内部監査人協会（ＩＩＡ）情報グローバルな視点と洞察

第７号

危機からの回復力

内部監査人協会（ＩＩＡ）
訳者：堺咲 子
内部監査財団（Internal Audit Foundation） 評議員
インフィニティコンサルティング 代表
ＣＩＡ，ＣＣＳＡ，ＣＦＳＡ，ＣＲＭＡ，ＣＰＡ（ＵＳＡ）目次

内部監査と危機からの回復力 16

抵抗する 18「A Crisis of Confidence（自信の危機）」調

反応する 20

査で判明したこと 16

復旧する 22

なぜ回復力なのか?  17

最後に 23

寄稿者

諮問委員会

カナダ

ＩＩＡマレーシア

アグネス・プラス・デイ共同創立者

CIA, CCSA, CFSA, CGAP, CRMA

メリッサ・アグネス氏

ヌル・ハヤティ・バハルディン氏

アメリカ合衆国

ＩＩＡアフリカ連合

リスダル社ルカスフスキー・グループ部門プレジ

CIA, QIAL

デント

レセディ・レセテディ氏

ＩＩＡオランダジェームス・ルカスフスキー氏

コロンビア共和国

CIA, CCSA, CGAP
ハンス・ニューランド氏

CYAコンサルティング監査社

ＩＩＡアラブ首長国連邦

マネージャー
CIA, CRMA, CISA, CFE

CIA, CCSA, CRMA

ヘクター・リカルド・パラ氏

カレム・オベイド氏

アメリカ合衆国

ＩＩＡ北米

テレフセン社プレジデント兼CEO

CPA, CIA, CRMA

ジョン・ラパ氏

キャロライン・セイント氏

ＩＩＡコロンビア
CIA, CCSA, CRMA
アナ・クリスティーナ・ザンブラノ・プレシアド氏

Copyright © 2017 by The Institute of Internal Auditors, Inc., (“The IIA”) strictly reserved. Any reproduction of
The IIA name or logo will carry the U.S. federal trademark registration symbol ®. No parts of this material may be
reproduced in any form without the written permission of The IIA.

月刊監査研究2017．10（No.527）

15

内部監査人協会（ＩＩＡ）情報

内部監査と危機からの回復力

役の自信について重要な洞察を得た。
調査報告書によると、調査した取締役の４

組織の業務遂行能力を著しく妨げるような分の３以上（76％）は、明日組織に危機が起危機が起こる可能性は、世界的な脅威が展開きても効果的に対応できると考えている。しする速さを考えると、今やかつてないほど不かし、会社は事前にトラブルを監視している、気味に迫っている。高度なサイバー攻撃、異または、会社には想定される危機シナリオ用

常気象、テロ攻撃、労使紛争などのインシデの「マニュアル」がある、と回答したのは半ントが深刻化しているが、それらは当然何の数以下（各49％）であった。３分の１は、マ

前触れもなく起こる場合がある。これらの危ニュアルがあるかどうかさえ知らなかった。

機的事象や業務を継続して目標を達成するこ

危機の予防について経営陣と具体的な話しとができない状況が起これば、組織の評判や合いをしている、または、危機へ備えるため

ステークホルダーの期待に応える組織の能力に何をしているか経営陣と確認している、とが損なわれる。

答えたのは半数に過ぎなかった。具体的な危しかし、最近のある調査では、潜在的な危機のことになると、認識と準備状況の間に大機に対する取締役の意識と組織の実際の危機

幅なギャップがあることが調査で判明した。

への準備状況との間には大きなギャップがあ

例えば、取締役が最も脆弱であると思っていることが判明した。潜在的な危機を認識して、る危機の分野は会社の評判（73％）だが、そそれによる業務の中断に的確に対処して通常れに対処する計画があると回答したのはわず

業務に戻ることは極めて難しい。影響を最小か39％であった。危機を経験した取締役のう限にとどめて迅速かつ効率的にこれを行う能

ち、１年未満で評判を回復できたと回答した

力を備えること、つまり危機からの回復力をのは３分の１以下（30％）であり、16％は回持つことは、さらに難しく究極の目標である。

復に４年以上かかったと回答した。

危機の専門家は、危機からの回復力を持つ

このような危機への準備不足は、最近のＩための鍵は準備であり、内部監査はその過程

ＩＡの調査で確認された。危機リスクのオンで重要な役割を果たす立場にある、との認識

ラインセミナーに参加した1,500名近くの内で一致している。監査人の幅広いスキル、組部監査の専門家のうち、「明確で具体的な危機

織内の地位、および業務に関する深い知識は、対応手順がある」と回答したのは３分の１以企業が避けられない危機に備え、さらに、危下（31％）であった。４％は危機対応手順が機を認識することから危機からの回復力を持ないと回答し、半数は一般的な危機対応手順

つこと、つまり抵抗し、反応し、深刻な破壊があると回答した。危機対応手順があるかど的事象から復旧するための準備をするのに役うかわからないという懸念すべき回答が15％立つ。

であった（次頁図表１参照）。
これらの調査結果は、危機対応に関してか「A Crisis of Confidence（自信の危機）」調査で判明したことなり改善の余地があることを示している。
「組

デロイト社は、2016年にフォーブス社と共可能な投資をすることが可能である」とデロ同で行った世界中の300名以上の取締役に対イト社の報告書は述べた。「また、有害事象する調査を通じて、危機的な水準の脅威に対が本格的な危機になる前に予測するための投する組織の認識と組織の対応力に関する取締資をすることも可能である」。

16

月刊監査研究織は、危機意識を危機からの回復力に変えるような計画と演習に、極めて具体的かつ測定2017．10（No.527）

内部監査人協会（ＩＩＡ）情報＜図表１＞危機対応手順

Ｏが屈辱を受けたりした場合、危機は業務を明確で具体的な危機対応手順がある31%

一般的な危機対応手
順がある

50%

危機対応手順があるかわからない危機対応手順がない

再開する以上のことに関わる可能性がある。
内部監査人は危機に関連する役割を拡大して、一歩下がって全体像を、つまり広範な組
織目的と組織に対するリスクを考える立場にある。内部監査人は、取締役や役員や従業員15%が危機に備えるための手助けができ、準備状

4%況に対するアシュアランスが提供でき、さら出典：2017年2月にIIA北米が実施した「CrisisProofingYourOrganization」というオンラ
インセミナーでの質問に対する投票結果。
質問は、「あなたの組織の危機対応手順はどのようになっていますか？」
内部監査人による回答のみ。回答数＝1,467に危機に強い文化を植え付ける手助けができる。
ＤＲＩインターナショナルという危機管理の先駆的組織は、危機状況に対する複数の概
念や定義の存在、およびインシデント対応中

テレフセン社のプレジデント兼ＣＥＯであに不明確な用語が引き起こす混乱を、問題るジョン・ラパ氏は、内部監査は危機対応計として認識した。その解決策として、『回復画において戦略、戦術、範囲、前提条件、制力に関する国際的用語集（The International

約条件を明らかにするための貴重な「理性のGlossary for Resilience）』を作成した。ＤＲ声」であり、危機対策計画の主なステークホ

Ｉは初めに、事業継続や災害復旧やリスク管ルダーであると考えている。

理に関連する危機において使用される用語を「内部監査は危機対応計画の策定、実施お編纂した。最も関連性の高い2,189の独特のよび維持に責任を持つ者の相談相手となるべ用語を選び出した後で選定委員会による投票きである」とラパ氏は述べた。「監査人は助を経て、26業種からの250を超える用語の最言者としての役割を果たし、計画を立てる上適な定義を１つの文書として公表した。

で確実な監督を行い、価値を付加し、リスクマネジメントの監督を向上すべきである」。

用語集の中で『回復力（レジリエンス）』は、「複雑かつ変化する環境下での組織の適応能力」と定義されており、セキュリティ実
務家のグローバルなコミュニティーであるエ

なぜ回復力なのか？

イ・エス・アイ・エス（ＡＳＩＳ）インター

内部監査人は、危機管理、事業継続管理、ナショナルによって認められている。主な定

インシデント対応、災害復旧、ＩＴサービス

義の後は、a)「ある事象に影響を受けること

継続管理のような予期せぬ業務の中断に対処に抵抗するための、またはある事象の影響をするための、組織内の多様な概念や文書を把受けた後に許容時間内で許容水準に戻るため握している。内部監査はこれらの計画の策定の」組織の能力、および、b)「システムが内に参加することが多い。しかし、これらの文的・外的変化に直面した際に機能と構造を維

書の多くは特定の事業分野に特化しており、持し、必要な時には緩やかに機能を低下させ事業継続管理は事業の価値を維持することのる能力」と続いている。

方に基盤が置かれている。その要素の１つは危機の間に緩やかに機能を低下させるとい

危機管理、つまり業務復旧のプロセスである。

う詩的なビジョンは、メリッサ・アグネス氏

しかし、人命が失われたり、製品が汚染さやジェームス・ルカスフスキー氏のような危れたり、顧客の個人情報が盗まれたり、ＣＥ機の専門家の仕事を支える原動力である。両月刊監査研究2017．10（No.527）

17内部監査人協会（ＩＩＡ）情報

氏とも、徹底的な準備とシナリオのロールプせるために存在しているので、戦略、業務、レイが危機をくぐり抜ける最善の方法だと考情報、およびコンプライアンスの各目的を達えている。

成しようと努力している。目的はすべて将来「危機とは、人目を引き付け、人々の動きに向けたものなので不確実性があり、目的達

を止め、生産を止め、評判を再定義するよう

成はリスクの影響を受ける可能性がある」とな事象であり、被害者や衝撃的な知名度を生パラ氏は述べた。「そのため、危機とは強力み出す」と、著者であり講演者であり危機管なリスクの発現と言える」。

理コンサルタントでもあるルカスフスキー氏

リスクが発現して危機となるのを防ぐためは述べた。彼はさらに、「生き残るための鍵は、の最初の手順は、それらのリスクが何かを特リーダーと協力して、危機の最初の数分間や定することである。

数時間を管理する計画を立てることである。

戦略家のアグネス氏は、危機が起こるのをそれは基本的には健全な思考を反映したもの

察知する方法を顧客に助言している。「１つであり、また被害者の力を理解したものであの方法は、最も懸念する事項を経営陣に尋ねる」と述べた。

ることである。上位５または10の高リスクの

国際的な危機管理戦略家で講演者でもある

シナリオは、方向づけのよい手掛かりである」

アグネス氏は、「適切に組織内の上の階層へ情と彼女は述べた。「一旦リスクを特定したら、報伝達する（エスカレーション）プロセス、深掘りすることができる。経営陣全員と話し意思決定をするのに相応しい人々、およびコて、彼らの見解を理解すること。最もリスク

ミュニケーションするための準備」があるこの高いシナリオの動きを実際に経験することとを確認するために、危機シナリオの訓練をは、準備のための真のベストプラクティスでするようにと顧客に勧めている。

ある」。
「America’s Crisis Guru®（アメリカの危機の権威者）」と名乗るルカスフスキー氏は抵抗する

これに同意して、「上手な準備は、常にシナリコロンビアを拠点とするコンサルタントのオベースである」と述べた。「演習に失敗す

ヘクター・パラ氏によると、危機は単純に「リることは本番対応でも失敗することを意味す

スクが現実のものとなる時」と定義できる。

る」。
危機への抵抗と反応の両方の指針となるよ「あらゆる企業はステークホルダーを満足さ

組織は異なる危機シナリオに備えること
メリッサ・アグネス氏は、組織の最大のリスクに対する危機シナリオを熟考し、１つの危機が別の危機へ与える意味合いを把握するようにと顧客に助言している。
取るべき措置には次のようなものがある。
■ 各シナリオにおける危機管理のガバナンス体制を決定する。
■ それぞれについて危機管理チームを特定する。
■ 各部署と特定の個人に役割と責任を割り当てる。
■ 内部のエスカレーションプロセスを定める。
■ 関係者や主なステークホルダー、および彼らの期待を判断する。
■ 最初の24時間から48時間内にやるべきことや検討すべきことの優先順位づけをする。
■ 最初に受けそうな質問とその答えをじっくり検討する。

18

月刊監査研究2017．10（No.527）

内部監査人協会（ＩＩＡ）情報

うなシナリオベースで策定された計画には、を差し伸べ、彼らが果たせる役割を明らかに

計画策定プロセスと実行プロセスに対する内し、意識向上イベント開催の手助けをし、ま部監査の厳しい目が大変役に立つ。 専門家

た、パスワード変更、複数の要素を組み合わ

は、危機の発生の可能性、影響度、および付せた認証の利用、見慣れないメールの開封な随する損害の可能性に従って計画の優先順位

どに関してベストプラクティスを啓蒙するこづけをすることを勧めている。

とができる。一部の組織では、疑わしい電子「危機対応計画は、最悪のリスクから影響

メールを定期的に送信してテストしており、度の低いリスクへというリスクランキングとそのメールが開かれた場合は直ちに研修が開

トップダウンのアプローチを用いて、最悪の始されるようになっている。研鑽を積んだ監シナリオを考慮して設計すべきである」とパ

査人は、システムパッチについて理解を深め

ラ氏は助言した。
「各種の危機計画は、特にることができ、定期的にＩＴコントロールを従業員、地域社会、顧客、株主など影響を受テストすることの重要性を強調することがでける相手に応じて具体的なアプローチをとる

き、また、利用可能なフレームワークから学べきである」。

ぶことができる。

行動計画には、いくつか例を挙げると最初準備は各シナリオに合わせて調整することの24時間の手順、最初の48時間の手順、積極ができるが、基本的な懸案事項は共通のもの

的な告知、事前に定めた分野の役割、コミュとして残すべきである。「異なる危機には異ニケーションの種類、法的な要件等、考えらなる影響がある」とアグネス氏は述べた。「変れる限りの詳細を盛り込むべきである。行動

わらないのは、ステークホルダーの期待と懸計画が最悪のシナリオに対応していれば、よ念である。注意を払うべきことに関する当初

り軽微な災害に適応できるはずである。計のリストを確認してから、状況に応じて変え

画には行動を開始する手順を含めるべきである可能性があるあらゆる行動を含めて対応をり、また、危機状況の早期指標を見つけるの分析すること」。

に最適な立場にいることが多い従業員のためルカスフスキー氏は「準備状況の方程式」
を考案しており、「準備」の４分の３は「承認に報告方法を用意すべきである。

権限のある人」をすぐに見つけるための正確テストと研修な連絡先情報を持つことである、と述べた。

ルカスフスキー氏は、何かが実際に起きた「決裁を受けることは、危機対応の最大の時に組織がよりスムーズに対応態勢に移行で障壁の１つである」と彼は述べた。適切な連きるように、計画をテストするよう勧めてい絡先リストがあれば、その障壁の75％を取りる。訓練に加えて、コーチングと研修、問題除ける。残りの要素は、15％が事前に承認をの判断、シミュレーション、および机上演習受けることであり、例えば、必要に応じて人々を行えば、誰もが自分の役割を実地検証できを移動させるために車両を購入するための注る。毎回の研修後には、計画を更新すること。

文書の承認を受けておくこと、などである。

「今、もっと知るべきことは何か？と自分自８％はかなり広範なシナリオを準備してテス

身と演習の各参加者に尋ねること。たったトすることであり、２％は想定外である。想今起きたことのせいで他に何が起こるだろう

定外が状況を危機にする、とルカスフスキー

か？と」とルカスフスキー氏は述べた。

氏は述べた。

研修は欠かせない。例えばサイバー危機のアグネス氏は同意して、適切なエスカレー防止に関して言うと、内部監査は従業員に手ションプロセスを確実にする手段として適切

月刊監査研究2017．10（No.527）

19

内部監査人協会（ＩＩＡ）情報な人材を集める計画を立てるべきだと述べのの万能な計画などない、ということで専門た。
「適切な人を適切な時に集める適切な内家たちの意見は一致している。

部のエスカレーション手続があれば、次の２「認識している、または予見しているあらつのうちの１つが可能になる。それは、本格

ゆる種類の脅威を網羅する危機管理計画やイ的な危機に直面した時に非常に迅速にエスカ

ンシデント管理計画を作成しようとするのレーションする、または、状況がそれを必要は、不可能ではないにせよ困難である」とラとしない場合には不必要なエスカレーション

パ氏は述べた。

を回避する、のいずれかである」と彼女は述

一旦準備プログラムが作成されたら、次のべた。
「適切な人」とは、「単に法務やコンプ

手順は、組織が回復力をつけられるようにな

ライアンスやＣＥＯや人事といった観点ではるために危機に備える文化を育むことであなく、状況を幅広く見ることができる各事業る。

部門や部署やステークホルダーグループの代表者を意味する」と彼女は述べた。
ラパ氏はこのグループをインシデント管理

反応するチームまたは危機管理チームと呼んでおり、内部監査は能動的になりプロセスを理解す

このチームを役員、オペレーション、テクノることによって、危機発生時に組織がある程

ロジー、法務、メディア関係、顧客関係などの、度の落ち着きを示す手助けをすることがで複数の部署や領域で構成することも勧めていき、それにより人々は懸念したり身構えたりる。

する代わりに理解するようになる。

『Internal Auditor』誌は2017年４月号で、内部監査は、最新の危機管理計画がインシ危機対応計画策定中は、組織自体は危機に陥

デントとその余波に完全に対応しているといっていないが所属する業界や地域が危機に陥うアシュアランスを提供することができ、まっている、という状況にも備えるようにと助た、インシデント対応チームが活躍する能力

言した。例えばマイケル・J・ジャッカ氏はを検証することができる。危機が進行するに「危機からの回復力」という記事の中で、フつれて内部監査は、例えば、事象の範囲、第ォード社は問題のある装置を使用しないとい三者の必要性、評判リスク、オフサイトのデう声明を出してフォルクスワーゲン危機からータ保管場所のセキュリティを評価することすぐに自社を切り離した、と書いた。またそができる。内部監査は社内弁護士と協力しての記事の中で、広報担当者として指定された

法的な影響を検証したり、人事部門と協力し者はメディアスキルと実施権限を適切に合わて従業員の状況を調査したり、あるいは、あせ持つ必要があり、危機対応計画にはメディる事象に相応しい人物を配置できるかどうかアに連絡するための詳細情報を含めるべきでを判断することができる。監査人は、組織がある、と警告している。

一般市民、従業員、ビジネスパートナー、おシナリオの完全な予行演習を実施する、つよびステークホルダーと率直かつ定期的にコまりエスカレーションプロセスを構築し、ギ

ミュニケーションするのを支援することがでャップを見つけ、組織全体の完全な対応を準きる。

備するためには、数カ月かかることがある。

「成果を挙げる対応チームは組織に深く根ルカスフスキー氏は、年に１つか２つだけのざしており、企業がリスクを特定し理解するシナリオを計画するよう勧めている。

手助けをし、さらに経営陣に会社のリスク軽また、徹底した計画は大きな効果があるも20

月刊監査研究減のための最良の意思決定をさせる」とラパ

2017．10（No.527）

内部監査人協会（ＩＩＡ）情報氏は述べた。
「内部監査は、主なステークホ

ルカスフスキー氏は、沈黙を「選び得る最ルダーが吟味した計画を展開する際に監視のも有害な戦略」と呼んでいる。彼は組織が「公役割を果たす必要がある」。

正さ、率直さ、誠実さ」を持って意図的にコパラ氏によると災害発生時の初動は、緊急

ミュニケーションをすることを勧めている。

時対応策を始動し、人命救助し、資産を保護担当者は、「アクセス可能であり、敏感に反応することである。反応は分単位または時間単し、透明性があり、積極的に関与しており、位で測定する必要がある。重要な初期ステッ

また、必要に応じて明確化しコメントし修正

プは、何が起きたのか、そしてその直後のスする準備ができている」必要がある。

テップは何か、について内外へコミュニケー

ソーシャルメディアは危機管理チームが問ションすることである、とパラ氏は述べた。

題に積極的に対応していることを示す短い

例えば、コロンビアのある銀行がオンライン

メッセージを素早く発信できるので大いに取引に影響を及ぼすシステム障害を起こした

役立つ、とルカスフスキー氏は述べた。彼

時は、顧客と当局に直ちに問題と是正措置を

は、SMARTなグループを立ち上げることを知らせてパニックを回避した、と彼は述べた。

勧めている。SMARTは、Social（社会的に）、

彼は内部監査に対して、目的達成、人、評判、Media（メディア対応し）、Action/Attack（行

データや情報を含む資産、および環境規制へ動・着手し）、Response（敏感に反応する）、の影響を調べて危機の深刻さの評価を支援す

Team（チーム）の頭文字である。

るように、と助言している。

「目標は、素早く効果的に動くことである。

危機の深刻さを判断するには、事前に検討危機なので失敗はある。毎日、50％のエネル

したことを振り返る必要がある、とアグネス

ギーと25％の資源を前日の失敗を修復するこ氏は語った。周到な計画をスムーズに実行すとに費やすだろう」とルカスフスキー氏は言れば、組織が危機に備える文化を創り出すのう。「対応が技術的には完璧でも被害者の扱に役立つ。

いやコミュニケーションを間違えれば、その「つまり、計画を作成しても放置してはな

対応が記憶されるということを忘れてはなららない。危機に陥った私たちに影響を及ぼすない。素早く着実に考えて行動すること。対要因は世界中で常に変化しているので、月に応が遅れるほど評判は傷つく」。

一度計画を見直しても十分ではない」と彼女

彼は、各シナリオ用のウェブページを作成は述べた。
「リスク管理と危機予防、さらにして必要になるまで非アクティブにしておく

は危機対応を、組織のあらゆる階層を通してことも勧めている。アクティブにした時は、不可欠な要素にすることが望ましい。チーム

事実とデータ、Q&A、重要な問題、および双メンバーは本能的に対応できるようになるた方向性が提供できる。

めに、計画を熟知する必要がある。チームメ「会社がどのように計画に従うかが、経営ンバーには、何をすることが期待されている陣の認識のされ方に直接的な影響を与える。

か、そして何が最適な行動かをきちんと理解

それは社内では従業員からの、そして社外でして欲しいのであり、つまり体で覚えて欲し

は顧客、ビジネスパートナー、メディア、規いのである」。

制当局等からの認識である」と、ラパ氏は言反応することの最も重要な要素の１つはコ
ミュニケーションである。「沈黙は破たんをう。常識的な対応として、彼は以下を勧めている。

招く」とアグネス氏は述べた。「昔はそれで■ 冷静さを保つ。

もうまくいったが、最早そうはいかない」。

■ インシデントの性質と範囲に応じて、全

月刊監査研究2017．10（No.527）

21

内部監査人協会（ＩＩＡ）情報

要点を保存すべきである。

関係者に幅広く頻繁にコミュニケーショ

その要点には、原因、結果、対応、サービンする。

スの完全復旧までの経過時間、取るべき措置、■ 計画に従うが、事態の進展に応じて調整

教訓等を含めるべきである、とラパ氏は述べ

する。

た。

■ 徹底的にフォローアップする。

「危機発生後のレビューは、内部監査が重ルカスフスキー氏は、被害者にうまく対応

要な役割を果たすべき場所である」とアグネするように、と常に顧客に勧めている。「被ス氏は述べた。「内部監査人は、評価し、見害者は、見通しが知りたいし、話したいので直しをし、改善する必要がある。もう一度適ある」と彼は言う。
「賢明な企業は、被害者

切な人を部屋に集めて事象を検証し、例えば、との対話を円滑に進めている。被害者が最ももっと違うやり方はなかったか、再発防止を求めているのは誰かに『申し訳ない』と言っ確実にする方法は何か、行動計画とコミュニてもらうことである。経営陣は前向きな姿勢

ケーションは役立ったか、と問うこと」と彼を示さなければならない」。

女は述べた。「集まった人々がその質問に答えたら、討議し、評価し、その上で改善すること。計画を強化し、それをシミュレーショ

復旧する

ン付きで再度テストすること」。

内部監査は、組織の取り組みの有効性を評

内部監査が組織内と監査計画の両方に教訓

価・報告すること、ならびに、評判に対するを組み入れる際に影響力のある役割を担え

長期的な影響、データ復旧プロセス、利用しば、組織内の支援的な役割から最前列の役割たあらゆる第三者に対するコントロール、おに移行する機会となる。

よび対応と研修に割り当てた資源の妥当性を「十分な役割を得ていると思っていない監評価することによって、組織が危機から復旧

査人は、自分の価値を実証して重要な場に席するのを支援することができる。

を得る方法を見つけること」とアグネス氏は助言した。「この種のことを見直す際に定期危機後の行動は、組織が今後危機からの復旧計画を改善するのに役立つが、これには教的に会合を持つ委員会はどれか？

何らかの訓を文書化し応用することを含めるべきであ

形の危機や防災管理や準備について議論する

る、とパラ氏は述べた。重要でないと判明し委員会は既にあるか？

た事象も記録して、将来の参考のためにそののような委員会に席を確保しているならば、もしも内部監査がそ

完全な謝罪
アメリカの危機の権威者は、「完璧な謝罪の内容」として以下を提案している。
■ 痛みや苦しみの原因に対して口頭または書面で責任を認めること。
■ 引き起こした損害を具体的に認めて説明すること。
■ 再発防止のための教訓と対策を示すこと。
■ 許しを請うこと。
■ 補償を申し出ること。

これらの内容が１つでも欠けると、謝罪の信頼性が損なわれる。
出典：LukaszewskionCrisisCommunication:WhatYourCEONeedstoKnowAboutReputationRiskandCrisis
Management,RothsteinAssociatesInc.Brookfield,CT,©2013,JamesE.Lukaszewski

22

月刊監査研究2017．10（No.527）

内部監査人協会（ＩＩＡ）情報

危機後のレビューで復旧計画を改善する
危機からの教訓は、内部監査機能にとって非常に重要である。危機の経験を復旧計画に組み込むことで、組織はより危機からの回復力をつけることができる。事態が落ち着いた時にジョン・ラパ氏が尋ねることが多い質問には、
次のようなものがある。
■ インシデントはどのようにして明らかになったか？
■ 最初にそれを知ったのは誰か？
■ 混乱の影響を特定した「最初の対応者」は誰か？
■ 経営陣はインシデントにどう対応したか？

従業員はどう対応したか？

■ どのように、また、どの位の頻度で、会社は従業員、顧客、主なビジネス関係者、主なサービスプロバイダー、

監督当局、メディアなどとコミュニケーションを取ったか？
■ 根本原因、結果、事業への影響、教訓などを検討する総括会議は行われたか？
■ 欠陥、リスク、またはさらなる脅威に対処するための行動計画は導入されたか？

彼は顧客に、継続的に脆弱性を評価し、エ実施中の日常的なプログラムについて発言とクスポージャーを管理し、経営陣と取締役会助言をする権利がある」。

に日常的に脅威の要点を説明するよう助言し

最後に

ている。

「あなたの対応は、その場にいなかった人々ことがある。「『危機』という言葉はリーダー

によって批判され値踏みもされる」とルカスを苛立たせる。なぜなら、危機が自分の身にフスキー氏は述べた。「最も重要な課題の解起こると思ってるリーダーは滅多にいない決に焦点を当てること」。

からである」とルカスフスキー氏は述べた。

表現を少し変えるとプロセスが容易になる危機からの回復力がある組織の特徴■ 経営陣が危機からの回復力に責任を負っている。

・危機時の意思決定のための承認権限系統がある。
・あらゆる危機を管理するための最新の連絡網がある。
■ 以下のような危機復旧計画がある。
○ 重要なビジネス機能を網羅している。
○ （内外の）すべての主なステークホルダーおよび危機管理時の状況伝達手段が決まっている。
○ 主なリスクシナリオおよび具体的な対応手順が決まっている。
○ ＩＴオペレーションに関連する災害復旧の要素を含んでいる。
○ 組織全体に伝達され理解されている。
○ 定期的にテストされている。

・定期的なテストの後で、結果が共有され是正措置が講じられている。
○ 危機後のレビューの手順が定められており、教訓が生かされている。
■ 定期的なリスク評価が実施されており、この危機復旧計画はリスク環境の変化に基づいて改訂されている。
■ 指定された代替施設が用意されており、物理的な場所やデータを安全に保管する場所が失われた場合に利用可能である。
■ 内部監査は、情報や意見の提供、リスク評価、および定期的な危機復旧計画テストの場に席を確保している。

月刊監査研究2017．10（No.527）

23

内部監査人協会（ＩＩＡ）情報「『準備状況』という言葉を使えば、するべき計画があれば、内部監査はリーダーが危機にことに対する理解を深めさせやすい」。

備えるだけでなく組織全体が危機からの回復

決まり文句のようだが危機管理の最善の形力をつけるための支援をすることができる。

は危機防止である、とアグネス氏は言う。
「最も高いリスクを特定して予防可能なことを予より詳しい情報の参照先防するための策を明確に定めること」とアグ■ Internal Auditor magazine,“Resilience

ネス氏は述べた。
「しかしその後で、予防不Through Crisis,”J. Michael Jacka, April

可能なことの効果的な管理手段を確保するこ2017 (www.theiia.org) Deloitte,“A Crisisと」。

of Confidence,”2016 (www.deloitte.com)

複雑で変化の激しい環境、すなわち危機的状況であっても、組織は適応性を持ち、影響を受けないようにし、速やかに正常状態に戻り、機能と構造を維持し、緩やかに機能を低下させることができる。重要な問題の特定、■ DRI International, International Glossary

for Resilience (www.drii.org)■ The IIA Practice Guide: Business Continu-

ity Management (www.theiia.org)■ “The Security Intelligence Center – Next

シナリオの実行、作成されたウェブサイトペ

Steps: Beyond Response to Anticipation,”ージ、体系化され順序づけられたメッセージ、Internal Audit Foundation and Crowe

および導入とテストと定期的な更新がされた

Horwath (www.theiia.org)

24

月刊監査研究2017．10（No.527）