仮想組織体に対する外部評価の事例検証を通じて取り纏めた発見事象・改善提言マトリクス
2017/5/28 22:10

関連する基
準

基準の内容

発見事象

改善提言（当初）

提示先から予想される反応

内部監査規程が年次ベースで見直されていない。内部監査規程
内部監査規程を年次ベースで見直は、IIAによる内部監査の新たな定し、内部監査部門の全責任を包含 ・年次で規程を見直す必要があるほど、内部監査
義の勘案、内部監査部門長の責することを明確にする。改定した規 体制や業務の内容は変わるものなのか。
任の反映、そして取締役会からの程は取締役会の承認を取得する。
承認の取得といった改定が必要である。

事象の背景・原因事象の想定されるリスク改善提言（ＷＨＷの事例）

内部監査規程につき、ＩＩＡ基準や・内部監査規程は組織体に価値を付
・内部監査規程が最新の状態に更新
組織体における他規程の変更の加する内部監査業務の拠り所であり、されないことで、経営陣や監査対象部
その最新性を担保する重要規程として反映等、改定の要否を重要規程と署等に内部監査の位置づけや重要性の位置づけ・必要性が理解されていなして年次で検討し、取締役会に報が明示的に理解されないリスク
い。
告、承認を取得する。

1000

目的、権限および責任1110

・内部監査規程上、内部監査部門の目的、権限は定義されているが、責任の明確な定義がなされていない。ま・内部監査固有というよりは組織体全体の問題であ た、同規程では、内部監査部門長は、（経営陣に対し、）内部監査部門
組織図を見ると、内部監査部門長 取締役会は内部監査部門長の報 り、ＩＩＡ基準上の望ましさはあるが、例えば内部監 監査担当役員、取締役会に内部監査 ・監査担当役員が兼担する業務があの独立性を担保すべく、改組によ査部門長が社長直轄となっておらず、業務部門や の結果を報告する規程はあるが、内る場合、その業務につき実施した内部の直接の報告系統は副社長と営 告系統を評価し、内部監査部門長
管理部門を所管する役員に報告している場合で部監査部門の独立性・客観性を有効
組織上の独立性り、内部監査部門の報告系統を社
業責任役員で、取締役会への報 の独立性が侵害されていないこと も、実際の監査遂行上の不都合（対象業務への指 に保つための監査担当役員の兼担制 監査の結果に関し、内部監査の独立
長だけでなく取締役会の両者とす
性・客観性が担保されないリスクを明確にすべきである。
告系統は副次的となっている。
摘に対する抵抗等）がないと、中々問題点が認識で 限や、社長および取締役会へ直接なる。
きない。
報告は規定していない。
・内部監査部門や内部監査部門長への社長や取締役会の期待が明確でな
く、期待レベルも低い。

内部監査規程は、内部監査部門
内部監査部門長の任免や処遇に長の任免に関する取締役会の参関する（取締役会の）参画を検討
画や、ＣＡＥの処遇に関する取締する。
役会の承認を必要としていない。

実践要綱
2060.2－

・取締役会の関与が不足すると、本来内部監査部門長に求められる資質（独立性・客観性・専門性等）が考慮され・日本企業では、内部監査部門長に求ず、単にマネジメント能力のみで任命められる資質はマネジメントと考えられされてしまい、経営寄り、営業寄りの発・内部監査規程関連ではあるものの、重要規程とし ており、従って、任免は取締役会では想で監査を行うため、対応にコストや 内部監査部門の独立性を担保すて組織体全体の問題であり、ＩＩＡ基準上の望ましさ なく、各部門長の任命と同等の位置付
時間の係る本質的な指摘ができないリ べく、内部監査規程の改定によはあるが、例えば内部監査部門長の任免・処遇決 けとして取り扱われている。
スク
り、内部監査部門長の任免・処遇定に取締役会が関与していない場合でも、実際の ・日本企業では、内部監査部門長の評・内部監査部門長の処遇・評価軸が他 決定に取締役会の関与を必要と
監査遂行上の不都合（対象業務への指摘に対する 価軸が他の部門長と同等であり、内部の部門長と同等であると、（内部監査 する。
抵抗等）がないと、中々問題点が認識できない。
監査部門長の処遇は、その独立性・客部門長の評価が経営陣のみということ
観性等を担保するために、取締役会
で）経営執行に支障が生じるような、ガの承認が別途必要との意識がない。
バナンス・業務運営上の重要問題につながる指摘を行うことができないリスク（東芝の例が顕著）

・取締役会メンバーが内部監査を重要
・内部監査部門長の処遇等を経営層視しておらず、内部監査部門長の処遇のみで決定しているため、内部監査の等を監査対象部門とその経営層のみ
・内部監査固有というよりは組織体全体の問題であ
独立性が保たれず、経営層の意向を （経営陣に対し、）内部監査部門
によって決定することがその独立性に現在の取締役会規程は、取締役 取締役会規程を見直し、内部監査 り、ＩＩＡ基準上の望ましさはあるが、例えば内部監
汲んだ監査報告となるリスクの独立性を担保すべく、取締役会
影響することを認識していない。よっ会が内部監査部門長の処遇を決 部門長の処遇や年次報酬の引き 査部門長の任免・処遇決定に取締役会が関与して・経営層と取締役会の有力メンバーがて、取締役会規程に掲載することの重規程の改定により、内部監査部門同じである場合は、取締役会規程に処定若しくは承認する役割に言及し 上げに（取締役会の）同意を必要と いない場合でも、実際の監査遂行上の不都合（対 要性を認識していない。
象業務への指摘に対する抵抗等）がないと、中々遇の承認が言及された場合でも、経営 長の任免・処遇決定に取締役会
する。
ていない。
・経営層と取締役会メンバーがほぼ同の関与を必要とする。
問題点が認識できない。
に都合の悪い指摘はできないリスクじであり、実質的に重複して取締役会（他のメンバーがいる場合は言及して規程に言及する必要性を感じていな
いないよりは良い可能性）
い。

仮想組織体に対する外部評価の事例検証を通じて取り纏めた発見事象・改善提言マトリクス
2017/5/28 22:10

関連する基
準

基準の内容

発見事象

改善提言（当初）

提示先から予想される反応

事象の背景・原因事象の想定されるリスク改善提言（ＷＨＷの事例）

・例えば規制緩和の中で、会社が従来の業種とは異なる
様々な事業・業務を手掛けるようになり、それらも監査し ・監査知識だけで監査対象部門の業監査対象部門に対するサーベイ
や経営陣へのインタビューの結果、監査対象部門には内部監査
スタッフが望ましい水準の業務知識を有していないとの認識があ
る。
1210

1230

リーディン
グプラク
ティス

1300

熟達した専門的能力

内部監査スタッフのローテーション なければならなくなっているが、対象部署からは、「役に 務や事業、属する業界に関し通暁してや社内における業務研修等を通 立つ監査を行うにしては、バックグラウンドの知識が足り おらず、何度も同じような質問やレベじ、内部監査人の業務知識を向上 ない」と実施後のサーベイ（アンケート）で言われている。 ルの低い、的外れな質問しか行わな
・一方でアウトソースしようにも予算がない。要は「グルー い。従って、対象部門は付加価値の高させる。

最も重要なプロセスの一つは事前

プ会社の業務までカバーしろ」と言われても難しい。
い指摘も提言も得られない。
準備であることを認識の上、業務
・今までは経営から「やれ」と言われていたから監査してきプロセス等への精通に努めるととたが、やはり対象部署から「何しに来たのか」と言われて・監査対象からの有益な情報を引き出 もに、対象部署による自己評価
しまっている。
せないことにより、対象部門の実情と （コントロールセルフアセスメント
・取締役会に監査実施領域に関する資料を出してないかかけ離れた指摘や提言が提示される やＳＷＯＴ分析）を活用することとの質問には、「出していない」との返答とならざるを得
内部監査部門に十分な経営資源 ず、限られたリソースで「無理に対応している」ということをリスク
で、課題やリスクの所在を把握を投下し、監査対象となる業務の 示す上でも、提出しなければならないのものなのか。監査・内部監査に対する信頼性を毀損し、し、実効的な監査に繋げる。
・内部監査に必要な資源が投下されずしないリスク、あるいは現行の陣容や業務知識でアシュア
他部署に対する監査にも悪影響を与理解に十分な時間と人員を充当す（経営陣に対し、）内部監査部門
ランスに限界があることを経営陣に明示的に認識してもら に日程の消化に追われ、事前に対象 えるリスクる（経営陣への提言）。
うことも内、部監査人の義務なのか。
部門を調査する時間がない。
・この結果、内部監査部門を希望する に対し、IT部門をはじめリスクが大・メーカーの場合は品質評価等の第二線がしっかりとして ・内部監査部門をキャリアパスの一つ 人材に事欠くようになり、ローテーショ きいと考えられる部署・業務からいるので、管理は任せて監査はこうした部署による統制 と捉え、ジョブローテーションに組み込のスタッフ配属や、対象部署によン出来ず、後継者も育たないリスクの機能状況を見れば良いのではないか。それ以上の監 むと言う企業文化がなく、人材に偏りる協力を徹底させることで、内部査が必要であればアウトソースしかないが、一方で社外
内部監査部門は、IT関連のキーと IT監査専担者を雇うことや内部監 スタッフに業務を一から分からせる（当事者意識を持たせ が生じている。
監査部門の業務水準を向上させ
・内部監査部門を支えてきたベテラン
なるリスクやコントロールに関する 査人に追加的な訓練の機会を提 る）のも難題。
る。
知識を含め、部門として責任を果 供すること、または適切な資格を ・やはり最後は経営者の認識次第。監査を自分の名代 世代の大量退職に対し、後継人材のたすのに必要な知識やスキル、そ 有するIT監査人に従事させること （手足・耳目）と思っていれば、自ずと資源配分も増えるの 育成が進んでいない。
で、外部評価としても経営者や取締役会に対しその辺り
して他の資質を取得・保有してい で、IT監査の対象領域を拡大すの問題提起を行ってもらう他ない（内部監査部門が言ってる。
ない。
も聞き入れてもらえない）。

・内部監査部門の計画に研修に充てるリソースが組まれておらず、監査に ・実施する監査のリスク把握が不十分
追われて教育を受ける時間もないこと になる可能性があり、また、内部統制
から、実際の教育計画も策定していな の整備・運用状況の評価につき、形式い。
的な監査手続を実施せざるを得ないこ・監査部門の予算（教育予算を含む） と等から、重要なリスクおよびそれに・内部監査部門向けの提言として、「監査員に対す は他部門同様、全社の予算方針に基 対する統制状況を見逃してしまうリス
内部監査部門は、スタッフメン
内部監査計画上のニーズに基づく る教育計画」があるとしても、例えば監査部員の平 づくことから、一律削減等の予算縮小 ク
継続的な専門的 バーが部門のニーズや年度監査
公式な教育計画や、上級スタッフ 均年齢が高かったりキャリアパスとしての性格が乏 期には監査部門のニーズや年度計画 ・これに伴い、付加価値のある指摘や 監査の実効性を担保するために、能力の向上計画を充足する教育を受けているスタッフの業務知識や監査知識をに対して推奨される教育コースの しかったりする場合は、今更感など、納得感を欠く。 を充足する教育計画を履行できない虞 提言を提供できないリスク（development） ことを明確にする公式な教育計画
・外部品質評価から提言を「買う」立場の経営陣に があり、端から策定していない。
・内部監査に対する信頼性を損ない、 確保する教育計画を、可能であれ中核となるリストを確立する。
を有していない。
とって重要なのは、言わんとすることに価値があり ・監査部門のニーズや年度計画を充 他部署に対する監査にも悪影響を与 ば監査対象部署におけるリスク度
具体的であるかどうか。その意味でも、「内部監査 足するのに必要なスキル、専門知識 えるリスク。また、内部監査部門を希 合等を実地研修等により把握・勘が経営に役に立っている」との認識がなければ、等を特定しておらず、教育計画を策定 望する人材に事欠くようになり、ロー 案の上、策定・遂行する。
「監査の改善提言には従うように」と対象部署に指 することができない。
テーション出来ず、後継者も育たない （経営陣に対し、）内部監査部門
示するインセンティブにはならない。
・監査部門の職責毎のジョブディスクリ リスクに対し、スタッフの教育プログラム
・また、経営に対する監視機能も果たされていない プションを有しておらず、職責毎の教作成と順守を指示することにより、
ならば、「取締役会への報告」も「監査結果の報告 育計画のレベル感が定められない。
ガバナンスや内部統制に関するも取締役会には低頻度の省略された内容で構わな監査の有意性を担保する。
いだろう」との意向を覆して、経営陣の了解を取り付けることは困難。
・監査品質を向上するための監査人の監査部門のスタッフに業務部門の能力向上が計画的に行われず、個別
キャリア開発や従業員のローテー マネジャーとしての社内横断的経・キャリア開発や従業員のローテー監査に関し能力に応じた監査人の人
ションに関する公式なプログラム 験を積ませ、 内部監査に最新のビションに関し、部門および経営会議等的資源が適切に配分されないととも－で検討されておらず、経営陣が問題点が確立されていない。長期的には ジネス知識を間断なく継続的に織に、監査人の将来像に対する期待感をして認識できていない。
り込めるような従業員の ローテー
検討すべきである。
が醸成されずモチベーション向上が阻
ションプログラムを制定する。
害されるリスク

内部監査部門は、自らが行う監査
品質のアシュアラ の品質を一般的に定義する目的
IIA基準や実践要綱が定めるＱＡＩＰ ・ＱＡＩＰを策定して実施するにはスタッフが足りない。監査部長として全ての監査を承認しており、そンスと改善のプロ で国際基準を使用しているが、基を策定し文書化する。
れで十分ではないのか。
グラム
準1300で要求されている公式なＱ
ＡＩＰを未だ策定していない。

組織体に価値を付加する内部監
・内部監査が組織体を対象に監査す
・内部監査部門が自らの品質を自ら及査部門が自らの実効性を担保するのと同様に、自らも監査される対象
び第三者に委託して評価しないこととの認識がない（自己評価を含め）。
べく、内部・外部両主体による品で、監査の実効性が確認・担保されな・内部監査に品質を織り込み達成する
質評価プログラムを策定・実践すいリスク必要があるとの認識がない。
ることで、説明責任を果たす。

仮想組織体に対する外部評価の事例検証を通じて取り纏めた発見事象・改善提言マトリクス
2017/5/28 22:10

関連する基
準

1311

基準の内容

内部評価

発見事象

改善提言（当初）

提示先から予想される反応

事象の背景・原因（内部監査部門の）計画の策定
リスクアセスメントプロセスを確立
監査対象領域は特定されているもし、内部監査部門としての優先順のの、年度監査計画は監査対象
位を組織体のゴールや目的に整領域全体を含んでいない。
合するよう決定する。

2110

2010

改善提言（ＷＨＷの事例）

内部監査部門は品質のアシュア サイクルタイムや監査対象部門の・内部監査が組織体を対象に監査す
組織体に価値を付加する内部監
ランスに関する要素を幾つか導入 満足度評価、コストリカバリー、バ ・内部品質評価を実施するにはスタッフが足りなる際に自己評価を要請するのと同様い。監査部長として全ての監査を承認しているこ・内部監査部門が自らの品質を自ら評 査部門が自らの実効性を担保すしている一方、継続的な内部評価 ランストスコアカードなど、継続的に、自らも自己評価を行うべきとの認と、内部評価であれば実施者は自分の配下となり、価しないことで、監査の実効性が確べく、内部品質評価プログラムをはモニタリングやベンチマーキン にモニター可能なパフォーマンス 結局自分が全てを決めることになるので、同じでは 識がない。
認・担保されないリスク策定・実践することで、説明責任・内部監査に品質を織り込み達成する
グを追加することで強化可能であ 測定基準を使用することで、内部 ないか。
を果たす。
必要があるとの認識がない。
品質評価を継続的に実施する。
る。
・リスクアセスメントは実施しているが、基となるルールやモデルまで必要なのか。
・監査対象部門の規模や活動内容等に応じて、監
内部監査部門は、監査計画策定
年度監査計画やリスクアセスメント 査計画やリスクアセスメントプロセスの具体的なベ ・組織として、リスクアセスメントによる監査対象の選定が重要視されておら用の公式且つ文書化されたリスクプロセスを公式化し、IIA基準２０１ ンチマークを提供する等（ベストプラクティスを追う ず、毎期実施する監査対象が固定化
アセスメントモデルを有していなのか、同業他社事例等を可能な範囲で示すのか、０への適合度合を増加させる。
されている。
い。
それとも、最低限でも経営陣の懸念事項を聴取・反映するのか等）で、付加価値が担保されていないと提言に対応する意味がない。

2010

事象の想定されるリスク

・アセスメントモデルを有していないことにより、リスク評価が十分に行われず、リスクの高い部門や分野が看過されてしまうリスク

・例えば「ＩＴ監査の可能な領域を拡大する」に際し、・監査対象領域の特定にあたり、業務
システム監査人が不足している場合は、何を置い要因等のリスクアセスメント、経営陣やても経営者に認識してもらうことが必要である。しか取締役会の意見聴取を行ったとしてしながら、通常、システム監査人が手厚くない場合
も、監査対象領域を網羅的に監査する
監査対象領域のリスクとコントロール
は、それ以前にシステム企画や開発、運用部門もリソースを確保していない。
状況を網羅的に検証することが出来
人員が不足しているケースが普通ではないか。
・年度監査計画作成において、監査ス
ず、重大な固有・残余リスクや不十分
・監査部門までリソースが回らないのであれば、外タッフのスキルなど監査リソースを考なコントロールを見落とすリスク
部評価者が、経営陣に対して（自ら言い出せない、
慮した結果、可能な範囲をカバーする
あるいは理解を得ることが難しいと考えられる）内に止まりリスクベースの監査計画と部監査部門長に代わって本件（システム監査人補
なっておらず、監査対象領域全体を網充の必要性）を経営者に伝えることで、意義が初め羅していない。
て出る（内部監査部門だけでは解決できない）。

ガバナンス

・内部監査人が百人単位でいれば、その内の相応の・リスクを抱えるシステム監査領域を網 全社的なリスク低減を図り、監査
人数はシステム監査人かもしれないが、システム開発
羅することができず、最重要リスクを抱 の納得性と付加価値を高めるにや運用を別会社化または外部委託しているケースや、える基幹システムの中枢や、開発領域
は、一律・順番の監査実施ではな
本体のシステム企画部署は予算検討・案件会議のみ（システム改修部分）のみに監査がとく、経営者や対象部門の責任者とを所管している場合もあるので、グループ全体を監査
どまると、たとえば相対的にリスクが低
対象にしないとならないが、それには手が回らない。
いと思われてきた社内LAN系の監査を のコミュニケーションを通じてリス
・現在のシステム監査は情報セキュリティ面が主体と実施することが出来ない等の弊害が ク認識を共有し年度計画を策定のなっている感がある。金融機関であればＦＩＳＣに則り ・システム監査人数が不足している
上、重点を絞った監査を実施す発生するリスクチェックリスト形式で検証する等、監査に点検的な側 （全体をカバーできない）。
・IT戦略、人事戦略、組織はガバナン る。
IT戦略や全社的な資源配分、組 全社的な資源配分、戦略、組織、 面が多くなるとしても、その人員もカバーできていな・システム監査人の業務における視野 ス領域として監査対象としないことか織といったITリスクに関し、監査対 そしてサーバーのリストを含めるこ い。
が狭く、IT戦略・人材育成・組織の課題 ら、それらの領域の監査は、会計監査
象領域に含まれない若しくは今後 とで、IT監査の可能な領域を拡大 ・システム監査において外部委託の占めるウェイトは を抽出する能力に欠ける。
に委ねてしまい、業務監査・システム
大きい。開発を外部ベンダーに出している例もあり、シする。
拡大し得る領域が存在する。
・システム監査の幅を各システムの開 監査両方から実行されなくなるリスク
ステム監査では対象から絶対に外せない。
・各システムに関するミス（プログラム
・大手委託先社は大丈夫ながら、再委託・再々委託も 発・運用に限定して実施している。
ミス、開発工程における手続疎漏）にあり、網羅性を追及すると、３－５年計画で見るなら対対する指摘にとどまり、再発性・類似
応できるかもしれないが、普段見ない先までカバーす性を視野に入れた障害管理態勢、ＢＣるとしたら１０年計画でも回しきれない。再（々）委託だ
Ｐ、情報セキュリティといった、業務エ
け見るとか、障害が起こった場合に見に行くとか。最重リアに及ぶ全社的に重要な管理態勢
要先のみ対象とする他なく、監査で見ない処を埋めるの監査が実行できないリスク（日本年には自己点検で確認する等の手段が必要ではないか。
金機構の例が顕著）（内部監査部門の）計画の策定

・監査計画を立てる際に、経営者や監査対象部門の役員と個別に懇談の機・均等に各支社や国内子会社、海外現地法人を会を持って、経営のニーズや内部監査回って、５年位で一巡するように計画的な臨店を実 への期待を理解した上で、監査対象や監査対象部門サーベイの結果を施している。
監査項目を判断していない。
見ると、「監査テーマが各部門のリ監査は全社的なリスク評価の結果 ・監査内容も不公平がないように、標準的なチェック ・「経営者でもない人間に高度なリスク ・監査と経営のリスク認識が一致ておらず、実効性のある監査が行われなくスク認識と合致しておらず、内部リストを使用している。
判断はできない」との認識（「これを外に鑑みて実施する。
なるリスク
監査が問題の改善に役立ってい・リスクがあっても特定の先ばかり行くのは不公平 すと最悪の場合は会社が倒れるかもない」との意見が見られる。
になるし、相手の状況を見てチェックリストの項目を しれない」といった心配はある筈）。
選別するのは、現実的な提言とは思えない。
・経営者や対象部門に、「監査提言でリスクが低減した」と実感してもらうことが大事。

仮想組織体に対する外部評価の事例検証を通じて取り纏めた発見事象・改善提言マトリクス
2017/5/28 22:10

関連する基
準

基準の内容

発見事象

監査調書をレビューした結果、個別の監査実施計画が明らかに欠如している。

2201

計画の策定における考慮事項

改善提言（当初）

提示先から予想される反応

事象の背景・原因事象の想定されるリスク改善提言（ＷＨＷの事例）

・年度監査計画において既に年間の対象部署・日程・メンバーを決定しており、それによって個別監査を実施している。
・個別案件毎に、事前の予備調査にお 業務プロセス等への精通に努め、監査計画は個別案件ごとに策定す・監査プログラムは、公平性の観点かべきである。この際、レビュー対象 ・支社監査は典型化しており、個別に監査計画を作 ら、全部署同じ汎用プログラムを使用 いて業務目的やリスク状況・内部統制 課題やリスクの所在を把握し、対状況を十分に把握せず、それに基づく案件の目的や顕在化したリスク、リ 成する必要性が納得できない。
しており、実施すること自体に支障は象部署による自己評価（コントロー
個別の監査実施計画を策定していな
・テーマ監査が対象であるなら、個別計画を策定す
生じていない。
スクマネジメントの適切性や有効いことから、重点的に監査すべき項目 ルセルフアセスメントやＳＷＯＴ分
・また、対象部署のリスクを考慮する性、そして顕著な改善が可能とな る際のポイントが分からない。
の特定、絞り込みができず、効果的な 析）を活用することで、実効的な監場合もあるが、それも年間監査計画のる機会を考慮する。
査計画の策定に繋げる。
監査が実施できないリスク
策定時に検討し、汎用プログラムに追記してある。
・以上から、個別監査毎に実施計画を策定する必要性を感じていない。

・担当者不在の際に上司が要領を得・臨店したら、当該業務の担当職員が急遽休暇を海外支社監査において、監査実
監査実施時に当初計画していた
監査実施時に当初計画していた項 取っていて、上司の課長にインタビューしたものの、 なかったのであれば、人的リスクの発 ・検証項目に不足が生じ、実効性のあ
施前のリスク分析で重要と評価し項目を見残す事態が発生する場
現であり、内部統制上の重大な欠陥と目を変更した場合は、再監査を検 「実務に疎くて今一つ要領を得なかった」との報告
る監査ができていないリスクの認識がない。
た項目につき、往査時の対象先の合は、期間延長や代替の検証手あり、監査報告書に結果として残すのは見送った。
・未検証項目に関し具体的な問題や損討する。
・本社側で当該支社を所管する部署
担当者不在を理由に検証を見段、並びに、再監査の必要性まで・再監査といっても海外案件であり、予算の都合で失の発生に繋がるリスク（第二線）と話し、未検証項目のモニタ送っている。
勘案した上で可否を判断する。
少なくとも同一年度内は無理。
リングを委ねるといった展開がない。

2220

内部監査部門の実施する監査に対し監査計画メモの使用を公式化する。加えて、計画メモの文書範囲を拡大し、
年度アセスメント中の主要リスクと副次リスクの繋がりを詳細に含める。計
画は監査範囲、目的、実施時期、そして資源の割当を含むべきである。

・監査手続き自体が標準化、文書化されておらず、属人的な監査が行われている。
・リスクの抽出が行われていないか、
若しくはリスクの解析が不十分で、監査範囲や手続がリスクと対応していない。結果、資源配分も不十分となる。

推奨する（経営陣への提言）。

ビュアーの機能分担ができないため、 ・監査手続に一貫性を欠き、監査対象文書化が必要との認識がない。
部門の信頼を損ねるリスク

監査調書を個別監査の終了時点
のみならず、監査期間中の重要な節目においてレビューし結果を文書で残すことで、監査人に対する監督を強化する。

・監査品質を確保するための品質管理プログラムを有していない（例：成果物
レビュー、監査プロセスチェック等）。
・監査プログラムの個別の評価結果か
ら、網羅的に個別内部監査結果に紐付いているか確認する手続がない。

内部監査（アシュ
監査調書をレビューした結果、監
アランスおよびコ
査計画策定時の検討事項や監査・担当する内部監査人の異動に伴いンサルティング）・経営陣が内部監査部門を人材プー 実効性のある監査が出来なくなるリス
範囲と整合する文書が残っていな 体系的な内部監査手法につき内部監の個々の業務範監査プロセスの適切性を担保す
ルとして認識して来なかったことから、クい。
査人に学習させる機会を与える。例え ・実際に監査するスタッフと別に、個別監査の品質
囲
経験と勘にのみ依拠した監査が行わ ・リスクに対応する十分な監査が出来 べく、監査に直接従事していない
ばＣＩＡやＱＩＡの取得を促す。
を評価するスタッフまでは捻出できない。内部部門 れており、文書化を求められていなず、指摘事項・改善提言に納得が得ら スタッフが監督者として、若しくは長が承認すれば十分ではないか。
い。
れないリスクマネジャーや部門長自らが関与す少なくとも全体を統括する部門長の他 ・進行中の監査において、作成途上の調書まで・内部監査に十分な資源が投入され ・プロセスが不明確でレビューが出来 ることで、監査期間中に適宜、客に、レビュアーと担当を相互に分担出 チェックするのは、明らかに管理過多ではないか。
ず、少人数監査部門では担当者とレ ず、品質の改善も出来なくなるリスク
観的なレビューを実施する。
来るよう複数の内部監査人の配置を2340

内部監査（アシュアランスおよびコ 検証の結果、監査調書は監査期
ンサルティング） 間中に必ずしも適時にレビューさの個々の業務の れていない。
監督

2330

監査調書に関する基準を開発し内部監査基準や手続マニュアルにおいて公式に定義する必要がある。監査調書のレビューも監査人により品質が異なる点を示唆していた。

情報の文書化

書式例や文書上の必要事項、イン監査調書の要件等を具備した部
デックス化、そして全種類の監査 ・内部監査規程は制定しているが、典型化している ・「誰が実施しても同様に検証できる」 ・監査プログラムをはじめとする調書 門内方針や文書を策定し、監査結やレビュー、評価のガイドとして柔 支社監査には一律適用するプログラムがあるのプログラムは、定期的に見直しが行わ の内容に関して評価が加えられないこ 果の伝達の適時性を担保すべく、軟に機能する相互参照技術を含 で、監査調書作成やレビューに関するマニュアルま れないと、逆に監査の形骸化を招来す とにより、実施する監査の品質が確認 実効的な監査結果に繋がるレる。
できないリスクめ、監査調書に関する基準を開発 で必要ない。
ビューを実施できる体制を確立す
し使用を義務付ける。
る。

仮想組織体に対する外部評価の事例検証を通じて取り纏めた発見事象・改善提言マトリクス
2017/5/28 22:10

関連する基
準

2400

基準の内容

結果の伝達

発見事象

改善提言（当初）

マネジメントインタビューにおける監査報告書発行に要する時間をコメントによれば、監査報告書の短縮する。
発行は適時と認識されていない。

2020

2030

伝達の品質

事象の背景・原因事象の想定されるリスク

・監査スケジュールの期限管理が十分行われておらず、適時に報告されてい・重大な監査結果を見落とし、監査結・監査というのは、良くない点があって見つけたらそない。また、監査が長期化する際の中果報告から漏らす事により改善がなさ
れを直させれば充分ではないのか。ある意味やっ
個別内部監査結果は品質（明瞭、間結果報告等の手続を有さない。
完結、適時且つ脱漏のないこと等） ていて当然という項目まで言及しなければならない ・品質（明瞭、完結、適時且つ脱漏の れず、問題が顕在化するリスク
個別内部監査の結果は完全でな・監査結果が、然るべきステークホルとは、承服しかねる。
を伴うべきである。内部監査部門
ないこと等）を確保する教育プログラム
ダーに伝達されない場合、対応が遅・検証すべき項目は全部カバーして、証跡も確認しく、適切な当事者に伝達されてい長は、正当な考慮を払うことを明確 ているが、限られた人員で業務を回す上で、報告書 を有さない。もしくは担当者に受講させ れ、問題が顕在化するリスクない。
にできる当事者に対して監査結果 をできるだけ簡潔にするよう、要点だけの記載に止 ていない。
・監査結果が明瞭、簡潔でないことに・監査対象部門以外の改善プランに関を伝達すべきである。
めているのであり、組織運営上こうした提言は飲め
より、社内に無用な誤認を与え、混乱与する部門や第二線（モニタリング部
を招くリスクない。
門）等に監査報告書を配布するルールとなっていない。

監査調書をレビューした結果、監 現状の監査終了から報告書発行
査報告書の80％は発行が計画比 までの時間を短縮することで、監査報告書の適時性を改善する。
遅延していた。

2420

提示先から予想される反応改善提言（ＷＨＷの事例）

監査報告書に対象部門が適切に対応している事実を記載し、必要な当事者に伝達することは、業務の実施状況に対する正当なアシュ
アランスを行うものとして、経営者
や対象部門からの信頼獲得に繋がるので、実施する。

・計画の進捗状況を確認するスキーム
・監査で発見された問題点が早期に改が確立されておらず、また年度監査計
善されないととともに、計画的な監査
画時に監査項目に応じた監査資源配が阻害され監査資源の配分が適切に
分が不十分で前年度監査実績に応じ行われず、深度のある監査が出来な 監査に直接従事していないスタッ・追加検証の必要性が発生したりすると、どうしても た配分が検討されていおらず毎年同 いリスク
フや、マネジャー、部門長自らが
監査報告書の作成は当初計画通りに進捗しなくな 一の配分となっている。
レビューに関与することで、監査る。
の各プロセス段階におけるスケ・部門内の品質チェックに時間を要し、そこまで勘案
ジュール管理を精緻化・徹底し、して計画を立てるべきという点も分かっているが、ど・往査期間中に指摘事項は監査対象
監査結果の伝達を適時に実施す
うしてもスケジュールが押してしまう。
部門に伝達しているが、監査部門内に ・監査報告書の発行が適時に行われ る。
おけるテスト結果の精査や監査助言 ないことにより、執行部門による即時の合意を含む「監査報告書」の作成に の改善活動に貢献できないリスク
時間を要している。

・監査報告書が簡潔であることは重要ながら、同時に客観的、且つ、完全であることが必要との認識がない。
・一面的な記載になっては不味く、何よ・監査というのは、良くない点があって見つけたらそりも公正さを欠く一方、「できていない
・監査報告書の要件である「簡潔性、れを直させれば充分ではないのか。ある意味やっことをできている」と書くのは更に不味
客観性、完全性」が担保されず、説明ていて当然という項目まで言及しなければならない
監査報告書に指摘事項と改善提い（「やっていることはやっている」と簡
監査報告書には指摘事項と改善 とは、承服しかねる。
責任が果たせなくなるリスク
言は記載があるものの、適切に対潔な言及で構わない）。
・検証すべき項目は全部カバーして、証跡も確認し・監査を受けた後の対象部門の反応
提言だけでなく、適切に対応してい・内部監査の最大の責務は合理的な応している項目に関する言及がなているが、限られた人員で業務を回す上で、報告書が、「今後監査部に情報を提供する際る項目に関する評価も記載する。
アシュアランスなので、「安心して下さい。
は対応を検討する」等、非協力的となをできるだけ簡潔にするよう、要点だけの記載に止い」と言える部分は明確に残して経営
りうるリスク
めているのであり、組織運営上こうした提言は受けに伝えるべき。
入れられない。
・これだけでも対象部門の次回からの対応や、「監査に来てもらって少なくとも悪くなかった」と印象付けることが可能となり、仕事もずっとやり易くなる。

監査報告書に対象部門が適切に対応している事実を記載すること
は、業務の実施状況に対する正当なアシュアランスを行うものとして、経営者や対象部門からの信頼獲得に繋がるので、実施する。

・年度の途中でシステム監査担当が異動になって、・計画を変更する背景は、他に一層重交代要員もＩＴ経験が乏しかったので、実施を見送っ
大なリスクを抱える事案が登場したた経緯であり、仕方ない措置。
か、要は実施見送りが自社のリスクプ
・外部監査法人やコンサルタントに委託するには予ロファイルに影響を与えないとの合理計画していたシステム監査につ監査計画を変更した場合は、経営 算手当が必要ながら、期中の発生で承認が取れる 的な判断を行ったかという証跡がな
・本来監査が必要なリスクの高い領域
き、期中の人事異動を理由に正式
か見極められなかった。
に対応が取られず、具体的な問題や会議や取締役会に対して適時に報 ・監査計画の変更は自分が承認すれば良いので対 い。
な変更手続を経ずに実施を見
・予算措置が困難でも、社内のリスク
損失の発生に繋がるリスク
告する。
応するが、このテーマは実は不正アクセスの問題と送っている。
管理やコンプライアンスの所管部門かか巷で頻発しているので、飛ばした点は正直気にら監査メンバーの提供を協力してもなっており、仕方ないで済ませて本当に良いのか、
らって検証を行う方法があるとの認識
監査資源の管理
手を打つ方法に関して何かアドバイスは頂けないがない。
か。

監査年度内の人事異動等により、計画していた監査の実施に影響が出る場合は、見送りの可否を決定する際に、リスク度を判断の上、社内他部門のスタッフ（対象部門等）や外部資源の活用を検
討する。

伝達と承認
（Communication
and Approval）

仮想組織体に対する外部評価の事例検証を通じて取り纏めた発見事象・改善提言マトリクス
2017/5/28 22:10

関連する基
準

2500

基準の内容

発見事象

改善提言（当初）

改善提言後１年超が経過している
改善提言の実施が長期間にわた進捗状況のモニ にも拘らず、監査対象部門がフォり滞留している事案は、対象部門
タリング
ロアーップ対応未了としている項との議論等を経て解消する。
目を残置している。

内部監査の指摘が表層的、若しく
は、現物の実在性や規程への準（記載せず－ＷＨＷ事例へ）
拠性といった指摘に止まってい
る。

2420

伝達の品質

経営陣や対象部署に対するインタ
ビューの結果、内部監査による指（記載せず－ＷＨＷ事例へ）摘・提言に対する評価が限定的となっている。

2201

内部監査年度計画に度々変更が加えられているが、原因を見ると計画の策定にお対象部署の事情（多忙期や人員 （記載せず－ＷＨＷ事例へ）
ける考慮事項の不在期等）による部分が大きい。

提示先から予想される反応

事象の背景・原因事象の想定されるリスク・改善提言を行う際に、予算や人的手当の必要性を含め、対象部署におけるフィージビリティを十分に勘案の上、場合によっては対象部署側に代替的な手続の検討・採用も可能とすると・対象部門とのフォローアップの具体的な対応策のいった対応が取られていない。
議論なら定期的に行っている。それでも先方の回答
・対象部署が改善提案への対応を十 ・改善提言への対応が取られないことは何時も、「予算が下りない」とか、「人事が首を縦分に取れていない状況に鑑みて、提 で発見事象の解決が先送りとなり、具に振らない」とか、全く進展しない。
言までの過程で監査対象部署とのコ 体的な問題や損害の発生に繋がるリ・こういった場合にどうしたら良いのかを提言頂かな
ミュニケーションが不足していた可能 スク
いと、内部監査部門としても、「何のために外部評性がある。
価を受けたのか」ということになる。
・対象部署（や所管・指導部署）の見解を確認し、一定期間経過後に対象部署の言い分に基づく実際の運用状況まで含め、改めて監査することを提示するといった対応が取られていない。

改善提言（ＷＨＷの事例）

フォローアップにおける長期滞留事案が発生する原因として、当初指摘時の対象部門との認識共有
不足や、具体的な解決方法の議論不十分等が考えられることから、対象部門の見解を確認の上、相応しい対応を再検討すると同時に、関連所管部門との打合せ等を含め今後の提言方法や内容に反映する。

・現場（第一線）に対して監査指摘を相応に行い評価も上がったが、統括部門(第二線)に指摘しないでいたら、現場から「根底を解決する指摘事項がない。内部監査の効果はなかった」とアンケートで書かれた事例や、系列各社で同じ委託先の監査を行い、先に他社が自前で監査して何（経営陣に対し、）組織体の運営も指摘事項はなかったが、改めてコソースで監査した結 ・内部監査が社内的にガバナンスや業に価値を付加する「経営に資す
果、幾つも指摘（委託元ごとに管理レベルを変える必要性 務プロセスの改善・向上に資することる」内部監査を実現すべく、内部等）が出た事例があった。
を期待されておらず（ミッションとなって監査部門長との定期的な打合せ
・情報セキュリティ面で漏洩が発生するとビジネスを失う おらず）、所謂「検査的」な点検のみ
だけでなく、当局から許認可を取り消されることもある。最等により、コミュニケーションを活行っていれば良いとされている。
重要なリスクである。
発化する。
・対象部署の立場では監査対応で仕事が増える。運用面に負担がかかり、障害が起きると不眠不休での対応となる。その意味で人の手当や予算措置が必要。
・対応した部分は直るものの、同じエリアから事務ミスが再発する。１つ１つは大きなリスクではないが、古参スタッフが多く、「監査指摘で首になるわけでもないし」との姿勢。
・こうした場合は、どのようなリスクがあるか納得させることが重要。「放っておいたら大変なことになる」と。実は先方は「リスクはある」と認識しており、監査に言ってもらいたいものの、それで仕事は増やしたくないし、と思ってい・内部監査が有効に実施されないこと （経営陣に対し、）内部監査の実る。それをどのように指摘するのか。
・対象部署の立場では、内部監査の指・システム監査で指摘をすると、「何でやってなかったの 摘に納得感のない（ある意味自らも認 により、組織体や経営陣に資するア
効性を向上させるべく、内部監査
だ、運用で頑張れ」となり、対象部署の負担が増える。監 識していながらリスクが低いと判断し シュアランスやコンサルティング機能部門が提供するアシュアランスへが作用せず、経営陣が組織体におけ査が来て仕事が増えると、「もう来なくて良いよ」となってして未対応としていた）内容が多い。こうまう。
るリスクとコントロールの所在・要改善 の期待を表明することにより、組織全体に周知する。
・対象部署も「不味い」と薄々思っているものの手が付か した不満が経営陣にも伝わっている。 状況を正確に把握できないリスク
なくて、それに対して「こういう風にやってみたら」と監査で・内部監査の実施するアシュアランス
提言できれば、まだ評価されるのではないか。若しくは、やコンサルティングの品質が担保され監査によって予算・人等が取れるなら、また、代替的な手ないことで、ステークホルダーによる内段を見つけてくれるなら、「監査をそういう風に使えば良い
部監査の（第三線としての）評価が不のか」と思ってくれるのではないか。
・例えば、システム監査人が１名乃至２名程度しかいない
内部監査部門を評価するに際して、「リスクベースのシス
テム監査計画を十分に遂行できる体制となっているか検証する」との提言が出てきたとする。
・内部監査部門が経営陣に言っても「ヒト・カネ共に出せない」と言われてしまう。
内部監査部門としては、（限られた人数で）その検証をどうやって行えば良いのか提示が伴っていなければ、対価
・内部監査を受けても対象部署としてを支払ってまで外部評価を受ける意味はない。
・その意味では、外部評価者は、内部監査部門より経営 付加価値を得ることができないことか
陣（社長）に対して、「システム監査を高度化するには、『リ ら、内部監査に対する協力的な対応を
スクベースのシステム監査計画を十分に遂行できる体制 取るインセンティブが生じなくなっていとなっているか』検証する必要がある」ことを示す必要が る。経営陣も対象部署の姿勢を支持、ある。
容認している。
・そのために、システム監査要員の「社内調達（育成若しく
はゲストレビューアー等）」、「キャリア採用の検討」、若しく
は「外部機関とのコソース、アウトソース」といった手段を具体的に提言して理解が得られるよう、内部監査部門に対し有効な提言が必要。（他社のベンチマーク等を提示できればベター）。
・外部評価者が客観（第三者）的に説明することで、経営陣の理解を得られるように持ってゆくのが肝。

芳となり、組織体や経営陣のレピュテーション悪化に繋がるリスク（経営陣に対し、）内部監査の実効性を向上させるべく、内部監査部門に対する第二線の理解・支援を奨励する一方、内部監査部門に対しても指示を与える。