内部監査人協会（ＩＩＡ）情報／ＣＢＯＫ調査結果

テクノロジーのトップ10リスクの舵取り― 内部監査の役割 ―著者：フィリップ・E. フローラ （ＣＩＡ，ＣＩＳＡ，ＣＦＥ，ＣＣＳＡ）
フロビズ＆アソシエイト, LLC

代表兼マネージングメンバー

サジャイ・ライ （ＣＰＡ，ＣＩＳＳＰ，ＣＩＳＭ）
セキュアリー・ヨアーズ, LLC

訳者：堺共同設立者兼オーナー

咲子

内部監査人協会（ＩＩＡ）国際本部 理事
内部監査人協会（ＩＩＡ）調査研究財団 理事・評議員
ＣＢＯＫ2015運営委員会委員
実務家調査小委員会委員
インフィニティコンサルティング 代表
公認内部監査人（ＣＩＡ） 内部統制評価指導士（ＣＣＳＡ）
公認金融監査人（ＣＦＳＡ） 公認リスク管理監査人（ＣＲＭＡ）
米国公認会計士（ＣＰＡ（ＵＳＡ））

ＣＢＯＫについて

３）早わかり：特定の地域やテーマを扱うレ
ポート

内部監査の国際的共通知識体系（ＣＢＯＫ）

これらのレポートは、テクノロジー、リス

は、内部監査の実務家とその利害関係者を対ク、素質等の８つの異なる側面から研究され象にした内部監査の専門職の世界最大規模のている。

継続的調査である。2015年ＣＢＯＫ調査の主

本調査の質問と最新のレポートは、ＩＩＡのな内容の1つは、世界中の内部監査人の業務

ホームページ内のCBOK Resource Exchangeと特徴を包括的に調べた実務家調査である。

（英語）からダウンロードできる。

この実務家調査プロジェクトは、内部監査人
協会（ＩＩＡ）調査研究財団が2006年（回答数9,366） と2010年（ 回 答 数13,582） に 実 施した同調査を礎にしている。
本プロジェクトのレポートは、2016年７月まで毎月のペースで発表され、個人、専門家
組織、ＩＩＡ支部からの寄付のおかげで、無料でダウンロードできる。次の３つの形式で25以上のレポートが発表される予定である。
１）コアレポート：広範なテーマを扱うレポート２）詳細レポート：重要なテーマを深掘りす
るレポート

30

月刊監査研究

調査データ
回答者数

14,518＊

回答国数

166

調査言語数

23

回答者階層
内部監査部門長（ＣＡＥ）

26％

ディレクター13％

マネージャー

17％

スタッフ

44％

＊回答率は、質問によって異なる。

2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

2015年ＣＢＯＫ実務家調査：地域別参加状況

欧州
北米

19%

中東・
8%
北アフリカ

中南米・
14%
カリブ海

23%

南アジア 5%
東アジア・
25%
太平洋

サハラ以南
6%
アフリカ

注：地域区分は、世界銀行の分類によるものである。欧州には、中央アジアからの回答（１％未満）を含めている。調査回答
期間は、2015年２月２日から４月１日までであった。オンラインによる調査ページへのリンクは、ＩＩＡ支部の電子メールリスト、ＩＩＡのホームページ、ニュースレター、ソーシャルメディアなどから配信された。回答者の基本情報が完全に回答されている限り、部分的な回答であっても分析に含めている。2015年ＣＢＯＫレポートの中では、具体的な質問は質問１、質問２のように表示している。本調査の全質問は、ＩＩＡのホームページ内のCBOK Resource Exchange（英語）からダウンロードできる。

目次
エグゼクティブ・サマリー �������������������������� 32
１．サイバーセキュリティ �������������������������� 32
２．情報セキュリティ ���������������������������� 33
３．ＩＴシステム開発プロジェクト ���������������������� 35
４．ＩＴガバナンス ����������������������������� 37
５．アウトソースしたＩＴ業務 ������������������������ 39
６．ソーシャルメディアの利用 ������������������������ 41
７．モバイルコンピューティング ����������������������� 42
８．内部監査人のＩＴスキル ������������������������� 44
９．新たなテクノロジー ��������������������������� 46
10．取締役会と監査委員会のテクノロジー認識 ����������������� 47
結論 ������������������������������������ 48
ＣＢＯＫの課題分野別のマーク

将来

グローバル
な視点

ガバナンス マネジメント

月刊監査研究

リスク基準と資格

2016．1（No.506）

素質

テクノロジー31内部監査人協会（ＩＩＡ）情報

エグゼクティブ・サマリー

タを盗む可能性である。大抵の組織は、そのようなデータ侵害が引き起こす組織のブラン

組織内の最も重要なテクノロジーリスクやドや評判への損害を認識している。図表１は新たに発生するテクノロジーリスクを適切に

このような心理を裏付けており、回答者の７識別し管理しているか？

これはあらゆる組

割以上がデータ侵害のリスクを中程度または織の監査委員会や取締役会が自問している重広範囲のリスクであると回答している。注目

要な質問の１つである。本レポートは、内部に値するのは、ＩＴ専門家がこのリスクをさ監査人、取締役、監査委員会に、現在の最もらに高い（82％）と考えていることである。

重大なテクノロジーリスクの舵取りに役立つ

これは、ＩＴ専門家がテクノロジーをよく理

重要情報を提供する。

解しており悪用され得る隙を知っているため

本レポートでは、以下について説明する。

だろう。

●

テクノロジーのトップ10リスク●

これらのリスクに関して内部監査人が尋ね＜図表１＞組織のブランドを傷つけ得るデー
タ侵害のリスク水準

るべき重要な質問●テクノロジーリスクに対処するための重要な業務
トップ10リスクは、アフリカ、南米、中東、

欧州、カナダ、米国の内部監査部門長（ＣＡＥｓ）と情報技術（ＩＴ）専門家へのインタ

IT専門家 3%15%36%

リスクマネジメント 5%19%
専門家
会計専門家 12% 21%
全回答者平均 7% 20%

46%

42%
40%
39%

35%
27%
34%

ビューをもとに決定した。また、テクノロジ

0%ーリスクに関する全体像は、内部監査人の世

1‒リスクなし

3‒中程度のリスク

界最大規模の調査である2015年ＣＢＯＫ内部

2‒最小限のリスク

4‒広範囲のリスク

監査の実務家国際調査に基づいている。リスクの順位については、ビジネスを行う市場によって優先順位が異なる場合がある。

20% 40% 60% 80% 100%

注：質問93「下記の新たな情報技術（IT）の分野について、あなたの組織の固有リスクの水準はどの程度ですか？」「該当なし・わからない」と回答した者は除外。
四捨五入の関係で合計が100%にならないものもある。
回答数＝1,038（IT）、1,139（リスクマネジメント）、
1,678（会計）、9,426（全回答者）。

本レポートは、現在の、そして新たに発生する複雑なテクノロジー問題の迷路を案内するだけでなく、内部監査部門内のＩＴスキルの低さや取締役会の認識の欠如を原因とするリスクの組織的な面も検討する。

内部監査人の役割
内部監査人は、サイバーセキュリティリス
クに適切に対処することを確実にするために、組織内で重要な役割を果たすことができ

１．サイバーセキュリティる。行う業務や尋ねる可能性のある質問という観点での内部監査人の役割は、組織の規模

サイバーセキュリティリスクは、経営幹部、によって異なることがある。小規模組織（従内部監査人、監査委員会、取締役会の間で恐業員1,500人未満）では、５割の内部監査部

らく最も議論されているＩＴのテーマである門がサイバーセキュリティ関連の監査業務をため、テクノロジーのトップ10リスクの第１全くまたは最小限しか行っていないのに対位とする。

し、大規模組織では、４割の内部監査部門が組織が直面する最大のサイバーセキュリテ

サイバーセキュリティ関連の監査業務を広範

ィリスクの１つは、外部の攻撃者が機密デー囲に行っている（質問92、回答数＝9,929）。

32

月刊監査研究2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

多くのリーダーは、サイバーリスクに関して自らがどの程度のリスクを負っているかを理解していない。

１．外部に接続しているネットワークの脆弱性スキャンと侵入テストを独立的

米国、フューチャー・ポイント・オブ・ビに毎年行う。
２．実際のインシデントにインシデント

ュー，ＬＬＣ、パートナー
内部監査が行うべき重要な業務

スコット・クロソスキー氏

対応チームが備えるために、組織の危機管理計画に関するシミュレーション

内部監査人は、自社が社内外の経験を活かすためのプロセスを持つことを確実にすべきである。例えば、サイバーセキ
ュリティや関連脅威と闘うための情報共有を目的として金融業界で広く利用されている『金融サービス情報共有分析セン
ター』という国際組織を通じて、社外との協調が起こっている。
オレゴン州ポートランド、ユニタスコミュ
ニティー・クレジットユニオン、最高リスが行われているかを検証する。
３．ネットワークの方針と手続の遵守状
況を判断するために、ネットワークア
ーキテクチャーの監査を行う。
４．直近のインシデントについて監査を行い、方針、手続、ツールが予定通りに適用されたか、また、インシデント
中にフォレンジックの専門家が利用されたかを判断する。

ク責任者、ＣＩＡ、ＣＦＥ、ＣＩＳＡ
ジェームス・アレクサンダー氏

内部監査人が尋ねるべき重要な質問
１．組織は不審なネットワーク侵入をモニターできるか？
２． 組織は攻撃が起こっているかを識別できるか？
３． 組織は攻撃を隔離して潜在的損害を抑えられるか？
４． 組織は機密情報が無くなっているかを知ることができるか？
５．インシデント発生に備えて、危機管理計画文書は整備されているか？

また、計画はテストされており組織のリ
スクに合ったものになっているか？
６．インシデントが発生した場合、組織はインシデント対応を支援するフォレンジック（デジタル鑑識）スキルが利用できるか？
７．インシデント対応チームがあるか？
彼らは役割と責任を理解しているか？

２．情報セキュリティ
サイバーセキュリティはメディアの注目をかなり集めているが、情報セキュリティも同様に重要なので、テクノロジーのトップ10リ
スクの第２位とする。情報セキュリティとは、組織にとって重要な情報の機密性、完全性、可用性の保護を指している。
かつては、大抵の組織はネットワークペリ
メータ（境界）の保護に焦点を当て、セキュ
リティ予算のかなりの部分をペリメータ防御に費やし、ファイヤーウォール、侵入検知、
侵入防止、コンテンツフィルタリング、ネッ
トワークモニタリングなどのネットワークペ
リメータ機器へ投資した。しかし、最近の大規模なデータ侵害に関するあらゆるニュース
から、ネットワークペリメータにのみ焦点を当てるのが正しい戦略でないことは明らかである。外部の攻撃者が組織のネットワークに侵入したいと思えば、彼らが方法を見つけて侵入してくるのは目に見えている。現在は、ネットワークペリメータに対するシングルレ

月刊監査研究2016．1（No.506）

33

内部監査人協会（ＩＩＡ）情報

イヤーの防御ではなく、重要情報のマルチレ＜図表２＞

イヤーの防御に重きを置いている。

電子データのサイバーセキュリティ

組織に優れた情報セキュリティプログラムがあれば、通常、プログラムに責任を負う最

増える
変わらない

3%
22%

高情報セキュリティ責任者（ＣＩＳＯ）のよ減る
75%

うな経営幹部を選任している。情報セキュリ
ティプログラムには、最低でも次のことを盛り込むべきである。

データセンターの物理的セキュリティ

●厳格なリスク評価プロセス●

効果的なガバナンスとコンプライアンスの

7%
52%

手続
●

41%

情報セキュリティ方針および基準の文書化と伝達●効果的なセキュリティ意識向上研修プログ
ラム●効率的なアクセスコントロール手続●

テスト済みの災害復旧、事業継続、インシデント対応のプログラム●

業務資産管理、ネットワーク管理、パッチ
管理、変更管理のプロセス●

厳重な物理的セキュリティ

注：質問94「今後2〜3年間で、これらの技術分野に関する
内部監査業務は、増える、減るまたは変わらない、のどれだと思いますか？」回答数＝11,163。

従業員がリスク管理について知らされ措置を講じる権限を与えられない限り、組織的な情報セキュリティとリスクマネ
ジメントによって重要なリスクを封じ込めることはできない。
ワールドビジョン・インターナショナル社、
ＩＴ監査テクニカルディレクター

内部監査の役割
内部監査は、組織の情報セキュリティプロ
グラムが有効かつ効率的であることを確実にするための重要な役割を担っている。サイバ
ーセキュリティ業務は恐らくより急速に増えるだろうが、内部監査計画には物理的セキュ
リティとサイバーセキュリティの両方を含め続けるべきである。図表２の通り、サイバー
セキュリティ業務を増やす予定なのは回答者の75％以上であるのに対し、物理的セキュリティ業務を増やすのは52％である。



グレース・ルワンガ氏

内部監査人が尋ねるべき重要な質問
１．情報セキュリティ方針がレビューされ更新された直近の時期はいつか？
２．情報セキュリティ意識向上研修の成功率はどの程度か？
か？

研修は強制参加研修を修了していない者にはどのような影響があるか？
３．リスク評価を行った直近の時期はいつか？

新たな外部の取引先すべてについてリスク評価を実施したか？
４．組織はインシデントに対する準備状
況を判断するためにシミュレーションを行ったか？
５．災害復旧計画のテストを行った直近の 時 期 は い つ か？

34

月刊監査研究2016．1（No.506）

それは成功した

内部監査人協会（ＩＩＡ）情報

か？

どのような課題があったか？

し、バックアップが定期的に行われて６．組織が遵守しなければならない要件には何があるか？

いるかを検証する。

例えば、米国医療

５．特権ユーザの活動を監査し、承認さ保険の携行性と責任に関する法律（Ｈれた者のみが特権機能を持っているか

ＩＰＡＡ）、2002年サーベンス・オクを検証する。さらに、特権ユーザの活スリー法（ＳＯＸ）、クレジットカー

動が記録されモニターされているかを

ドの国際セキュリティ基準は該当する

検証する。

か？

６．組織の重要資産にアクセスを持つ第７．外部の攻撃者はソーシャルエンジニ

三者を監査する。または、第三者の保アリングを使って物理的パラメータに

証業務基準（ＳＳＡＥ）第16号１の報告侵入できるか？（この種の侵入の例に書をレビューする（大規模組織）。

は、攻撃者が建物の外で従業員と気楽な会話を始め、その従業員が入館バッ
ジをスキャンして建物に入る時に従業員の後に続いて建物に侵入するなどが

３．ＩＴシステム開発プロジェ
クト

ある。
）
８．組織は特権ユーザ（ＩＴ環境を管理するための管理者権限を持つユーザ）の活動を記録しモニターしているか？

１．内部ネットワークの脆弱性スキャンを実行する。
２．アクセスコントロールのレビュープ
ロセスをレビューする。オーナーは実
際にアクセスリストをレビューしていあるいはレビューは実際にリストを見ずに「承認」するという形骸化したコンプライアンス儀式になっているか？
３．第三者を使って攻撃のシミュレーシ
ョンを行い、結果を監査する。例えば、フィッシングメールを使って意識向上
研修プログラムの有効性を判断する（中・大規模組織）。
４．重要情報のバックアップ状況を監査

１

２

クトに費やされるため、テクノロジーのトップ10リスクの第３位とする。ほぼすべての組織が生き残りのためにテクノロジーシステムの開発や更新を必要としている。しかし残念

内部監査が行うべき重要な業務

るか？

ＩＴ予算の大部分はシステム開発プロジェ

ながら成功率は低い。スタンディッシュ・グ
ループが発行するＣＨＡＯＳレポートによると、ＩＴシステム開発プロジェクトの長期間の実績は以下の通りである。
●

全体の成功率：16.2％●

重大な問題が発生したプロジェクト：52.7％●

障害（中止）：31.1％
また、ある研究の予測によると、ソフトウ

エア開発失敗のコストは年間500～800億ドルにもなる２。
調査回答者の大部分は、主要プロジェクトの監査やプロジェクトマネジメントのアシュ
アランスの継続や増加の重要性を認識しており（図表３参照）、全回答者の６割が、これらの監査の増加を予測している。

訳者注：米国公認会計士協会が策定した受託業務を行う会社の内部統制の有効性を評価する保証業務基準書第16号のこと。日本においては日本公認会計士協会が監査・保証実務委員会実務指針第86号を定めている。

CIO Journal , January 2014. The Wall Street Journal からの引用。

月刊監査研究2016．1（No.506）

35

内部監査人協会（ＩＩＡ）情報

＜図表３＞

●

プロジェクトマネジャーまたは経営者の能力が低いか経験不足。

南アジア

73%

22% 5%

サハラ以南
アフリカ

73%

23% 4%

中東・北アフリカ

68%

26% 6%●

プロジェクト運営委員会が効果的でない。

内部監査人の役割
内部監査は、システム開発ライフサイクル

東アジア・
太平洋

63%

27%

10%

中南米・
カリブ海

62%

34%

4%

欧州・
中央アジア

57%

39%

5%

現性検証、要件検証、要件定義、詳細設計、

北米

54%

43%

3%

プログラミング、テスト、インストール、導

世界平均

61%

33%

6%

入後レビューが含まれる３。

0%（ＳＤＬＣ）の各段階の監査実施を検討すべきである。ＳＤＬＣの代表的な内容には、実20% 40% 60% 80% 100%

増える

変わらない

減る

注：質問94「今後2〜3年間で、これらの技術分野に関する
内部監査業務は、増える、減るまたは変わらない、のどれだと思いますか？」のうち「主要プロジェクトの監査・プロジェクトマネジメントのアシュアランス」に回答した者。回答数＝11,019。

主要システムプロジェクトの目的は、開発期間中および導入後もモニターされなければならない。多くの組織で達成されなかったプ
ロジェクト目的の例には、期限に間に合わない、費用超過、期待通りの効率性が達成されていない、導入前にテストされなかったソフ
トウエアの不具合、当初の計画から削減され組織は、あらゆるシステム開発の失敗から素早く学習する必要があり、そうす
れば事業体の主要アプリケーションの開発と導入をもっとうまくできるようになる。
オハイオ州内部監査室ＩＴ監査主任


期待ギャップＩＴシステム開発プロジェクトが経営者の期待に応えられない一般的な理由には、以下のようなものがある。
●

を実施する前に、プロジェクト完了日

ケースで特定した機能が十分に装備されてい最後に、もう１つの重要な問題はリーダー
シップの弱さであり、これはさまざまな段階
でプロジェクトを弱体化させ得る。リーダー
シップが弱くなる一般的な要因には、次のよ
うなものがある。
●

経営幹部レベルのプロジェクトチャンピオンの支援が限られているか積極的な関与がない。

●

ビジネスアナリストの能力が低いか適切に訓練されていない。

導 入期限の強制（プロジェクトチームが適切な計画やプロジェクト予測技法

た統合範囲、プロジェクト承認時にビジネスない、などがある。

エドワード・カー氏が設定されている）●

非現実的な期待●期待とリソースが釣り合わない●プ ロジェクトの実績低迷の影響が常に当てはまるわけではない●

不 規則・不正確な状況報告（アーンドバリュー法が用いられていない）

内部監査人が尋ねるべき重要な質問
１．プロジェクトは組織内でどのように承認されているか？
２．プロジェクトは組織内でどのように●リスクマネジメントの能力が低いか不十分。

３

ISACA Glossary of Terms 参照。www.isaca.org/Knowledge-Center/Documents/Glossary/glossary.pdf

36

月刊監査研究2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

開始されているか？

に従っているかを監査する。

３．プロジェクトは組織内でどのように

５．プロジェクトの範囲および成果物の管理されているか？

変更に関して、ユーザが関与している

４．主要プロジェクトには経営幹部のチかを検証する。

ャンピオンがいるか？

６．プロジェクト完了後、ＩＴ組織が行

５．プロジェクト運営委員会があり、定ったユーザ満足度調査の結果をレビュ

期的に会議が行われているか？

ーする。あるいは、ＩＴ組織が提示し６．プロジェクト開発にベンダーが関与た結果を検証するために、独自のユーしている場合、契約管理プロセスはど

ザ満足度調査を行う。

うなっているか？

７．事後分析や教訓を生かす活動が行わ

７．月次状況報告書は作成されているか？

れ、今後のプロジェクトプロセス改善

８．プロジェクト予算の超過または期限に利用されているかを判断する。

の延長の場合、組織内で取るべきプロ

詳 細 は、 Ｉ Ｉ Ａ の ホ ー ム ペ ー ジ 内 の
S t a n d a r d s & G u i d a n c e の G T A G12:セスは何か？
９．プロジェクトの目的が達成されない

Auditing IT Projects , 2009を参照。

場合に、プロジェクトを中止するプロ
セスが組織内にあるか？
10．ＩＴ組織は、ＩＴプロジェクトの結４．ＩＴガバナンス

果とコストに対するユーザの満足度調査を行っているか？

昨今の企業スキャンダルを受けて、コーポ
レートガバナンスだけではなくＩＴガバナン
スも激しい非難に晒されているため、テクノ

内部監査が行うべき重要な業務
１．主要ＩＴシステム開発プロジェクトのライフサイクルを通した監査を行う。
ライフサイクルには、契約遵守、プロ
ジェクト管理、コスト（ベンダーの要員配置・請求など）、プロジェクト進捗、
変更注文、インセンティブ・ボーナスプログラム等が含まれる。
２．監査回数を減らしたり追加知識を得るために、ベンダーの監査・品質チームとともにプロジェクト監査に参加する。これによりプロジェクトの中断も最小になる。
３．組織のプロジェクト管理手法についての監査を行う。
４．プロジェクトのポートフォリオをレビューし、特に予算超過または期限延長のプロジェクトについて、管理手法

月刊監査研究

ロジーのトップ10リスクの第４位とする。
多くの組織で経営者はＩＴに費やした金額に疑問を抱いており、ＩＴコストのモニタリ
ングの重要性が高まっている。ＩＴ側が考えるビジネスニーズとビジネス側が考えるＩＴにできることのギャップが広がっていることも、モニタリングの重要性が高まっている理由である。優れたＩＴガバナンスには、最低でも次の３つの要素がなくてはならない。
●

ビジネスとの明確な調和●測定可能な価値のビジネスへの提供●リソース、リスク、実績、コストの責任ある管理
回答者の３割は、ＩＴガバナンスに関連する内部監査活動を全くまたは最小限しかしていないと回答しており、懸念される分野である（図表４参照）。テクノロジーにかけた費用と顧客や業務に対する影響を考えると、ほ2016．1（No.506）

37

内部監査人協会（ＩＩＡ）情報

ぼすべての内部監査部門がＩＴガバナンスに＜図表４＞ＩＴガバナンスに関連する活動

関連する活動を最低でも中程度はすべきである。回答者の中で最も広範囲にＩＴガバナン
スに関連する活動を行っているのは南アジアであり、回答者の８割が中程度または広範囲に活動していると回答している。

内部監査の役割
内部監査は、ＩＴがうまく機能しており組織のリスク許容度に基づいてリスクを低減す

サハラ以南 4% 23%
アフリカ

45%

28%

欧州・ 8% 21%
中央アジア

43%

27%

中東・ 14% 16%
北アフリカ

45%

25%

中南米・ 8% 22%
カリブ海

45%

25%

北米 9% 21%

49%

22%

62%

21%

南アジア 6%12%

る適切なコントロールが整備されているとい東アジア・ 14%太平洋うアシュアランスを提供することによって、世界平均 9%

28%

43%

22%

15%

45%

23%

組織に役立つことができる。同様に重要なも0%

う１つのビジネス目的は、ビジネスを推進す1‒活動なし3‒中程度の活動

る機会を活かすようなＩＴインフラが整備さ

2‒最小限の活動

4‒広範囲の活動れることである。
小規模な内部監査部門は、ＩＴガバナンスに関連するレビューに時間を割くことが難し
いようである。３名以下の内部監査部門では、４割がＩＴガバナンスに関連する活動を全くまたは最小限しかしていないと回答している
（図表５）
。

20%

40%

60%

80%

100%

注：質問72「あなたの内部監査部門がガバナンスレビューに関連する活動に関わる範囲はどの程度ですか？」のうち「特に組織の情報技術（IT）利用に関連するガバ
ナンスの方針および手続のレビュー」に回答した者。
CAEのみ回答。
「該当なし・わからない」と回答した
者は計算から除外。回答数＝2,545。

＜図表５＞内部監査部門の規模と比較したＩ
Ｔガバナンスに関連する活動
100%
80%

ＩＴガバナンスの定義
全社的な情報技術（ＩＴ）が組織体の60%

戦略や目標を支援することを確実にする

40%

リーダーシップ、組織構造、プロセスか20%ら構成される。

0%─専 門 職 的 実 施 の 国 際 フ レ ー ム ワ ー ク

49%

47%

30%

33%

17%

21%

19%

1〜3

4〜9

42%
41%

45%

42%

37%

38%

17%

20%

10〜24 25〜49

50以上

内部監査部門の従業員数

2013年版より

1‒活動なしまたは2‒最小限の活動
3‒中程度の活動
4‒広範囲の活動

有効なＩＴガバナンスの構成要素●

組織体制とガバナンス体制●

経営幹部のリーダーシップと支援●

戦略計画と業務計画●

サービス提供と業績測定●

ＩＴ組織とリスクマネジメント

─GTAG 17: Auditing IT Governance（Altamonte Springs, FL: The Instituteof Internal Auditors, July 2012）．

38

月刊監査研究注：質問72「あなたの内部監査部門がガバナンスレビ
ューに関連する活動に関わる範囲はどの程度ですか？」のうち「特に組織の情報技術（IT）利用に関連するガバナンスの方針および手続のレビュー」に回答した者。CAEのみ回答。「該当なし・わからない」と回答した者は計算から除外。回答数＝2,497。

ＩＴガバナンス監査の計画方法
ＩＴガバナンス監査の範囲を決定し実施するために内部監査実施チームがすべ2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

レビューする。

きことは次の通りである。
●

Ｉ Ｔ機能が組織の目的と戦略に整合しているか、また理解しているかを判断
Ｉ Ｔリソースと業績管理の有効性を判

指標を監査する。
６．ＩＴの能力と実績についてビジネス断する。
●

す恐れのあるリスクを評価する。
５．ＩＴ環境内で用いられているコストする。
●

４．ＩＴ環境に好ましくない影響を及ぼ

Ｉ Ｔ環境に不利な影響を及ぼす恐れのリーダーがどのように見ているか調査

あるリスクを評価する。

する。

─GTAG 17: Auditing IT Governance７．組織内のコンプライアンスプログラ（Altamonte Springs, FL: The Institute

ムと次のような確立されたフレームワ

of Internal Auditors, July 2012）, 15.

ークを必要に応じて比較する（大規模組織）。

内部監査人が尋ねるべき重要な質問

C ontrol Objectives for Information

１．ビジネスと調和するためにＩＴはど

and Related Technology（COBIT）のような活動をしているか？

ビジネ

ト レッドウェイ委員会支援組織委員

スニーズを理解するためにＩＴがビジ会（COSO）

ネス側と会う頻度はどのくらいか？

National Institute of Standards and２．ＩＴの能力と実績についてビジネス

Technology（NIST）
国際標準化機構（ISO）27001, 27002

側はどのように見ているか？
３．ビジネスに提供している価値についてＩＴはどのように判断しているか？
４．ＩＴ担当役員は、ＩＴに雇う適正人数をどのように決定しているか？
５．ＩＴは、ＩＴリスク評価を定期的に行っているか？
６．ＩＴは自らの業績測定のための主要
業績評価基準を持っているか？
７．ＩＴはコストをどのように管理しているか？

５．アウトソースしたＩＴ業務
前章で述べた通り、ＩＴコストへの注目が増した結果、主要なＩＴ業務のいくつかはア
ウトソースされた。そのためＩＴガバナンスが一層注目され、テクノロジーのトップ10リ
スクの第５位にアウトソースしたＩＴ業務が押し上げられた。アウトソースしたＩＴ業務
は、障害が発生するまで発見できないというリスクに組織を晒し得る。アウトソースによ内部監査が行うべき重要な業務
１．企業文化、定められた業績評価基準
や期待、サービス内容合意書（ＳＬＡｓ）
、顧客サービス等に関するＩＴ組織の「トップの気風」を評価する。
２．ＩＴ機能が組織の戦略的優先順位と整合しているか、また理解しているかを判断するために、定期的に監査する。

って、組織の不可欠なテクノロジープロセス
が直接管理外に置かれることもある。平均して調査回答者の６割が、今後ＩＴ業務のアウ
トソースが増えるだろうと回答している（図表６）。増えると回答した割合が最も高いのはサハラ以南アフリカであり、最も低いのは欧州である。

３．ＩＴリソースと業績管理の有効性を

月刊監査研究2016．1（No.506）

39

内部監査人協会（ＩＩＡ）情報＜図表６＞アウトソースしたＩＴ業務の今後
の監査
サハラ以南
アフリカ

74%

22% 4%

南アジア

71%

25% 4%

中東・
北アフリカ

67%

28%

5%

って重要なものか？
２．組織には明確に定義されたアウトソース戦略があるか？
３．アウトソースした業務に関するガバ
ナンス体制はどのようなものか？

役

割と責任は明確に定められているか？

中南米・
カリブ海

63%

33%

4%

北米

59%

39%

3%

東アジア・
太平洋

59%

31%

10%

欧州・
中央アジア

55%

41%

4%

式な契約書またはＳＬＡｓが締結され

世界平均

61%

34%

5%

ているか？

80%

100%

0%

20%

増える

40%
減る

60%

変わらない

注：質問「今後2〜3年間で、これらの技術分野に関する内部監査業務は、増える、減るまたは変わらない、のどれだと思いますか？」のうち「第三者またはアウトソ
ーシングサービスを含むITの調達の監査」に回答した者。回答数＝11,020。

４．アウトソース時に詳細なリスク分析は行われたか？

また、定期的にリスク分析を行っているか？
５．アウトソースした業務について、正６．アウトソース先の業績をモニタリン
グするための主要業績指標（ＫＰＩｓ）
は、ＳＬＡに明確に定められているか？
７．契約書またはＳＬＡへの遵守状況はどのようにモニターされるか？
８．ＳＬＡを遵守していない場合に対応するために用いる仕組みはどのような内部監査の役割
内部監査人は、アウトソースの早い段階で関与することでアウトソースの問題のいくつかを防止することができる。例えば内部監査
は契約締結時に、監督、モニタリング、監査、
物理的・論理的セキュリティ、適切な人員配
置、担当者、情報へのアクセス、事業継続計
画・災害復旧、ＳＬＡｓ、報告などが契約書に適切に盛り込まれるようにすべきである。
ＩＴ業務をアウトソースするというこ

ものか？
９．データシステム、通信システム、オ
ペレーティングシステム、ユーティリ
ティソフトウエア、アプリケーション
ソフトウエアの所有責任は明確に定められサービスプロバイダーと合意されているか？
10．サービスプロバイダーの内部統制の有効性に関するアシュアランスを得る
プロセスはどのようになっているか？

とは、あなたの王国への鍵を誰かに渡して、彼らがあなたと同じように情報を管

内部監査が行うべき重要な業務理することを期待し信頼するのと同じこ

１．アウトソース契約プロセスの初期段とである。

階に関与する。

アシュランド社、ＩＴコンプライアンス・
マネージャー、ＣＩＳＳＰ、ＣＩＳＡ


ドリュー・ペリー氏

２．外部のサービスプロバイダーの監査を行い、彼らのＳＬＡとＫＰＩｓをレビューする。
３．契約や合意への非遵守があったアウ

内部監査人が尋ねるべき重要な質問

トソース先の業務をレビューし、適切

１．アウトソースした業務は、組織にとな措置が講じられたかを判断する。

40

月刊監査研究2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

４．アウトソース先が提供したすべての
ソースコードにマルウエアがないかス
キャンすることを確実にする。
５．アウトソースすべきＩＴ要素を組織が決めるための意思決定プロセスを監査する。
６．既存の主要なサービスプロバイダーを選定し、サービスプロバイダー選定前に実施したリスク評価をレビューする。

ニケーションを通じた組織の評判の毀損
図表７の通り、従業員のソーシャルメディ
アの利用についてのアシュアランス活動は、現在極めて低い割合でしか行われていない。
回答者の約６割は、活動を全くまたは最小限しか行っていない。広範囲に活動しているのは、回答者のわずか１割である。大規模な内部監査部門の方が、ソーシャルメディアのア
シュアランス活動をより多く行っているようである（図表８参照）。とは言っても、大規模な内部監査部門の４割は、この分野の活動を全くまたは最小限しか行っていない。

参考文献

Auditing Outsourced Functions , 2nd Edi-

＜図表７＞従業員のソーシャルメディア利用についてのアシュアランス

tion, by Mark Salamasick（Altamonte
Springs, FL: The Institutes of Internal

12%

Auditors Research Foundation, 2012）．

31%

GTAG 7: Information Technology Out-1‒活動なしまたは2‒最小限の活動

sourcing , 2nd Edition（Altamonte Springs,

3‒中程度の活動

FL: The Institutes of Internal Auditors,
2012）．

4‒広範囲の活動
注：質問92「特に情報技術（IT）のセキュリティについて、
下記の分野に関連する内部監査業務の範囲はどの程度ですか？」「該当なし・わからない」と回答した者は計算から除外。回答数＝9,747。

６．ソーシャルメディアの利用
ソーシャルメディアがメッセージを拡散す
るスピードは、組織によるソーシャルメディ
アの方針と手続の制定を促した。そのため、ソーシャルメディアの利用をトップ10リス
クの第６位とする。ソーシャルメディア方針
は、主として従業員が利用できるソーシャル＜図表８＞内部監査部門の規模と比較したソーシャルメディア利用についてのアシュアランス
100%
80%

40%

メディアツールの利用方法とソーシャルメデ
ィアで共有できる内容の制限に主眼を置いて0%いる。従業員が方針に違反して有害なメッセ

71%

60%

20%

23%

侵害などの法的責任のエクスポージャー●

競争力に影響し得る機密情報等の漏洩●

虚偽の、抽象的な、または不注意なコミュ

月刊監査研究

28%

57%
32%

6%

9%

1〜
3人

4〜
9人

10〜
24人

46%

42%

38%
17%

37%
21%

25〜
49人

50人
以上

1‒活動なしまたは2‒最小限の活動
3‒中程度の活動
4‒広範囲の活動

クがある。
名誉棄損、ハラスメント、プライバシーの

63%

10%

ージを投稿すると、組織には次のようなリス●

57%

注：質問92「特に情報技術（IT）のセキュリティについて、下記の分野に関連する内部監査業務の範囲はどの程度ですか？」のうち「従業員が組織に関するソーシャルメディアを利用する方法についての組織の手続の監査」に回答した者。「該当なし・わからない」と回答した者は計算から除外。回答数＝8,980。

2016．1（No.506）

41

内部監査人協会（ＩＩＡ）情報

参考文献

投稿されたコンテンツのモニタリング

Auditing Social Media: A Governance（ソーシャルメディアサイトのスキャン

and Risk Guide by Peter Scott and Mike

実施）に責任を負うグループまたは個Jacka（John Wiley & Sons with The IIA,

人はいるか？

2011）．

４．「コンテンツフィルタリング」ソフト

４

ソーシャルメディアのリスクに対処するには、組織はソーシャルメディア手続の一部に
次のステップを含めなければならない。
１．ソーシャルメディアのビジネス利用に関する適切な方針を定める。
２．セキュリティ意識向上研修のプログラム
を通じて方針を伝達する。
３．Web 2.0のようなテクノロジー用の「コンテンツフィルタリング」ソフトウエアの利用を通じて方針を実施する。
４．方針が守られることを確実にするために結果をモニタリングする。
５．方針に違反した者に対して方針の遵守を強制する。

ウエアでモニタリングしているのはどのようなコンテンツか？

ソフトウエ

アが発する警告をモニターするのは誰か？
５．ソーシャルメディア方針に違反した
従業員は、どのような処分を受けるか？
内部監査が行うべき重要な業務
１．ソーシャルメディアの方針と手続の監査を行う。
２．ソーシャルメディアの話題が確実に盛り込まれるように、意識向上研修プ
ログラムの妥当性をレビューする。
３．コンテンツの出入りをモニターする「コンテンツフィルタリング」ソフトウ
エアの利用状況とその有効性を理解す

内部監査の役割
内部監査人は、ソーシャルメディアに関するリスク管理において重要な役割を果たすことができる。内部監査人は、組織が上記のステップを実施する際に、コンサルタントの役る。
４．利用可能な組織のコンテンツを見つけるために、ソーシャルメディアサイ
トの独立的なスキャンを実施する。

割が果たせる。また、内部監査は、年間監査
計画の一部としてソーシャルメディア監査を含めることを検討すべきである。
内部監査人が尋ねるべき重要な質問
１．組織は取引先や顧客との連絡にソー
シャルメディアをどのように利用しているか？
２．ソーシャルメディアサイトに投稿を許可しているコンテンツは何か？
３．ソーシャルメディアサイトに実際に

４

７．モバイルコンピューティン
グ
モバイル機器の普及およびテクノロジー、外観、アプリケーションの向上は、労働力に大変革をもたらし「モバイルコンピューティ
ングとモバイルワーカー」という言葉に新たな意味を持たせた。したがって、モバイルコ
ンピューティングをトップ10リスクの第７位とする。以前のモバイルワーカーは、ラップ

訳者注：櫻井通晴・伊藤和憲・吉武一監訳『ソーシャルメディア戦略−ガバナンス，リスク，内部監査−』日本内部監
査協会、2013年

42

月刊監査研究2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

トップを組織のネットワークにリモート接続

存されていたりその情報にアクセスされたりして仕事をするのが一般的であった。現在のする場合には、組織が利害関係者のプライバ

モバイルワーカーは、ビジネス用に開発されシーを保護することが一層難しくなるだろたアプリケーションを搭載したスマートフォう。反対に、従業員はスマート機器が組織にンやタブレット端末のようなモバイル機器をよって侵害的な監視をされる、または、組織活かして仕事をするのが一般的である。

が組織情報を個人の機器から削除する際に誤モバイル機器は業務用ユーザに、携帯コンって個人の情報（例えば、写真や連絡先など）

ピュータ、Wi-Fiや携帯電話によるインターを削除してしまうなどのプライバシー上の懸ネットアクセス、公私兼用端末をもたらした。

念を持つ可能性がある。

同時に、私物か会社貸与かを問わずモバイル
機器は、リスク管理に対するＩＴ部門の伝統

管理リスク的なアプローチに難題を与えるような多種多

ＢＹＯＤｓは、広範囲なＩＴサポートサー

様な機器やネットワークコンフィギュレーシ

ビスの管理を必要とする。機器の種類が増え

ョンのリスクをもたらした。

るにつれて、ネットワークの潜在的な脆弱性も増してくる。さらに、機器がアップグレー

セキュリティリスク

ドされると、機器を適切に廃棄するための管モバイル機器に保存されている情報には、

理リスクも増える。ＢＹＯＤｓが外部のサー

個人データと組織のデータが含まれ得る。こ

ビスプロバイダーにも適用される場合には、の機器が紛失または盗難に遭う、ユーザが機

サービスプロバイダーのＢＹＯＤ機器上にあ器から組織のデータを削除せずに離職する、る組織データの管理も、管理リスクの増加に

適切なセキュリティコントロールが整備さつながる。

れていないか意図した通りに運用されていな
い、といった場合には、情報漏えいが起こる
可能性がある。

法的リスク
組織は、スマート機器に保存されたデータに関して、どのように訴訟が行われどのよう

コンプライアンスリスクに電子証拠開示要件が適用されるかといった個人所有の機器持ち込み（ＢＹＯＤ）の到法的要件を理解する必要がある。

来とともに、組織はユーザが方針と手続を遵守することに大きく依拠している。方針と手内部監査の役割

続には、ソフトウエアやオペレーティングシ

図表９の通り、内部監査部門の51％しかモ

ステムのアップデートのガイドラインのようバイル機器のアシュアランス業務を中程度まなものがある。アップデートが頻繁すぎるとたは広範囲に行っておらず、約半数はこの分

か機器のパフォーマンス低下になると考える野について全くまたは最小限の活動しかしてユーザは、アップデートをしないまたはコンいないことを意味している。

トロールを無視する可能性がある。

情報はユーザとともに移動するため、モバイル機器内のセキュリティ・データ

プライバシーリスク
ＢＹＯＤｓは組織と従業員という双方の観点で、プライバシー侵害の懸念を増す恐れがある。例えば、スマート機器に個人情報が保月刊監査研究は本社のものと同様に厳重に扱われなけ
ればならない。タブレット端末、パソコ
ン、携帯電話、スマート時計等は、会社

2016．1（No.506）

43内部監査人協会（ＩＩＡ）情報の戦略情報の大部分が保存されている小紛失や盗難の管理方法を監査する。

さなデータセンター（または、中央サー３．モバイル機器に保存できる情報の種

バを攻撃するのに十分なデータ）である。

類を組織が決める方法を理解する。

紛失や盗難に遭った機器の量が事態を悪４．機密情報がモバイル機器に保存され化させている。

ていないか、または、機密情報が暗号化されているかを検証する。

テレフォニカ・デ・アルゼンチナル社、内部監査部門長アフリカと中東の一部ではオンラインアレジャンドロ・レンバド・メンディサ

バンキングに携帯電話が広く利用されてーバル氏＜図表９＞モバイル機器の利用についてのア
シュアランス16%いるため、他の地域に比べてオンライン
バンキングのリスクが高い。
ワ ールドビジョン・インターナショナル
社、ＩＴ監査テクニカルディレクター

49%



35%

1‒活動なしまたは2‒最小限の活動
3‒中程度の活動
4‒広範囲の活動
注：質問92「特に情報技術（IT）のセキュリティについて、
下記の分野に関連する内部監査業務の範囲はどの程度ですか？」

グレース・ルワンガ氏

８．内部監査人のＩＴスキル
有能なＩＴ監査人の数の確保は内部監査にとって継続的な課題であるため、テクノロジ
ーのトップ10リスクの第８位とする。回答者

内部監査人が尋ねるべき重要な質問
１．組織にはすべてのモバイルコンピュ
ーティング機器の棚卸をするプロセスがあるか？
２．組織はモバイルコンピューティング
機器の紛失や盗難をどのように管理しているか？
３．組織はＢＹＯＤｓをどのように管理しているか？
４．組織は従業員離職時にモバイル機器のコンテンツをどのように管理しているか？
５．モバイル機器は暗号化されているか？

表10参照）。これには多くの理由があるが、「一般的な理由としては、ＩＴの専門家は新たなテクノロジーを活かしてＩＴ監査人よりも高い給料を要求する機会があるからだ。」とテキサスシステム大学監査学術研究機関エグゼクティブディレクターのマーク・サラマ
ンシック氏は語る。「テクノロジーの経歴や専門知識のある監査人の給料は一般的にＩＴ職より低いので、多くの組織でＩＴ監査スキ
ルのある監査人が不足している。」
ＩＴスキルのある監査人を増やす方法の１
つは、ＩＴの適性のある業務・財務監査人にＩＴの研修をすることである。しかし、内部
監査部門内で訓練された監査スタッフにとっ内部監査が行うべき重要な業務
１．モバイルコンピューティング機器の棚卸プロセスを監査する。
２．モバイルコンピューティング機器の

44のうちＩＴの専門家はわずか１割である（図月刊監査研究てＩＴ部門や経営陣の信頼を得ることは難し
いかもしれない。プロティビティ中東ＩＴコ
ンサルティングサービスのマネージングディ
レクター、スダーサン・ジャヤラマン氏は、

2016．1（No.506）

内部監査人協会（ＩＩＡ）情報「ＩＴ監査人は、ハイリスクの監査業務をうまく実施するために、より専門的なスキルが必要である。ＩＴ専門家としての経験を含む
高度なスキルをＩＴ監査人が持っていなければ、経営陣はＩＴ監査人のスキルや監査結果

ギャップが特定できれば、内部監査にはギャップを埋めるための選択肢がある。
選択肢１：適切に予算を配分して研修を行い、部門内でスキルを磨く。
選択肢２：最高情報責任者（ＣＩＯ）ととに大抵不安を感じる。」とコメントした。

もに、ＩＴスキルを持つ人材をローテー＜図表10＞調査回答者の技術的専門分野ションするプロセスを導入する。
選択肢３：外部のサービスプロバイダーに

25%
3%
3%
4%
5%

アウトソースまたはコソースして、ＩＴ18%

スキルギャップを埋める。
12%

5%

6%

9%

10%

内部監査人が尋ねるべき重要な質問
以下の６つの措置は、内部監査とＩＴ部門の関係構築およびＩＴプロセス全般に対する意識向上に役立つ。

18%

会計

12%

リスクマネジメント

10%

情報技術（IT）

ＩＴ監査が組織にどのような価値を与

9%

その他

えるかを実証する。

6%

コンプライアンス

5%

財務報告

5%

業務（オペレーション）

4%

不正

3%

マネジメント報セキュリティ最新情報伝達会、新た3%

業績（パフォーマンス）監査なテクノロジー会議等）に出席する。

25%

技術的専門分野はない

１．主要なＩＴスタッフと関係を構築し、２．重要なＩＴの課題とリスクをよりよく 理 解 す る た め に、 主 要 な Ｉ Ｔ 会 議（例：ＩＴシステム開発運営委員会、情３．最高テクノロジー責任者（ＣＴＯ）

注：質問11「一般的な内部監査業務に加えて、正式な研修受
けておりあなたの仕事の大部分を費やしている技術的専
門分野はありますか？」回答数＝13,144。

やＣＩＳＯを含め、ＩＴの主要メンバ
ーと定期的に会合を持つ。
４．ＩＴスキルの向上と経営陣からの信頼を得るために、テクノロジーの経歴

内部監査の役割
内部監査は、部門内のＩＴスキルの不足への対策を講じることができる。そのためには
まず、以下に従って部門内で不足しているＩ
Ｔスキルの棚卸をする。
１．組織内で利用しているテクノロジーの種類を理解する。
２．組織内で利用しているテクノロジーと部
門内のテクノロジースキルのマッピングをする。
３．内部監査がカバーしていないすべてのテクノロジーについて、スキルギャップを特定する。

月刊監査研究を持つ監査人を採用する。
５．ＩＴガバナンス監査を行う。
６．業務の重複を減らしＩＴスタッフへの業務の妨げを最小にするために、リスク管理、ガバナンス、コントロール、
コンプライアンスの分野と、組織のリ
スク情報を共有し協働する。
最後に、上記６つの措置の進捗状況を
取締役会に報告する。これにより、取締役会と監査委員会はテクノロジーに対する理解を深め、内部監査はＩＴ監査の有効性を向上するための説明責任を負う。

2016．1（No.506）

45

内部監査人協会（ＩＩＡ）情報

９．新たなテクノロジー

提供することができる。例えば、組織が初めてクラウドコンピューティングサービスの採テクノロジーの変化と発展の速度は驚異的用を検討している場合、内部監査はそのようであり、組織に新たなリスクを急速にもたらな環境がもたらす追加的リスク（リスクの低し得る。したがって、テクノロジーのトップ

減の場合もある）を判断するためのテクノロ

10リスクの第９位は新たなテクノロジーとす

ジータスクフォースの一員となることができる。新たなテクノロジーの意味は、組織による。

って異なるだろう。ある組織にとっては、ス＜図表11＞ビッグデータの信頼性リスク（組織タイプによる比較）

マート機器の利用は新たなテクノロジーかもしれないが、別の組織では既に定着している可能性がある。ここでの議論では、新たなテクノロジーを、組織内で今日利用されていな
いが近い将来利用されそうなテクノロジーと定義する。例には次のようなものがある。
●

予測的データ分析●ビッグデータ●フォグ・コンピューティング（クラウド・コンピューティングが事業体のネットワー

金融業界
（株式
非公開・公開） 23%
非営利組織

22%

公共部門・政府機関（国、地方自治体、諸官庁、国有組織等）

31%

43%

26%

株式非公開
（金融を除く）

32%

42%

26%

その他

37%

平均

29%

ある業界内では既に利用されているが（例
えば、金融業界におけるビッグデータ）、他の業界ではまだ利用されていないテクノロジ
ーもあり得る。このような違いは、リスクの認識水準にも影響する。図表11の通り、金融
業界は、ビッグデータの信頼性リスクが広範囲に及ぶと考えている割合が最も高い。

27%

3‒中程度
4‒広範囲に
注：質問93「下記の新たな情報技術（IT）の分野について、あなたの組織の固有リスクの水準はどの程度ですか？」「該当なし・わからない」と回答した者は計算から除外。
四捨五入の関係で合計が100％にならないものもある。
回答数＝9,373。

内部監査人が尋ねるべき重要な質問
１．組織には新たなＩＴテクノロジーを評価するチームがあるか？
２．組織には新たなテクノロジーを評価する正式なプロセスがあるか？
３．組織は新たなテクノロジーがもたら

内部監査の役割
内部監査人は、組織内の新たなテクノロジ
ー採用において重要な役割を果たすことができる。内部監査は、新たなテクノロジーの評
価プロセスの早い段階で関与すれば、リスクとコントロールの要件についてガイダンスを

46

44%

20%

1‒なしまたは2‒最小限

トワークに接続してデータのやり取りがでロボット工学

43%

0% 20% 40% 60% 80% 100%

インターネット・オブ・シングス（冷蔵庫や電子レンジのような毎日使うモノがネッ

●

25%

47%

３Dプリンター（３次元の物体を出力する

きる）

52%

31%

ようにプログラムされたプリンター）
●

35%

株式公開
（金融を除く）クの境界まで拡張したもの）
●

23%

43%

月刊監査研究すリスクをどのように識別しているか？
４．本番環境内で新たなテクノロジーが利用される現在進行中のプロジェクトは何か？

2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

内部監査の役割

内部監査が行うべき重要な業務
１．現在利用中のテクノロジーの一覧表を入手する。
２．新たなテクノロジーが利用される可能性のある新規プロジェクトについて理解する。
３．新たなテクノロジーのリスクプロセ

内部監査は、取締役会と監査委員会にテクノロジーに対する認識をもたらす主なルートであり重要な役割を果たす。内部監査は、監査委員会のテクノロジーの知識を評価し、監査委員会の啓発役やコンサルタントとしての役割を果たす責任がある。

ス（新たなテクノロジーの評価中にリ問題を事後分析する中でよく見られる

スクがどのように識別されるか）を監

根本原因には、自身のビジネス―仕組み

査する。

や起こり得る事態―を理解していなかっ４．新たなテクノロジーを採用するＩＴたことがある。この問題を克服し手遅れ

戦略を理解するために、ＩＴテクノロになる前に措置を講じる機会を当事者に

ジーチームと議論する。

与えるためには、自らの状況と選択肢をしっかり理解できるような環境を作るこ

10．取締役会と監査委員会のテクノロジー認識
多くの組織では、取締役会にＩＴ専門家はわずかしかいない。したがって、取締役会と監査委員会のテクノロジー認識を、テクノロ
ジーのトップ10リスクの第10位とする。ＩＴ
部門に業績の責任を持たせるためには、取締役会が適切な水準のＩＴ知識を持つ必要がある。istaインターナショナル社コーポレート・
インターナルオーディット・コンプライアン
ス担当シニアヴァイスプレジデントのグンタ
ー・メグジェネダー氏は、「取締役会と監査委員会は財務知識を向上させてきたのと同様に、今後はＩＴの専門知識を一層増やすことが重要である。」と述べている。
ＩＴはビジネスの可能性を広げるが、多大な投資が必要なため、取締役会にＩＴの知識が不足しているのは危険である。
「今後４～５年以内に、取締役会はＩＴ技術者を取締役にするか諮問委員会にＩＴ専門家を入れるべきである。」とフューチャー・
ポイント・オブ・ビューＬＬＣのパートナ
ー、スコット・クロソスキー氏は言う。

月刊監査研究とが不可欠である。
バ リューブリッジ・アドバイザーズ代表、
ＯＣＥＧフェロー
ブライアン・バーニャー氏

内部監査人が尋ねるべき重要な質問
１．テクノロジーの変更を計画する際の組織のＩＴ戦略はどのようなものか？
２．監査委員会はＩＴリスクを理解しており、その理解は全社的リスクに照らしたものであるか？
３．監査委員会は、全社的リスクとテクノロジー認識という観点からの自らの責任と役割を理解しているか？
内部監査が行うべき重要な業務
１．監査委員会との会議にテクノロジー
認識が含まれることを確実にする。
２．組織が新たなテクノロジーに関する意思決定をする場合に、助言者となる（例えば、組織が機密情報をクラウドに移すことを計画している時、または、機密情報を外部のサービスプロバイダーで保管している時）。

2016．1（No.506）

47

内部監査人協会（ＩＩＡ）情報

結論

レポートレビュー委員会
ウーリッヒ・ハーン（ドイツ）

内部監査人は、戦略的に考え、ビジネスをスティーブ・ハント（U.S.A.）

理解し、価値を付加するために熱心に働いてリチャード・マーティン（U.S.A.）

きた。これからは、内部監査人は組織に影響

マイケル・パーキンソン（オーストラリア）を及ぼし得る新たなテクノロジーを識別する

カート・レディング（U.S.A.）

ために積極的になる必要がある。専門家は以デイブ・ウイリアム（U.S.A.）

下を推奨している。
１．状況に応じた認識を持つためのプロセスを導入する。

スポンサー
本レポートはＩＩＡオースチン支部がスポ２．業界または組織が置かれた環境における危険信号に注意する。

ンサーの一部となっている。ご支援に感謝する。

３．
「起こりうる事態」を考える。
４．新たなテクノロジーのリスクと機会の影響を判断するためのレビュー用に、新たなテクノロジーのリスクと機会のリストを保持する。

著者について注：本レポートはフィリップ・フローラ氏とサジャイ・ライ氏が共同で執筆した。フロ５．リスクや機会を識別した時に、それに応ーラ氏は、トップ10リスクの決定、世界中

じてフォローアップするための措置を講じの専門家へのインタビュー、初稿を担当しる。

た。ライ氏は、最終稿および各章の尋ねる

将来を予測することは不可能であるが、テべき重要な質問と行うべき重要な業務を担

クノロジー・ランドスケープが変化すること当した。

は確かである。内部監査人は変化に対応するための準備をすべきである。

フィリップ・Ｅ．フローラ氏は、ＣＩＡ、
ＣＩＳＡ、ＣＦＥ、ＣＣＳＡの資格を保持しＣＢＯＫプロジェクトチームており、フロビズ＆アソシエイト, LLCの代

ＣＢＯＫ開発チーム

ループのメンバーであり、また、ＩＩＡの研ＣＢＯＫ共同委員長：ディック・アンダーソ

修コンサルタントを務めている。30年以上のン（U.S.A.）、ジャン・コロラー（フランス）

監査経験を持ち16年以上にわたって非営利公

実務家調査小委員会委員長：マイケル・パー

共企業のＣＡＥを務め、未来の監査リーダー

キンソン（オーストラリア）

表兼マネージングメンバーであり、ＹＣＮグ

50名以上の育成を支援する内部監査リーダー

ＩＩＡ調査研究財団ヴァイス・プレジデン
ト：ボニー・ウルマー

シップ開発プログラムの作成を支援した。現在はＩＩＡ調査研究財団の評議委員も務めて主任データ分析官：ポージュー・チェン博士

おり、2000年以来、ＩＩＡの国際委員会の委コンテンツ開発者：デボラ・ポーラリオン

員長、ＩＩＡ調査研究財団の研究・教育助言

プロジェクトマネジャー：セルマ・クースト

委員会（ＣＲＥＡ）、ＩＩＡの国際委員会メラ、ケーラ・マニング

ンバーなどを歴任した。過去10年間は、様々

編集主任：リー・アン・キャンベルな州、地域、国内外のカンファランスや研修会で講演している。フィルは、バージニア・48

月刊監査研究2016．1（No.506）

内部監査人協会（ＩＩＡ）情報

コモンウエールズ大学で会計の学位を取得しイザリーに従事し、また、アーンスト・アンている。

ド・ヤングのセキュリティおよびリスクの米

サジャイ・ライ氏は、ＣＰＡ、ＣＩＳＳＰ、

国リーダーとして活躍した。アーンスト・ア

ＣＩＳＭの資格を保持しており、セキュアリ

ンド・ヤングの前はＩＢＭ社に勤務し、情報ー・ヨアーズ, ＬＬＣの共同設立者兼オーナ

セキュリティと事業継続を担当した。ＩＩＡーである。30年以上のＩＴ経験があり、情報では専門職課題委員会（ＰＩＣ）委員およびセキュリティとリスク、ＩＴ監査、事業継続、デトロイト支部の理事を務めた。彼は、ワシ

災害復旧、プライバシーなどに精通している。

ントン大学セントルイス校で情報管理の修士

セキュアリー・ヨアーズを始める前は、アー号を、フォントボーン大学セントルイス校でンスト・アンド・ヤングＬＬＰのパートナー

コンピュータサイエンスの学位を取得していとしてデトロイトのメトロ地区で情報アドバる。

月刊監査研究2016．1（No.506）

49