テレワークと内部監査
監査業務運営上の変化と監査アプローチの変更
2021/08/30

グループ監査部

「在宅勤務」のこれまでの経緯
2017年10月から会社の制度として「在宅勤務トライアル」を開始。（2018年４月から正式制度化）
基本的なルールは人事サイドで制定。（事前登録制。原則として最大週2日まで、など）
これを踏まえてグループ監査部の部内運用ルールを制定。（部内における在宅勤務日の事前申請、当日の報告手続、「被監査部署等、他部署とのミーティングは、銀行での勤務日に設定する。」、「部内研修に在宅勤務から参加することはできない。」などの運用ルール）

グループ監査部のトライアル参加者は当初3名。正式制度化以降、徐々に在宅勤務利用者が増え、2019年12月時点では部員の約1/３が利用。
2020年２月、新型コロナウイルス感染拡大により、人事からルール変更の連絡。（在宅勤務利用の事前登録不要、会議でのTeams等の利用推奨など）
グループ監査部の部内ルールも変更。（部内会議・研修、並びに被監査部署とのミーティング・監査講評会も原則電話又はTeams開催、各自週3日以上在宅勤務を目標など）

2020年４月、緊急事態宣言発出により、銀行全体で、在宅勤務原則化。

以後、グループ監査部スタッフ（銀行籍）の在宅勤務率は95%前後で推移。

在宅勤務下での監査業務運営（１）
ツールの導入・規程の制定などインフラ整備も進み、監査対応部署側もリモートワークに馴染んでいて、在宅勤務が普通であるというコンセンサスがグループ全体で形成されている環境下では、在宅勤務のままでの監査の実施も可能。
特に業務運営上、ポジティブな効果があった点：
 決裁書等の承認時間の短縮
インフラ整備の一環で、ワークフローシステム（電子承認）の利用が進んだことにより決裁書等を回覧しなくてよくなり、承認完了までの時間は短縮。

 ミーティングのアレンジ負荷の軽減
会議室の手配や、当方及び相手の移動時間を考える必要がなくなる。（特に離れた拠点の監査や複数部署を一度にカバーする監査の時。）
 スタッフの勤務管理の可視化
毎日勤務開始・勤務終了メールを受け取るようにしたことで、誰がいつ何の作業をしていたのかについて可視化が進み、記録が残ることで事後的に確認することも可能になった。（メールの件名に、在宅勤務の時は「在宅勤務開始・終了」、オフィス勤務の時は「オフィス勤務開始・終了」を明記する。）
オフィスにいる時は見ている気になっていたが、実際に目が届く範囲は限定的で、全体はそれ程見えていなかった。

（参考）勤務報告例
From: xxxx
Sent: Monday, July 12, 2021 7:41 AM
To:〇〇
Cc: IAD_GM; xxxx ; xxxx ;Subject: 在宅勤務開始 7/12 名前

From: xxxx
Sent: Monday, July 12, 2021 5:18 PM
To: 〇〇
Cc: IAD_GM; xxxx ; xxxx ;Subject: 在宅勤務終了 7/12 名前

〇〇さん

〇〇さん

おはようございます。これから在宅勤務を開始します。
C勤務（7：50-16：10）で、12時から1時間昼休憩をいただきます。

在宅勤務を終了します。業務内容は以下の通りです。
Libor移行：3h
フォローアップ：1h
全体会議：0.5h
自店検査：0.5h
定期連絡会陪席・メモ：2.5h
その他：0.5h

以上

以上

在宅勤務下での監査業務運営（２）
在宅勤務（リモートワーク）を基本としながらも、現場作業・対面ミーティングが必要な場合は残る。
例えば：
 現物確認、ペーパーレス化が進んでいない子会社の監査業務（紙資料のPDF化依頼は監査対応部署に追加負担をかけるので基本的に行わない。）

 改善提案・対応策についての合意形成（一部の相手先）
 新規着任者を受け入れる際の事務手続、など

在宅勤務下での監査業務運営（３）1年半ほど原則在宅勤務の運営を実践してきた中で、認識している課題。
 インフォーマル・コミュニケーション（雑談等）は消滅する。
チームミーティングの定例化（特に、スタッフに話をしてもらう）に加え、意識して雑談の機会を設けるなどの試行錯誤を継続している。（業務時間管理上、勤務時間中の「雑談」をつけるタイムコードを設定する、Teams上に雑談ルームを設置（月1，2回）する、など。）
 作業効率はやや低下し、その後横ばい。
隣に座っている人にちょっと聞けば済むことを自分で調べる・考えることが必要になったり、オフィスにいれば席で顔を上げてすぐ口頭で確認したり指示したりできていたことがメールベースやTeamsで呼び出しての確認・指示になったりすることによる、負の影響は不可避。

 スタッフの健康管理。体調不良、メンタル不調となるスタッフは発生する。
 新規着任者の育成・ケア。
会社の方針が、「従前のオフィス勤務には戻さない、固定席廃止・オフィス面積も削減」となっているので、この状況を所与として、業務効率・品質の向上の取組みを行う。

監査アプローチの変更
AUDIT UNIT(監査対象単位)の再編
監査プロジェクトの類型の再整理と文書の簡素化
社長・監査役会、並びに銀行・子会社マネージメントに事前説明のうえ、社内規程を改正して実施。

AUDIT UNIT(監査対象単位)の再編
A 支店（リテール）

労務管理

情報管理

リスク商品販売

口座開設

店頭事務

B 支店（リテール）

労務管理

情報管理

リスク商品販売

口座開設

店頭事務

D 支店（法人）

労務管理

情報管理

法人融資等

口座開設

店頭事務

E 支店（法人）

労務管理情報管理

法人融資等

口座開設

店頭事務

各本部・間接部署

労務管理

情報管理

各部固有業務

各本部・間接部署

労務管理

情報管理

各部固有業務

従来のAU

再編後AU（リモート、全行・全店母集団化）

再編後AU（基本リモート）

再編後AU（臨店）監査プロジェクトの類型の再整理と文書の簡素化（監査及びレビュー作業の類型）
1 グループ監査部が行う監査業務は、次の類型に分けられる。
i 通常監査（ビジネス監査及びIT監査）（Internal Audit）
ii J-SOX評価 （J-SOX Assessment）
iii 特別監査・調査 （Special Project）
2 通常監査（Internal Audit）は、その目的に応じて次のとおり分類する。
i フル・オーディット（Full Audit）
総合評価あり（内部統制の整備及び運用に関するアシュアランス。部分的な業務を対象にする場合でも総合評価を付すときはFull Auditとして取り扱う。）
ii レビュー（Review）
総合評価なし（目的に応じて、次の6つに分類する。）
a 中間レビュー（Interim Review）
内部統制整備の途上で実施する整備状況及び要追加対応事項の有無の検証
b プロジェクト・レビュー（Project Review）
進行中のプロジェクトに対して実施するプロジェクト管理状況及び要追加対応事項の有無の検証
c フォローアップ・レビュー（Follow-up Review）
当局検査、内部監査指摘事項等の対応策の定着状況及び運用状況の確認、並びに関連する要追加検証事項の有無の検証
d 外部要請レビュー（Required Review）
法令又は監督当局その他外部機関からの要請に基づき実施する、特定業務又は指定された事項の検証
e 全般的統制レビュー（General Control Review）
部署共通又は全社的に適用される管理手続の運用状況の検証
f その他レビュー（Other Review）「レビュー」について文書の簡素化を進める。
その他限定的な項目についての検証（個別監査計画書、監査調書、監査報告書）

2021年度の計画監査プロジェクト例
リモートワーク拡大に伴うリスクへの対応状況の検証として、
 リモートワークにおける情報セキュリティリスクへの対応（グループベース）
コミュニケーションツール・セキュリティーツールの導入、研修、リモートアクセス経路の安全性（通信の暗号化等）、貸与PC・BYODのセキュリティなどの検証変更した監査アプローチで実施するプロジェクトとして、

 銀行 全般統制
銀行全体を母集団としてサンプル抽出を行う労務管理、情報管理の検証
 SFC個人顧客取引
全リテール支店を母集団としてサンプル抽出を行うリスク商品販売等の検証
 法人取引(RM)
全法人支店を母集団としてサンプル抽出を行う融資業務等の検証

質問