内部監査人協会（ＩＩＡ）情報グローバルな視点と洞察

内部監査とコンプライアンス：
ガバナンス強化のための明確化と協働
内部監査人協会（ＩＩＡ）
訳者：堺咲 子
内部監査人協会（ＩＩＡ）国際本部 理事 専門職資格担当
インフィニティコンサルティング 代表
プレミアアンチエイジング株式会社 社外取締役
ＣＩＡ，ＣＣＳＡ，ＣＦＳＡ，ＣＲＭＡ

目
はじめに ････････････････････････････････････････････････････ 22
アカウンタビリティ、活動、およびアシュ
アランス ････････････････････････････････････････････････････ 23
コンプライアンスとは何か ････････････････････････ 23
成果としてのコンプライアンス ･･････････････ 24
リスクのカテゴリーとしてのコンプライ
アンス ････････････････････････････････････････････････････ 24
役割や組織体の部門としてのコンプライ
アンス ････････････････････････････････････････････････････ 24
一連の活動としてのコンプライアンス････････････････････････････････････････････････････ 25
３ラインモデル ･･････････････････････････････････････････ 25

次
コンプライアンス ･･･････････････････････････････････ 25
コンプライアンスの役割と活動に対する責任の決定 ･････････････････････････････････････････････ 26
コンプライアンスを達成するための共同の取り組み ･････････････････････････････････････････････ 26
６つの原則の適用 ･･････････････････････････････････････ 27
コンプライアンスについての重要な事実････････････････････････････････････････････････････････ 34
注意すべき重要な10項目 ････････････････････････ 34
付録：コンプライアンスの役割と活動に対する責任の調整 ･･････････････････････････････････････････ 36

ＩＩＡ北米

諮問委員会
ＩＩＡマレーシア

CIA, CRMA, CPA
キャロライン・セイント氏

CIA, CCSA, CFSA, CGAP, CRMA
ヌル・ハヤティ・バハルディン氏

ＩＩＡコロンビア

ＩＩＡアフリカ地域連合

CIA, CCSA, CRMA
アナ・クリスティーナ・ザンブラノ・プレシアド氏

CIA, QIAL
レセディ・レセテディ氏

ＩＩＡアラブ首長国連邦
CIA, CCSA, CRMA
カレム・オベイド氏

Copyright © 2021 by The Institute of Internal Auditors, Inc., (“The IIA”) strictly reserved. Any reproduction of
The IIA name or logo will carry the U.S. federal trademark registration symbol ®. No parts of this material may be
reproduced in any form without the written permission of The IIA. Permission has been obtained from the copyrightholder, The Institute of Internal Auditors, 1035 Greenwood Blvd., Suite 401 Lake Mary, FL 32746, U.S.A., topublish this translation. No part of this document may be reproduced, stored in any retrieval system, or transmitted
in any form, or by any means electronic, mechanical, photocopying, recording, or otherwise, without prior written
permission of The IIA.

月刊監査研究2022. 5（No.582）

21

内部監査人協会（ＩＩＡ）情報

はじめにに関する論文ではない。むしろ、取締役会、経営管理者、コンプライアンスの専門家、お内部監査とコンプライアンスの関係は不明

よびＣＡＥのためのツールであり、内部監査

確な場合があり、重要な疑問が生じている。

とコンプライアンスの関係を説明する方法と内部監査は、コンプライアンスに責任を持つ

して３ラインモデルｉ を使用している。３ラ

ことができるか。コンプライアンス機能は、

インモデルの「６つの原則」と、それらをコ

組織体全体のすべてのコンプライアンスに責

ンプライアンスに適用する方法は、本稿の後任があるか。内部監査部門長（ＣＡＥ）とし半で詳しく検討する。

て、コンプライアンスを担当しても良いのか。

読者は、本稿を利用して、法域、業種、複

本稿は、これらの複雑な問題を明確にし、雑さ、成熟度、または規模にかかわらずガバ

混乱、ギャップ、および不要な重複を避ける

ナンス構造内で、３ラインモデルに関連するための一助となることを目的としている。明様々な側面での効果的なコンプライアンスと確な理解が不可欠であり、協働が強く奨励さ

コンプライアンス・リスク・マネジメントを１

れており、また、内部監査の独立性 が基本

明確に識別し、理解し、評価し、適用すべき的に重要である。

である２。リスクやコンプライアンスの責任

本稿は、コンプライアンスを監査する方法

者と内部監査人が現場で直面しているコンプ
ライアンス問題の実例は、３
ラインモデルに従ってコンプラ
イアンス活動の調整を評価する
際に、モデルの「６つの原則」
を実務に適用する上で有用である（27～34ペー
ジを参照）。

Copyright © 2020 by The Institute of Internal Auditors, Inc. All rights reserved.

１

持続可能なガバナンスの一部としてコンプライアンスが不可欠であることは、B20イタリアが『B20イタリア：イン
テグリティとコンプライアンスの政策文書2021』（https://global.theiia.org/about/about-internal-auditing/Public%20
Documents/B20-Italy-Integrity-and-Compliance-Report.pdf）におけるG20の中で、重要な焦点と政策行動として大臣に推奨している。特に、同文書11ページの政策行動2.1は、３ラインモデルで説明されている内部監査の役割に具体的に言及している。

２

特定の法域や業種では、コンプライアンスおよびコンプライアンス・リスク・マネジメントに関連する役割と責任が高度に定義されており、広範な法律、規制、判例、および学術研究の対象となっている。より詳細な研究が利用できるため、本稿の読者にはそれらを参照することをお勧めする。例えば、American Law Instituteの「Principles of the Law、
Compliance、Risk Management、and Enforcement No.1 (https://www.ali.org/smedia/filer_private/85/7b/857b5fbb-2995-4146-b939-b14a79e93964/compliance_td_1_-_catalog.pdf)」および「Principles of the Law、Complianceand Enforcement No.2 (https://www.ali.org/smedia/filer_private/19/ec/19ecf7f3-594e-44c0-9773-595ae2f8ebe/
compliance_td2_-_catalog.pdf)」を参照。
訳注ｉ ３ラインモデルの日本語訳は、月刊監査研究2020年８月号に掲載。

22

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

アカウンタビリティ、活動、およびアシュアランス

上げればきりがない。コンプライアンスは、

３ラインモデルは、統治機関のアカウンタ

れているように、アカウンタビリティ、活動、

ビリティ、経営管理者による活動、および内およびアシュアランスの文脈で理解して実施

部監査による独立したアシュアランスが、効することができる。

効果的なガバナンスに対する全体的なアプローチの一部として、３ラインモデルで説明さ果的なガバナンスの基盤となることを説明している。また、「６つの原則」が、組織体におけるそれぞれの役割と責任を評価する上で、コンプライアンスとは何か

どのように役立つかを示している。このモデ組織体は、事業を行うための前提条件としルの中核となる要素と「６つの原則」の適用て、適用法令やその他の外部要件を遵守（ま方法は、組織体の目標、資源、および状況にたは適合）しなければならない。これらのコ

よって異なる。このモデルは、組織体が目標

ンプライアンス要件は、従業員との関係からの達成に最適な構造を特定し、プロセスを設

納税に至るまで、あらゆることを網羅してい計し、責任を割り当てるのに役立つ。これにる。特定の業種では、様々な規則設定機関、は、コンプライアンス・リスクの管理が含ま

監督者、規制当局、および定義された要件が３れる。これは経営管理者の責任 であるが、あるが、外部から課せられる法規制上の限度

協働によって達成される。

や制約が少ない業種もある。とはいえ、公的組織体が検討すべきコンプライアンス要件

部門でも民間部門でも、外部のコンプライア

や期待の範囲は、法律、規則、規制などの外ンス要件がない組織体を見つけるのは難し

部から課せられるものと、方針、基準、手続、い。

行動規範や行為規準などの内部から課せられ同時に、組織体は、方針と手続の形で内部るものがある。それらは、正式かつ明示的にの期待を設計し、策定し、導入し、倫理的な定義されている場合もあれば、社会的、倫理

行動や行為の基準を設定する。ある種の規制

的、文化的な期待などのように、より暗黙的産業では、組織体は外部の要件に従って、内な場合もある。この幅広く動的な範囲に及ぶ

部の方針、基準、および行動規範を定めて遵検討事項を、本稿では「要件や期待」と呼ぶ。

守しなければならない。このように様々な要

ステークホルダーは、組織体がその目的を件が何層にも重なっているため、組織体の「コ果たし、合法的かつ倫理的に価値を最大化す

ンプライアンス」の概念は様々な側面を持つることを期待している。そのため、組織体はようになる。したがって、コンプライアンス

重要な領域のコンプライアンスを注視するこを、広範な側面、関連性のある側面、およびとに投資している。例えば、安全衛生、雇異なる側面のそれぞれから考察し、組織体で用、データ保護とプライバシー、法人・商業

どのように議論されているかを検討すること

法規、業界規制、品質基準、贈収賄と汚職のは有用である。すなわち、成果としてのコン防止、投資家と消費者の保護、財務報告と税プライアンス、リスクのカテゴリー４ として務、および個人の行動規範などであり、数えのコンプライアンス、組織体の役割、部門、

３

本稿では、経営管理者は、統治機関または内部監査の責任ではない役割を特定するために広く使用されている。

４

組織体のコンプライアンス・リスクの幅広いカテゴリーのもとで、リスク分類法では、法律、規則、規制、方針、または行動に関する特定のリスクと関連するリスクの両方を扱うサブカテゴリーのカスケードが特定される。

月刊監査研究2022. 5（No.582）

23

内部監査人協会（ＩＩＡ）情報機能等５としてのコンプライアンス、さらに、免許の取り消し、制裁措置、事業の終了、民一連の活動としてのコンプライアンス、であ事・刑事訴追、資金や支援の喪失などのペナる。

ルティが科せられる可能性がある。さらに、

これらのそれぞれについて、以下で説明す

コンプライアンス違反は、潜在的なステーク
ホルダーの不満、世間の批判、またはその他る。

の損害の形で評判リスクを引き起こす可能性

成果としてのコンプライアンスがある。

組織体は、法律、規則、方針、規範などをコンプライアンス・リスクの識別、測定、遵守するために、または「遵守した状態であおよび評価、ならびにコンプライアンス・リる」ために、様々な活動に従事している。特スクのリスク選好と許容度の決定は、方針、定のコンプライアンス要件や期待を達成する

手続、制限、およびコントロールを含む適切

ことは、多くの場合、事業を運営して戦略目な対応を決定するのに役立つ６。

標を追求するための必要条件である。

リスクのカテゴリーとしてのコンプライアンス

役割や組織体の部門としてのコンプ
ライアンス
コンプライアンスは、特定の要件や期待に「専門職的実施の国際フレームワーク」は、応えるために、あるいはコンプライアンス関

リスクを、組織体の目標の達成に影響を与え連の問題に関する監督、専門知識、チェックる事象発生の可能性と定義している。これらと異議申し立て、モニタリング、テスト、まの影響は、好ましい場合と好ましくない場合

たはアシュアランスを提供するために、設けがある。したがって、リスクを評価するときられた役割や部門を指すことも多い。これらは、コンプライアンスの要件や期待を、コンは、３ラインモデルで説明されているように、

プライアンス違反の可能性と、それが目標へ

様々な第１ラインや第２ラインの役割の特徴

与える潜在的な影響とともに検討することがであり、経営管理者の全体的な権限と責任の不可欠である。

範囲内に存続し、その役割の特定の特性に応組織体には、コンプライアンスとコンプラ

じて、第１ラインの役割を持つ人々と経営幹

イアンス違反の両方に関連するリスクがあ部に対して、専門家としての支援とリスク・る。それらの影響は、有形または無形の報酬

マネジメントを提供することもある。

や罰則という形をとる場合がある。例えば、

法規制の要件、ならびに組織体の業種、規国際標準化機構（ＩＳＯ）規格の遵守は、業模、および複雑さに従って、コンプライアン

務効率やその他の利益、さらに自主的な規範

ス上級職は、その具体的な責任に応じて、組に従うことで得られる好意的な注目を生み出

織体内の様々な役割の中の１つに直属する場

すように設計されている。コンプライアンス合がある。それらには、経営幹部（最高経違反は、これらのメリットをなくして直接的営責任者（ＣＥＯ）、最高リスク管理責任者、な損害をもたらすだけでなく、罰金の賦課、最高執行責任者、法務顧問など）やそれらの５

特定のリスクを担当する役割として、コンダクト・リスク責任者、データ保護リスク責任者などを定義することもできる。

６

トレッドウェイ委員会支援組織委員会（ＣＯＳＯ）は、リスク・マネジメントのためのフレームワークや、ＥＲＭリ
スクフレームワークをコンプライアンス・リスクの管理に適用するための新しいガイダンスなど、ソートリーダーシップを提供している。

24

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

直属者、あるいは統治機関や指定された小委

組織体内の様々な場所にあり、また外部に委員会への直属が含まれる。場合によっては、託する場合もある。３ラインモデルでは、役繰り返すが上記で明らかにした要因と内部監割の調整を評価する際の重要な要素は、コン査部門の独立性を確保するための仕組みを条プライアンス活動に関連する意思決定権を特件として、コンプライアンスの役割や部門が、定することであるとしている（コンプライア

ＣＡＥまたはコンプライアンス部門と内部監

ンスを構成する詳細な役割と活動について

査部門の両部門を監督する者に直属する場合

は、付録を参照）。

もある。そのような場合は、３ラインモデル
で説明されている「６つの原則」を適用して、３ラインモデル

コンプライアンスに関する各役割の責任が要件や期待に沿っているかを評価すべきであ

コンプライアンスる。このモデルで説明されているように、連統治機関は、ガバナンスに対する最終的な携によって潜在的な利害の衝突や、客観性ま

アカウンタビリティを負っており、アカウンタ

たは独立性の侵害が見られる場合は、軽減措

ビリティは、統治機関の活動と行為、および置を講じるべきである。客観性に対する潜在経営管理者と内部監査によって達成される７。

的または実際の衝突や侵害もまた、検討した

各組織体は、所定の外部要件に従って、自り可能な措置を講じたりするために統治機関

らの状況に応じてコンプライアンスの側面にに報告すべきであり、必要に応じて規制当局関する責任を割り当てるので、組織体全体ににも報告すべきである。

割り当てられた特定の役割と責任が、３ラインモデルの「６つの原則」とどの程度整合し一連の活動としてのコンプライアンスているかを分析しなければならない。評価にコンプライアンスとは、コンプライアンス

プライアンスとリスク・マネジメントを含むを達成、支援、モニター、監督、チェック、ある責任は経営管理者の役割に、ある責任はテスト、異議申し立て、または確認するため

内部監査の役割に整合することが示される場に設計されたプロセスとコントロールを指す合がある。

よって、ある責任は統治機関の役割に、コンことがある。これらの手段の実施者は、組織

第１ラインの役割には、クライアントや顧体とその構成員が要件や期待を確実に遵守す

客に製品やサービスを提供することや、要件るための支援をする。

や期待を遵守して製品やサービスの提供を行

組織体内のコンプライアンスは、組織体のうために必要な支援をすることが含まれる。

ために働く、または組織体とともに働くすべ

第２ラインの役割は、専門家として監督と助ての人が、それぞれの役割と年功に応じた活言を行い、（特に総体で、またはポートフォ

動や行為を行うことで達成される。

リオベースで）リスクを評価し、（モニタリン

特定の要件や期待を一定のレベルで確実にグ、監督、およびテストを含む）リスク・マ

満たすように設計された日常的なプロセス、

ネジメント活動を実施し、第１ラインに信頼

手続、およびコントロールに対する責任は、に足る異議を唱えることである。第３ライン

７

統治機関の構造は、法域、規制要件、および個々の機関設計によって異なる。統治機関という場合、様々な法域、業種、および公的部門と民間部門の両方で見られる幅広い統治機関の構造が含まれる。統治機関の責任には、次のようなものがある。組織体の方向性の設定。ビジョン、使命、価値観、およびリスク選好の定義。実際の、および期待される
成果、ならびにリスクとリスク・マネジメントに関する経営管理者からの報告の受領。

月刊監査研究2022. 5（No.582）

25

内部監査人協会（ＩＩＡ）情報の内部監査の役割は、第２ラインが第１ライれた役割を個人が遵守することが条件である。

ンにどれだけうまく信頼に足る異議を唱えて通常、組織が大きくなり、より複雑になり、

いるかについてのアシュアランスを含む、独資源が豊富になり、あるいは規制が厳しくな立したアシュアランスを提供することであ

ると、コンプライアンスの様々な側面についる。これらの役割の活動が、過度な重複やギて、個々の役割や部門に別々の責任や資源をャップがなく、また、矛盾や不整合がないよ

割り当てることを決定したり要求したりする

うに的確に調整されるようにするために、適場合がある。

切な連携、コミュニケーション、および協働を通じて効果的に取り組む必要がある。

さらに、１人の従業員が複数の役割を担当する場合もある。この場合、これらの複数のこのモデルを表すために使用された図は、役割の両立性を適切に評価して、各役割の責コンプライアンスの役割や部門、あるいは特任と、それらの役割の遂行に対する監督とア

定の第２ラインの役割、部門、または責任をシュアランスを明確に定義すべきである。場特定するものではない。この図は、所定の組合によっては、統治機関や規制当局による承織構造ではなく、ガバナンスの中心的な役割

認が必要になることもある。
複数の役割を担うと、両立不能性や利害の間の関係を示している。

衝突というリスクが増し、また、アカウンタ

コンプライアンスの役割と活動に対する責任の決定ビリティと責任の明確さが損なわれる可能性

アカウンタビリティ、活動、およびアシュ

は、リスクの軽減措置が必要となる場合があ

アランスは、ガバナンスに不可欠な要素であり、また、該当する場合には統治機関や規制る。 リスク・マネジメント、コンプライア

当局に報告する必要がある。

がある。リスク選好の範囲内に収めるために

ンス、倫理、サステナビリティ、セキュリテ
どの専門部署の設置や特性は、多くの要因にコンプライアンスを達成するための共同の取り組み左右される。 それらには、組織体の複雑さ、コンプライアンスに関する役割や部門が定規模、業種、資源、規制、法律とカルチャー、

められている場合でも、すべてのコンプライ

統治機関のリスク許容度とリスク選好などがアンス活動が組織体内の１か所にのみ存在すあり、そして重要なのは、各専門部署内の役るわけではないことを認識することが重要で割の目標と責任である。

ある。すべてのレベルの従業員、および業務

ィ、データプライバシー、法務、財務管理な

一部の業種では特定の規制によって、単独執行役員と非業務執行役員は、コンプライア

では所定のコンプライアンス部門を持たない

ンスの取り組みに共同で貢献することが求め組織体もある。また、コンプライアンスに関られる。コンプライアンスを達成し、コンプ連した肩書きや職務記述書を持つ人がいない

ライアンス・リスクを軽減し、要件や期待の組織体も多い。

遵守をモニターするために、責任とアカウン

しかし、たとえコンプライアンスに関するタビリティは、組織体の階層、定義された役

役割や部門が定められていない場合でも、組割、およびライン・マネジメント構造全体に織体は効果的なガバナンスを発揮して要件や分散されている。

期待を遵守することができる。ただし、該当

外部と内部の要件や期待に対するコンプラする要件や期待を遵守するために組織体に応

イアンスは、専門部署や所定のコンプライア

じた役割と責任を割り当て、さらに、定めらンス部門外の個人が対処することが多い。そ26

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

れぞれの役割と責任は、業種に対する規制に役割、責任、および活動を特定することで、

よって、または特定の個人や一連の要件や期組織体は、コンプライアンスの失敗につなが待によって、より狭く定義される場合がある。

り得る非公式なガバナンス、意思決定、およ

例としては、人事部門が担当する人事関連のび活動のリスクを軽減するためのセーフガー

法規制の遵守、財務部門が担当する財務報告

ドの策定を含む、効果的なガバナンス・フレ

や税務上の要件の遵守などがある。

ームワークを設計できる。

上述のように、様々な役割や部門が、コン

効果的なコンプライアンス・プログラム

プライアンスの達成、ならびにコンプライア

は、文書化された正式なガバナンス構造とコンス面の監督、モニタリング、およびテスト

ントロール構造の採用と遵守を促進するだけを担当する場合がある。そのため、個々の役でなく、コンプライアンスとコントロールの割とその責任のコンプライアンス関連の特性

カルチャーの展開と維持のための重要な要素を明らかにする際には、「６つの原則」を適用となり、３ラインモデルの有効性を高める。

することが明らかに重要である。
効果的なガバナンスは、正式なコミュニケーション、連携、および協働からだけでなく６つの原則の適用

非公式のコミュニケーションからも恩恵を受

３ラインモデルは、コンプライアンスに関け、透明性を高める。ただし、ガバナンス構する特定の要件や期待などの組織体の状況を造やコントロール構造における非公式の交流考慮しながら、原則ベースのアプローチで役が、コンプライアンス上の問題の適切な識別、割と責任を評価して調整することを奨励して上申、および軽減を妨げる場合、正式なガバいる。このモデルの「６つの原則」は、成果

ナンス構造やコントロール構造の有効性が損としてのコンプライアンス、リスクのカテゴ

なわれ、アカウンタビリティと責任の決定がリーとしてのコンプライアンス、役割や部門

曖昧になる可能性がある。

としてのコンプライアンス、および一連の活ガバナンスモデルの有効性を評価する際に動としてのコンプライアンスについて、また、は、コンプライアンスを達成するために設計

ガバナンス・フレームワークを成功させるたし構築した正式なガバナンス構造を評価する

めのコンプライアンスの貢献について、理解だけでなく、非公式なコミュニケーション、を深めるために利用することができる（「６意思決定、および行動について組織体を調査

つの原則」の全文は、３ラインモデルを参照）。

して、非公式なガバナンス構造が正式なガバ
ナンス構造を弱めたり台無しにしたりしない

原則１：ガバナンスの要件を定めるか、どこで、いつ、そうなり得るかを特定す原則１は、ガバナンスの最低要件を以下のることが不可欠である。３ラインモデルでは、ように述べている。

コミュニケーション、連携、および協働を促■進するために、強力な公式・非公式な交流が奨励されている。しかし、非公式なガバナンアカウンタビリティ（統治機関がステー
クホルダーに対して成功のために）■

活動と資源の適用（リスクとコンプライ

ス構造は、コンプライアンスを妨げ、コント

アンスの管理を含め、経営管理者が目標

ロールを回避し、効果的でないコンプライア達成のために）ンス・リスク・マネジメントをもたらし、責■アシュアランスと助言（効果的な監督と任とアカウンタビリティの明確さを曖昧にす

透明性を可能にし、信頼と継続的な改善る可能性がある。３ラインモデルを適用してを促進するために、独立した内部監査機

月刊監査研究2022. 5（No.582）

27

内部監査人協会（ＩＩＡ）情報には、規制要件に従って、マネーロンダリ

能がすべての側面に関して）
統治機関は、組織体が一般に認められた基

ング防止コンプライアンス責任者、プライ

準や社会規範に従って行動することを確実に

バシー責任者、贈収賄防止責任者などがいする最終的なアカウンタビリティを負っている場合があり、これらの主要なリスク領域る。経営管理者は、統治機関が表明したリスのコンプライアンスと管理の達成を支援す

ク選好に従って、コンプライアンスとコンプるために、製品、情報開示、雇用、苦情等

ライアンス違反に関連するリスクを管理しなについて責任と特定の資源を持つ場合があければならない。これには、コンプライアン

る。統治機関には定期的な報告が行われ、スの側面に特に焦点を当てた個々の役割やチすべての活動は独立した内部監査の対象とームを定めることや、リスクを所有する第１なる。

ラインと信頼に足る異議を唱えて第１ライン

がリスク選好に適合するように促す第２ライ「組織体が現在直面している課題の好例とンとの間の意思決定権を明確に定義すること

して、“環境、社会、ガバナンス”すなわちが含まれる。内部監査は、経営管理者と統治“ＥＳＧ”基準の採用と活用の推進が挙げ機関に対して、コンプライアンスに関するコられる。統治機関は、統治機関が定めた戦ントロールの適切性と有効性についてのアシ

略、基準、および社会規範に従って組織体ュアランスと、継続的な改善と革新のためのが行動するように、経営管理者にアカウン

助言を提供する。

タビリティを負わせる責任がある。ＥＳＧ―英国、最高コンプライアンス責任者」

は、組織体の隅々まで、そしてすべての従

現場の実例

業員、サプライヤー、および顧客に及ぶた「医療は規制の厳しい業種なので、ほぼすめ、統治機関は、組織体に当てはまるＥＳ

べてのサービスの提供には、何らかの規則、

Ｇリスク、外部の法律や規制、内部の方針

規制、または基準の遵守が伴う。看護師、と手続、関連する業績指標、およびそれら

医師、およびその他の医療従事者は、提供の内部の要件や期待に対するコンプライア

するすべてのサービスが適切に承認され文ンスの達成を反映するための信頼できる真書化されるようにしなければならない。コ正で比較可能なデータが、経営管理者によンプライアンスの担当者（個人の役割や部って明確にされていることを確認しなけれ

門）は、特定の手続の文書化と承認の要件ばならない。さらに、経営管理者と統治機について臨床部門に助言することができる

関の双方が、ＥＳＧコンプライアンス目標

が、最終的には、第１ラインの医療従事者の達成に関するアシュアランスを望んでいがプロセスとコントロールを実施し、これる、または必要としている。ＥＳＧを活用

らの要件を確実に遵守する責任がある。

して、コンプライアンスを実証するために―米国、

必要なそれぞれの役割と部門、およびそれコンプライアンス・内部監査責任者」

らの活動を把握するためには、組織体全体「私の業界の例では、組織体や規制要件にの責任とアカウンタビリティを複雑にマッ対するコンプライアンス・リスクの上位をピングする必要がある。

ランク付けし、規制要件を遵守するための

―米国、最高コンプライアンス責任者」

活動、コントロール、モニタリング、および責任を、これらのリスクに応じて調整することが挙げられる。例えば、ある組織体

28

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

原則２：適切なガバナンスの監督を継続する機関が、リスクに関する予測、監督、およ

原則２は、統治機関の役割を以下のようにクについて明確な見通しを入手しているかび指示を行うために、管理されているリスを検証すべきである。コンプライアンスは、定めている。
■

ガバナンス

コンプライアンスとコントロールの有効性■

経営管理者の監督

に関して経営管理者に異議を唱え、また、■

有能な内部監査機能の確立と監督

リスク選好内でのコンプライアンス・リス

統治機関は、ガバナンスに最終的な責任を

ク・マネジメントの有効性に関して統治機持ち、適切な構造とプロセスがあることを確

関に洞察を提供するという、重要な第２ラ認する。これには、コンプライアンスに関すインの役割を果たす。
―シンガポール、る取り決めや、内部監査の役割の監督も含ま

れる。

コンプライアンス責任者」

統治機関は、リスクへのエクスポージャー「医療をはじめとする多くの業種では、コのレベルや、戦略目標に影響を与える可能性

ンプライアンス部門が、研修と教育、ホッに関連する要件や期待の遵守について、どのトラインのモニタリング、倫理規定の周知、程度信頼し、要求するかを判断しなければな

身元調査の実施など、コンプライアンス・らない。統治機関は、コンプライアンス・リ

プログラムの一定の要素に対して日常的なスクのリスク選好や許容度の決定にあたり、責任を負う場合がある。これらの活動の中

リスク選好や関連する許容度に従ってコンプには、コンプライアンスを達成するためのライアンスの成果を達成するための、経営管ものもあれば、方針を設定し、モニタリン

理者の活動の遂行と、所定の役割や部門によグし、またはコンプライアンスの有効性にる責任の遂行を監督する。

関して経営管理者と統治機関へ報告するた

統治機関は、内部監査がコンプライアンス

めのものもある。コンプライアンス部門がに関して独立した効果的なアシュアランスとＣＡＥに直属している場合、内部監査部門

助言を提供できるように、適切に位置付けらは、コンプライアンス・プログラムの有効れ資源が確保されるようにすべきである。Ｃ

性について独立したアシュアランスを提供

ＡＥは、その権限と独立した地位を確保する

することはできない。ただし、そのようなために、統治機関、独立監査委員会、または場合には、独立した第三者を雇うことによ

統治機関が指定した同等の委員会に対してアって統治機関にアシュアランスを提供する

カウンタビリティを負わなければならない。

ことができる。
―米国、

現場の実例



コンプライアンス・内部監査責任者」「有能な統治機関は、組織体全体に変化を「統治機関は、内部監査の監査計画の中でもたらし、影響力を持つことができる。上コンプライアンス・リスクが徹底的に評価

申や報告が当然のように行われる場合もあされ検討されるようにし、主要な規制リス

るが、過去のデータに基づいた遡及的な対クと規制当局の重点領域に関する内部監査

応ではなく、“現在”において効果的な監督の複数年の対象範囲を理解し、また、コンと指示を行うためには、統治機関がどれだ

プライアンス関連の報告や活動の結果をレ

け最新の情報を持っているかと、その情報ビューするように努めるべきである。

の質とにかかっている。内部監査は、統治

月刊監査研究2022. 5（No.582）―英国、ＣＡＥ」
29

内部監査人協会（ＩＩＡ）情報「統治機関は、経営管理者と内部監査の双や個人の独立性を高めるように見えるかもし方に対して、コンプライアンス・リスク・れない。しかし、独立性の重要な点は、意思マネジメントの方向性を示す。統治機関が決定の責任がないことである。通常、コンプ

効果的にコンプライアンスの監督をするた

ライアンスの役割を担う個人は、顧客の承諾、めには、経営管理者と内部監査の双方が提方針の例外適用の許可、新製品の承認など、供する、コンプライアンスの状態に関する

ある程度の経営上の意思決定責任を保持して適切な定量・定性情報について、十分に定いる。したがって、統治機関や統治機関の委期的かつ頻繁に調査しなければならない。

員会への報告経路があっても、そのような部

統治機関は、違反、不履行、および是正に門、部門長、または個人に真の独立性をもた焦点を当てた単なる後ろ向きで場当たり的

らすものではない。内部監査とＣＡＥは、そな対応をするのではなく、前向きなコンプの報告経路が経営管理者から独立しているこ

ライアンス・リスク・マネジメントに取りとに加え、経営管理者の業務上の意思決定の組むために、コンプライアンス・リスク・責任を負っていないことも、さらなる独立性

マネジメント活動の範囲を常設議題とすべをもたらしている。
したがって、３ラインの役割の特徴は、以

きである。


―英国、最高コンプライアンス責任者」

下のように明確に示すことができる。
■

第１ラインの役割：製品やサービスを提原則３：第１ラインと第２ラインの経営管理者の役割を定義する

供する上で、法律、規制、行動規範、組原則３は、経営管理者の役割（資源、目標、

イアンスは経営管理者の責任として存続

織体の方針等を遵守すること。コンプラする。

規制などに応じて組み合わせたり分けたりす
る場合がある、第１ラインと第２ラインの両■方の役割）を述べている。

第２ラインの役割：個々のコンプライア
ンスの役割や部門は、フレームワークを第１ラインと第２ラインの役割が、経営管構築し、監督を実施し、助言、モニタリ

理者を構成している。それらは、顧客に製品

ング、および監視を行い、テストを実施

やサービスを提供するという第１ラインの責し、経営管理者へ異議を唱え、また、一任と、専門家として監督し、（特に総体で、ま般的には経営管理者の業務上の意思決定

たはポートフォリオベースで）リスクを評価

やリスク所有の権限を持つことができる

し、リスク・マネジメント活動を実施し、第（例：顧客やクライアントの承諾、新製

１ラインに信頼に足る異議を唱えるという第品やサービスの承認、取引の承認、限度

２ラインの責任を反映している。

額超過の承認、方針の例外適用などが含

コンプライアンス部門などの独立した部門を設置する場合もあれば、部門長、または小まれる場合がある）。
■

第３ラインの役割：内部監査は、コンプ規模で複雑でない組織体では個人を任命しライアンス、コンプライアンスを達成すて、統治機関に直接または統治機関の委員会

るための経営管理者の取り組みの有効を介して報告する場合もある。部門長または性、およびコンプライアンス・リスク・

個人は、ＣＥＯまたは経営管理者の中の指名

マネジメントの監督とコントロールをモされた者に対して共同で報告する場合もあ

ニタリングして提供するためのコンプラる。このような統治機関への報告経路やアカイアンス担当者や部門の作業について、

ウンタビリティは、コンプライアンス部門長

独立したアシュアランスを提供するが、30

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

その逆はない。内部監査は、経営管理者

コンプライアンスを確保するために必要なの意思決定の責任を持たず、独立した立コントロールを設計して実施する責任を負

場で統治機関に報告する。

っている。コンプライアンス部門は、その３ラインモデルを用いることで、組織体は専門性から、これらの要件に対するコンプ要件や期待に対するコンプライアンスを達成

ライアンスを評価する上で理想的な立場にし、効果的で持続可能なガバナンスに貢献し、ある。

違法行為や腐敗に対抗することができる。コ

ンプライアンスは、透明性を基盤として、組「大企業ではよく管理されているが、重要

織体内の適切な基準を設定しなければならなな課題は、コンプライアンスの要件や期待い。また、株主、政府機関、規制当局と取引所、の所有権と義務、およびコンプライアンス

サプライヤー、およびサプライチェーンなどの役割やコンプライアンス部門がこれらをの外部のステークホルダーにとっても、透明実施する方法である。そのためには、強固性を高める効果的なコンプライアンス・プロ

なガバナンスによる効果的な上申経路ととグラムは、組織体に対する信頼性を高める。

もに、明確なアカウンタビリティや役割と―米国、最高コンプライアンス責任者」

責任を備えた、非常に明確なリスク・マネ

現場の実例

ジメントとコントロールのフレームワーク「第１ラインと第２ラインの役割は、組織が必要である。これがなければ、コンプラ

体のコンプライアンス・リスクを識別し、イアンスの監督は曖昧になり、実施が困難

管理し、その軽減をモニタリングするためになる。

に、効果的に協力すべきである。モニタリング、テスト、および発見を、内部監査に「コンプライアンスは、すべての人の責任依存すべきではない。これは、第１ラインである。医療のような規制の厳しい業種でと第２ラインの役割によって行われ、所有は、コンプライアンスの責任にはすべてのされるべきである。

医療従事者が含まれ、特定の手続の承認や―米国、最高総務責任者」

文書化要件の遵守が含まれる場合がある。

「コンプライアンスの役割は、事業部門をコンプライアンス部門が特定のプロセスや支援し、プロセスとコントロールが明確に手続に関する方針、プロセス、およびコン整合していることを確認すべきである。第トロールを策定したり、その手続に対して２ラインとしてのコンプライアンスの役割

日常的に責任を負ったりする場合、客観的が、事業部門に助言するケースは様々であなアシュアランスを提供することはできなる。主要業績評価指標と主要リスク指標は、

い。しかし、プロセスや手続に関連する規事業部門がコントロールの有効性に関する制要件について助言やコンサルティングをリスクを識別して管理するのを支援する。

行うことは、必ずしもコンプライアンス部
門の客観性を損ねるものではない。

―メキシコ、―英国、最高コンプライアンス責任者」―米国、最高コンプライアンス責任者」「多くの業種は、無数の複雑な規制の対象



コンプライアンス・内部監査責任者」となっている。コンプライアンス部門は、て、専門知識と助言を提供する。例えば、

原則４：第３ラインの役割を定義する

医療機関では、臨床部門の経営管理者が、

原則４は、独立したアシュアランスと助言

各部門の規制要件や最近の規制変更につい月刊監査研究2022. 5（No.582）

31

内部監査人協会（ＩＩＡ）情報の提供者としての内部監査の役割を述べていントロールのカルチャーを促進するために、る。

コミュニケーション、連携、および協働を進３ラインモデルは、ガバナンスの基本要素

んで行うべきである。

として、コントロールを含むリスク対応の適切性と有効性に対するアシュアランスを提供現場の実例することの決定的な必要性を詳述している。

「コンプライアンス・リスクの管理を評価

リスク対応とコントロールには、コンプライ

する際に注意すべき重要な項目は、問題をアンスとコンプライアンス・リスク・マネジ

軽減するために実施されている活動の有効メントの達成、モニタリング、および監督に性である。具体的なコンプライアンス・リ

関するものが含まれる。これは、経営管理者

スクの項目について確かなリスク評価を行から独立した組織体の唯一のアシュアランス

い、そのリスクに見合った活動の調整をす

提供者である内部監査が、体系的で規律あるることが重要である。そうでなければ、コプロセス、専門知識、および洞察を適切に適ンプライアンス違反のリスクから組織体を用することによって達成される。

守るという利益を得られないまま、多くのコンプライアンスの役割と内部監査の役割活動が行われることになりかねない。

の効果的な連携と協働は、それぞれの明確な―南アフリカ、ＣＡＥ」役割を果たす上で有効性を損なうことなく、「内部監査人にとって特に重要な課題は、組織体の利益となるように達成することが可

法規制、方針、基準、および行動規範の違能である。

反といったコンプライアンス違反の事例を組織体には様々な役割とアカウンタビリテ

明確に特定し、監査業務や監査報告書に反ィがあるため、アシュアランスの別の情報源映させることである。このようなアシュアが存在することもあり、それらを総合して、ランスを提供するためには、適切なスキル

組織体に対する包括的で複合的な視点を提供を持つ資源を利用し、望ましいコンプライすることも可能である。しかし、そのようなアンス成果の達成を効果的に評価して報告

アシュアランスの質と客観性を評価するためする必要がある。

には、３ラインモデルに従って、具体的な役

―英国、ＣＡＥ」

割とその調整を分析して評価することが重要
内部監査は、統治機関に対するアカウンタ

原則５：第３ラインの独立性を維持する

ビリティと経営管理者の責任からの独立性を原則５は、内部監査の独立性が重要であるである。

維持している。これは、アシュアランスの役ことを述べている。

割とガバナンス構造内での内部監査の明確な第３ラインとしての内部監査には、その独位置付けを理解する上で、非常に重要である。

立性を定義するのに役立ついくつかの特徴が内部監査部門の独立性と内部監査人の客観性ある。これには、統治機関や統治機関の委員が脅かされた場合、ＣＡＥは是正措置のため会への独立した職務上の報告経路、そして重に、これを統治機関に報告しなければならな

要なこととして、経営管理者の意思決定からい。

の独立性が含まれる。

内部監査人は、コンプライアンスの役割とリスク・マネジメント部門（コンプライア

部門の有効性を評価する際に、３ラインモデ

ンス・リスク・マネジメント部門を含む）は、ルを効果的に適用してコンプライアンスとコ

多くの場合、統治機関や統治機関の委員会に

32

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

職務上の報告経路を持つ一方で、通常は、そュアランスを提供することである。コンプ

れぞれの役割において、特にコンプライアン

ライアンスの担当者や部門は、第１ライン

ス・リスクを含むリスクの取得、管理、軽減、に代わって業務機能を実施する責任を負う

コントロール、および報告に関する経営管理

ことがある。このような場合、コンプライ

者の意思決定の責任も負っている。

アンスの担当者や部門は、第１ラインから

第２ラインは第１ラインに対して、効果的

完全に独立してはいない。内部監査は、第で信頼に足る異議を唱える責任を維持するこ１ラインと第２ラインの経営管理者の意思とができる。しかし、内部監査が経営管理者決定からの独立性により、唯一の完全に独の意思決定から独立していることは、上記の立した活動である。

原則３で詳述したように、第３ラインの役割

 ―米国、全社的リスク・内部監査責任者」と第２や第１ラインの役割との重要な差別化要因である。

原則６：協働によって価値を創造し
保全する

現場の実例

原則６は、これらすべての役割の連携と協「内部監査がジレンマに陥らないために働を確保することの重要性を述べている。

は、内部監査人は、コントロールの設計や効果的なガバナンスには、適切な責任の分実施、または経営管理者の意思決定に参加

担だけでなく、連携、協働、およびコミュニ

してはならない。内部監査人が焦点を当て

ケーションを通じて活動をしっかりと調整す

るのは、主要なリスクが意図したとおりにることも必要である。統治機関は、経営管理

識別されてコントロールされているかを判者や内部監査などからの報告に基づいて監督断するための観察、テスト、および評価でを行い、経営管理者に対して目標を達成し、ある。内部監査人は、偏見や先入観を持っリスクを管理し、価値を創造するよう指示をてはならない。

与える。統治機関の役割と、第１、第２、お―オーストラリア、ＣＡＥ」

よび第３ラインの役割は、互いが調整されて、「内部監査の主要なステークホルダーは統

ステークホルダーが優先する利益と整合して治機関であり、内部監査はその組織上の独いる場合に、価値の創造と保全に共同で貢献

立性により、フィルターのかかっていないする。したがって、組織体全体のコンプライ

結果と勧告を報告することができる。また、アンス責任、意思決定権、報告義務、リスク

内部監査は組織上独立した存在であるた

選好、共通の分類法、明確に定義された評価

め、コントロールの仕組みやその実施者が主体や単位、要件や期待に照らしたパフォー

好意的に見られることを期待することもそマンスとリスクの報告、およびテストとアシの必要性もない。内部監査は、真実を報告ュアランスのプログラムについて、明確に伝するという究極のアカウンタビリティを負えることが連携と協働の向上に役立つ。

っている。

現場の実例

―米国、


最高監査・コンプライアンス責任者」「連携と協働の例としては、データプライ「コンプライアンスの第２ラインの役割

バシーがある。コンプライアンス、またはは、方針を定め、コントロールの設計に関組織体によっては法務部門と協働してコンして事業部門に助言し、事業リスクのリス

プライアンスを行い、規制要件を明らかに

ク選好について助言してレビューし、アシして組織体に伝達し、適切なプロセスとコ

月刊監査研究2022. 5（No.582）

33

内部監査人協会（ＩＩＡ）情報

ントロールが実施されるようにする。事業

ムワーク、原則、またはモデルを開チーム（オペレーション、ＩＴ、情報セキ

発する。

ュリティ等）は、必要に応じて、モニタリ◦サステナビリティ報告とＥＳＧ報告

ング、上申、および情報の報告などの活動に利用するデータとデータ収集方法を実施する。情報セキュリティチームとコの正確性と一貫性を評価する。

ンプライアンスチームは、主要なリスク領◦測定と評価プロセス、重要性の定義域をモニタリングし、事業チームが手続にと関連指標（ＫＰＩ）のリスト、な

従って適切にモニタリングと報告を行ってらびに（社内外両方への）報告の方いることを確認する。内部監査は、コンプ法、ガイドライン、およびツールのライアンス・リスクを含む関連リスクを管導入について定める。

理するためのフレームワーク、および事業●内部監査は、統治機関に対して上記のチームが実施する関連プロセスやコントロ

活動と経営管理者によるＥＳＧ目標のールを評価し、それらの領域を監査する。

達成について、また、経営管理者に対―英国、最高コンプライアンス責任者」

して要件や期待への適合の報告につい「ＥＳＧは、要件や期待の遵守を達成するて、独立したアシュアランスを提供すために、組織体全体が連携と協働を行ったる。

好例である。第１、第２、および第３ライ―英国、最高コンプライアンス責任者」

ンの役割は、それぞれの役割の中で、また統治機関の監督のもとで、望ましいＥＳＧの成果を達成するために協力しなければならない。コンプライアンスに様々な責任をコンプライアンスについての重要な事実持つ者は、組織体内の他者と協力して、組注意すべき重要な10項目

織体のＥＳＧ目標を達成する。

１．コンプライアンスに特化した資源、部門、

●

●

34

統治機関は、戦略とリスク選好を定め、管理者等が存在しない場合がある。すべて

カルチャーや行動の基調を示す。

の組織体がこのような方法で資源を配分で経営管理者は、ＥＳＧの要件や期待をきるわけでも、その必要があるわけでもな

組織体のガバナンスと業務に統合する。

い。組織体がより複雑になり、高度に、ま◦ＥＳＧに関連する戦略計画と業務計

たは特別に規制され、大規模になり、より画、目標設定、データ収集、意思決定、

厳しい監視の対象となり、急速に変化する

および報告のための、適切な構造、環境（規制、商業等）で業務を行うようにシステム、およびプロセスの、内容、なり、また、類似の要因に対処するように

設計、および導入に関して、助言、

なると、個人、チーム、システム、あるいフレームワーク、および要件を提供

はその他の資源を、労働力の振り分けや組する。

織設計の正式な構成要素としてコンプライ◦ＥＳＧの外部要件や基準、および社

アンスに配分する必要性があると判断する

内方針やターゲットの遵守を達成す場合が多い。このような資源は、組織体にるためのリスクを評価する。

よっては、例えば、特定のコンプライアン◦ＥＳＧの成果を達成する上での影響

スのモニタリングや専門家への外部委託なを測定、モニタリング、および報告

どを通じて、外部に求めることもできる。

するために採用すべき基準、フレー

２．３ラインモデルの「６つの原則」を適用

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

してコンプライアンス関連の役割を評価す

ンス部門の責任者は、実際には、法律や規る場合、その役割が責任を負う成果を検討

制の要件に従って、経営幹部（例：ＣＥＯ、することが有用である。

最高リスク責任者、最高執行責任者、法務

■

■

■

■

製品やサービスを提供する際に、法律、顧問など）や、統治機関やその委員会など、規制、契約、方針、手続、行動規範、

組織体内の多くの異なる役割のいずれかにまたはその他の要件の遵守を達成する

直属することがある。場合によっては、コこと。

ンプライアンスは、経営管理者の一部であ専門家による監督を行うこと。（特にりながら、ＣＡＥに直属することもある。

総体で、またはポートフォリオベース

報告経路の適切性は、３ラインモデルや各で）リスクを評価し、リスク・マネジ

法規制要件に従って責任を評価する中で、メント活動を実施すること。適用され部分的に判断される場合がある。

る行動規範、または基準、要件、およ５．コンプライアンスの役割やコンプライア

び期待に従って組織体全体のコンプランス部門の責任者は、１つ以上の取締役会

イアンスを推進し達成するために、第の委員会または１人以上の取締役会の委員

１ラインへ信頼に足る異議を唱えるこ会議長に対して、報告経路や報告に関すると。

アカウンタビリティを持つ場合がある。しコンプライアンス・プログラムの妥当かし、これは経営管理者からの独立を意味

性と有効性を評価すること。

するものではなく、内部監査による独立し組織体全体のコンプライアンス・プロ

たアシュアランスの必要性に取って代わるグラムとその構成要素の有効性についものでもない。

て、専門家として異議を唱えること。

６．個々のコンプライアンスの役割やコンプ

３．組織体内の単一のコンプライアンスの役

ライアンス部門の責任には、広義のコンプ割や部門が、その組織体のすべてのコンプ

ライアンス・リスク・マネジメント、モニライアンス関連事項を扱うわけではない場

タリング、テスト、分析、評価、助言、ア８合がある 。このような場合、組織体は、シュアランス、方針設定、システムやコン

コンプライアンスの役割や部門の範囲を明

トロールの開発と導入、経営判断、監督、確に文書化し、どの役割が他の要件や期待および研修を含むが、これらに限定されなに対して責任を持つかも明確にすべきであ

い場合がある。

る。このことは、一人の個人に複数の責任

７．コンプライアンスの役割や部門には、製と役割が割り当てられ、一部の責任が外部品やサービスの提供に密接または直接的にに委託される可能性がある小規模な組織体

関連する責任が含まれる場合がある。このにとっても、様々なコンプライアンス活動

場合、その役割における責任、権限、およを担当する複数の役割や部門がある大規模びアカウンタビリティを明確に文書化するな組織体にとっても、同様に重要である。

必要がある（例えば、取引の禁止や経営判

４．コンプライアンスの役割やコンプライア

断による拒否権の行使により、製品やサー

８

倫理、サステナビリティ、財務報告、データプライバシー、人事、法的義務などを例に挙げると、コンプライアンスを達成するための独自の社内外の資源が存在したり、コンプライアンスの特定の要素に対して追加の監督やリスク・マネジメントを提供したりする場合がある。例えば、環境、社会、ガバナンス（ＥＳＧ）の進化により、様々な組織体において、ＥＳＧの幅広い側面のコンプライアンスに焦点を当てた新しい役割、責任、活動、および部門が見られるようになってきている。

月刊監査研究2022. 5（No.582）

35

内部監査人協会（ＩＩＡ）情報

ビスを提供する上でのコンプライアンス違その実施の責任は、組織体の様々な部分に割反を防止する力）。

り当てることができる。コンプライアンス活

８．第１ラインと第２ラインの役割は分ける

動の責任者は、コンプライアンスを構成するべきである。第１ラインの者は、自らが取期待される成果を定義し、その成果の達成をるリスクを所有すべきであり、第２ライン実証するための適切な評価基準を定義する必の者は、第１ラインの意思決定や活動に対要がある。

して信頼に足る異議を唱えながら、第１ラコンプライアンスを構成する活動には、以インが所有するリスクの管理を支援するフ下が含まれるが、これらに限定されるものでレームワークや基準を定めて監督すべきではない。

ある。実際には、法域や業界の要件、なら■

関連する外部の法律、規則、および規制、びに組織体の規模、複雑さ、およびその他

ならびに内部の方針、基準、手続、およの要因によって、役割が混在する場合があび行動規範と、組織体の目標に合致したる。その場合、それらの役割の両立性を評許容される行動を特定する。

価して関連するリスクを軽減しなければな■

関連する外部の法律、規則、および規制、らない。そのためには、役割の中で相容れならびに内部の方針、基準、手続、およない一連の活動から生じるリスクを効果的び行動規範と、組織体の目標に合致したに軽減するために、役割の構成を調整する

許容される行動を、遵守しているか否か必要があるかもしれない。リスクを管理すを判断するための適切なリスク評価基準

る責任は、第１ラインの役割の一部であり、経営管理者の範囲内に存続する。

を決定する。
■

関連する外部の法律、規則、および規制、

９．組織体がコンプライアンスの義務に充てならびに内部の方針、基準、手続、およる資源をどのように構成するかにかかわらび行動規範と、組織体の目標に合致したず、経営管理者は、組織体が統治機関の設許容される行動を、遵守しているか判断定したリスク選好の設定値内で、その要件するために、将来および新たに発生するや期待を確実に満たすようにする責任を保リスクを含むリスク評価を実施する。

持する。

■

関連する外部の法律、規則、および規制、

10．第２ラインのコンプライアンスの役割のならびに内部の方針、基準、手続、およ

本質的な責任は、組織体のコンプライアン

び行動規範と、組織体の目標に合致した

ス・プログラムの有効性と組織体のコンプ許容される行動の、遵守を達成するため

ライアンス要件や期待を達成するために必のプロセスとコントロールを設計し、策要な取り組みを評価することである。

定して導入する。
■

関連する外部の法律、規則、および規制、

付録：コンプライアンスの役割と活動に対する責任の調整

ならびに内部の方針、基準、手続、およ

コンプライアンス活動は、組織体のガバナのプロセスとコントロールを実施し、維び行動規範と、組織体の目標に合致した許容される行動の、遵守を達成するため持して管理する。

ンス、リスク・マネジメント、およびインターナル・コントロール活動にとって不可欠な■

関連する外部の法律、規則、および規制、要素である。コンプライアンスの達成、支援、ならびに内部の方針、基準、手続、およチェック、および確認のために必要な行動とび行動規範と、組織体の目標に合致した

36

月刊監査研究2022. 5（No.582）

内部監査人協会（ＩＩＡ）情報

■

■

■

■

■

■

■

■

■

■

■

■

■

許容される行動を、遵守するためのプロ

各役割の責任と望ましい成果が明確である

セスとコントロールを評価し、テストしことが重要である。これらの役割や活動の中てモニタリングする。

には、３ラインモデルで詳述されているようコンプライアンス・リスクに関して、経に、取引の承認、顧客の承諾、または第３ラ営管理者に対して信頼に足る異議を唱えインの責任の範囲内で他の事業リスクについる。

ての意思決定を行うなど、他の役割と相容れコンプライアンス・リスクを管理して軽ないものもある。内部監査がこのような役割減する。

を担うよう求められる場合、統治機関や監査

コンプライアンスとコンプライアンス違委員会の同意、影響を受ける領域で独立した

反の事例を判断する。

アシュアランスを提供する第三者の利用、おコンプライアンス違反の事例を通知してよび必要に応じて規制当局の承認など、重要上申する。

なセーフガードが必要とされる。

外部や内部の要件に従って、コンプライ

さらに、コンプライアンスに基づいて製品

アンスとコンプライアンス違反の報告をやサービスをクライアントに提供するという行う。

成果を達成しようとする最善の意図があってコンプライアンスを促進するカルチャー

も、組織体は、製品やサービスを提供する際を育む。

にコンプライアンスを達成し、監督と広範なコミュニケーション、研修、プロモーシ

コンプライアンス・リスク・マネジメントを

ョン、および教育を通じて意識を向上さ提供するための役割を特定し、その責任を果せる。

たすように注意を払わなければならない。職

コンプライアンスに関する相談や助言を務分離と独立性の基本原則を適用すれば、役行う。

割における相容れない活動が特定された場合倫理プログラムや内部告発プログラムをに生じるリスクを軽減することが期待され確立して維持する。

る。

コンプライアンスに関する研修、教育、同様に、製品やサービスの提供を支えるリおよび意識向上策を策定して実施する。

スク・マネジメントやコントロール活動にギ

規制当局と組織体の間の規制連絡役を務ャップや不備があると判断した場合、監督のめる。

役割を担う者は、監督から実施へと自らの範専門機関や業界団体との関係を構築して囲を拡大しようとする誘惑に駆られることが維持し、組織体やその活動が遵守すべき、ある。その逆もまた真なりで、第１ラインは、あるいは遵守することを選択できる関連

監督やリスク・マネジメントの役割を担う者

基準、規範、またはガイドラインを特定に過度の信頼を置くことがある。これでは、するとともに、ベンチマーク情報の収集

客観的な監督の効果が損なわれる。このようと報告を円滑に進める。

な場合、ギャップや不備、および経営管理者

インフラのユーザーや取引先に対して適の改善措置策を特定し、上申し、モニターす

合すべき要件や期待を定めて要求する可ることが、監督役の責務となる。これらの要能性のある、業界のインフラ組織との連素は、定められたガバナンスの役割と責任に絡関係を確立して維持する。

従って調整し、文書化しなければならない。

月刊監査研究2022. 5（No.582）

37