日本金融監査協会 資料

カルチャー監査を考える
Strictly Private and Confidential

2021年9月28日
三井住友フィナンシャルグループ
執行役員 Head of International Audit
グループ Deputy CAE 監査部⾧ 吉野 哲朗

 本日は、リーマン危機以降のいくつかの金融イベントを振り返りながら、当局をはじめとする関係者が金融機関のカルチャーについてどのような問題提起を行い、それに対応して、内部監査に関連するアプローチがどのように工夫されてきたのかご紹介します 本資料でご紹介する内容は、日々の業務等を通じて調査したことなどをまとめたものですが、意見・考察などは講演者の個人的見解にすぎず、所属する組織の見解を示すものではありません1

（出所）金融庁 HP“金融機関の内部監査の高度化に向けた現状と課題 令和元年6月”

2

（１）組織のリスク＆コントロール・カルチャーの評価（SMBC英国現地法人での内部監査の取組）

3

SMBCのグローバル監査体制
１

２

米州駐在

３

欧州駐在

４

APAC駐在派職(*1) ：8名

派職：7名派職：5名

派職：0名

LH(*2) ：111名

LH：45名LH：44名LH：12名1

欧阿中東本部
CM ltdJRI Europe
SMBCR
SMBC EU
5
SMFD
CMFRA
SASSA
SMBC AC
3
SMBC Leasing
TTI
APAC本部
JRI（SNG)
日興(SNG/ｲﾝﾄﾞﾈｼｱ)
SMFL（ﾀｲ/ｲﾝﾄﾞﾈｼｱ他）
CF（ﾀｲ）
BTPN

海外陣容 合計

中国現法
内部監査部
派職：3名
LH：15名東アジア本部
日興（香港/上海）
SMFL（中国/香港）
CF(中国/香港/台北）

2
米州本部
BHC
CM Inc.
SI
SMLF
SMBC RS
JRI America
SMFL NY支店

５

香港駐在

4
６

【東京】
国際業務監査G
13名

250名(*1) 国内拠点から海外拠点への派遣職員(*2) Locally Hiredの略

人員数は2021年3月末時点
派職には他社出向者・他部トレーニー、およびBC与信監査部を含む

4英国CIIAのガイダンス2012年12月
LIBOR 不正操作で初の逮捕者

2013年7月 CIIA (FS Code)「内部監査は、組織のリスク＆コントロール・カルチャーを監査範囲に含めるべきである。
これには、プロセス（人事評価や報酬等）、行動（決定判断等）、及びトップの姿勢（“tone at the top”）が、組織の価値、倫理、リスク受容、業務方針に沿っているかの評価が含まれるべきである。
内部監査は、マネジメントによるリスク管理や内部統制への姿勢、既知の不備の修正に向けた行動、内部統制自己評価を評価すべきである。」

5

監査業務の基本的なイメージ「リスクに対するコントロールの有効性評価」

リスク

リスク

発見事象、改善提言

6

監査業務に リスク＆コントロール カルチャー評価 を加える
「リスクに対するコントロールの有効性評価」「組織のリスク＆コントロールカルチャー評価」「マネジメントによる リスク管理や内部統制への姿勢、
 既知の不備の修正に向けた行動、
 内部統制自己評価を評価すべきである。」

リスク
リスク

発見事象、改善提言7ツール（求められる対応例）
リスク
リスク① 自己点検・申告制度
MSII(ManagementSelf-Identified Issues)②
発見事象、改善提言（従来の監査活動）③ MCAA (Management Control Approach and Actions)
マネジメントによるリスク認識と内部統制(コントロール)構築への取組状況を、従来の「リスクに対するコントロールの有効性の評価」と別建てで評価

8

MCAAのポイント
 SMBCグループでは、英国現法で2015年度より導入（他地域への展開を企図） 狙い：１、２線による自律的なコントロール構築を支援
 MCAAの評価項目は、主に以下• マネジメントによる課題解決及び部下職員教育への取組姿勢• リスクアペタイト、リスク登録･受容等リスクコントロールへの取組、ガバナンス• 内部監査、当局検査、外部監査、コンプライアンス等が提起した指摘･提言への取組･対応状況• 内部監査への取組姿勢• 改善計画･管理運営状況
 従来の総合評価（4段階）に加え、MCAA評価（4段階）を付与

9

MCAAのポイント（２） バランスの取れた見解の提供
課題を特定しようとする継続的な姿勢と計画的なリスク軽減策への取組の十分性等を評価≒ リスク＆コントロール カルチャーの評価（例：MSIIによる自己申告が少なく、監査指摘が多数ある場合、MCAAは低くなります）⇔(cons) 主観的 前提：① リスクオーナーとしての自身の役割と内部統制の強度について、第１線が説明責任を果たすこと② MSIIが仕組みとして確立していること

10

（２）コンダクトリスクと企業カルチャーへのアプローチ11

コンダクトリスク、企業カルチャーへの注目の高まり
2013年4月

2016年9月

英国
金融行為規制機構（FCA）設立

米・Wells Fargo
大規模不正営業で罰金支払い

2017年12月 ニューヨーク連邦準備銀行“Misconduct Risk, Culture, and Supervision”（ミスコンダクト、カルチャーと金融監督）
2018年11月 Group of Thirty“Banking Conduct and Culture – A Permanent Mindset Change”（銀行のコンダクトとカルチャー：マインドセット改革は永遠）
2019年11月 IIA
IPPFプラクティス・ガイド “Auditing Culture” （カルチャーの監査）12

米銀Wells Fargoの事例（出所） Wells Fargo & Company HP 掲載の独立社外取締役調査報告書（2017年4月）より筆者抜粋“The root cause of sales practice was the distortion of the Community Bank’ssales culture and performance management system, which, when combined withaggressive sales management, created pressure on employees to sell unwantedor unneeded products to customers and, in some cases, to open unauthorizedaccounts. Wells Fargo’s decentralized corporate structure gave too muchautonomy to the Community Bank’s senior leadership, who were unwilling tochange the sales model or even recognize it as the root cause of the problem.
Community Bank leadership resisted and impeded outside scrutiny or oversightand, when forced to report, minimized the scale and nature of the problem. “

全文（110頁）は以下をご覧ください。
“Independent Directors of the Board of Well Fargo & Company
Sales Practice Investigation Report, April 10, 2017”https://www08.wellsfargomedia.com/assets/pdf/about/investorrelations/presentations/2017/board-report.pdf※ 内部監査の果たした役割については、91～96頁に分析されています。

13

“ミスコンダクト, カルチャー と 金融監督”（出所）NY連銀 HP“Misconduct Risk, Culture,and Supervision, Dec 2017”

 “Supervisors have traditionally addressed misconduct risk by overseeing theeffectiveness of firm’s risk management and internal control functions, such ascompliance and audit.” “Root cause analyses of many recent cases of misconduct in the financial sector,
however, suggest that misconduct is not just the product of a few individuals or
bad processes, but is the result of wider organizational breakdowns. Often, large
numbers of employees and managers were either complicit in improper conduct,encourage it, or turned a blind eye to troubling behavior. This suggests a different
issue.

（下線部参考訳：金融業界における最近の多くのミスコンダクト事案について根本原因分析を行ったところ、ミスコンダクトは、単なる少数の個人や不適切なプロセスの産物というわけではなく、もっと広範な、組織的な崩れの結果である、ということが示唆されている。．．．
これは（これまでの理解とは）違った問題の存在を示している。）

14

Group of Thirtyによるモデル（出所） Group of Thirty “Banking Conductand Culture – A Permanent Mindset Change”（2018年11月）を参考に筆者作成

③

④②

⑤①

 カルチャー:従業員の価値観や振る舞いを産み出すメカニズムであり、従業員のコンダクトを形作り、銀行に対する信用や、主要なステイクホルダーからのポジティブなレピュテーションの形成に貢献するもの

 G30の提示したモデル：
銀行は、図左側のインプット、すなわち培ってきた歴史的基盤（①）の上に「パーパス」と戦略（②）を定め、固有のカルチャーを発展（③）させることによって、右側に示す
良い結果：信用やレピュテーション（④）その結果としての好業績（⑤）を得る
 カルチャーをマネージするには、目に見えるコンダクトや行動だけでなく、それらの背後にあって複雑な影響を及ぼす「込み入った構造」を理解しなければならない

15

（出所） Group of Thirty “Banking Conductand Culture – A Permanent Mindset Change”（2018年11月）を参考に筆者作成

G30はこの構造を４つの大枠に整理し、金融機関に対し12の提言を行い、一層の努力を推奨(1) Senior Accountability and Governance#１ コンダクトとカルチャーに対する取締役会の監督#２ コンダクトとカルチャーに関するデータの質と利活用の強化(2) Performance Management and Incentives#３ 過度なインセンティブがもたらす潜在的影響の分析#４ 定量営業目標と報酬との関係の見直し#５ 行動面でのロールモデルの活用(3) Staff Development and Promotion#６ 価値観の浸透と企業文化醸成に関して、中間管理職が果たす不可欠な役割の再認識#７ ダイバシティやインクルージョンの促進#８ 心理的安全性の確保#９ ミスコンダクトに対する懲戒#10 銀行のパーパスや価値観に合った職員の採用(4) An Effective Three Lines of Defense#11 コンダクトリスクの一義的なオーナーシップを１線が持ち、実効的な管理を行うこと#12 コンダクトリスク管理に関する２線内各部の役割と責任の明確化

16

（３）IIAによるカルチャー監査の３類型

17内部監査のアプローチ①
 「不適切行為の背景には、カルチャー的な要因があるのではないか？」（出所） IPPF Practice Guide “Auditing Culture”（2019年11月）を参考に筆者作成

ミスコンダクトのリスク発見事象
全ての監査業務の中に、Culture Risk Factors を組み込む（例）過度な目標、傲慢不遜な姿勢、価値（感）と結びつかない報酬、情報の流れを阻害する硬直的なヒエラルキー、行動規範の不徹底、等々

改善提言範囲の拡大

18

内部監査のアプローチ②
 カルチャーに影響を及ぼす
特定のキープロセスやコントロールを選択し、組織を横断して検証（出所） IPPF Practice Guide “Auditing Culture”（2019年11月）を参考に筆者作成

ミスコンダクトのリスク発見事象（例）
トップの姿勢
(Tone at thetop)（例）
苦情対応プロセス19

内部監査のアプローチ③
 組織内にある全てのカルチャー関連の活動を包括的に監査（出所） IPPF Practice Guide “Auditing Culture”（2019年11月）を参考に筆者作成

ミスコンダクトのリスク発見事象

20とは言うものの．．
 カルチャーそのものを「見える化」し、監査しなくていいのか？
 ミスコンダクトの直接の原因は「職員による●●意識の欠如」ではないか？
(●●意識の浸透度を見るべきではないのか？）21

（４）カルチャーの見える化／意識の浸透度 調査

22

カルチャーの見える化（例）（出所） Financial Services Culture
Board HP を参考に筆者作成

 英国ではFinancial Services Culture Board (FSCB、旧BSB: BankingStandards Board)が、2016年以来、参加金融機関のカルチャーを従業員サーベイに基づいて継続調査しています 初回の2016年は22金融機関の28,000人がサーベイに参加、最新2020年には31金融機関/73,212人が回答（181,692人に質問票を送付）

スコア サーベイの結果は、次頁の「９つの特性」毎にスコア化され、参加金融機関の点数の分布や時系列変化等をHPで見ることができます2016 2018 20202017 201923

（出所） Financial Services Culture
Board HP を参考に筆者作成

良い組織カルチャーにつながる９つの特性

HONESTY
Q1. I believe senior leaders in myorganization mean what they say.
HONESTYCOMPETENCERELIABILITYRESPECTSHAREDPURPOSERESPONSIVENESSOPENNESSACCOUNTABILITYPERSONAL/ORGANISATIONALRESILIENCE

Q2. In my organization I see
instances where unethical behavior isrewarded.
Q3. My colleagues act in an honest
and ethical way.
Q4. It is difficult to make career
progression in my organization
without flexing my ethical standards.

SHARED PURPOSE
Q35. My organization’s purpose andvalues are meaningful to me.
Q36. There is no conflict between myorganization’s stated values and how
we do business.

24

カルチャーサーベイの内部監査への活用について
 社内の第１線、第２線が同種のサーベイを実施している場合、そのデータを共有してもらい、内部監査に活用することが考えられます SMBCグループの例では、Asia Pacific地域で「コンダクトリスク＆コンプライアンスカルチャー監査」を実施した際に、第２線が実施した同種のサーベイのデータを活用 同地域１０か国の拠点別に結果を再集計し、差異の大きな項目を分析、改善を提言
 業界ベンチマークや他拠点と比較することで、独自に発展した可能性のある、好ましくないサブカルチャーの存在が浮かび上がることがあります25

「カルチャーサーベイ」から「意識の浸透度」へ
 「強くそう思う」「どちらかと言うとそう思う」「どちらとも言えない」「どちらかと言うと当てはまらない」「当てはまらない」式の加重平均スコアとその比較からは、ミスコンダクトのリスクに対する直接的な抑制効果はわからないのでは？
 ミスコンダクトの直接の原因は「一部の職員による●●意識の欠如」、より具体的には「何がミスコンダクトなのかが組織的に共有され、個々人が正しく認識し、意識的に踏みとどまることができるかどうか」ではないか？
(●●意識の浸透度を見るべきではないのか？） ●●意識の浸透度が推定できれば、ミスコンダクトに関する組織的な残存リスクの程度（「一部の不届き者」 によるものか、 「氷山の一角」なのか）も推定できるのではないか？

26

（５）ご参考「2019/7

日本銀行ガバナンスワークショップ

でご紹介した事例のその後」

27

【ご参考事例】 2017年度第1四半期 銀行拠点監査の発見事象• 「一連の取引」や「高齢者取引」等、複雑な状況下で、難易度の高い判断を求められる取引あり
項 目「お客さま本位の業務運営」上の主な論点の一例① 投資比率• 投資比率が急上昇② 短期売却• 中⾧期分散投資商品を短期売却③ リスク許容度• 「安定性重視」の顧客に「積極性重視」商品を提案④ 売買のタイミング • 期末に売買が集中⑤ 手数料• 当行手数料と顧客利益の比較• 内部監査では、「顧客の最善の利益」に対する取組みや考え方につき、現場・本店各部への問いかけを継続

28

監査委員会／共有する価値観
ステークホルダー
顧客社会環境ＳＭＦＧ取締役会

目標(Goal)

平時
リスク(Risk)統制(Control)＋ストレス下、緊急時の対応態勢

現場とのコミュニ
ケーション

市場

監査委員会

経営とのコミュニ
ケーション

執行

株主

グループ レポーティン
グライン
ＣＡＥ

内部監査
FG
監査部

各社
監査部

部門内のコミュニケーション
BC
監査部
与信監査部

• 真にお客さまのことを考えた「お客さま本位の業務運営」の積み重ねが信頼をうむ• 「信用と信頼」を失う行為は致命的であり、絶対許されない• 中核となる収益をどのように上げていくか、その経営方針、戦略の妥当性• コンプライアンス、ガバナンスの観点から収益を抑えても立ち止まるべき時もある

29

第１線の取組の一例（出所）三井住友フィナンシャルグループ HP“ＳＭＢＣグループ ＩＲデイ 2019/6/20”

30

 第１線による施策の効果は出ているのか？
 第２線の対応例：「従業員サーベイ」「お客さまの声の分析」
 ミスコンダクトの直接の原因は「一部の職員による●●意識の欠如」、
より具体的には「何がミスコンダクトなのかを個々人が正しく認識し、意識的に踏みとどまることができるかどうか」ではないか？
“「この行為はright thingsではない」と感じるかどうか“の調査を試行
 right thingsの共有度・浸透度が推定できれば、苦情につながるミスコンダクトが「一部の不届き者」 によるものか、 「氷山の一角」なのかも推定できるのではないか？

31

第３線の取組の一例：お客さま本位に係る従業員意識調査• 2019年度より、銀行の国内拠点に在籍する従業員を対象として、お客さま本位やコンプライアンスに対する意識、及び、健全なリスクカルチャーの醸成状況に係る調査を監査部独自に実施
1 調査概要(リテール事業部門)支店、エリア対象拠点(ホールセール事業部門)営業部、法人営業部、法人エリア対象者

調査形式

監査臨店先の従業員全員（記名式/除く派遣職員・嘱託社員）
・お客さま本位やコンプライアンスに照らして問題がある内容を含む、従業員とお客さまの会話文（フィクション）を提示※調査に使用した会話文は、外部専門家の助言も参考にして監査部で作成・会話文に含まれる問題点や、会話から感じること等を、テキスト形式で回答(例)以下の従業員AとBの会話で問題がある部分は？
A 「Ｃ様には何を提案するのがいいでしょうか？」
B 「新商品の外貨投信はどう？支店⾧もかなり旗を振っている新商品だし。」
A 「ありがとうございます、いいですね、とりあえずそれでいってみます。」

32

2

回答者数

調査人数※
リテール
事業部門の営業拠点
ホールセール事業部門の営業拠点

第１回(2019/6～8)

第２回(2019/9～11)

第３回(2019/12～2020/2)

第４回(2020/11～2021/3)

556

591

457

940

322

335

375654※事務を主業務とする担当者を含まず

33

３

集計結果
←（

リテール事業部門の営業拠点

全 30%
体に占 20%
める 10%
構成比 0%）

第１回

～10%

～20%

～30%

～40%

～50%

～60%

～70%

第２回

～80%

第３回

～90%

第４回

～100%

（正答率→）
30%

ホールセール
事業部門の営業拠点

第１回

第２回

第３回

第４回

20%
10%
0%
～10%

～20%

～30%

～40%

～50%

～60%

～70%

～80%

～90%

～100%

34

“「right thingsではない」と感じる箇所の任意抽出方式“でわかったこと•第１回目の調査:- 「お客さま本位／Do the right things」とは言うものの、「right thingsではないこと」の許容範囲、具体的な解釈は人によって差が大きく、正解率は正規分布に近い形状に- また、問題箇所をほとんど抽出していない「低正解率」の層が相応に存在（≒ ミスコンダクトを起こしてしまいかねない層が相応に存在？）
30%

リテール
第１回

第２回

第３回

第４回

20%
10%

••

0%

～10%
～20%
～30%
～40%
～50%
～60%
～70%
～80%
～90% ～100%
第２回目以降：- 分布の中心が高正解率の方へ移動していき、「right thingsではない」と感ずる事象への共通認識が広まっていることが伺える （施策効果によるリスク低減？）

第４回目：- 低正解率層の割合が数％以下に→ 組織的なリスクは低減→ この層はなぜ発生するのか？
→ この層を減らす有効策は？

リテール
正答率分布状況
30%
20%
10%

低正答率者

0%
～10% ～20% ～30% ～40% ～50% ～60% ～70% ～80% ～90% ～100%

35

最後に
 「この層」への対策例：
研修強化、資格制度導入等
 それだけで十分でしょうか？

ミスコンダクトのリスク

発見事象

 カルチャーをマネージするには、目に見えるコンダクトや行動だけでなく、それらの背後にあって複雑な影響を及ぼす「込み入った構造」を理解しなければならない（Group of Thirty)
36

ご清聴ありがとうございました。

•

本資料は、弊社の事例を参考に作成されていますが、見解に関する部分は全て講演者の個人的見解に属するものであり、弊社の統一的見解を示すものではありません。

•本資料は、情報提供を目的に作成されたものであり、何らかの取引を誘引することを目的としたものではありません。

•本資料は、作成日時点で弊社が一般に信頼できると思われる資料に基づいて作成されたものですが、情報の正確性・完全性を弊社で保証する性格のものではありません。

•

ご利用に際しては、お客さまご自身の判断にてお取扱いくださいますようお願い致します。本資料の一部または全部を、電子的または機械的な手段を問わず、無断での複製または転送等することを禁じます。

37