国際情報
2004年９月29日

全社的リスク管理における内部監査の役割
内部監査人協会（ＩＩＡ）
訳：川村眞

一

（三菱商事株式会社監査部主席内部監査人

内部監査士）

新たに公表されたトレッドウェイ委員会支が考慮に入れるべき主な要素は、活動が内部援組織委員会（ＣＯＳＯ）『全社的リスク管監査人の独立性および客観性に対する何らか理の統合的枠組』と関連して、内部監査人協の脅威を引き上げるかどうか、そして組織の会（ＩＩＡ）は、ＩＩＡイギリス・アイルラ

リスク管理、コントロール、およびガバナンンド支部（ＩＩＡ UK and Ireland affiliate）とスのプロセスを改善しそうであるかどうか、協力して「全社的リスク管理における内部監ということである。

査の役割」に関する方針書を公表した。

ＩＩＡの方針書は、内部監査が、ＥＲＭの本方針書の目的は最高監査責任者（ＣＡＥプロセスの中で、どのような役割を果たすべs）の当該組織における全社的リスク管理きか、または果たすべきでないか、を示して（ＥＲＭ）問題への対応を支援することにあいる。

る。この方針書は、内部監査人がアシュアラを提供する際に、ＩＩＡの『内部監査の専門◇ＥＲＭに関する中心的な内部監査の役割職的実施の国際基準（基準）』が要求してい＊リスク管理プロセスに関するアシュアランンス業務およびコンサルティング・サービスる客観性および独立性を維持する方法を提案している。
ＥＲＭに関する中心的な内部監査の役割とスの提供＊リスクが正しく評価されているというアシュアランスの提供

は、主要なビジネス・リスクが適切に管理さ＊リスク管理プロセスの評価れ、インターナル・コントロール・システム＊主要なリスクの報告の評価が有効に稼働していると確信するのを助ける＊主要なリスクの管理のレビューための、組織のＥＲＭ活動の有効性にかかわる客観的アシュアランスを取締役会に提供することである。

◇予防措置により正当化される内部監査の役割＊リスクの識別および評価のファシリテート◇推奨された役割
内部監査の役割を決定するときにＣＡＥs

66 月刊監査研究 2005．7（No.370）＊リスク対応における管理者の指導＊ＥＲＭ活動の調整

国際情報＊リスクに関する報告の総括

る、と強調している。内部監査人は、リスク＊ＥＲＭの枠組の維持および展開管理を決定するのとは対照的に、助言および＊ＥＲＭの確立の支援

リスクに関する経営者の決定に対する反対ま＊役員会の承認のためのリスク管理戦略の展たは支持を提供するべきである。内部監査の本来的な責任は、監査基本規程に記録され、開かつ監査委員会によって承認されるべきであ◇内部監査が引き受けるべきでない役割る。

＊リスク・アペタイトの設定

監査の役割」は以下に示すとおりである。

＊リスク管理プロセスの強制最後に、「全社的リスク管理における内部1941年に設立されたＩＩＡは世界中の内部＊リスクに関する経営的アシュアランス

監査、ガバナンス、インターナル・コントロ＊リスク対応に関する決定ール、ＩＴ監査、教育およびセキュリティに＊経営者に代わるリスク対応おいて約95,000人のメンバーに役立っている。

＊リスク管理の説明責任

協会は、認知された権威、主要な教育者、世ＩＩＡは、経営者がリスク管理責任を負っ界中の専門職のための証明、研究、および技ていることを組織が十分に理解するべきであ

術的指導において広く知られた指導者である。

姿勢声明

全社的リスク管理における内部監査の役割
内部監査人協会（ＩＩＡ）

序論な方法でリスクの管理に貢献する。2002年に、イギリス・アイルランドの内部監査人協会

ここ数年間にわたってリスク管理のコーポ（ＩＩＡ）が、許容される役割に関するメンレート・ガバナンス強化への重要性がますま

バーに対するガイダンス、および内部監査のす認識されてきている。組織は直面する、財独立性および客観性を保護するために必要な政上および事業上はもちろん、社会的、倫理予防措置を提供するために、リスク管理にお的および環境上のすべてのビジネス・リスクける内部監査の役割に関する姿勢声明を発表を識別するように、かつ組織の経営陣が受容した。この改訂された新しい姿勢声明は、従可能な水準までビジネス・リスクをどのよう来のものに代えてリスク管理および内部監査に管理するのかを説明するように、圧力をかにおける分野で世界中の最近の進展を考慮にけられている。同時に、組織がそれほど調和入れている。

がとれていないリスク管理へのアプローチよりも組織の有利な点を認識するにつれ、全社全社的リスク管理とは何か的のリスク管理の枠組の使用は広がった。
内部監査は、アシュアランスおよびコンサ

内部監査人は、すべての種類の事象またはルティングの両方の役割において、さまざま状況を識別、評価、管理、コントロールする

月刊監査研究2005．7（No.370） 67

国際情報ために、リスク管理活動を引き受ける。これらの活動は、ただ１つのプロジェクトまたは狭義に定義された形態のリスク、たとえば、市場リスクから、組織全体が直面する脅威および機会まで及ぶ。
本姿勢声明で提示されている原則は、すべての形態のリスク管理における内部監査のかかわり合いの指導に適用できるが、われわれは、組織のガバナンス・プロセスを改善しそうであるという理由で、特に企業全体のリスク管理に興味を持っている。

＊それらの目的を達成するという大きな見込み＊異種リスクに関する役員会レベルでの総括報告＊主要なリスクおよびそれらの広範なかかわり合いに関するより深い理解＊絡み合うビジネス・リスクの識別および共有＊真に重要な問題に対する経営者による本格的な焦点の絞込み＊少ない予期せぬ事態または危機

全社的リスク管理（Enterprise-wide RiskManagement：ＥＲＭ）は、その目的の達成に影響を与える機会および脅威を識別し、評価し、対応および報告を決定するために、組織全体のすべてにわたって構築されている、一貫しかつ連続したプロセスである。

＊正しいことを正しい方法ですることに対する内部的焦点の集中＊イニシアチブが達成される変化の見込
みの増大＊より大きい見返りでより高いリスクを抱える能力＊多くの情報に基づくリスクの引受および意志決定

ＥＲＭに対する責任
役員会はリスクが管理されていることを確ＥＲＭに含まれる活動実にする総合的責任を負っている。実際には、役員会はリスク管理の枠組の運用を経営陣に委任するであろうし、経営陣は以下に示す活動を遂行する責任を負うであろう。そこには、これらの活動の調整およびプロジェクト管理を行い、専門的技術および知識を生かす別々の機能があるかも知れない。
組織内の全員が全社的リスク管理の成功を確実にする役割を果たすが、リスクの識別および管理を行う主たる責任は経営者にある。

ＥＲＭの利点ＥＲＭは組織目的の達成に対するリスクの管理を助長することに対して主要な貢献をすることができる。その利点には以下が含まれる。

68 月刊監査研究 2005．7（No.370）＊組織の目的の明確な表現および伝達＊組織のリスク・アペタイトの決定＊リスク管理の枠組を含む適切な内部環
境の確立＊目的の達成に対する潜在的な脅威の識
別＊リスク、すなわち脅威発生の衝撃および見込みの評価＊リスクへの対応の選択および実行＊コントロールおよび他の対応活動の引
受＊組織内のすべてのレベルにおける一貫した方法によるリスクに関する情報の伝達＊リスク管理のプロセスおよび結果の中

国際情報枢的モニタリングおよび調整＊リスク管理の有効性に関するアシュア
ランスの提供する最も重要な２つの方法は、主要な事業リスクが適切に管理されているという客観的アシュアランス並びにリスク管理およびインターナル・コントロールの枠組が有効に機能しているというアシュアランスを提供すること

ＥＲＭに関するアシュアランスの提供にあると取締役と内部監査人が同意していることを調査が証明した（注１）。
図１は、ＥＲＭ活動の範囲を表示しかつ有役員会またはそれに相当する機関の主な要効な専門的内部監査の機能が果たすべき役割

求の１つは、リスク管理プロセスが有効に稼および同程度重要な引き受けるべきではない働しており、かつ主要なリスクが合格水準に役割を示している。内部監査の役割を決定す管理されている、というアシュアランスを獲るときに考慮に入れるべき重要な要因は、そ得することである。の活動が内部監査機能の独立性および客観性

おそらくアシュアランスは異なるソースかに対する何らかの脅威も高めるか、そしてそらもたらされる。それらの中で経営者からのれが組織のリスク管理、コントロール、およアシュアランスが基本となる。これは客観的びガバナンス・プロセスを改善しそうであるアシュアランスの提供によって補完されなけか、である。

ればならないが、このアシュアランスにとっ図１の左の活動はすべてアシュアランス活て内部監査は主要なソースである。その他の動である。それらはリスク管理に関するアシソースには外部監査および独立した専門家のュアランスの提供のより広範囲の目的の一部レビューが含まれる。内部監査は通常３つのを形成する。『内部監査の専門職的実施の国領域でアシュアランスを提供するであろう。

際基準』に準拠した内部監査の機能は少なく＊デザインおよびどれだけうまく作用しているかの両方のリスク管理プロセス＊リスクに対するコントロールの有効性および他の対応を含む、｢主要なもの｣として分類されたリスクの管理＊リスクの確実かつ適切な評価並びにリスクおよびコントロールの状況に関する報告ともこれらの活動のいくつかを実行することができかつ実行するべきである。
内部監査は組織のガバナンス、リスク管理、コントロールのプロセスを改善するコンサル
ティング・サービスを提供するかも知れな
い。ＥＲＭにおける内部監査のコンサルティ
ング範囲は役員会が利用可能なその他の内部および外部のリソース並びに時間の経過につれて変質しそうな組織のリスク・マチュリティ（注２）によって決まるであろう。リスク

ＥＲＭにおける内部監査の役割の考慮、リスクとガバナンスの関連の理解および促進における内部監査の専門的技術は、内部監査は、独立的、客観的なアシュアラ特にその導入の初期の段階で、ＥＲＭの擁護ンスおよびコンサルティングの活動である。

者およびプロジェクト・マネジャーをも務めＥＲＭに関する中心的な役割はリスク管理のる資格は十分にある。

有効性に関する客観的アシュアランスを役員会に提供することである。
現に、内部監査が組織に対して価値を提供組織のリスク・マチュリティが増大し、リスク管理が事業活動にしっかりと組み込まれるにつれて、ＥＲＭの擁護における内部監査

月刊監査研究2005．7（No.370） 69

国際情報

クのな管

リ理スのクのレ

報

告ク管理プ

ビの評

価
ロセ
スの
リスク評価がアシュ 正しく評価されアランている
スの提という供リスク管理プロセスに関する
アシュアランスの提供

ューＥＲＭに関する中心的な内部監査の役割

ＥＲ
Ｍの認の確立の支ため
援のリ
スク
リ
管理戦ス
ク
略の・リ
展開
アス
ペク
タイ
管ト
理のプ
設ロ
定セスの強制ス

要ス

ン

ラア

ュシ

ア

役員会の承リ

主る報告の総括なリ スクに関す

要リス

調整
導動のの指Ｍ活ート
ＥＲ理者
リテ
る管ァシ
おけのフ
応に
価評
ク対
び
リス
よお別識のクリス

主ＥＲＭの枠組の維持および展開＜図１＞ＥＲＭにおける内部監査の役割

決定的営

経る

す

クス

応に対
スク

関にる
関す

リ

リ

代者に

経営対応

スク

リ
わる

明責任

リスク管理の説

予防措置により正当化される
内部監査の役割の役割は減るかも知れない。同様に、もしも組織がリスク管理の専門家または機能のサービスを使うならば、内部監査は多くのコンサルティング活動を引き受けるよりもアシュアランスの役割に集中することによってもっと多くの価値を提供できるであろう。
しかしながら、内部監査が図１の左のアシュアランス活動によって示されているリス
ク・ベース・アプローチを未だとっていないのであれば、中枢のコンサルティング活動を引き受ける態勢にはなかろう。

◇コンサルティングの役割
図１の中央部は内部監査がＥＲＭとの関連で引き受けるかも知れないコンサルティングの役割を示している。
一般に、内部監査が指針盤の右に向かえば内部監査が引き受けるべきではない役割＊リスクおよびコントロールを分析するために内部監査によって使用される管理ツールおよび技術の利用＊リスク管理およびコントロールにおける専門的技術、および組織に関するその総合的知識を強化することにより、組織へのＥＲＭの導入における擁護者となること＊研修会を実施し、リスクおよびコントロールに関し組織を指導し、さらに共通語、枠組、および理解が発展するよう促進することによる助言の提供＊調整、モニタリング、およびリスクに関する報告の中枢としての行動＊リスクを軽減する最良の方法を識別するために働く管理者の支援向かうほど、その独立性および客観性が維持コンサルティング・サービスがアシュアラされていることを確実にすることを求められンスの役割と矛盾していないかどうかの決定る予防措置がますます重要となる。内部監査における重要な要因は、内部監査人が何か経が引き受けられるいくつかのコンサルティン営者の責任を引き受けているかどうかを裁定

グの役割は以下のとおりである。

することである。実際のリスク管理において70 月刊監査研究 2005．7（No.370）

国際情報いかなる役割も負っていない限り（それは経技能および知識体系営者の責任である）、および上級経営者が積極的にＥＲＭを是認して支持する限り、内部内部監査人およびリスク・マネジャーは何監査はコンサルティング・サービスを提供すらかの知識、技能、および価値感を共有する。

ることができる。

両者は、たとえば、コーポレート・ガバナン

われわれは、経営陣がリスク管理のプロセスの要求を理解し、プロジェクト管理、分析、スを設定または向上させることを支援するたおよびファシリテーションの技術を持ち、極めに内部監査が行動するつど、その業務計画

端なリスクの引受または回避の行動よりも、がそれらの活動のための責任を経営陣のメンむしろリスクに関する健全な平衡感覚を持つバーに移すために明確な戦略およびスケジュことを尊重する。

ールを含むべきである、と勧める。

しかしながら、リスク・マネジャー自身は組織の経営だけに務め、独立的、客観的なア◇予防措置

シュアランスを監査委員会に提供する必要はある状態が適用されるならば、内部監査は、ない。また、ＥＲＭにおける彼らの役割を拡

図１に示されているように、ＥＲＭにおける大しようとする内部監査人は、ほとんどの内その関与を拡張するかも知れない。その条件

部監査人にとって知識体系の外にある（リスは以下のとおりである。

クの転嫁、リスクの定量化、およびモデル作＊経営者がリスク管理の責任を負っていることが明確でなければならない＊内部監査の責任の本質は、監査基本規定に記録され、監査委員会によって承認されなければならない（注３）＊内部監査は経営者に代わっていかなるリスクも管理してはならない＊内部監査は、経営者に対して、彼らが自らリスク管理の決定を行うのとは対照的に、忠告、異議の申立、支援を提供するべきである＊また、内部監査は、責任があるＥＲＭの枠組のいかなる部分であろうとも、客観的アシュアランスを与えることはできない。そのようなアシュアランスは他の相応の適任者によって提供されるべきである（注４）＊いかなるものであろうとも、アシュアランスを超えた業務はコンサルティング・サービスとして認識されるべきであり、かつそのような業務に関連する実務基準に従うべきである（注５）

りの技法等の）リスク・マネジャーの知識の専門領域を過小評価するべきではない。適切な技能および知識を示すことができない内部監査人は、リスク管理の領域の仕事を引き受けるべきではない。
さらに、内部監査組織の長は、適切な技能および知識が内部監査機能の中で利用可能ではなく、かつ他から得ることもできなければ、この領域でコンサルティング・サービスを提供するべきではない（注６）。

結論
リスク管理はコーポレート・ガバナンスの基本的な要素である。経営者は役員会を代表してリスク管理の枠組を確立しかつ運用する責任者である。全社的リスク管理は、一貫したかつ調整されたアプローチを構築した結果として多くの利益をもたらす。
ＥＲＭと関連した内部監査の中心的な役割
は、リスク管理の有効性に関するアシュアランスを経営者および役員会に提供することであるべきである。内部監査がこの中心的役割

月刊監査研究2005．7（No.370） 71

国際情報を超えてその活動を広げている場合は、その擁護者（Champion）業務をコンサルティング・サービスとして取人あるいは運動を支持および護る人であり扱うことを含み、したがって、すべての関る。したがって、リスク管理の擁護者は、そ連する基準の適用を含んでいる確実な予防措の利益を促進し、組織の管理者およびスタッ置を活用するべきである。

フが実行するためにとらなければならない行

こうして、内部監査は、その独立性およびアシュアランス・サービスの客観性を保護す動において、彼らを教育し、彼らのとる行動を激励し支持するであろう。

るであろう。ＥＲＭは、これらの制約の中で、ＥＲＭ自体の評価の高揚および内部監査の有コンサルティング・サービス（Consulting

効性の増加を助長することができる。

Services）
依頼部門と同意した内容および範囲の、し（注１）The Value Agenda, Institute of Internal

かも、内部監査人が経営の責任を引き受けず

Auditors-UK and Ireland and Deloitte &に、組織のガバナンス、リスク管理、およびTouche 2003

コントロールのプロセスに、価値を付加しか（注２）The IIA-UK and Ireland Position

つ改善することを意図した、助言および関連

Statement on Risk Based Internal Auditing

する依頼部門に対するサービスの活動であ2003

る。たとえば、カウンセリング、助言、ファ（注３）Attribute Standard 1000.C1

シリテーション、およびトレーニングを含む。

（注４）Attribute Standard 1130
（注５）Perfomance Standards 2010,C1, 2110.

コントロール（Control）

C1 & C2, 2120.C1 & C2, 2130.C1, 2201.C1,

リスクを管理し、設定した目的および目標

2210.C1, 2220.C1, 2240.C1, 2330.C1, 2410.

が達成されるように実現可能性を高めるため

C1, 2440.C1 & C2 and 2500.C1に、経営者、役員会、および他の関係者がと（注６）Attribute Standard 1210

るあらゆる行為である。経営者は、目的および目標が達成されるという合理的アシュアラ＜用語集＞ンスを提供するために、計画し、組織し、満足のいく行動の実行を指揮する。

アシュアランス業務（Assurance Services）
リスク管理、コントロール、またはガバナ
ンス・プロセスに関する独立的評価を提供する目的で組織のために行う証拠の客観的調査事業体（Enterprise）
一連の目的を達成するために設立されたあらゆる組織である。

である。例として、財務、業績、コンプライアンス、システム・セキュリティ、およびデ全社的リスク管理（Enterprise-wide riskュー・デリジェンス業務に関する業務があmanagement（ＥＲＭ））

る。

事業体目的の達成に影響を及ぼす機会および脅威の識別、評価、対応の決定、および報役員会（Board）
役員会は、取締役会、監督委員会、政府機告を行うために、組織の全体にわたって構築された、着実でかつ連続するプロセスである。

関または立法機関の長、非営利団体の理事会または評議会、のような統治組織である。

72 月刊監査研究 2005．7（No.370）

ファシリテート（Facilitating）

国際情報グループ（または個人）が、そのグループリスク対応（Risk Responses）が会合または活動のために合意した目的の達組織が個々のリスクを管理するために選定成を容易にするために、グループ（または個する措置である。その主たる範疇はリスクを人）とともに働くことである。これは、その許容することであり、リスクの影響または発グループおよびメンバーに対する聴取、反論、生の可能性を減少させるように取り扱うこと

観測、質問、支持を含む。これは業務の実行であり、リスクを別の組織に移すまたはリスあるいは決定を含まない。

クを生み出す活動を終了することである。インターナル・コントロールはリスクを取り扱リスク（Risk）う１つの方法である。

目的の達成に影響を与えそうな事象が発生する可能性である。リスクは影響および発生＜参考文献＞の可能性で測定される。

＊Risk Management:Changing the Internal
Auditor s Paradigm by Georges Selim and

リスク・アペタイト（Risk Appetite）
役員会または経営者が許容できるリスクのレベルである。これは、異なったグループのリスクに対して、または個々のリスクのレベルにおいて、組織の全体との関連で設定されよう。

David McNamee, IIA Research Foundation＊IIA Professional Briefing Note 13:Managing
Risk, IIA-UK and Ireland＊The Complete Guide to Business Risk
Management by Kit Sadgrove, Gower＊Operational Risk and Resilience:
Understanding and minimising operational

リ ス ク 管 理 の 枠 組 （ Risk Management

risk to secure shareholder value byFramework）

PriceWaterhouseCoopers, Butterworth

組織がリスク管理のプロセスを実行するた

Heinemann

めに選択した構造、体系、手続、および定義＊Risk Management Guide 2001, White Pageの総体である。

＊It s a Risky Business, CIPFA＊The Risk Management Standard, IRM, AI

リスク管理のプロセス（Risk ManagementProcesses）
潜在的事象または状況を識別、評価、管理、コントロールして、組織目的の達成に関して合理的アシュアランスを提供するプロセスである。

RMIC and ALARM＊ANZ Risk Management Standard, Standards
Australia and Standards New Zealand＊Enterprise Risk Management Framework,COSO＊Risk Management in the Public Services,
CIPFA &ALARM

リスク・マチュリティ（Risk Maturity）＊Independence and Objectivity - Professional

経営者が組織の目的の達成に影響を及ぼす

Issues Bulletin 2003, IIA - UK and Ireland

機会および脅威の識別、評価、対応の決定お＊Embedding Risk Management into the

よび報告のために、計画したとおりに、組織Culture of your organisation - Professionalの全域で確固たるリスク管理アプローチが採

Briefing Note 2003, IIA -UK and Ireland

用されかつ適用されている範囲である。

＊Managing business risk - Adam Jolly, IOD,
Ernst & Young and Kogan Page

月刊監査研究2005．7（No.370） 73

国際情報＊The universe of risk - Pamela Shimell,
Pearson Education and FT＊Management of risk - OGC, TSO＊Enterprise wide risk management - James
Deloach, Pearson Education and FT＜ウェブサイト＞＊The Institute of Internal Auditors, www.
theiia.org＊Institute of Internal Auditors - UK andIreland, www.iia.org.uk＊Risk - John Adams, Routledge＊Gee Publishing, www.gee.co.uk＊Risk management for company executives -＊Corporate Governance Site, www.corpgov.

John Smullen, Pearson Education andFinancial Times Prentice Hall
＊Enterprise Risk Management:Trends &Emerging Practices - Miccolis,Hively,andMerkley, IIA Research Foundation

net＊The Committee for Sponsoring Organizations（ＣＯＳＯ）, www.coso.org＊The Institute of Risk Management（ＩＲＭ）,www.theirm.org

眞田光昭訳『全社的リスクマネジメント―＊The Association of Insurance and Risk

近年の動向と最新実務』日本内部監査協会、Managers（ＡＩＲＭＩＣ）, www.airmic.

2004年７月

com＊Enterprise Risk Management:Pulling it All＊The National Forum for Risk Management

Together - Walker, Shenkir and Barton, IIA

in the Public Sector（ＡＬＡＲＭ）, www.

Research Foundation

alarm-uk.com

刈屋武昭監訳『戦略的事業リスク経営―ノ＊White Page web-site, www.whitepage.co.uk

ーリスク・ノーマネジメント』東洋経済新＊Standards Australia, www.standards.org.au報社、2004年11月＊Standards New Zealand, www.standards.
co.nz

74 月刊監査研究 2005．7（No.370）