使えるＥＲＭ（全社的リスクマネジメント）導入チェックポイント集〜 一目でわかるＥＲＭと内部統制の基本的要素の具体例 〜

日本内部監査協会
ＣＩＡフォーラム

ＥＲＭ研究会２００６年４月

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

目
第１章

第２章
第３章
第４章
第５章
第６章
第７章
第８章
第９章

次

はじめに
１．本報告の目的 -----------------------------------------------------------２．本報告の活用方法 -------------------------------------------------------３．本研究会の目的 ---------------------------------------------------------内部環境-----------------------------------------------------------------目的の設定---------------------------------------------------------------事象の識別---------------------------------------------------------------リスクの評価-------------------------------------------------------------リスクへの対応-----------------------------------------------------------統制活動-----------------------------------------------------------------情報と伝達---------------------------------------------------------------モニタリング--------------------------------------------------------------

＜凡例＞
項目名
項 目
チェックポイント
あるべき姿
具体的な事例

２
３
４
６
１５
２４
３１
３９
４５
５８
６３

内
容
ＣＯＳＯ－ＥＲＭの中で、各構成要素ごとに記載されている項目
当該項目でチェックすべきポイント
当該項目でチェックすべきポイントが実現された状況「あるべき姿」の具体例。すなわち、当該項目で記載されていることが実現された具体例状況。

１

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第１章

はじめに

第１章 はじめに１．本報告の目的（１）ＥＲＭが「有効である」と評価するためには
ＣＯＳＯ－ＥＲＭによると、ＥＲＭ（全社的リスクマネジメント）が有効であるとは、ＥＲＭの８つの構成要素（注）全てが存在し、適切に機能していることである。各企業において、「自社のＥＲＭが有効に機能している」、すなわち、「自社では８つの構成要素が全て存在し、適切に機能している」と評価するためには、この８つの構成要素が、具体的にどのようなものであるのか、企業活動に伴い遂行している各種
施策のどれがどの構成要素に該当するのかを理解することがまず必要である。しかしながら、ＣＯＳＯ－ＥＲＭはフレームワーク（理論的な枠組み）であるため、そこに記載されている構成要素の内容は、抽象的であり具体的イメージがつかみにくい。そのため、ＣＯＳＯ－ＥＲＭのフレームワークに従って、各企業が自社のＥＲＭの有効性を判断するに際して、困難が伴うのが現状である。
（注）ＥＲＭの８つの構成要素①内部環境、②目的の設定、③事象の識別、④リスクの評価、⑤リスクへの対応、⑥統制活動、⑦情報と伝達、⑧モニタリング（２）ＥＲＭの８つの構成要素の「チェックポイント」と「具体的な事例」
本報告は、ＥＲＭの８つの構成要素が有効に機能している状態とは具体的にどのような状態なのかを明らかにするために、①ＥＲＭの８つの構成要素が有効に機能しているかどうかのチェックポイントを明らかにすると共に、②ＥＲＭの８つの構成要素とは、企業活動に伴い遂行されている各種施策のどれに該当するのか、すなわち、ＥＲＭの８つの構成要素の「具体的な事例」を、出来る限り平易な言葉で、日本のビジネス社会で通常使用されている用語を用いながら、具体的な事例を掲載したものである。
本報告をお読みになると、これら「具体的な事例」は既に各企業で本来業務として行われていることが多いことにお気付きになられることと思う。ＥＲＭは、何も特別なことをするのではなく、企業の通常のビジネスプロセスの中で行われている活動と一体となったものなのである。
（３）内部統制の基本的要素の「チェックポイント」と「具体的な事例」としての活用
ＥＲＭは、内部統制について、その取り扱うリスクの範囲を拡大したものであり、内部統制を包含しているため、ＥＲＭの構成要素は、内部統制の基本的要素と重複しているものが多い（注）。そのため、ＥＲＭの構成要素の「チェックポイント」と「具体的な事例」の多くは、内部統制の基本的要素の「チェックポイント」と「具体的な事例」として活用可能である。本報告は、内部統制の基本的要素の「チェックポイ
ント」と「具体的な事例」として活用できるものである。
（注）ＥＲＭは、内部統制をリスクの面で拡張し、精緻化している。

２

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第１章

はじめに

参考：ＥＲＭの構成要素と内部統制の構成要素
ＥＲＭ
の構成要素
①内部環境
②目的の設定③事象の識別④リスクの評価⑤リスクへの対応⑥統制活動⑦情報と伝達
⑧モニタリング

内部統制の基本的要素（注）
①統制環境
―――

備
考
（ＥＲＭは内部統制に対して）概念を拡大
新構成要素を追加②リスクの評価と対応

分割とリスクに関する内容の拡張③統制活動④情報と伝達
概念を拡大⑤モニタリング⑥ＩＴへの対応（注）企業会計審議会 内部統制部会「財務報告に係る内部統制の評価及び監査の基準案」（2005 年 12 月 8 日）より

２．本報告の活用方法
本報告は、以下の用途に活用することを念頭に作成した。
（１）有価証券報告書、コーポレートガバナンス報告書（東証）での内部統制システム開示での活用
２００４年３月期から、上場企業は有価証券報告書および決算短信で、内部統制システムおよびリスクマネジメント体制を「内部統制シス
テム及びリスク管理体制の整備の状況」として開示することが義務付けられた。ＥＲＭの実施体制を整備・運用することは、リスク関連情報の開示を制度本来の趣旨に沿った形で行う上で大変有効である。
本報告は、有価証券報告書の「内部統制システム及びリスク管理体制の整備の状況」の具体的内容を検討、記載する際の参考となるものである。また、東京証券取引所に提出する「コーポレートガバナンス報告書」（注）の「内部統制システムについての基本方針及び整備・運用状
況」の内容を検討、記載する際に参考となるものである。
（注）コーポレートガバナンスの施策等についての開示は、本年（２００６年）３月期から、決算短信での開示から、新設される「コーポレートガバナンス報告書」での開示に変更される。

（２）会社法における内部統制システムの決議・開示での活用
本年（２００６年）５月に施行が見込まれている会社法で、大会社は「株式会社の業務の適正を確保する体制（内部統制システム）」の取締役会での決議と、事業報告での開示が義務付けられる。

３

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第１章

はじめに

本報告は、取締役会で決議する「株式会社の業務の適正を確保する体制（内部統制システム）」の内容を検討する際に、また、その決議の概要を事業報告に記載する際に参考となるものである。
（３）金融商品取引法における「財務報告に係る内部統制」の有効性評価での活用
２００５年１２月に企業会計審議会内部統制部会から公表された「内部統制の基本的枠組み」では、内部統制の目的を達成するためには、「すべての基本的要素が有効に機能していることが必要」であるとしている。
本報告は、「内部統制の基本的枠組み」を用いて内部統制の有効性を評価する際の参考となるものである。とりわけ、本年（２００６年）
通常国会で成立が見込まれる金融商品取引法では、「財務報告に係る内部統制の評価及び報告」が義務付けられるが、その中で「全社的な内部統制」を評価する際に参考となるものである。
（４）経済産業省「企業行動の開示・評価に関する研究会」報告書との併用
２００５年８月に経済産業省「企業行動の開示・評価に関する研究会」から「コーポレートガバナンス及びリスク管理・内部統制に関する開示・評価の枠組について」が公表された（注）。当該報告書では、コーポレートガバナンス・内部統制・リスク管理の構築および開示のために参考とすべき指針が示されていると共に、「我が国企業の積極的な取組事例」が多数紹介されている。
本報告は、上記経済産業省報告書に記載されている積極的な取組事例と併せて参照することにより、より具体的な参考となるものである。
（注）http://www.meti.go.jp/press/20050831003/20050831003.html でダウンロード可能。

（５）企業価値向上の手段としての活用
本報告は、ＥＲＭや内部統制が有効に機能するために必要な条件を知る手がかりとなり、企業価値向上の手段として参考となるものである。

３．本研究会の目的（１）ＥＲＭに対する要請の高まり
２００４年９月にＣＯＳＯ－ＥＲＭフレームワークが公表され、ＥＲＭのコンセプトは種々紹介されており、欧米企業を中心にその実例も紹介されているが、我が国におけるＥＲＭの実例の紹介は少なく、我が国企業の実態に合致した「ＥＲＭの実施体制を整備・運用するために必要な具体的な要件」を明確にすることが求められている。
一方、当研究会の会員である内部監査人は、リスクマネジメントの適切性・有効性を評価し、その改善に貢献することをミッションの一つとしている（注）。内部監査部門として今後ＥＲＭとどのように向き合っていくかは大きな課題である。
（注）内部監査人協会が制定した「内部監査の専門職的実施の国際基準」には、「内部監査部門は自社のリスクマネジメント、コントロールおよびガバナンス・シ
ステムを体系的手法と規律遵守の態度とをもって評価し、その改善に貢献しなければならない」と明記されている（実施基準 2001－業務の内容）。

４

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第１章

はじめに

（２）本研究会の目的
本研究会は、以上の課題認識から、２００４年４月に活動を開始し、第一ステップとして、ＥＲＭについて理解を促進するために、簡易に疑問点に答える形式のＦＡＱとして、２００５年２月に「ＥＲＭのよくある質問集（ＦＡＱ）」を公表した（注）。
２００５年４月以降、第二ステップとして、「ＥＲＭの実施体制を整備・運用するために必要な具体的な要件」を検討してきた。具体的には、ＥＲＭをＥＲＭたらしめる要件をＣＯＳＯ－ＥＲＭを基に追求していくことにより、「どういう状況にあれば、またどういう条件を満たせば、ＥＲＭの実施体制が整備・運用されているといえるのかというＥＲＭ導入のいわば“最低ライン”というべきものは何か」、すなわち、「最低限、何をすればＥＲＭの実施体制が整備・運用されているといえるのか」という“ＥＲＭをＥＲＭたらしめる最低条件”を提示するという観点から研究を進めてきた。その成果が本報告である。
（注）http://www.iiajapan.com/ERM_TOP.html でダウンロード可能。

本研究が、内部監査部門の実務家、ＥＲＭの導入を考えておられる方にとどまらず、内部統制の整備・運用に対応すべきミッションを持っておられる多くの実務家の方々のお役に立てれば幸いである。
以 上

日本内部監査協会
ＣＩＡフォーラム ＥＲＭ研究会（第２期）
座長
吉野 太郎
東京ガス株式会社 監査部主席
ﾒﾝﾊﾞｰ 大野 勝
コニカミノルタホールディングス株式会社 経営監査室マネージャー〃
筧実
沖電気工業株式会社 コーポレート監査室〃
神田 浩
株式会社日本総合研究所 管理部長〃
小菅 章裕
株式会社ＫＰＭＧ ＦＡＳ シニアマネージャー〃
近藤 登喜夫 三井生命保険株式会社 リスクマネジメントコミッティ－事務局長〃
眞田 光昭
弦巻ナレッジネットワーク 代表〃
常橋 直弓
株式会社ベネッセコーポレーション 経営監査部〃
三神明
三菱商事株式会社 監査部ＱＡ・ＱＣチームリーダー〃
村田一オリックス株式会社 監査部副部長〃
吉岡 三隆
さくらカード株式会社 監査部次長

５

公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人
公認内部監査人

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章

内部環境

第２章 内部環境
項 目
１.リスクマネジメントの考え方

チェックポイント(1)経営者はリスクマネジ
メントについてどのよ
うなメッセージを発信
しているか(2)これらのメッセージは社員全員に周知され、理解されているか(3)事業体全体としてリス
クに対しどのような認識を持っているか-新しいリスクを取るのに積極的か保守的か-リスク管理より利益を優先していないか(4)経営者の個人的な能力に依存した経営か、又は組織としての経営が行われているか(5)経営姿勢は保守的か、
積極的か(6)業務活動とリスクマネ
ジメントは整合してい
るか

あるべき姿
・「リスクマネジメントの哲学」とは、事業体全体としてのリスクマ
ネジメントに対する考え方・取組姿勢のことである。
これらは社員に周知徹底させるとともに、ス
テークホルダーに対しても明確な方針を開示する必要がある。

・経営者のリスクに対する考え方と経営スタイ
ルは内部環境の一つであり、業務活動とリス
クマネジメントは整合している必要がある。

６

具体的な事例① 経営哲学＜事例＞「問題点の見える化」即ち「問題点を隠さない文化」、「再発防止に重点を置く文化」を醸成(Ａ自動車会
社)。
②ステークホルダーへの開示＜事例１＞「リスクマネジメント方針」をホームページで詳細に公開(Ｂ商社)。
＜事例２＞
経営方針の第一として「コンプライアンス経営の徹底」を掲示(Ｃ食品会社)①業務活動とリスクとの整合性＜事例１＞
グループの統合リスクマネジメントシステムを構築、「リスク管理規則」を制定し、その中で「経営が関与すべき重要リスク」を明文化(Ｏガス会社)。
＜事例２＞
主要な会計上の見積について感応度分析を実施し、有価証券報告書で開示(Ａ自動車会社)。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項 目
２.リスク選好

チェックポイント(1)事業体のミッションは何か(2)事業体のミッションに基づく戦略目的は何か(3)戦略目的を達成するために取るべきリスクは何か(4)取るべきリスクの大きさはどのくらいか(5)リスクを定量的・定性的に把握しているか(6)リスクに見合うリター
ンが期待出来るかあるべき姿
・「リスク選好」とは、事業体がその目的を達成するために受け入れることの出来るリスクの水準であり、事業体の戦略に直結したものである必要がある。

＜参考＞
リスク文化

(1)社内通知、社内規則、
社内ガイドラインなどにリスクに対する事業体の考え方がどのように反映されているか(2)社員一人一人がリスクに対してどのような認識を持っているか・「リスク文化」とは、事業体全体のリスクに対する考え方が、事業体の日々の業務活動に反映され企業文化の一部になっているものを指す。トヨタ自動車の「かいぜん」などが一つの例と言える。

７

内部環境

具体的な事例①戦略目的に沿ったリスク管理手法の導入＜事例１＞
計測可能リスクに関して、「信用リスク管理規定」、「市場リスク管理規程」、「投資リスク管理規程」を制定(Ｂ商社)。
＜事例２＞
経営指標として経済付加価値の考え方を導入、経営管理システムとして戦略ミッション別営業組織導入によるポートフォリオマネジメントの強化、事業投資先からの撤退ルールの導入(Ｄ商社)。
＜事例３＞
リスク・リターンを図るＰＡＴＲＡＣ(Profit AfterTax less Risk Asset Cost)(税引後利益からリスク資産のコストを差し引いたもの)を最重要の経営指標として位置付け(Ｅ商社)。
①規程の整備＜事例１＞
リスクマネジメント規程の整備(Ｆ繊維メーカー)＜事例２＞
食品等の品質管理を徹底するため、独自の品質管理基
準を設定(Ｇスーパー)。
②リスクの認識＜事例＞
リスクを計測可能リスクと計測不能リスクに分けて管理(Ｄ商社)。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項

目

内部環境

チェックポイント（下部のリスク文化）(1)社内各組織が持つリス
クは何か(2)各組織が持つ固有のリ
スクは何か(3)当該組織はリスクを取ることに積極的か、保守的か(4)組織間のリスク分担はどうなっているかあるべき姿
・下部のリスク文化とは
社内各組織が持っているリスクに対する考え方であり、事業体のリ
スク文化と整合している必要がある。

具体的な事例（リスクの実態認識）(1)事業体のリスクについて、定期的な見直しを行っているか・過去に問題が起こっておらず且つ現在も大きなリスク要因がなくても、内部・外部環境の変化が事業体のリスクに影響を及ぼすことを常に念頭に置く必要がある。

① リスクの定期的見直し＜事例１＞
毎年、社員意識アンケート調査に基づきリスクマップを作成し、優先順位が高いものを「重点実施項目」として対応策を実施(Ｈ化粧品会社)。
＜事例２＞
外部監査法人による「リスクマネジメント監査」を定期的に実施(Ｈ化粧品会社)。

８

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項 目
３.取締役会

チェックポイント(1)取締役会の構成メンバ
ーはどうなっているか(2)取締役会付議基準は明確か(3)取締役会で実質的な討議が行われているか(4)議事録を残しているか(5)決議事項のフォローア
ップを行っているかあるべき姿
・取締役会は内部環境の重要な一部分であり、その独立性、構成員の経験と能力、取締役会が関与・調査する活動の範囲などが内部環境の重要な構成要素である。
ただし、わが国の場
合、取締役会の監督機
能、社外取締役の人
数・影響力は限定的であり、社長(経営執行責任者)が最も影響力の大
きい内部環境である。
また、取締役会よりも実質的な最高意思決定機関である経営会議(会社により呼称は様々)の影響力が大きいと言える。
経営の意思決定の透明性とガバナンスの有効性の確保が重要であ
る。

９

内部環境

具体的な事例①構成メンバー＜事例１＞
取締役会はコーポレート戦略の決定と事業ドメインの監督に集中、事業に精通した執行責任者も取締役会に参画(Ｉ電器メーカー)。
＜事例２＞
社外取締役にＣＳＲの専門家を起用(Ｇスーパー)＜事例３＞
機動的な取締役会体制構築を目的に取締役の任期を２年から１年に短縮(Ｄ商社)。
②組織
＜事例１＞
取締役会直結の審議機関として「企業倫理委員会」、「総合リスク対策委員会」、「個人情報保護委員
会」、「技術品質委員会」、「ＣＳＲ委員会」を設置(Ｈ化粧品会社）。
＜事例２＞
取締役会の監督機能を補完し、経営の客観性・透明性を高める観点から、取締役会の諮問機関として「指名・報酬諮問委員会」を設置(Ｊ生命保険会社)。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項 目
４.誠実性と倫理観

チェックポイント(1)行動基準の遵守について、経営者が常にメッ
セージを発信し周知徹
底しているか(2)経営者自らが模範を示しているか(3)経営者がコンプライア
ンス違反を黙認してい
ないか

あるべき姿
・社長(経営執行責任者)
は最も影響力の大きい内部環境であり、社長の誠実性と倫理観が事業体のそれを決定付けると言っても過言ではない。
もちろん、長年培われた企業文化が社長の誠実性と倫理観に影響を及ぼすことは否定出
来ないが、それを変えることが出来るのは社長のみであると言える。
世の中のパラダイムが変化しており、事業体の活動に関してより強い誠実性と倫理性が求められている。

１０

内部環境

具体的な事例①経営者のメッセージ＜事例＞「経営方針発表会」、「創業記念式典」などで、経営者自らが経営理念・行動規範について説明(Ｉ電器メー
カー)②経営者の姿勢＜事例＞
社長が監査担当役員を兼務(Ｄ商社)

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項

目

チェックポイント(4)社員行動基準はあるか(5)社員行動基準では、法令順守以上の誠実性・倫理性を求めているか(6)基準が遵守されていることをどうのように確認しているか(7)コンプライアンスよりも利益優先の体質になっていないか(8)過大なインセンティブ制度となっていないか(9)懲罰規定はあるか、適切に機能しているか(10)コンプライアンス統
括部門はあるか、適切に機能しているか(11)社内通報制度はあるか、適切に機能してい
るか

内部環境

あるべき姿
・事業体のミッション・
業態に合った社員行動基準を作成する必要がある。

具体的な事例①行動基準の制定と周知徹底＜事例１＞
グローバル「行動基準」の作成と周知徹底、コンプラ
イアンスガイド等の整備(Ｋ電器メーカー)。
＜事例２＞「行動指針ガイドライン」の作成・配布及び研修の実施(Ｇスーパー)。

・社員行動基準を遵守しなかった場合の罰則規定を明確にして置く必
要がある。

①罰則規定
＜事例＞
社員就業規則に社員行動基準を遵守しなかった場合の罰則規定が明記されている(Ｄ商社他)。
①定期的な点検＜事例＞
コンプライアンス監査を定期的に実施(Ｏガス会社)

・社員行動基準の運用についての相談窓口、ライン以外の報告ルートを確保して置く必要がある。

①社内通報精度＜事例１＞
コンプライアンス統括部門、監査部、顧問弁護士等複数の目安箱を設置(Ｄ商社)。
＜事例２＞
目安箱の運営を外部の専門会社に委託(Ｃ食品会社)。

１１

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項 目
５.専門能力に対するコ
ミットメント

チェックポイント(1)従業員の専門能力は必
要十分か(2)必要以上に能力の高い人間を高給で雇っていないか(3)従業員の専門能力に応じた管理体制を構築し
ているか

あるべき姿
・経営者は、事業体の活動を行うに際して必要十分な専門能力の水準を職務毎に具体的に定める必要がある。また、従業員の専門能力に応じて監督の範囲を明確に定める必要があ
る。

１２

内部環境

具体的な事例①採用＜事例１＞
有能な人材を継続的に採用し定着を図ることが出来なかった場合のリスクを「事業等のリスク」のひとつとして有価証券報告書に記載(Ｌ銀行、Ｍ銀行、Ｎリー
ス会社、他)。
＜事例２＞
キャリア採用の促進等人材確保の多様化の推進(Ｂ商
社)。
②人事評価
＜事例＞
評価制度の中で職責に応じた専門能力・適性を明確化(Ｄ商社)

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項 目
６.組織構造チェックポイント(1)事業体の組織構造はどのようになっているか-中央集権か、分散的な組織か-階層構造か、マトリッ
クス組織か-地域別組織か、機能別
組織か(2)組織は事業体の活動に最適なものとなっているか(3)計画、実行、コントロール、モニタリングを担当する組織の位置付けは明確にされている
かあるべき姿
・組織構造がどのようになっているかは、重要な内部環境の構成要素であり、事業体の活動に最適なものとなっている必要がある。

(4)内部監査部門は経営者に直結しているか

・他部門の影響を受けない独立性が担保された
組織上の位置付けが必要である。

(5)報告ラインはどうなっ
ているか

１３

内部環境

具体的な事例①組織構造＜事例１＞
持株会社の下に、６つの事業会社と２つの共通機能会
社を置く体制(Ｐ光学メーカー)。
＜事例２＞
商品別営業組織を社内分社的に位置づけて管理(Ｄ商社、Ｅ商社他)① 内部監査部門の位置付け＜事例＞
監査部は社長直結の機関として社内的な独立性を確保(Ｐ光学メーカー、Ｄ商社、他)。
①報告ライン＜事例１＞
社内規定で報告ラインを明確に規定(Ｄ商社他)＜事例２＞
通常の報告ライン以外にヘルプラインを設置(Ｐ光学メーカー、Ｅ商社、他)。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第２章
項 目
７.権限と責任の付与

チェックポイント(1)権限付与は適切に行われているか(2)全ての役職員は与えられた権限に対する説明責任を負っていることを理解しているか(3)事業体の活動と権限付
与は整合しているか(4)権限行使が適切に行われているかモニタリン
グする仕組はあるか

あるべき姿
・事業体の構成員一人一人が与えられた権限と責任を理解し、それについての説明責任を負っていることをどの程度理解しているかは、
内部環境の重要な要素の一つである。
権限と責任、報告義
務の明確化及び周知徹底が重要である。

８.人的資源に関する基
準(1)明確な採用基準はあるか(2)教育プログラムはどうなっているか(3)評価制度・給与制度は適切か(4)インセンティブ制度・懲戒制度の内容・運用
は妥当か・採用、教育、研修、評価制度、カウンセリン
グに関する方針・実施要領なども内部環境に含まれる。
事業戦略と整合した人事制度を確立する必要がある。
過大なインセンティ
ブ・過剰なノルマは不正を誘発する可能性があるので注意を要す
る。

１４

内部環境

具体的な事例①規程の整備＜事例＞
全社規程の整備・見直しを行うとともに、ビジネスモ
デル・事業の基本単位である営業組織の責任者に対するガイドラインを作成し、責任と権限を明確化(Ｄ商社)。
② モニタリング＜事例＞
内部監査、自己点検等で権限行使が適切に行われているかをモニタリング(Ｄ商社他)① 教育・研修＜事例１＞「社内大学」を設立し、全社員教育・リーダー人材の育成を推進(Ｑ電気メーカー)。
＜事例２＞
全職員を対象とした実務知識・スキル向上の為のオー
プンカレッジ、若手早期育成・経営者育成・キャリア
開発の為の目的別研修等多岐に亙る研修プログラムを実施(Ｄ商社)

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章

目的の設定

第３章 目的の設定
項 目
１．戦略目的

チェックポイント(1)組織のビジョン／ミッションと整合的なハイレベルの組織のゴールは設定されて
いるか。

あるべき姿
・企業の存在意義を表す「ビジョン」「ミッシ
ョン」「経営目的」等
をマネジメントは設定する必要がある。

１５

具体的な事例①ビジョン／ミッション＜事例１＞
経営ビジョン：イメージングの領域で感動創造を与えつづける革新的な企業（Ｋ情報機器メーカー）＜事例２＞
企業理念：「共生」文化、習慣、言語、民族などの違いを問わずに、すべての人類が末永く共に生き、共に働いて、幸せに暮らしていける社会をめざします。（Ｃ情報機器メーカー）＜事例３＞
経営理念：「Social IN」生活者として社会と融合
し、価値観を共有しながら事業を通して新しい価値を提案し、人々の健康と幸せな生活を実現する。
（Ｏ精密機器メーカー）＜事例４＞
ブランドステートメント：自然の恵みが持つ抗酸化力や免疫力を活用して、食と健康を深く追求すること（Ｋ食品メーカー）＜事例５＞
存在意義：私たちは、お客様とともに、毎日の買い物の楽しさを大切にします。（Ｄ大手スーパー）

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項２．関連目的目

チェックポイントあるべき姿
・ビジョン／ミッションを基盤として、その達成をサポートするハイ
レベルの目標である戦略目的が設定される必要がある。

(1)事業体レベルおよび業 ・事業体、ビジネスユニ
ット、業務、機能、部
務活動レベルにおいて
署、個人それぞれのレ目的が設定されているベルで目的が設定されかる必要がある。

１６

目的の設定

具体的な事例②ビジョン・ミッションを実現させるための、さらに具体的な目的の文書化＜事例１＞
価格訴求から価値訴求へ
単に「安さ」のみを追求するのではなく、こだわりの商品開発や地域密着の仕入れを通じて、「高品質＋納得価格」の価値を提供する。
＜事例２＞
中規模都市の市場において、総合サービスを提供するヘルスケア・プロバイダーのなかで最大手ない
しは２番手となること。
＜事例３＞
ジャンルトップ戦略－特定の市場、領域に経営資源を集中して、その中でトップブランドの地位を確
立① 方針管理、目標管理等の方法による目的設定＜事例１＞
中国における販売拠点を本年度中に２箇所立ち上
げる。
＜事例２＞
商品デザインに関し多変量解析を用いた評価を実施することによって、客観的なデザイン評価資料を意思決定者に提供する。
＜事例３＞
趣味、年齢等で分類した一般消費者との座談会を定期的に行い、用意したアイディアの好感度を測定する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項

目

チェックポイントあるべき姿(2)それは戦略目的や戦略 ・関連目的は上位概念のと整合しているか
戦略目的や戦略と整合している必要がある。

(3)またその関連目的が理 ・目的が理解しやすく、また測定できるように解しやすく、測定しや設定されている必要がすいかある。

２−１．関連目的のカテゴリー(4)全ての従業員は達成す ・個人個人が関連する企
業体の目的を必要な範べき目的とその測定方
囲で理解しており、す法を理解しているか
べての従業員は、自分が達成すべき目的と測定方法を理解している必要がある。
・関連目的を３つのカテ(1)関連目的がカテゴリー
ゴリーに分類して文書ごとに分類されている化する必要がある。
か

１７

目的の設定

具体的な事例①関連目的と戦略目的の整合＜事例１＞
上位概念である戦略目的や戦略（中長期計画等）とリンクした形で記載するよう設定された関連目的
管理用の文書雛形①具体的な手段の明記、測定可能な数値化目標の設定＜事例１＞
具体的な手段：趣味、年齢等で分類した一般消費者との座談会を定期的に行うことにより
目的：用意したアイディアの好感度を測定する。
座談会回数：２回／半期、対象グループ数１０組
測定対象アイディア数：１５個①ルール化された全社的な仕組みによる目的設定＜事例１＞
全ての従業員が自分の目的・目標を定められた雛形に自分で記載。担当者は、上長とミーティングを持ち、目的・目標と測定方法をすり合わせている。
上長は、自分の目的と部下の目的にずれがないか、測定方法が妥当かをチェックしている。
①関連目的を記載する文書雛形＜事例１＞
関連目的を記載する文書雛形に「業務目的」「報告目的」「コンプライアンス目的」の欄が設けられている。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項 目
２−２．業務目的

チェックポイントあるべき姿(1)業務目標や収益目標お ・業務目標や収益目標および資源の損失に対す
よび資源の損失に対する防止策などを含んだる防止策などを含ん各業務目的が設定さだ、業務の有効性・効れ、文書化されている率性の向上に直結する必要がある。
ような目的が設定されているか(2)目的は、事業環境、産 ・その目的は、事業環
境、産業環境、経済環
業環境、経済環境の特境の変化に応じて見直有の要因を反映していされる必要がある。
るか(3)目的は、有効な業績評 ・目的の達成度合いが、価測定が可能か数値されており測定可能である必要がある。

(4)経営資源が業務目的に ・中長期計画、年度予算、人員計画が業務目連動して配分されてい的と矛盾していない。
るか

１８

目的の設定

具体的な事例①業務目的＜事例１＞
業績が伸び悩んでいる上位１０病院のリーダーとの対話を開始し、今年度中にそのうちの２つの病院との契約交渉をする。

①半期ごとの目的のローリング＜事例１＞
外部環境の変化により、業績好転の１病院はリストからはずし、新たにリスト化した１０病院を対話相手とする。
①目的の数値化＜事例１＞
外注管理の再構築により、改修、市場クレームの撲滅を図り、製品品質を向上させる。管理項目：部
品不良率、目標値：0.01%以下＜事例２＞
生産管理システムの再構築により、部品在庫圧縮を図る。管理項目：月次部品在庫金額、目標値:通常月 1000 万円以下、期末在庫 900 万円以下
①業務目的と経営資源の整合確認＜事例１＞
部門長は、業務目的と予算の整合を確認している。
＜事例２＞
全社の事業統括部門は、各部門の業務目的と中期計画の整合を文書と面談によって確認している。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項 目
２−３．報告目的

チェックポイントあるべき姿(1)戦略達成に必要な情報 ・報告目的に、正確な内が網羅的かつ正確に伝部用報告、外部用報告
達できるように目的がまたは財務情報や非財設定されているか。
務情報を含んでいる必
要がある。

２−４．コンプライア (1)事業体が行動する上でンス目的
最低限の基準となる関連する法令や規則に準拠するよう目的が設定されているか。

・上記情報は、マネジメ
ントが意思決定した
り、業体の活動や業績をモニタリングするのに役立つ必要がある。
・関連する法令や規則についてレビューした文書が存在する。その上で目的が文書化されている必要がある。

１９

目的の設定

具体的な事例① 報告目的＜事例１＞
新たに買収した会社に当社の基幹システムを導入
し、月末４営業日以内にマネジメント・レポートを
作成する。
＜事例２＞
新規に立ち上げたＡ販売会社は、損益速報と業務
月報を第 1 次管理部門に月末２営業日以内に報告する。
②情報の活用
＜事例１＞
取締役会、役員会をはじめ、重要な経営会議において報告目的として設定された情報が活用されている。
①関連法規や規則のレビューと目的の文書化＜事例１＞
関連法規のチェックリストによるレビューの結果、特にプライバシー保護のポリシーと実務を見直し、政府の規制やベストプラクティスをベンチマー
クとした管理を実施する。
＜事例２＞
関連法規について現地法律事務所と検討がなされ、その内容が文書化された結果、海外法規制／規格対応は現状の見直しを行い、仕組みを再構築する。また特に注意を要する重点地域を北米とし、重点商品を「xxx」とする。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項 目
チェックポイントあるべき姿
２−５．サブカテゴリ (1)内部的あるいは外部と ・３つにカテゴライズした関連目的の中を、更ーのコミュニケーションにサブカテゴリーに分の促進のために、３つけて管理する必要があの各関連目的のさらにる。
一部分に関して議論することができるようになっているか。
２−６．目的の重複(1)関連目的のカテゴリー ・関連目的相互のカテゴ
リー間の関係について（業務、報告、コンプ検討されており、目的
ライアンスの各目的）達成のための作業や費相互の関係を確認して用にダブりが無いこといるか。
などが説明できる。

３．目的の達成(1)（ＥＲＭは、業務目的 ・取締役会が目的の達成
状況をタイムリーに把達成の合理的な保証握できる必要がある。
は与えないが、）マ
ネジメントに対する監督機関としての取締役会が、目的の進捗状況をタイムリーに認識できるようになっているか。

２０

目的の設定

具体的な事例① 関連目的カテゴリーの特定の一部分の伝達＜事例１＞
広報部門は、報告目的全般のＥＲＭの有効性について外部に報告しようとしたときに、利用者に最も理解が得られると思われる財務報告に関するＥＲＭの有効性に絞って外部報告することを経営会議に提案した。
① 関連目的相互の調整＜事例１＞「部品在庫管理システムの改善により、各工場の品
種別部品在庫を月例経営会議に提供する。」という
経営管理部の報告目的は、Ａ工場生産管理部の業務目的である「在庫金額の減少」にも役立つ。以上は双方の部門で認識されており、システム改善のための費用や作業に無駄が無いよう調整されている。
①取締役会への関連目的の進捗状況の報告

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項 目
４．選択した目的

５．リスク選好

目的の設定

チェックポイントあるべき姿(1)選択した目的は、ミッ ・選択した目的はミッシ
ョンやビジョン、戦略
ションやビジョン、戦と方向性が合っている
略と方向性が合っていのか、マネジメント自るか身が確認する必要がある。

具体的な事例①目的とミッションの方向性の確認＜事例１＞
マネジメント直属のスタッフ部門による、目的とその上位概念であるミッションやビジョン、戦略との方向性の確認およびマネジメントによる承認(2)選択した目的がリスク ・また、マネジメントは選好と一貫性があるか目的がリスク選好と一貫性があるかを確認する必要がある。

① 目的とリスク選好との一貫性確認＜事例１＞
マネジメント直属のスタッフ部門による目的とリ
スク選好との一貫性確認およびマネジメントによる承認(1)ミッションやビジョン ・具体的なリスクの指針
がマネジメントによりの追求のために受け入提示されている必要がれるリスクの考え方、ある。
姿勢は設定されているか。

①リスクの指針＜事例１＞
高・中・低等大まかに定量化したリスク水準の表示＜事例２＞
成長ゴール、リターン、リスクのバランスを定性
的に表示
＜事例３＞
行動規範（指針）＜事例４＞
指示書などの但し書きなどによる注意事項「シェア拡大のための価格下落は現状の５０％ダウンまでＯＫ。ただし、シェア拡大に伴う顧客満足度
ダウンはＮＧ」

２１

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項

目

６．リスク許容度

目的の設定

チェックポイントあるべき姿(2)リスク選好は、戦略策 ・戦略に関連するリスクが事業体のリスク選好定に有効に利用されてと不整合なら戦略を変いるか。
更する必要がある。

具体的な事例①リスク選好との不整合による戦略変更＜事例１＞
インパクトがあり短期的な売上増が期待できるため営業サイドからの支持が絶大であるが、ブランドイメージが低下する可能性のあるテレビＣＭの中止。

(3)リスク選好は、資源配 ・リスク選好は戦略に反映され、この戦略を指分に有効に利用されて針として経営資源が配いるか。
分されている必要がある。

① 戦略を指針とした経営資源配分＜事例１＞
目指すべきブランドイメージ形成に有効と思われる、知的でさわやかなテレビＣＭ放映を決定。長期
的なテレビＣＭ費用の計上を決定。

(1)目的の達成に関連して ・リスク許容度が定量化
されて、その許容範囲許容しうる変動幅は定が明示されている必要
量的に設定されているがある。
か。

①測定項目（管理項目）、目標値、許容範囲がセットに
なった文書
＜事例１＞
マーケティング目的を達成するにあたって、以下のリスク許容度の範囲内で遂行すること。
測定項目
マーケットシェア
製品数量
採用スタッフ数
設置不良率

２２

目標値
25％
1500 台180 人
0.05％以下

許容範囲
23～30％-120～+300 台-15～+20 人＋0.002％

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第３章
項

目

チェックポイントあるべき姿(2)リスク許容度とリスク ・リスク許容度はリスク選好内に収まるよう設
選好の方向性を合わせ定される必要がある。
ているか。

２３

目的の設定

具体的な事例①提示されたリスク許容度のチェック＜事例１＞
上長は、部下が設定したリスク許容度を、マネジメントが提示したリスク選好内であるか否かチェック。
＜事例２＞
全社統括部門は、各部門から提示されたリスク許容度をチェック。最終的にトップマネジメントがチェック。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章

事象の識別

第４章 事象の識別
項
１．事象

目

チェックポイント(1)経営者は事業目標達成に影響を与えうる事
象を、見落とすことなく考慮しているか。

(2)対象とする事象は、・潜在的影響がプラスか
マイナスかにかかわりなく、とりあげているか。
・内部から影響を受ける
もの、外部から影響を受けるもの双方をとりあげているか。

あるべき姿
・経営者は、事業目的に影響を与えうるすべての事象を考慮し、潜在的にマイナスの影響をもつ事象はリスク評価と対応を行い、プラスの影響をもつ事象はビ
ジネス機会として捉える必要がある。

具体的な事例① ② 重要リスクの識別＜事例１：カナダのＨ社（電力会社）＞
ＥＲＭ部門を設置し、(ａ)企業の最も重大なリスクの識別(ｂ)優先順位付け･分析･監視するリスクマップの設計(ｃ)各事業単位のリスクマネジメントの支援を行っている。
(ａ)のリスク識別の方法：
隔年での企業全体の戦略策定時に ERM 部門が各事業部門に対し年度事業計画策定とあわせて主要リスクの提出を要請する。ERM 部門では各事業部門から提出された主要リスクをレビュー･集計し各主要リスクの影
響と確率をグラフ化し、取締役会に報告する。
＜事例２：ドイツのＩ社（半導体製造メーカー）＞
各事業部門が毎月更新している２年先までの成果予測の添付資料として、トップ５のリスク・機会
報告書を義務付けている。上級経営陣はこれら識別されたリスクに注目し理解する。

２４

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章
項

目

チェックポイント

あるべき姿

事象の識別

具体的な事例＜事例３：アメリカのＷ社（小売業）＞
社内の種々の機能から横断的に抽出された意思決定のキーマンに対してサーベイ調査を実施し、会社のビジネス目的にとって最重要リスクのトップ６を調査する。
次に、ＥＲＭ委員会はそのデータをリスクマトリックス（通常５０のリスク）に組み込み、回答を２
０から３５のリスクカテゴリーに併合する。
ＥＲＭ委員会は社内の種々な機能から選ばれた数人で構成され、内部監査担当副社長に支援され、リ
スクマネジメント担当上級取締役が共同議長を務めている。
この情報は、ＥＲＭ委員会がサーベイ調査データ
をより分けて、適切に情報を分類した後、リスクワ
ークショップ参加者に提供される。
<事例４：日本のＴ社（ガス会社）>「リスク管理推進セクション」（監査部に設置）が、年末に「経営が関与すべき重要リスク」の変動とその対応状況について集約し、経営会議にその結果を報告。
経営会議および取締役会により「経営が関与すべ
き重要リスク」の再確認および改訂が、毎年、定期的に行われる。

２５

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章
項 目
２．影響を及ぼす要因

チェックポイント(1)戦略導入や目標達成に影響を及ぼす要因
を、事業体外部の要因と事業体内部要因とに分けて捉えているか。

あるべき姿
・経営幹部による全社的な事象識別のディスカッションがなされ、戦略導入や目標達成に影響を与える重要な事象が特定される必要がある。このときに、すべての外部要因と内部要因が認識され、かつ事
業体レベルと事業活動レベルでの「事象識別」の整合性が図られる必要がある。

(2)それぞれの要因から影響を受ける事象を特定するときに、事業体レベルのみならず、事業活動(販売、製造、マーケティング等)レ
ベルで特定しているか。

・事業活動レベルの「事象識別」にあたっては、事前に、まず各事
業体内でのディスカッ
ションが行われて、その結果が全社的ディス
カッションに反映される必要がある。

２６

事象の識別

具体的な事例① 経営幹部による重要リスクの特定＜事例１：日本のＴ社（ガス会社）＞
・リスクマネジメント検討プロジェクトチームから、
全本部、全関係会社に、グループ全体の重要リスクの調査を依頼。
・調査対象リスクは、会社全体の経営、各本部の事業
運営、各関係会社に重要な影響を及ぼす可能性のある『重要リスク』に限定。
・重要リスクの例：<a>製造・供給支障事故リスク<b>自然災害リスク<c>原料調達リスク<d>市場リスク<e>天候の変動リスク<f>規制緩和リスク<g>新規事業への進出リスク<h>情報漏洩リスク<i>基幹システムの停止・誤作動リスク<j>環境リスク、コンプライアンスリスク<k>ＣＳ・お客様対応リスク① 事業体内でのディスカッション＜事例１：日本のＴ社（ガス会社）＞
リスクの調査方法：
・各本部・関係会社は、自らリスクの把握、評価、優先順位付けを行い、対応策と共に報告。
＊所定の報告シートを使用＊影響度と発生頻度を大・中・小の３段階で自己評価
・プロジェクトチームがリスクを調査するのではな
く、各本部・関係会社が自分達で調査して報告。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章
項 目
３．事象識別の手法

チェックポイント(1)「事象識別」のために適切な手法が、定期的、継続的、組織的に用いられているか。

(2)過去の事象に着目するとともに、潜在的な未来事象も考慮してい
るか。

あるべき姿
・全部門/グループ会社の各現場で最低限年１回、「事象識別」のためのグループディスカ
ッションが行われ、その結果が全社的に集約される必要がある。
・グループディスカッシ
ョンならびに全社集約のときに、様々な事象
識別のための手法が組み合わされて、より確
実な事象識別が行われる必要がある。
・過去に発生した事象を分析し、将来発生する事象を予測するとともに、新規事業について
は事業目標達成のために未来事象を予測す
る。

２７

事象の識別

具体的な事例① グループディスカッション＜事例１：日本のＯ社（金融サービス業）＞
・毎年８月に、コンプライアンス部の指導により、全部門、全グループ会社の各現場で、「コンプライア
ンス研修」というチームリーダー主導によるグルー
プディスカッションが行なわれ、コンプライアンス
に関するリスクが洗い出され対応策が協議される。
・上記の事例は‘コンプライアンス’のリスクに限定していること、「事象識別」ではなくてリスクの抽出であること から、こうした活動を発展させて、すべての事象の識別を行うようにするとよい。

① 過去の事象に着目＜事例１：大量の自動車を有する企業＞
過去の事故の報告をまとめたデータベースを維持管理している企業では、過去データの分析を通して、件数および金額的に異常な割合の事故が特定のビジネスユニット、特定の地域あるいは特定の年齢層の運転手に関連していることを発見する場合がある。この分析により、マネジメントは事象の根底にある原因を特定することができ、必要な行動をとることができる。
② 新規事業に関わる未来事象の予測＜事例２：マーケティング戦略＞
新たなマーケティング・プログラムや広告プログラ
ムの対象となった市場における販売量をモニタリング
し、その結果に基づいて経営資源を再配分する。また、競合他社の価格構成を追跡調査して、特定の閾値に達した場合に自社製品の価格変更を検討する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章
項４．相互依存目

チェックポイント(3)積み上げ方式による事象識別も行い、トッ
プダウン方式による事
象識別の手法も用いて
いるか。

あるべき姿
・積み上げ方式による事
象識別を行うことと併せてトップダウン方式
による事象識別も行う必要がある。

(1)経営陣や役職員は、事象がどのように影響しえるのか、という相関関係を理解しているか。

・全部門/全グループ会
社の各現場で最低限年１回、事象識別のためのグループディスカッ
ションが行われ、その結果が全社的に集約される必要がある。
・このときに、各事象の相関関係が議論され、理解され、評価される必要がある。
・相関関係の評価の結
果、リスク管理を注力
すべき分野について最善の判断がなされる必要がある。

(2)相関関係を評価する
ことによって、リスク管理を注力すべき分野について最善の判断をしているか。

２８

事象の識別

具体的な事例① 積み上げ方式＜事例１：ソフトウェア開発プロジェクトに着手している企業＞
ソフトウェア開発プロジェクトに関連する一般的事象を示す詳細リストを利用する。
① 事象の相関関係の事例＜事例１：中央銀行による公定歩合の変更の影響＞
為替レートに影響を与え、結果として、企業の外貨建て取引における損益に影響を与える。
＜事例２：投下資本削減の意思決定による影響＞
流通管理システムの更新は延期され、事業停止
時間の増加と運営コストの上昇をもたらす。
＜事例３：マーケティング研修の拡大による影響＞
顧客が繰り返し注文する頻度と注文量の増加という効果をもたらす可能性がある。
① 相関関係の評価＜事例１：金融機関での「返済の延滞」＞
貸付金返済の延滞と最終的貸倒れとの間の相関関係および早期対応によるプラス効果を長期間にわたり認識してきた。支払パターンをモニタリングすることで、タイムリーなアクションが可能となり、これにより貸倒れの発生可能性の軽減が可能となった。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章
項 目
５．事象の分類

チェックポイント(1)「事象識別」を行う
ときには、組織水平的（組織毎、組織間に存在しえる事象）に事象を捉えるとともに、組
織垂直的（職階毎、職階間に存在しえる事
象）にも事象を捉えているか。

６．リスクと事業機会の区別(1)事象の中で、潜在的にマイナスの影響をもつものがリスクとして認識され対応策が講じられているか。

あるべき姿
・全社的に事象を集約する際に、水平的・垂直的の両面から検討することにより、事象の相関関係の理解を深め、潜在的ビジネス機会やリスクをより正確に把握する必要がある。
・また、「事象識別」をより網羅的に進める必要がある。
・全社的に事象を集約した後、潜在的にマイナスの影響をもつものはリスクとして認識され対応策が講じられる必
要がある。

２９

事象の識別

具体的な事例① プロセスマップによる事象の分類＜事例１：医療研究所＞
血液サンプルを受取って試験するプロセスを図示する。
プロセスマップを使うことにより、この研究所では、サンプルのラベル付けや、手渡し業務や、作業者の交替制などを識別することで、入力、タスク、責任に影響を与える可能性のある要因の範囲を考えることができる。

① 顧客意識調査・満足度調査＜事例１：ファーストフード会社＞
定期的に、顧客の２つの面について調査している。一つは顧客の消費行動/好みであり、もう一つは、レストランの中で受けるサービスの満足レベルである。
最近実施した調査では、遺伝子組替え食品から離れる一方で、有機栽培の食材を好む傾向があることがわかった。
この情報から、経営トップは、新製品の提供と市場調査を含む、戦略と目標の修正を行うという判断をした。
同様に、調査の結果、ある特定のレストランで満足度のレベルが下がっているという結果がで、経営ト
ップは、この事業に関係する根底に潜む問題を調べることにした。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第４章
項

目

チェックポイント(2)潜在的にプラスの影
響をもつ事象について、・事業機会として捉えられ、事業戦略や目標設定にフィードバ
ックされているか。
・マイナスの影響を事象と相殺されることがリスク評価やリス
クコントロールのプロセスで考慮されて
いるか。

あるべき姿
・潜在的にプラスの影響をもつ事象について
は、事業機会として捉えられ、事業戦略や目標設定にフィードバッ
クされる必要がある。
・また、リスク評価やリ
スクコントロールのプ
ロセスにおいて、マイナスの影響をもつ事象と相殺されることが考慮される必要がある。

３０

事象の識別

具体的な事例① 新規事業の業績予測による事業戦略の見直し＜事例１＞
Ａ，Ｂ二つの新規事業に同時に進出するときに、３年後にＡ事業は１００億円黒字となるが、一方Ｂ事業ではが７０億円の赤字となるとする。その場合にＡＢの事業を合算すると利益は３０億円となる。こうした場合には、Ａ事業にはさらに経営資源を投入するが、Ｂ事業からは撤退するという意思決定を行う。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章

リスクの評価第５章 リスクの評価
項 目
１．リスクの評価の背景

チェックポイントあるべき姿(1)事業体に影響のある ・リスクは事業体ごとに固有のものである。し全てのリスクを評価してたがって、事業体に重いるか要な影響を与える可能性のある、全ての潜在的事象にかかるリスクを評価する必要がある。
・発生を想定している事
象も、発生を想定していない事象のどちらにも不確実性は存在しており、戦略の実行や目的の達成に影響を及ぼす可能性を有している。
したがって、想定している事象の影響度および、想定していない
事象の影響度の両方を検討する必要がある。

具体的な事例① 全社的リスク調査票の作成＜事例１＞
影響の重要度をみるため、リスク調査票の項目の中に、リスク名、発生頻度、影響度、想定される最悪の事象、関係部署、発生にいたる内的外的要因、
現在のコントロールと今後の対策、モニタリングの必要性を挙げている。
＜事例２＞
調査票の付随資料として、サンプルリスク一覧を作成して各組織に配布した。一覧表には大分類として外部環境、内部環境、業務プロセスを、小分類として外部環境では自然災害、犯罪、法律、市場、顧客などを挙げ、さらに小分類項目に関連するリスクを例示している。
＜事例３＞
潜在的事象のうち、長期的な視野から事業体に影響のある事象として、大地震災害、地球温暖化、環境汚染、高齢化および少子化、海外拠点における文化の相違や対日感情、会計制度の変更、国際標準やデファクトスタンダードを取り上げた。
② リスク総括部署の設置＜事例１＞
社長直轄のリスク委員会を設置し、関連する部門
長を委員に任命するとともに、関連部署から数名を実務担当メンバーに選出した。

３１

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項 目
２．固有リスクと残余リ
スク

チェックポイントあるべき姿(1)固有リスクおよび残 ・固有リスクと残余リス
クの違いが明確に理解
余リスクの意味を理解しする必要がある。
ているか

リスクの評価

具体的な事例① リスク定義を行った書類＜事例＞
固有リスクを何の対策も講じていない状態でのリ
スク、残余リスクは対策を講じた後になお存在する
リスクと定義し、具体的な事例として火災保険を付保する前が固有リスクで、付保した後に残ったリス
クが残余リスクと解説している。
② リスク関連用語集の配布＜事例＞
社内のリスクに関して認識を共通化するために、用語集を配布している。
③ リスク評価説明会の実施＜事例＞
リスクアセスメントに不慣れな者が多いので、実務担当者を対象に説明会を開催して固有リスクと残余リスクの説明を行った。

(2)固有リスクと残余リ ・固有リスクを評価し、対策の効果を考慮した
スクそれぞれについて、上で残余リスクを評価
リスク評価を実施していする必要がある。
るか

３２① リスク評価実施手順書＜事例１＞
固有リスクと残余リスクを評価しているが、残余リスクのほうが現場にとってリスク水準を理解するのに適しているので、アンケートは残余リスク中心の記載としている。
＜事例２＞
固有リスクが不明確となっている場合には、残余リスクに現在の施策効果を加えて、固有リスクを推定する手順としている。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項 目
３．発生可能性と影響度の推定

チェックポイントあるべき姿(1)発生可能性および影 ・リスクの発生可能性はある事象が発生する可響度を評価する際に、適能性を意味し、影響度
切な尺度を設定しているはその事象が発生したかときの影響を意味する。発生可能性を横軸とし、影響度を縦軸としたリスクマップを作成してリスクを俯瞰的に把握することが重要である。
・マネジメントはリスク
が戦略や目的との整合性をもって評価される
ため、短期から中期の時間軸でリスクに焦点を当てる傾向が強いが、長期の時間軸も認識している必要がある。

３３

リスクの評価

具体的な事例① リスクマップの作成＜事例＞
全ての部署に対して調査を行ったところ４００のリスクが集まった。各リスクについて事務局が再評価を行って１１のリスクを重点管理リスクに選定し、これをリスクマップ上に図示した。
② 発生可能性および影響度の社内統一基準設定＜事例１＞
発生可能性について次の５段階評価とした。５レ
ベルは２０年に１回、４レベルは年に１回、３レベ
ルは月に１回、２レベルは週 1 回、１レベルは日々発生するものとした。
＜事例２＞
過去３年の経常利益との比較から、１０億円以上を第１ランク、１億円以上を第２ランク、１千万円
以上を第３ランク、１０万円以上を第４ランク、１０万円未満を第５ランクとした。
＜事例３＞
工場が全国に分散しているので、操業停止をレベ
ル１、製品出荷遅延をレベル２、その他の操業上ト
ラブルをレベル３として影響度を評価している。
＜事例４＞
発生可能性と影響度を定めるには会社全体を管轄する部署の参画と判断が不可欠と考え、経営企画部
において統一基準を設定している。
＜事例５＞
リスクをポイント制で示し各部署のリスクをポイント集計している。法務リスクのように多くの部署に跨って発生するリスク評価に活用している。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項 目
３−１．データの発生源

チェックポイントあるべき姿(1)外部データや過去の ・過去の事象の観測デー
タ（データソース）
内部データは有効に利用
は、データ量が十分でされているかあるなど客観的にみて信頼性の置けるものである必要がある。
・リスクを数字に基づいて判定したり、リスクを計量化して把握する
ためには内部データを蓄積しておく必要がある。

リスクの評価

具体的な事例① 外部データの利用＜事例１＞
Ａ銀行ではオペレーショナルリスクについて内部
データの蓄積に乏しいため、海外の有力業者よりデータを購入している。
＜事例２＞
ある損害保険会社では過去５００年間に発生した、被害を伴う４００回の地震に関するデータを購入し、これを基に損害保険料を計算している。
＜事例３＞
融資先のデフォルト確率を信用度のランク毎に求めているが、格付会社の格付と格付会社が公表している累積デフォルト確率を利用している。
＜事例４＞
業界で製品の歩留率を集計しているので、過去５年間の歩留率データを活用している。
② 内部データの利用＜事例１＞
各社は業界に各工場毎の設備稼働率を報告しているので、この集計データを基に設備の標準的な稼働率を求めている。
＜事例２＞
事務リスクやシステムリスクについて、損失を伴う事象が発生した場合に、リスク統括部署に報告させる仕組みを構築して、内部データを蓄積し活用し
ている。

３４

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項 目
３−２．予測４．評価手法

チェックポイント(1)不確実性を予測する
際に統計的手法から求めた結果を過信してはいないか、また、人間の行動心理を考慮しているか(1)定性的評価および定量的評価が実施され
ているか

あるべき姿
・不確実性を予測する場
合には、内外で生成された経験的データを活用することが有効である。
・統計的な発生確率が同じでも利益獲得行動と損失回避行動とは異なる。したがって、人間の行動心理を考慮した上で判断する必要がある。
・リスク評価は定性的手法と定量的手法の組み合わせであり、企業の経営目標とリスク特性に応じて、適切な評価方法が使用されていることが必要である。

３５

リスクの評価

具体的な事例① 予測の修正＜事例１＞
春物衣料品の販売予測を販売責任者の経験的判断から行っていたが、若手担当者や消費者の意見も取り入れて、販売予測を行い商品陳腐化による不良在庫リスクを抑えている。
＜事例２＞
過去５０年間の降雪状況を統計的に求めたが、今後の降雪予想は地球温暖化の影響も加味して求めている。

① 定性的評価の実施＜事例＞
Ａ社は厳密な評価を行うことは費用対効果の点か
ら定量的評価よりも定性的評価を重視するとともに、リスク対策に時間をかける運営を行っている。
② 定量的評価の実施＜事例＞
Ｂ社では全てのリスクを定量的に評価しないと公平性が保たれないしリスク評価も明確にならないという意見が多く、定量的評価を行っている。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項

目

チェックポイント(2)事業単位に適した方法が用いられているかあるべき姿
・あらゆる事業単位に対して共通する評価手法を使用する必要はない。むしろ組織が必要とする精緻さや文化を反映した手法を選択する必要がある。

リスクの評価

具体的な事例① 事業分野や組織毎に評価手法を決定＜事例１＞
コアである事業分野は定量的評価を実施しているが、その他の事業分野は定性的かつ簡易な評価を行
っている。
＜事例２＞
事務ミスなどのオペレーショナルリスクについて
は社内データが不十分であり、定量化することは困
難なので定性的な手法を利用している。
② 関係会社をランク付けして実施＜事例＞
関係会社を重要度に応じてランク付けし、重要度の高い会社についてはリスクを定量的に評価している。

３６

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項

目

チェックポイント(3)具体的な評価手法は妥当なものであるか

あるべき姿
・リスクの実態を正しく計測ないし表現するた
めに、リスク評価方法
は一般的に妥当と認められる手法を採用している必要がある。

リスクの評価

具体的な事例① ＶａＲによるリスクの計量化
注：ＶａＲ（バリュー・アット・リスク）とは保有している資産や負債の価値にどれだけの損失を被る可能性があるか、
統計的手法を用いて金額で表わしたもの。

＜事例＞
Ａ銀行では、市場リスクや信用リスクは保有期間１年で信頼水準９９％によるＶａＲを計算し統合リ
スク管理を行なっている。
② ストレステストの実施
注：ストレステストとは悪い影響と考える状況を想定し、どの程度の悪影響を与えるかを算出すること。

＜事例１＞
債券を保有しているので、金利上昇リスクの影響度を算出する際に金利が１％上昇した場合のストレ
ステストを実施している。
＜事例２＞
Ａ社では原油依存度が高いので原油価格が２倍になった場合の影響を計算している。
＜事例３＞
Ｂ社は希少金属を原料としているが輸入量が半分になった場合の影響を計算している。
③ シナリオ分析の実施
注：一定のシナリオを想定して、どの程度の悪影響を与えるかを算出すること。

＜事例＞
今後５年間で、当社の市場シェアが３０％から２０％に低下する一方で、ライバル社のシェアが１
５％から２５％にアップしトップシェアが入れ替わった場合に生じるリスクを把握している。

３７

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第５章
項 目
５．事象間の関係

チェックポイント(1)リスク評価において事象の相関関係を考慮して実施されているかあるべき姿・事象が連続して生じることによって重大なリスクとなる事象があるか検討する必要がある。
・また、事象の相関関係が考慮されており正しくリスクを把握できる必要がある。

リスクの評価

具体的な事例① 相関を考慮した運行＜事例１＞
取引先Ｂ社はＡ社の子会社であり営業面でも関連が深いため、Ａ社が倒産するとＢ社も連鎖倒産する
リスクが高く、この２社に対する与信を合算して管理している。
＜事例２＞
倉庫が老朽化しているが、引火しやすい原料を保管しているため災害に遭うリスクが高いと判断して対応策を検討している。
＜事例３＞
特定の地域に工場が集中しているが、巨大地震発
生の際には同時に操業停止となるリスクがあるため、集中配置を大きなリスクと認識している。
＜事例４＞
Ａ商品群とＢ商品群は品質が似ており、対象とする顧客層も同じであることから、同時に不良在庫となるリスクが高い商品として位置付けている。
② 相関を統計的に計算＜事例＞
米国株式と日本株式に分散投資しているが、両者の連関性が高まっているため統計的に両者の相関係数を計算するようにしている。

３８

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第６章

リスクへの対応

第６章 リスクへの対応
項

目

＜参考＞
リスクへの対応のカテゴリー

チェックポイント(1)リスクへの対応策を決定しているか

あるべき姿
・対応策は、以下の４分
類のいずれか、または組合せを選択すること。
①「リスク回避」
リスクを引き起こす事
業活動から撤退こと

具体的な事例①新しい地域への市場拡大の断念、製品ラインの撤退、部門売却など。
＜事例：新規事業の市場選択＞
新規事業の売上拡大を図るため、地方販売を企画するも、販売管理費の大幅増加等が懸念されるために断念する。

②「リスク低減」
リスクの発生率または影響度、もしくはその両方を低減すること。

①発生率の低減＜事例１：購入部品の品質向上策＞
市場クレームの発生を低減のため、仕入先と定期的に「品質向上会議」を開催する。
＜事例２：管理システムの対応策＞
管理システムの誤動作により、利用不能を防止するため、エラー自己検出の機能を追加すると共に、
バックアップ・システムで２重化する。
＜事例３：不正輸出の予防策＞
東南アジアに進出した海外工場へ組立て部品を輸送する場合、不正輸出を予防するために、「コンプライアンス・プログラム（輸出法令遵守規程）」の制定、輸出審査部門の設置等の管理体制を強化する。
②影響度の低減＜事例：自然災害への対応策＞
大規模地震の発生に備え、工場の耐震診断を実施
し、耐震補強工事を行う。

３９

注：「リスク回避」は、対応策にかかるコストが期待便益を超過する場合、あるいは、許容レベルまでリスクの影響度や発生率を低減できる対応策が見出せない場合に選択する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第６章
項

目

チェックポイント(2)全てのリスクに対し、対応策の選択肢
は、明確になっている
かあるべき姿③「リスク共有」
リスクを転嫁、あるいはリスクの一部を共有することで、発生率や影響度を低減すること。
④「リスク受容」
発生率や影響度に影響を及ぼすアクションを一切とらないこと。

・対応策が明らかでない
リスクには、広範囲の調査や分析作業を行うことが必要である。

４０

リスクへの対応

具体的な事例①ヘッジ取引、保険商品の購入、事業活動のアウトソー
シングなど。
＜事例：外国通貨建ての取引＞
為替相場の変動リスク回避の為、為替予約取引や通貨スワップ取引によりヘッジを行う。
①固有のリスクが既にリスク許容度と同レベルである場合に採用する。
＜事例：設備故障のリスク対応策＞
保険見積額（「リスク共有」）が、設備の新規調
達価格を超過すると判断し、「リスク受容」を選択する。
①重要なリスクは、複数の潜在的な対応策を検討し、その結果を基に、選択する。
＜事例：ブランド価値のリスク対応策＞
競合他社の市場戦略・売上成長率等を調査・分析し、利用できる複数の対応策を明らかにした上で、選択する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第６章
項 目
１．選択し得るリスク対応策の評価

チェックポイント(1)選択する対応策は、
事象にどのような相互作用を及ぼすかを評価
しているか

あるべき姿
・残存リスクの水準は、個々の対応策（もしくは組合せた対応策）に
より事業体のリスク許容度の範囲内とする必要がある。

リスクへの対応

具体的な事例①残存リスクが許容度範囲となる最適な対応策を選択する。
＜事例１：ＰＬ（製造物責任）訴訟の対応策＞
生産工程の品質改善活動により「リスク低減」を図ると同時に、不良品流出による住民訴訟リスクを想定して、ＰＬ保険加入「リスク共有」の組合せで対応する。
注：ＰＬ保険の契約内容は、対象商品や販売市場に漏れが生じない様、事業戦略・販売戦略等から、定期的に見直すことが重要である。

１−１．リスクの発生可能性や影響度に対する効果の評価(1)対応策を選択する場
合、発生率や影響度にどの様に影響を与えているか評価しているか

・一つ一つの対応策が、発生率や影響度に異なる影響を与えていることを理解する必要がある。

４１＜事例２：対応策選択の見直し＞
新規設備の故障による操業停止リスクに対し、全社の予防保全体制を整備し、設備の安定稼動が実現できた（「リスク低減」）ので、保険加入「リスク共有」を停止し、資金を合理化投資へ振り向ける対応を選択する。
＜事例：コンピュータ・センターの地震対応策＞
事業継続計画（ビジネス・コンティニュイティ・プラニング）は、地震災害の影響度を低減することには効果があるが、地震の発生率には、効果がない。
注：事業継続計画とは、災害や事故等の発生に伴って通常の事業活動が中断した場合に、可能な限り短い期間で、事業活動に重要な機能を再開できるように、事前に計画・準備し、継続的メンテナンスを行う 1 つのプロセスをいう。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第６章
項 目
１−２．費用対効果の評価

チェックポイント(1)代替策を選択する場
合、費用対効果を評価
しているか

あるべき姿
・リスク対応策の代替的選択肢を実行した場合の費用対効果を評価する必要がある。

リスクへの対応

具体的な事例①費用対効果の評価は、異なった精度で算出される。
＜費用サイド＞(計量化が容易な費目）
a.対応策の実行に関連するすべての直接費
b.実務的に計測可能な間接費
c.他（経営資源の使用に関する機会費用）(計量化が困難な項目)
a.内部環境の構成要素（時間や労力、倫理観に対するコミットメント、従業員の職務遂行能力 等）
b.外部の情報収集（顧客の嗜好に関する市場情報等）＜効果サイド＞a.リスク対応策毎に、数値的算出（定量評価）が困
難な場合、ランク別評価（定性評価）で代替している。
注：ＥＲＭの効果は、不良品流出による顧客離れや信用失墜による売上減少、自然災害による操業停止や復旧費用の発生等を未然に防止すること（または、リスクが顕在した場
合、最少の費用で対処すること、あるいは、損害を最少にすること）で、企業価値の喪失を防ぐことにある。

・リスク対応策は、個々のリスク毎に、または、ポートフォリオ毎に、費用対効果を分析・評価する必要がある。

４２①費用対効果の分析には、追加的資本（投資収益率やキャピタル・アット・リスク）やインフレ・割引率・感応度分析などの要素を検討する企業もある。
②保険加入による「リスク共有」の場合、相互作用する
複数のリスクを、包括契約として組入れる企業もある。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第６章
項 目
１−３．対応策の選択肢に含まれる
事業機会

２．選択された対応策＜参考＞
相互作用プロセス

チェックポイント(1)プラスの潜在的影響度を持つ事象が、対応策の中に発見できるか(1)対応策により、残存リスクが許容度の範囲内に収まることを再評
価・確認しているか(1)マネジメントが意思決定を完了する前に、代替対応策自身から生じるリスクを検討しているか

リスクへの対応

あるべき姿
・発見できる場合、事業機会として、戦略プロ
セスまたは目的設定プ
ロセスにフィードバッ
クする必要がある。

具体的な事例＜事例：新規事業への参入機会＞
製造会社において、環境リスクへの対応策で確立した公害処理技術を、自社の基盤技術と融合し、環境ビ
ジネス分野へ新規参入する。

・残存リスクが、リスク許容度の範囲内に収まることを検証するため、実行計画を立て、対応策の有効性を評
価・確認する必要がある。
・相互作用プロセスの観点から、代替対応策を選択することによる新
たなリスクを検討する必要がある。

＜事例：脆弱性診断の実行計画＞
ネットワークシステムの不正アクセスを防止するた
めに、脆弱性診断の実行計画に基づき、セキュリティ
レベル（残存リスク）を定期的に評価する。

４３

注：既存のリスク対応策が最大限の有効性を持つに至った場合
や、改良しても、影響度や発生率へほとんど変化をもたらす
可能性がない場合、事業機会となる。

注：資源の制約、将来への不確実性、事業活動の固有の制約等か
ら、一定水準の残存リスクは、常に存在することを認識すること。

＜事例：原材料の価格上昇の場合＞
顧客へ値上げ転嫁の契約を採用するという代替対応
策を選択する場合、潜在的にあった顧客不満や顧客離れが表面化し、売上が減少するリスクの可能性について事前に検討する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第６章
項 目
３．ポートフォリオの視点

チェックポイント(1)事業体の対応策は、ポートフォリオとして検討しているかあるべき姿
・最高責任者は、事業体のリスク・プロファイ
ルが事業体の目的とそのリスク選好にバランスしているかを決定する場合、リスク対応策
をポートフォリオとして捉える必要がある。
注：リスク・プロファイルとは各種情報やデータ分析結
果から、事象の問題及びその内容を説明した書類や一覧図表をいい、リスク推定や対応策を検討する上での基礎情報となる。

リスクへの対応

具体的な事例＜事例１：連結経営を意識した対応＞
親会社単独ではなく、グループ企業集団全体で、各種委員会を設置し、対応策の審議・決定を実行している。
(1)企業行動倫理委員会(2)コンプライアンス委員会(3)情報セキュリティー委員会(4)リスクマネジメント委員会(5)危機管理委員会(6)ＣＳＲ委員会
等＜事例２：取引先の連携による効果的対応＞
事業体全体の環境リスクへの対応策として、取引先の廃棄物処理業者等と協力会を設立し、作業の標準化や情報の共有化により、リサイクル技術の向上等を図っている。
注：リスク対応策をポートフォリオとして捉えると、累積的な効果を反映すると同時に、ポートフォリオ内に存在する相殺作
用(*)も反映することができる。
注(*)相殺作用とは、他の事象のマイナス作用を緩和するような事象や事業機会を表す事象を意味する。

４４

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章

統制活動

第７章 統制活動
項 目
１．リスク対応策との統合チェックポイント
あるべき姿
具体的な事例(1)経営が決定したリスク ・リスク対応は、リスク①リスク対応方針との統合が見られる統制活動の為の組対応方針との統合が見 対応方針、「回避」「軽 織/業務上のインフラストラクチャー
られる具体的統制活動 減」「共有」「受容」の・リスクマネジメント・マニュアルにおける種が業務上実行されてい いずれか、と統合された別リスクとポジション限度、許容損失限度、取扱可
るか。
能商品、参加可能市場の取り決めと、商品取扱プロ
統制手続きが設計され、シージャーの存在運用される必要がある。
・リスク対応結果に対する有効性評価【注：「チェック項目」の趣【注：「あるべき姿」の理解：・業務担当部署における日次チェック
旨】
有効な統制手続】・リスクマネジメント部署における牽制
統制活動は企業目的とそれに関連して発生するリスクと強い連携関係が必要であるため、例えば、「軽減目的」で採用されているリスク対応案
は、企業のビジネス目的を達成しようとしている業務プロ
セスの中に組み込まれているかどうかについて、確認する必要がある。

リスク対応方針との統合が見られる具体的統制活動の例
リスク

リスク対応方針

具体的統制活動例

統合が見られない活動例

燃料価格
変動リス
ク

リスク軽減

先物取引によるヘッジ

異なる銘柄、受渡日の先物取
引締結による不十分なリスク
軽減効果

品質低下
リスク

リスク軽減

資材標準化による品質ばら
つきの低減

極端な標準化による顧客ニー
ズ実現の柔軟性欠如、低品質資材の大量調達等による方針に沿わないリスク軽減活動

例えば統制活動というと、管理本社部門の要求（「数字は正確か」等）を満たすもの（「財務諸表の正確性」を目的とするリスクマネジメント）という印象が強いかもしれないが、統制活動を通じて
現場営業部門の目的・目標を達成するためのメカニズムとしても当然のように機能している状態（「戦略」「業務プロセス」「コンプライアンス」を目的とするリスクマネ
ジメント）であることをいう。

４５②統制活動例－回避＜事例１：銀行の運用戦略例＞「受容」対応の事例として、株式先物取引等での価格変動リスクに対するリスク対応が挙げられる。別途「モニタリング」を主体とする統制活動が採用され、ポジションクローズ方針を明確に特定し、予め定められたレベルに達した時点で「回避」（損があってもクローズ）することが決定されていることが多い。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイント

あるべき姿
・回避：リスクからの撤退
・軽減：リスク発生率、影響度、もしくはその両方を軽減させる動き
・共有：リスクの転嫁、一部を分散する動き（保険・ヘッジ取引等）・受容：リスク発生率、影響度に影響を及ぼす動きを一切とらないこと

統制活動

具体的な事例③統制活動例－軽減＜事例２：自動車部品製造会社の例＞
製造品質低下リスクに対するリスク対応は「軽減」。統制手続を品質上発生し得るリスクに対する認識を共有することで適宜見直す。また、修正されたマ
ニュアル・手順書の遵守状況、及び統制手続の有効性が都度確認されている。

④統制活動例－軽減＜事例３：情報処理開発産業の例＞
個別会社との受託契約締結に際して、プロジェクト
詳細が未定の段階で契約にいたるケースが多いが、リ
スクマネジメント部署による受注時レビューにより受入リスクの「軽減」を図る。（将来トラブル発生時のリスク種類・水準の認識によるリスク拡大の防止）

４６日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイントあるべき姿(2)｢軽減以外の対応方針 ・リスクとリスク対応、についてはリスク対応
及び対応実施の方針、方針との統合が見られ具体的手法、実施後のる統制活動が実施され効果についてのトレーていることが確認されスや有効性の評価等のているか。
手続きが明確化されている必要がある。
【注：「チェック項目」の趣
旨】「軽減」以外のリスク対応は、「例外的意思決定」「経営判断」として取り扱われることが多く、業務プロセス上での管理がされない、もしくは弱い傾向が強い。
しばしば、経営者のリスク選好が色濃く反映されるため、退任、人事異動で責任が不明
確になりやすいといった人的リスクが高く、リスク対応の具体策実施後の効果測定、見直しといった活動がおろそかになりがちである。また、責任の所在が不明確となり、早期の対応が遅れがちとなるた
め、リスクが顕在化したときの財務的インパクトは甚大で
ある。

統制活動

具体的な事例①リスク対応方針との統合が見られる統制活動の為の組織/業務上のインフラストラクチャー
・リスク、リスク対応方針、リスク対応結果、リスク対応の有効性評価のプロセス確立と、方針と非整合的な意思決定に牽制がかけられ、リスクマネジメン
トプロセスが有形無実化しない体制の構築
・リスク毎の対応状況についてトレース可能なデータベースの保有
・リスク対応の有効性に対する業務担当部署と内部監査部のチェック②統制活動例－受容＜事例１：銀行の運用戦略例＞
ＢＵＹ＆ＨＯＬＤ戦略を採用している「戦略的投資」に対して、当初稟議時に設定された「ストップロ
ス（損切り）条件」への抵触事態発生有無をモニターする機能が有効に働いているかどうかをチェックする
内部監査実施。
③統制活動例－受容＜事例２：自動車部品製造会社の例＞
工場の土壌汚染リスク回避に対する、定期的な調査と汚染状況に対する事前対応方針の実施。

４７

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイント

あるべき姿

４８

統制活動

具体的な事例④統制活動－回避・共有・受容＜事例３：情報処理開発産業の例＞(ｲ)契約締結時の規定に基づく「レビュー制度」実施
により、現場当事者の期待に反して会社として「契約締結見送り」の判断を行う。（回避）(ﾛ)契約締結対象プロジェクトのリスク分析の結果、予め定められている手続きに従って当該リスク発生時には「保険」で対応することが可能と判断された場合、契約を締結する。（共有）(ﾊ)「レビュー」結果に反して、何らかの理由により社長判断で受託契約を締結した。（受容）しかし、その後の業務環境の変化・リスク増減に合わせた「適時レビュー」は規定どおり実施し、リスク見直しを実施する必要から、内部監査のチェック対象とする。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項 目
２．統制活動のタイプ

統制活動

チェックポイント
あるべき姿
具体的な事例(1)統制活動はリスクや業 ・ 統制活動は業務の性①リスク対応方針との統合が見られる統制活動
務の性質に適した設計 質において例えば、下のの為の組織/業務上のインフラストラクチャー
表にあるような統制活動（デザイン）がなさ
・現金や有価証券の残高の定期的検証れ、運用がされている のタイプ別にリスク対応
・倉庫保管在庫の帳簿との突合方針を実現する必要があか・ディーラーとミドルオフィスの権限分離
る。
・業務データのアクセスコントロール【注：「チェック項目」の趣
旨】
統制活動のタイプには「多岐、多様な活動」が含まれる
ので、当該統制活動の「目的」や、リスク対応の「タイプ」別に十分検討され、設計・運用されている必要がある。

【注：「あるべき姿」の理解】
それぞれの統制活動内容について議論する場合には、４つの区分の何れかに対応して策定されているか、に沿って進めると分かりやすい。
<４つの区分>・戦略的な面
・業務オペレーションの処理に関する側面
・マネージャー等による日々の報告手続きの側面
・コンプアライアンスの側面を含むＰＤＣＡの流れ（この場合同時に複数の区分に該当する場合もありえる。）

４９②統制活動タイプ例－職務分離＜事例１：銀行の運用戦略例＞
リスクを特定し、リスクを認識、評価、コントロー
ルするデザイン及び運用がなされている。（例：株価変動リスクに対し、Ｂｌｏｏｍｂｅｒｇを利用したモニタリングを中心とする統制手続がデザインされ、担当により運用されリスク統括部（ミドルオフィス）に
よりモニタリングされる）③統制活動例－機能部門、活動レベルの直接的管理＜事例２：自動車部品製造会社の例＞
ＩＳＯ等規格のフレームワークを利用しながら、現場を巻き込んだマニュアル・手順書を作成し、運用している。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイント

あるべき姿

統制活動のタイプ例
統制
タイプ例

統制活動 の概要

トップレベルのレビュ
ー

上級経営者による予実管理や主要なビジネス環境変化の把握。
新商品開発やジョイントベンチャー、ファイナンスの進捗管理等。

直接的な機能管理または活動管理

機能組織や活動の管理者による報告書等のレビュー。
日々のレポートや活動、コンプライアンス状況のレビュー等

情報管理

取引の正確性、完全性や権限をチェックする様々な 統制手続。
データに対するエディットチェックや承認されたコントロール
ファイルとの突合。取引に当たっての顧客リミット照会実施。
連番付きの取引情報における例外取引のフォローと上席への報告。新システム開発や既存システムの変更に係る統制手続
等。

物理的な統制手続

機材や在庫、証券、現金その他現物資産が安全に保たれ継続的に残高検証がされている等。

業績指標

業務活動データと財務データの関連分析を経た調査、改善活動。
指標例として、事業単位の中途退職率等。業績指標は、業務目的のみに利用する場合と、統制手続きの報告上の目的にも職務の分離

エラーや不正リスクを低減させるための職務分離。

併用するものがある。

５０

統制活動

具体的な事例④統制活動例－職務分離＜事例３：情報処理開発産業の例＞
プロジェクトの開発担当者が運用業務に携わることは禁じられている。（開発と運用の職務分離）⑤統制活動事例－その他
・管理階層による統制手続が用意されていること
・外部者を利用する際のリスクについて検討されていること・プロジェクトの大きさに則した統制手続が準備されていること
・業務別フローチャートの整備、業務の文書化が実施され、かつリスクが明示されていること
・内部統制の有効性について適時適切な方法で見直しがなされていること
・自主管理、自主点検の実施状況（ＰＤＣＡでの位置
づけ）が把握されていること

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項 目
３．方針と手続き

チェックポイント
あるべき姿(1)予防的統制手続、発見 ・統制活動は、リスク対的統制手続が適切に設応を実現するために予計（デザイン）され運防的及び（もしくは）用されているか
発見的統制手続が有効に設計（デザイン）され、運用される必要がある。
・予防的統制手続：リスクに対する事前、計画的統制手続。統制手続のＰＤ
ＣＡの全体設計（デザイン）もしくは、特に計画（Ｐ）、運用（Ｄ）を指す。行動規範等による不祥事の事前発生防止なども含む

統制活動

具体的な事例①リスク対応方針との統合が見られる統制活動の為の組織/業務上のインフラストラクチャー
・ビジネス環境リスクの源泉と結果、業務プロセスとの紐つけによるリスクへの予防的、発見的統制手続の設計
・統制手続有効性に対する業務担当部署、内部監査部
による評価
・有効性評価やビジネス環境変化を反映した統制手続
デザインの見直し②統制活動例－予防的・発見的統制手続の併用による業
務設計と運用＜事例１：銀行の運用戦略例＞
ウォーニングライン設定し、損益状況をモニタリン
グすることで「予防的統制手続」が実施されている。
ウォーニングラインが抵触した場合に、仮に見過ごされてもリスク統括部による発見的統制手続がなされる
よう設計（デザイン）されている。
＜事例２：自動車部品製造会社の例＞
手順書において、出荷前の品質検査の実施が盛り込まれていること[予防]、また、品質検査後であっても出荷した部品に対する顧客満足のフィードバックを受けていること[発見]、抽出洩れなどで不良品が出荷されるケース等に対し、小グループ活動で品質検査方法の見直しがなされること[予防]、等予防的・発見的統制手続が設計（デザイン）・運用されている。

・発見的統制手続：リスクに対する事後、検証的統制手続。統制手続のＰＤ
ＣＡの検証（Ｃ）、改善（Ａ）もしくは、予防的統制手続が困難な業務に対して、結果が確認されるのをきっかけとする。管理階層
監視による不祥事の発見などが当たる。

５１

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイント

あるべき姿

統制活動

具体的な事例＜事例３：情報処理開発産業の例＞「設計製造から納品終了時」のプロセスでシステム的な措置として、例えば「計画値と実績値の比較」によって予め定められた範囲外の乖離率を示した場合には、自動的に第三者機関のレビューを受ける手続きとなっている。[予防・発見]

・方針、手続は（必要に(2)必要な統制活動が方応じて）文書化されて針、手続に十分記載さ
いる。
れているか
【注：「あるべき姿」の理解】「方針」は必ずしも文書規定である必要はない。但し、(ｲ)継続的に長期間(ﾛ)慣習としての存在実績(ﾊ)適用範囲の確認等が可能であればの話。これらを客観的に説明するには制約が多いと思われるので、実際には文書化されているほうが説明しやすい。

・方針：何を行わなければならないかという目的を明確に定めたもの

・手続：その方針を継続実行①リスク対応方針との統合が見られる統制活動の為の組織/業務上のインフラストラクチャー
・文書化要否の判断基準の存在
・リスクマネジメントの観点を明記した業務手続の文書化・定期的なアップデートと電子化による差し替え作業等の効率化②統制活動例－文書化対応例＜事例１：銀行の運用戦略例＞
特別運用枠方針・手続が文書化され、部内承認を受け、かつリスク統括部へ連絡されている。
＜事例２：自動車部品製造会社の例＞
品質上のリスクが業務プロセスにどのように影響しているか、現状の統制手続で充分なのか、を評価し、追加的な統制手続を反映した方針・手続が文書化されている。

するための仕組みを明確にし
たもの。

５２

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイント

あるべき姿

統制活動

具体的な事例＜事例３:情報処理開発産業における事例＞
情報関連業務における最大のリスクは、「お客さまから預かっている情報の外部漏洩」である。例えば、(ｲ)情報管理についての「情報ﾘｽｸ管理規定」 が文書化され全社員に公開されていること(ﾛ)「規定」に沿った「詳細手続き」が存在していること、(ﾊ)当該手続きが適切な期間内で実情に合わせた見直
しがなされ、全社に向けて通知・公開されていること、などが客観的に認められれば、十分である。
④統制活動事例－その他
・マニュアルの制定確認。さらに運用の形骸化防止が定期的に確認され、マニュアル改訂の不備有無も定期的に確認されていること
・プロジェクトの大きさに則した統制手続が文書化されていること・グループ全体の戦略に従って、親子会社間の役割分担が明確に規定化されていること
・多くのグループ会社・世界中に関連会社を抱える組
織では、特にグローバルな共通の「経理規定」が存在し、また適宜改定されていること。
・ＣＯＳＯモデルに基づく規定の整備
・経理責任者の本社登録（財務報告適正性確保）

５３

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項 目
４．情報システムに対する統制手続４−１．全般統制

チェックポイント

あるべき姿

統制活動

具体的な事例①リスク対応方針との統合が見られる統制活動
・情報システム（ＩＴマの為の組織/業務上のインフラストラクチャー
ネジメント、ＩＴインフ・リスクに応じた人員の充足
・全般統制：ラ、セキュリティマネジ
メインフレームからクライア
・人員及び従業員の継続的教育
メント、ソフトウェア購ント/サーバーやデスクトッ
・経営者の理解入、開発、保守）に対す
プ、モバイル環境等全ての・組織面、物理面、論理面のバランスが取れた対応
る全般統制はすべてのシシステムに適用される IT マ
ステムをカバーする必要
ネジメント、インフラスト
ラクチャー、セキュリティ②統制活動例－情報システム統制がある。
マネジメント、ソフトウェ＜事例１：銀行の運用戦略例＞
ア購入、開発、保守等を含
トレーディングシステムは、ユーザーID 及びパスワ
む統制手続のことである。
ードが設定されており、権限が付与された担当しかアクセスできないようにデザインされている。また、Ｂｌｏｏｍｂｅｒｇも含め、システム部が保守管理の窓口となっている。
＜事例２：自動車部品製造会社の例＞
業務に関連するシステムは、システム部が一括して管理している。ＣＡＤデータベースへのアクセスや部
門内での共有は制限されている。
＜事例３：情報処理開発産業の例＞
情報関連業務における最大のリスクである「お客さまから預かっている情報の外部漏洩」への統制手続として、情報管理についての全社的な「情報リスク管理規定」が定められ公開されていること、また当該「規定」に沿った形で、個別の業務特性に合った「詳細手続き」が存在していることなど。
(1)全般統制は適切か

５４

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項 目
４−２．業務処理統制

統制活動

チェックポイント
あるべき姿
具体的な事例①統制活動例－情報システム統制(1)業務処理統制は適切か ・業務処理統制は導入時＜事例１：銀行の運用戦略例＞
のみでなく、定期的に実・業務処理統制：
リスク計量システムのデータフィードのエラーはリ施される必要がある。
完全性、正確性、権限やデー
ストが自動生成され排出され、ミドルオフィスへ報告
タ取得、プロセシングの信される。
頼性にフォーカスをあてた＜事例２：情報処理開発産業の例＞
ものであり、データ取得や生成、支援アプリケーショ
情報関連業務における最大のリスクである「お客さンの有用性やインターフェ
まから預かっている情報の外部漏洩」への統制手続と
イスエラーの早期発見の確して、アクセス制限、ユーザーＩＤ／パスワード設認に役立つものである。
定、個人パソコンへの「情報持ち出し制限機能」付与など②統制活動事例－その他全般統制・業務処理統制共通
・ＩＴ全体について、他人任せになっていないこと、・業務プロセスとの整合性の中でリスクが判断されていること・機械的な記録を人為的に改竄出来ない仕組みが施されていること、或はその痕跡が残るとともに検証される仕組みがあること

５５

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項 目
５．事業体の特殊性

チェックポイントあるべき姿(1)事業体固有の特殊要因 ・自社ビジネスの外部・を反映した統制手続が 内部環境を反映させた統制手続の設計がなさ設計されているかれる必要がある。
【注：「あるべき姿」の理解】
事業体の特殊事業が反映された統制手続が導入されていることが必要である。
仮に２つの事業体が同一の目的を持ち、同じ達成への意
思を保有していたとしても、統制活動は異なったものになるはずである。それは、①統制活動に携わっている要員は、個々に異なる判断をする可能性が高いこと②各事業体が業務活動を行っている業界や環境が異なり
単一ではないこと等による。
このことから、統制活動
は、各社・各事業体ごとに異なってしかるべきである。

５６

統制活動

具体的な事例①リスク対応方針との統合が見られる統制活動の為の組織/業務上のインフラストラクチャー
・自社のビジネス環境に対する理解共有
・規制当局や取引先等ステークホルダーを考慮した統制手続の設計
・自社の組織風土を考慮した統制手続の設計②統制活動例－組織固有要因を反映した統制手続＜事例１：銀行の運用戦略例＞
銀行として求められるリスク管理上独立した組織が牽制機能を発揮している。
＜事例２：自動車部品製造会社の例＞
メーカーとして、根付いている小集団活動を利用し、現場主体の統制手続が設計されている。一方で、全社的な取組みを促進するための品質管理グループが設置され、現場の活動を支援している。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第７章
項

目

チェックポイント

あるべき姿

統制活動

具体的な事例＜事例３：情報処理開発産業の例（１）＞
業務別・顧客別事業本部制度を採用している会社な
どでは、全社一律ではなく、部分的に顧客の実情に合わせた個別の統制手続が導入されている場合がある。
その場合、当該事業本部の特殊事業を踏まえて、個別リスクの存在を認識し、個々のリスクに符合した統制手続がとられている。
＜事例４：情報処理開発産業の例（２）＞(ｲ)協力会社を多用する業態については、外部者を利用する際のリスクについて十分検討されていること(ﾛ)全て均一ではなく、プロジェクトの大きさ・新規技術の使用有無の区分等に則した統制手続が準備されていること

５７

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第８章

情報と伝達

第８章 情報と伝達
項
１．情報

目

チェックポイント(1)リスクマネジメント（リスクの特定・評
価・対応・その他業務遂行や目的達成）のために必要な情報は整備されているか。

あるべき姿
・リスクに関する情報が特定され、関係者間で共有されていることが必要である。
＊情報には、事業体の内部情報、および外部情報の両方が含まれる。
＊関係者とは、事業体の各部門・各階層の関係者、および外部のステークホルダーをさす。

(2)上記の情報は、事業体内部および外部の関係者にとって、適時適切な利用が可能か。

・関係者にとって、必要なときに、必要な形
で、必要な情報が入手できるよう、ルートやツールが整備されている必要がある。

５８

具体的な事例①リスクの特定と共有のしくみ＜事例１＞エネルギー業Ａ社では、イントラネット上に日常業務におけるリスクのポイントを掲載し、従業員が共有している。
＜事例２＞
同じくＡ社では、経営層によるリスクの洗い出し、更新が行われ、重要リスクが特定され、共有されている。
②各ステークホルダーへの情報開示＜事例１＞
一般的には、確認書、宣誓書の制度化による、投資家へのリスク情報の開示。
＜事例２＞
ＣＳＲの立場から、特に環境保護や個人情報保護などのリスクに対する取り組みは、各社のＨＰで発信されている。
＜事例３＞
地域行政やコミュニティとのリスクコミュニケー
ション（「２．伝達」参照）①情報伝達システムの整備、開発（具体例は、「２．戦略的統合システム」を参照）

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第８章
項 目
１−１．戦略的・統合
システム

チェックポイント(1)情報システムは経営戦略や事業戦略に基づいて、開発されている
か。

あるべき姿
・情報システムは、経営戦略、事業戦略と連動し、かつ絶えず先端技術を導入することで、よりスピーディーに、
組織目標の達成に貢献しなければならない。

１−２．業務との統合(1)情報システムによって、業務や組織のリス
ク情報が統合的に管理されるようになっているか。

・組織全体の目的達成を支援するために、シス
テムは、各部門に分担されている機能を、相互に結びつけ、データを適時的確に提供する必要がある。

(2)それらの情報が、関連各部門・各階層の間で共有できるようになっているか

・事業体内の全構成員、および関連取引先などと、適宜情報伝達、共有ができるコミュニケーション基盤が整備されている必要がある。

５９

情報と伝達

具体的な事例①戦略的な情報システム開発のための体制整備＜事例１＞
ＣＩＯ（chief information officer）の設置。
②先端技術の研究＜事例１＞
出版業Ａ社は、新しいメディアの開拓のために、先端の情報コミュニケーション技術について、大学と協同研究を行っている。
①統合的な経営管理システムの導入＜事例１＞
ＥＲＰシステムの導入により、効率的で効果的な資源配分を目指す。
②統合的な業務管理システムの導入。
＜事例１＞
小売業界におけるＰＯＳシステムの活用は、在庫管理・受発注管理とマーケティング機能の統合により業績拡大を目指すものである。
＜事例２＞
サプライチェーンマネジメントシステムによる、資材調達から顧客への納入までの統合的な管理は、各工程間の滞留在庫リスクを軽減する。
①インターネット、イントラネット基盤の整備＜事例１＞
今日多くの企業は、インターネット上に自社ＨＰを開設し、企業情報を発信、提供している。
＜事例２＞
保険会社Ａ社ではイントラネットにより、「お客様の声」を社内で共有している。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第８章
項 目
１−３．情報の詳細度と適時性チェックポイント(1)内部・外部の関係者にとって、適時性、かつ可用性の高いデータを提供できるようになっているか

１−４．情報の品質(1)データの品質が保証されているか２．伝達

２−１．内部での伝達(1)事業体の内外に対して、意思の伝達が図れるようになっているか(1)事業体内部への意思の伝達が円滑に行われ
ているか

あるべき姿
・データは、上記の各関係者が、それぞれの目的に応じて必要な形
で、必要な期間と範囲にわたって、収集・加工、あるいは参照可能になっている必要がある。
・データは、以下が保証されなければならな
い。
＊正確性
＊適時性
＊最新性
＊可用性
なお、データには、財務データ、非財務デー
タとも含まれる。
・すべての従業員や外部の関係者が、事業体の目的や目標を理解し、行動できることが望ましい。
・事業体内の各部門、各階層において、リスクに対する共通の概念や認識、用語が成立していなければならない。
その上で、上位の意思決定や方針が、下位に

６０

情報と伝達

具体的な事例①事業体内の全リスク情報をデータベース化する。
＜事例１＞
ＥＲＰシステムで業績分析などが容易になっている。
＜事例２＞
食品会社Ａ社は、顧客クレームをデータベース化
し、重大化が予測される苦情には、緊急体制がとれるようにしている。
①データおよびシステムに対するモニタリングの実施。
＜事例１＞
各種監査の実施。
・財務データ、非財務データの妥当性に対する内部監査。
・情報システム監査、システムセキュリティ監査。

（事例については以下の項目を参照）①会議体、委員会等の体制整備（リスク認識の共有については、１．(1)①「リスクの特定と共有のしくみ」の事例を参照）＜事例１＞
化学品メーカーＡ社では、「リスク部会」「総合リスク対策委員会」などを設置。リスク情報の報
告、検討が行われる。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第８章
項

目

チェックポイント(2)現場からのリスク関連情報が、マネジメン
トやリスク管理責任者にすみやかに伝達され
ているか。

あるべき姿
伝達されるしくみや、関係する部門すべてで横断的に情報が伝達されるしくみがあり、機能していることが必要である。
・リスク関連情報、特にリスク発生の情報が、隠蔽や歪曲されることなく、速やかにマネジ
メントにまで伝達されるしくみがあり、機能していなければならない。
そのためには、以下が考慮される必要がある。
＊通常の業務遂行上の情報伝達経路から独立した報告経路が設置されている。
＊内部告発などの問題情報の提供者に不利益がないよう配慮さ
れている。

６１

情報と伝達

具体的な事例①内部通報制度の整備＜事例１＞
一般的には、法務部門、内部監査部門などに、従業員からの直接相談窓口を設ける場合が多い。
＜事例２＞エネルギー業Ａ社では、従来からあった制度（セクハラ・ホットラインなど）に加えてコンプライア
ンス・ホットラインを設置。
②クレームその他の顧客情報の収集・共有＜事例１＞
食品業Ａ社では、お客様センターで収集する消費者情報を社長・役員も聞き、経営に反映させている。
＜事例２＞
保険業Ｂ社では、「お客様の声」を社内で共有
し、全部門での対応力強化を図っている。
③緊急時対応＜事例１＞
多くの企業では、危機管理マニュアルの策定、緊急時連絡体制の整備、訓練を実施している。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第８章
項 目
２−２．外部との伝達

２−３．伝達の手段

チェックポイント(1)内部だけでなく、外部（顧客・取引先・行政・株主・地域社会）との円滑な意思の伝達が図られているか。

あるべき姿
・外部のステークホルダ
ーに影響を及ぼす可能性のあるリスク情報が特定され、開示される必要がある。

(2)外部からのリスク関連情報が、マネジメン
トやリスク管理責任者にすみやかに伝達されているか。

・取引先や協力先との間においても、リスク情報が隠蔽や歪曲されることなく、伝達されるしくみを作る必要がある。
・事業体の価値観や風土が、組織全体に理解されるよう、責任者や管理者は日常的に伝え、行動することが重要である。

(1)伝達内容が、すべての関係者に、すみやかに理解されているか。

６２

情報と伝達

具体的な事例①リスク開示方針の外部への発信＜事例１＞
事業リスクの開示。
また多くの企業は、ＨＰで「社会的責任」「企業行動基準」などを対外的に発信している。
②リスクコミュニケーション＜事例１＞
一般的には、環境汚染等、予測されるリスクに関する情報を、企業、地域、行政等の関係者間で共有
するもの。
＜事例２＞
サービス業Ｂ社では、年１回、リスク発生を想定し、社内だけでなく社外へのリスクコミュニケーシ
ョン訓練を実施している。
①取引先からのリスク情報の収集＜事例１＞
電気機器メーカーＢ社では、クリーン調達を目指
して仕入先を対象としたホットラインを設置している。
①企業理念やトップ方針などの、日常的な伝達＜事例１＞
多くの企業では、企業理念やトップメッセージをWEB 上で社内外に発信している。社内に文書を掲示している場合も多い。
②コミュニケーション基盤の整備＜事例１＞
従業員全員を対象とするイントラネットを構築する。さらには、グループ全体で、共通のイントラ網を構築する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章

モニタリング

第９章 モニタリング
項

目

＜参考＞
モニタリング

１．継続的モニタリング
活動チェック事項(1)どのような手法で業務をモニタリングしているか。

(1)業務の中に組み込まれた継続的モニタリ
ング手法を持ってい
るか。

あるべき姿
・モニタリング手法として、①継続的モニタリ
ングと、②独立的評価の二種類のモニタリン
グを保有する必要がある。
・これらを適切に実施することで、ＥＲＭの有効性を継続的にモニタリングする必要がある。

・継続的モニタリング活動とは、担当部署自らがＥＲＭの有効性を継続的に監視するモニタリング活動である。
・経営管理や業務点検等の中に組み込まれたモ
ニタリング活動を行う必要がある。

６３

具体的な事例①継続的モニタリング： 自店検査・リスク所管部(ミドルオフィス)によるモニタリング＜事例１＞
Ａ銀行では、業務運営部門が自ら自店検査を実施
し、これをリスク管理所管部がモニタリングする。
②独立的評価： 内部監査部の監査・外部監査＜事例１＞
Ｂ銀行では、内部監査部門として、日常業務から独立した、業務監査部と資産監査部を設置する。
＜事例２＞
証券取引法で義務付けられた公認会計士による会
計監査。
①自店検査
＜事例１＞
Ａ銀行では、業務運営部門における自店検査に加え、コンプライアンス所管部署、リスク管理所管部
署によるモニタリングにて牽制機能を確保する。
②リスク管理所管部署によるモニタリング＜事例１＞
Ｂ銀行では、リスク所管部署がＶａＲモデルによる市場リスク評価モデルを継続的に実行し、リスク度合いを常時モニタリングする。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項 目
２．独立的評価

チェック事項(1)日常業務担当部署でない部署が、独立した観点から監査を実施しているか。

あるべき姿
・独立的評価とは、継続的モニタリング活動の担当ではない部署が、日常の業務から独立した(非日常的)視点で、適宜ＥＲＭの有効性を評価するモニタリング
活動である。
・独立的評価を実施する
ことにより、継続的モ
ニタリング活動が適切に機能していることを、継続的に点検する必要がある。

モニタリング

具体的な事例①内部監査部門による内部監査＜事例１＞
Ａ銀行では、業務運営から独立した業務監査委員
会のもとで内部監査部門に属する内部監査所管部署
が内部監査を実施し、内部管理の適切性・有効性を確保する。
②公認会計士による会計監査③外部有識者によるモニタリング＜事例１＞
Ｂ銀行では、社外の有識者により構成されるアドバイザリーボードを設置し、社外から率直な評価・助言を受ける。
④コンサルティング会社によるシステム監査＜事例１＞
Ｂ社では、３年毎にＩＴコンサルティング会社に
システム監査を委託する。

２−１．範囲と頻度(1)モニタリングの範囲は適切に定められているか。

・リスクの重大性や対応策及びリスク管理統制
手続の重要性などによって、ＥＲＭが評価する範囲・頻度を決定する必要がある。

６４①優先順位による監査範囲や頻度決定＜事例１＞
Ａ銀行では、近々合併に伴う業務基幹システム統合があり、システム監査を行う。稼働開始時に不都合が生じないように、システム部に臨店して、現場での開始直後の運営状態を監査する。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項モニタリング目

チェック事項(2)頻度の設定方法は定められているか。

あるべき姿
・優先順位の高いリスクとその対応策は、頻繁に評価する必要がある。

具体的な事例①リスクアセスメントや重要なリスクのモニター頻度の決定＜事例１＞
Ｂ商社では、四半期毎に、社長室やポートフォリ
オ委員会で個別の事業・案件毎に信用・市場・事業投資に係る各リスクやカントリーリスク等のリスク類型に応じて、リスク・リターンを分析・把握・管理する。

２−２．誰が評価するのか(1)モニタリング評価を行う部署はどの部署か。

・部門責任者、マネージャー、課長等（プロセス・オーナー）自身がＥＲＭの有効性を評価する必要がある。

①部門責任者、マネージャー、課長等（プロセス・オーナー）の有効性評価＜事例１＞
Ａ社「有価証券報告書の適正性に関する確認書」の作成では、各責任部署において適切な社内業務手続・体制が構築されていることを確認する。
②監査部門(内部監査人、外部監査人)の評価＜事例１＞
Ｂ社では、内部監査部門により社内業務手続・体制の適切性を確認する。

６５

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項 目
２−３．評価プロセス

チェック事項(1)モニタリングを行う
際に、使用する評価プロセスを持ってい
るか。

あるべき姿
・業務プロセスの基本事
項を踏まえ、事業体の活動内容とその対象となるＥＲＭの要素を理解すべきである。その上で、プロセスが持っている統制により評価する必要がある。

モニタリング

具体的な事例①システム設計（プロセス設計）に基づく評価＜事例１＞
業務手続集やマニュアルを検証する。
以下は、システム設計に基づき欠陥と評価される事例である。
a. 当初の手続でない全く異なった手続で作動。
b. 機能していないシステムが未利用かつ放置。
c. 新規の手続が確立されるも、未文書化。
d. パフォーマンス記録や手続の組合せを未検証。
②種々の評価アプローチ＜事例１＞
Ａ商社では、ＲＣＭ(リスク資本管理)を導入し、リ
スクアセット額とリスク・リターン率を計測する。

２−４．方法論(1)モニタリングに使用する手法は確立しているか。

・評価プロセスに従って、夫々のモニタリン
グ項目に適する手法を選択する必要がある。

①チェックリスト手法②質問書手法③フローチャート手法④ベンチマーク手法＜事例１＞
a. 良好なＥＲＭを持つ他社と比較して、自社プロ
セスを評価する。(個別比較)
b. 取引先や業界の関連団体の主催で、比較評価を行う。(平均対比)
c. 独立組織が業界の比較情報を提供する。(外部書
評：業界紙情報など)
等の手法

６６

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項 目
２−５．文書化

チェック事項(1)モニタリングで使った証跡や面談記録などは文書化されてい
るか。

あるべき姿
・モニタリングを有効かつ効率的に行う為に、自社に適したレベルで文書化を行う必要がある。

モニタリング

具体的な事例①Ｓｏｘ法への対応＜事例１＞
内部統制の整備・運用の文書化作業②規定類等の文書化＜事例１＞
規程、方針、マニュアル、公式の組織図、職務記
述書、操作指示書、情報システムフローチャートなどを文書化する。
③監査書類の総合管理＜事例１＞
ソフトウェアによる文書管理がなされている。
(米国では、各種の監査支援ツールソフトを使用する)

３．欠陥の報告(1)ＥＲＭに欠陥がみつかった場合、その意味付けが適切に認識されているか。

・欠陥とは、認知された
潜在的な損失機会でもあり、事業体の目的達成を高めるプロセスを強化する機会と認識する必要がある。

６７①監査報告書の指摘事項＜事例１＞
監査報告会や報告書回付等により欠陥を各関係者に適切に認識させる。
②日常的モニタリングからの報告書での指摘事項＜事例１＞
社内報告規程などを制定・改定・廃止すること
で、欠陥を各関係者に認知させる。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項 目
３−１．情報の源泉チェック事項(1)欠陥情報がどこから報告されたか認識し
ているか。

あるべき姿
・欠陥がどのモニタリン
グツールで発見されたかを認識する必要がある。

モニタリング

具体的な事例
欠陥を発見するモニタリングツールは以下の４類型①ＥＲＭが最大の情報の源泉②日常的モニタリングも源泉の１つ③独立的評価も源泉の１つ＜事例１＞
Ａ社では、監査部と監査役の間で定期的に会合を持ち内部監査結果及び指摘提言事項につき、相互に検討・意見交換する等密接な情報交換・連携を行う。
④外部関係者(顧客、仕入先、その他の取引先、外部監
査人、監督当局) も源泉の１つ＜事例１＞
Ｂ社では、監査役は公認会計士から監査の経過と結果の報告及び説明を受け計算書類の監査を実施する。

６８

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項 目
３−２．報告すべき対象チェック事項(1)報告されるべき対象や事象を特定してい
るか。

あるべき姿
・特定の取引や事象を報告するだけでなく、欠陥の本質を再評価する必要がある。

モニタリング

具体的な事例①欠陥事象の特定＜事例１＞
監査報告書等に適切に欠陥事象を記載・報告する。
②事象の背後に潜む原因/本質の把握・解決＜事例１＞
Ａ銀行では、個人情報保護法全面施行等情報管理の重要性の高まりに対応すべく、個人情報保護に関する欠陥を把握・評価し、関連規程の制定もしくは改定などによりグループ経営管理体制の整備を行った。

３−３．誰に報告するか(1)誰に欠陥報告を送るのか。

・社内の通常報告ライン
経由で欠陥報告を受け取る必要がある。

①監査報告会＜事例１＞
Ａ社では、内部監査の結果は社長、経営会議、監査役に報告するとともに、当該ビジネスユニットの部門長、当該関係会社社長、当該関係会社監査役に報告する。

(2)違法や不適切な事態のホットラインがあるか。

・違法又は不適切な行為等のセンシティブ情報入手に関する、通常ラ
イン以外の代替の報告経路を持つ必要がある①独立した報告経路(ホットライン)＜事例１＞
Ａ社では、通常の報告制度とは独立した社内相談窓口を設けた。違法・不適切行為を告発した社員の身分を保証しながら、告発相談を受け付ける体制を整えた。
注：社内のホットライン以外に「公益通報者保護法」が平成１８年
４月より施行される、公益目的で通報した労働者に対する解雇等の不利益な取扱を禁止する法律である

６９

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月

第９章
項 目
３−４．報告の指示

チェック事項(1)欠陥に関する報告体
制はあるか。

あるべき姿・有効な意思決定のために、報告を受ける組織レベルを特定する報告規約を確立する必要がある。

７０

モニタリング

具体的な事例①経営陣（社長、経営会議、取締役会）＜事例１＞
Ａ銀行では、内部監査の結果検証された問題点や改善案を報告することを目的として、監査委員会が設置され、審議された事項のうち重要な施策を経営会議・取締役会などに報告する制度を持っている。

日本内部監査協会ＣＩＡフォーラムＥＲＭ研究会 2006 年 4 月