内部監査人協会（ＩＩＡ）情報／ＣＢＯＫ調査結果（ＣＢＯＫ利害関係者レポート）

戦略リスクの監査──内部監査のリーダーからの実践的な洞察
著者： Ｊ・マイケル・ジョイス・ジュニア
ＣＩＡ，ＣＰＡ，ＣＲＭＡ

訳者： 渡

辺

知

子

プロティビティＬＬＣ ディレクタ
ＣＩＡ，ＣＣＳＡ，ＵＳＣＰＡ（オレゴン州），ＣＩＳＡ

はじめに内部監査の国際的共通知識体系（ＣＢＯＫ）は、内部監査の専門職の世界最大規模の継続的調査である。当調査は、主に、「内部監査の実務家」および「その利害関係者」の２つの要素により構成される。内部監査の実務家を対象とした調査は、様々な内部監査の実務を明らかにし、利害関係者への調査は内部監査の成果に関する視点を追究する目的で実施している。利害関係者に対する調査、インタビュー、データ分析は世界中の内部監査人協会（ＩＩＡ）と提携しているプ
ロティビティが実施した。
ＣＢＯＫレポートは、個人、組織体、ＩＩＡ支部、そして世界中のＩＩＡからの厚意により、無料でダウンロードすることができる。全てのレポートはCBOK Resource Exchange（www.
theiia.org/goto/CBOK）、そして利害関係者の調査結果はプロティビティのウェブサイト（www.
protiviti.com）からも入手可能である。

目

利害関係者調査に関するデータ
調査対象者

1,124

インタビュー対象者

112

国

23

言語

13

調査参加利害関係者のポジション
取締役

34％

最高経営責任者（ＣＥＯ）

15％

最高財務責任者（ＣＦＯ）

18％

その他の経営幹部

33％

次はじめに：戦略的リスクを監査するた
めのよく知られた興味深い洞察�� 17
サイバーセキュリティは隔絶された中
に存在しない…………………………… 18
ＩＴプロジェクト：データ、開発、行動の精緻化……………………………… 20
キャピタルプロジェクト：プロセスが
全てである����������� 21
先進的な内部監査機能の４つの成功要
因………………………………………… 23
最終的な考え方：助言の前にまずアシュアランス……………………………… 24

16

月刊監査研究2018．8（No.537）

内部監査人協会（ＩＩＡ）情報

ＣＢＯＫ2015利害関係者への調査：対象23か国

注：ＩＩＡ調査研究財団（訳者注：現・内部監査財団（ＩＡＦ））とプロティビティは、23か国からの参加者の協力を得て、
2015年７月から2016年２月にかけて、各地域の利害関係者に対する調査とインタビューを実施した。部分的回答については、回答者属性情報が揃っているものを分析対象としている。当レポートでは、質問１、質問２と示している。地図の色分けはＣＢＯＫ調査で使用された７地域区分を示している。（世界銀行のカテゴリーに準拠）

ＣＢＯＫ2015年グローバルな利害関係者調査について
このレポートは、内部監査財団の2015年共通知識体系（ＣＢＯＫ）グローバルな利害関

はじめに：戦略的リスクを監査するためのよく知られた興味深い洞察

係者調査の一部である。この調査における重「我々は前提条件に着目する。戦略的施

要な発見事項の一つは、取締役会メンバー、

策をそもそも推進したものと、これらの施

ＣＥＯ、ＣＦＯ、ＣＩＯ、ＣＲＯなどの３分策が進展するにつれて施策を推進し続けるの２近い（64％）利害関係者が、「戦略リスク

前提条件とがある。これらの前提条件は、に関して、内部監査による積極的な活動を期

依然として適切か？」待したい」と答えている点である。この継続的な調査のフォローアップ活動として、複数

サイバーセキュリティ、ＩＴプロジェクト、の業界の内部監査部門長（ＣＡＥ）にインタ

キャピタルプロジェクトは、組織の戦略的リビューを行い、サイバーセキュリティ、ＩＴ

スクの３つの具体的な分野であるが、内部監

プロジェクト、およびキャピタルプロジェク

査機能が経営者や取締役会と連携して、これトの３つの共通分野に焦点を当てた戦略的リらにどのように対応しているかについて、Ｃ

スクにどのように積極的に取り組んでいるか

ＡＥが自由に、次々と共有してくれた先導的についての洞察を得た。監査リーダーの率直な活動についての洞察は、なじみ深くかつ興な意見や見解を報告書全体を通して引用し、味深いものであった。

これらの洞察は、私たちの議論につながっている。

そのなじみ深さは、これらの戦略的リスク分野における監査リーダーのリスクベースのアプローチおよび、取締役、ＣＥＯ、ＣＦＯ、

月刊監査研究2018．8（No.537）

17内部監査人協会（ＩＩＡ）情報

その他の経営幹部が効果的な「戦略的監査」

リティに影響を与えない要素は一つとしての基本的な成功要因として内部監査が実施すない。」

ることを奨励する活動によるものである。戦略的施策に対して内部監査が早期に関与する

サイバーセキュリティ監査を戦争で破壊さこと、リスクベースの監査アプローチ、ビジ

れた地域における大規模なキャピタルプロジ

ネスパートナーの視点での内部監査の信頼

ェクトの監査と比べてどうかと尋ねたとこ

性、および助言的な方法で成功する能力といろ、とあるＣＡＥは直ちに回答した。「私たったことの重要性をＣＡＥは一貫して指摘し

ちのキャピタルプロジェクトはそこまで複雑ている。これらの不可欠な要素は、トップレ

ではなく、かつ困難ではない。」

ベルの監査組織においては、かなり前から存

監査委員会は、圧倒的な戦略的リスクであるサイバーセキュリティに対処する組織の能在していた。
この対話から出てきた重要な点が他に２つ力に関する最新情報を求めている。ＣＡＥは、あるが、これらは予期せぬものであった。ま正式なリスクアセスメント、サイバーセキュ

ず、内部監査機能は、幅広いアプローチ（サリティステアリングコミッティや演習への直イバーセキュリティ、ＩＴプロジェクト、お接的な関与などを通じて組織のサイバーセキ

よびキャピタルプロジェクトのセクションでュリティについての見解を磨き、監査計画に述べたような）を活用することによって、戦おけるサイバーセキュリティ関連分野の拡

略的リスクの監査およびその対処において著

大、リスク管理活動とＩＴ、情報セキュリテ

しい進展を見せている。第２に、先進的な内

ィ、ＥＲＭ（全体的リスクマネジメント）機

部監査機能は、意思決定の場における自らの能との調和などの複数の手段により対応して存在意義、機能の信頼性、および具体的な手いる。

法を通じたアドバイザーとして認められるよ

全体として、インタビューをしたＣＡＥは、う（このレポートの最後の部分で要約されてサイバーセキュリティ監査の効果を説明する

いる）勤勉かつ独創的に取り組んでいる。

際に、以下の活動とベストプラクティスを最インタビューは２つの目的を持って実施された。先導的な監査幹部は、戦略的なリスクにどのように対処するかを述べることで、機能のビジネス部門の戦略的パートナーとしての役割をはぐくむ方法に加え、何よりもまずコンプライアンスとアシュアランスの責任重視が揺るぎないものであることを強調した。

サイバーセキュリティは隔絶された中に存在しない「サイバーセキュリティは、脅威から身を守り、効率的に機能させるために、全ての人体の器官および部位とが協力して働くように機能しなければならない。それは独立したプロセスではない。サイバーセキュ
18

月刊監査研究も頻繁に引用している。

戦略的リスク監査のベストプラクティス：
サイバーセキュリティ●

サイバーセキュリティ戦略を策定し、方向付ける人たちと協働する。

●

サイバーセキュリティリスクの責任について明確にし、他者と連携する。

●

正式なリスクアセスメントを実施する。

●

サイバーセキュリティのフレームワー
ク、基準、ガイダンスについて助言する。

●

サイバーレジリエンス（対応力）を評価する。

●

継続的に学ぶ（継続学習）。

●

サイバーセキュリティのスキルと専門性の課題を自らのものとして認知する。

2018．8（No.537）

内部監査人協会（ＩＩＡ）情報● サイバーセキュリティ戦略を策定し、方向

キュリティ側面の監査計画の決定に役立付ける人たちと協働する：監査の指導者たち、サイバーセキュリティの助言業務に影

ちは、「サイバーセキュリティ」という言響を与え、そして組織がサイバーセキュリ

葉が現在の意味と重要性を持つ前から、アティリスクと改善目標を合わせるのに役立

イデンティティ管理、パッチ管理および他つ。

の多くの形態のサイバーセキュリティ監査● サイバーセキュリティのフレームワーク、をすでに実施していた点を強調しつつ、最基準、ガイダンスについて助言する：全て

近は、組織的なサイバーセキュリティ戦略のＣＡＥは、サイバーセキュリティプログと能力を設定し、強化する責任を負う委員

ラムと関連するアシユアランス活動の構築

会への助言的役割を求めている。あるＣＡにあたり、彼らの組織が用いている１つあＥは別の選択肢として次のように述べているいは複数のサイバーセキュリティ基準にる。
「監査委員会と連携して、重要かつタついて言及した。これらの基準には、ＮＩ

イムリーなサイバーセキュリティ問題に関

ＳＴサイバーセキュリティフレームワー

連する情報を提供できる外部の専門家から

ク、ＥＲＭ、ＨＩＴＲＵＳＴ、ＣＯＢＩＴ、なるサイバーセキュリティ専門の小委員会

ＩＳＯ、ＩＩＡ監査の国際的ガイダンス（Ｇを編成し、監査委員会に報告する。」

ＴＡＧ）：サイバーセキュリティリスクの● サイバーセキュリティリスクの責任につい評価：３つのディフェンスライン、ＣＳＣて明確にし、他者と連携する：ＣＡＥはＩ

20、ＦＦＩＥＣなどが含まれる。あるＣＡ

Ｔ、情報セキュリティ、ＥＲＭグループのＥは、一貫性、透明性、およびそれが可能

各パートナーと緊密に連携し、各グループにするサイバーセキュリティリスクへの広が実施している具体的なサイバーセキュリ

範なエクスポージャーなどの点につきＥＲ

ティ活動を識別する。この連携は、サイバ

Ｍフレームワークの多くの利点を称賛した

ーセキュリティに関する組織内の全ての取が、一方で「このフレームワークは、インド、り組みを同期させ、サイバーセキュリティ

オーストラリア、または他の地域では十分リスクに対して客観的で独立したアシュアではないかもしれない。これらの地域では、

ランスを提供するという内部監査の役割を他のサイバーセキュリティリスク管理モデ

強化するのに役立つ。あるＣＡＥは「共通ルが使用されている。我々は、全てのモデのリスク評価アプローチに基づいて協働しルの中から最も優れていると考えるものをている」ことを示すために、監査委員会に採用し、グローバルなニーズを満たすため

おいて、ＣＩＯと共にサイバーセキュリテに適用した。」と強調している。フレーム

ィリスクのプレゼンテーションを行ってい

ワークの候補、それぞれの利点と欠点につる。

いての議論と評価にＣＡＥが直接関与する● 正式なリスクアセスメントを実施する：内ことにより、組織がフレームワークから最部監査あるいは第三者の専門家が行ってい大の価値を引き出すことに内部監査が支援るかどうかを問わず、正式なリスクアセス

することができる。

メントは、サイバーセキュリティ対応の重● サイバーレジリエンス（対応力）を評価す

要な部分である。これらの評価は、ギャッ

る：ＣＡＥは、今日の環境において、侵害プを識別し、改善および是正の優先順位をは避けられないという事実を受け入れ、侵明確にし（例えば、フィッシング電子メー

害が発生した場合の、組織の対応、コミュ

ルの大幅な増加に対処する。）、サイバーセ

ニケーション、復旧能力を評価する必要が月刊監査研究2018．8（No.537）

19

内部監査人協会（ＩＩＡ）情報ある。考慮すべき分野には、事業継続手順
だけでなく、コミュニケーションおよび危機管理計画も含まれる。
● 継続的に学ぶ（継続学習）：外部からの脅

威、新たな基準、新しいコンプライアンス

ＩＴプロジェクト：データ、開発、行動の精緻化「サイバーセキュリティとＩＴプロジェ
クトは別物と考えると、誤解を招く。」

要件、さらには心理的プロファイリングについての知識は、サイバーセキュリティ監

より多くの企業がデジタル・トランスフォ

査の成功にとって不可欠な要因である。あーメーションを行い、より多くのＩＴシステ

るＣＡＥは「私はＣＩＳＳＰ資格者です。」

ムとアプリケーションがクラウドに移行すると告げ、「サイバーセキュリティの学習と研につれて、あらゆる規模と範囲のＩＴプロジ

究に多大な時間を費やしている。例えば、

ェクトの大規模な収集が戦略的リスクとな

Equifaxがどのように情報が流出したのかる。その結果、より幅広いＩＴプロジェクトを正確に知りたい」と述べた。このＣＡＥ

やアプリケーション開発活動が監査によっては、故意もしくは無意識に自社をサイバー精査される必要がある。

セキュリティの脅威に曝す可能性のある広この精査は、内部監査機能にも役立つ。あ範な利害関係者の考え方を理解する必要性

るＣＡＥは、大規模なソフトウェア導入におを彼のチームに対して強く説いている。
「内

いてシステムのテストを担当した第三者が、部監査は、ハッカーの思考過程とメソドロ

十分な明確さをもってテスト結果を提供しなジを理解する必要がある。」と彼は語った。

かったことについてＩＴ監査人が懸念を抱い「内部監査人は、会計士、投資家、弁護士、ていたことを思い起こした。「我々は慎重にコンプライアンススペシャリスト、セール

進み、テスト結果に満足できておらず、サイ

スマン、人事エグゼクティブなど企業をサ

ンオフを提供する準備ができていないという

イバーセキュリティの崩壊にさらすリスク

主張を裏付ける事実を持っていた。」と説明を引き起こす可能性のある人のように考えする。彼のチームの綿密な文書は、システム

ることができなければならない。」そしてが稼動する前に追加のテストが必要であるこ

機能のアシュアランス業務は、組織全体でとを会社に納得させた。「そのことは、機能実施されるサイバーセキュリティトレーニ

として、私たちの存在を確立するのに役立っ

ングと意識向上の有効性に関連している。

た。」とその経営幹部は続ける。「それ以来、● サイバーセキュリティのスキルと専門性のソフトウェアテストのライフサイクルは改善

課題を自らのものとして認知する：ほとん

し続けている。」

どのＣＡＥは、ＩＴとサイバーセキュリテ

同様の詳細な精査と事実に基づく勇気は、

ィの専門知識を持つ内部監査人を雇用し、監査リーダーがＩＴプロジェクトの監査を有保持することは課題であると認めている。

益なものとする上で重要な役割を果たす。

トレーニングや能力開発への投資、外部専
門家の活用の他、人事と緊密に連携して、採用、パフォーマンス、人材保持のインセ
ンティブの整備などの人材管理戦略と戦術
によってこの課題に対処している。

20

月刊監査研究戦略的リスク監査のベストプラクティス：
ＩＴプロジェクト
●複数のフェーズにわたる構造化された評価プロセスを開発する。

●

行動障壁を取り除く。

●

アシュアランス業務を補完する提供可能

2018．8（No.537）

内部監査人協会（ＩＩＡ）情報助言業務を開発する：あるＩＴ監査グルー

な助言業務を開発する。
●

アジャイル開発に対処する必要性を認識する。

プは、ＩＴプロジェクトの正式な監査を行う際にＩＴ監査人が評価するものよりも概要レベルの基準からなる助言業務を開発● 複数のフェーズにわたる構造化された評価した。（例えば、導入戦略はあるか？

ス

プロセスを開発する：ＣＡＥは、ＩＴプロ

ポンサーは誰か？

ジェクトの各フェーズにつき構造化されたか？

評価を開発し、改善することの価値を強調

何らかの緊急時計画が必要か？）ＩＴ監査している。新規導入やシステム変更に伴う

人とＩＴプロジェクトチームが質問のリス

データの量、価値、重要性が増しているこトを理解し、合意した後、ＩＴ監査人は正とを考慮し、セキュリティはプロジェクト式なマネージメントによる行動計画ではな

評価の出発点として識別されることがよくく、推奨事項を提示する。「それはとてもある。あるＣＡＥは、彼女が率いるＩＴ監

好意的に受け入れられている。」とＣＡＥ

査チームがＩＴプロジェクトを現在どのよは言う。
「我々が文書化し、共有した手順を、

うに２つのグループに編成しているかをこ

彼ら自身が行うため、今ではこのサービスう説明した。１つは、財務統制が関係するをほとんど必要としない。」

資金は承認されている既知のプロジェクトリスクは何か？

システム変更で、ＩＴおよび財務監査人に● アジャイル開発に対処する必要性を認識すよるが関与が必要となる。第２のカテゴリ

る：我々が話し合った多くのＣＡＥは、現は、より従来のＩＴプロジェクト管理方法、

在、より多くのＩＴ機能が採用しているア

ガバナンス、効率性に重点を置いている。

ジャイル開発メソドロジに関連するリスク● 行動障壁を取り除く：あるＣＡＥは、ＩＴに対処する方法を決定している。この高度

プロジェクトチームが軽視した、あるいはに協調的で反復的で合理化されたソフトウ

完全に発見しなかった問題が実際に起きたェアの開発アプローチは、新しいアプリケ

多くのケースをＩＴ監査チームがどのようーションの作成に間接的にかかわる時間をに多数発見したかを詳述した。その後、内大幅に短縮し、組織の俊敏性を向上させ、部監査グループは、それらのプロジェクト

市場投入をスピードアップするが、アジャチームとのコミュニケーションを一新しイルメソドロジはリスク関連の課題を引きた。
「重要な問題を取り上げたくないこと起こす。「監査の観点から、要件のトレーがわかったら、我々は彼らがより気軽にでサビリティや、開発チームが設計上の正しきるように働きかけた。」と、監査リーダ

い承認を取得しているかどうかなどを把握

ーは説明した。「赤色、黄色、緑色の評価

しなければならない。」と監査幹部は言う。

システムに関しては、『赤色は死んでいな「アジャイル開発は組織に利益をもたらすい』という新しいマントラを始めた。」まが、新たなリスクももたらす。」

た、ＩＴ監査チームは、プロジェクトのラ
イフサイクルにおいて、より早期に問題を浮上させ、解決することの利点について明確に示した。後になると、小さな問題の影

キャピタルプロジェクト：プロセスが全てである

響とコストは、はるかに大きくなる可能性「我々はプロセスを監査するのであって、がある。

人を監査するのではない。」● アシュアランス業務を補完する提供可能な

月刊監査研究2018．8（No.537）

21

内部監査人協会（ＩＩＡ）情報

機能が大規模なキャピタルプロジェクトの● 投資の基礎となる根拠に焦点を当てる：多監査と評価を行う場合、ＣＡＥは、２つを区くのキャピタルプロジェクトは完成するま

別することの重要性を強調する傾向がある。

でに数年を要し、投資決定の基礎となる

第１は、経営陣の責任である各キャピタルプ

前提は時間とともに変化する可能性があロジェクトの健全性と進捗状況の監視と、内る。キャピタルプロジェクト監査の一環と部監査が提供するアシュアランスを区別する

して、ＣＡＥとそのチームは、意思決定のことが重要であると彼らは言う。第２に、先前提条件を検証するために使用されている導的なＣＡＥは、個々のキャピタルプロジェ

データソースを識別する。「我々は、理にクトに関する作業と、組織の全体的なキャピ

かなっていて、かつ合理的にテストできる

タルプロジェクト管理能力を評価する必要性

前提条件を選択してテストする。」と彼はとを区別する。後者は前者に大きく役立って続けている。「『どんな事実に基づいたか？

いる。

モデリングを行った場合、モデルが正確でＣＡＥは、キャピタルプロジェクトのアシあることはどのようにしてわかるか？

数ュアランスと助言業務の有効性を促進する上式は整合性がとられていることはどのようで特に役立つものとして、以下の活動とベスにわかるか？

トプラクティスを挙げた。

証されているか？』と我々は質問する。」

戦略的リスク監査のベストプラクティス：
キャピタルプロジェクト
計画段階の早期に関与する。

●

投資の基礎となる根拠に焦点を当てる。

●

専門的なスキルと知識を活用する。

●

厳密でプロセス重視のプロジェクトレビ
ューを実施する。
キャピタルプロジェクト管理の改善について相談する。

●● 専門的なスキルと知識を活用する：あるＣ

ＡＥは最近、外部の建設監査人を雇い、これまでにその会社が建設したことのない種●●

予想投資収益率は確認・検事後監査とレビューを実施する。

類の建造物に関する請負業者からの請求書を精査した。「その投資のおかげで、そのタイプの建設プロジェクトで経験を積んだ人だけができるであろう技術的な質問をすることができた。」と彼は述べた。また別のリーダーたちは、大規模なキャピタルプ
ロジェクトと建設経験がある内部監査人を雇用している。彼らは作業現場を歩き、プ● 計画段階の早期に関与する：内部監査が戦ロジェクト会議に出席し、進捗レポートを略的施策に早期に関与することは、組織に確認する際、探すべき問題を知っており、とって有益であるが、これは、例えば、地必要に応じて質問し、議論する。

球の反対側で行われる５億ドルの複数年に● 厳密でプロセス重視のプロジェクトレビュ

わたる基礎工事プロジェクトの場合は特にーを実施する：ほとんどの場合、キャピタ

当てはまる。こうした関与は、しばしば、

ルプロジェクトの監査は包括的で非常にマ

プロジェクトガバナンス体制に重点を置いニュアルである。ガバナンスの評価は、プた初期段階のリスクアセスメントにつながロジェクトのスティアリングチームが的をる。こうしたリスクアセスメントによって、射たリスクに焦点を当てているか、正確でエンジニアリンググループ、調達グループ、

完全でタイムリーな情報を受け取っている

建設請負業者（および就いた人）の役割なかどうかを判断する。完了の進捗状況と予ど、根本的な変更が生じたことがある、と算の評価には大量の情報をレビューする必あるＣＡＥは報告した。

要がある。一般請負業者の支払い申請に付

22

月刊監査研究2018．8（No.537）

内部監査人協会（ＩＩＡ）情報

随する証跡資料は特に分厚い傾向がある。
厳密なアプローチが絶対に必要であるが、監査が個人ではなくプロセスに焦点をおい先進的な内部監査機能の４つの成功要因ていることをプロジェクト管理者に対して

上記で識別された項目に加えて、ＣＡＥか明確にする必要性をＣＡＥは一貫して強調らのコメントと洞察は、戦略的監査活動の成している。このバランスを守るために、監功にとって重要ないくつかの基礎的な要因を査人は、リスク、内部統制、およびその他

明らかにしている。これらの要素は、インタの監査用語および考え方を、時間がないプ

ビューされたＣＡＥが担当しているそれぞれ

ロジェクトマネージャーに浸透する言葉にの監査機能に存在する。

翻訳する必要がある。
● キャピタルプロジェクト管理の改善について相談する：ある内部監査機能は、キャピタルプロジェクトチームが新しい施策の開始時に使用できる助言を提供した。このサービスは、チームが考慮すべき主要な運用

４つの成功要因：
１．継続的な価値の実証
２．アクセス
３．共通用語（言語）
４．参加の統制、財務統制、プロジェクトリスク、

１．継続的な価値の実証：ほとんどのＣＡＥおよび請負業者の請求行為に関する不正のは、内部監査機能がビジネスにとってのア

知識および予防のトレーニングに関するガ

シュアランスと助言の戦略的パートナーとイダンスを提供する。ＣＡＥは、「この役して受け入れられたことのきっかけに関す割における我々の目標は、早期の期日や導ることを記述している。スーパーヒーロー

入の成功の邪魔をすることなく、リスクア

がいかに別世界のパワーを手に入れたかを

ドバイザーかつ戦略的パートナーになるこ

見せる映画の予告編のように、これらの記とである。」別の内部監査グループは、同

述は、内部監査の行動が、経営幹部、取締社のキャピタルプロジェクト管理能力の向役、プロセスオーナーの内部監査機能に対上、具体的には投資収益率の測定および監する見方を変えたことに関する事実や状況視を中心とした戦略的施策に参加した。こを示している。特に、内部監査の指導者は、の組織では、内部監査機能の役割は、チー価値を明確に示し続けることで機能が苦労

ムが開発する新しいプロセスに適切な統制して勝ち得た評判を育み、維持していかなが組み込まれていることを担保することでければならないと強調している。新しいリある。

ーダーとプロセスオーナーが組織に継続的● 事後監査とレビューを実施する：これらのに加わってくる。遅かれ早かれ、彼らは内活動の結果、キャピタルプロジェクトを正部監査の信頼性が正当であるという証拠を当化するために使用された元の前提条件の求めてくる。

妥当性に関する価値のあるフィードバック

２．アクセス：内部監査機能の価値および継を提供し、プロジェクトの早期における内続的な関係構築に対するＣＡＥのコミット部監査の関与の可能性も含め、将来のプロメントを明確に示すことで、これらのリー

ジェクトのアプローチを強化することがでダーたちは、取締役、経営幹部、およびプきる。

ロセスオーナーにアクセスするという重要な特権を手に入れることができる。こうしたアクセスができるということは、組織全

月刊監査研究2018．8（No.537）

23

内部監査人協会（ＩＩＡ）情報

体で何が起こっているのか、また今後どのされたシニア監査人が、業務に就いて数週間ような戦略的な変化や施策があるのかにつ

後に、ＣＡＥになぜ機能としてより積極的にいての貴重な知識が得られることを意味す

助言サービスの拡大を進めないのか尋ねた。

る。

彼の回答は、機能の優先順位を明らかにし

３．共通用語（言語）：「内部統制」という用た。彼は、「助言サービスでリードするのでは語をＩＴ部門、ＣＩＳＯ、キャピタルプロ

なく、アシュアランス業務でビジネスをしてジェクトマネージャー、および他のプロセきた顧客を持っており、その顧客は我々の価

スオーナーが、彼らを取り巻く環境におい値観を理解し、助言サービスを依頼している。

て完全に理解できる用語に変換することの私はこれが顧客を得る方法だと考えている。」

重要性を述べたＣＡＥは非常に多い。あると説明した。

監査幹部の一人は、「工場、機能、場所などを対象が何であれ、内部統制は、それらを筆者について目標に向かって動かすプロセスを意味するという定義に変えている。」と述べた。ＣＪ・マイケル・ジョイス・ジュニア氏は、ＡＥは、機能の全ての作業を、実用的で、ＣＩＡ、ＣＰＡ、ＣＲＭＡ、ＦＡＨＭの資格

よく理解され、利害関係者の環境の中で、を保持しており、36の独立したコミュニテ

意義のある用語（言葉）に変換する必要性

ィベースのローカルに運営されているBlueを強調している。

CrossおよびBlue Shield社の連合体である

４．参加：先進的な監査機能は、積極的かつBlue Cross Blue Shield Association（ＢＣ

よく関与する傾向があります。彼らは、サＢＳＡ）の副総裁、チーフ・オーディター、

イバーセキュリティの侵害を明らかにする

コンプライアンスオフィサーを務めている。

ために設計された卓上のインシデント対応

Blueシステムは、全米の人工の３分の１にあ活動に参加している。彼らは店舗や作業現たる１億700万人以上の会員をカバーする、

場で有意義な時間を過ごす。「私たちは監

米国最大の医療保険会社である。ジョイス氏

査計画の一環としてネットワーク侵入テス

は、内部監査、全国の反不正行為およびコントを実施している」と、あるＣＡＥは述べ

プライアンススタッフの機能を指揮していた。リーダーが取締役と共有しているこれる。氏は35年にわたる専門家としての経験を

らの情報は、サイバーセキュリティリスク

持ち、1999年６月からＢＣＢＳＡに在籍してについての監査委員会への報告をより具体いる。氏は1989年以来、ＩＩＡボランティア的なものにするのに役立つ。

として活躍している。

最終的な考え方：助言の前にまずアシュアランス

内部監査財団について
ＣＢＯＫを運営している内部監査財団は、

ＣＡＥは、組織が戦略リスクに対処するた

過去40年間にわたり内部監査の専門職のためめに機能が提供する助言サービスの興味深いに革新的調査研究を行ってきた。内部監査財

コレクションについて記述しているが、アシ団は、現在の課題、新たな傾向、将来のニーュアランス業務が常に最優先であることも強ズを探索する取り組みを通して、専門職の進調している。

化と発展を支える原動力となっている。

この逸話が全てを語っている：新たに雇用24

月刊監査研究問合せ先：1035 Greenwood Blvd., Suite 401,

2018．8（No.537）

内部監査人協会（ＩＩＡ）情報

供している。

Lake Mary, Florida 32746, USA.

プロティビティはこれまでに、フォーチ

プロティビティについて

ュン1000（FORTUNE 1000 ® ）企業の60％
以 上、 ま た フ ォ ー チ ュ ン・ グ ロ ー バ ル500

プロティビティは、企業のリーダーが自信（FORTUNE Global 500 ® ）中35％の企業にをもって未来に立ち向かえるように、高い専利用いただいている。プロティビティの人材

門性と客観性のある洞察力、クライアントにや職場は、フォーチュン誌やコンサルティン合ったアプローチや最善の協力を提供するグ

グ・マガジン誌の「働きがいのある会社ベス

ローバルコンサルティングファームである。

ト100」などで常に評価されている。

20か国、70を超える拠点で、プロティビテ

プロティビティは公認会計士事務所としてィと独立したメンバーファームはクライアン

ライセンスまたは登録されておらず、財務諸

トに、ガバナンス、リスク、内部監査、経理表やアテステーション・サービスの提供も行財務、テクノロジ、オペレーション、データっていない。

​​

分析におけるコンサルティングサービスを提月刊監査研究2018．8（No.537）

25