内部監査人協会（ＩＩＡ）情報グローバルな視点と洞察

第５号

最新動向

「内部監査の国際的動向」調査より

内部監査人協会（ＩＩＡ）
訳者：堺咲 子
内部監査人協会（ＩＩＡ）国際本部 理事
Internal Audit Foundation（内部監査財団） 理事・評議員
インフィニティコンサルティング 代表
ＣＩＡ，ＣＣＳＡ，ＣＦＳＡ，ＣＲＭＡ，ＣＰＡ（ＵＳＡ）目

次

実施方法と回答者属性�������� 11

ビッグデータ����������� 22

はじめに�������������� 11

結論��������������� 24

組織文化の監査����������� 12

信頼されるアドバイザーの地位を得ること� 25

結論��������������� 17

結論��������������� 29

テクノロジーについていく������ 18

最後に��������������� 29

サイバーセキュリティ������� 18より詳しい情報の参照先������� 30

諮問委員会
ＩＩＡアラブ首長国連邦

ＩＩＡマレーシア
CIA, CCSA, CFSA, CGAP, CRMA

CIA, CCSA, CRMA

ヌル・ハヤティ・バハルディン氏

カレム・トウフィック・オベイド氏
ＩＩＡ北米

ＩＩＡアフリカ地域連合
CIA, QIAL

CIA, CRMA, CPA

レセディ・レセテディ氏

キャロライン・セイント氏
ＩＩＡコロンビア

ＩＩＡオランダ
CIA, CCSA, CGAP

CIA, CCSA, CRMA

ハンス・ニューランド氏

アナ・クリスティーナ・ザンブラノ・
プレシアド氏Copyright © 2016 by The Institute of Internal Auditors, Inc., (“The IIA”) strictly reserved. Any reproduction of
The IIA name or logo will carry the U.S. federal trademark registration symbol ®. No parts of this material may be
reproduced in any form without the written permission of The IIA

10

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報（32％）、製造業（12％）、行政機関（11％）、

実施方法と回答者属性

医療産業（６％）、および公益事業（６％）

内部監査人協会（ＩＩＡ）の「2016年内部である。

監査の国際的動向」調査（国際的動向）が、調査結果は、地域別のＩＩＡ会員の国際分

2016年５月９日から５月27日までオンライン

布をうまく反映するように調整（正規化）さを通じて実施された 。ＩＩＡには世界中のれている。（以下地図参照）

１

現役の内部監査の専門職から2,254件の回答が寄せられた。回答者の52％が、内部監査部
門の最高位の方または内部監査部門長（ＣＡ

はじめにＥ）またはＣＡＥ直属のディレクターやシニ

世界中で内部監査のリーダーは、卓越性にア・マネージャーであった。この報告書では、向けて動き出している。すなわち、組織体のこれらを「内部監査のリーダー」と呼ぶ。回

ガバナンス、リスク・マネジメントおよび戦

答者にはまた、ディレクター直属のマネージ

略目的を進める上でのかけがえのない人材とャー（16％）、監査実務に従事する監査部門なるために、ビジネス感覚、技術的専門知識、スタッフ（28％）、およびサービス・プロバ

および関係構築のスキルを示している。世界

イダー等（4％）が含まれている。

の多くの地域において今後内部監査スタッフ

回答者は、111の国や地域に及び、組織体の人数や予算の増加が予想されるが、このこの種類、産業、収益規模、従業員数および内とは、経営陣や取締役会が内部監査の価値の部監査部門の規模の面で様々な内部監査部門向上を認識し支援していることを反映しておを代表している。

り、これにより内部監査部門は、リスク・マ

回答者の主な所属先は、上場会社（34％）、

ネジメントのアシュアランス、戦略的ビジネ

公共部門（27％）、および非上場会社（25％）

スリスクおよびITといった重要な領域に時間である。

を費やすことが可能になっている。しかし、回答者が属する主な産業は、金融サービス

１

内部監査人は向上し続ける必要があると考え限られた数の質問については、2015年10月20日から11月10日の間に北米の回答者を対象に調査を行った。

月刊監査研究2017．7（No.524）11

内部監査人協会（ＩＩＡ）情報

して信頼されるアドバイザーのレベルまで向ている者は多い。
世界の多くの地域において今後内部監
査スタッフの人数や予算の増加が予想されるが、このことは、経営陣や取締役会が内部監査の価値の向上を認識し支援していることを反映している。

上できるか（ほぼ間違いなく向上しなければならないのだが）についても探っている。
本報告書は、内部監査が重要で新たな課題と実務に焦点を当て続けようとしていることを裏づけていると考えている。今ほど内部監査への期待が膨らみ続けている時はない。確かに、内部監査人は専門職として大きな進歩＜図表１＞内部監査部門人員予測を遂げてきたが、まだやるべきことも多い。
増加する
減少する

26%
68%

6%

変わらない

これが、内部監査をこのように難しいがやりがいのある職業にしている理由である。

組織文化の監査
組織文化が組織体の財務、業務および風評に直接的で悪い影響を及ぼすことを、歴史は備考：設問49：これからの１年の間に、あなたの所属する内部監査部門では、フルタイムのス
タッフの数はどのようになるとお考えですか。

示している。取締役会、経営陣、およびその他の利害関係者は、内部監査が組織体による組織文化のモニターと強化を支援するようなアシュアランスとアドバイザリーを行うこと＜図表２＞内部監査部門予算予測を、さらに、異変があるかもしれない時に警
増加する

35%

減少する

56%

変わらない

鐘を鳴らすことを期待すべきである。
確かに、内部監査はこれまでも長い間ソフ
トコントロールの監査を行っており、「トップの姿勢」がよく使われる語句になってからは、多くの組織体が「トップの姿勢」を少なくと9%も非公式には評価している。しかし、正式に組織文化を監査するために次の段階に進んで

備考：設問50：これからの１年の間に、あなたの所属する内部監査部門の予算はどのようになるとお考えですか。

いる組織体がある一方で、大多数の組織体には次の段階へ進むことを阻む多くの要因がある。

卓越性を追求するために講じられている措

組織文化は、全従業員の活動や態度を通し置を探るために、国際的動向調査では、内部て示される組織の信念や価値観を具象化して監査を管理する上での新たな課題と実務を世いる。端的に言うと、組織文化とは組織体全界的に査定して内部監査の実態を評価した。

体で物事が行われる方法であり、物事が行わ

この報告書では次の２つの新たな課題につれる方法、および物事を成し遂げる方法であいて探っている。それらは、組織文化を監査る。

することと、テクノロジー（サイバーセキュ

望ましい組織文化は、トップによって確立

リティとビッグデータ）についていくことでされるものであり、組織体の主たる価値観やある。ここではまた、内部監査がどのように倫理綱要に表れ、許容できる行動や許容でき12

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報ない行動を示している。容認できず非倫理的でさえある、つまりやってはいけない方法は、＜図表３＞組織文化の監査を実施する内部監
査部門の割合組織体をリスクにさらし、極端な場合には、
はい

不正、汚職およびその他の違法行為を伴う有害な組織文化をもたらす。注目に値するいく

いいえ

28%

つかの事件は、経済危機さえもたらして人々の信頼を損ねた。2015年には、東芝による不72%

正会計、ＦＩＦＡ（国際サッカー連盟）における贈収賄と汚職疑惑、フォルクスワーゲン
社による排ガス試験の偽装問題、エクソン・モービル社の気候変動の影響に関する疑わし

備考：設問5：あなたの所属する内部監査部門は、組織文化の監査を行っていますか。

い報告書など、世界は組織文化の失策を示す
一連の深刻な事件を目の当たりにした。これ

織的文化、つまり「マクロ文化」は、望ましらの事例だけでも、組織文化が企業の主たるい行動を定義する際の起点となる。しかしど価値観に整合しているかどうか、また組織文

んな組織体にも、特定の地域、部署、部門お化が倫理的な行動や法規制の遵守を奨励してよび何らかの共通点を持った従業員のグルーいるかどうかについて、アシュアランスを提プを反映した、多くの個別の小規模な文化、供するよう内部監査を促すものになるはずで

つまり「ミクロ文化」が存在する。このミクある。しかしながら、内部監査のリーダーのロ文化の増殖が、組織文化の監査を難しくす

72％は、現在、企業文化の監査を行っていな

ることがある。しかし、内部監査は組織体にいと回答している（図表３）。

対する包括的かつ客観的な視点を備えている「組織文化を監査することは科学のようにはいかない。多くの組織体は、自らの組織文化を定義することに苦労しているのだから、組織文化を効果的にリスク評
価プロセスに組み込むことには言うまでもなく苦戦している。それでも組織文化を監査することは不可欠である」

体のマクロ文化に与える影響、およびそれらが組織体に与え得るリスクを検証する潜在能力がある。もしも内部監査が、後でミクロ文化を評価して経営者が望んでいる姿と実際に組織で起こっていることとの違いを見つけようとするのであれば、まずは望ましいマクロ文化というものを深く理解しなければならな

英国勅許ＩＩＡ（ＩＩＡ英国＆アイルラン
ド支部）

ので、各ミクロ文化、そのミクロ文化が組織最高経営責任者
イアン・ピータース博士２い。
幸い、内部監査のリーダーの大多数（89％）
は、所属する内部監査部門が組織文化に関連

組織体の気風は一般的に組織のトップによするリスクについて理解していると回答してって決められ、組織体の規模や複雑さに関係いる。しかし一方で、内部監査部門がどのよなく期待される組織文化はリーダーによってうに組織文化を監査すればよいかを本当に理示されるが、組織文化は、組織体全体で必ず解していると回答しているのは、約半数（53しも均一ではない。トップダウンによる全組％）にとどまる。興味深いことに、図表４が２

CCH Daily,“FRC calls for greater emphasis on corporate culture,”20 Jul 2016 https://www.cchdaily.co.uk/frccalls-greater-emphasis-corporate-culture（accessed Aug. 24, 2016）．

月刊監査研究2017．7（No.524）

13

内部監査人協会（ＩＩＡ）情報

示すように、18％は他部門がこの分野の評価をしているので文化を監査していないと回答＜図表４＞内部監査部門が組織文化の監査を実施しない理由

しているが、一方で文化を監査していない理由の上位は、能力不足（25％）、必要とする
組織的支援がない（23％）、または時間が不内部監査部門には、組織文化を監査するのに必要な能力（技能および知識）が不足している25%

足している（21％）であった。
内部監査は組織体に対する包括的かつ客観的な視点を備えているので、各ミク
ロ文化、そのミクロ文化が組織体のマク
ロ文化に与える影響、およびそれらが組織体に与え得るリスクを検証する潜在能力がある。
ＩＩＡマレーシアのエグゼクティブ・ディ
レクターであるヌル・ハヤティ・バハルディ
ン氏は、「組織文化の監査に関するスキルや知識が不足している内部監査部門は、内部監査が得意なこと、すなわち、組織体の組織文化

内部監査部門には、組織文化を監査するための経営陣からの支援がない
内部監査部門には、組織文化を監査するための時間が不足
している
組織文化は、組織体内の他の部門が評価している（人事、
リスク・マネジメント、
倫理・コンプライアンス等）

内部監査部門には、組織
文化を監査するための取締役会または監査委員会からの支援がない

23%

21%

18%

17%

に関連する活動の評価と改善に向けて体系的で規律ある方法を用いることから始めればよい」と述べている。例えば、ＩＩＡが2016年

5%

組織文化は、外部のサービス・プロバイダーが評価しているに公表した「グローバルな視点と見識：組織文化の監査－ソフトなことをハードに調べる」が示すように、３つのディフェンスライ
ン（またはリスクとコントロールの義務や責任および報告経路について説明したその他の

備考：設問6：あなたの所属する内部監査部門が組織文化の監査を行っていない理由について、以下の文章のうち当てはまるものをすべて選択
してください。（組織文化の監査を行っていないと回答した方）適切なモデル）３ を理解することは、標準的関連する方針と手続への遵守状況をモニタな監査業務の支援に有効であるのと同様に文リングし、さらに第１のディフェンスライ

化の評価においても有効である。組織文化のンに助言する。

監査をする際に各ラインに期待される責務に

３．第３のディフェンスラインである内部監

は、次のようなものがある。

査は、組織の基準および望ましい基準への１．第１のディフェンスラインである現業部

遵守状況を評価し、組織文化が組織体の目門の経営管理者は、望ましい価値観と行動的、戦略、およびビジネスモデルを支持しを定め、伝達し、モデル化する。

ているかを評価する。内部監査は組織文化

２．第２のディフェンスラインは倫理室のような監督部門であり、倫理プログラムを策全体を評価して、文化の弱い分野を特定する４。

定し、文化に関連するリスクおよび文化に
３

The IIA’s Position Paper,“The Three Lines of Defense in Effective Risk Management and Control,”2013, www.
theiia.org/positionpapers（accessed Sept. 29, 2016）．
（訳者注：本レポートの日本語訳は、『月刊監査研究』2015年10月号に掲載）

14

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報「組織文化の監査に関するスキルや知識が不足している内部監査部門は、内部監＜図表５＞内部監査部門が組織文化の監査を実施する理由査が得意なこと、すなわち、組織体の組織文化に関連する活動の評価と改善に向けて体系的で規律ある方法を用いること

内部監査部門は、組織文化を高リスクと
評価した

40%

から始めればよい」
ＩＩＡマレーシア

エグゼクティブ・ディ

レクター


ヌル・ハヤティ・バハルディン氏

しかし、監査能力の有無にかかわらず、内部監査人は組織文化の監査に注目している。
プロティビティ社の2016年内部監査部門の能力調査によれば、組織文化の監査は、内部監査のリーダーにとっての優先事項の上位５つに含まれている。そして、ＩＩＡの国際的動向の調査に回答した内部監査のリーダーの89％が、組織文化に関連するリスクを理解し取締役会または監査委員会
からの要請

企業文化に関連する事象への対策として（例：組織体に対して、財務的、業務的な損害、
あるいは風評被害を引き起こすような非倫理的行為）

30%

29%

（上位３つ）
備考：設問7：あなたの所属する内部監査部門が組織文化の監査を行う理由について、以下の文章のうち当てはまるものをすべて選択してください。（組織文化の監査を行っていると回答した
方）ていると回答していたことを思い出して欲しい。組織文化の監査を実施する主な動機には、モニタリングをするための基礎を提供しなけ

組織文化が内部監査で高リスクと評価されてればならず、内部監査人が早期の警戒信号をいること、取締役会や監査委員会の要請があ見つけられるものにしなければならない」とること、および組織文化に関連する事象への述べている５。

対策として、などがある（図表５）。

組織文化の監査には、少なくとも次の３つ

ＣＡＥは、リスクベースの監査計画の策定の方法がある。それらは、組織体全体に対しでリーダーシップを発揮し、取締役会や監査て独立して評価する、（すべての監査ではなく委員会との関係を構築することを通して、組ても）多くの監査の一部として個々に監査す

織体が戦略的使命を達成し関連する事業およる、長期間をかけた一連のミクロ文化の監査

び業務の目的達成に必要な、健全で望ましいを集約して報告する、である。これらの方法

組織文化の維持を支援するという重要な役割を組み合わせてもよい。現在組織文化の監査を果たさなくてはならない。

を行っている少数派は、おそらく組織体の文

組織文化の監査を行う者は、先進的な取り組みをしている。ＩＩＡ国際本部理事会2016

化そのものを反映した様々な方法を用いている（図表６）。

－17年会長であるアンゲラ・ウィッツァーニ
氏は、「組織文化の監査は、あらゆる監査業務に組み込まなければならず、組織体が継続的
４

The IIA,“Global Perspectives and Insights: Auditing Culture – A Hard Look at the Soft Stuff,”2016, 5
www.theiia.org/gpi（accessed Aug. 24, 2016）．

５

The IIA,“Global Perspectives and Insights: Auditing Culture – A Hard Look at the Soft Stuff,”2016, 3
www.theiia.org/gpi (accessed Aug. 24, 2016).

月刊監査研究2017．7（No.524）

15

内部監査人協会（ＩＩＡ）情報「組織文化の監査は、あらゆる監査業務に組み込まなければならず、組織体が継続的モニタリングをするための基礎を提供しなければならず、内部監査人が早期の警戒信号を見つけられるものにしなければならない」ＩＩＡ国際本部理事会
2016 - 17年会長

アンゲラ・ウィッツァーニ氏＜図表６＞組織文化の監査への取り組み

おいて組織文化を考慮すれば、望ましい組織
体全体の文化から逸脱したり有害化する可能性のあるミクロ文化を経営陣や取締役会が発見して対処するのにより一層役立つことができる。そのため、マクロ文化および様々に異なるミクロ文化の両方の評価を行う余地がある。
組織文化の監査が最も有効なのは、組織文化に関連した要素の包括的なリストが考慮されている場合であり、内部監査は、この分野
における改善の機会が多い。内部監査のリー
ダーの約半数は、この調査で示した７つの要

11%
31%

27%

素のうち少なくとも４つを考慮していると回13%答している（図表７）。組織文化に関連するあらゆる監査で最も考慮されているのは、コ18%

ンプライアンス上の問題、人事慣行、および組織の行動と組織のコアバリュー（基本的価

いくつかの個別監査業務において組織文化も含めて検証しているが、組織文化に関する個別の監査は行っていない
すべての個別監査業務において組織文化も含めて検証しているが、組織文化に関する
個別の監査は行っていない

値観）との整合である。
組織文化に関連するあらゆる監査で最も考慮されているのは、コンプライアン
ス上の問題、人事慣行、および組織の行

組織文化に関する個別の監査に加えて、他のいくつかの個別監査業務において組織文化も含めて検証している

動と組織のコアバリュー（基本的価値観）

組織文化に関する個別の監査のみ行っている

興味深いことに、組織文化を監査する者の組織文化に関する個別の監査に加えて、他のすべての個別監査業務において組織文化面も含めて検証している
備考：設問8：あなたの所属する内部監査部門が、企業文化を監査する方法に関して、以下の文章のうち最もよく当てはまるものを選択してください。(組織文化の監査を行っていると回答した
方）との整合である。

60％以上が、組織文化を監査する他の部門と連携している。内部監査が組織文化を監査する際に最もよく連携している部門は、人事、
コンプライアンスおよびリスク・マネジメン
トである（図表８）。組織体内の他の重要な部門と連携することは賢明であり、おそらく先進的な実務である。しかしながら、内部監時には独立した組織文化の監査が理に適っ査にとって重要な独立的な役割からすると、ている。すなわち、大規模なスキャンダルの組織文化の監査を主導していると認められ、後、企業合併や買収の準備として組織体の相

自らの結論を導き、独立的に意見と発見事項性を評価する時、または特定のコンプライアを報告すべきなのは、内部監査である。

ンス違反案件の根本原因調査のような、ある時点のスナップショットが必要な時である。
しかし、独立した組織文化の監査だけでは十分ではない。内部監査があらゆる監査業務に

16

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報＜図表７＞監査実施時に考慮する組織文化に関連する要素コンプライアンスに関する課題（例：内部告発者保護規定や法律に関する問題が発生する頻度）人事慣行（例：報奨や執行、
例えば退職者面談の実施、違反行為に対する罰則の一貫性）

組織体の実際の運営が、明文化された
基本的価値観と整合しているかどうか

70%

組織文化を監査する者の60％以上が、組織文化を監査する他の部門と連携している。しかし内部監査は自らの結論を導き、独立的に意見と発見事項を報告すべ
きである。

58%

他の監査よりも組織文化の監査の方が内部監査にとって結果の報告が難しい理由は、組56%

織文化に捉えどころのない側面があるからではないかと推測している。実際に、組織文化の監査を行っている内部監査のリーダーの約

組織文化に関連する研修

53%（例：組織体の価値観に関する研修）を理解していると回答しておらず、５分の１

利害関係者の満足度や意見（例：
トップの姿勢に関する利害関係者の受け止め方、従業員や顧客調査の結果、
顧客から
の意見、
一般からの意見）

ソフト・スキル（非定形的なスキル、例：能力、信頼性、
寛容さ、
透明性、
リーダーシップ）

ホットライン、
ヘルプデス
ク、
または個別相談窓口（例：利用頻度、相談の種類、
解決策）

52%

52%

いと回答している。監査結果を報告する場
り、時には口頭による報告も併用される。
ためらいがあるのは理解できるが、内部監査人は組織文化の監査への取り組みを躊躇してはならない。内部監査があらゆる監査に組

34%

織文化を組み込めば、組織文化は各監査の結論と最終報告書で考慮すべきもう１つの要素＜図表８＞内部監査が組織文化を監査する際に最もよく連携している部門（上
位３つ）

63%

人事

リスク・マネジメント

は組織文化に関する監査報告を全くしていな
合に最も一般的な形式は書面による報告であ

備考：設問12：これまで実施してきた内部監査
業務において、組織文化に関連する要素として考慮したことのある項目は何ですか。以下の文章のうち当てはまるものをすべて選択してください。(組織文化の監査を行っていると回答した方）

コンプライアンス

半数しか内部監査部門が組織文化の報告方法となる。
組織文化の監査を行っている内部監査のリーダーの約半数しか内部監査部門が組織文化の報告方法を理解していると回答しておらず、５分の１は組織文化に関する監査報告を全くしていないと回答している。

結論
内部監査が組織文化の問題を、組織体に長57%

期的に害を及ぼす要因になり得るものとして48%

より強く意識するようになっていることを示

備考：設問11：どの部門と共に組織文化の監査に取り組みましたか。該当するものをすべて選択してください。（他部門と取り組んでいると回答した方）

す証拠が出始めている。本調査に回答した内部監査部門の約４分の３は組織文化の監査を実施していないが、内部監査のリーダーの少数はこの分野で一歩先を進んでいる。内部監
査の専門職全体がこのようなリーダーに追随

月刊監査研究2017．7（No.524）

17内部監査人協会（ＩＩＡ）情報するためには、以下を行うとよい。
■ 組織体のマクロ文化をよく理解する。

に関するあらゆる種類の内部監査サービスを（直接またはコ・ソーシングを通して）提供■ 確立されたリスクおよびガバナンスのフレすることによって、組織の信頼されるサイバームワークを、マクロ文化およびミクロ文

ー・アドバイザーとして位置づけられるよう化の両方の評価に適用する。

にと踏み出している。しかし他方で国際的動■ 組織文化に関連する様々な要素を念頭に置

いて、あらゆる監査業務で組織文化を考慮

向調査は、内部監査がこの分野で卓越性を示すのを阻む要因があることも示している。

する。
■ 組織文化に関して継続的に報告する。

サイバーセキュリティ
サイバーセキュリティとは、コンピュータ

テクノロジーについていく

ー・ベースのシステムに存在する企業データ
を、想定外の者による紛失、破壊、不正アク

急速に変化する複雑なテクノロジーの進化

セスまたは誤用から保護するための対策を指の動きについていくために内部監査はいくつしている。ＩＩＡの2016年『グローバルな視

かの措置を講じているが、国際的動向調査の点と見識：信頼されるアドバイザーとしての結果によると、内部監査はテクノロジーリス

内部監査』は、「サイバーセキュリティに失敗

クに包括的に対応するために依然として苦労した場合の影響は、基本的な業務が遂行できしているようである。この苦労をしているのなくなることから知的財産権の喪失や甚大なは内部監査だけではない。事実、ヒューレッ

風評被害の可能性に及ぶため、サイバーセキ

ド・パッカード社の2016年のセキュリティ・

ュリティは総合的かつ体系的に検討しなけれ

オペレーションの現状報告によれば、2015

ばならない。これは単にテクノロジーリスク

年はセキュリティ・オペレーション・センタ

ではなく、ビジネスリスクなので、内部監査

ーの成熟度が対前年比で低下した。ヒューレ人が果たすべき重要な役割がある」６ と述べッド・パッカード社によると成熟度の低下原ている。

因は、クラウド、モバイル、ソーシャル、ビ

幸いなことに、内部監査のリーダーの圧倒

ッグデータの各コンピューティングによるサ的多数（93％）は、内部監査部門がサイバー

イバー防御に対する圧力、およびサイバー攻

セキュリティに関連するリスクを理解してい撃集団の高度化である。取締役に対するどのると回答している。このような楽観論とは対ような調査でも、大多数がテクノロジーリス

照的に、アーンストヤングは2016年の報告書

ク、特にサイバー攻撃を（最高ではないとし『デジタルの世界で信頼を築く』の中で、サても）懸念事項リストの上位であると評価しイバーセキュリティ・リスクが過小評価されている。

ており、あまりにも多くの組織体がその場し内部監査はこれらに対して何ができるだろのぎのリスク対策で脆弱性を悪化させているうか。広い見識を持った内部監査のリーダーと警告している。国際的動向調査でもこれをが増えており、彼らはサイバーセキュリティ

確認しており、組織体がサイバーセキュリテ

やビッグデータのようなＩＴ問題の知識を身ィに対応するフレームワークを利用しているに付けて熟達度を示し、さらにこれらの問題と回答しているのは半数超（55％）だけであThe IIA,“Global Perspectives and Insights: Internal Audit as Trusted Cyber Adviser,”2016, 5, www.theiia.org/gpi（accessed Aug. 24, 2016）．

６18

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報る。これは図表９が示すとおり、サイバーセ
キュリティ関連の内部監査業務を単独（16％）＜図表９＞誰がサイバーセキュリティ関連の内部監査を実施しているか

またはコ・ソーシング（42％）で行っているという回答とほぼ同じ割合（58％）である。

16%「サイバーセキュリティに失敗した場合の影響は、基本的な業務が遂行できなく42%

なることから知的財産権の喪失や甚大な

25%
16%

風評被害の可能性に及ぶため、サイバー
セキュリティは総合的かつ体系的に検討

サイバーセキュリティに関する内部監査業務
は、すべて内部監査部門が実施している

しなければならない」
つまり、内部監査部門の大多数はサイバー
セキュリティ・リスクを理解していると主張しているにもかかわらず、その理解を組織体が必要とするサイバーセキュリティの内部監
査業務の実施という行動に完全に移しているのはほんの少数である。しかしもっと憂慮す
べきなのは、内部監査のリーダーはサイバー
セキュリティ・リスクおよび有名なサイバー攻撃による注目度と被害を理解していると回答しているのに、彼らの４分の１（25％）は組織体のサイバーセキュリティ関連の内部監

サイバーセキュリティに関する内部監査業務
は、内部監査部門と外部のプロバイダーが共同で実施（コ・ソース）している
サイバーセキュリティに関する内部監査業務
は、すべて外部のプロバイダーにアウトソー
スしている
サイバーセキュリティに関する内部監査業務
は、私の所属する組織体では実施されていな
い
備考：設問25：あなたの所属する組織体でサイバーセキュリティに関する内部監査業務を実施している者について、以下の文章のうち最もよ
く当てはまるものを選択してください。注意：
数値の合計は100%ではない。

査業務を行っていないと回答していることでを、コ・ソーシングやアウトソーシングを通ある。残りの16％は、すべてのサイバーセキ

じて補っている。

ュリティ関連の内部監査業務が完全にアウトソースされていると回答している（図表９）。
サイバーセキュリティ関連の内部監査業務を行っていない理由の上位は、内部監査の能

内部監査のリーダーの４分の１は組織体のサイバーセキュリティ関連の内部監
査業務を行っていないと回答している。

力（スキルおよび知識）不足と、サイバーセ

内部監査人がこの分野で進歩するためには

キュリティの監査を実施するためのツールの何ができるだろうか。まず、サイバーセキュ

不足である（図表10）。ＣＡＥは、これらのリティの監査の実施に必要な能力やツールを不足を補うための対策を講じている。2016年

獲得することがすべての起点になる。調査結のＩＩＡ調査研究財団のＣＢＯＫレポート

７

果から、これらがこの重要な分野の監査をうによれば、情報技術およびデータマイニング

まく行うための上位２つの課題であることが／分析は、ＣＡＥが内部監査部門内外から獲明らかになっている。次に、組織体のトップ得しようとしている７つのスキルの内の２つからの支援が必要であることを認識することである。またＣＡＥは、能力やツールの不足である。「信頼されるサイバーアドバイザー

７

James Rose,“The Top 7 Skills CAEs Want,”（Altamonte Springs: The IIA Research Foundation, 2016）p 2,
http://theiia.mkt5790.com/CBOK_2015_Top_Skills_CAEs_Want.

月刊監査研究2017．7（No.524）

19

内部監査人協会（ＩＩＡ）情報＜図表10＞内部監査部門がサイバーセキュリ
ティの監査を実施しない理由

65%

55%

内部監査部門では、
サイバーセキいない

19%

ほぼ同数（28％）は、全く報告がされていな
いと回答していた。さらに、約３分の１は、

26% ュリティに関するリスクを評価して
22%

任者（ＣＳＯ）が、年に１回しか取締役会に対してセキュリティの報告を行っておらず、

内部監査部門には、
サイバーセキュリティを監査するために必要な能力（スキルや知識）が不足している内部監査部門には、
サイバーセキュリティを監査するためのツールが不足している

任者（ＣＩＳＯ）または最高セキュリティ責

内部監査部門には、
サイバーセキュリティを監査するための時間が不足
している

内部監査部門は、
サイバーセキュリティを監査することについて、経営陣から支援を得られない16%

サイバーセキュリティは、外部のアシュア
ランス・プロバイダーが評価している

16%

内部監査部門は、
サイバーセキュリティを監査することについて、取締役会または監査委員会から支援を得られない

14% サイバーセキュリティは、内部の他のアシュ
アランス・プロバイダーが評価している

内部監査部門では、
サイバーセキュリティに関7% するリスクを評価しているが、この組織体にとってのリスクは低いと評価している
備考：設問26：あなたの所属する内部監査部門
が現在サイバーセキュリティに関する内部監査業務を実施していない理由について、以下の文章のうち当てはまるものをすべて選択してください。(サイバーセキュリティに関する内部監査業務を実施していないと回答した方）

取締役会の委員会や取締役の誰もサーバーリ
スクに携わっていないと回答しており、わず
か15％が、監査委員会がサイバーリスクに携わっていると回答していた８。
おそらく内部監査がサイバーセキュリティを評価する十分な能力がないという認識と現実の両方の結果として、内部監査がこの不足を補っているという自信も欠けている。その格好の例として、国際的動向調査では、サイバーセキュリティを監査するように取締役会
もしくは監査委員会またはその両方から求められていると回答したのは、内部監査のリー
ダーのわずか56％であった。では、何をすべきなのだろうか。第１に、内部監査のリーダーが持つ取締役会と監査委員会への特権的なアクセスおよびサイバーセキュリティ・リ
スクに対する理解を利用して、サイバーセキ
ュリティを常に議題に含め、サイバーの脆弱性について議論し、組織体がサイバーセキュ
リティのリスク選好を設定するプロセスを支援しようと申し出るべきである。サイバーセ
キュリティ・リスクの重要性を理解していな
い者は、サイバーセキュリティの有効なリス
ク・マネジメントとコントロールよりもテクとしての内部監査」に書かれているとおり、ノロジーの絶え間ない進歩の方が早いことか

事実上あらゆる組織体のあらゆる主要プロジ

らサイバーセキュリティ・リスクは重要なリ

ェクトにおいて、トップの賛同は不可欠であ

スク要因として確実に一層深刻なものになる。取締役会は、サイバーセキュリティに関る、ということを理解すべきである。実際にして最も懸念する事項について、リスクに見フォーブス誌は2016年初めに、サイバー犯罪

合った行動をしていない可能性がある。例え対策コストは2019年までに２兆ドルに達する

ば、米国における最近の調査では、調査対象との見通しを示した９。

者の26％は、自社の最高情報セキュリティ責８

第２に、サイバーセキュリティには連携しPwC,“US cybersecurity: Progress stalled, Key findings from the 2015 US State of Cybercrime Survey,”July 2015,
http://www.pwc.com/us/cybercrime（accessed Aug. 24, 2016）．

20

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報た取り組みが必要であるが、これはＣＡＥが実施の計画にガイダンスを提供することによ示すリーダシップ感覚にかかっていることをって、プロセスの初期段階にもっと関与する認識すべきである。ＩＩＡオランダの最高責ようになることである。

任者ハンス・ニューランド氏は、「ＣＡＥは経営陣と信頼されるパートナーシップ関係を構築し、サイバーセキュリティ・リスクを許容範囲内に管理または低減するための助言と解決策を提供し、最高情報責任者（ＣＩＯ）、
最高情報セキュリティ責任者（ＣＩＣＯ）およびプライバシー・法務責任者と協力的な関係を構築しなければならない。」と述べた。
第３に、この分野の先覚者に倣うべきである。前述のように、内部監査のリーダーの半数以上（58％）は、サイバーセキュリティ関連の内部監査業務を単独（16％）またはコ・
ソーシング（42％）で行っていると回答している。サイバーセキュリティ監査を行う理由の上位は、サイバーセキュリティを高リスクと正しく評価したことと、ＣＡＥが年間監査計画策定の過程でこの問題を提起したことである。これは、組織体がサイバーセキュリテ
ィの重要性のかつてない高まりを適切に重視するために、内部監査のリーダーが触発者（カタリスト）になる必要があり得ることを証明

内部監査のリーダーが持つ取締役会と監査委員会への特権的なアクセスおよび
サイバーセキュリティ・リスクに対する理解を利用して、サイバーセキュリティ
を常に議題に含め、サイバーの脆弱性について議論し、組織体がサイバーセキュ
リティのリスク選好を設定するプロセス
を支援しようと申し出るべきである。
＜図表11＞内部監査部門がサイバーセキュリ
ティの監査を実施する理由
内部監査部門では、
サイバーセキュリティ
を高リスクと評価した
内部監査部門長（CAE）が、年間監査計画策定の過程でこの問題を提起した
取締役会または
監査委員会からの要請
経営陣からの要請している（図表11）。
重要なのは、サイバーセキュリティの監査を実施する内部監査部門が、幅広く価値ある業務を行い始めているということである。サ
イバーセキュリティの監査として最もよく行われている業務は、インターネットに接続されたシステムによるデータの処理、格納、転送に関わるコントロール手段の評価、事業継続計画の評価、およびサイバーセキュリティ・リスクの評価プロセスの評価である（図表12）。内部監査のリーダーにとって明らか

17%

74%

63%

34%
28%

サイバーセキュリティに関する事象への対（例：組織体に対して、財務的、業務的な策として損害、
あるいは風評被害を引き起こすような情報の漏えい）

サイバーセキュリティに関して設定した指標の10% 変化（例：専用ソフトウェアからの警告件数の増加、サ
イバーセキュリティの規程違反事項の増加）

備考：設問27：あなたの所属する内部監査部門
がサイバーセキュリティに関する内部監査業務を実施している理由について、以下の文章のう
ち当てはまるものをすべて選択してください。
（内部監査部門単独または外部のプロバイダーと共同で実施（コ・ソース）していると回答した方）に機会となり得るのは、プロジェクトチームに助言をし、サイバーセキュリティの導入や

９

Steve Morgan,“Cyber Crime Costs Projected to Reach $2 Trillion by 2019,”http://www.forbes.com/sites/
stevemorgan/2016/01/17/cyber-crime-costs-projected-to-reach-2-trillion-by-2019/#6b96d1ae3bb0

月刊監査研究2017．7（No.524）

21

内部監査人協会（ＩＩＡ）情報＜図表12＞内部監査部門のサイバーセキュリ
ティの監査の実施方法

既に導入して）いると回答しており、23％は、所属する組織体には（未整備ではあるが）シ
ステムを整備する計画があると回答している

インターネットに接続されたシステムによるデータの処理、格納、転送に関わるコ
ントロール手段を評価した

70%（図表13）。この結果から、内部監査はリスクベースの監査計画の中で、ビッグデータに取り組んでいるか取り組もうとしていることが68%

事業継続計画を評価した

サイバーセキュリティ
・リスクの評価プロセスを評価した予測される。
＜図表13＞ビッグデータを導入している組織
体64%

サイバーセキュリティ予防策を
評価した

7%

59%

49%

21%
23%

事故対応策を評価した

危機管理計画を評価した

27%

56%
私の所属する組織体では、ビッグデータを取り扱うために特別に設計されたシステ
ム、ツール、および実務に投資している

47%

サイバーセキュリティのプロジェクト・
チームに参加し、
サイバーセキュリテ
ィの導入計画と運用へのガイダンスを提供した

備考：設問28：あなたの所属する内部監査部門
は、サイバーセキュリティにどのように関わってきていますか。以下の文章のうち当てはまる
ものをすべて選択してください。（内部監査部門
単独または外部のプロバイダーと共同で実施（コソース）していると回答した方）

ビッグデータ

私の所属する組織体では、ビッグデータを取り扱うために特別に設計されたシステ
ム、ツール、および実務に投資していないが、その計画はある
私の所属する組織体では、ビッグデータを取り扱うために特別に設計されたシステ
ム、ツール、および実務に投資しておらず、その計画もない
わからない
備考：設問17：あなたの所属する組織体でのビッグデータに対する取り組みについて、以下の文章のうち最もよく当てはまるものを選択してください。

ビッグデータには、単に大量のデータとい2016年にニュー・バンテージ・パートナーう以上の意味がある。ビッグデータとは、組ズ社が行ったフォーチュン1000企業の業務と織体内に存在する大量で多種で高速で可変性

テクノロジーに関する意思決定者に対する調が高いデータ（情報）であり、組織体はビッ

査では、以下の事項が明らかになった。

グデータを扱うための特別なシステム、ツー■ ビッグデータは、主流が導入するところとル、業務に投資しなければならない。世界的にみると、内部監査のリーダーの約半数（49％）は、所属する組織体がこのような投資をなっている。
■ 新しい組織体の役割として、最高データ責任者の役割が十分確立してきている。

既に行って（そしてビッグデータをある程度■ 業務とテクノロジーの連携は、ビッグデー

効果的に処理するためのシステムをおそらくタの導入に不可欠であるとみられている。

22

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報■ ビッグデータへの投資の主要なビジネス上の推進力となっているのは、ビジネスへの＜図表14＞誰がビッグデータ関連の内部監査を実施しているか

洞察とスピードである。
■ ビッグデータへの投資の背景にある技術的推進力として、（データの）多様性が、量や

26%

32%

速度より影響力を持ち続けている10。

9%

世界的にみると、内部監査のリーダー

32%の約半数は、所属する組織体がビッグデータへの投資を既に行っていると回答しており、23％は、所属する組織体にシステムを整備する計画があると回答している。内部監査はリスクベースの監査計画の中で、ビッグデータに取り組んでいるか取り組もうとしていることが予測される。
図表14のとおり、ビッグデータに投資している組織体の内部監査のリーダーの64％はビ
ッグデータに関する内部監査業務を行っていると回答しており、そのすべてを内部監査部門が実施している（32％）、または外部のプ
ロバイダーとのコ・ソーシング（32％）で実施しているのいずれかである。また、サイバ

ビッグデータに関する内部監査業務は、すべて内部監査部門が実施している
ビッグデータに関する内部監査業務は、内部監査部門と外部のプロバイダーが共同で実施（コ・ソース）している
ビッグデータに関する内部監査業務は、すべて外部のプロバイダーにアウトソースしている
ビッグデータに関する内部監査業務は、私の所属する組織体では実施されていない
備考：設問19：あなたの所属する組織体でビッ
グデータに関する内部監査業務を実施している者について、以下の文章のうち最もよく当てはまるものを選択してください。（ビッグデータを導入していると回答した方）
注意：数値の合計は100%ではない。

ーセキュリティの場合と同様に、内部監査のリーダーは、ビッグデータのリスク・マネジ
メントとコントロールの課題に注意を向ける
ようにと、組織体に働きかけることがよくある。内部監査のリーダーがビッグデータを監査する理由の上位２つは、ともにリスクに対する見方に関連している。（サイバーセキュ
リティのところで）既に述べたのと同様に、その理由は、ＣＡＥが年間監査計画策定の過内部監査のリーダーがビッグデータを監査する理由の上位２つは、ともにリス
クに対する見方に関連している。既に述べたのと同様に、その理由は、ＣＡＥが年間監査計画策定の過程でこの問題を提起したことか、ビッグデータを高リスクと正しく評価したことのどちらかである。

程でこの問題を提起したことと、ビッグデー

ビッグデータを調べている内部監査部門

タを高リスクと正しく評価したことである。

は、組織体にビッグデータに関する価値のある幅広い業務を提供している。最もよく行われる業務には、データの可用性、有用性、完全性またはセキュリティについてのコントロールの評価、ビッグデータの使用に伴うリス

10

New Vantage Partners LLC,“Big Data Executive Survey 2016,”2016, http://newvantage.com/wp-content/uploads/
2016/01/Big-Data-Executive-Survey-2016-Findings-FINAL.pdf（accessed Aug. 24, 2016）．

月刊監査研究2017．7（No.524）

23

内部監査人協会（ＩＩＡ）情報

クについての評価、およびビッグデータの精キャロライン・セイント氏は、「内部監査がプ度の評価がある（図表15）。

ロジェクトチームに参加すれば、データの完＜図表15＞－内部監査部門のビッグデータの監査の実施方法

全性、セキュリティ、プライバシー要件のよビッグデータの可用性、有用性、完全性またはセキュリティーに関わるコントロール手段を 80%
評価した

66%

ビッグデータの使用に伴うリスクを評価した

うなテーマに対して、業務とテクノロジーの両方の観点を備えた示唆に富んだ議論を促すことができる。」と付け加えた。
しかし、内部監査のリーダーの92％が、内部監査部門はビッグデータに関するリスクを理解しており、さらに内部監査は組織体のビッグデータ施策に貢献できる無数の方法があ

ビッグデータの精度を評価した
ビッグデータの有効性（データが用途にふさわしいかどうか）を評価した
ビッグデータ分析が組織体に与える価値を
評価した

24%

54%

ると回答しているにもかかわらず、ビッグデータに投資している組織体の内部監査のリー
ダーの４分の１（26％）は、ビッグデータに51%関する内部監査業務を行っていないと述べている。これらの内部監査のリーダーは様々な38%

理由を挙げているが、ほとんどの者が、ビッグデータの内部監査をしない理由として、ツビッグデータのプロジェクト・チームに参加し、導入計画と運用へのガイダ
ンスを提供した

10% ビッグデータに関わる費用便益の分析を支援した

備考：設問22：あなたの所属する内部監査部門
はビッグデータにどのように関わってきていますか。以下の文章のうち当てはまるものをすべて選択してください。（内部監査部門単独または外部のプロバイダーと共同で実施（コ・ソース）
していると回答した方）

ールと能力（スキルと知識）の不足を挙げている（図表16）。
「内部監査がプロジェクトチームに参加
すれば、データの完全性、セキュリティ、
プライバシー要件のようなテーマに対して、業務とテクノロジーの両方の観点を備えた
示唆に富んだ議論を促すことができる」
バージニア大学

ＣＡＥ



キャロライン・セイント氏

おそらくこれらの内部監査業務は、ニュー・バンテージ・パートナーズ社の調査の重結論

要な結果にそれぞれ関連付けることができサーバーセキュリティやビッグデータに関る。例えば、ボツワナ国際科学技術大学の内連するテクノロジーリスクは多くの取締役会

部監査ディレクターであるレセディ・レセテ

の最優先事項だが、これらに関する内部監査

ディ氏は次のように説明している。
「ニュー・業務を行う多くの内部監査部門は、そのリス

バンテージ・パートナーズ社の調査で、ビックに対応するのにふさわしいレベルに達してグデータに対応するための支出が増加傾向でいないようである。しかし、これらの業務をあることが明らかになった。内部監査が費用行う内部監査部門は、組織体をサイバーセキ

対効果分析を手伝えば、経営陣と取締役会は、

ュリティやビッグデータに関連する重要なリ

ビッグデータへの投資が組織体への潜在的利

スクとコントロールの課題に目を向けさせる益に基づいて判断されているという確信が持のに役立っていることが多い。内部監査にとてる。
」また、バージニア大学のCAEであるっての課題は、刻々と変化するダイナミック

24

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報＜図表16＞内部監査部門がビッグデータの監査を実施しない理由

して、サイバーセキュリティとビッグデー
タの監査に必要なツールを確保する。
■ 必要となる内部監査の能力を開発する。

内部監査部門には、
ビッグデータを監査するためのツールが不足している
内部監査部門には、ビッグデー
タを監査するために必要な能力（スキルや知識）が不足している内部監査部門では、
ビッグデータに関するリ
スクを評価していない

22%

61%

■ テクノロジーと業務の連携を進める手助けをする。
■ プロジェクトマネジメントチームに参画す46%ることから始まり、テクノロジーに関連したリスク・マネジメントとインターナル・

34%

コントロールについてのアシュアランスを

内部監査部門には、
ビッグデータを監査するための時間が不足している

内部監査部門は、
ビッグデータを監査す

17% ることについて、経営陣から支援を得られない

ビッグデータは、外部のアシュアランス・プロ

14% バイダーが評価している

取締役会に提供することまでに至る、テクノロジーに関する包括的な内部監査業務を行う。
サイバーセキュリティとビッグデータに関する内部監査業務を行う多くの内部監
査部門は、そのリスクに対応するのにふ
さわしいレベルに達していないようである。

内部監査部門は、
ビッグデータを監査する

13% ことについて、取締役会または監査委員会から支援を得られない

内部監査部門では、
ビッグデータに関するリス
8% クを評価しているが、この組織体にとってのリ
スクは低いと評価している
ビッグデータは、内部の他のアシュアランス・プロ

信頼されるアドバイザーの地位を得ること捉えどころがなく難しいことではあって5% バイダーが評価しているも、内部監査は高まり続ける利害関係者の期

備考：設問20：あなたの所属する内部監査部門
が現在ビッグデータに関する内部監査業務を実施していない理由について、以下の文章のうち当てはまるものをすべて選択してください。(ビッグデータに関する内部監査業務を実施していないと回答した方）

多くの者にとっては永遠の挑戦であるが、他なリスク環境において、スキル、知識、人材

視から真の全社的リスクベースの監査へと進およびツールを確実に入手できるようにする化し続けていることは、専門職にとって大躍ことである。コ・ソーシングによってしかるべ進である。同様に、専門職の次の成熟度段階

き専門家を活用することは、今後多くの内部は、内部監査の計画が組織体の戦略的優先事

監査部門にとって不可欠となるかもしれない。

項に整合するようにＣＡＥが大きく前進する

内部監査がこの分野で卓越性を伸ばすためことであり、組織体が戦略目的をうまく達成

待に応えようと進歩し続けてきた。これは、方で、高まり続ける要求と期待の少なくとも一歩か二歩先を行くだけのことだと捉えている者もいる。
間違いなく時代遅れの会計コントロール重の手段には、次のようなものがある。

することができるか（あるいはできないか）■ テクノロジー関連のリスクと、リスクが業に関してＣＡＥが見識を提供することである。

務および戦略目的の達成に与える可能性のでは、次のステップは何か。今や多くの者ある影響に関して、よく理解する。
■ 組織体によるテクノロジーへの投資を活用

月刊監査研究が、内部監査が真に有効であるためには「信頼されるアドバイザー」として組織体全体か

2017．7（No.524）

25

内部監査人協会（ＩＩＡ）情報ら見なされるように一層向上する必要があ

内部監査」において次のように報告した。「自る、と語っている。しかし多くの場合、内部部門が組織内で強い実効性と影響力を有して監査は組織体が最も切迫した問題を議論し経いると回答したＣＡＥはわずか28％である。

営陣が決断を下す場に（もし１つも得ていな

内部監査の実効性と影響力はほぼないとする

ければ）念願の「席」を得ることを未だに求割合は16％と懸念すべき値を示した。一方、めている状態である。これに対して真の信頼

今後数年間では内部監査の強化が重要と答えされるアドバイザーは、その価値を誰もが当た割合は３分の２近くある。」11

然のものとして受け入れているので、席を得ているのである。関与させてほしいと頼むのではなく、招かれるのである。利害関係者から組織体の目的達成を促進する上でのかけがえのない人材として認められるためには、信頼されるアドバイザーとしてビジネス感覚、

真の信頼されるアドバイザーは、その価値を誰もが当然のものとして受け入れているので、「席」を得ているのである。
関与させてほしいと頼むのではなく、招かれるのである。

技術的専門知識および関係構築スキルをしっ内部監査はこの顕著なギャップを埋めて信かりと身に付けなければならない。ＣＡＥと頼されるアドバイザーとなるよう前進するこ

そのチームにとって、信頼されるアドバイザとが出来るだろうか。期待されていることをーとは、組織体の目的達成の促進に資する何考慮すれば、プロアクティブで精力的な対策

か重要な価値のあるものを常に備えているこを講じなければならない。

とを意味する。

タワズン社のＣＡＥであるカレム・トウフ

ＰｗＣ社は、『2016年内部監査全世界実態
調査ィック・オベイド氏は、「ギャップを埋めるにリーダーシップの重要性：利害関係者

は、経営陣や取締役会と信頼関係を構築するの高まる期待に応えるための内部監査の「真必要がある。信頼は、内部監査の業務が単に北（真に重要な目標のたとえ）」を目指して頼りになり約束したことを実施するというだ

進む』という報告書の中で、専門職が目指す

けではなく、先見的で洞察力に優れている場

姿と現状とのギャップを明らかにした。この合に構築される」と述べている。残念ながら、ギャップは、一般的な見解と一致している。

内部監査のリーダーの大半はまだ、最高経営期待があることを認めながらも、ＰｗＣ社の責任者、経営陣および監査委員会の委員長

調査のわずか16％の回答者（ＣＡＥとその利と、必要に応じて頻繁にではなく事前に取り害関係者）が、今日の内部監査は監査計画の決めた指定された時にだけ面談している。ま効果的かつ効率的な実施にとどまらない付加

た、トップとの強固な関係の必要性を踏まえ価値のあるサービスとプロアクティブな戦略

ると、鋭いビジネス感覚と技術的専門知識を的助言を提供している、と回答している一方考慮に入れて必要な洞察力を併せ持つことはで、62％が今後５年以内に内部監査がよりプ

かなりの難題であろう。しかし、これは当然

ロアクティブな信頼されるアドバイザーとなのことになりつつあるようである。ただ一方ることを期待している。同様に、デロイト社

で、内部監査のリーダーの大部分（66％）は、

は「グローバルCAE（内部監査執行役員）サ

組織体の主要な組織改編構想に関与するようーベイ2016『進化か、衰退か？』岐路に立つ依頼されることはあまりないと報告しており

11

Deloitte,“Evolution or irrelevance? Internal audit at a crossroads,”2016, 5, http://www2.deloitte.com/global/en/
pages/audit/solutions/global-chief-audit-executive-survey.html（accessed Aug. 24, 2016）．

26

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報（図表17）、３分の１近くの者は、取締役会に

内部監査のリーダーやスタッフは、ＣＥＯ、全く出席を依頼されていない（図表18）。結経営陣および監査委員会委員長との関係に加果として、少なくともこの時点では、信頼さえて、上級および中間管理職との関係も構築れるアドバイザーの地位は多くの者にとってする必要がある。多くの者にとってこの関係「鋭意努力中」の願望のままである。

構築は、構造的かつ反復的な関わり合いを意

内部監査のリーダーの大部分（66％）
は、組織体の主要な組織改編構想に関与するよう依頼されることはあまりないと報告しており、３分の１近くの者は、取締役会に全く出席を依頼されていない。
＜図表17＞内部監査が組織改編構想に関与する頻度
常に11% 11%

しばしば
時々

17%

26%

稀に

36%

関与した
ことがない

備考：設問38：内部監査部門は、どのくらいの頻度で主要な組織改変構想に関与していますか。
注意：数値の合計は100%ではない。

＜図表18＞ＣＡＥが取締役会に出席を依頼される頻度

識的に計画することを通して、深く持続的な関係の構築に向けて取り組むことによって、最もうまく達成できる。しかし内部監査のリーダーの65％は、内部監査人が組織体内の面
談したい相手と継続的に面談する正式なプロ
グラムがないと回答している（図表19）。こうしたプログラムがなければ、内部監査のリーダーやスタッフが信頼されるアドバイザーと見なされるようにと向上するために必要な関係性のベースラインを構築し維持することは、どんな規模の組織であってもその殆どにとっては不可能ではないまでも困難であろう。
ギャップを埋めるには、経営陣や取締
役会と信頼関係を構築する必要がある。
信頼は、内部監査の業務が単に頼りになり約束したことを実施するというだけではなく、先見的で洞察力に優れている場
合に構築される。
タワズン社


ＣＡＥ

カレム・トウフィック・オベイド氏

内部監査人と組織体の人々との交流を促す
23%
4%
34%

正式なプログラムがあると、内部監査が知名

31%

度を上げ、知識を豊富にし、実際に組織体内で起こっていることにより精通するのに役立

7%

つ。ＩＩＡコロンビアのＣＥＯ兼プレジデン
トであるアナ・クリスティーナ・ザンブラ

会が開かれるたびにノ・プレシアド氏は、「ＣＡＥが自分をどのよ

年に１回

うにアピールするかは、組織体内でどのよう取締役会から要請があった場合にに認識されるかに影響を与える。」と説明し内部監査部門長（CAE）が要請した場合にている。そして、認識が現実を動かすことは出席の依頼をされたことがない
備考：設問37：内部監査部門長（CAE）は、どのくらいの頻度で取締役会（監査委員会とは別に）に出席を依頼されていますか。注意：数値の合計は100%ではない。

月刊監査研究誰もが知っている。しかし、調査結果によると経営陣の１人として認識されていると思っているのは、ＣＡＥのわずか26％である。明らかに残りの74％は、経営陣から同格と認識

2017．7（No.524）

27

内部監査人協会（ＩＩＡ）情報＜図表19＞内部監査人が組織体内の面談したい相手と面談する正式なプログラム

部監査のリーダーの４人に１人（26％）は、内部監査以外の機能の責任を負っていると回答している（図表21）。最も頻繁に名前の挙がる機能は、リスク・マネジメントおよびコ
ンプライアンスといった第２のディフェンス

14%
35%

ラインに焦点を合わせた機能である。

15%

経営陣の１人として認識されていると思っているのは、ＣＡＥのわずか26％で

36%

ある。
＜図表21＞内部監査以外の機能の責任を負っているＣＡＥの割合

はい、正式なプログラムがある
はい、非公式なプログラムがある
いいえ、そのようなプログラムは現在ないが、検討している
いいえ、そのようなプログラムは現在ない
し、検討の予定もない

はい
いいえ

26%

備考：設問31：内部監査部門には、内部監査人
が組織体内の面談した相手と継続的に面談する
正式なプログラムはありますか。

74%

されているとは思っていない（図表20）。非常に多くのＣＡＥが組織体の経営陣として認識されていないと思っていることは、問題ある調査結果であり、信頼されるアドバイザーの地位と知名度を獲得する上での潜在的障害

備考：設問39：あなたの所属する組織体の内部監査部門長（CAE）は、内部監査部門以外の部
門の責任も有していますか。

内部監査以外の責任を負う場合は、当然、と考えられる。

内部監査のリーダーは課題に直面する。一番＜図表20＞ＣＡＥに対する認識の関心事は、報告経路によって左右される独
経営陣

26%

20%

立性に伴う問題だけでなく、外見上も実質上も客観性を維持することである。確かに、第上級管理職

２のディフェンスラインと第３のディフェン

中間管理職

スラインの境界が曖昧になるリスクがあるので、ＣＡＥは内部監査の主な職務が何らかの55%

形で抑えられたり損ねられたりする方向へ引っ張られないように強力に防御しなければな

備考：設問35：内部監査部門長（CAE）は、以下のどの立場の1人として認識されていますか（CAEによる回答のみ参照）。注意：数値の合計は100%ではない。

内部監査のリーダーが組織体内で知名度と地位を強化するためのもう一つの要素は、課らない。しかし、内部監査の枠を超えて権限を拡大するよう要求されることは、内部監査の知識、スキルおよび貢献が、部門を超えて組織体全体にとって意味があるものになり得
る、またはなっていることをＣＡＥに示すシグナルかもしれない。

題はあるものの、内部監査以外の責任を負う

最適な報告経路、すなわち部門運営上はＣように求められるようになることである。内ＥＯに直属し職務上は監査委員会に報告する

28

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報という多くの組織体にとって新しい考え方は、

ャンバース氏は『インターナル・オーディタ

内部監査のリーダーが組織上の独立性を維持ー』誌のブログの中で、ＣＡＥや内部監査のしつつ信頼されるアドバイザーとしての可能貢献が評価されていないことを示す兆候を紹性を最大化するのに役立つ。国際的動向調査介した。

は、内部監査のリーダーの45％が、部門運営■ 年間を通して、監査依頼があるとしてもわ

上ＣＥＯ（またはＣＥＯと同等の立場の者）に直属しており、73％が職務上取締役会または監査委員会（またはそれと同様の組織）12に報告していることを明らかにしている。内部監査が主に会計および財務の課題にのみ焦点を当てる型どおりの役割から脱し続けるに連れて、この比率は年々増加している。
例えばコンプライアンスまたはリスク・マネジメントの責任から内部監査の枠を超えて権限を拡大するよう要求されることずかである。
■ 内部監査の年間リスク評価プロセスにおいて、最小限の情報しか入ってこない。
■ 事業戦略が議論または策定される会議に出席を求められない。
■ 監査報告書の受領者が、無関心であるか結論や勧告に抵抗する。
■ 重大なリスクが識別された際、経営者がＣ

ＡＥではなくコンサルタントに意見を求める13。

は、内部監査の知識、スキルおよび貢献が、部門を超えて組織体全体にとって意味があるものになり得る、またはなっていることをＣＡＥに示すシグナルかもしれない。

最後に大多数にとって内部監査の重要な活動を支える予算とスタッフの水準が現状維持または増加していることから、内部監査にとって利結論

害関係者の高まる期待に応えさらに超えるた

まず、コントロールベースの監査からリスめに必要なもう一歩を踏み出す機会はこれま

クベースの監査へ、そして今ではボトムアッ

でになく大きいだろう。資源の支援がある今

プのリスク評価から内部監査の優先事項を組

こそが、この機会をつかむ絶好の時かもしれ

織体の戦略的優先事項へ整合させることへない。

と、信頼されるアドバイザーの地位に向上す

また、卓越性と信頼されるアドバイザーのるための次の波は来ている。前途では、献身

地位を求め続けていくには、内部監査は組織的な努力と同様に評価されるスキルや求めら体の重要な課題に取り組むために最前線にいれる才能の変化への対応が求められている。

なければならない。2016年の国際的動向調査

しかし、これが内部監査の利害関係者が求めが示すように、組織文化、サイバーセキュリ

始めている道であり、数少ない先覚者が既にティおよびビッグデータといった差し迫った到達している場所である。

課題は、内部監査の貴重な時間と労力と注目

ＩＩＡの事務総長兼ＣＥＯリチャード・チ

を、増やさないまでも費やす必要のある新た

12

部門運営上の報告先は、予算管理、人事管理、コミュニケーション、内部方針と手続の管理等、日常的な監督を行う。
職務上の報告先は、内部監査基本規程の承認、監査計画の承認、ＣＡＥの業績評価、ＣＡＥの報酬の決定等、内部監査機能の責任の監督を行う。

13

Chambers, Richard. June 14, 2016. Forensic Examination May Explain Why You Aren’t a Trusted Advisor.
https://iaonline.theiia.org/blogs/chambers/2016/Pages/Forensic-Examination-May-Explain-Why-You-Arent-aTrusted-Advisor.aspx（accessed Aug. 24, 2016）．

月刊監査研究2017．7（No.524）

29

内部監査人協会（ＩＩＡ）情報な課題の一部である。

■ KPMG,“Global profiles of the fraudster:

内部監査のリーダーは大きな前進を遂げてTechnology enables and weak controls fuel

きたが、専門職全体としては明らかにそのペ

the fraud,”May 2016, https://home.kpmg.

ースを上げる必要があり、もちろん失速して

com/xx/en/home/insights/2016/05/global-

いる余裕はない。

profiles-of-the-fraudster.html（accessed
Aug. 24, 2016）．
■ New Vantage Partners LLC,“Big Data

より詳しい情報の参照先

Executive Survey 2016,”2016, http://

組織文化の監査newvantage.com/wp-content/uploads/2016/■ Chartered Institute of Internal Auditors,

01/Big-Data-Executive-Survey-2016-“Organizational Culture: Evolving ap-

Findings-FINAL.pdf (accessed Aug. 24,

proaches to embedding and assurance,”

2016）．

May 2016, https://iia.org.uk/policy/pub-■ PwC,“US cybersecurity: Progress stalled,

lications/culture-evolving-approaches-to-

Key findings from the 2015 US State ofembedding-and-assuranceboard-briefing/

Cybercrime Survey,”July 2015, http://（accessed Aug. 24, 2016）．

www.pwc.com/us/cybercrime（accessed■ CCH Daily,“FRC calls for greater empha-

Aug. 24, 2016）．

sis on corporate culture,”20 Jul 2016 ht-■ Steve Morgan,“Cyber Crime Costs Project­

tps://www.cchdaily.co.uk/frc-calls-greater-

ed to Reach $2 Trillion by 2019,”http://emphasis-corporate-culture（accessed Aug.

www.forbes.com/sites/stevemorgan/2016/24, 2016）．

01/17/cyber-crime-costsprojected-to-reach■ Financial Reporting Council,“Corporate

Culture and the Role of Boards,”July-2-trillion-by-2019/#6b96d1ae3bb0■ The IIA,“Global Perspectives and Insights:

2016, https://www.frc.org.uk/Our-Work/Internal Audit as Trusted Cyber Adviser,”

Corporate-Governance-Reporting/Corpo-

2016, www.theiia.org/gpi（accessed Sept.

rate-governance/Corporate-Culture-and-

29, 2016）．

the-Role-of-Boards.aspx（accessed Aug.

■ The IIA’s Global Technology Audit Guide25, 2016）．

（GTAG）,“Assessing Cybersecurity Risk:■ The IIA,“Global Perspectives and In-

Roles of the Three Lines of Defense,”2016,

sights: Auditing Culture – A Hard Look at

www.globaliia.org/standards-guidance

the Soft Stuff,”2016, www.theiia.org/gpi（accessed Sept. 29, 2016）．

（accessed Sept. 29, 2016）．

信頼されるアドバイザー
テクノロジーについていく■ C h a m b e r s , R i c h a r d . J u n e 14, 2016.

■ EY,“Creating trust in the digital world,”

Forensic Examination May Explain Why

2015 http://www.ey.com/Publication/

You Aren’t a Trusted Advisor. https://vwLUAssets/EY-creating-trust-in-the-iaonline.theiia.org/blogs/chambers/2016/

digital-world/$FILE/EY-creating-trust-Pages/Forensic-Examination-May-Explain-inthe-digital-world.pdf（accessed Aug. 24,

Why-You-Arent-a-Trusted-Advisor. aspx

2016）
．

（accessed Aug. 24, 2016）．

30

月刊監査研究2017．7（No.524）

内部監査人協会（ＩＩＡ）情報

その他

expect more,”2016, https://www.pwc.

■ Deloitte,“Evolution or irrelevance? Inter-com/ca/en/risk/publications/pwc-state-of-nal Audit at a crossroads,”2016, http://internal-audit-professionstudy-2016-03-en.

www2.deloitte.com/global/en/pages/audit/

pdf（accessed Aug. 24, 2016）．

solutions/global-chief-auditexecutive-■ James Rose,“The Top 7 Skills CAEs

survey.html（accessed Aug. 24, 2016）．

Want,”（Altamonte Springs: The IIA Insti-■ Protiviti, Arriving at Internal Audit’s Tip-

tute of Internal Auditors Research Founda-ping Point Amid Business Transformation,

tion, 2016）p 2, http://theiia.mkt5790.com/

2016, http://www.protiviti.com/en-US/

CBOK_2015_Top_Skills_CAEs_Want.

Pages/IA-Capabilitiesand-Needs-Survey.
aspx（accessed Aug. 25, 2016）．

■ The IIA’s Position Paper,“The ThreeLines of Defense in Effective Risk Manage-■ PwC,“2016 State of Internal Audit Pro-

ment and Control,”2013, www.theiia.org/

fession Study, Leadership matters: Ad-

position-papers（accessed Sept. 29, 2016）．

vancing toward true north as stakeholders

月刊監査研究2017．7（No.524）

31