内部監査人協会（ＩＩＡ）情報グローバルな視点と洞察

2018年：ＣＡＥが直面するトップリスク
内部監査人協会（ＩＩＡ）
訳者：堺咲 子
内部監査財団（Internal Audit Foundation） 評議員
インフィニティコンサルティング 代表
ＣＩＡ，ＣＣＳＡ，ＣＦＳＡ，ＣＲＭＡ，ＣＰＡ（ＵＳＡ）目次はじめに�������������� 42

仮想通貨������������� 50

人材管理�������������� 42

グローバルなデータ保護規則���� 51

データアナリティクス�������� 45

破壊的変化への対応��������� 56

サイバー�������������� 47

最後に��������������� 57

規制���������������� 50

諮問委員会
ＩＩＡ北米

ＩＩＡマレーシア
CIA, CCSA, CFSA, CGAP, CRMA

CIA, CRMA, CPA

ヌル・ハヤティ・バハルディン氏

キャロライン・セイント氏

ＩＩＡオランダ

ＩＩＡアラブ首長国連邦
CIA, CCSA, CRMA

CIA, CCSA, CGAP

カレム・オベイド氏

ハンス・ニューランド氏

ＩＩＡコロンビア

ＩＩＡアフリカ地域連合
CIA, QIAL

CIA, CCSA, CRMA

レセディ・レセテディ氏

アナ・クリスティーナ・ザンブラノ・プレシアド氏

Copyright © 2018 by The Institute of Internal Auditors, Inc., (“The IIA”) strictly reserved. Any reproduction of
The IIA name or logo will carry the U.S. federal trademark registration symbol ®. No parts of this material may be
reproduced in any form without the written permission of The IIA. Permission has been obtained from the copyrightholder, The Institute of Internal Auditors, 1035 Greenwood Blvd., Suite 401 Lake Mary, FL 32746, U.S.A., topublish this translation. No part of this document may be reproduced, stored in any retrieval system, or transmitted
in any form, or by any means electronic, mechanical, photocopying, recording, or otherwise, without prior written
permission of The IIA.

月刊監査研究2018．7（No.536）

41

内部監査人協会（ＩＩＡ）情報

組織のあらゆる階層で浮上する新たなリスク

はじめにに合わせて変更すべきである。本稿では、Ｉ

2018年という新しい年には、新しい法律、

ＩＡの国別代表機関が明らかにした、内部監

規則、意見、アイデア、テクノロジー、およ査部門長（ＣＡＥ）が直面する（内部監査まびリスクがあらわれる。今日の事業環境は過

たは組織に対する）上位５つのリスクを説明

去のものとは大きく異なり、より複雑でよりする。これらは、人材管理、データアナリテ

結びついている。組織は新たなリスクや未知

ィクス、サイバー、規制、および破壊的変化のリスクに直面するが、新たな機会や手つかへの対応である。

ずの機会にも直面する。この１年の機会と潜在的な課題やリスクの数（予期されているものも、2018年に特有のものもある）を考える

人材管理と、監査計画を、破壊的なものも含めた様々

人材管理は、ＣＡＥと内部監査専門家にとな事象の発生に従って変化するフレームワーって常に最大の関心事である。過去数年間Ｃク、と捉えるべきだろう。

ＡＥは、新たな役割を果たすスキルや、新規

内部監査は、組織全体の観点からリスク・や既存のリスクの対処に必要なスキルを持つ

マネジメント、コントロール、およびガバナ

採用候補者を見つけるのに苦労してきた。内ンスの各プロセスの有効性を評価し改善する

部監査の進化するニーズを満たすスキルを備ために、体系的で規律ある手法で組織の目標

えた候補者は、明らかに限られている。加え達成を支援する。監督機関と監査委員会は、て、職場環境をミレニアル世代労働者特有の手強い競争相手、進歩するテクノロジー、市特徴である、支援や感謝に対するより大き場動向の変化、および規則の制定によってもな期待や異なる期待、明確に思い描く職場環

たらされる脅威に対処するために、リスク・境、および柔軟な勤務スケジュールを好む

マネジメントの取り組みが適切であるといこと、などに合わせるという課題もある（4うアシュアランスを求めており、また必要

Strategies for Bridging the Internal Auditとしている（Internal Audit Future Trends:

Talent Gap２参照）。

Emerging Trends and High-impact Areas of
Focus１参照）。

2015年に内部監査人協会（ＩＩＡ）が行
った国際調査では、回答者の40％以上が人材

内部監査に対しては、全産業へより多くのを惹きつけ維持することを重要または極めて付加価値と戦略的支援を提供するというニー重要であると回答し、また、回答者の半数以ズがあるため、監査人は自身の業務を重要な上が限られた熟練監査人の中に知識ギャップ

すべてのリスク、特に戦略リスクと業務リスがあると考えていた。さらに、2017年にＩクに整合させる必要がある。内部監査は、ダ

ＩＡのオーディット・エグゼクティブ・セン

イナミックなリスク環境に対応し適応しなけ

ター©（ＡＥＣ©）が行った調査では、200名近ればならない。

くのＣＡＥの大多数（79％）が、内部監査専

リスクは変化するので、十分に練られた監門職にとって最も重要または非常に重要なリ査計画であっても柔軟性を持つべきであり、

スクとして人材管理を挙げた。ＫＰＭＧ社３１

訳注：https://www2.deloitte.com/us/en/pages/risk/articles/internal-audit-future-trends.html

２

訳注：https://blog.shrm.org/blog/4-strategies-for-bridging-the-internal-audit-talent-gap

３

訳注：https://assets.kpmg.com/content/dam/kpmg/ch/pdf/brq-talent-en.pdf

42

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報によると、取締役会は人材（またはその欠定のリスクや従来とは異なるリスクを、見落如）を全社的リスクと考えている。組織がグとしやすくなったり徹底的に監査しなくなっ

ローバル化するにつれて組織を支える従業員たりする。ヒューマンリソースマネジメント

は変化し続けるので、人材管理は非常に重要

協会５ によると、従来の財務、業務、およびである。グローバルな人材不足の潜在的な影

ＩＴ全般のスキルセットを超えて進化する能響と意味合いには、将来のリーダーの優良な力と、大局を見据える能力は、内部監査にと供給ルートがないためにリーダーシップスキって非常に重要である。

ルを維持できないことや、採用候補者に重要組織のリスクプロファイルをより包括的にな役割を担う能力がないために事業戦略の成理解した上で、慎重に能力を伸ばして業務を果が危うくなることなどがある。組織は、新引き受けることは、内部監査部門にとって組しい世代を指導したり優秀な人材や特殊能力

織に役立つためのより良い準備となる。そのを持つ人材を維持したりする能力がないこと

準備の一部は、特定分野の専門知識や業界固が、知的資本と競争優位を失う原因になって有の知識と合わせて、高度な批判的思考能力いることに気づいている。さらに、そしてと鋭いビジネス感覚を持つ人々を呼び寄せる

絶えず、ベテランの引退がスキル不足を引きことである。従来にはない新たなリスクは監起こしている（Boardroom Questions: Talent

査対象領域に影響するため、内部監査は自身

Management...or Talent Risk? 参照）。

のスキルの幅と深さを拡充しなければならな

４

さらに追い打ちをかけるように、新たなリい。

スク（例えばデータアナリティクス、第三者

ＣＡＥにとって不可欠なのは、監査人が自の管理、サイバーセキュリティ、持続可能性、身の経験やスキルを広げるように導き、また、政治などの不確実性）のために、組織は内部

監査計画を評価し実施する際にリスクの「新監査人へより多くを期待している。内部監査常態」を考慮することである。間違いなく従の焦点が伝統的な財務やコンプライアンスに来の監査研修には関連性があり、これからも基づいた業務や関心に限定される時代は終わ

関連性があるだろうが、継続的な教育とエクった。

スポージャー、適応能力、優れたソフトスキ

人事は内部監査の業務ではないが、内部監

ル、およびプロセスと業務の知識は、新たな査は経営陣がこれらのリスクにどれだけうま

ビジネスの世界の舵取りに不可欠である。

く対応しているかを評価すべきである。今日すべての人材を管理する能力は内部監査のの組織は、内部監査人が監査に対して統合的成功にとって必須であり、一時的な人員不足

なリスク監視や価値創造も含めたより全面的を埋めること以上に長期にわたるメリットをなアプローチを採ることを求めており、またもたらすことができる。ＣＡＥと経営幹部は期待している。このため、内部監査の最高の人材管理の取り組みを最適化するために、人人材、スキル、および知力を探す競争は激化

材の再編成と強化を目的とした綿密で充実ししている。

たアプローチを考案すべきである。効果的で適切なスキルがなければ、内部監査はテクあり、さらに、新たなリスクに直面する中でノロジー、地政学、経済、進化する企業報告、も可能な限り最高の内部監査部門を構築し、文化、および国内や国際的な規制などの、特展開し、維持するために、ＣＡＥは、既存の４

訳注：同上。

５

訳注：https://blog.shrm.org/blog/4-strategies-for-bridging-the-internal-audit-talent-gap

月刊監査研究2018．7（No.536）

43内部監査人協会（ＩＩＡ）情報

い、ギャップを埋める戦略を立てる。

スタッフに必要なもの、追加するスタッフに必要なもの、さらに重要なのは、スタッフが■具体的な職務能力、組織の戦略計画に沿っ成長し成功するために彼らのリーダーから学た実行可能な目標、およびデータアナリス

ぶ必要のあるもの、を判断するための戦略をトのような専門職の給与体系を含めるよう策定しなければならない。

に、人事考課を設計または再設計する。

堅実な人材管理戦略は、アプローチの組み■

既存のスタッフを指導してスキルを向上さ合わせによって決まる。ＣＡＥは人材不足かせることにより、混乱を最小に抑えて、既ら逃れることは出来ない。データサイエンス、

存の企業知識を新たに必要なスキルと統合

革新的思考、分析的思考、批判的思考、コミする。

ュニケーションなどの、明日のリスクに対処■

新しいスキルを市場で常に獲得する。財務するために必要なスキルを備えた採用候補者

や経理の学位だけでなく、様々な経歴を持が不足している。効果的な戦略には、必要なつ採用候補者を探す。複雑で特殊なリスクスキルと特徴を理解することや、優秀な人材の対処に必要なスキルを迅速に獲得するたを獲得し、育成し、維持するための継続的努

めのリソースとして、第三者のサービスプ

力などがある。

ロバイダーを検討する。
■

目標
■

考案する。

内部監査の集団として求められる能力は、内部監査の範囲を左右するリスクによって決定される。

■

ＣＡＥ、監査委員会、および経営幹部は、組織目標を支援するために必要なスキルと内部監査スタッフの総費用をしっかりと理解している。

■

内部監査は、一貫性のある業績管理プロセスを実施している。

■

内部監査のリーダーは、新しい世代の者や初めて内部監査の職に就く者を指導し惹きつける能力を持っている。

■

すべての内部監査スタッフ用の正式なキャ
リアプランが整備されている。

■

内部監査は、新入社員研修プログラムを策定しており、組織文化、リスク選好、および戦略的方向性について全員に継続的に教育している。

るならば、上位５つのリスクの１つである人材管理において内部監査が取り組むべき課題は俊敏さである。新たなリスクを認識して対処し、リスクを継続的に評価し、それに応じて監査範囲を調整する
ためには、十分に俊敏でなければならない。また、能力のギャップを認識して迅速に埋めるためにも、十分に俊敏でなければならない。ダイナミックな人材管理戦略がある内部監査部門は、将来成功するだろう。」
ＩＩＡ国際本部

事務総長兼ＣＥＯ

リチャード・チャンバース

関連するガイダンス
ＩＩＡ基準1210：熟達した専門的能力
めに必要な「知識、技能およびその他のリスク評価と監査計画をレビューして、計画実施に必要なスキルを特定する。現在のスキルと必要なスキルのギャップ分析を行

44「もしも内部監査が将来に備えようとす

内部監査人は、自らの職責を果たすた

目標に向けた行動■

効果的な新人研修や知識移転プログラムを

月刊監査研究能力」を備えていなければならない。内部監査部門は、部門の責任を果たすために必要な「知識、技能およびその他の能力」

2018．7（No.536）

内部監査人協会（ＩＩＡ）情報

ら意味のある洞察を導き出して知識を行動にを、部門総体として備えているか、また移すのは、口で言うほど簡単でないこともあは備えるようにしなければならない。

る。データアナリティクスを効果的なものにするには、適切な人材、フォーマット、プロＩＩ Ａ基準1230：継続的な専門的能力のセス、およびテクノロジーを整備する必要が

開発

ある。

内部監査人は、継続的な専門的能力のかつてないほど多くのデータを即座に意開発を通じて、「知識、技能およびその他のままに使えることから、経営陣と取締役の能力」を高めなければならない。

会は大量のデータが組織をデータ関連の財
務・非財務リスクに曝すことを認識しなければならない。どのようなアナリティクス

データアナリティクスの取り組みにおいても対処しなければならな

データアナリティクスとは、データを収集

いリスク領域には、次のようなものがある

して分析し、結果を利用してより良い意思決（Understanding and Managing the Risks of

定を行うプロセスである（訳者私訳。2017年、Analytics７参照）。

内部監査財団出版、「Internal Auditing 」第４■

データと情報の品質リスク－意思決定者が版、11-12頁）。組織は業務から大量のデータ必要とするデータは、複雑なデータについを生成しているが、これが内部監査に２つのての理解を伝達し促進するようなデータで重要な課題を与えている。１つ目は、取締役ある。すべてのデータと情報について明確

会や経営陣がデータの収集、管理、保護、おな定義と品質基準がなければならない。
データと情報のコンプライアンスリスク－

よび活用の方法を理解するために、どのよう■な支援をするかである。２つ目は、既存の監（通常は、州、連邦、または国際に関連する）

査プロセスに分析ツールを適用し、定型的な権限ある機関や認定機関の要件を遵守しな監査を自動化して新たなリスク領域に注力す

いと、罰金、追加作業、または個人的賠償

る際に、増え続けるデータを内部監査の観点責任などの好ましくない結果を招く恐れがからどのように活用するかである（Risk inある。

Focus: Hot Topics for Internal Audit 2018６■

データと情報のガバナンスリスク－データと情報は、プライバシー、セキュリティ、参照）。
基本的にデータアナリティクスは、データ

品質、および監査可能性を確保するために、の量を分割し、小さな塊の形で再編し、デー

適切なレベルでリスク・マネジメントの原タから意味と理解を取り出す機会を提供す

則とプロセスを利用して慎重に管理しなける。内部監査はその情報を使って、リスクのればならない。

総量と潜在的な相関関係を分析し、洞察と展■不適切または早計なアナリティクス利用の望を提供し、ステークホルダーが懸念し関心

リスク－アナリティクスは、次のような場を持つ問題について報告することができる。

合には役に立たない。データを収集、処理、

データアナリティクスとそれに関連するリス

解釈する時間がない場合、その意思決定にクを管理するのは骨が折れる。そのデータか関連する履歴や先例がない場合や過去のデ

６

訳注：https//www.iia.org.uk/media/1689344/risk-in-focus.pdf

７

訳注：https://er.educause.edu/articles/2012/7/understanding-and-managing-the-risks-of-analytics

月刊監査研究2018．7（No.536）45

内部監査人協会（ＩＩＡ）情報■■

ータが誤解を招くような場合、重要な変数

が、内部監査はそれを利用してリスクをよりを測定できないか不確実性が高い場合。

徹底的に評価し、監査業務を改善し、提供す文化的抵抗の影響によるリスク－データ指るアシュアランスのレベルを高めることが可向ではない組織文化にアナリティクスの取能である。

り組みを強要することは、リーダーに大き最近実施されたケーススタディ８ の結果になリスクをもたらす恐れがある。アナリテ

よると、内部監査にとってのデータアナリテ

ィクスの取り組みには、組織の意思決定シ

ィクスの主な利点には、効率の向上、効果のステムの評価と組織文化がどの程度データ

増大、アシュアランスの改善、戦略リスクの指向かの評価を含めるべきである。

一層の重視、監査範囲の拡大、および長期にデータに関する倫理的リスク－データアナ

わたる時間と経費の大幅な削減などがある。

リティクスの取り組みは、組織のコアバリ

ただし、これらのメリットを実感するために

ュー、意思決定、および行動に沿ったもの

は、内部監査はデータアナリティクス・プロとすべきである。倫理的なデータの収集とグラムが内部監査の包括的目標と望ましい活使用を確実にするためのコントロールを整動にどの程度効果があるかを評価しなければ備すべきである。

ならない。

内部監査は、組織がビッグデータプロジェ

データアナリティクスは、データに深く埋クトで直面する恐れのある危険性、特にスタもれた洞察を提示するとともに、より効率的

ッフのスキル不足という状況には常に注意しかつ効果的なテストを可能にするので、内部なければならない。データアナリティクスの監査にとって不可欠のツールセットである。

需要はますます高まっているので、既にそうだが多くの内部監査チームは、より高度なデなっていないとしてもすぐにあらゆる組織にータアナリティクスのテクノロジーを取り入とって不可欠な要素になるだろう。組織が競れておらず、未だに表計算ベースのツールや争力を維持して後れを取らないようにするた

アプリケーションに頼っている。そこで、監めには、ビッグデータプロジェクトに参加す

査委員会の支援が不可欠である。内部監査は、ることが重要だが、その際に考慮すべきリス

監査委員会がデータアナリティクスの重要性

クには次のようなものがある。

を理解しているかを確認すべきである（Data■

データセキュリティ。

Analytics: Is it Time to Take the First Step?９■

データプライバシー。

参照）。

■

費用。

■

信頼できない、無効な、不十分な、またはまたは改善するには、ＣＡＥは望ましい成果

無関係なデータ。

についてステークホルダーと討議して、アナ

信頼できない、無効な、不十分な、または

リティクスの目標を定め、必要な能力とテク

無関係なアナリティクス・プロセス。

ノロジーを判断すべきである。

■

データアナリティクス・プログラムを構築

テクノロジーは私たちが住む世界を電光の効率的なデータアナリティクス・プログラ

ような速さで変えるので、適切に準備していムの構築に対する主な障壁の１つであり、内なければ苛立つことになると言わざるを得な

部監査にとって常にリスクとなるのが、ビッい。テクノロジーは大量のデータを生成する

グデータを処理するスタッフのスキル不足で８

訳注：https//www.iia.org.uk/media/1689102/0906-iia-data-analytics-5-4-17-v4.pdf

９

訳注：同上。

46

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報ある。この専門分野が不足しているために、

ィクスのどのような成果が内部監査の目標

内部監査のアナリティクス・プログラムは最に最も役立つかを判断する。

適でない場合があるが、問題なのは必ずしも■イノベーションと機会の観点から、アナリプログラムそのものではなく、むしろその可ティクス・プログラムが組織と内部監査に能性が最大限に活用されていないことであ提供できるメリットを理解する。プログラる。あらゆる新事業の取り組みと同様に、ビムを最適に導入してメリットを実現するたッグデータプロジェクトにはリスクの要素がある。ビッグデータを管理する人材が欠けてめに必要なスキルを特定する。
■

いると、リスクの要素が一層増える。

データアナリティクスを重要な業務構成要素として捉える。さらに、組織のコンプラ
イアンスとコントロールのフレームワーク

目標■

全体を管理するために、可能な限り最も持内部監査は、データアナリティクスとテク続可能で質の高いアプローチとなるようにノロジー、および高度なテクノロジーが内監査業務をカスタマイズする。

部監査の有効性と効率性を向上させる方法■

イント、コード、前提条件について経営陣

内部監査は、データアナリティクスの利用と検討して、詐欺や不正のパターンを正確拡大に伴う新たなリスクに対する経営陣のに検出する。

内部監査は、組織の全面的な利益のために、
データアナリティクス・プログラムの高度な能力を活用する（例えば、リスクの高いスキームや行動の検証と監視、組織に固有のリスク評価プロセスの正確性評価など）。

■

内部監査は、異常値や不正リスクのパターンを早期に特定するテクノロジーを活用して、重要な発見を伝える。

■

内部監査は、テクノロジーを活用して、より少ない労働時間と人件費で組織全体のリ
スクカバレッジを向上させる。

「First Steps in Building a Data Analytics
Program for Your Internal Audit Team10」を部分的に編集。
目標に向けた行動■

10プログラムの中の個々のルール、データポについて深く理解する。

対応状況を評価する。
■■

データアナリティクス・プログラムに対す

関連するガイダンスＩＩ Ａ基準1220：専門職としての正当な注意
内部監査人は、平均的にしてかつ十分な慎重さと能力を備える内部監査人に期待される注意を払い技能を適用しなければならない。専門職としての正当な注意とは、全く過失のないことを意味するものではない。
1220.A2−専門職としての正当な注意を払うに当たって、内部監査人は、テクノロジー・ベースの監査技法とその他のデータ分析技法の使用を検討しなければならない。

サイバーる基本的ニーズと具体的ニーズがどのよう組織に対する執拗で猛烈な情報侵害であろなものかを決定することにより、アナリテ

うと、果てしなく続くなりすまし犯罪であろ

訳注：https://www.cebglobal.com/blogs/internal-audit-first-steps-in-building-a-data-analytics-program/?business_line=risk-audit

月刊監査研究2018．7（No.536）

47

内部監査人協会（ＩＩＡ）情報

うと、高度で資金力のあるサイバー犯罪者は切かつ効果的に管理して、そのリスクを評価

手強い敵である。相互接続性は複雑かつリスすることである。リスク文化は、組織全体のクベースの世界を生み出し、サイバー犯罪者

すべての意思決定、行動、およびリスクテイにとってはまさにうってつけの時代である。

クの基盤なので、取締役会は文化を考える時彼らが利用するテクノロジーは拡張し進化しにリスク文化も含めている。内部監査は、デ続けているので、彼らに追い付くのは厄介でータ収集と非公式のレビューを行うことによある。

って、標準的な業務監査や財務監査の中でリ

サイバー攻撃に対する防御計画に着手してスク文化を監査することが可能である。

その計画の効果を確認することは、24時間体

内部監査は、組織文化が必要条件、プロセ制の仕事である。なぜならば、問題は攻撃がス、および能力というレベルに影響を及ぼす発生するかどうかではなく、いつ発生するか場合であっても、率先してすべての分野のサだからである。サイバーリスクに対する認識

イバーセキュリティ・コントロールの有効性とサイバーリスクに対する準備の間には大きに関する経営陣の知識を深めることができな違いがある。誰もがリスクを認識しており、る。文化は組織内の生産性、価値観、態度、

毎日その事実に直面している。だが準備には、慣行を推進し、また、様々な要因によって形試行された攻撃を完全に阻止したり、あるい成され維持されるので、内部監査は組織の他は攻撃に耐えて無傷かわずかな損害で回復しの分野を評価するのと同じ方法でリスク文たりする能力が含まれる。侵害という災害に化を評価することができる（Internal Audit

対する防御を少しでも享受するには、サイバ

Future Trends11を参照）。内部監査は、文化ー攻撃に抵抗し、反応し、攻撃から回復できの評価方法を理解し、経営者にその重要性をる、つまりサイバーレジリエントになる必要

伝えることによって、価値を最大化すること

がある。

ができる。

サイバー問題（例えば、ハッキング、侵入、文化を含むサイバー関連のリスクを克服す

フィッシング詐欺、経済スパイなど）の懸念るためには、経営陣が予防策を講じ、研修とが高まるにつれて、ステークホルダーは組織

啓発プログラムとともに予防策を実施した上のサイバーセキュリティ・リスクマネジメン

で、それらが継続的に行動で示されるように

トプログラムに一層の可視性を求め、取締役することが重要である。したがって、従業員、会は内部監査がサイバーリスクとサイバープ

納入業者、提携先、および請負業者などを訓ログラムを独立的、客観的、包括的にレビュ

練して、サイバーセキュリティの対策と手順ーすることを望む。したがって、内部監査もに関して期待することを正確に理解させなけ起こり得るリスクに精通して、サイバーレジ

ればならない。

リエンスにおける重要な役割を果たさなければならない。

内部監査のリスク評価戦略は、サイバーセ
キュリティに特有の全リスクについて策定す

残念ながら、サイバーセキュリティ・リス

べきであり、また、方針とインターナルコン

クは外部からの脅威によって起こるとは限ら

トロールの遵守を確認すべきである。内部監

ず、潜在的脅威は従業員や業務提携先の行動

査は、サイバー問題が及ぶ可能性があるすべから起こる場合もある。したがって、サイバての分野で、組織とステークホルダーのニーーレジリエンスで重要なのは、組織文化を適ズを満たす集中的な監査手法を考案する必要

11

訳注：https://www2.deloitte.com/us/en/pages/risk/articles/internal-audit-future-trends.html

48

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報な文化がある。

がある。効果を得るためには最低でも、統制
活動、統制環境、リスク評価、コミュニケー■

内部監査は、サイバーセキュリティの調査

ション、およびモニタリング、ならびにサイと準備に欠かせない重要な要素14に貢献す

バーセキュリティ対策評価のフレームワーク

る。

を導入することが求められる（Risk in Focus:○ 防御と検出：内部監査は、組織の脆弱性

Hot Topics for Internal Audit 2018 参照）。

を特定するための包括的アプローチを提第３のディフェンスラインである内部監査

供し、データアナリティクスを内部監査

はサイバーセキュリティ戦略と方針を策定すの責任領域に組み込むことにより、異常る際に経営陣や取締役会と協力して、組織がが起きていることを警告する。

12

サイバーセキュリティのリスクを特定し低減○ 事業継続：現在行っている業務に影響をする能力を向上させ、監査委員会や取締役会与え得るリスクシナリオ（サイバー攻撃、との関係を活用して彼らが関与し続けている

自然災害、事業継承を含む）に対処してことを確認し、さらに、サイバーセキュリテ

克服するための計画を経営陣が立てる際ィ・リスクが監査計画に正式に統合されていに、内部監査は経営陣に助言して協働すて、計画実施に必要なスキルが（社内またはる。

コソーシングで）備わっているかを確認すべ○ 危機管理とコミュニケーション：内部監きである。新たなテクノロジーや傾向は、組査は、有効性と適時性に関するアシュア

織のサイバーセキュリティ・リスクプロファ

ランスチェックを提供し、実施された計

イルに影響するので、内部監査も新たなテク画の分析と批評をすることにより、危機

ノロジーの状況を常に把握して、組織の脆弱管理計画とコミュニケーションの準備を性レベルや望ましいサイバーセキュリティ計支援する。

画に対するリスク活動を評価すべきである。

○ 継続的改善：内部監査は、洞察を提供し、サイバー攻撃に対するより良い準備のた「サイバーリスクの監視役割を効果的にめに戦略と手順を改善することにより、果たすために、取締役が技術者である必価値を付加する。

要はない。しかし、各取締役はサイバー監視の実効性を向上させる機会を活かす

目標に向けた行動

ことができる。」■

全米取締役協会（ＮＡＣＤ）

サイバーレジリエンスに関する組織文化を評価する。

ＮＡＣＤハンドブック「サイバーリスクの■監視」2017年

セキュリティモデルとサイバーセキュリティ・プロセスのリスク評価を実施して、改出典：The Value of Visibility: Cybersecurity
risk management examination13

善を勧告する。
■

ＩＴ部門や請負業者とデータの侵入テストを実施して、確立されたプロトコルに準拠

目標■する能力が請負業者にあるかを評価する。

組織には、サイバーに対してレジリエント■

サイバーレジリエンスのギャップ分析を実12

訳注：https//www.iia.org.uk/media/1689344/risk-in-focus.pdf

13

訳注：https://www2.deloitte.com/content/dam/Deloitte/us/Documents/risk/us-risk-cybersecurity-risk-managementexamination.pdf

14

訳注：http://info.knowledgeleader.com/what-is-internal-audits-role-in-cyber-security

月刊監査研究2018．7（No.536）

49内部監査人協会（ＩＩＡ）情報

施し、改善を勧告し、是正措置についてフォローアップする。
■

サイバーセキュリティの監視と対応を最重要課題として強調して、文化に影響を与える。

■

事業継続計画が定期的にテストされ、是正

信頼性とインテグリティ●

業務とプログラムの有効性と効率性

●

資産の保全

●

法令、方針、定められた手続および契約の遵守措置が取られていることを確認する。
■

強力なサイバー文化とリスク文化を組織全

仮想通貨体に導入して奨励し、長期にわたってサイ

ＣＮＢＣ社15によると、最近のデジタルコ

バーセキュリティの対策と手順に影響を与

インの急激な売却に伴い、仮想通貨の価値はえる。

１兆ドルを超える可能性がある。ビットコイ
ン16の価値は不安定で、2018年初頭には６千ドルから１万ドルの間で変動した。仮想通貨

規制

交換業者ゲートコイン社のアジア太平洋地域

世界中の組織は、消費者や公益をある程度

事業開発責任者トーマス・グリュックスマン

守るために設計された新しい規制要件や変更

氏は、「仮想通貨交換業者に対する監督機関のされた規制要件に直面している。最も注目さ認識の高まり、機関投資家の参入、およびテれる規制は、財務上のリスクとコントロール

クノロジーの大きな進歩は市場の回復に寄与

およびデータのプライバシーとセキュリティ

して、今年は仮想通貨価格を全面的な高値にに重点を置いており、あらゆる業種の組織に押し上げるだろう。（2018年）12月までにビ影響を与えている。

ットコインが５万ドルまで上がらないはずはない」と述べた。

関連するガイダンス

世界中の大手金融機関がブロックチェーン

ＩＩＡ基準2130：コントロール
内部監査部門は、コントロール手段の有効性と効率性を評価し、継続的な改善を進めることにより、組織体が有効なコ
ントロール手段を維持することに役立たなければならない。
2130.A1−内部監査部門は、以下の各事項に関わる組織体のガバナンス、業務および情報システムにおけるリスクに対応したコントロール手段の妥当性と有効性について評価しなければならない。
●

組織体の戦略目標の達成状況●

財務および業務に関する情報の、技術や仮想通貨取引に関与しているので、金融機関は従業員が個人口座でデジタルコインを取引する際に起こり得る利益相反への対処
方法を見つけ出す必要がある。デジタルコイ
ンの価格高騰は、投資家や銀行の関心を煽るだけでなく、コンプライアンス部門もかなり注意を払っている。仮想通貨に関与する（または投資したいと思う）従業員が不当な優位性のある立場で取引すると、利益相反が起こり得る。一般的には、従業員は利益相反の可能性のある証券取引をする前に許可を得なければならない。しかし、仮想通貨取引は断片化された交換業者のネットワークを介して（時には匿名で）行われ追跡が複雑なので、

15

訳注：https://www.cnbc.com/2018/02/07/bitcoin-price-could-hit-50000-this-year-experts-say.html

16

訳注：https://www.cnbc.com/quotes/?symbol=BTC%3D50

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報

このような方針を課すのはかなり難しい。

ライアンス違反に対して、最高で当該企業のさらに、国際的な監督機関から明確なルー

前事業年度の全世界年間売上高の４％またはルが示されていないため、金融機関が独自に

2,000万ユーロのいずれか高い方を制裁金とルールを設定することが難しい。また、仮想して課す権限を持っている。制裁金について通貨を商品とみなす企業もあれば、有価証券

は段階的なアプローチがある（例えば次のよかもしれないという企業もあるが、どちらかうな場合には、最高で当該企業の前事業年度は規定していない。最近のビットコインや他の全世界年間売上高の２％または1,000万ユのデジタル通貨の衝撃的な不安定さにより、ーロのいずれか高い方の制裁金が課せられ国際的な監督機関は不安を募らせており、厳る。適切に記録を保持しなかった場合［第28しい規制が導入される可能性がある。

条］、侵害について監督機関とデータ主体に通知しなかった場合、データ保護影響評価を

グローバルなデータ保護規則

実施しなかった場合）。これらの規則は管理

多くの政府がデータのプライバシー保護に者と処理者の両方に適用されることに注意す

関する規則を強化している。２つの例は、欧ることが重要であり、クラウドサーバはＧＤ

州連合（ＥＵ）と中国である。

ＰＲの適用を免れないだろう。最高の制裁金

４年間の準備と議論を経て、ＥＵデータ保の対象となる例には、個人データの処理に関護指令95/46/ECに代わるものとしてＥＵ一する基本原則を遵守しなかった場合、データ

般データ保護規則（ＧＤＰＲ）が2016年４月

主体の権利を侵害した場合、適切なレベルのにＥＵ議会で採択された。ＧＤＰＲは、年を

データ保護を保証しない第三国または国際機追うごとにデータ侵害がより大きく、より煩関に個人データを転送した場合、などがある

わしく、費用がかかるようになっている2018（ＥＵ ＧＤＰＲ17参照）。

年５月に発効する。データ侵害は、2015年から2016年にかけて40％増加したと報告されているが、2017年の侵害はこれを大幅に上回った（詳細は、次ページ「2017年のデータ侵害」
を参照）。
多くの企業には古いデータ保護指令に沿ったプライバシー方針があるが、新しいＧＤＰ
Ｒには、ＥＵデータに対する新たな保護規則が多数含まれており、ＧＤＰＲ発効後にコン
プライアンス違反があったデータ管理者と処理者には、制裁金や罰則が科されることになっている。簡単に言うと、欧州で事業を行う、「ＧＤＰＲとその影響が注目されている。監査委員会はアシュアランスの観点から、当初は内部監査にプログラム自体を評価することを求めるが、その後は継続的なコンプライアンスのために、適切なプロセスが適切に実施されていることを確認するための継続的な独自プログラムを策定することを求めるだろう。」


多国籍銀行グループ

ＣＡＥ

出典：Risk in Focus: Hot Topics For Internal
Audit 201818

またはＥＵ住民の個人データを扱う（現地の、または国際的な）あらゆる組織は、新規則を遵守しなければならない。
監督機関は、主な条項への最も重いコンプ17

訳注：https://www.eugdpr.org/

18

訳注：https://www.iia.nl/SiteFiles/Hot%20Topics%202018%2011_9_2017_digital%20version.pdf

月刊監査研究2018．7（No.536）

51

内部監査人協会（ＩＩＡ）情報2017年のデータ侵害
月
１月８日

組織

違反または侵害

E-Sports Entertain- 1,503,707件のレコードがデータベースに追加され、個人情報等が漏洩。
ment Association（ESEA）

２月２日
３月15日

Xbox 360 ISO and 120万のXbox 360 ISOと130万のPSP ISOのアカウントが影響を受け、個PSP ISO

人情報が盗難。

Dun & Bradstreet

ウェブ上で共有される米国国防総省や米国郵便公社を含む企業の3,300万人を超える連絡先と個人情報が漏洩。

４月６日

FAFSA: IRS Data 最大10万人の納税者や学生の個人情報が盗難の可能性。
Retrieval Tool

５月10日

Bronx Lebanon Hos- 2014年から2017年の間に少なくとも7,000人の患者の、中毒、精神・健康
pital Center

診断、ＨＩＶの状態、および暴行報告を含む極めて個人的な情報が漏洩した可能性。

６月20日

Deep Root Analytics

共和党全国委員会が雇った同社がパスワード保護のないクラウドサーバ
上に個人情報を保管して２週間以上公開し、約１億9,800万人の米国市民
に影響。

７月13日

Verizon

顧客が同社に電話連絡した時に生成されるログファイルがセキュリティ対策されていないサーバで保持されていたため、1,400万人の加入者情報
が露出。

８月30日

Online Spambot

セキュリティ対策されていないサーバから７億1,100万件の電子メールア
ドレスとパスワードが盗難。

９月７日

Equifax

ウェブサイトソフトウェアの弱点を突いたハッキングで１億4,300万人の顧客が影響を受けた可能性。社会保障番号やクレジットカード番号などの個人情報が露出。

10月12日Hyatt Hotels

11か国41施設で使用（スワイプ）されたデビットカードとクレジットカードの支払い情報（クレジットカード番号、内部認証コード、カード所有者の氏名等を含む）への不正アクセス。

11月21日Uber

氏名、電子メールアドレス、電話番号など、5,700万人の運転者と顧客の個人情報が露出。

12月10日TIO Networks

銀行口座情報、支払いカード情報、パスワード、ユーザ名、社会保障番（PayPal）

号など、160万件超の顧客ＩＤが漏洩。

「2017 Data Breaches – The Worst So Far19」から編集。

関連するガイダンス

項に関わる組織体のガバナンス、業ＩＩＡ基準2130：リスク・マネジメント

務および情報システムに関するリス

内部監査部門は、リスク・マネジメン

ク・エクスポージャー（リスクに曝ト・プロセスの有効性を評価し、リスク・されている度合い）を評価しなけれ

マネジメント・ プロセスの改善に貢献しばならない。

なければならない。

●

組織体の戦略目標の達成状況●

財務および業務に関する情報の、

2120.A1−内部監査部門は、以下の各事
19

訳注：https://www.identityforce.com/blog/2017-data-breaches

52

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報

る。新法には85の条項があり、そのうちいく

信頼性とインテグリティ●

業務とプログラムの有効性と効率性

つかはＥＵ ＧＤＰＲと相互参照している。重
要インフラ事業者は、これらの保護措置を規定する法律が発効してから２年以内に、最高

●

資産の保全

●

法令、方針、定められた手続および契約の遵守水準の技術で適切な組織的および技術的保護措置を実施しなければならない。加えて、重要インフラ事業者は、セキュリティ要件を満「同意」の定義と要件でさえかなり限定さたしていることを定期的に証明し、運営する

れている。以前は、データ管理者が状況によ

重要インフラの機能障害または障害をもたらっては暗黙の了解や「オプトアウト 」といす可能性があるＩＴシステム、コンポーネン

う同意を利用することが許されていた。だがト、およびプロセスの可用性、完全性、真正2018年５月25日以降はＧＤＰＲが同意の要性、機密性に対する重大な障害がある場合は、件を強化したので、企業は同意の対象となる

直ちに連邦情報セキュリティ局（ＢＳＩ）に

データ処理の目的が記載された、容易にアク

通知しなければならない（What You Need to

セスできる形式の同意書を提出しなければな

Know About Germany’s Cybersecurity Law 22

らないため、法律用語だらけの長くて判読不

参照）。

20

能な約款をもはや使用することができなくな

中国には既に情報セキュリティに関する厳る。同意は、他の案件と明らかに区別でき、格な法令や規則があるが、サイバーセキュリ

明確で平易な文言で示さなければならない。

ティとデータ保護のギャップを埋める広範な同意の撤回は、その付与と同程度に容易なも法律が導入され（2017年６月施行）、これにのでなければならない。さらに、一旦同意がはＥＵ ＧＤＰＲの条項を取り入れている。中

撤回されると、データ主体は、個人データを国サイバーセキュリティ法（ＣＳＬ）は、多

削除させ処理できなくさせる権利を有する

くの点でＧＤＰＲと一致している（Risk in（The Top 10 Operational Impacts of the EU's

Focus: Hot Topics For Internal Audit 2018 23

General Data Protection Regulation21参照）。

参照）。ＣＳＬは改正されて、個人情報と個ＧＤＰＲは、ドイツのサイバーセキュリテ

人のプライバシー保護をより重視しており、ィの取り組みに大きな影響を与えるだろう。

個人情報の収集と使用を標準化している。例2017年５月、ドイツ議会は連邦データ保護法

えば、以前は外国企業が中国国外に情報を移の改訂版を採択し、2018年５月25日にＥＵ転できたが、現在は同法により、機密データ

ＧＤＰＲとともに発効する。最高30万ユー

は国内に保管しなければならず、同法に違反ロの罰金を課す強力な国家データ保護法で知すると事業活動の停止などの厳しい罰則が課られるドイツは、厳しいサイバーセキュリテせられる。罰金は100万人民元に達する可能

ィ基準に移行しており、重要インフラのサー性がある（詳細は、次ページの「ＣＳＬの改

ビスプロバイダーや事業者に対して、ユーザ

正」参照）。

を保護しサイバー情報を守る責任を課してい20

訳注：企業などが個人情報を収集・利用することができるということを事前に決め、本人に知らせておいた上で、後に本人に利用を制限できる機会を与えることを意味する。

21

訳注：https://iapp.org/resources/article/top-10-operational-impacts-of-the-gdpr/

22

訳注：https://natlawreview.com/article/what-you-need-to-know-about-germany-s-cybersecurity-law

23

訳注：https://www.iia.nl/SiteFiles/Hot%20Topics%202018%2011_9_2017_digital%20version.pdf

月刊監査研究2018．7（No.536）

53内部監査人協会（ＩＩＡ）情報

ＣＳＬの改正条項
31

最終版

重要な改正点サイバーセキュリティ保護に関しては、公共通信・情報 この条文は、重要情報インフラの保護サービス、エネルギー、金融、交通、水道、公共サービ が優先される業界とセクターを明確にス、電子政府の重要情報インフラの保護、ならびに、破 している。
壊、機能喪失、またはデータ漏洩の場合に国家安全保障、
国家経済、および公益に深刻な打撃を与える恐れのある
他の重要情報インフラの保護を国家は重視する。

43

個人は、ネットワーク運営者に対し、収集または保管さ この条文は、市民に対して個人情報をれた個人情報の誤りの訂正を求める権利を有する。ネッ 保護するためのより大きな権利を与トワーク運営者は、誤りを削除または訂正する措置を講 え、ネットワーク運営者に対して誤りじなければならない。

46を適時に訂正する義務を課している。

個人または組織は、ネットワークの使用に責任があり、 この条文は、個人や組織がネットワー
詐欺的な目的やその他の違法行為のためにウェブサイト クの使用に対して責任を負うことを強やコミュニケーショングループを開設してはならない。

調している。

76（5） 「個人情報」とは、電子的またはその他の方法で記録さ この条項は、個人情報保護の範囲をれた、自然人の身元を単独で、または自然人の名前、生 「市民」から「自然人」に拡大してい年月日、識別番号、個人の生体情報、住所、および電話 る。
番号のような情報との組合わせで特定できるあらゆる種類の情報を指す。
63

第27条に違反し、サイバーセキュリティを危うくする活 サイバーセキュリティ法違反に対する動に関与した者は、事件の重大性に応じて５日から15日 最高の罰金は100万人民元に増加した。
間の拘禁、また、10万から100万人民元の罰金が科されることがある。

出典：Overview of China’s Cybersecurity Law24

しかし、ＣＳＬに対する反対がないわけで家、およびプロセス全体の有効性について取はない。2017年５月にニューヨーク・タイム

締役会に責任を負わせる他のステークホルダ

ズ紙が報じたように、「欧州、アメリカ、およーから圧力をかけられている（Of Corporate

びアジアの財界は連携して、法律の施行を延Governance, Risk Management, and Internal

期するよう中国に要請し、中国の欧州連合（ＥAudit 25 参照）。新しい規則は、リスク・マネ

Ｕ）商工会議所は、企業が「かなりの遵守義

ジメント、コントロールおよびガバナンスの務」を守る準備をするための時間を求めた」。

各プロセスを複雑にすることで、コストを増

ＥＵ、中国、あるいはデータのプライバシ

大させ組織に圧力をかけている。

ーに関する規則が増えている他の多くの国々

取締役会に対する圧力が高まるにつれて、で事業を行っている組織でさえも、規則の影

内部監査にも圧力がかかる。組織は、大きな響を感じている。取締役会は、組織内のガ期待を込めて内部監査を頼りにしている。組

バナンス・フレームワークの強化を強く求織は、変化し続ける規制に対応すると同時にめており、また取締役会は、監督当局、投資

破壊的な力を機会に変える際に、内部監査の24

訳注：https://assets.kpmg.com/content/dam/kpmg/cn/pdf/en/2017/02/overview-of-cybersecurity-law.pdf

25

訳注：https://www2.deloitte.com/mt/en/pages/risk/articles/mt-risk-article-of-corporate-governance-riskmanagement-and-internal-audit.html

54

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報

助言とアシュアランスの必要性を認めている（KPMG Internal Audit: Top 10 Key Risks in2016 26 参照）。
破壊的な力に対して生き残るための鍵は、ガバナンス、リスク・マネジメント、コンプ
ライアンス、および業績のバランスの達成である。これらの課題を乗り切ると、事業価値を保全し強化し、業務効率を向上することができる。

プロジェクトや戦略を評価する際のリスク
現在の国内および国際規則に関する組織全体の認識を向上する。

■

現在の国内および国際規則へのコンプライ
アンス対策を確立する。

■

内部および外部のアシュアランス提供者と連携する。

国際的なコンプライアンスのフレームワー
既存の監督機関とその要件に関する一覧表を作成する。

■

新しく買収した組織の統合を含め、グロー
バルなコンプライアンス活動の管理に対する組織の取り組み方を評価する。

■

顕著なコンプライアンス違反事例に対する組織の対応を評価する。

■

コンプライアンス研修プログラムをレビューして、各自の役割の妥当性を評価する。

■

適切な対象範囲を確保しつつ重複を最小限に抑えるために、内部および外部のアシュ
アランス提供者と連携する。

■

ＩＩ Ａ基準2210：内部監査（アシュアラ
ンスおよびコンサルティング）の個々の業務における目標
内部監査（アシュアランスおよびコン
サルティング）の個々の業務ごとに、目ジメントおよびコントロール手段を評価するためには、妥当な規準が必要となる。内部監査人は、経営管理者および取締役会、またはそのいず
れかが、目標やゴールが達成されたかどうかを見極めるための規準としてどの程度まで妥当なものを設定しているかを確認しなければならない。
評価に当たり当該規準を使用しなけクとアシュアランスの基準を理解する。
■

関連するガイダンス

妥当であるときには、内部監査人は、目標に向けた行動■

織の責任の割り当てを評価する。

2210.A3−ガバナンス、リスク・マネ

選好を明確化する。
■

法令・規則のコンプライアンスに関する組

標が設定されなければならない。

目標
■

■

コンプライアンスの文化を奨励するためればならない。妥当でないときには、内部監査人は、経営管理者および取締役会、またはそのいずれかと協議して適切な評価規準を識別しなければならない。
ＩＩＡ基準2050：連携と依拠
内部監査部門長は、適切な内部監査の業務範囲を確保し、業務の重複を最小限にするために、内部監査部門以外のアシュアランス業務やコンサルティング業務を提供する組織体内部および外部の者と、情報を共有し、活動について連携し、これらの者の仕事に依拠することを検討すべきである。

に、組織の利益と優先事項に合わせたコミュニケーションを作り出す。
26

訳注：https://home.kpmg.com/content/dam/kpmg/id/pdf/2016/10/id-kpmg-internal-audit-top10-risks-2016.pdf

月刊監査研究2018．7（No.536）

55

内部監査人協会（ＩＩＡ）情報て、関連するリスクの効果的な管理に焦点を破壊的変化への対応

当てることに備え、また、意欲を持たなけれ新しい一日には、新しい何かが起こる。今ばならない。

日のテクノロジーは絶えず変化しており、そそれには課題がある。経営者は違ったやりれはより速く、より強く、より大きく（そし方に違和感を持つ可能性があり、事業環境のてより小さく）なり、より遠くに届き、また、

せいで予算が制約される可能性があり、また、

より集中する。それは、かつてないほどであ必要なスキルを持つ採用候補者が少ない可能る。内部監査人は毎日、洞察と展望をステー性がある。しかし、うれしいことに内部監査

クホルダーに提供する新たな機会に直面しては孤独ではない。内部監査は、イノベーショ

いるが、批判的思考や創造性のようなイノベ

ンのプロセスを管理するための具体的な手法

ーションに関連するスキルを磨いていない可を既に編み出した他の事業部門、組織、また能性がある。そしてイノベーションがなけれは内部監査部門から学ぶことができる。

ば、予期せぬことに対処できず、自己満足にイノベーションを正しい方法で活用する

陥りやすくなる。内部監査人が俊敏かつ積極と、次のような理由から、内部監査や組織全的になり、また、イノベーションに歩調を合体にとって極めて有益である。

わせて素早く方向転換するためには、テクノ■

費用が削減される。

ロジーを活用するように業務のやり方を変え■価値が増大する。

なければならない。

■

成長と業績の向上が実現する。

■

製品がより早く開発され、サービスがより新たなテクノロジーのようなイノベーショ
ンは、内部監査が監査業務を行う素晴らしい

早く開始される。

機会をもたらすが、多くの場合、内部監査の■顧客経験と顧客満足が向上する。

懸念を増大させる新たなリスク、脅威、およ■

組織の柔軟性と俊敏さが高まる。

び破壊的変化が伴う。例えば、（伝統的に）リ■

ステークホルダーの満足度が高まる。

スクにのみ焦点を当てる代わりに、今や内部

イノベーションは、より良くより効率的

監査人は、破壊的変化の予兆を素早く見極めな監査につながるだけでなく俊敏さを直接て早急な対応や追加の対応が必要なものを判後押しして、破壊的変化の際により迅速で、断できるようになる必要がある。

より賢明で、より集中的な対応を可能にす

組織がイノベーションすべき主な理由の１る（2018年 北 米 内 部 監 査 の 動 向 調 査：T h e

つは競争から一線を画すことであり、内部監Internal Audit Transformation Imperative 27

査はその先頭に立つことができる。2018年参照）。ＩＩＡ北米理事会会長シャノン・ア

の北米内部監査の動向調査によれば、イノベ

ーバン氏は、内部監査の成長に不可欠である、ーションは内部監査に２つの選択肢を提示す

また、変化し続けるステークホルダーのニーる。それは、組織内でますます重要な役割をズを満たす上で必要である、という両方の理果たす能力を思い描くか、過去の慣例を前提

由から、内部監査におけるイノベーションをにしてそれを将来に持ち込むか、のどちらか奨励している。それは多少の違和感と苛立ちである。後者を選べば将来の失敗はほぼ確実を伴うかもしれないが、継続的なものであり、なので、内部監査は創造的な（あるいは、もコミットメントと勇気が求められる。イノベ

っと言えば過激な）考え方を進んで取り入れーションには大きなやりがいもある。内部監

27

訳注：https://www.theiia.org/centers/aec/Pages/2018-Pulse-of-Internal-Audit.aspx

56

月刊監査研究2018．7（No.536）

内部監査人協会（ＩＩＡ）情報

査がステークホルダーを理解し、将来的に彼■らに十分役立ちたいと思うならば、イノベー
ションに取り組むことが唯一の選択肢である

スクについての洞察と視点を提供する。
■（The Innovative Internal Auditor 参照）。

力のある採用候補者を見つけて惹きつけ「内部監査が組織の成功に不可欠な役割
しかし、役割を果たすには、内部監査におけるイノベーションへのコミットメン
トを新たにする必要があるとも信じている。組織の発展に追いつきその先を行く
ためには、イノベーションは内部監査の職務の核でなければならない。」
2017－2018年

る。
■

リスク・マネジメントおよびコンプライア
ンス部門と協力する。

最後に本稿で取り上げたリスクは、最も懸念するリスクとしてＩＩＡの国別代表機関が明らか

ＩＩＡ北米理事会会長



新たなリスクやエマージングリスクに迅速かつ断固として対応するために、適切な能28を果たしていると、私は固く信じている。

破壊的な出来事に関連するエマージングリ

シャノン・アーバンにしたものだが、組織や内部監査に対するすべてのリスクを表すものではない。これらの分野に加えて、ＩＩＡの国別代表機関は、監目標

査委員会、予算、ディフェンスライン、およ■

内部監査は、事業環境の変化を認識する。

び戦略に内在するリスクも明らかにしたが、■内部監査は、イノベーションの文化を育み、これらはすべて、認識され検討される必要が能力と業績の強化を目指す。

ある組織的ガバナンスの重要な分野である。

内部監査は、イノベーションによって、ベリスクは、組織のミッションと戦略目標の達ストプラクティスと改善を目指す。

成を阻害し、組織の全体的な価値を脅かすこ

内部監査は、イノベーションによって、よとにつながる。したがって、リスク・マネジ

り高い効率性を求めて努力する。

メント、コントロール、およびガバナンスの■■各プロセスを支援する信頼されるアドバイザ
目標に向けた行動■

ーとしての内部監査の責任は、すべてのリス

新しいアイデアを考案して導入し、イノベ

クの機会を考慮し、適切な勧告を行うことをーションを内部監査実務の中核的基盤にす求めている。
世界中の組織は、内部監査とその評価を頼

る。
■

■

■

28

リーダーシップの役割を引き受け、事業のりにしている。内部監査は、関連性を維持し破壊的変化を予測し、環境の変化を監視し、信頼されるアドバイザーとして認識されるた幅広い対応策を提供する。

めに、組織の目標だけでなく自らの目標達成

人間関係を構築して投資する。事業部門とのためにリスクを検討する義務がある。こののつながりを保ち、起こっているイノベー

ため内部監査は、成果を重視し、組織全体のションを把握する。

利益のために能力の向上に努めなければなら一層の注意が必要な破壊的変化がどれであない。そのためには、批判的に考える、独立るかを判断することにより、進化するリス

性と客観性を保つ、俊敏さを維持する、（現実

クの状況を明らかにする。

または仮想の）リスクに対するリーダーシッ

訳注：https://iaonline.theiia.org/2017/Pages/The-Innovative-Internal-Auditor.aspx

月刊監査研究2018．7（No.536）

57

内部監査人協会（ＩＩＡ）情報

プを重視する、必要に応じてコンサルタントとして機能することによって「時代」を乗り切る、必要に応じてアシュアランスを提供す

読者のご意見等
ご質問やご意見は、globalperspectives@theiia.org.にお寄せください。

る、すべてのシステム、プロセス、規制、および業務の相関関係を理解するなどを含めた、課題や障害を乗り越える能力が必要であ

内部監査人協会（ＩＩＡ）は、内部監査専
門職の提唱者として、教育者として、さらにる。

基準、ガイダンス、公認資格の提供者としＩＩＡの国別代表機関
ＩＩＡの国別代表機関は、ＩＩＡに欠かせない要素である。ＩＩＡは170を超える国や地域のＩＩＡ代表機関と協力して、内部監査専門職の進歩と全世界で19万人を超える会員へのサービス提供のために使命を果たしている。ＩＩＡ国別代表機関は、ＩＩＡの専属代表機関として、各地の内部監査コミュニティで倫理と専門職的実施の高い基準を推進し、内部監査
専門職の意見をまとめて伝えている。

て、最も広く認められている。1941年に創立されたＩＩＡには、現在170を超える国と地域に19万人を超える会員がいる。ＩＩＡ国際本部の所在地はアメリカ合衆国フロリダ州のレークマリーである。詳細な情報は、www.
globaliia.org を参照のこと。
免責「グローバルな視点と洞察」で表明した意
見は、必ずしも個々の寄稿者または寄稿者の雇用主のものではない。
著作権

既刊号
既 刊 の『 グ ロ ー バ ル な 視 点 と 洞 察 』
は、 www.theiia.org/gpi をご覧ください。

58

ＩＩＡについて

月刊監査研究本著作物の著作権はＩＩＡにある。無断複写・複製・転載を禁じる。

2018．7（No.536）