内部監査人協会（ＩＩＡ）情報／ＣＢＯＫ調査結果

金融サービス監査のグローバルな展望― 課題、機会、将来 ―著者：ジェニファー F. バーク （ＣＰＡ，ＣＲＰ，ＣＦＦ，ＣＦＳ）
クロウ・ホーワス社

金融サービス・リスク・プラクティス

パートナースティーブン E. ジェームソン （ＣＩＡ，ＣＦＳＡ，ＣＲＭＡ，ＣＰＡ，ＣＦＥ）
コミュニティ信託銀行 エグセクティブ・ヴァイスプレジデント
最高内部監査兼リスク管理責任者

訳者：堺

咲子

内部監査人協会（ＩＩＡ）国際本部 理事
内部監査人協会（ＩＩＡ）調査研究財団 理事・評議員
ＣＢＯＫ2015運営委員会委員
実務家調査小委員会委員
インフィニティコンサルティング 代表
公認内部監査人（ＣＩＡ） 内部統制評価指導士（ＣＣＳＡ）
公認金融監査人（ＣＦＳＡ） 公認リスク管理監査人（ＣＲＭＡ）
米国公認会計士（ＣＰＡ（ＵＳＡ））

ＣＢＯＫについてるレポート
３）早わかり：特定の地域やテーマを扱うレ

内部監査の国際的共通知識体系（ＣＢＯＫ）

ポート

は、内部監査の実務家とその利害関係者を対

これらのレポートは、テクノロジー、リス

象にした内部監査の専門職の世界最大規模のク、素質等の８つの異なる側面から研究され継続的調査である。2015年ＣＢＯＫ調査の主ている。

な内容の１つは、世界中の内部監査人の業務

本調査の質問と最新のレポートは、ＩＩＡのと特徴を包括的に調べた実務家調査である。

ホームページ内のCBOK Resource Exchange

この実務家調査プロジェクトは、内部監査人（英語）からダウンロードできる。

協会（ＩＩＡ）調査研究財団が2006年（回答数9,366） と2010年（ 回 答 数13,582） に 実 施した同調査を礎にしている。
本プロジェクトのレポートは、2016年７月まで毎月のペースで発表され、個人、専門家
組織、ＩＩＡ支部からの寄付のおかげで、無料でダウンロードできる。次の３つの形式で25以上のレポートが発表される予定である。
１）コアレポート：広範なテーマを扱うレポート２）詳細レポート：重要なテーマを深掘りす

月刊監査研究

調査データ
回答者数

14,518＊

回答国数

166

調査言語数

23

回答者階層
内部監査部門長（ＣＡＥ）

26％

ディレクター13％

マネージャー

17％

スタッフ

44％

＊回答率は、質問によって異なる。

2015．11（No.504）

19

内部監査人協会（ＩＩＡ）情報

2015年ＣＢＯＫ実務家調査：地域別参加状況

欧州
北米

19%

中東・
8%
北アフリカ

中南米・
14%
カリブ海

23%

南アジア 5%
東アジア・
25%
太平洋

サハラ以南
6%
アフリカ

注：地域区分は、世界銀行の分類によるものである。欧州には、中央アジアからの回答（１％未満）を含めている。調査回答
期間は、2015年２月２日から４月１日までであった。オンラインによる調査ページへのリンクは、ＩＩＡ支部の電子メールリスト、ＩＩＡのホームページ、ニュースレター、ソーシャルメディアなどから配信された。回答者の基本情報が完全に回答されている限り、部分的な回答であっても分析に含めている。2015年ＣＢＯＫレポートの中では、具体的な質問は質問１、質問２のように表示している。本調査の全質問は、ＩＩＡのホームページ内のCBOK Resource Exchange（英語）からダウンロードできる。

目次
エグゼクティブ・サマリー… ……………………………………………………………………21
１．金融サービスの内部監査人にとっての規制上の課題… …………………………………22
２．監査委員会とリスク委員会での数多くの議題… …………………………………………24
３．内部監査への期待の高まりに起因する課題… ……………………………………………25
４．テクノロジーリスクの増加… ………………………………………………………………26
５．３つのディフェンスライン… ………………………………………………………………29
６．内部監査のリソース… ………………………………………………………………………31
結論… ………………………………………………………………………………………………32

ＣＢＯＫの課題分野別のマーク

将来

20

グローバル
な視点

ガバナンス マネジメント

月刊監査研究

リスク基準と資格

2015．11（No.504）

素質

テクノロジー

内部監査人協会（ＩＩＡ）情報

エグゼクティブ・サマリー

らした。問題、弱点、コントロールされていないリスクに焦点を当てるという内部監査の現在以上に課題が多い時代はなかったと、

性質上、このような期待の高まりは内部監査

金融サービス業界の多くの人々が思っている

人に正しい決断を下すようにと一層のプレッだろう。金融機関の内部監査人は多くの課題

シャーをかけ、また、誤った決断を下す者へに直面しているが、本レポートは以下の重要の影響も大きくなった。
内部監査人は、限られたリソースを有効に課題に焦点を当てている。
１．通常、金融機関のほとんどがリスクリス

活用しながら広範囲な監査対象領域をカバー

トの上位に掲げている、規制上の要件するために、テクノロジーを利用することが２．増え続けるガバナンス関連委員会の議題多い。現在、テクノロジーは急速に広がっているので、有効なコントロールを維持するのの管理
３．内部監査人への期待の高まりはほとんど不可能である。このような試練に

４．サイバー犯罪者が防衛策を突破する新た追い打ちをかけて、犯罪者は今やテクノロジ

な方法を見つけるたびに増えるテクノロジ

ーを金融機関とその顧客に対するグローバルーリスク

な継続的攻撃に悪用している。

５．３つのディフェンスライン間での連携

金融機関の内部監査人が直面する多くの難題に立ち向かうための新たなディフェンスモ

６．リソース配分管理
法規制の遵守という課題は、優先順位リス

デルが作成され採用されていることから、希トを上昇し続け、バックオフィスから役員室

望の光もいくらか射している。３つのディフに至るまでの各種の議論の出発点となることェンスラインは、近年、世界中で広く受け入が多い。新たな規則の制定や既存の規則の改れられ採用されているモデルの1つである。

正は、スタッフの増員、新たなテクノロジー、

金融機関の内部監査人には、自身が所属するプロセスの見直しなどのための支出の増加

組織に役立つようにこのモデルを効果的に導と、手数料や収益の削減さえも金融機関に求入する方法を見いだすことが求められていめてきた。このような変更は極めて包括的でる。小規模な金融機関では、第２と第３のデあり、金融機関の間接的なパートナーやベンィフェンスラインの境界が曖昧なことが多い

ダーにも著しい影響を与えている。

ので、内部監査人には役割と責任を明確にす

ガバナンス活動や監督に携わる者は、自身ることが課せられている。

の業務量が増してきていると感じている。大世代的な相違、求められるスキルセットの量の議題をカバーするためにより長く多くの拡大、リソースプールの縮小、内部監査部門

会議を行う時間が必要になったため、金融機長（ＣＡＥ）のローテーションプログラムは、関は討議すべき増え続ける諸問題に十分な時

内部監査のリソース管理に課題をもたらして間を充てるために、一層の効率性が求められいる。このような課題は、昔からずっとＣＡている。出席者数の増加も、ガバナンス関連

Ｅの職務の一部である。それ自体は新たな課会議を長引かせる一因となっている。

題ではないが、リソース管理のためにかつて

内部監査人は長年、自身が所属する金融機用いていた方法が今でも常にうまく機能する

関でその存在を認められ戦略的討議に加わる

わけではないので、将来のためにリソースのよう要請されることを念願してきたが、内部獲得と管理の新たな方法を策定しなければな

監査部門の地位を高めたさまざまな利害関係らない。

者からの期待の高まりは、独自の難題ももた

月刊監査研究2015．11（No.504）

21

内部監査人協会（ＩＩＡ）情報

１．金融サービスの内部監査人
にとっての規制上の課題
金融サービスの内部監査人に安眠を妨げる
ものは何かと尋ねたら、彼らの多くは数ある
重要リスクの上位に掲げる規制上の課題であると答えるだろう。法規制の遵守が主に法務部とコンプライアンス部に委ねられていた頃
は、内部監査人は財務と業務の問題に専念していたが、今や法規制の遵守は、金融機関の＜図表２＞2015年の監査計画で高い割合を占めるリスク分野
リスク分野
業務（オペレーショナル）
コンプライアンス・規制当局
リスクマネジメントのアシュアラ
ンス・有効性
情報技術
戦略的ビジネスリスク

回答割合
25%
16%
14%
11%
10%

注：質問49「あなたの2015年の監査計画は、以下の一般的なリ
スクカテゴリーについて何パーセントを占めていますか？
（合計で100％にしてください。）」CAEのみ回答。金融セク
ターのみ抽出。回答数＝558。

あらゆる機能に関係している。
2015年に内部監査部門が最も焦点を当て

世界中の新たな規制機関と法律るリスク分野上位５つを世界中のＣＡＥに尋かつては、規制の変更の影響はそれほど大ねたところ、コンプライアンスリスクと規制きくなかったようで、消費者へのディスクロ

上のリスクがトップになった。コンプライア

ージャーの内容、方法、書式の改訂などに影

ンスリスクと規制上のリスクの次は業務（オ

響を及ぼすくらいものであった。しかし、こペレーショナル）リスクであった（図表１参こ数年の規制の変更は、ディスクロージャー

照）。金融セクターのＣＡＥは、監査計画で

書類上で何をどのように発表するかに影響すはコンプライアンスに集中するよりは業務リ

るだけでなく、システムやプロセスの根本的スクにより多くの割合を充てているが、コンな運用変更も求めている。これらの変更は、プライアンスリスクと規制上のリスクにも着複数のシステムや業務ユニットに無限連鎖的目している（図表２）。

な影響を及ぼしているようである。今日の規＜図表１＞ＣＡＥが2015年に焦点を当てるリ
スク分野

制の変更は、以前に比べてより大きくより重く銀行業務にのしかかっている。

回答割合

金融機関を監督しモニタリングするためコンプライアンス・規制当局

83%に、大きな権限を持った規制機関が新設され業務（オペレーショナル）

78%

リスクマネジメントのアシュアラ
ンス・有効性た。インドネシアの金融サービス機構、英国

68%の金融行動監督機構と健全性（プルーデンス）

情報技術

67%

規制機構、米国の消費者金融保護局は、世界

戦略的ビジネスリスク

53%

中の新設統治機構のほんの一例である。

リスク分野

注：質問66「あなたの内部監査部門が2015年に最大の焦点を当てている上位5つのリスクを特定してください。」CAEのみ回答。金融セクターのみ抽出。回答数＝582。

「規制の変更は必要以上の複雑性をもたらすので、今や事前準備がより重要であり、組織は規制変更による減収も見込まなければならない。」
オレゴン州ポートランド、ユニタス地域信
用組合


22

最高リスク責任者
ジェームス・アレクサンダー氏

月刊監査研究新たな法律や規則の制定は、その量も頻度も増加の一途をたどっている。規則の制定や改正の例には、国際決済銀行のバーゼル委員会が公表した、規制、監督、リスクマネジメ
ントを強化するための包括的改善策であるバーゼルⅢや、EUの金融商品市場指令の見直し（MiFID Ⅱ）と金融商品市場規制（MiFIR）などがある。
以前は、法律や規則の制定や改正には、制定や改正の影響を受ける者が効果的に導入で2015．11（No.504）

内部監査人協会（ＩＩＡ）情報

きるように、パブリックコメントのための公報告書、経営者への異議申し立てなどの分野

開草案、合意形成、十分な導入準備期間が含がそうである。また、組織内のリスクとコンまれていた。しかし、このようなアプローチ

トロールの文化について内部監査がレビュー

は、どんな代償を払っても消費者と投資家をし意見を出すように規制当局が求める国もあ守るというスローガンの下で便宜を重視したる。このような期待は、「内部監査は規制当局プロセスによって一掃された。多くの人々はと正式で直接の報告関係を持つべきかもしれ

この新たなアプローチを「取り締まりによるない」という提言を耳にするほどに高まって規制（regulation by enforcement）」と表現すきた。さまざまな間接的報告関係が既に整っる。過去数年間で金融機関に課された罰金は、ている国もある。
かつてないほどの規制当局の権限拡大の中数十億ドルにも達する。
従来、金融サービス業界の内部監査人は、で、金融機関のベンダーまでもが規制当局の法規制遵守関連の監査にあまり携わってこな

監視対象になっている。金融規制当局は通常、かった。法規制遵守関連の監査やレビューは、金融機関以外の組織を直接規制することはで

通常、内部監査とは別のコンプライアンスグ

きないが、金融機関のベンダーに対して「法ループが行っていた。しかし最近は、特に規規制に従うか、あるいはベンダーとしての資制変更による業務への影響や法規制を遵守し格をはく奪されるリスクを取るか」と迫る形

ないリスクの増加により、内部監査グループ

で、新たな法規制が金融機関に対して制定・が法規制遵守問題に一層関与するようになっ施行されている。ベンダーに本業とは関係なている。内部監査の関与の仕方には、コンプい問題があった場合の評判リスクであってライアンス監査、コンプライアンスグループ

も、金融機関に対する規制当局の監視が強まの監査、法規制遵守状況の追跡とモニタリン

ることがある。

グ、コンプライアンス変更による業務への影

金融機関にとって法規制の遵守は、かつて

響評価、消費者の苦情をモニタリングするシは主にコストの問題であったが、今では法規

ステムの確認、従業員向けの法規制研修の適制の制定・施行は収益源に影響するようにな

切性評価、立ち入りまたは常駐する大勢の検っている。法規制遵守に関連するリスクのリ査官と自社との連絡調整役などがある。

ストは、コストの増加、収益の減少、主な業

ウォール街および世界の大手金融機関
は、金融危機以降１千億米ドルを罰金と和解金として支払っており、半分以上が過去１年以内のものである。
2014年３月25日付フィナンシャル・タイ
ムズ電子版

務やテクノロジーの変更、ベンダーとの関係、罰金の可能性、刑罰、顧客手数料の返還などを既に満載している。しかし、より厳しい見方をするならば、このリストに戦略リスクと評判リスクを加えることが可能である。法規制遵守の問題は、集団訴訟、投資家による訴訟と委任状争奪戦、消費者擁護団体からの要内部監査人に対する規制当局の期待もまた

求、規制当局からの公開覚書、問題解決のた著しく高まっているが、金融機関の規模や所めの取締役会からのプレッシャーなどの核心管する個々の規制当局により期待は異なる。

になっている。法規制の負担は単独の組織で多くの場合、金融機関に対する規制当局の対応するには大きすぎるため、合併を模索す

期待は、ＩＩＡの『内部監査の専門職的実施る金融機関もある。

の国際基準（基準）』をはるかに超えており、
特に独立性、報告体制、監査対象範囲、監査

月刊監査研究2015．11（No.504）

23

内部監査人協会（ＩＩＡ）情報「銀行を監視するために規制当局は内部監査への依存を強めているので、多くの銀行が当局対応専門の監査チームを作ることを検討している。これは監査チームが直面している人員数の制約という問題を緩和するだろう。」
南アフリカ、ファーストランド社ＣＡＥ

ジェニサ・ジョン氏

２．監査委員会とリスク委員会
での数多くの議題＜図表３＞１年間で正式な監査委員会が開催
される回数
組織の種類

平均回数

金融セクター（株式非公開と株式
公開）

6.7

株式公開（金融セクターを除く）

6.4

非営利組織

6.2

公共部門・政府機関（国、地方自治体、諸官庁、国有組織等)

5.9

その他の種類の組織

5.6

株式非公開（金融セクターを除く）

5.3

注：質 問78「昨年度、（対面会議、電話会議、オンライン会議
等を含む）正式な監査委員会会議は約何回開催されました
か？」CAEのみ回答。回答数＝1,894。

さまざまな方面から課せられるさらなる責部監査部門長（ＣＡＥ）、最高リスク管理責

任に対処するために、監査委員会とリスク委任者（ＣＲＯ）、最高コンプライアンス責任

員会の議題は拡大し続け、会議時間は貴重な者（ＣＣＯ）、最高テクノロジー責任者（Ｃものになっている。株主と投資家の期待は増ＴＯ）、最高プライバシー責任者（ＣＰＯ）、

え続け、規制当局の期待も減る気配はない。

法律顧問、議題の対象となる事業部門の経営

取締役会は、監査委員会とリスク委員会が取者、ローンレビュー管理者、セキュリティ責

締役会の受託者責任の遂行を支援してくれる

任者、反マネーロンダリング責任者、米国銀ことや訴訟や規制措置への賠償責任にある程行秘密法責任者、外部監査人、外部のアドバ

度の制限を設けてくれることを求めている。

イザーやコンサルタント等が含まれる。さら

監査委員会とリスク委員会の開催頻度と開に、内部・外部監査人との個別の会議と併せ催時間がともに増え続けている。調査回答者て委員会の常設エグゼクティブ会議もあるたによると、金融セクターは年平均6.7回正式

め、会議がぎっしり詰まって慌ただしく感じな監査委員会を開催しており、他のあらゆるるのは当然である。
多くの金融機関は多数の議題に対応するた種類の組織より多い（図表３参照）。
金融セクターは、より多く会議を開催してめに、委員会と委員会の間に会議を設けたりいることに加えて議題数と会議参加者数が増増やしたり、委員長とＣＡＥが電話会議を行え続けているため、各議題に割り当てられるったり、会議を迅速に進められるように委員

時間は減っている。対処すべき問題がより複に会議事前資料を送付したりしている。会議

雑になっているので、より長い討議が必要に資料の量は、追加説明を必要とするような複なっている。監査委員会とリスク委員会の委

雑な議題のせいで、爆発的なものになってい員に対する要求事項が増えているため、委員る。

はより多くの質問をし、会議ではより多くのＣＡＥは、異なるレベルの詳細さを求める

説明と討議が必要になっている。監査委員会

複数の参加者に宛てた監査報告書を書くのにの委員が関与と交流を深めるのは一般的には苦労し続けている。例えば、

良いことであるが、一層の時間と労力が必要

●

になる。

点を当てた報告書を必要としている。

会議の出席者は増えており、最高経営責任者（ＣＥＯ）、最高財務責任者（ＣＦＯ）、内24

取締役は、ハイレベルの戦略的リスクに焦月刊監査研究●経営幹部は、是正措置が特定できるような、より詳細な報告書を必要としている。

2015．11（No.504）

内部監査人協会（ＩＩＡ）情報業務部門の経営者は、システムやプロセス

異議申し立てなどに関して『基準』を超えなを見直して複雑な変更を適切に実施するたければならないことが多い。また、金融サー

めに、極めて詳細な報告書を必要としていビスの監査人は他の業界の内部監査人に比べる。

て、監査委員会に直接報告することが多い。

監査委員会とリスク委員会にとって、期待調査回答者によると、金融サービスの内部監が高まる現在の環境下で有効性を発揮するの査人の69％は監査委員会に直接報告しているは非常に難しい。議題の広がりや討議時間のが、全業界平均はわずか54％である（図表４

超過に備えて、予備の時間を割り当てておか参照）。内部監査への期待の高まりによってなければならない。ＣＡＥにとって不可欠な内部監査の業務量と監査スケジュールは増えのは、監査委員会を最も重要な議題に集中さており、リソースの制約がより厳しくなってせることと、経営者や監査委員会にとって懸いる。

念となる問題に対処するようなリスクベース＜図表４＞ＣＡＥが職務上監査委員会に報告している割合●の監査計画を策定することである。簡潔でインパクトのある監査報告書があれば、経営者と監査委員会は効率的に時間を活用して会議

金融セクター（株式非公開と株式公開）

中により有効な討議を進めることができる。

非営利組織

３．内部監査への期待の高まりに起因する課題
ＣＡＥの長年の念願は、独立性を高めるた
めに組織内の高い地位に就き認められるこること、より生の情報を入手して戦略的施策
へインプットを提供することである。多くの

62%

株式公開（金融セク
ターを除く）

56%

その他の種類の組織

53%

公共部門・政府機関（国、地方自治体、諸官庁、国有組織等）
株式非公開（金融セクターを除く）
平均と、監査による改善提案に重要性が置かれること、経営幹部や取締役とより頻繁に交流す

69%

44%
43%
54%

0% 20% 40% 60% 80% 100%
注：質問74「あなたの組織の中で、内部監査部門長（CAE）
または同等の職位の者の職務上の主な報告先はどこですか？」CAEのみ回答。回答数＝2,634。

ＣＡＥにとって「願い事は慎重に」という警告は現実的なものになっており、先に掲げた

外部監査人の支援

念願は機会と課題の両方をもたらしている。

従来、内部監査人は、外部監査人の補完やＣＡＥは、考えられるほぼすべての問題の真支援にかなりの時間を割くことが多かった。

っ只中に自らが置かれていると感じている。

これは今でも続いているが、今や内部監査グ

経営者、取締役、規制当局、外部監査人かループは、外部監査人のために費やしたのとらの期待によって、内部監査が達成すべき業

同じかそれ以上のリソースを規制当局の検績水準が引き上げられている。これら内部監

査官の補完と支援にも費やさなければならな査の利害関係者は、内部監査への期待についい。一部の例では、新たな会計規制当局が内て意見がぶつかり合うことが多く、矛盾する

部監査人の業務への依拠に制限を設けたため利害関係者に仕える内部監査を難しい立場にに、外部監査人の業務と費用が追加されるこ立たせている。金融機関の内部監査人は利害とになった。これにより、外部監査人と規制関係者の期待に応えるために、ガバナンス、

当局にも追加的費用を払わなければならなく戦略への関与、報告、経営者の決定事項へのなったので、内部監査に対するリソース配分

月刊監査研究2015．11（No.504）

25

内部監査人協会（ＩＩＡ）情報について経営者と取締役は疑問を投げかけて内部監査人が経営者に異議を唱えることをいる。調査回答者によると、他業種に比べて規制当局が要請

金融・保険業界は外部監査人の支援をより多内部監査の重要性に対する規制当局の期待

く行っており、全く支援していないのはわずが高まったことにより、金融検査の範囲は単か16％である。さらに、金融サービスセクタにいくつかの監査報告書と監査調書を調べる

ーは外部監査人の支援に最も時間を割いておことから内部監査のあらゆる側面のより包括

り、34％が４週間以上、17％が８週間以上を的な評価へと拡大している。一部の例では、支援に費やしている（図表５参照）。

規制当局は内部監査グループを彼らの延長線監査による改善提案の実施を確実にするこ

上に置こうとしているようであり、内部監査とは、内部監査のフォローアッププログラム

人が経営者に異議を唱える通常のまたは伝統の形式としてより重視されている。フォロー

的な解決プロセスを回避して取締役会に報告

アップは、単に改善提案の実施状況を経営者することや、問題を規制当局に直接報告するに尋ねる以上のことをしなければならない。

ことさえも求めている。内部監査人の多くは、改善提案が適時に実施されたかを検証するた

自らの業務の結果が規制当局の検査報告書のめにテストを行うことがより重要になってい中で追加の不備として引用されることを懸念るため、監査の労力が増えて限られたリソーしている。オレゴン州ポートランドのユニタ

スにさらに負担がかかっている。調査回答者

ス地域信用組合最高リスク責任者のジェームによると、他の業界では業務プロセスのオース・アレクサンダー氏は、「監査報告書の意見

ナーがフォローアップの一義的責任を負ってに対する適切なフォローアップシステムがあいることが多いが（金融サービスの19％に比れば、内部監査報告書の意見が金融検査の発べて全平均は25％）、金融サービスの内部監見事項として引用される可能性を減らせる。」

査人はフォローアップの責任を業務プロセスと考えている。従来の意見相違解決プロセスのオーナーと共有していることが多い（全平では、通常、意見相違項目が取締役会や規制

均50％に比べて金融サービスは54％）。（質問

当局に報告される前にほとんどが解決され

52、回答数＝3,216）。繰り返しになるが、金た。規制当局は内部監査に高度の期待をして融サービスセクターの内部監査リソースは、いるため、意見の相違があった場合に内部監

このような追加的責任のせいでギリギリの状査人が経営者に「異議申し立て」することを態である。

期待しており、その状況が監査委員会や取締＜図表５＞１年間で内部監査部門が外部監査の支援に費やした期間

役会に上申された証拠を探し求めている。

8週間以上

17%

4〜8週間

17%

って確実にプラスになるが、課題もある。内部監査人への期待および報告や責任が増加す
れば、独立性、客観性、デューデリジェンス、

26%

1〜4週間

なし
0%

あらゆる関係者とのコミュニケーションを適

23%

1週間まで

切に確保するための要件も増加する。

16%
10%

内部監査への期待の高まりは内部監査にと

20%

30%

40%

50%

注：質問51「あなたの組織の内部監査部門は昨年、約何週間
外部監査の支援に費やしましたか？」CAEのみ回答。金融セクターのみ抽出。
回答数＝560。

４．テクノロジーリスクの増加
テクノロジーは、組織が理解し、解釈し、評価し、機密データへのアクセスをコントロ

26

月刊監査研究2015．11（No.504）

内部監査人協会（ＩＩＡ）情報

ールするよりも速く進歩している。テクノロ

だけではなく、上級経営者、取締役会、規制

ジーを使えば、犯罪者は組織がアクセスを制

当局、投資家も、これらのリスクに懸念を示限し保護するより速く脆弱性につけ込むことしている。データ侵害が大々的に公表されてができる。今どきの銀行強盗は、銃の代わりいることから、誰もがこれらの侵害がもたらにテクノロジーで武装して襲って来る。彼ら

す評判リスクと悪影響を十分承知している。

は世界中のあらゆる場所で暗躍できる。彼ら

復旧作業は膨大な時間と費用を要し、結果とによる金融機関の機密データへの不正アクセ

して大掛かりな組織的再編が起こり得る。
「もスの企ては、１日24時間休むことなくコンピし侵害されたら」ではなく「いつ侵害される

ュータ上で行われている。その結果、金融セ

か」なので、侵害が起こる前に復旧計画を念クターの内部監査人は、他業界に比べてはる入りに策定しテストすべきである、と多くのかに広範囲にＩＴリスクに関する監査業務を人々が言う。金融セクターの内部監査人（43

行っている（図表６参照）。

％）は他のセクター（34％）に比べて、デー
タ侵害のリスクをより広範囲であると考えて

サイバーセキュリティリスクの大規模な影いる（図表７参照）。

響
準備と復旧活動

サイバーセキュリティ、ＡＰＴ攻撃１、プライバシー保護は、内部監査人のリスクレー

事業の継続、再開、復旧は、データ侵害のダー内で最も注目されている話題の１つにな

防御や制限の試みと同じかそれ以上に重要にっている。図表１と図表２が示す通り、情報なってきている。より広範で総合的なデータ技術（ＩＴ）リスクは、ＣＡＥが焦点を当てとプライバシーの管理と、準備、発見と分析、るリスク分野および監査計画で高い割合を占封じ込め、撲滅から事後処理までの全領域をめるリスク分野のともに第４位である。また、カバーするプログラムが必要である。内部監

これらの話題に注目しているのは内部監査人

査人が積極的に準備計画に関与すれば、不可＜図表６＞ＩＴ全般リスクに関する内部監査業務
50%

47%

44%

43%
40%

44%

41%

35%

30%

24%

20%
13%
10%

27%
21%

12%
8%

5%

23%

20%

25%

最小限

中程度

23%

11%

10%

株式公開
株式非公開
金融セクター
公共部門・政府機関（株式非公開と株式公開） （国、地方自治体、 （金融セクターを除く） （金融セクターを除く）
諸官庁、国有組織等）
活動なし

22%

非営利組織

広範囲

注：質問92「特に情報技術（IT）のセキュリティについて、下記の分野に関連する内部監査業務の範囲はどの程度ですか？」のうち「情報技術（IT）全般リスクの監査」。回答数＝9,747。

１

訳者注：ＡＰＴ（Advanced Persistent Threats）攻撃とは、インターネットにおいて特定のターゲットに対して継続的に攻撃・潜伏を行い、さまざまな方法で執拗にスパイ行為や妨害行為を行うサイバー攻撃の総称。

月刊監査研究2015．11（No.504）

27

内部監査人協会（ＩＩＡ）情報＜図表７＞デ ータ侵害のリスクが「広範囲」と回答した割合
43%

非営利組織

41%

公共部門・政府機関（国、地方自治体、諸官庁、国有組織等）

32%

株式非公開
（金融セクターを除く）

31%

平均

イリー電子版）。リスクデータの集約と情報
ガバナンスは、内部監査人がリスクベースの金融セクター（株式
非公開と株式公開）

株式公開（金融セクターを除く）という（2013年５月22日付、サイエンス・デ

監査計画を策定する際に考慮すべきテーマである。

つながりとモバイル機器
新たなテクノロジーは、組織と内部監査グ
ループに独特の課題をもたらしている。アク26%

セスコントロールは、もはやワークステーシ
ョンのロックダウン２ だけに限らない。イン34%

0% 10% 20% 30% 40% 50%

ターネット、ソーシャルメディア、モバイル

注：質問93「下記の新たな情報技術（IT）の分野について、あなたの組織の固有リスクの水準はどの程度ですか？」のうち「組織のブランドを傷づけ得るデータ破壊」。回答
数＝9,426。

機器、リモートアクセス、その他の機器や方避な事態が起こった時に大きな実を結ぶこと

大抵、通常のコントロール手続を経ずに未承ができる。準備状況のテストは、内部のリソ

認のソフトウエアを導入できる。多くの金融ースとわずかなベンダーで行うところから、機関が利用しているレガシーシステムと新たサイバー脅威と物理的脅威の情報分析と共有なテクノロジーを統合する場合、金融機関のを目的とした金融サービス業界のリソースで情報のモニタリングと管理に追加的な課題がある『金融サービス情報共有センター（ＦＳ生じる可能性がある。

－ＩＳＡＣ）』のような組織を含めるところ

イントを開いている。組織中のユーザーは、

これらのテクノロジー上の課題は、金融セ
クターの内部監査部門に多くの難題を課してにまで発展している。
「内部監査のデータ分析能力と積極的な継続的モニタリング能力は向上中であり、これは能力開発計画を検討すべき分野の１つである。」
南アフリカ、ファーストランド社


法は、コントロールすべきより多くの侵入ポ

ＣＡＥ

ジェニサ・ジョン氏いる。変わり続けるテクノロジーリスクに対応するために内部の専門家を監査部門に配置するのは費用が掛かるし、また、この分野の専門家の数が限られていることから実現は難しい。情報システム監査の資格を保持しているのは世界中の調査回答者のわずか１割であり、ＩＴセキュリティの資格保持者はたったの ３ ％ で あ る（ 質 問13、 回 答 数 ＝12,540）。

ビッグデータのリスクを監査計画に加える

テクノロジー監査にコンサルタントを用いる

莫大で増加の一途を辿るビッグデータをどのも費用が掛かるし、追加的な監督と管理ものように保存、管理、保護、利用するかが組必要になる。テクノロジーの変化の速度のせ織にとって課題となっている。2013年に報告

いで金融機関のテクノロジーリスクプロファ

されたところによると、世界中のあらゆるデ

イルは変化し続けるので、内部監査部門は動ータの９割は、過去２年間で生成されている

く標的を監査することが求められている。

２

訳者注：ロックダウンとは、システムの機能制限、リソース制御やアクセス制御など、特定の用途にだけシステムを使用できるようにすること。

28

月刊監査研究2015．11（No.504）

内部監査人協会（ＩＩＡ）情報

５．３つのディフェンスライン

マネジメント（ＥＲＭ）業務の調整、物理的

３つのディフェンスラインモデル（図表８要請されたりそれらの責任を割り当てられる参照）は好評で、世界中の内部監査人に広くことがある。３つのディフェンスラインモデ

利用されている。調査回答者によると、世界ルを適切かつ有効に導入する方法を模索して中の金融セクターの78％は「３つのディフェ

いるＣＡＥもいる。

セキュリティやＩＴセキュリティの担当を、

ンスラインモデルに従っており内部監査は第３のディフェンスラインである」と回答して混合型の３つのディフェンスラインの安全いる（図表９参照）。これは、他の種類の組対策

織に比べてはるかに高い割合である。このモ

内部監査は、客観性を保ち日常業務の管理

デルがより一般的になり、理解され、受け入者の不当な影響を受けずに業務を行うことがれられる一方で、このモデルがどの程度柔軟重要である。内部監査と第２のディフェンス

であるべきかという疑問が起こっている。３ラインの一部を含むすべての内部のアシュア

つのすべてのディフェンスラインは、組織のランスグループが、部門運営上１人の経営幹

規模や複雑性を問わず、何らかの形ですべて部に報告する組織もあり得る。このような混の金融機関に存在すべきである。リスクマネ合型の部門運営上の報告関係では、ＣＡＥがジメントは通常、３つの別々で明確なディフ

監査委員会に職務上直接報告することを妨げェンスラインがある場合に最も強固である。

ないように報告体制を設計すべきである。３

しかし実際には、特に中小規模の金融機関でつのディフェンスラインの異なる機能が部門

は混合型アプローチが導入されている。例え

運営上同一の経営幹部に報告する場合は、内ば、第２のディフェンスラインの一部を内部部監査が職務上監査委員会に直接報告する体

監査と統合している金融機関がある。

制を確保することが重要である。内部監査の内部監査人は、独立したコンプライアンス

独立性と客観性の維持に役立つ追加的な安全部門がない場合にはコンプライアンス監査の対策を講じることも可能である。安全対策に実施、独立したローンレビュー部門がない場

は、内部監査の品質評価、第三者によるコン

合にはローンレビューの実施、全社的リスク

プライアンス、ローンレビュー、セキュリテ＜図表８＞３つのディフェンスラインモデル
統治機関・取締役会・監査委員会
上級経営者

第３のディフェンスライン

財務管理

規制当局

第２のディフェンスライン

外部監査

第１のディフェンスライン

セキュリティ
経営者によるコントロール

内部統制
手段

リスクマネジメント
品質

内部監査

検査
コンプライアンス
注：出典−IIAのポジションペーパー『有効なリスクマネジメントとコントロールにおける3つのディフェンスライン』（2013年1月）の中の『ECIIA/FERMA Guidance on the 8th EU Company Law Directive, article 41』。

月刊監査研究2015．11（No.504）

29

内部監査人協会（ＩＩＡ）情報

し、結果的に効率性と有効性が増す。

ィ、ＥＲＭのレビュー、およびコンプライア
ンス、ローンレビュー、セキュリティ等の管ＩＩＡのポジションペーパー『有効なリス

理者に対する取締役会の委員会へのアクセス

クマネジメントとコントロールにおける３つ提供などがある。

のディフェンスライン』は、「どの組織も固有内部のアシュアランスグループが業務運営であり置かれた状況もさまざまなため、３つ上または経営上の意思決定責任を負っておらのディフェンスラインを連携する唯一の『正ず、内部監査の基本規程や報告書等で適切にしい』方法というものはない。」と述べてい開示され透明性が確保されていれば、３つのる。さらに、「特に小規模組織のような例外的ディフェンスラインモデルの下での混合型のな状況では、あるディフェンスラインが兼務

部門運営上の報告関係において独立性と客観されることもある。このような状況では、内性を裏付けることができる。高度に規制され

部監査は統治機関と上級経営者に対して、兼た金融サービス業界では、このような混合型

務の影響を明確に説明しなければならない。

の報告関係および独立性と客観性を強化する

もし二重の責任が単一の個人または機能に課

安全対策の整備状況をレビューする当局検査される場合には、３つのディフェンスライン

を、この体制の適切性の検証に役立てることを確立するために、後でこれらの職務の責任ができる。

を分けることを検討することが適切である。」とも述べている。

内部のアシュアランスグループが１人の経営幹部に直接報告する体制は、これらすべて

ＣＡＥは、各組織のリスクとコントロールのグループの独立性と客観性を強化する安全を有効に管理するために、情報が共有され業対策にもなり得る。このアプローチでは、複務が連携されることを確実にすべきである。

数のアシュアランスグループ内のコミュニケ

正式な方針と手続を策定すれば、この取り組ーションと連携を一層深めることができるのみを促進できる。

で、情報の活用と重複業務の最小化を可能に＜図表９＞３つのディフェンスラインの利用割合
100%
80%

78%

60%

55%
43%

40%

41%

24%

20%
0%

38%

3%

10% 8%

15%
7%

金融セクター
株式公開（株式非公開と株式公開）（金融セクターを除く）

18%

13%
5%
公共部門・政府機関（国、地方自治体、諸官庁、国有組織等）

35%

7%
非営利組織

40%

38%
15%
8%

株式非公開
（金融セクターを除く）

はい、内部監査は第３のディフェンスラインであると考えられている。
はい、しかし私の組織では内部監査は第２のディフェンスラインであると考えられている。
はい、しかし第２と第３のディフェンスラインの境が明確ではない。
いいえ、または、当てはまらない。
注：質問63「あなたの組織は、IIAが明示した３つのディフェンスライン（３本の防衛線）モデルに従っていますか？」のうち「このモデルを良く知らない」と回答した者を除く。四捨五入の関係で合計が100％にならないものもある。回答数＝9,093。

30

月刊監査研究2015．11（No.504）

内部監査人協会（ＩＩＡ）情報

６．内部監査のリソース＜図表10＞金融セクターのCAEがスタッフに求めるスキルの上位

内部監査に対する経営者、取締役、規制当局の期待は、すべての内部監査人の伝統的特

スキル

金融
非金融
セクター セクター差

分析的・批判的思考

66%

64%

2%

コミュニケーションスキル

52%

51%

1%

クノロジー、事業運営、金融サービス、コミ

リスクマネジメントア
シュアランス

48%

41%

7%

ュニケーション、法規制の遵守、サイバーセ

業界特有の知識

45%

33%

12%

キュリティ、プライバシー、ベンダー管理、

情報技術（一般）

43%

37%

6%

会計

36%

45%

-9%

徴であった典型的な会計と財務の知識の枠を超えて拡大している。今や内部監査人は、テ

事業継続、法的事項、定量分析などに関連する知識を持つことが期待されている。これらのスキルを獲得するために単により多くのデータマイニングと分析

32%

31%

1%

ファイナンス

30%

21%

9%

人々を採用し続けるのは、ほとんどの組織にビジネス感覚

26%

27%

-1%

不正監査

21%

23%

-2%

とって不可能である。調査に回答したＣＡＥ

サイバーセキュリティとプライバシー

16%

13%

3%

フォレンジックと調査

13%

15%

-2%

法務知識

10%

12%

-2%

品質管理（シックスシ
グマ、国際標準化機構）

4%

8%

-4%

興味深いことに、会計スキルはあまり重視さ

その他

3%

4%

-1%

れていない。多才な監査人がさまざまな分野

注：質問30「あなたの内部監査部門で最も採用または開発しているス
キルは何ですか？（５つまで選んでください。）」CAEのみ回答。
回答数＝3,288。

によると、金融サービス業界は他の業界と比べて異なるスキルの優先順位があり、業界特有の知識、ファイナンス、リスクマネジメン
ト、ＩＴをより重視している（図表10参照）。

の監査を行えるように、個々の監査人のスキ
ルセットを伸ばさなければならない。
これらの新しいスキルを身につけた内部監
査人を育成することに課題がないわけではない。例えば、ＩＩＡの2015年監査管理者大会（General Audit Management Conference）での報告によると、北米の監査人と会計士の失業者数は史上最低であり、また、会計を専攻する学生はより少なくなっている。ＣＡＥは、
伝統的な会計以外の学歴にも幅を広げて求人「金融サービスの監査機能のニーズが財務リスクから業務（オペレーショナル）
リスクに変化していることを踏まえて、当社が採用する人材の経歴も変化している。当社が現在求めているのは、ファイ
ナンス、組織的戦略、統計、サプライチ
ェーンマネジメントなどを大学で専攻した人々である。」
テキサス州サンアントニオ、ＵＳＡＡシニの検討をしている。
世代的な相違は労働環境を再形成し、従来からの報酬制度や管理手法に課題をもたらし

アヴァイスプレジデント、ＣＡＥ

マーク・ハワード氏ている。若い世代は福利厚生を検討する際に、監査人にとって今や必須条件である。テクノ

仕事と生活のバランスをより重視している。

ロジーは、組織が内部のリソースを補完する

融通の利く仕事のスケジュールや多くの休暇ために外部や第三者のリソースを必要とするが、より一般的になってきている。幸いにも、ことが多い分野でもある。内部監査リソース

テクノロジーのおかげで監査スタッフは自宅を補完するためには、新たなシステムやソフで働ける機会が増えている。

トウエアツールも必要かもしれない。幅広い

テクノロジースキルは、就労するあらゆる

月刊監査研究テクノロジー監査を効果的に行うためには、

2015．11（No.504）

31

内部監査人協会（ＩＩＡ）情報

予算と研修の増加が必要となるだろう。

善のための努力を続けるだろう。

内部監査部門長を一定期間務めるローテー
ション制のＣＡＥは、監査手法を拡大する一方で、監査手法の継続性や独立性の問題をも著者についてたらしている。また、ローテーション制のＣ

ジェニファー・Ｆ．バーク氏は、公認会計

ＡＥがＩＩＡの『基準』や品質評価などを理士、Certified Risk Professional、Certified

解しているのか、あるいは注意を払っている

in Financial Forensics、Certified Fraudのかといった問題もある。内部監査の研修やSpecialistの資格を有し、クロウ・ホーワス

資格に対するコミットメントも不足している

社の金融サービス・リスク・プラクティスの可能性がある。組織的な人材育成は、ローテ

パートナーであり、クロウ社での19年間を含ーション制のＣＡＥにとって、有利な転出やめて25年以上金融サービス業界の顧客にサー

業務ユニットへの復帰のタイミングと機会にビスを提供している。数十億ドル規模の金融影響を及ぼす可能性がある。しかし、ＣＡＥ

機関の戦略的プロジェクトを主導し、内部監のローテーション制は、多くの利点ももたら

査、コンプライアンス、ローンレビュー、全し得る。例えばローテーション制のＣＡＥは、

社的リスクマネジメント（ＥＲＭ）を行って既に実証され認められているリーダーシッいる。また、ＩＩＡの金融サービスアドバイ

プ、ビジネスに対するより幅広い見識、既にサリーボードとノースカロライナ州ＥＲＭイ

構築されたビジネス部門との関係などを持っニシアティヴ・アドバイザリーボードで委員ているので、それらを内部監査機能の価値のを務めている。彼女は、銀行、内部監査、Ｅ

付加と自信の増加に活用することができる。

ＲＭなどのテーマの講演者として米国内および国際的に著名である。クロウ社に勤務する

結論

前は、数十億ドル規模の金融機関のシニアヴァイスプレジデントでありＣＡＥを務めてい金融サービス業界の内部監査人には、常にた。

課題がある。課題は、長年にわたり似たようスティーブン・Ｅ．ジェームソン氏は、公なテーマであり共通の種類にまとめることが認内部監査人、公認金融監査人、公認リスク

できるが、対処する者の創造性を試すような管理監査人、公認会計士、公認不正検査士の異例の課題も常にある。環境は変化し続け、資格を有し、コミュニティ信託銀行で内部監課題に対処するための革新的な戦略を策定す

査、ＥＲＭ、ローンレビュー、コンプライア

る新たな機会をもたらしている。

ンス、セキュリティの機能を担当するエグセ

直面する課題に効果的に対処し進歩する内

クティブヴァイスプレジデントであり最高内部監査人は、組織に積極的な貢献を示すこと

部監査兼リスク管理責任者である。金融サーができる。彼らは有能なリーダーとして認め

ビス業界の内部監査の専門家として28年以られ、ひいては職場で地位と評価を高め続け

上、会計事務所で３年、ＩＩＡの専門職的実る。このような評価に連動して組織内での彼

施グループのヴァイスプレジデントとして４らの役割は重要性を増し続けるため、さらな

年以上の経験がある。彼は、ドレッドウエイ

る難題を背負う可能性がある。最も成功する

委員会支援組織委員会（ＣＯＳＯ）の2013年

内部監査人は、過去の経験から学び、さらに版『内部統制の統合的フレームワーク』およ

革新的手法と実践、プロ意識、継続的能力開び2004年の『全社的リスクマネジメント』の発、内部監査の専門職への献身を通して、改諮問委員会委員を務めた。

32

月刊監査研究2015．11（No.504）

内部監査人協会（ＩＩＡ）情報

ＣＢＯＫプロジェクトチーム

ボニー・ウルマー
主任データ分析官：ポージュー・チェン博士

ＣＢＯＫを運営しているＩＩＡ調査研究財

コンテンツ開発者：デボラ・ポーラリオン

団（ＩＩＡＲＦ）は、過去40年間にわたり内

プロジェクトマネジャー：セルマ・クースト

部監査の専門職のために革新的調査研究を行ってきた。ＩＩＡＲＦは、現在の課題、新たラ、ケーラ・マニング
編集主任：リー・アン・キャンベルな傾向、将来のニーズを検討する取り組みを通して、専門職の進化と発展を支える原動力

レポートレビュー委員会となっている。

ジェームス・アレクサンダー（U.S.A.）
デスポイナ・チャザガ（ギリシャ）

ＣＢＯＫ開発チーム

キヴィルシム・グンバティ（トルコ）

ＣＢＯＫ共同委員長：ディック・アンダーソ

キャシアン・ジェイ（U.S.A.）

ン（U.S.A.）、ジャン・コロラー（フランス）
実務家調査小委員会委員長：マイケル・パー

ジェニサ・ジョン（南アフリカ）
マイケル・パーキンソン（オーストラリア）
デボラ・ポーラリオン（U.S.A.）

キンソン（オーストラリア）
ＩＩＡ調査研究財団ヴァイスプレジデント：

月刊監査研究ニコラ・リマー（英国）2015．11（No.504）

33