェンスラインを横切って機能を統合する

陥る可能性が低くなる。この体制はまた、組場合は、特別な注意を払うべきである。第織の最も重要なリスクとそれらのリスクに対２または第３のディフェンスラインの統合する経営者の対応方法について、取締役会ががそのディフェンスラインの独自性を損な

偏見のない情報を受け取る裏付けになる。

うようなものであると、有効性に悪影響がモデルは、各ディフェンスライン内の個々生じ得る。能力と効率性だけが規準なので人がリスクとコントロールに関する自らの完はなく、独立性と客観性もまた検討すべき

全な責任範囲および自らの職務が組織の全般

不可欠の要素である。

的なリスクとコントロールの体制にどう当て

月刊監査研究2015．10（No.503）

49内部監査人協会（ＩＩＡ）情報

付録
原則１．組織は、誠実性と倫理観に対するコミットメントを表明する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）
すべてのディフェンスラインは、誠実性と倫理観の重要性を自らの指示、行動、態度で示すことが期待される。
● 組織の価値観、哲学、業務● 第２のディフェンスライン● 組織の倫理風土および法律● 取締役会は倫理風土を監督の姿勢を構築するに当たの特定の者は、コンプライと倫理の望ましい遵守水準

し、経営者が妥当な倫理関り、模範を示して指導する。

アンス・ホットラインの支を達成するための戦略、戦連プログラムと目的を持つ

援、
潜在的不正行為の調査、術、コミュニケーション、● 倫理関連の目的、プログラ

ム、活動を構築する。
● 期待される行動基準に照らして個々人とチームの遵守

誠実性と倫理観に関連する
特定業務などを行うよう要請されることがある。

状況を評価するプロセスを整備し運用する。

その他のプロセスを評価する。

ことを確実にする。
● 取締役会は、有効な「トップの気風」を確立する責任● 組織の倫理関連の目的、プを負っている。この責任にログラム、活動の整備、運は、誠実性、倫理観、行動用、有効性を評価する。

基準に関する期待を伝達す● 倫理プログラムが定めた目ることが含まれる。

的を達成しており、主要なリスクが有効に管理されており、コントロールが有効に機能し続けているというアシュアランスを提供する。
● 組織が強固な倫理プログラ

ムを確立し、望ましい遵守
水準にプログラムを向上するのを支援するために、コンサルティング・サービスを提供する。
原則２．取締役会は、経営者から独立していることを表明し、かつ、内部統制の整備および運用状況について監督を行う。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 取締役会が信認義務を果た● 取締役会の監督は、経営者● 内部統制の整備と運用に関● 取締役会は、経営者から独せるように、内部統制の整が業務執行レベルで確立すしてアシュアランスを提供立しており客観的な評価と備と運用に関する適切な情る体制とプロセスに裏付けし、コントロールが適切に意思決定ができる十分な数

報を取締役会に提供する。

されている。この裏付け整備され有効に運用され意の取締役を確保する責任をは、第１または第２のディ図したとおりに機能していフェンスラインのいずれかるかを評価する。

負う。
● 取締役会は、経営者が設計、が提供することがある。例● 取 締役会での議論のため

えば、経営委員会または第に、原則２に関する具体的

監督責任を保持する。

２のディフェンスライングな議題を提案することによ統 制環境：誠実性と倫理

ループのいずれかがＩＴやり取締役会を支援すること観、監督体制、権限と責任、

コンプライアンスといったがある。

期待される業務遂行能力、適用、運用する内部統制のテーマに焦点を当てること取締役会に対する説明責任

がある。

の確立。
リスク評価：経営者のリス

50

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報ク選好設定への関与。目的達成に対するリスク（重大な変化、不正、経営者による内部統制の無効化による潜在的な影響を含む）に関する経営者の評価の監督。
統制活動：統制活動の整備と運用について上級経営者を監督。
情報と伝達：組織の目的達成に関する情報の分析と議論。
モニタリング活動：モニタ
リング活動の性質と範囲および統制の不備に対する経営者の評価と改善策についての検討と監督。
● 取締役会は、内部監査およ

び場合によっては経営者から独立した第２のディフェ
ンスラインの関係者と会合を持つ。
原則３．経営者は、取締役会の監督の下、内部統制の目的を達成するに当たり、組織構造、報告経路および適切な権限と責任を確立する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 目 的達成に当たり組織構● 経営者が責任を果たすため造、報告経路、適切な権限に必要な組織構造、報告経

業務運営体制、報告経路、的を承認する。
取締役会は、と責任を確立する。

路、適切な権限と責任の確権限、責任について、適切目的達成に当たり、組織構立において、経営者を支援

性と有効性に関するアシュ

造と報告経路の構築と維持する。

アランスを提供する。

および適切な権限と責任の● 取締役会が監督責任を果たせるように、組織構造、報● 目的達成に当たり、組織の告経路、適切な権限と責任● 適切な報告経路と権限を含に関する情報を伝達する。

めた内部監査の基本規程に● 取締役会は、組織全体の目割り当てについて監督責任を負う。

従って業務を遂行するため● 取締役会は、監査委員会をに、方針と実務慣行を導入含めた委員会を設置するたする。

めに適切な基本規程を発表● 取締役会に対して定期的に内部監査の組織上の独立性と客観性を確認する。

する。
● 監査委員会は、自らが責任を負うリスクとコントロールの機能（内部監査を含む）について、適切な基本規程を承認する。

月刊監査研究2015．10（No.503）

51

内部監査人協会（ＩＩＡ）情報

原則４．組織は、内部統制の目的に合わせて、有能な個人を惹きつけ、育成し、かつ、維持することに対するコミットメ
ントを表明する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 目的に合わせて有能な人材を惹きつけ育成し維持する。

● 目的達成のために有能な人● 内部監査のミッションと基● 取締役会は、経営者が目的

材を惹きつけ育成する。

本規程を達成するために、に合わせて有能な人材を惹● 第２のディフェンスライン

能力とスキルのある人材をきつけ育成し維持することの構成員と業務が経営者と惹きつけ育成し維持する。

に対するコミットメントを適切に調和することを確実● 以下のような方針やプロセ

表明することを確実にするにする。これには、人材をスの効率性と有効性を評価

様々な経営機能にローテーしてアシュアランスを提供ために監督する。
● 取締役会の委員会は、監督ションすることが含まれ得することがある。

する機能が有能な人材を有

る。

人事方針

することを確実にする。

採用慣行● 取 締役会の報酬委員会は、

研修・育成プログラム

インセンティブや報酬制度

業績評価システム

が組織のリスク選好と長期

報酬制度

目的に合ったものになるこ

後継者育成計画とを確実にする。

原則５．組織は、内部統制の目的を達成するに当たり、内部統制に対する責任を個々人に持たせる。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 目的達成に当たり、内部統● 経 営者からの委任により、 ● 内部統制の具体的な責任の制に対する責任を個々人に第２のディフェンスライン持たせる。この責任には、の個々人は内部統制の具体

具体的な責任の伝達、業績的な責任の遂行をモニター

評価システムの実施、個々し報告する。

● 取締役会は、経営者が内部遂行についてアシュアラン

統制に対する責任を個々人スを提供する。

に持たせることを確実にす● 内部監査人は説明責任につる責任を負う。

いて改善提案をすること● 取 締役会の報酬委員会は、人の行動に責任を持たせるがあるが、通常は人事措置

インセンティブや報酬制度ように設計した人事プロセ

または内部統制に対してが組織の目的に合ったもの

スの実施が含まれる。

個々人に責任を持たせるよになることを確実にする。

うに設計したプロセスについて意思決定する直接の権限はない。
原則６．組織は、内部統制の目的に関連するリスクの識別と評価ができるように、十分な明確さを備えた内部統制の目的を明示する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）
内部統制システムの一部であるすべての個々人は、組織が定めた全般的な戦略と目的を理解する必要がある。
● 目的の設定は、戦略計画に● 事業体レベルの目的全体に関連するプロセスの重要なついての設定または承認に

またそれらが具体的で、測目的が利害関係者のために部分である。

は責任を負わない。
しかし、定可能または観測可能で、価値を創造、維持、実現す● 取締役会の監督の下、組織

コンプライアンスまたは品達成可能で、
関連性があり、る方法に関する意思決定をのミッション、ビジョン、質コントロールのような専期限を定めたものであるか

反映したものとなるよう

52

月刊監査研究● 目 的が設定されているか、 ● 取締役会は、ハイレベルの2015．10（No.503）

内部監査人協会（ＩＩＡ）情報

戦略に合った事業体レベル

門的な特定分野に関連するを検証する。

の目的を設定する。

に、目的設定の監督に責任目的または下位目的につい目的設定プロセスの全社的● 目的の達成に対するリスクて、草稿、実施、モニター、

レビューは、単独の個別監● 取締役会は上級経営者ととが識別・評価できるような報告を求められることがあ査業務として実施すること

もに、適切なリスク選好と十分な詳細を備えた適切な目的を特定する。
● 個々のリスクに対して許容度を当てはめる。

を負う。

がある。

リスク許容度を確立し、そ● 適切なリスク選好と許容度

個々の目的または下位目的

れらが組織全体に伝達されが検討されたかを評価すは、他の内部監査業務中ることを確実にする。

る。

にレビューされることがある。

● 事業体レベルの目的を、組る。

織の管理体制を通して設定● 内部監査の組織上の独立性

されるより具体的な下位目を維持するために、監査人

的とリンクさせる。

は通常、（内部監査機能に● 事業体レベルの目的と関連関するもの以外の）目的はする下位目的の両方とも、整備しない。

具体的で、測定可能で、達成可能で、関連性があり、期限を定めたものとすべきである。
原則７．組織は、自らの目的の達成に関連する事業体全体にわたるリスクを識別し、当該リスクの管理の仕方を決定するための基礎としてリスクを分析する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 目的達成に関連するリスク● リスクとコントロールに関● 組織のリスクフレームワー● 取締役会は、全般的な組織

する重大な責任が、全社的クを考慮して、全組織的な戦略および戦略に関連する● 取締役会の監督の下、組織

リスク管理機能に移譲されリスクベースの監査計画を

リスクの理解を含めた組織のリスク選好とリスク許容ることがある。代表的な業度を決定し、リスク管理シ

務には以下のようなものがを識別し管理する。

実施する。

目的を確立する。

● 独立性と客観性が侵害され● 取締役会は、目的達成に対ステムを構築し、個々のリある。

ない限り、しかるべき全社するリスクを識別し管理すスクの管理責任を定める。

リスクの共通語または用語

的リスク管理業務を手助けるための責任を経営者に持することがある。

たせ監督する。

集の作成。
組織のリスク選好とリスク● 内部監査計画を策定するた

許容度の説明。

めに、以下のようなものを「リスク棚卸表」の中のリ検討する。

スクの識別と説明。

固有リスクと残存リスクの機能内および機能横断のリ識別と評価。

スクの優先順位付けをする

リスク低減のためのコント

ためのリスク順位づけ方法

ロール、緊急時対応策、特の導入。

定のリスクに結びついたモ他のリスク管理機能のしかニタリング活動。

るべき業務と連携するためリスク記録簿の正確性と完に、リスク委員会の設置ま全性。

たは最高リスク責任者の任

経営者のリスクとコントロ

命。

ール活動に関する文書の妥特定のリスクと対応の所有

当性。

者の任命。

月刊監査研究2015．10（No.503）

53

内部監査人協会（ＩＩＡ）情報

リスクが適切に管理される
ことを確実にするための行動計画の整備。
各種利害関係者のための統合的な報告の作成。
リスク低減のために講じた措置の結果のモニタリン
グ。
内部監査、コンサルティン
グ・チーム、その他の評価者が対象とするリスク範囲の効率性の確保。
第三者と遠隔地の従業員の参加を可能にするリスク管
理フレームワークの整備。
● セキュリティやコンプライ

アンス機能のような特定のグループは、組織の異なる業務や部署のために経営者が設定したリスク選好水準を考慮して、彼らの専門分野に関連するリスクの識別において経営者を支援することがある。
原則８．組織は、内部統制の目的の達成に対するリスクの評価において、不正の可能性について検討する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 不正を識別、抑止、発見す● リスクとコントロールの評● 『基準』は、監査中の分野● 取締役会は、不正を抑止しるプロセスを実施する。

発見するシステムとプロセ

価に不正リスクの検討が含において重大な不正の可能● 組織の内部・外部監査人とまれることを確実にする。

性を検討することにより、スの監督に責任を負う。

ともに、組織の不正エク● 調査機能のようなグループ

内部監査人が専門職として● 取 締役会と上級経営者は、

スポージャーをレビューすが、不正の抑止と発見に重の正当な注意を払うことを不正の防止と発見のためのる。

大な役割を果たすことがあ求めている。

気風を確立する。

る。これらのグループは、 ● 内部監査人は、不正リスク● 取締役会は、財務報告不正

不正に関する全社的な方針

および経営者による不正リを含めた組織の不正エクスと手続の整備とモニタリン

スクの管理方法を評価する

ポージャーに関する定期的グを担当することがある。

ために、十分な知識を持つな報告を受けるべきであことが求められている。しる。

かし、主に不正の発見と調査に責任を負う者と同等の専門性を持つことは期待されていない。

54

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報

原則９．組織は、内部統制システムに重大な影響を及ぼし得る変化を識別し、評価する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）
変化は内部・外部のさまざまなところから起こり得るため、３つのディフェンスラインすべての個々人は内部統制システ
ムに重大な影響を及ぼし得る新たな問題に警戒すべきである。
● 内部統制システムおよび内● 内部統制システムに重大な● 定期的なリスク評価および● 取締役会は、内部統制シス

部統制システムに重大な影影響を及ぼし得る変化の影

内部監査業務を通じて、内テムに重大な影響を及ぼし響を及ぼし得る変化を識別

響の評価を支援するよう経部統制システムに重大な影得る変化を識別し評価する

し評価する一義的な責任を営者から依頼されることが響を及ぼし得る変化を識別

プロセスを経営者が確立すし評価する。

ることを確実にする責任を負う。
● 取締役会が監督責任を果た

すのに十分な詳細さで、内ある。
● 変化に適応するために積極性が必要である。

● 組織のリスク評価に与える負う。

変化と影響を予測するため

部統制システムに重大な影● 組織の法務、規制、コンプ

響を及ぼし得る変化に関す

ライアンスのリスクに対する情報を、取締役会に伝達る変化を定期的にモニターする。

し検討する。

に、経営者と定期的にコミュニケーションをとる。

原則10．組織は、内部統制の目的に対するリスクを許容可能な水準まで低減するのに役立つ統制活動を選択し、整備する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 日常的にリスクとコントロ● 第２のディフェンスライン● 経営者によって整備された● 取締役会は、経営者の内部ールの手続を実施するため内の機能は通常、経営者にコントロールについて、適統制システムが、目的達成に、有効な内部統制を維持

代わって特定のコントロー

切に整備され、効果的に運に対するリスクを意図したする。
業務部門の経営者は、ルのモニタリングに責任を用され、目的達成に対する許容水準まで低減している負う。

リスクを識別、評価、管理、リスクが意図した許容水準

ことを確実にするために、低減し、内部の方針と手続● 第２のディフェンスライン

まで低減されている、とい情報を評価し監督する。

を整備し運用するよう指導の個々人は、経営者から任うアシュアランスを提供すし、業務が設定されたゴー

命されて特定のコントロー

ルと目的に整合することを

ルの選択と整備に参画する● 内部統制の効率性と有効性確実にする。組織の責任管こともある。しかしその場の向上を意図して助言す

理体制を通じて、中間層の合でも、内部統制システムる。しかしその場合でも、経営者はコントロールとなの責任は経営者が保持す

内部統制システムの責任はる詳細な手続きを設計・導る。

経営者が保持する。

る。

入し、従業員がそれらの手続を実行するのを監督する。
● 業務部門の経営者のガイダ

ンスの下でコントロールはシステムとプロセスの中に組み込まれているため、必然的に第１のディフェンス
ラインとしての役目を果たす。コンプライアンスを確実にし、コントロールの機能不全、不適切なプロセス、
予期せぬ事象を浮き彫りに

月刊監査研究2015．10（No.503）

55

内部監査人協会（ＩＩＡ）情報

するために、適切な管理監
督的コントロールを整備すべきである。
原則11．組織は、内部統制の目的の達成を支援するテクノロジーに関する全般的統制活動を選択し、整備する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● テクノロジーに関する統制● 第２のディフェンスライン● 組織のＩＴガバナンスプロ● 取締役会は、コントロール

活動を設計し適用する。この個々人は、特定のテクノ

セスが組織の戦略と目的を指揮し評価しモニタリン

れには、テクノロジーに関

ロジー統制のモニタリングを支援しているかを評価す

グする重大な監督責任を負する方針と手続の策定と伝に関連する職務を任されるる。

っている。取締役会の監督達、およびＩＴ統制が目的ことが多い。

● テ クノロジー統制の効率

責任は、ＩＴガバナンスに達成を支援するのに適切で● 経営者の指名により、情報性、有効性、網羅性につい関する次のような側面も網あることを確実にすること

セキュリティ部のようなグてアシュアランスを提供

羅すべきである。

が含まれる。

ループは、テクノロジーにし、必要に応じて特定の統組織とガバナンスの体制。

● 新たなテクノロジーに関連

係るコントロールの選択、

制活動の改善提案を行うこ

経営幹部のリーダーシップ

するリスクエクスポージャ

整備、維持にも重要な役割

ともある。

と支援。

ーの変化をモニターし評価● 内部監査の独立性と客観性を担うことがある。

するプロセスを確立する。

戦略的計画と業務運営面のを維持するために、内部監計画。

査は通常はテクノロジーに

サービスの実施と測定。

関する全般的統制活動の選ＩＴ組織とリスクマネジメ

択や整備は行わない。しかント。

しテクノロジー統制について提案を行うことがある。
● 内部監査人は業務遂行のために、ＩＴリスクとコント
ロールの十分な知識を持たなければならない。しかし
ＩＴ監査を主な職務とする
監査人と同等の専門性を全監査人が持つよう期待されているわけではない。
原則12．組織は、期待されていることを明確にした方針および方針を実行するための手続を通じて、統制活動を展開する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 期待されていることを明確● 経営者の指名により、特定● 方針、手続、コントロール● 取締役会は、業務を指導しにした方針および行動を規の方針と手続への遵守状況

手段の整備と運用につい

目的達成を確かなものとす

定した関連性のある手続ををモニターする。

てアシュアランスを提供するための強固な方針と手続る。

のシステムが整備されるの通じて、ビジネスプロセスと従業員の日常業務に組み込まれる統制活動を設定する。
● 関連するリスクが存在する

ビジネスユニットまたは機56● 方針と手続の整備と伝達において、経営者を支援する。 ● 方針と手続について改善提● 組織が確立したリスク選好案を行う。しかし内部監査に関連してリスクがモニ機能以外の業務の方針と手ターされることを確実にす

続の整備や運用についてはる。

通常権限を持たない。

月刊監査研究2015．10（No.503）

を確実にするために監督を行う。

内部監査人協会（ＩＩＡ）情報能の経営者（または任命された者）とともに、統制活動における行為責任と説明責任を明確にする。
● 十分な権限を有し、業務遂行能力のある構成員が、勤勉かつ常に集中して、方針と手続に示された通りに適時に統制活動を実施することを確実にする。
● 統制活動の結果として判明

した問題点について、責任者が調査し対応することを確実にする。
● 継続して目的適合性があるかを判断するために統制活動を定期的にレビューし、必要に応じて更新する。
原則13．組織は、内部統制が機能することを支援する、関連性のある質の高い情報を入手または作成して利用する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 日常業務をモニタリングし● モニタリング活動に利用す● 情報の信頼性と完全性およ● 上 級経営者と取締役会は、組織中で情報を共有するたるために組織中からの情報

び関連するリスクエクスポ

組織の成功をモニターし、めに、データを作成して維を編集する。

ージャーについてアシュア

リスクを予測し、投資家のランスを提供する。これにような外部の利害関係者と● 伝達される情報の内容、品持する。

は、内部と外部のリスクエ

コミュニケーションをとる

質、精度は目的達成にふさクスポージャーと、組織外ための意思決定に、情報をわしく目的達成を支援する部の事業体との関係に関連ものであるか、費用と便益するエクスポージャーが含を検討する。

まれる。

● 情報の信頼性と完全性は経● 組織の情報の信頼性と完全営者の責任である。この責性の実務について定期的に

任には、情報の保管方法に評価し、必要に応じて新た関係なく、組織のすべてのなコントロールの導入や安重要情報が含まれる。情報全対策の向上を提案する。

の信頼性と完全性には、正

このような評価は、単独の確性、網羅性、セキュリテ

監査業務としてまたは内部ィが含まれる。

監査計画の一部の業務とし活用する。
● 組織の内部統制システムの運用と有効性に関する報告を定期的に受け取る。

てのいずれかで行われ得る。
● 情報の信頼性と完全性が侵害されているか、また組織への脅威を示す状況が直ちに上級経営者、取締役会、内部監査へ知らされるか、を判断する。

月刊監査研究2015．10（No.503）

57

内部監査人協会（ＩＩＡ）情報

原則14．組織は、内部統制が機能することを支援するために必要な、内部統制の目的と内部統制に対する責任を含む情報を組織内部に伝達する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 組織の全構成員が各自の内● 特定のコントロールについ● 情報の網羅性、正確性、品部統制の責任を理解し遂行てモニターし情報をまと質が取締役会と上級経営者

待する気風を伝達する。

するために必要な情報を伝め、概要情報を第１のディのニーズに一致していると● 取 締役会と上級経営者は、達するプロセスを整備し維

フェンスライン、第３のデいうアシュアランスを提供

各ディフェンスライン内の持する。

ィフェンスライン、取締役する。

個々人から受け取ることを● 取締役会が事業体の目的に期待している情報の性質に会に伝達する。

関する彼らの責任を果たせ● 内部通報制度のような独立るように、取締役会に対しした伝達経路のモニタリて適切な情報を伝達する。

ングに責任を負うことがあ● 通常の伝達経路が機能しな● 取締役会は、組織全体に期ついてガイダンスを提供すべきである。

る。

かったり有効でない場合に、匿名または秘密の情報伝達ができるように二重の安全装置の役割を果たす、
内部通報制度のような独立した伝達経路を確立する。
原則15．組織は、内部統制が機能することに影響を及ぼす事項に関して、外部の関係者との間での情報伝達を行う。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 目的に適合する適時な情報● 規制当局、外部監査人、そ● 他者の重要なコミュニケー● 取締役会は外部者に伝達すを、株主、パートナー、所の他特定グループへの一定

ションが正確であるといる前に、経営者から内部統有者、規制当局、顧客、財のコミュニケーションの例

うアシュアランスを提供す制の機能と有効性および経務アナリスト、他の関係者

外はあるが、第２のディフる。

営者の意見の根拠につい等を含めた外部の関係者へェンスラインは通常、内部● 内部監査機能は通常、内部伝達するプロセスが整備さ統制機能に影響する事項に統制の機能に影響する事項

れることを確実にする。

関して外部の関係者とコミに関して外部の関係者とコ● 取締役会は、組織の統制シ● 顧 客、消費者、供給業者、

ュニケーションをとらな

ミュニケーションをとらな

ステムに関する外部報告にい。

い。

含まれる取締役会の意見に外部監査人、規制当局、財務アナリスト等からの情報● 組織が外部に内部統制につ提供を可能にし、経営者といて報告する場合、第２の取締役会に対して目的に適ディフェンスライン機能は合する情報を提供する、開経営者の意見の裏付けとしかれた伝達経路を確立する。

て自らの活動の結果を経営● 外部の関係者による評価か者に提供する。

ら得られた目的適合性をもった情報を、取締役会に伝達する。
● 適合性のある伝達方法を選択し、選択した伝達方法が伝達の時期、対象、性質お58

月刊監査研究2015．10（No.503）て、情報と報告を受け取るべきである。

ついて、外部監査人と協議すべきである。

内部監査人協会（ＩＩＡ）情報よび法律、規則、受託責任に関する要件と期待を検討することを確実にする。
● 以下に関する適切な方針を制定する。
組織外に情報を報告する際の承認要件。
報告が許容される情報と許容されない情報に関するガ
イドライン。
情報を受け取ることが承認される外部者と彼らが受け取れる情報の種類。
組織外に情報を報告するためのプライバシー規制、規制要件、法的検討事項。
組織外に伝達する情報に含まれ得るアシュアランス、
助言、勧告、意見、ガイダ
ンス、
その他の情報の性質。
原則16．組織は、内部統制の構成要素が存在し、機能していることを確かめるために、日常的評価および／または独立的評価を選択し、整備および運用する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● ビジネスとビジネスプロセ● 経営者が指揮する内部統制● 経営者の日常的評価がビジ● 取締役会は経営者に、内部スの変化の速度を検討し、システムの各種構成要素

ネスプロセスに組み込まれ統制の構成要素の評価を選リスクに応じて独立的評価の状況をモニターするためており、状況の変化に応じ

択、整備、運用する責任をの範囲と頻度を変えて、日に、継続的および独立的評て調整されているというア

常的および独立的評価の価を実施する。

シュアランスを提供する。

● 組織のリスクおよびリスク

持たせ、監督する。

バランスを選択し整備する● 目的の達成が定められたリ● 経営者の評価からもたらさ

管理活動の有効性に関する（これらの評価は、第２のスク許容度内であるかをモれる情報が、公正かつ正確

定期的な報告を受け取る。

ディフェンスラインが行う

ニターするために、継続的に示されているというアシことがある）。

および独立的評価を実施すュアランスを提供する。

● 日常的および独立的評価を● 内部統制システムが期待通る。

実施する評価者が、評価対りに運用されており、リス

象を理解する十分な知識をクが組織のリスク選好と許持ち合わせていることを確

容度の範囲内で管理されて実にする。

いるというアシュアランス● 日常的および独立的評価のを提供する。

基準を確立するために、内部統制システムの設計と現状が使われることがある。
● 組織のリスクマネジメント

活動の実績について、取締役会に定期的に報告する。

月刊監査研究2015．10（No.503）

59内部監査人協会（ＩＩＡ）情報

原則17．組織は、適時に内部統制の不備を評価し、必要に応じて、それを適時に上級経営者および取締役会を含む、是正措置を講じる責任を負う者に対して伝達する。
第１のディフェンスライン

第２のディフェンスライン

第３のディフェンスライン

その他（リスクの所有者・経営者） （リスク、コントロール、コ （内部監査）
ンプライアンス）● 内部統制の不備についての● 第２のディフェンスライン● 内部監査人は、経営者へ伝● 取締役会は、内部統制の不情報を、是正措置を講じるの個々人は、特定の種類の達した内部監査の検出事項

備に関する情報を適時に受責任者および必要に応じて内部統制の不備のモニタリおよび改善勧告について、領し、重大な統制の不備に

上級経営者と取締役会に伝ングと報告の責任を移譲さ解決状況をモニターするシ対する是正措置が適時かつ達する。

れることがある。

ステムを確立し維持する。

適切であることを確実にす● 不備が適時に是正されていこのシステムは、通常以下ることを追跡管理する。

を検討する。

べきである。
● 経営者と取締役会は、必要

監査検出事項と改善勧告へに応じて日常的および独立の対応に経営者が必要とす的評価の結果を検討する。

る時間。
経営者の対応の評価。
（適切な場合）経営者の対応の検証。
（適切な場合）フォローア
ップ監査の実施。
リスクの前提を含め不満足な対応や措置を上級経営者
または取締役会へ上申するプロセス。

著者についてーも務めた。
ジーナ・ユーバンクス氏は、公認内部監査ダグラス J. アンダーソン氏は、公認内部人、公認情報システム監査人、公認リスク管

監査人、公認会計士、公認リスク管理監査

理監査人、内部統制評価指導士の資格を持人、公認管理会計士の資格を持ち、ＩＩＡのち、ＩＩＡのプロフェッショナルサービス担

Audit Executive Center©のコンサルタントで当ヴァイスプレジデントとして品質評価、内あり、サギノー・バレー州立大学客員講師で部監査部門長サービス、業種別サービスなど

あり、ガバナンス、リスク、コントロールにのプログラムを統括している。彼女は、４大重点を置いたコンサルティング・サービスを監査法人の１つでグローバル・エンタープラ

行っている。内部監査、外部監査、会計、フイズ・リスク・サービスの業務を15年間担当

ァイナンスの分野で30年以上の経験があり、したのを含めて20年以上の内部監査経験があ

その職責は世界中の多様な組織に及んだ。Ｉ

り、その経歴は米国内外におよび、特にイン

ＩＡでインストラクター、プロフェッショナ

ドに長く滞在した。小売業と金融サービス分

ルガイダンス委員会の委員長および委員、理野で実務家およびディレクターも経験し、地事会のプロフェッショナルガイダンス担当副

元の金融機関の監査委員会の委員も務めてお会長などの多くのボランティアを務め、また、り、また、ＩＩＡのボランティア・リーダー

公開会社会計監督委員会（ＰＣＡＯＢ）の常も15年近く務めた。

任アドバイザリーグループおよびＣＯＳＯの
２つのプロジェクトの監督グループのメンバ

60

月刊監査研究2015．10（No.503）

内部監査人協会（ＩＩＡ）情報

ＣＯＳＯについて専門職の提唱者、教育者および基準、ガイダ
ンス、公認資格の提供者として最も広く認め

1985年に創立されたＣＯＳＯは、５つの民られている。1941年に創立されたＩＩＡは、間組織の共同体であり、全社的リスクマネジ

今日では170か国の18万人以上の会員にサーメント、内部統制および不正抑止に関するフビスを提供している。ＩＩＡの本部所在地は、

レームワークとガイダンスの開発を通じて先

米国フロリダ州アルタモンテ・プリングスで導的な考え方を提供することに取り組んでいある。ＩＩＡに関する詳しい情報は、ＩＩＡ

る。ＣＯＳＯを構成している組織は、内部監のホームページを参照いただきたい。

査人協会（ＩＩＡ）、米国会計学会（ＡＡＡ）、

ＩＩＡのAudit Executive Center©は、内部

米国公認会計士協会（ＡＩＣＰＡ）、国際財監査部門長（ＣＡＥ）の一層の成功を支援す

務担当経営者協会（ＦＥＩ）および管理会計るための重要なリソースである。同センター

士協会（ＩＭＡ）である。

の情報、商品、サービスは、専門職に特有な課題や新たなリスクにＣＡＥが対応できるよ

ＩＩＡについてうにするためのものである。センターに関する詳しい情報は、ＩＩＡのホーム―ページ内

内部監査人協会（ＩＩＡ）は、内部監査のを参照いただきたい。

日本内部監査協会は、ＣＯＳＯ（トレッドウェイ委員会支援組織委員会）の許可を得て本文書を翻訳・掲載するものです。

月刊監査研究2015．10（No.503）

61