内部監査人協会（ＩＩＡ）情報／ＣＢＯＫ調査結果

リスクを負うのは誰？

― 内部監査の役割の変化の概観 ―著者：ポール・J. ソベル （ＣＩＡ，ＱＩＡＬ，ＣＲＭＡ）
ジョージア・パシフィック社

訳者：堺

ヴァイスプレジデント兼内部監査部門長

咲子

内部監査人協会（ＩＩＡ）国際本部 理事
内部監査人協会（ＩＩＡ）調査研究財団 理事・評議員
ＣＢＯＫ2015運営委員会委員
実務家調査小委員会委員
インフィニティコンサルティング 代表
公認内部監査人（ＣＩＡ） 内部統制評価指導士（ＣＣＳＡ）
公認金融監査人（ＣＦＳＡ） 公認リスク管理監査人（ＣＲＭＡ）
米国公認会計士（ＣＰＡ（ＵＳＡ））

ＣＢＯＫについてこれらのレポートは、テクノロジー、リスク、素質等の８つの異なる側面から研究され内部監査の国際的共通知識体系（ＣＢＯＫ）ている。

は、内部監査の実務家とその利害関係者を対

本調査の質問と最新のレポートは、ＩＩＡの象にした内部監査の専門職の世界最大規模のホームページ内のCBOK Resource Exchange

継続的調査である。2015年ＣＢＯＫ調査の主（英語）からダウンロードできる。

な内容の１つは、世界中の内部監査人の業務と特徴を包括的に調べた実務家調査である。
この実務家調査プロジェクトは、内部監査人

調査データ

協会（ＩＩＡ）調査研究財団が2006年（回答回答者数

14,518＊

数9,366） と2010年（ 回 答 数13,582） に 実 施

回答国数

166

した同調査を礎にしている。

調査言語数

23

本プロジェクトのレポートは、2016年７月まで毎月のペースで発表され、個人、専門家

回答者階層

組織、ＩＩＡ支部からの寄付のおかげで、無内部監査部門長（ＣＡＥ）

26％

料でダウンロードできる。次の３つの形式でディレクター

13％

25以上のレポートが発表される予定である。

マネージャー

17％１）コアレポート：広範なテーマを扱うレポ

スタッフ

44％

ート
２）詳細レポート：重要なテーマを深掘りす＊回答率は、質問によって異なる。

るレポート３）早わかり：特定の地域やテーマを扱うレポート

月刊監査研究2016．2（No.507）

37

内部監査人協会（ＩＩＡ）情報

2015年ＣＢＯＫ実務家調査：地域別参加状況

欧州
北米

19%

中東・
8%
北アフリカ

中南米・
14%
カリブ海

23%

南アジア 5%
東アジア・
25%
太平洋

サハラ以南
6%
アフリカ

注：地域区分は、世界銀行の分類によるものである。欧州には、中央アジアからの回答（１％未満）を含めている。調査回答
期間は、2015年２月２日から４月１日までであった。オンラインによる調査ページへのリンクは、ＩＩＡ支部の電子メールリスト、ＩＩＡのホームページ、ニュースレター、ソーシャルメディアなどから配信された。回答者の基本情報が完全に回答されている限り、部分的な回答であっても分析に含めている。2015年ＣＢＯＫレポートの中では、具体的な質問は質問１、質問２のように表示している。本調査の全質問は、ＩＩＡのホームページ内のCBOK Resource Exchange（英語）からダウンロードできる。

目次
エグゼクティブ・サマリー������ 39
はじめに�������������� 39
１．リスクマネジメントの傾向���� 40
正式なリスクマネジメントプロセス� 40
長期間の傾向����������� 40
２．リスクマネジメントにおける内部監査の位置づけ������������ 43
ＥＲＭとの関係���������� 43
３つのディフェンスライン����� 43
３．内部監査のリスクマネジメントの責任� 45リ
 スクマネジメント全体に対するアシュ
アランス������������� 45
個々のリスクのアシュアランス��� 48

リスクについての助言と相談���� 48
2015年監査計画の焦点������� 48
統合的アシュアランス������� 50
４．リスクアプローチと能力����� 51
トップリスクの分野�������� 51
リスク評価の情報源�������� 52
リスク評価の頻度��������� 52
リスクデータのアーカイブ����� 53
リスクベースの監査計画������ 53
リスク能力水準���������� 53
結論���������������� 55
リスクマネジメントについての提言� 55

ＣＢＯＫの課題分野別のマーク

将来

38

グローバル
な視点

ガバナンス マネジメント

月刊監査研究

リスク基準と資格

2016．2（No.507）

素質

テクノロジー

内部監査人協会（ＩＩＡ）情報

エグゼクティブ・サマリー

はじめに

文字通り

先日改訂された「専門職的実施の国際フレの答えは「内部監査ではない」である。しかームワーク（ＩＰＰＦ）」には、新たに内部し、内部監査が組織がリスクをより良く理解

監査の使命として「リスク・ベースで、客観し管理する手助けを過去にしてきたことと、的かつ信頼性のあるアシュアランス、アドバ

今後も貴重な役割を果たすであろうことは、イス、見識を利害関係者に提供することによ疑う余地がない。

り、組織体の価値を高め、保全する。」が含

実際にリスクを負うのは誰か？

本レポートはリスクマネジメントの現状とまれている。この使命を果たすために、世界

世界中の内部監査の役割に関する洞察をもた中の内部監査機能は何をどう監査し報告する

らすだけでなく、変化し続ける世界で内部監かの根拠としてリスクに焦点を当てなければ査部門がリスク課題に適切に対処できるようならない。

にと内部監査部門長（ＣＡＥ）と内部監査人

2015年ＣＢＯＫ内部監査の実務家国際調査を支援するための13の重要な活動も示していは、内部監査人がリスクに関する世界中の実る。

務を理解するのを手助けするデータと見識を本レポートの調査結果を用いると、自らの提供している。本レポートではまず、正式なリスク関連実務と世界中の他業種の実務とを

リスクマネジメントが行われている範囲（第比較することができ、以下に関する新たな知１章）を理解した後で、リスクマネジメント

見も得られる。

における内部監査の位置づけ（第２章）を見●

組織のリスク実務ていく。３つのディフェンスラインモデルは、●

全社的リスクマネジメント（ＥＲＭ）とのこの位置づけを理解するのに役立つ。なぜな関係

らば、このモデルはリスクを管理する経営者●

組織内でのリスク評価の責任のレベルの責任（第１のディフェンスライン）、リス●

リスクの成熟度

ク管理の支援と監督における他の機能の役割●

リスク評価の熟達度（第２のディフェンスライン）、客観的なアシ本レポートは、2013〜2014年のＩＩＡ国際ュアランスを提供する内部監査の役割（第３本部会長であり、また、リスクと内部監査ののディフェンスライン）を区別しているからテーマに関する著名な著者兼講演者でもあるである１。

ポール・ソベル氏が執筆した。リスクの実務

第３章では、特にアシュアランスの責任にに関する最新情報は、内部監査に関する継続焦点を当てて内部監査のリスクマネジメント

的な世界最大規模の調査である2015年ＣＢＯの責任を見ていく。最後に第４章では、内部Ｋ調査結果から得た。また、地域的な背景を

監査計画を練るのに役立つリスク評価の特理解するために、内部監査とリスクの世界的性、監査計画のためのその他のリソース、内なリーダーへのインタビューを行って調査結部監査人のリスクマネジメント能力水準など果を補完した。

を含め、内部監査のリスク利用に関するさま
ざまな話題を取り上げる。
リスクマネジメントが発展し内部監査の役

１より詳しい情報は、ＩＩＡのポジションペーパー「有効なリスクマネジメントとコントロールにおける３つのディフェンスライン」2013年１月、およびＩＩＡとＣＯＳＯとの共同作成文書「３つのディフェンスライン全体でのＣＯＳ
Ｏの活用」2015年７月を参照。

月刊監査研究2016．2（No.507）

39

内部監査人協会（ＩＩＡ）情報

割が進化し続けていることは明らかである。

＜図表１＞リスクマネジメントの実践

しかしＣＡＥと内部監査人には、変化し続け

正式なERM
プロセスがあり
CROがいるる世界で内部監査機能が効果的にリスク課題に対処することを確実にする機会がまだまだある。本レポートを通して明らかにする重要な活動は、これらの機会に対処するのに役立
つものである。

24%

正式なリスクマネ
ジメントプロセスと手続がある29%

リスクマネジメント
プロセスは非公式か策定中37%

リスクマネジメント
プロセスはない

内部監査の使命「リスク・ベースで、客観的かつ信頼性のあるアシュアランス、アドバイス、見識を利害関係者に提供することにより、

10%
0% 10% 20%

30%

40%

50%

注：質問58「あなたの組織のリスクマネジメントプロセスの発展水準はどの程度ですか？」CAEのみ回答。回答数＝2,709。

組織体の価値を高め、保全する。」
内部監査人協会「専門職的実施の国際フレームワーク」2015年7月改訂版より

長期間の傾向長期間にわたってリスクについて同じ質問をしている調査は少ないが、リスクマネジメ

１．リスクマネジメントの傾向
リスクマネジメントは世界中で発展と進化

ントの進展を垣間見ることができる資料がある。
●

トレッドウェイ委員会支援組織委員会（Ｃを続けている。2008年に始まった世界金融危

ＯＳＯ）が2010年に発表したＥＲＭのレポ機は、優れたリスクマネジメントの価値と重ートは、460の回答のうちわずか４分の１要性を証明した。それ以来、リスクマネジメ

強が自らのリスクマネジメントプロセスをントまたはその構成要素を要件とする規則が「トップリスクを集約し定期的に取締役会公表されており、急速に変化する世界経済にに報告することを伴う、体系的で強固で繰おけるリスク管理方法について多くの文献がり返し可能なプロセス」であると回答して著された。

いる。この調査はほぼ全体が北米をベースにしており、回答者の20％が金融サービス

正式なリスクマネジメントプロセス
2015年ＣＢＯＫ調査結果では、世界中のＣセクターであった。
●

2011年にリスクマネジメントソサエティ

ＡＥの半数以上が組織に正式なリスクマネジ（ＲＩＭＳ）は、1,431名のリスクマネージ

メントプロセスと手続があると回答している

ャー（北米の回答者が94％を占め15％が金（図表１参照）。この図が示す通り、半数以上

融サービスセクター）からの回答に基づく（53％）は「正式なリスクマネジメントプロ「2011年リスク・ベンチマーク・サーベイ」

セスと手続がある」（29％）または「正式なの結果を公表した。この調査結果によると、

ＥＲＭプロセスがあり最高リスク責任者（Ｃ2009年の同調査ではちょうど３分の１強でＲＯ）または同等職の者がいる」（24％）とあったのに対し2011年は半数以上（54％）

回答している。過半数強が正式なリスクマネ

が、完全にまたは部分的にリスクマネジメ

ジメントプロセスがあるとする一方で、リスントプログラムを統合していると回答してクマネジメントは時とともに進展し続けているのかと疑わざるを得ない。

40

いる。
●

月刊監査研究国 際会計士連盟（ＩＦＡＣ）は2011年に2016．2（No.507）

内部監査人協会（ＩＩＡ）情報「リスクマネジメントと内部統制の国際調ービスセクター、外国企業の子会社にのみ存査」という文書を発表しており、その中で在する傾向があると強調していた。

586名の回答者の３分の２が正式なリスク＜図表２＞リスクマネジメントの実践（地域別）

マネジメントシステムがあると回答している（４分の３以上は北米以外から、４分の

欧州 7%

１は金融サービスセクターからの回答）。
これらの調査を比較してもリスクマネジメ
ントの進展の決定的研究とは言えないが、こ27%

サハラ以南 10%
アフリカ

44%

少直観的ではあるが世界金融危機の結果とし

南アジア 4%45%て正式なリスクマネジメントの顕著な進展が東アジア・ 14%太平洋

あったようである。しかし、近年は進展の速度が鈍化している可能性がある。北米以外の回答者がはるかに多い割合を占めるＩＦＡＣ

中東・
北アフリカ

の文書は、他の２つの調査よりも正式なリス

世界平均 10%

クマネジメントの割合が高いことを示してい

0%

る。

27%

25%

38%

中南米・ 17%
カリブ海

40%

20%

37%

14%

31%

17%

25%

17%

23% 12%

45%

24%

29%

37%
20%

21%

32%

36%

北米 4%

れらのタイミングと発見事項からすると、多

34%

33%

40%

60%

80%

100%

リスクマネジメントプロセスはない
リスクマネジメントプロセスは非公式か策定中
正式なリスクマネジメントプロセスと手続がある

地域別傾向

正式なERMプロセスがありCROがいる

2015年ＣＢＯＫ調査は、リスクマネジメン
ト実務の地域差も示している（図表２参照）。
特に、欧州のＣＡＥが著しく高い割合（67

注：質問58「あなたの組織のリスクマネジメントプロセスの発展水準はどの程度ですか？」CAEのみ回答。回答数＝2,675。四捨五入の関係で合計が100%にならないものもある。

％）で正式なリスクマネジメントプロセスがあると回答しており、これはＩＦＡＣの2011
年の結果と酷似している。反対に、中東・北アフリカではわずか35％、中南米・カリブ海
では42％が正式なリスクマネジメントプロセ
スがあると回答している。欧州の結果につい「バーゼル規制とソルベンシーⅡ指令
は、欧州の銀行・保険会社にとって独立したリスクマネジメントとコンプライア
ンスの機能を確立する重要な原動力となっている。」
スウェーデン王国ストックホルムて、保険業界での経験があるスウェーデン王

ランスフォサクリンガー（ＬＦＡＢ）社

国ストックホルムのランスフォサクリンガー（ＬＦＡＢ）社内部監査部長のシャルロッタ・
ロフストランド・へレム氏は、「金融サービス

内部監査部長

シャルロッタ・ロフストランド・へレム氏

セクターの規制は、欧州内で独立したリスク
マネジメント機能の立ち上げを加速させてい業種別傾向る」と述べている。しかし、そのような規制業種による差異も、規制の程度に関係しては中東・北アフリカや中南米・カリブ海ではいるようである。世界金融危機後の規制の公あまり普及していないので、正式なリスクマ

表によって金融・保険会社はより大きな割合

ネジメントプロセスがある割合が低い。これ

でリスクマネジメントを導入したという仮説

らの地域の人々にインタビューしたところ、を立てるかもしれないが、この仮説が正しい

正式なリスクマネジメントは大企業、金融サ

ことはデータが証明しており、金融・保険の月刊監査研究2016．2（No.507）

41

内部監査人協会（ＩＩＡ）情報

約４分の３には正式なリスクマネジメントプ
ロセスがある（図表３参照）。規制の厳しい業界でより高い割合で正式なリスクマネジメ
ントプロセスがあるのは当然であり、特に多くの国々で金融・保険会社は一定水準のリス＜図表４＞リスクマネジメントの実践（金融と金融以外の比較）
100%

クマネジメントを行うことが求められてい60%る。興味深いのは、金融業界以外を合わせる

40%と平均でわずか45％しか正式なリスクマネジ
メントプロセスがなく、規制がなければ大半の組織は正式なリスクマネジメントを行う状

74%

80%

20%
0%

42% 45%
23%
13%

3%

金融以外の業種

金融・保険業態に至っていないことを示している（図表４

リスクマネジメントプロセスはない

参照）。

リスクマネジメントプロセスは非公式か策定中
正式なリスクマネジメントプロセスがある

重要な活動１
業種を問わず正式なリスクマネジメン

注：質問58「あなたの組織のリスクマネジメントプロセスの発展水準はどの程度ですか？」CAEのみ回答。回答数＝2,709。

トプロセスを高度化するよう提唱する。
＜図表３＞正式なリスクマネジメントの実践
（業種別）

規模別傾向

金融、保険

74%

とより正式なリスクマネジメントプロセスが鉱業、採石、石油・ガス採取

56%

あるはずである。このような期待が起こるの

電気、ガス、水道

56%

専門職サービス、科学サービス、技術サービス

は次の２つの理由による。１）大企業はリス

55%

クマネジメントにより多くのリソースを充て

不動産、レンタル、リース

50%られる。２）金融機関の大部分は大企業であ

建設

49%

る。データはこれを証明しており、正式なリ

卸売業

47%

スクマネジメントプロセスがある割合は中小行政サービス

46%

ヘルスケア、社会扶助

45%

企業では約４割なのに対し大企業では約７割

製造

44%

（行政サービス以外の）その他のサ
ービス業

43%

運輸、倉庫

42%

情報

42%

小売業

42%

その他

37%

教育サービス

31%

平均

53%

100%
80%
60%

46%

43%

40%

51%

62%

73%

20%
１兆ドル超

１千億ドル超１兆ドルまで

0%

１億ドル超
１千億ドルまで

月刊監査研究＜図表５＞正式なリスクマネジメントの実践
（収入別）

百万ドル超
１億ドルまで42である（図表５参照）。

百万ドル以下

注：質問58「あなたの組織のリスクマネジメントプロセスの発
展水準はどの程度ですか？」に対して「正式なリスクマネ
ジメントプロセスと手続がある」または「正式なERMプロ
セスがありCROがいる」を選択した数。CAEのみ回答。回
答数＝2,709。

最後になるが、大企業は中小企業に比べる

注：質問58「あなたの組織のリスクマネジメントプロセスの発展水準はどの程度ですか？」CAEのみ回答。回答
数＝1,996。

2016．2（No.507）

内部監査人協会（ＩＩＡ）情報

ＥＲＭとの関係まとめ
要約すると、恐らく両者の多くは同一だが、世界中の回答者の66％は、「内部監査とＥ

金融機関と大企業は正式なリスクマネジメン

ＲＭは別の機能であるが調整して知識を共有

トプロセスの確立がより進んでいることを示している」と回答している（図表６参照）。

している。さらに、恐らく世界の他の地域に14％は「内部監査とＥＲＭは別の機能であり比べてより進んだガバナンス規制があること

接触はない」と回答している。つまり、80％を反映して、欧州の企業は正式なリスクマネが内部監査機能はリスクマネジメントとは別

ジメントプロセスがある割合が高い。米国のであると回答しており、これは第２と第３の2002年サーベインズ=オクスリー法のようにディフェンスラインがあることを示すため望世界の他の地域でも規制はあり得ることに留ましい傾向である。他方、５分の１は内部監意することが重要であるが、それらの規制は査がＥＲＭの責任を負っていることを示して

リスクマネジメント全般を達成することを求おり、そのうち３分の２はＥＲＭの責任を移めてはおらず、むしろ、財務報告に係る内部管する予定がない。したがって、これらの重統制のような特定分野に関するリスクに焦点

要な役割を分離するためになすべきことがまを当てている。

だまだある。

また、世界平均で47％の組織は正式なリス
クマネジメントプロセスを持っていないとい＜図表６＞内部監査と全社的リスクマネジメ
ント（ＥＲＭ）の関係

うことも認識する必要がある。リスクに関す
14%

るさまざまな調査結果は、世界的な景気後退

6%直後からリスクマネジメントの普及速度が遅

14%

66%

くなっていることを反映している可能性があり、少々不安である。しかし、ＣＡＥは組織のリスクマネジメントの進展と持続可能性に確実に影響を与えることができる。
重要な活動２66%

内部監査とERMは別の機能であるが、調整して知識を共有している

14%

内部監査とERMは別の機能であり、接触はない

6%

内部監査は現在のERM機能の責任を負っているが、その責任は将来他の部門に移管される

正式なリスクマネジメントの導入促進を支援する。既に導入されていればその維持を支援する。

２．リスクマネジメントにおける内部監査の位置づけ

注：質問59「あなたの組織では、内部監査と全社的リ
スクマネジメント（ERM）はどのような関係ですか？」回答数＝9,437。

３つのディフェンスライン
しかし、役割を調整し情報を共有している
66％についても、そのような調整が第２と第３つのディフェンスラインモデルでは、リ３のディフェンスラインを曖昧にし得るのでスクマネジメントを第２のディフェンスライ

注意が必要かもしれない。自らの組織がこのン、内部監査を第３のディフェンスラインとような状況であると認識している調査回答者

位置づけている。世界中の内部監査機能は、もいる。３つのディフェンスラインモデルを

どの程度このモデルと整合しているだろう

利用している回答者のうち13％は、第２とか？

第３のディフェンスラインの境が明確でないと回答している（質問63、回答数＝11,255）。

月刊監査研究2016．2（No.507）

43内部監査人協会（ＩＩＡ）情報

３つのディフェンスラインモデルについてのれているので内部監査とリスクマネジメント

より詳細な調査回答分析については、ＣＢＯの分離割合が高いのかもしれない。」と推測

Ｋレポート『統合的アシュアランス−１つのする。

言葉、１つの意見、１つの見方（Combined
Assurance: One Language, One Voice, One
View）』を参照いただきたい。

業種別傾向
この質問について業種別に見ると、金融・保険の回答者の93％は内部監査とＥＲＭが

地域別傾向

分かれていると回答している（図表８参照）。

内部監査とＥＲＭの分離については、世界

金融・保険は全回答者の33％を占めているたの地域間で思わぬ形の相違がある。欧州（86め、この業種が世界平均を80％に押し上げて％）は内部監査とＥＲＭが分離されている割いる。実際、他に80％を超えている業種はな

合が最も高く、これは（第１章で述べた通り）

い。これは、他の業種では第２と第３のディ

正式なリスクマネジメントプロセスがある割フェンスラインが金融・保険ほどは明確でな合が最も高いことと整合している。しかし、いことを示している。

２番目に高い割合を示したのは東アジア・太平洋（84％）であったが（図表７参照）、こ＜図表８＞内部監査とERMが分かれている組織（業種別）の地域は正式なリスクマネジメントプロセス

金融、保険

93%

がある割合では世界平均を下回っていた。Ａ

鉱業、採石、石油・ガス採取

80%

行政サービス78%

ＩＧジャパンホールディングスの専務執行役

電気、ガス、水道

78%

広氏は、「正式なリスクマネジメントプロセス（行政サービス以外の）その他のサ
ービス業

75%

は東アジア・太平洋地域全体には普及してい

運輸、倉庫

75%

ないかもしれないが、この地域全体はＩＩＡ

情報

75%

専門職サービス、科学サービス、技
術サービス

74%

建設

72%

卸売業

70%

不動産、レンタル、リース

69%

ヘルスケア、社会扶助

68%

製造

68%

教育サービス

67%

小売業

64%

その他

63%

平均

80%

員チーフインターナルオーディターの毛利直の内部監査の専門職的実施の国際基準（「基準」）やガイダンスへの遵守が非常に重視さ＜図表７＞内部監査とＥＲＭが分かれている組織（地域別）
欧州

86%

東アジア・
太平洋

84%

北米

79%

中南米・
カリブ海
中東・
北アフリカ

79%
70%

南アジア

69%

サハラ以南
アフリカ

68%

注：質問59「あなたの組織では、内部監査と全社的リスクマネ
ジメント（ERM）はどのような関係ですか？」回答数＝9,437。

概して東アジア・太平洋の規制当局は

80%

世界平均
0%

20%

40%

60%

80%

100%

注：質問59「あなたの組織では、内部監査と全社的リスクマ
ネジメント（ERM）はどのような関係ですか？」に対して「内部監査とERMは別の機能であり、接触はない」
または「内部監査とERMは別の機能であるが、調整して知識を共有している」を選択した数。回答数＝9,314。

44

月刊監査研究コーポレートガバナンス体制についてＩ
ＩＡの「基準」やガイダンスを参考にしているので、内部監査とリスクマネジメ
ントの分離が普及している。

2016．2（No.507）

内部監査人協会（ＩＩＡ）情報ＡＩＧジャパン・ホールディングス㈱、専務執行役員（内部監査担当） チーフ・イ
ンターナル・オーディター

毛利直広氏

３．内部監査のリスクマネジメ
ントの責任
内部監査とリスクマネジメントの適切な分

規模別傾向

離は、望ましく重要なことである。しかし、大企業は中小企業に比べて、内部監査とリ

この話題を第２章のテーマであるリスクマネ

スクマネジメント機能の分離割合が高い（図ジメントにおける内部監査の位置づけに落と

表９参照）
。

し込む場合、内部監査のリスク責任とＥＲＭ＜図表９＞内部監査とＥＲＭが分かれている組織（収入別）機能のリスク責任がどのように異なるかを理

100%
80%

70%

75%

77%

80%

86%

解することが重要である。したがって本章では、内部監査がリスクに関連するアシュアラ
ンスや助言をどのように提供するかについて60%述べる。内部監査はリスクについてさまざま

40%な責任を負う場合がある（図表10参照。回答

20%

者はこの質問に対して複数の回答を選べた）。
１兆ドル超

１千億ドル超１兆ドルまで１億ドル超
１千億ドルまで

百万ドル超
１億ドルまで百万ドル以下0%

注：質問59「あなたの組織では、内部監査と全社的リスク
マネジメント（ERM）はどのような関係ですか？」回
答数＝5,008。

まとめ全体としては、内部監査とリスクマネジメ＜図表10＞内部監査のリスクマネジメントの責任
リスクマネジメント
全体に対するアシュ
アランスを提供
個々のリスクに対するアシュアランスを提供
リスクマネジメント
活動に対する助言と相談を提供
私の組織はリスクベースのアプローチに 7%
従っていないントは分かれており、特に規制の強い地域やいる割合が高く、恐らく相関関係がある。しかし、2014年のPulse of the Profession（専

44%
57%

その他 6%

金融サービスセクターの企業ではその傾向が強い。また、大企業はこれら２つが分かれて

47%

0% 20% 40% 60% 80% 100%
注：質問60「あなたの組織のリスクに関連して内部監査が責任を負っている分野は何ですか？（該当するものすべてを選んでください。）」回答数＝11,935。

門職の動向）調査でも示された通り、第２と第３のディフェンスラインの境界が曖昧な場

リスクマネジメント全体に対するアシュア

合もあり得る。これら２つのディフェンスラ

ランス

インの重要な役割が曖昧になりアシュアラン

はじめに、回答者の47％が「リスクマネジ

スの質と信頼性を損ねることがないように、メント全体に対するアシュアランスを提供」

今後数年間見守る必要がある。

と回答している点に注意してほしい。一方では、このようなアシュアランスの提供方法に重要な活動３
３つのディフェンスライン内の役割を明確にするために、経営者や内部のアシュアランス提供者と協働する。

関する利用可能なガイダンスが限られていることを考えると、この数字は高めに見える。
他方では、2010年ＣＢＯＫ調査と比べると、
この数字は低い可能性がある。質問の文章は月刊監査研究2016．2（No.507）

45

内部監査人協会（ＩＩＡ）情報

全く同じではないが、2010年調査の回答者のフリカからのものである）。欧州が次に高い

57％は内部監査部門がＥＲＭプロセスの監査割合（57％）であり、この地域の規制やガバを行っていると回答しており、また、20％がナンスの水準によるものだろう。反対に、東このような監査は今後５年間（2015年まで）

アジア・太平洋と中南米・カリブ海は39％、で増えると予想していた 。質問の仕方は異

北米は44％しかリスクマネジメント全体に対なるもののリスクマネジメントアシュアラン

するアシュアランスを提供しておらず、このスの割合は2010年より2015年の方が低く、内ようなアシュアランスは世界の多くの地域で部監査人が過去５年間にリスクマネジメント

はまだ普及していないようである。

２のアシュアランスを増やしていないことを示

規模別傾向

している。

規模が異なる企業からの回答は他の調査質

重要な活動４問に対する結果と同様であり、大企業の方が個々のリスクについてだけでなく、リリスクマネジメント全体に対するアシュアラ

スクマネジメント全体のアシュアランス

ンスを提供していると回答する割合が高い。

を提供するよう努力する。

しかし、どの規模の組織もこの問いに対する回答は３分の２を超えておらず、大企業であ

地域別傾向ってもリスクマネジメントのアシュアランス
に焦点を当てる余地があり得ることを示して地域別の結果を見ると（図表11参照）、サ

いる。

ハラ以南アフリカの回答者の６割はリスクマ
ネジメント全体に対するアシュアランスを提重要な活動５

供していると回答しており、世界中のどの地

リスクマネジメントのアシュアランス

域よりも高い割合である。これは、リスクマを提供する際は、そのようなアシュアラ

ネジメントのアシュアランスをより重要ととンスが十分に理解されるための基準を確らえた南アフリカの強固なガバナンス要件の立する。

ためだろう（この地域の回答の約４割が南ア＜図表11＞内部監査のリスクマネジメントの責任（地域別）
100%
80%
60%
40%

60%

53%

41%

57% 54%
52%

62%
51%

47%

34%

61%

57%60%

45% 44%
35%

39% 38%

55%
39%
30%

57%
47% 44%

20%
0%

サハラ以南
アフリカ

欧州

南アジア

中東・
北アフリカ

リスクマネジメント全体に対するアシュアランスを提供

北米

東アジア・
太平洋

中南米・
カリブ海

世界平均

個々のリスクに対するアシュアランスを提供

リスクマネジメント活動に対する助言と相談を提供
注：質問60「あなたの組織のリスクに関連して内部監査が責任を負っている分野は何ですか？（該当するものすべてを選んでください。）」
回答数＝11,779。

２

Characteristics of an Internal Audit Activity （Altamonte Springs, FL: The Institute of Internal Auditors Research
Foundation, 2010）, 23-24.

46

月刊監査研究2016．2（No.507）

内部監査人協会（ＩＩＡ）情報

地域別傾向のギャップ分析

かる。リスクマネジメントが正式に行われて別の観点からの考察として、正式なリスク

いないのにどうやってアシュアランスを提供

マネジメントプロセスがある割合（第１章）

しているのか理解するのは興味深いことであとリスクマネジメント全体に対するアシュア

る。言い方を変えると、リスクマネジメント

ランスを提供している割合とを比較した。両のアシュアランスは一般に認められた妥当な方の質問とも規制の影響を受けると思われる

基準に基づいて行われるべきであり、正式なため、これら２つには何らかの相関関係があ

リスクマネジメントが確立されていない状態

るという仮説が立てられるはずである。しかでのアシュアランス提供は難しいだろう。

し、これら２つの調査質問のギャップ分析結「南米は内部監査機能が依然として伝統

果は、この仮説を必ずしも支持していない。

的な監査アプローチに従っているため、最初に検討するギャップは地域別の結果でリスクマネジメントのアシュアランスをある（図表12参照）。世界中の53％（ 色の行う割合が世界の他の地域に比べて低い。

棒）が正式なリスクマネジメントプロセスがしかし、この地域の内部監査人がより一あると回答し、47％（ 色の棒）がリスクマ

層リスクマネジメントのアシュアランス

ネジメント全体に対するアシュアランスを提を提供するように役割を拡大していくと供していると回答していることを思い出して私は考えている。」

いただくと、ギャップは７％（ 色の棒）で

ドミニカ共和国ラロマナ、セントラル・ロある。この割合を地域別に見るとギャップがマナ社

７％より大きい地域があり、アシュアランス

内部監査ヴァイスプレジデント

の提供が正式なリスクマネジメントの導入水

ナハン・フレット氏

準に追いついていないことを示している。し

業種別のギャップ

かし、サハラ以南アフリカ、中東・北アフリ
カおよび北米では、アシュアランスは正式な業種別のギャップにも、興味深い差異が見リスクマネジメントが導入されている以上にられる（図表13参照）。まず、ギャップがマ提供されている（ギャップがプラスではなくイナスになっている業種がない。次に、正式

マイナスになっている理由である）ことがわ

なリスクマネジメントが行われている割合＜図表12＞正式なリスクマネジメントとリスクマネジメントのアシュアランスのギャップ（地域別）
100%
80%
60%

67%
57%

40%

48%
39%

51%
44%

43%
39%

51% 51%

60%
54%

47%

53%
47%

35%

20%
0%

10%
欧州

9%
東アジア・
太平洋

8%
北米

0%

4%
中南米・
カリブ海

正式なリスクマネジメントプロセスと手続がある

南アジア

-6%
サハラ以南
アフリカ

7%
-12%
中東・
北アフリカ

世界平均

リスクマネジメント全体に対するアシュアランスを提供

ギャップ
注：質問60「あなたの組織のリスクに関連して内部監査が責任を負っている分野は何ですか？（該当するものすべてを選んでください。）」
回答数＝11,935。質問58「あなたの組織のリスクマネジメントプロセスの発展水準はどの程度ですか？」CAEのみ回答。 回答数＝2,675。

月刊監査研究2016．2（No.507）

47

内部監査人協会（ＩＩＡ）情報が最も高い２つの業種である金融・保険と電供」であった。リスクベースの監査手法が世気・ガス・水道（図表３参照）は、世界平均界中で広く普及していることからすると、回を上回る大きなギャップを示している。しか答者の44％しかこのようなアシュアランスをし、大きなギャップを示している建設と卸売提供していないのは驚きである（図表10参業の2つの業種では、正式なリスクマネジメ

照）。地域、業種および企業規模による差異

ントが行われている割合は世界平均の53％よは他の調査質問に比べると小さいものの、先り低い。正式なリスクマネジメントが行われに示したパターンと同様である。

ている割合とリスクマネジメント全体に対するアシュアランスのギャップが大きいことについての一貫した理由は見られないものの、
このようなギャップがあることは内部監査部
門がリスクマネジメント全体に対するアシュ

重要な活動６
リスクベースの監査を行う際は、監査の範囲と結果を個々のビジネスリスクにリンクさせる。

アランスを増やす重要な機会があるという見リスクについての助言と相談方を補強するものである。
＜図表13＞正式なリスクマネジメントとリス
クマネジメントのアシュアランス
のギャップ（業種別）

スクマネジメント活動に対する助言と相談を

電気、ガス、水道

17%

建設

16%

選択肢を選んでいるが、人口動態別グループ

卸売業

14%

金融、保険

13%

行政サービス10%もまた一般的だと予想するはずだが、驚いた

不動産、レンタル、リース

9%

ことにこの回答の割合はそれほど高くない。

専門職サービス、科学サービス、技
術サービス

8%

ヘルスケア、社会扶助

7%

運輸、倉庫

5%

製造

5%

者がいた可能性があるが、内部監査人がこの情報

4%

ようなアシュアランスや助言を提供するスキ

鉱業、採石、石油・ガス採取

3%

ルや経験がないためにこれらの回答に対する

小売業

2%

その他

1%

割合が高くないという可能性もある。これに教育サービス

1%（行政サービス以外の）その他のサ
ービス業

1%

平均

7%

注：質 問60「「あなたの組織のリスクに関連して内部監査が責任を負っている分野は何ですか？（該当するものすべてを選んでください。）」回答数＝11,935。質問58「あなたの組織のリスクマネジメントプロセスの発展水準はどの程度ですか？」CAEのみ回答。回答数＝2,675。

この調査質問の３つ目の回答選択肢は、「リ提供」である。より高い割合（57％）がこのごとの差異はそれほど大きくない。リスクベースの監査を行う内部監査部門の中では助言

その理由として、個々のリスクに対するアシュアランスと助言はリスクマネジメント全体のアシュアランスの一部であると考える回答

ついては、第４章でさらに検討する。

2015年監査計画の焦点
本調査ではＣＡＥに、2015年の監査計画のうち「リスクマネジメントのアシュアラン
ス・有効性」が占める割合も尋ねた。平均で監査計画の12％がこの分野に焦点を当てており、監査計画のカテゴリーの中の３位となっ個々のリスクのアシュアランス

ている（図表14参照）。

この調査質問のもう１つの回答選択肢は、

リスクマネジメントへの注目が高まってい「個々のリスクに対するアシュアランスを提ることの強力な証拠がある。2012年に実施

48

月刊監査研究2016．2（No.507）

内部監査人協会（ＩＩＡ）情報＜図表14＞2015年監査計画のカテゴリー

したPulse of the Profession（専門職の動向）

業務（オペレーショナル）

24.5%

調査では、次回の監査計画で５％をリスクマ

コンプライアンス・規制当局

15.0%

ネジメントの有効性に費やすと回答していリスクマネジメントのアシュアラン
ス・有効性

12.0%

る。2013年と2014年の同調査ではこの数字は戦略的ビジネスリスク

10.8%

他の監査でカバーされない情報技術
（ＩＴ）

8.3%

財務一般

6.7%

質問で示したように内部監査人はアシュアラ

コーポレートガバナンス

6.2%

他の監査でカバーされない不正

3.5%

ンスと助言を提供しているが、このようなア

その他（特に、要請、研修等）

3.3%

コスト・経費削減または抑制

3.2%

サーベインズ＝オクスリー法のテス
トまたは支援2.8%

第三者との関係

2.4%

危機管理

1.2%

７％に増加した。2015年までには12％になると示していた３。
全体としてこれらの結果が示すのは、前のシュアランスや助言を直接監査計画の大部分に充ててはいないということである。しかし、他の分野に費やした時間もリスクベースのものであると想定するのは合理的なので、リス
クマネジメントのアシュアランス・有効性に充てる割合が低いことを憂慮すべきでないか

注：質問49「あなたの2015年の監査計画は、以下の一般的なリ
スクカテゴリーについて何パーセントを占めていますか？
（合計で100%にしてください。）」CAEのみ回答。回答数＝2,712。

もしれない。
また、地域別に目を向けると、北米は世界の他の地域に比べて著しくこの割合が低い

重要な活動７（図表15参照）。しかし、これは主に米国でサリスクマネジメントに焦点を当てた監ーベインズ=オクスリー法のテストに時間を査計画の割合を増やし続ける。

費やしている（10.2％）ためである。サーベ＜図表15＞2015年監査計画のカテゴリー（地域別）
南アジ
ア

欧州

サハラ 東アジ
以南ア ア・太フリカ 平洋中南米 中東・・カリ 北アフブ海リカ

北米

業務（オペレーショナル）

25.9%

24.4%

24.5%

24.7%

22.9%

26.4%

24.9%

コンプライアンス・規制当局

12.9%

14.3%

11.3%

20.0%

14.4%

9.2%

14.6%

リスクマネジメントのアシュアランス・有効性

15.9%

14.2%

13.0%

12.5%

12.4%

11.4%

8.1%

戦略的ビジネスリスク

10.3%

10.9%

13.6%

7.6%

17.2%

12.1%

8.2%

他の監査でカバーされない情報技術（ＩＴ）

7.2%

8.2%

8.3%

4.7%

8.5%

9.4%

11.5%

財務一般

8.4%

6.3%

8.3%

7.0%

5.6%

7.8%

6.5%

コーポレートガバナンス

6.7%

6.9%

6.9%

8.1%

5.0%

7.1%

3.7%

他の監査でカバーされない不正

3.7%

4.0%

3.5%

3.2%

4.4%

3.7%

2.5%

その他 (特に、要請、研修等)

1.4%

3.3%

3.3%

2.8%

3.6%

2.2%

4.2%

コスト・経費削減または抑制

5.0%

3.2%

3.4%

4.5%

1.7%

5.9%

1.9%

サーベインズ=オクスリー法のテストまたは支援

0.2%

0.6%

0.6%

0.8%

1.7%

0.4%

10.2%

第三者との関係

2.0%

2.7%

1.8%

2.0%

1.8%

2.0%

3.1%

危機管理

0.5%

1.1%

1.4%

1.9%

0.8%

2.3%

0.7%

注：質問49「あなたの2015年の監査計画は、以下の一般的なリスクカテゴリーについて何パーセントを占めていますか？（合計で100%にしてください。
）」CAEのみ回答。回答数＝2,712。
３

The Global Pulse of the Profession Reports（Altamonte Springs, FL: The IIA Audit Executive Center, 2012, 2013,
and 2014）.

月刊監査研究2016．2（No.507）

49内部監査人協会（ＩＩＡ）情報

インズ=オクスリー法のテストは財務報告リ

大企業および規制の厳しい企業は正式な統合

スクにのみ焦点を当てているものの、リスク的アシュアランスを導入している割合が高い

マネジメントのアシュアランスも提供していということである。
正式な統合的アシュアランスを導入しているという見方が妥当だろう。

る企業の割合をリスクマネジメント全体のア

統合的アシュアランス

シュアランスを行っている企業の割合と地域

アシュアランスに関連するもう１つのト別で比較すると興味深い（図表16参照）。すピックは、多数の内部アシュアランス機能

べての地域でリスクマネジメント全体のアシからのアシュアランスを統合するために調ュアランス（ 色の棒）が一貫して統合的シ整を行う統合的アシュアランス（Combinedュアランスの導入（ 色の棒）を上回ってい

Assurance）である。リスクマネジメント全

るが、統合的アシュアランスが発展途上の実体のアシュアランスは他の分野からの支援も務であることから予想通りといえる。統合的受けて提供するため、統合的アシュアランス

アシュアランスの導入が比較的高い割合の地

はリスクマネジメント全体のアシュアランス

域は、規制環境の影響がありそうである。例の成功のカギとなり得る。しかし、統合的シ

えば、サハラ以南アフリカは統合的アシュアュアランスを導入しているのは全体のわずか

ランスの導入割合が最高（41％）であるが、４分の１である。厳密に言うと、19％が正式

これは統合的アシュアランスモデルを要求すな統合的アシュアランスモデルを導入しているコーポレートガバナンスのキングレポートると回答し、残りの５％はモデルがあっても（キングⅢ）という南アフリカのガバナンス

取締役会の承認はまだ受けていないと回答し規則の影響だろう。意外にも統合的アシュアている。第２章で述べた３つのディフェンス

ランスの導入割合が次に高いのは中南米・カラインの調査結果によると、回答者の66％がリブ海であり、他の質問の回答と矛盾してい内部監査とＥＲＭは別の機能であるが調整しるように見える。ギャップ（ 色の棒）が最て知識を共有しているものの、正式な統合的も大きいのは北米（31％）と欧州（30％）でアシュアランスを導入している割合ははるかある。欧州のギャップは、恐らく統合的アシに低いので、ＥＲＭ機能とは非公式に調整とュアランスの導入が全般的なアシュアランス

共有をしているにちがいない（統合的アシュの水準の高さに追いついていないためであろ

アランスの導入に関する詳細な分析は、「統合う。しかし北米のギャップは、単に統合的ア

的アシュアランス−１つの言葉、１つの意見、

シュアランスの導入割合が低い（13％）こと１つの見方−（Combined Assurance: Oneを反映している。これらの結果は、統合的ア

Language, One Voice, One View）」という題

シュアランスモデルを広める大きな機会が世

名のＣＢＯＫレポートを参照いただきたい）。

界中にあることを明らかに示している。
統合的アシュアランスに関する最後の考察

重要な活動８
組織内の他のアシュアランス提供者とアシュアランスを統合する方法を検討す
る。そうすれば統合的アシュアランスは、より効果的かつ効率的となり得る。

は、ＣＡＥのわずか14％が自らの組織で正式な統合的アシュアランスモデルを導入していると回答したのに対し、ディレクター・シニ
アマネージャーの24％、マネージャーの22％、スタッフの19％がこの質問に「はい」と回答

他の質問で見られたように、この質問の回していることである。これらの差異は、勤務答の中にも予測通りの差異がある。すなわち、する企業による差異とするには大きすぎる。

50

月刊監査研究2016．2（No.507）

内部監査人協会（ＩＩＡ）情報＜図表16＞正式な統合的アシュアランスとリスクマネジメントのアシュアランスのギャップ（地域別）
100%
80%
60%
40%

60%
41%

20%
0%

57%

19%
サハラ以南
アフリカ

27%

30%

欧州

51%
22%

29%

南アジア

47%
20%

39%
31% 30%

27%
13%

中東・
北アフリカ

正式なリスクマネジメントプロセスと手続がある

44%

39%
22%
9%

北米

中南米・
カリブ海

17%

東アジア・
太平洋

47%
24%

23%

世界平均

リスクマネジメント全体に対するアシュアランスを提供

ギャップ
注：質問60「「あなたの組織のリスクに関連して内部監査が責任を負っている分野は何ですか？（該当するものすべてを選んでください。）」
回答数＝11,935。質問61「あなたの組織では正式な統合的アシュアランス（combined assurance）モデルを導入していますか？」回答数＝10,417。

恐らく、ＣＡＥは正式な統合的アシュアラン
スかどうかを正しく判断する立場にあるのに対し、内部監査部門内の他の者は内部監査以外の部署による何らかのレベルのアシュアラ
ンスが該当すると考えたのだろう。
この地域（中東・北アフリカ）ではア
シュアランス機能を分離する傾向が増加
しているので、統合的アシュアランスは増加しないと考えている。統合的なアシュアランスはこの地域ではまだ足掛かりを築いていないし近い将来変わるとも思わない。
オマーン国マスカット銀行


内部監査部長

トム・トットン氏

重要な活動９内部監査と経営者のリスクの焦点が合うように、主要リスクについて定期的に経営者と協議する。

トップリスクの分野
2015年に経営幹部が最も焦点を当てる上位
５つのリスクを尋ねたところ、ＣＡＥは「リスクマネジメントのアシュアランス・有効性」を41％の確率で選んだ。しかし、最も焦点を当てる上位５つのリスクについて内部監査部門が焦点を当てるものを尋ねたところ、
ＣＡＥは「リスクマネジメントのアシュアラ
ンス・有効性」を58％の確率で選んだ（質問65および質問66、回答数＝2,753）。経営幹部

４．リスクアプローチと能力
本章では、「リスクを負うのは誰？」というが大変注目しているとＣＡＥが考える割合と内部監査が注目に値すると考える割合に差があるのはなぜだろうか？

推測するしかない

大局的な質問についてさらに洞察を提供するが、これは経営幹部とＣＡＥが組織にとってようなＣＢＯＫの質問を検討する。具体的に最も重要でありアシュアランスが最も脆弱なは、トップリスクとしてのリスクマネジメン

リスク分野について十分に時間を割いて協議

トに関する経営幹部とＣＡＥの認識の差、リしていない可能性を示している。ＣＡＥはリ

スク評価の情報源、内部監査人のリスク能力

スクマネジメントのアシュアランスの価値をに関する質問である。これらの洞察は、内部

最もよく理解しているので、その価値を経営監査人がリスクベースのサービスを提供する

幹部に啓蒙する必要がある。

際により良い成果を出す一助となるだろう。

月刊監査研究2016．2（No.507）

51内部監査人協会（ＩＩＡ）情報

リスク評価の情報源
リスク評価は長年、リスクベースの監査の＜図表17＞内部監査が依拠するリスク評価の種類

不可欠な部分となっているため、内部監査人

7%が業務の基礎とするためのリスク評価情報を

20%

どのように入手しているかを知ることは興味

51%
22%

深かった（図表17参照）。ＣＡＥの約半数が内部監査が行う包括的なリスク評価に依拠していると回答する一方で、22％は内部監査が行う焦点を絞ったリスク評価に依拠していると回答している。これは、残りの27％が（包括的であれ焦点を絞ったものであれ）経営管理者が行うリスク評価に依拠していることを意味している。このデータを第２章の質問（内51%

内部監査が行う包括的なリスク評価

22%

内部監査が行う焦点を絞ったリスク評価

20%

経営管理者が行う包括的なリスク評価

7%

経営管理者が行う焦点を絞ったリスク評価

注：質問41「内部監査は、あなたの組織のどのような種類のリスク評価に依拠していますか？」CAEのみ回答。回答数＝2,907。

部監査とＥＲＭの関係）と比較すると重大ながある。内部監査が適時にリスクの変化を考疑問が浮かんでくる。内部監査が経営者のリ慮していると利害関係者が想定しているのにスク評価情報に依拠する割合はわずか４分の

そうでないならば、このことを主な利害関係

１なのに、回答者の３分の２が「内部監査と者と協議すべきである。

ＥＲＭは別の機能であるが、調整して知識を共有している」と回答しているのはなぜか？
リスクマネジメント機能が内部監査のリスク評価に依拠しているからだと思うかもしれな
いが、それではリスクマネジメント機能が自らの重要なリスク責任を放棄することになり重要な活動10
リスク関連のあらゆる機能によるリスク評価業務を適切に活用し依拠するために、それらの機能と協働する。
＜図表18＞リスク評価の頻度

おかしな話である。リスクマネジメント機能
は独自のリスク評価を行うが、内部監査は自らのリスク評価に依拠したがるという可能性もある。いずれにせよ、内部監査とＥＲＭの連携を強化する機会がありそうである。

リスク評価の頻度
リスク評価の頻度を尋ねたところ、ＣＡＥ

年1回評価し定期的に正式な更新をする
年1回評価し正式な更新はしないいる（図表18参照）。残りの41％は、年内のリスクの変化を考慮しないか非公式に更新す
るのいずれかである。世の中の変化の速さやその結果としての会社のリスクプロファイルの変化を考えると、何らかの方法でリスク評
価を正式に更新していない41％は、内部監査

月刊監査研究32%

0%

10% 20% 30% 40% 50%

注：質問42「内部監査はどのくらいの頻度でリスク評価を実施していますか？」CAEのみ回答。回答数＝2,986。

重要な活動11
一定の期間に基づくのではなく、リス
クのスピードに合わせてリスク評価を更新する。

機能の価値を最大限に発揮していない可能性

52

36%

実施していない（内部監査はリスク 9%評価を実施しない）の23％がリスク評価は継続的、36％が年１回評価し定期的に正式な更新をすると回答して

23%

継続的評価

2016．2（No.507）

内部監査人協会（ＩＩＡ）情報

リスクデータのアーカイブ
変化し続ける世界で大量のリスク評価デー＜図表20＞監査計画を策定するために利用するリソース

タを保持するのは大変なので、調査ではＣＡ

リスクベースの手法

85%

Ｅにリスク評価の維持方法を尋ねた。回答者

経営管理者からの要請

72%にはテクノロジーの４つの選択肢が与えられ組織の戦略またはビジネス目的の分析

64%

部門または事業部の長との協議

62%

コンプライアンス・規制当局の要件

62%

前年の監査計画61%

監査委員会からの要請

56%

た。監査管理システムの多くはリスク要素の変化に対応できるようになっているためか、
回答者の62％はリスク情報を管理するように設計されたシステムを利用しているというや外部監査人との協議

26%

や明るい結果であった（図表19参照）。表計

外部監査人からの要請

19%

算ソフトやデータベースソフトを利用し続け

その他

6%

ている38％の回答者は、リスク情報を扱うように設計されたソフトウエア製品の利点を評価する必要性に気づくかもしれない。
＜図表19＞リスク評価の維持に利用するテク
ノロジー
表計算
またはデータベース
ソフトウエアで重要な活動12
経営者からの要請は通常監査計画に考慮されるが、そのような要請が高リスク分野から貴重な内部監査リソースをそら

38%

監査管理システムの一部で

注：質問48「監査計画を策定するためにどのようなリソースを利用していますか？（該当するものすべてを選んでください。）」CAEのみ回答。回答数＝3,040。

すものとならないように注意する。

26%

リスク能力水準

幅広いガバナンス、
リスク、
コンプ
ライアンスパッケー
ジの一部で単独のリスクパッケージで

23%

リスクベースの監査手法を実施するためには、内部監査人はリスクに関する一定水準の13%能力を持たなければならない。監査業務にお10% 20% 30% 40% 50%

いて自身のリスク習熟度を組織のリスクフレ

注：質問43「リスク評価はどのように維持されていますか？」CAEのみ回答。
回答数＝2,667。

ームワークに適用することについて尋ねたと

0%

ころ（図表21参照）、回答者の多くは「適格者」（32％）、「上級者」（31％）または「熟達リスクベースの監査計画者」（19％）と自己評価している。これらを最後になるが、回答者の85％は、監査計画

合計した82％というのは、リスクベースの手策定のリソースとしてリスクベースの手法を法を利用していると回答した85％と密接に相用いている（回答の第１位）と回答している

関しているように見えるものの、少なくとも（図表20参照）。地域、業種、企業規模により「適格者」と自己評価する者が100％近いこと若干の差はあるものの、「リスクベースの手を望むという意見もあるだろう。しかし、「初法」は監査計画策定のリソースの第１位か２

心者」や「経験者」と回答した者の大部分は位であった。リスクベースの手法を第２位にスタッフであるため（図表22参照）、経験のしたグループは、「経営管理者からの要請」が浅い者がリスクに関して適格者であるという第１位であった。これは、世界中の内部監査

自己評価をまだしていないのは恐らく意外な部門にとってリスクが主な基盤であることをことではない。

裏付けている。

月刊監査研究2016．2（No.507）

53内部監査人協会（ＩＩＡ）情報＜図表21＞リスクに対する習熟度の自己評価

31%
32%
19%

11% 7%

7%

1-初心者

11%

2-経験者

32%

3-適格者

31%

4-上級者

19%

5-熟達者

注：質問81「以下の尺度を用いて各能力に関するあなたの習熟度を評価してください。1-初心者、2-経験者、3-適格者、4-上級者、5-熟達者」のうち「組織のリス
クフレームワークを監査業務に適用する」に回答した数。回答数＝10,842。

＜図表22＞リスクに対する習熟度の自己評価
で「初心者」「経験者」と回答した者している。欧州が最高で東アジア・太平洋が最低である。これらの結果は、第１章の正式なリスクマネジメントを導入しているという結果とある程度整合している。
＜図表23＞リスクに対する習熟度の自己評価の平均（地域別）
3.8

欧州

3.6

北米
サハラ以南
アフリカ
中東・
北アフリカ
中南米・
カリブ海

3.6
3.5
3.5
3.3

南アジア
CAEまたは 2% 6%
同等職

東アジア・
太平洋

ディレクターまたはシニア 2% 4%
マネージャー

世界平均

マネージャー 3%
スタッフ

3.0
3.4
0

9%
11%

0%

17%
10%

1-初心者

0.5

1

1.5

2

2.5

3

3.5

4

注：質問81「以下の尺度を用いて各能力に関するあなたの習熟度を評価してください。1-初心者、2-経験者、3-適格者、4-上級者、5-熟達者」のうち「組織のリスクフレー
ムワークを監査業務に適用する」に回答した数。回答数＝10,711。

20%

30%「サハラ以南アフリカの人々がリスクに

2-経験者

注：質問81「以下の尺度を用いて各能力に関するあなたの習熟度を評価してください。1-初心者、2-経験者、3-適格者、4-上級者、5-熟達者」のうち「組織のリスクフレー
ムワークを監査業務に適用する」に回答した数。回答数＝10,518。

ついてますます有能になっているという傾向は、当該地域の利害関係者のニーズ
や期待と整合する。マイナス面は、多くの組織が正式なリスクマネジメントを導重要な活動13

入しようとして内部監査機能からスタッ

一層複雑で高リスクになる世界においフを引き抜いていることである。」て内部監査機能が利害関係者の変わり続マラウイ共和国ブランタイアシティ

ける将来への期待に沿うことを確実にす

マラウイ電力供給会社（ＥＳＣＯＭ）るために、リスクに関する内部監査の能シニア・リスクマネージャー

力を伸ばし続ける。



リスク習熟度の自己評価に地域差があるの

このような差異は、業種別ではさほど大きも興味深く（図表23参照）、本レポート全体

くない（図表24参照）。ＣＢＯＫの他のすべで述べている通りリスクに関する成熟度の差てのデータでは、金融・保険会社は規制が厳異を反映しているようである。このグラフは、

しいため特にリスクについてより成熟してい組織のリスクマネジメントフレームワークにるという結果を示しているが、この質問につリスクの専門知識を適用する習熟度の平均をいては、金融・保険は世界平均と近く、また示しており、熟達者を５、上級者を４、適格

他の多くの業種とも一致する結果なのが興味

者を３、経験者を２、初心者を１として計算

深い。

54

月刊監査研究2016．2（No.507）

アンディ・チテテ氏

内部監査人協会（ＩＩＡ）情報2010年ＣＢＯＫ調査には「今日の内部監

世界金融危機後の規制の増加は、正式なリ査人にとっての中核能力」という題名のレポ

スクマネジメントの進展に拍車をかけたようートがある。この時の調査では回答者のほぼであった。しかし、リスクマネジメントの進６割がＥＲＭは内部監査人にとって大変重展は続いているものの速度は落ちている可能

要な知識の分野であると回答していた。さら性がある。

に、ＩＩＡのAudit Executive Centerが行っ第２と第３のディフェンスラインが曖昧にた2012年と2013年のPulse of the Profession

なるという脆弱性は残るものの、内部監査か（専門職の動向）調査では、リスクマネジメ

らリスクマネジメントを分離するという傾向

ントのアシュアランスは内部監査人に必要なは続いている。内部監査はリスクマネジメン

スキルの上位５つのスキルの１つと世界中でト全体についてより多くのアシュアランスを認識されていた。2015年ＣＢＯＫ調査結果を提供しているが、そのようなアシュアランス

踏まえると、リスクマネジメントスキルに焦は正式なリスクマネジメントプロセスの整備点を当てれば効果を生みそうである。

水準に比べると遅れている。さらに、統合的＜図表24＞リスクに対する習熟度の自己評価の平均（業種別）

アシュアランスモデルの導入割合は比較的低専門職サービス、科学サービス、技
術サービス

3.6

アランスの効率性はいまだに最適化されていヘルスケア、社会扶助

3.6

金融、保険

3.5

電気、ガス、水道

3.5

メントのアシュアランスの重要性は高いと考鉱業、採石、石油・ガス採取

3.5

えている。このことは、リスクマネジメント

小売業

3.5

不動産、レンタル、リース

3.5のアシュアランスに対する期待について主な

行政サービス

3.4（行政サービス以外の）その他のサ
ービス業

3.4

運輸、倉庫

3.4

その他

3.4

教育サービス

3.4

製造

3.3

建設

3.2

うであり、利害関係者からの高まる期待に専

卸売業

3.2

門職が対応するのに役立っている。

情報

3.1

平均

3.4

注：質問81「以下の尺度を用いて各能力に関するあなたの習熟度を評価してください。1-初心者、2-経験者、3-適格者、4-上級者、5-熟達者」のうち「組織のリスクフレームワー
クを監査業務に適用する」に回答した数。回答数＝10,571。

いままであり、リスクマネジメントのアシュないことを示唆している。
ＣＡＥは経営者に比べると、リスクマネジ

利害関係者と密接に連携する機会があることを示唆している。また、内部監査とリスクマ
ネジメントが互いの知識を適切に活用することを確実にするために、リスク評価業務をよりよく調整する機会がありそうである。最後に、内部監査人のリスク能力は伸びているよ

しかし、複雑性とリスクが絶えず増え続ける世界で求められるほどには、内部監査が向上していない分野も数多くある。そこで、本レポートを通してＣＡＥと内部監査人が考慮すべき重要な活動を示した。これらの重要な結論活動に着目すれば、内部監査機能はリスクに関する利害関係者の増え続ける要求によりよ

リスクは世界中の内部監査の基礎である。

く応えられるだろう。

組織内の他の機能のリスク責任が増えている
ものの、内部監査はリスクに関して重要な役

リスクマネジメントについての提言

割を持ち続けている。

１．業種を問わず正式なリスクマネジメント

月刊監査研究2016．2（No.507）

55

内部監査人協会（ＩＩＡ）情報プロセスを高度化するよう提唱する。
２．正式なリスクマネジメントの導入促進を支援する。既に導入されていればその維持を支援する。

著者についてポール・J. ソベル氏は、公認内部監査人、
Qualification in Internal Audit Leadership、

３．３つのディフェンスライン内の役割を明

公認リスク管理監査人の資格を有しており、確にするために、経営者や内部のアシュア

米国ジョージア州アトランタを拠点とする森

ランス提供者と協働する。

林および消費財の私企業であるジョージア・

４．個々のリスクについてだけでなく、リス

パシフィック社のヴァイスプレジデント兼内

クマネジメント全体のアシュアランスを提部監査部門長である。以前は株式公開企業３

供するよう努力する。

社に勤務し、グローバル内部監査のリーダー、

５．リスクマネジメントのアシュアランスを

各社へのＥＲＭ、コンプライアンス、内部統提供する際は、そのようなアシュアランス

制プログラムのコンサルティング等を担当しが十分に理解されるための基準を確立する。

た。

６．リスクベースの監査を行う際は、監査のソベル氏には３冊の著書がある。１冊目は範囲と結果を個々のビジネスリスクにリン『Auditor’s Risk Management Guide: Integrat­

クさせる。

ing Auditing and ERM（邦題：監査人のため

７．リスクマネジメントに焦点を当てた監査
計画の割合を増やし続ける。

のリスクマネジメントガイド−ＥＲＭと内部監査の統合）』、２冊目はＩＩＡ調査研究財団

８．組織内の他のアシュアランス提供者とアの教科書で『Internal Auditing: Assurance &シュアランスを統合する方法を検討する。

Consulting Services（邦題：内部監査−アシ

そうすれば統合的アシュアランスは、よりュアランス・サービスとコンサルティング・

効果的かつ効率的となり得る。

サービス）』の共著、直近の３冊目はＥＲＭに

９．内部監査と経営者のリスクの焦点が合う

焦点を当てた『Enterprise Risk Management:

ように、主要リスクについて定期的に経営

Achieving and Sustaining Success』の共著で者と協議する。

ある。

10．リスク関連のあらゆる機能によるリスク

彼は、2013年から2014年のＩＩＡ国際本評価業務を適切に活用し依拠するために、部会長を含め、数々のＩＩＡのボランディア

それらの機能と協働する。

職を務めてきた。現在は、ＩＩＡの代表の１

11．一定の期間に基づくのではなく、リスク

人としてＣＯＳＯ ＥＲＭの諮問委員会の委のスピードに合わせてリスク評価を更新す員を務めており、また、米国公開会社会計監

る。

督委員会（ＰＣＡＯＢ）の常任諮問グループ

12．経営者からの要請は通常監査計画に考慮の委員も務めている。2012年には、フランスされるが、そのような要請が高リスク分野の『Treasury & Risk』誌で最も影響力のあから貴重な内部監査リソースをそらすもの

る100人に選ばれた。

とならないように注意する。
13．一層複雑で高リスクになる世界において内部監査機能が利害関係者の変わり続ける

ＣＢＯＫプロジェクトチーム

将来への期待に沿うことを確実にするため

ＣＢＯＫ開発チームに、リスクに関する内部監査の能力を伸ば

ＣＢＯＫ共同委員長：ディック・アンダーソ

し続ける。

ン（U.S.A.）、ジャン・コロラー（フランス）

56

月刊監査研究2016．2（No.507）

内部監査人協会（ＩＩＡ）情報

実務家調査小委員会委員長：マイケル・パー

レポートレビュー委員会

キンソン（オーストラリア）

セザー・ボズカス（トルコ）

ＩＩＡ調査研究財団ヴァイスプレジデント：

ジョン・ブラケット（U.S.A.）

ボニー・ウルマー

ジョン・マクラグリン（U.S.A.）

主任データ分析官：ポージュー・チェン博士

マイケル・パーキンソン（オーストラリア）

コンテンツ開発者：デボラ・ポーラリオン

ベトリス・サン ‐ レドラド（ベルギー）

プロジェクトマネジャー：セルマ・クースト

マリッサ・ヴィラヌーヴァ（エルサルバドル）

ラ、ケーラ・マニング
編集主任：リー・アン・キャンベル

月刊監査研究2016．2（No.507）

57