Special Session 2015

特 別 講 習 2015

リスクマネジメント協会 2015年次大会 RIMS JAPAN CHAPTER CONFERENCE

リスクマネジメントと内部監査連携によるリスクマネジメントの強化
Risk Management and Internal Audit:
Forging a Collaborative Alliance2015 年度RIMS 理事長

リチャード・ロバーツ・ジュニア
Richard Roberts Jr.

リック・ロバーツ 自己紹介
グローバルなリスクマネジメント組織であるRIMS の 2015 年度

RICK ROBERTS INTRODUCTION
Good morning. Thank you so much for inviting me here

理事長として、本日こちらで講演する機会をいただき、誠にありが

today. It is a tremendous honor to represent the global risk

とうございます。

management community as RIMS 2015 President.

私は、RIMS の会員となり既に 25 年、理事会の役員となり7 年

I have been a member of RIMS for 25 years and on its Board ofになります。本日は、RIMS の理事長として先行きが不透明な現Directors for seven.

代社会で、リスクマネジメント専門家であるみなさんに、より一層ごAs president, I want to focus on how this Society can better

活躍いただくために、RIMS に何ができるか？ という視点でお話

prepare risk professionals for the uncertainties that lie ahead.

させていただきます。私は、有効的なリスクマネジメントを実施す

And, I strongly believe we can accomplish this by strengthening

るには、私たちの横のつながり、ネットワークを強化することが重our networks.

要であると強く思います。
まずは、RIMS の国際的ネットワークです。RIMS は、グローバ

First, RIMS’ International Network. We are a global Society.

ルな組織です。2015 年も、引き続き世界多くの国々で、このようなIn 2015, RIMS will continue to review opportunities to reach

講演の機会をいただき、ネットワークを拡大したいと考えています。

new international audiences.

２つ目として、私たちが遭遇するリスクが進化する中、リスクマ

Second, as the risks we encounter continue to evolve, the ideas

ネジメント担当者の次のステップに関する考えや展望を持つこと

and perspective of the next generation of professionals will

は、私たちにとって必ず資産となります。躍進するリスクマネジメ

certainly be an asset. That Rising Risk Professional network is

ント担当者のネットワーク作り、それが今私たちが力を注がなくて

one we must focus on.

はならないことなのです。
そして最後に、RIMS 組織内のネットワークです。私たちの関Lastly, RIMS’ Internal Network. To remain relevant and to

連性を保ち、将来を先取りした情報を発信し、会員のために戦略

continue to deliver thought-leading content, our infrastructure

的判断をより素早く決定するには、私たちの組織の基盤が強く、

must be strong and nimble in order for us to make strategic

機敏でなければなりません。

decisions for our members, faster.

私が RIMS に加入して以来、企業が向き合うリスクはますます

Throughout my involvement with RIMS, the risks that our

複雑化しています。それらのリスクは、組織に即座に影響を与え

organizations face have become increasingly more complex.

るようになり、結果として、準備ができていないリスクマネジメント

They impact our organizations faster and, as a result, can leave

9

2015_9-19_特別講演.indd

9

2015/02/23

12:02:57

Special Session 2015
担当者は、リスクが発生した際、自分の仕事である機会の創出

the unprepared risk professional apprehensive about leveraging

や脅威の軽減ができないのではないかという心配に追い込まれ

new opportunities and mitigating threats the moment theyています。

arise.

リスクマネジメント業界全体は、リスクマネジメント担当者、対策

The risk management industry, as a whole, benefits from RIMS’

提供者、熱心で献身的なボランティア、スタッフというRIMS のネッ

expansive network of risk practitioners, solution providers andトワークから多くの恩恵を受けています。そして、私の理事長とし

its dedicated and committed volunteers and staff. My ultimateての最終的な目標は、RIMSをみなさんにとってより良い組織へと

goal as President is to make this Society even better for you.

発展させることです。
テーマの概要TOPIC INTRODUCTIONRIMS がネットワークを強化する必要があるのと同様に、リス

Just li ke we need to streng t hen R IMS’ ow n net work s,

クマネジメント担当者と内部監査担当者は、相互に協力すること

risk professionals and internal auditors have an amazing

により組織内に驚くほど強力で広範なネットワークを築くことがで

opportunity to strengthen and broaden their internal networks

きます。

by collaborating with each other.

この異なる業務間によるネットワークは、組織にさらに大きな価

These function-to-function networks can add even greater

値を創造することが可能になります。リスクマネジメント室と内部

value to the organization. With risk management and internal

監査室が連携することにより、リスクマネジメントのプロセス（リスク

audit functions working together, senior management can beの認識、分析、評価した後に戦略的目標への対策設置）が実行

assured that processes are in place to identify, analyze, and

され、上級管理職（取締役）の責任である戦略的目標の達成に

evaluate risks and solutions that advance strategic objectives.

向け前進することが保証されます。
リスクマネジメントと内部監査の関係は非常に興味深いものであり、軽視されるべきものではありません。
本題に入る前に、私の経歴と私の会社におけるリスクマネジメ
ントと内部監査の関係をご説明させていただきます。

The relationship between risk management and internal audit
is an interesting one and is one that should not be neglected.
Before I begin, I think it is important for you to understandmy professional background and the relationship between risk
management and internal audit within my organization.

私の役職は、エンサイン－ビックフォード社（以下、EBI 社）のリProfessionally, I am the Director of Risk Management andスクマネジメント及び社員福利厚生を担当する部署の部長です。

Employee Benefits for Ensign-Bickford Industries, Inc. (EBI).

EBI 社は、多岐にわたる事業展開をしています。その会社のEBI has a large spectrum of business operations. And, as its

リスクマネジメント担当者である私の責任範囲は、リスクファイナン

risk management leader, I am responsible for developing andシング及び ERM（エンタープライズリスクマネジメント）を開発、管managing its risk financing and enterprise risk management

理することです。ERM の活動は、以下のような現場が含まれてprograms that includes operations in:

います。

●

explosive assemblies for aircraft;

爆発物を含む飛行機の組み立て●

spacecraft and defense products;

宇宙船や軍事関連製品●

pet food additives;●

ペット食品の添加物●

chemical toll manufacturing; and●化学物質取り扱い器具の製造●

real estate management and development.

●

不動産の管理と開発●●

また、私は EBI 社及びその子会社の戦略計画において、リス

I also developed a Strategic Risk Assessment model for EBI and

ク評価モデルを開発しました。3 年前、リスクマネジメント室と内部

its subsidiaries that we use during the organization’s Strategic

監査室が連携し、我社の ERMフレームワークを開発しました。

Planning Process. Three years ago, internal audit and risk
management combined forces to develop a framework and model
for an Enterprise Risk Management (ERM) program for EBI.

この連携による利点は、全社的に業務プロセスの中にリスク10

2015_9-19_特別講演.indd

One of the benefits of this collaboration was involving the2015 March

10

2015/02/23

12:02:58

特 別 講 習 2015

マネジメント手法（プロセス）を組み込むことができたことです。

entire organization in the risk management process. We have

私たちは、各事業体から担当者を招集し、リスク評価方法の開engaged people from the business units to join the team in発チームに参加してもらいました。各事業体のリーダーにこの

developing our assessment tool. And, because those unit

チームに参加してもらうことにより、現場の理解はとてもスムーズ

leaders were involved and part of the development process,に進みました。

their acceptance came very quickly.

私たちは、ビジネスリーダー達が使用している教育期間を短縮

We modified the tools that business leaders used to shorten

するツールを修正して活用しました。このツールにより、初回のリス

their learning curve. These steps sped up the first risk

ク評価時間を9 から12 ヶ月短縮することができました。

assessment by 9 to 12 months.

リスクマネジメントの現場への導入が全て完璧に進んだとまで

I can’t say that the implementation has been perfect but

は言いませんが、全体的にはうまくいったと言えます。各事業体

overall it has gone well. The business units have embraced theはリスク評価手法をよく理解してくれました。各事業体がリスク評

assessments. We have seen a dramatic difference in the types of

価手法を会得したおかげで、これまでには認識されなかったリス

risks that are identified. Specific action plans are put in place

クが数多く上がりました。リスクを管理するための具体的な実行

to manage the risks. It has helped us deliver on set strategic

計画が設置されました。そして、このことにより全社的に戦略目標

goals.

を浸透することが可能となりました。
私たちにとっては、破壊的な天候のみであったリスクの対象が、For us, there has been a strong move away from just working

それ以外のリスクへと進展した、強力な第１歩となる動きでした。

on catastrophic weather type of risks. We use risk management

我社では、以下のようなリスクに対しリスクマネジメント手法を用い

methodologies to look at risks such as:

るようになりました。

●

speed to market with new product development;

市場に即した新製品の開発●

issues with global expansion;

グローバル化の拡大に関連する事象●

cyber-security and its impact globally and to company

サプライチェーン

●supply chain;●

コンプライアンス●

compliance;●

ほとんど全てのリスクマネジメント担当者が対応している卓越●

and other more prominent risks that almost all risk●●●

サイバーセキュリティー、その世界的影響と我社の風評リスク

●

したリスク

reputation;

professionals are dealing with.

この拡大した視点で全社的な業務を見ると、リスクマネジメント

With this expanded scope, the work between risk management室と内部監査室の業務はさまざまな面で重なります。この時点で

and internal audit overlaps in so many ways. Now we haveは、２つの異なる事業部門がリスク報告書を作成する責任がある

two different business functions responsible for creating

ことになります。この点だけでも、この異なる２つの部署が統合すrisk reports. That statement alone supports the need for this

るべき理由になりますが、同時に組織内においていくつかの混乱

collaboration but, at the same time, implies that there will beや乗り越えなければならない障壁が発生する可能性があること

some confusion and challenges to overcome.

がご理解いただけると思います。
このようにリスクマネジメント室という１つの部署が、内部監査室

For any risk management group or internal audit group lookingという他部署と連携するためには、それぞれの役割、責任範囲

to make this connection with the other, it’s important to defineを定義する必要があります。

roles.

数年前、RIMSと内部監査協会（IIA）は、相互関係の理解

A few of years ago, RIMS and The Institute of Internal Auditorsを深めることを目的に、どの作業（業務）が効率的になるのか、– The IIA– worked together to further understand this

発生する典型的な障壁は何か、そして連携により期待できる効

relationship, what works well, typical challenges and the value

率性（価値）は何かを話し合いました。

that can be found in collaboration.

RIMSとIIA の代表者は、４つの異なる組織を共同で調査しTogether, we studied four different organizations. Our findings

ました。リスクマネジメントと内部監査の連携は、強いリスクマネ– that collaboration between the risk management andジメント体制の確立というステークホルダーの期待に合うレベル

internal audit does indeed lead to stronger risk practices in11

2015_9-19_特別講演.indd

11

2015/02/23

12:02:58

Special Session 2015
へ大きく進展することが可能であるという私たちの調査結果は、

meeting stakeholder expectations– resulted in an Executive

結果的に「リスクマネジメントと内部監査：連携によるリスクマネ

Report titled “Risk Management and Internal Audit: Forging a

ジメントの強化」というエグゼクティブレポートにまとめられ、報告

Collaborative Alliance” (The Executive Report).

されました。
２つの異なる部門が連携し、相互の資源、スキル、経験を有効

The two functions make a powerful team when they work

活用しあうことにより、非常に力強いチームを結成することができ

together and leverage one another’s resources, skills sets andます。エグゼクティブレポートでも強調しているとおり、この２部門

experiences. As highlighted in the Executive Report’s caseの連携は、新しく発見された効率性や判断プロセスの向上、そしstudies, this relationship leads to newly discovered efficiencies,て結果の向上にもつながります。本日は、この調査結果内容をいbetter decision-making and improved results. I would like to

くつかご紹介したいと思います。

share a few of those findings with you today.

リスクマネジメント室と内部監査室の役割

Roles of Risk Management and Internal Audit

これら２つの部門の役割について、通常のコミュニケーションレ

Often, there is confusion as to the roles of each group, with

ベルではしばしば混乱（誤解）があります。これらの混乱は、２つ

little natural communication. This confusion can become aの部門が連携する際に大きな障壁になりかねません。そしてこのmajor obstacle for collaboration and, subsequently, inhibit the

障壁は、一貫したリスク報告書を提出しようという意欲を妨げる結willingness to reach and deliver consistent risk reports. A few

果となります。組織内において、継続的に質問される内容には、

of the questions that continue to be asked within organizations

以下のようなものがあります。

include:どの部署が、ERM のリーダーになるのか？

●

Who should lead Enterprise Risk Management?

２つの部門の責任範囲は、どのように分けるのか？

●

How does each functional area fit into the equation?

内部監査室は、どのようにしてリスクマネジメント活動の補助●

How can internal audit both assist and independently●●●と独立部門としての評価を両立できるのか？
このような質問が繰り返し起こるということは、現在両部門の業

evaluate risk management activities?
The fact that these questions continue to be asked highlights an

務内容の理解に混乱があるということを物語っています。この混

apparent role confusion.

乱を整理するために、現状における組織のリスクマネジメント担当

To try to clarify this confusion, let’s take a look at the evolution者の役割とリスクマネジメントの変化について考えてみましょう。

of risk management and the current role practitioners aretaking within their organizations.

今から15 年から20 年前を思い出してみましょう。リスクマネ

If we look back 15– 20 years, risk managers approached theirジャーの役割は、組織の資産と収支報告書のバランスを保全す

duties with an eye toward protecting the organization’s assets

ることでした。当時のリスクマネジャーは、保険や契約、業務関連

and balance sheet. Risk managers employed this traditional/

リスクを中心とした「伝統的／防御的リスクマネジメントの考え」

defensive risk management approach that focused onを基盤に活動していました。

insurance, contractual and transaction risks.

リスクマネジメントにおける次の大きな変化は、いくつかのリスク

The next major evolution was a movement to combine a few

管理機能を統合し統合的／進化型リスクマネジメントとして、付

risk functions into an integrated/advanced risk management

保可能なハザードリスクを対象としたリスクマネジメントへの動きでfunction, focusing primarily on managing insurable hazard

す。このころから前向きなリスクマネジメントの考え方が始まりましlosses. This starts to get into that forward-thinking area. What

た。リスクが顕在化し、企業に影響を与える前に、私たちは何がcan we do about the risks before they impact our organization?

できるか？という考え方です。
そして、現代の ERMというリスクマネジメントでは、リスクを広範な視点、深さ、反響という考え方で捉えています。

The more contemporary risk management function, theenterprise risk management approach, deals with risks froma much broader scope, depth and response perspective.

現在多くの企業では、率先してリスクマネジメント活動を実施しFor many, risk management is now being used proactively.

ています。ERM は大きく進化し、企業の戦略に直結するさまざま

Enterprise risk management offers a more advanced process

12

2015_9-19_特別講演.indd

2015 March

12

2015/02/23

12:02:58

特 別 講 習 2015

なリスクを管理するプロセスや手法を提供しています。

and method to manage unwanted variations linked directly tocorporate strategy.

1999 年、IIA は内部監査に関する定義を承認しました。その内Back in 1999, The IIA approved a definition of internal

容は以下のとおりです。
（一般財団法人日本内部監査協会 HPより）auditing. It explains it as:『内部監査は、組織体の運営に関し価値を付加し、また改善す“An independent, objective assurance and consulting activity

るために行われる、独立にして、客観的なアシュアランスおよびコ

designed to add value and improve an organization’s operations.

ンサルティング活動である。内部監査は、組織体の目標の達成に

It helps an organization accomplish its objectives by bringing

役立つことにある。このためにリスクマネジメント、コントロールおa systematic, disciplined approach to evaluate and improve

よびガバナンスの各プロセスの有効性の評価、改善を、内部監査

the effectiveness of risk management, control and governanceの専門職として規律ある姿勢で体系的な手法をもって行う。』

processes.”

こちらのスライドは、IIA が発行した「内部監査の専門職的実On this slide we have an 18-elelment fan graphic taken from

施の国際基準」から取り出した 18 項目です。扇には、ERM におThe IIA’s “International Standards for the Professional Practice

ける内部監査担当者のコアな役割が記載されています。この中of Internal Auditing” paper. The fan depicts the core rolesには、内部監査担当者が責任を持つ業務、そして同時に内部監

of internal audit in regards to ERM, the roles that it could be

査担当者が責任を持つべきものではない業務（灰色の部分）
もあaccountable for, as well as the roles that internal audit should

ります。

not undertake.

内部監査担当者の役割として適切かどうかを判断する際にThe key factors to take into account when determining whether

重要なことは、その業務を行うことで、内部監査の独立的及びan activity is appropriate for internal audit is to gauge whether

客観的な立場を保持することができるかどうか、という視点で

the activity raises any threats to the internal audit’s ability

す。そして、その業務を遂行することにより、組織におけるリスク

to remain independent and objective. And, whether it willの管理、コントロール、統治という企業目的を向上できるかどうか

improve the organization’s risk management, control andを考えます。

governance.

IIA が発行した基準では、内部監査担当者は扇の中心にある

The IIA’s paper notes that internal audit should perform at least

７つの中の最小でも１つのリスクコンサルティング活動を実施する

one of the seven risk consulting services in the center of the

必要があると記しています。

fan.

リスクマネジメントと内部監査の連携をサポートする要因として、

What is encouraging is the two functions’ definition of ERM.

RIMSとIIA の ERM の定義があります。
RIMS：ERM は戦略的ビジネスの統制であり、広範な視点に

R I M S: E n t e r p r i s e r i s k m a n a g e m e n t i s a s t r a t e g i c

おけるリスクを認識し、部門相互に関連する統合されたリスク

business discipline that supports the achievement of anの影響も管理し、企業の目標達成をサポートする。

organization’s objectives by addressing the full spectrum of
its risks and managing the combined impact of those risks
as an interrelated risk portfolio.
www.rims.org/resources/ERM/Pages/WhatisERM.aspx

IIA：ERM は、全社的に組織の目標達成に影響を及ぼす機会や

The IIA: Enterprise risk management is a structured,

脅威に関し、それらを認識、評価し対応を判断または報告するた

consistent and continuous process across the whole

めの、体系的であり全社横断的で継続的なプロセスである。

organization for identif ying, assessing, deciding on
responses to and reporting on opportunities and threatsthat affect the achievement of its objectives.
www.theiia.org/guidance/standards-and-guidance/ippf/
posi¬tion-papers/

これらの定義は、リスクマネジメント担当者と内部監査担当者

These definitions reveal how similarly risk managers and13

2015_9-19_特別講演.indd

13

2015/02/23

12:02:58

Special Session 2015
が、企業全体のリスクポートフォリオを進めるには、縦割り（部門

internal auditors are to thinking about ERM; about breaking間の障壁）を取り除く必要があるという点で、ERM に関し非常にdown silos to enhance the organization’s risk portfolio.

近い理解をもっていることがわかります。
どちらの部門も同じ目的を持っています。その目的とは、組織

Both groups have one goal in mind and that is to help theirが戦略目標を達成するためには、リスクを軽減または最小化する

organization achieve strategic objectives by either mitigating

プロセスを組織内に構築し、それが確実に運用されていることをand leveraging risks and assuring the processes are in place and

保証することです。

working.

RIMSとIIA の共同で発表したエグゼクティブレポートでは、

In the joint Executive Report, four major U.S. businesses

米 国 主 要４社のリスクマネジメント室と内 部 監 査 室の連 携 成offered their experiences and processes on how their risk

功 事 例を報 告しました。
（４社 名：Cisco Systems, Hospitalmanagement works with internal audit: Cisco Systems,

Corporation of America (HCA), TD Ameritrade andHospital Corporation of America (HCA), TD Ameritrade andWhirlpool Corporation.）この４社ではそれぞれ経験した内容

Whirlpool Corporation. And, while each of their experiences

が多少異なりますが、4 つの企業の共通点は以下のとおりです。

differed, certain common practices emerged:

内部監査計画と全社的リスクアセスメントを連動した。
１．

1. First, was that they linked the audit plan and the

２．両部門が持つ資源をいつでも、どこでも共有することは非
常に有意義である。

enterprise risk assessment.
2. There was also evidence that sharing available resources

３．両部門の業務内容や役割、責任を相互活用することにより、各業務に深みと一貫性が生まれた。

wherever and whenever possible was highly beneficial.
3. Cross-leveraging each function’s competencies, roles

４．
最後に、各企業による戦略リスクの評価、モニタリング方法には共通性があった。

and responsibilities provided depth and consistency.
4. Fi na l ly, t here wa s a lso col laborat ion on how t heorganizations assessed and monitored strategic risks.
Linking the Audit Plan and

内部監査計画と全社的リスク評価を連動

the Enterprise Risk Assessment

リスクマネジメント室と内部監査室の業務で、最も一般的な共Perhaps the two most common products of internal audit and

通業務は、リスクを基本とした内部監査計画と全社的リスクアセ

risk management functions are the risk-based audit plan and

スメントの作業だと思います。通常、両部門は経営者に提出する

enterprise risk assessment. Usually the two business functions

リスク評価の最終報告書を作成します。

have a final report they must deliver to leadership.

内部監査計画書は、一定期間における内部監査活動の予定

The audit plan defines the scope of work for the internal audit

を記載します。リスクマネジメント室が担当する全社的リスクアセ

function over a given time period. The risk management

スメントは、企業に潜在しているリスクを可視化し、優先順位付け

function’s enterprise risk assessment is designed to get a senseをすることが業務です。

of the risks facing the organization and to prioritize them.

今回エグゼクティブレポート作成のために調査した４企業では、
これらの２つの書類を統合していました。
●●

Cisco Systems では、全社的リスクアセスメントと内部監

All of the organizations that shared their practices for thedevelopment of the Executive Report did link the two plans.
●

査年次アセスメント計画を統合し、18ヶ月の計画書を作成し

assessment and internal audit’s annual risk assessment toます。

drive the 18-month audit plan.

HCA は、ERM のプロセスで認 識された top10 のリスク●マップを内部監査委員会の年間内部監査計画の中に統合

through the ERM process.

TD Ameritrade は、リスクマネジメントのフレームワークか●ら学んだ内容を、内部監査の年次計画の開発に取り入れ

audit plan.

Whirlpool の内部監査チームは、全社的リスクアセスメントを

14

2015_9-19_特別講演.indd

TD Ameritrade leverages what it learns from the risk
management framework in the development of its annual

ています。
●

HCA includes a slide in its annual audit plan presentation
to the audit committee that maps the top 10 risks identified

しています。
●

Cisco Systems uses its consolidated enterprise risk●

And, Whirlpool’s internal audit team uses the enterprise2015 March

14

2015/02/23

12:02:58

特 別 講 習 2015

年度リスクアセスメントプロセスと内部監査計画書に取り入れ

risk assessment to inform both its annual risk assessmentています。

process, as well as the audit plan.

リスクアセスメントを内部監査担当者と共有することは、●重複作業を解消します。私たちは、常に多忙で時間に余裕

Sharing risk management assessments with internal audit will:●

Eliminate redundancies. We’re all pressed for time. From aがありません。リスクマネジメントの立場から申し上げると、既risk management perspective, the ability to access and utilizeに完了している業務の成果物を使用できるということは、当work that is already being done is unquestionably helpful.

然のことながら効率的です。
●

企業における共有のリスク及び全社的リスクを確認すること●ができます。そのためには、経営陣（取締役）レベルの独立

It also produces a common and aligned view of theorganization’s risk profile. For this, establishing a separate

したリスクマネジメント委員会を設置することから始めるのがboard level risk management committee can be a good

良いかもしれません。いくつかの企業では、リスクマネジメント

approach. At some organizations, a Board leader whoの担当役員が内部監査委員会に出席することもあり、その逆serves on the risk management committee also serves onもあります。私は、これまでに両委員会の参加メンバーが重the internal audit committee meetings and vice versa. I’ve

複するケースも見かけました。もう１つのご提案は、リスクマネ

also seen where some of the members of the committees

ジメント委員会と内部監査委員会が、年に１、２回リスクアセ

will overlap. Another recommendation is to have the two

スメントの結果を確認するために合同で会議を行うということ

groups meet together– whether it’s two times a year orです。それには、内部監査室の業務が日々実施されているリ

just once– to review the risk assessment results. This is

スク軽減対策と同調していることが重要です。

important so internal audit’s work and that the day-to-day
risk mitigation activities are in sync.

●

そして、これらのアセスメントを共有することでリスクマネジメン

トに係る言語を統一することが可能になります。

●

And, sharing these assessments helps to embed a consistentrisk management vocabulary.

RIMS では、このテーマに関する調査をインターネットで行いまWe conducted a poll during a RIMS webinar on this subject.

した。その結果、66％の回答者が、内部監査室とは別の報告書

66% of the risk professionals surveyed said they conductを提出している、28％の企業では統合した報告書を提出し、6％

sepa rate r isk assessments, 28% used a combi ned r iskの企業は、内部監査室がないと回答しました。

assessment and about 6% said that their organization did nothave a counterpart.

この結果は、特に驚くべき結果ではありません。統合したリスク

These finding are not terribly surprising. The 28% using a

アセスメント報告書を提出していると回答した企業が全体の 28％

combined risk assessment is higher than we thought as theであったことは、私たちが予想した数値以上でした。なぜなら、多two functions tend to confuse the organization by conducting

くの企業ではこの２つの報告書を別々に提出するため組織を困

separate assessments.

惑させているという話をよく耳にするからです。
この社内における困惑を解消する方法があります。多くの企

What can be effective, and many organizations are already

業では既に実施している方法なのですが、この２つの報告書をusing this approach, is to conduct two separate assessments

提出時には別々に提出するのですが、最終報告書の段階で統but then collaborate on the final results. They are then able to合する方法です。この方法は、初期段階におけるそれぞれの部

use the initial findings as data points to guide the discussion

門のリスク認識内容を、議論を進めるためのデータとして活用し、

and work through gaps so that both groups have a common

検討を進める段階で相互の認識の違いを確認、検討し、その企

understanding of the organization’s risk profile.

業のリスクプロファイルとして共通の理解をもつことです。
双方の部門が、組織のリスクマネジメントに対し、目標や独立

This approach might be preferred, especially since each group

的見解における最終結論を提出する必要がある場合は、この方

has a professional obligation to draw an objective, independent法のほうが好まれるかもしれません。

conclusion on the company’s risk management.

私の会社では、内部監査室が今年度または来年度の内部監

At my organization, we now meet at least monthly to ensure
15

2015_9-19_特別講演.indd

15

2015/02/23

12:02:58

Special Session 2015
査計画に組み込むべきリスクについて検討するために、最低でもwe are discussing any risks that internal audit should be

月に１回は会議を開きます。このミーティングは、両部門による重working into their audit plan for the year (or into next year).

複作業がないことを確かめる目的も兼ねています。両部門で同じ

The meetings also ensure that duplicative efforts are not being

リスクが認識されていた場合は、リスクアセスメントが重複しない

made. If the same risk is identified in both groups, we develop

ように調整します。

a plan where we are not duplicating risk assessments.

内部監査室と共同で、リスク管理目的を達成するため各事業

Together, we develop a unified approach to ensure success

体がリスク対策として設置されたものが、確実に実行されている

and to ensure that the action plans that the business units

ことを確認します。この作業は、リスクの認識、対策の実施、内implement are actually being performed. This will round out

部監査室の計画による対策実施の監査と、リスクマネジメントプロ

the entire process so that the risk is identified, an action plan

セスの総括となります。この内部監査室による監査により、計画しis implemented and then internal audit– through their audit

た目的が期限内に達成されたことを確認します。

plan– follows up to validate that the planned efforts are being
accomplished in the time frame promised.
Share Available Resources Wherever

両部門が持つ資源をいつでも、どこでも共有する
リスクマネジメント担当者は、少人数により限られた時間内でand Whenever Possible
Risk professionals are being asked to integrate ERM programs

ERM を全社の業務に組み込むことを求められています。このwith limited resources– specifically time and staff. This

業務は、組織全体の業務現場から情報を収集する作業が必要

makes the process of gathering information from businessです。

operations across the enterprise challenging.

しかし、内部監査室またはリスクマネジメント室で、社内におけNo one person in internal audit or risk management has all

る全業務現場の知識があるスタッフは１人もいません。そのためof the knowledge. When working with management, the

私たちは、管理職や事業現場、取締役と業務を行う際、私たち

business operations, the Board and executive management,が利用できる資源は全てフル活用しなければ、仕事はできないの

it’s critical that we leverage the resources that are available toです。これらの資源は、各課題における社内の専門家で、私た

us. Those resources are the subject matter experts within our

ちの業務に複数の能力（補助）を提供してくれます。

organizations who can bring multiple capabilities to the table.

例 え ば、Whirlpool 社 の リス ク マ ネジ メント 室 長 Scot

For example, Scot Schwarting, Whirlpool’s director of risk

Schwarting 氏 は、現 職を開 始した１年目には、50 名 のマネ

management said that, in his first year at the company, he wasジャーに彼らの職責範囲で実際に影響が及んだリスクの顕在化

able to interview 50 operations managers about the exposures

事例についてインタビューすることができたのですが、同氏は内that impacted their respective business areas.

部監査室との協力体制を構築したことにより、現在では 150 名近Now– because of the relationship he has fostered with internal

いマネジャーにインタビューできているそうです。

audit– that number is closer to 150 managers.

地球の果てのようなところに施設がある、または事業を行ってThink about the cost savings for global entities with operations

いるようなグローバルな企業の費用削減対策を考えてみてくださor facilities in remote regions of the world. Leveraging globalい。グローバル内部監査チームを有効活用すれば、リスクの軽減

internal audit teams is a very cost effective way to validate risk

活動において非常に費用対効果が高くなります。そして、グロー

mitigation activities. It also helps to extrapolate a more realistic

バル内部監査チームがあれば、より鮮明で現実的なリスクプロファ

picture of the organization’s risk profile…much more than

イルを描くことが可能になります。リスクマネジメント室だけで、eyou’d be able to collect on your own through e-mail or phone

メールや電話で情報をかき集めるのとは比較にならないほどの情

calls.

報が収集できるというわけです。
例えば、BCP（事業継続計画）で考えてみましょう。リスクマネ

Let’s take a business continuity plan for example. Risk

ジメント室がある地域の BCPを作成します。内部監査チームは、Management can develop one and internal audit would be able

その BCP がその地域における最低必要条件を満たしているか

to tell us in any region throughout the globe whether it meetsを、世界中のどの地域においても指摘することができます。

the minimum as to what is required.

内部監査チームは、ある業務活動についてある国では必須で

16

2015_9-19_特別講演.indd

They can advise on culture as well– why one business practice2015 March

16

2015/02/23

12:02:59

特 別 講 習 2015

あり、他国では必要ないというような、各国の文化の違いに関す

is essential in one geographic location as opposed to another.

るアドバイスもしてくれます。このように、内部監査チームからアド

So we’re now able to take that effort that is doing exceeding

バイスをもらうことにより、私たちリスクマネジメントチームは１つのwell in one geographic location and deal with uncertainties

地域に関してはスムーズに業務を遂行することができ、他の地域

elsewhere.

の不確実性の管理に取り掛かれるのです。
使用可能な資源をいつでも共有できるということは、
リスクマネジ

By sharing available resources whenever possible, not only do

メントの視点においてより良い回答、より良い結果を得ることができ

I think we get a better answer and a better outcome from a risk

るだけでなく、組織にとっても価値が創造されていると思うのです。

management point of view, it adds value to our organization.
Cross-Leverage Each Function’s Respective

両部門機能のそれぞれの権能、役割、職責の相互活用
内部監査室は、通常組織内部の業務プロセスを非常によく理解しています。

Competencies, Roles and Responsibilities
Internal audit generally has a great understanding of internal
processes.

これまで長年にわたり、内部監査室は評価・確認が必要な主Over the years, the department presents audit plans that act as

要業務の実行ガイドとなるような監査計画を提案してきました。こa roadmap of key businesses operations that need review. For

れら監査計画と実施内容に係る報告書を共有できることは、リスク

risk management to have access to the history of audit reports

マネジメント室にとって非常に有意義なスタートポイントとなります。

provides a great starting point.

もちろん、内部監査室として共有できない報告書もあると思い

I understand that there are always reports that internal audit

ます。しかし、共有が可能な報告書だけでもリスクマネジメントに

cannot share. But, using the ones that they can will better

とっては、組織が不確実性を管理するための有効な資源となる

equip risk managers to help the organization deal withのです。

uncertainty.

このような資源を共有することにより、双方の専門的見解を会

A result of such resource sharing is that the approach calls

議の場に提出することができます。このことは、組織が目標を達

for both functions to bring their specific areas of expertise

成するためにリスクマネジメントプロセスがあり、リスクマネジメン

to the table. This fosters a common understanding of risk

ト業務があることを共通認識として理解してもらうことにも役立ち

management as both a discipline and a process that focuses on

ます。

achieving organizational objectives.

各部門の権能、役割、職責を相互活用するためには、コミュニ

When cross-leveraging each function’s competencies, roles

ケーションが重要な鍵となります。組織のリスクマネジメントと内部

and responsibilities, communication is the key. And, when

監査が連携する場合、コミュニケーションの頻度とその重要性はorganizations’ risk management and internal audit functions

特に強まります。公式、非公式に係らず、コミュニケーションを活

col laborate t he f requenc y a nd t he impor ta nce of t hat

性化することにより、両部門共通のリスク用語とフレームワークを

communication will intensify. An important outcome from

構築することが必要です。

this increased communication, whether formally or informally,is developing a common risk language and framework.

部門の連携では、相互の誤解がないよう、言葉と領域の区分

This fundamental step requires one vocabulary or taxonomy

けを明確にすることが基本です。職員全員のリスク、ERM、リス

so that there are no misunderstandings. Everyone’s definition

クマネジメントの役割、内部監査の役割、そしてもちろん組織のof risk, ERM, the role of risk management, the role of internal

戦略目標などの定義、理解が必ず同一でなければなりません。

audit and, of course, an understanding of the organization’s
strategic objectives should be the same.

この理 解が、一貫し安定したリスクマネジメントを両部門でThis understanding promotes a consistent and uniformed risk

実行することができ、誤解やフラストレーションをなくすことがで

management approach by both groups…eliminating confusion

きます。

and frustration.

戦略リスクの評価と監視

Assess and Monitor Strategic Risks

各企業の戦略リスクに対するアプローチは多少異なりますが、

Although each organization approaches strategic risks a

基本的にはリスクマネジメント室と内部監査室の両部門がリスク

little differently, the end deliverable developed through their17

2015_9-19_特別講演.indd

17

2015/02/23

12:02:59

Special Session 2015の分析を行い、戦略リスクは積極的にリスクを評価、監視し、そrespective risk analysis illustrates the importance for both to

れらを管理する手法を提案します。

proactively assess and monitor strategic risks and recommend
ways to manage them.

2011 年の IIA の調査報告書「リスクマネジメントにおける内The 2011 IIA Research Foundation paper, “Internal Auditing’s部監査の役割」では、内部監査担当者に対し、次のように戦略

Role in Risk Management,” encourages internal auditors

リスクを評価することを奨励しています。経営者（経営陣）は、

to “evaluate strategic risks, such as whether management

包括的に鍵となる戦略リスクを認識できたか、これらのリスクを

has comprehensively identified key strategic risks; develop

認識するためのリスクマネジメント手法を慎重に吟味したか、そprudent risk management techniques to address those risks;

して戦略リスクを十分監視し、必要に応じて適切な対応が取れ

and establish sufficient monitoring of strategic risk ‘signposts’

るよう、戦略リスクの顕在化「段階指標」のようなものを設置しto identify risk occurrences in time to take the appropriate

たか、などです。

actions.”

また、ここではどちらの部署がどのリスクのリスクオーナーとなるThis quote highlights the overlap in responsibilities and whereのか、という責任に関する重複の混乱をどのように解決するかと

there might be confusion as to who should take ownership ofいう話をしたいと思います。内部監査の役割が、経営観点から

what. As internal audit offers assurance as to management’s

戦略リスクへの対応の有効性を確認（保証）するのに対し、リス

effectiveness regarding strategic risks, the risk management

クマネジメントは経営に対し戦略リスクを管理するにはどのようなf unction can prov ide t he techniques and met hods for

テクニックと手法が最も効果的かという提案をします。

management to be most effective.

このシナリオのように、リスクマネジメントと内部監査は相互に味In this scenario, risk management and internal audit should see

方として見るべきで、相互のアセスメントのモニタリングや対応計

each other as allies and take advantage of the other’s input on

画の考えを相互に参考にすることが効果的です。

the assessment’s monitoring and response plans.

リスクマネジメントの責任者と内部監査の責任者が、共同で経In an organization where the head of risk management and

営陣に対し報告書を提出する企業では、この報告書を内部監査

the head of internal audit prepare joint material for leadership,

委員会用、リスクマネジメント委員会用というように効果的に適合

they can tailor those reports for the Audit Committee and theさせることができます。

Risk Committee.

この共同作業は、以下のような内容を保証する一貫したプロセスを構築するのに役立ちます。

This creates a consistent process to ensure that:●everyone is looking at the same information;

全関係者が同じ情報を手にする●

that risks are covered; andリスクは管理されている●

that one report is updated with prioritized action-steps, as●●●

報告書の実行ステップはアップデートされた優先順位になっwell as with the current status of each initiative.

ており、それらの現在における進捗状況も記載されている。
部門間のリスク評価の価値

The Value of Assessing Interrelated Risks

IT 部門の協力がなければ解決できないような、人事部のリス

Consider the example of a significant risk to human resources

クを例として考えてみてください。もし、IT 部門がこの人事部にthat can only be fixed with the assistance of the information

おけるリスクの深刻性や速度、発生確率などを理解していなけれtechnology department (IT). If IT does not understand theば、IT 部門における人事部のリスクの優先順位は非常に低く位

severity, velocity or likelihood of the risk, this project might fall

置づけられる可能性があります。

lower on their list of priorities.

全てのリスクが簡単に監査できることはなく、各リスクが１リスク

Not all risks are easily auditable, nor do they have just one

オーナーを割り当てられるわけではありません。そのため、この分

owner. And, because there are risks fall into this category,類に属するリスクは、リスクが基本であるにもかかわらず内部監

they sometimes do not populate internal audit plans, even

査計画からしばしば洩れることがあります。内部監査室は、リスク

when these plans are risk-based. By working jointly with risk

マネジメント室と共同で作業することにより、より広範なリスクを認

management, a much larger risk portfolio emerges.

識することができます。
私の会社では、この共同活動は多くの成果を成し遂げまし18

2015_9-19_特別講演.indd

In my organization, this collaboration accomplished a number

2015 March18

2015/02/23

12:02:59

特 別 講 習 2015

た。最も大きな成果は、この２つの部門の関係を促進することにof things. The biggest benefit was to forge a relationshipより、組織がより効果的にリスク評価できるようになったことです。

between the two areas to help the company better assess risk.

以前は、発生確率の高いリスク、または企業の戦略的目標を達It helps us gear the risk assessment at mitigating the risks the

成できないがために利益目標が達成できないリスクの管理というcompany faces that would have either the highest likelihood

視点だったのに対し、内部監査との連携によりリスクマネジメント

to not allow the company to achieve its strategic goals and業務が組織に潜在するリスクの軽減化の評価という方向へ変わtherefore impair the company’s ability to make their profit

りました。

goal.

私たちにとってこの連携は、単に大規模な損失とその影響をFor us, this approach is a profound difference from merely

評価していた当時から比べると、非常に大きな変化です。現在でtrying to assess “catastrophic” losses and their impacts. We

は、私たちはフレームワークとこれまでと同様のテクニックを使い、

now use the framework and the same techniques to identify

以前よりも大幅に広範囲におけるリスクの認識と分析を行っていand analyze a much broader array of risks. Based on that, weます。それを基盤に、実施計画を発展させるためさまざまな選択

then evaluate options in order to develop action plans for the肢を評価し、会社に貢献しています。

company.

おわりにCONCLUSION

エグゼクティブレポートが注目する点の中の１つに、組織のリス

One of things The Executive Report focuses on is not to

クマネジメント活動を保証するステップとして、内部監査を決して

lose sight of internal audit’s importance in assuring the

軽視してはならない、ということがあります。

organization’s risk management practice.

重複する職責があるため、この２つの部門は自然に連携、統Because of their overlapping responsibilities, there is an

合する機会があるのです。この２つの部門が連携、統合する機

inherent opportunity for the two functions to integrate

会を前向きに取り入れるということは、両部門及び全社的に考えnaturally. Both functions– and the organization overall–ても非常に有効であり組織に価値を付加します。

would be best-served to act on this collaboration opportunity
to add value to their organization.

もし、連携、統合ができないとどうなるか？

What is the alternative?

リスクマネジメントと内部監査の連携ができなければ、経営者

Without collaboration– risk management and internal audit

会議において２つの部門は別々の異なったリスクを発表するで– would walk into the boardroom and present different risks

しょう。

facing the organization.

●

この結果、さまざまな誤解を招きます。

●

This would create a misunderstanding.

●

組織の経営者が、どのリスクに着目すべきかがわからなくな●

It would cloud the decision-making by our organization’s●

It devalues the work of both. How can leadership trust the

り、経営判断を惑わす可能性があります。
２つの部門の価値を低減します。２つの部門が異なった結果●（報告）を提出した場合、経営者はどちらを信用すればよい

leadership on what risks we need to focus on.
findings from either if the groups present different results?

かわからなくなります。
このような混乱が発生すると、内部監査、リスクマネジメント両

There is no question that, creating this confusion significantly

部門が組織のために実際に発揮できる有効な機能を大幅に低下

decreases t he va lue t hat bot h i nterna l aud it a nd risk

させることは間違いありません。

management bring to the organization.

この連携・統合を促進することはゴールではありません。これ

Forging this collaboration is not a destination, it’s a journey.

は継続する旅です。この手法が成功すれば、皆さんは毎年組

If done correctly, every year you’re going to learn more about

織に関し多くのことを学ぶことができます。組織がどのように運

the organization, how it works, the risk it faces and the best

営されているのか、組織が直面しているリスク、そして将来の不processes for addressing those uncertainties.

確実性を認識するための最も効率的なプロセスを学ぶことがで
きます。

19

2015_9-19_特別講演.indd

19

2015/02/23

12:02:59