内部監査の品質評価・改善

Presentation by 山田太郎
PwCあらた有限責任監査法人
February 20202022年12月

本日のアジェンダ
１．内部監査の品質評価 - 概論
２．内部評価の実務とポイント
３．外部評価の実務とポイント

PwC

1

内部監査の品質評価- 概論

1-1. なぜ品質評価を行わないといけないのか 社会からの要請
 品質の高い内部監査により、不祥事や不正の未然防止• コンプライアンス
 会社法や金商法などにおける企業に対するリスク管理態勢や内部統制構築の要請• 経営陣からの期待• 内部監査部門の組織としての属性
 他の部門からの検証や監視対象とならない

内部監査が社会や経営陣から期待されている役割を果たしているかどうか評価する必要がある

PwC

3

1-2. 品質評価の類型
1300【品質のアシュアランスと改善のプログラム】
内部監査部門長は、内部監査部門を取り巻く全ての要素を網羅する、品質のアシュアランスと改善のプログラムを作成し維持しなければならない。
1310【品質のアシュアランスと改善のプログラムの要件】
品質のアシュアランスと改善のプログラムには、内部評価と外部評価の両方を含めなければならない。

内部評価（内部監査部門の業務遂行についての）継続的モニタリング

内部監査部門の日々の監督、レビューおよび測定の不可欠な構成要素である。
※個別監査の計画、実施結果（調書）、報告書に関する部門内レビュー、被監査組織に対するアンケートの実施（内部監査部門による）
定期的自己評価「倫理綱要」および「基準」への適合性を評価するために実施する。
※「内部監査の品質評価マニュアル（2017年版）」を使用して評価するのが一般的

外部外部評価評価
PwC

組織体外の適格にしてかつ独立した評価実施者または評価チームによって、最低でも５年に１度は実施しなければならない。
4

1-3. 品質評価を実施することによって得られる効果• 現状の内部監査活動とIIA基準とのかい離の状況を識別• 現状の内部監査活動と監督官庁が想定する水準とのかい離状況を識別• 被監査部門からアンケートを取得し分析することで、内部監査部門や個々の監査業務における課題を識別• 内部監査に係る規程やマニュアルの遵守状況を把握し、規程の有効性や改訂の必要について検討する機会を得る• 経営陣の期待を具体的に把握する機会を得る• 同業他社の水準との比較（外部評価）• ベストプラクティスとの比較（外部評価）
PwC

5

1-4. 内部監査の成熟度モデル
PwCの内部監査成熟度モデル（6段階）

経営への貢献レベル

信頼されるアドバイザー

洞察提供者

問題解決者
アシュアランス
提供者
問題発見者
準拠性検証者定められたルールの運用状況を検証している

内部統制上の問題を提起している組織の内部統制の有効性に対する客観的なアシュアランスを提供している

新たなリスクの提言や、革新的な技術の活用を積極的に行うリーダーとして組織から評価されているテクノロジーの利用やビジネスや組織に対する深い理解に基づいて、有益な示唆を積極的に提供している

監査結果で特定された問題の根本原因を分析し、組織の問題解決を支援している

内部監査の成熟度
PwC

6

1-4. 内部監査の成熟度モデル
リスクアプローチ - 内部監査部門によるリスク評価
評価項目

準拠性の検証者

問題発見者

アシュアランスの提供者

問題解決者

洞察提供者

信頼されるビジネスアドバイザー

内部監査部門によるリスク評価活動は、適切に行われているか。

内部監査部門は、リスク評価活動を行っていない。または不定期にリスク評価活動を行っている。

内部監査部門は、少な
くとも年1回以上のリスク評価活動を行っている。

内部監査部門は、少な
くとも年1回以上のリスク評価活動を行っている。

内部監査部門は、少な
くとも年1回以上のリスク評価活動を行っている。

内部監査部門は、少なくとも年1回以上のリスク評価活動を行っている。

内部監査部門は、少なくとも年1回以上のリスク評価活動を行っている。
リスク評価手法を、内部監査規程や内部監査要領などに記載し、組織として正式に定めている。

リスク評価の手法を、リスク評価手法を、内内部監査規程や内部部監査規程や内部監監査要領などに記載し、 査要領などに記載し、組織として正式に定め 組織として正式に定めている。ている。

リスク評価手法を、内部監査規程や内部監査要領などに記載し、組織として正式に定めている。

リスク評価手法を、内部監査規程や内部監査要領などに記載し、組織として正式に定めている。

リスク評価の手法は、内部監査部門のメンバーが属人的に有しており、組織として体系化していない。

組織が直面するリスクを網羅的に評価するためのプロセ組織が直面するリスクを網羅的に評価 スを確立し、文書化している。
するためのプロセスを確立し、文書化し リスク評価プロセスは、主要なビジネスリスクの視点を得ている。
るために（監査委員会のメンバー、経営幹部、事業部門マリスク評価プロセスは、主要なビジネス ネージャ、および外部監査パートナーを含む）主要な利害組織が直面するリスク 組織が直面するリスク リスクの視点を得るために（監査委員関係者との意見交換をしている。
を網羅的に評価するた を網羅的に評価するた 会のメンバー、経営幹部、事業部門マKRI（重要なリスク指標）を定め、定期的にモニタリングし、めのプロセスを確立し、 めのプロセスを確立し、 ネージャ、および外部監査パートナー
その結果を内部監査計画に反映している。
文書化している。
文書化している。
を含む）主要な利害関係者との意見交
リスク評価プロセスは、 換をしている。
主要なビジネスリスク
グループベースでのリスク評価方法論を有し、親会社と子KRI（重要なリスク指標）を定め、定期の視点を得るために的にモニタリングし、その結果を内部監 会社間で共有し、実践している。リスク評価の計画や結果（監査委員会のメン査計画に反映している。
は、子会社から親会社に報告されている
バー、経営幹部、事業
親会社は、グループ全体のリスク評価を横断的に行い、部門マネージャ、およグループベースでのリスク評価方法論 グループベースでの重要なリスクを標準化した方法論および外部監査パートナー を有し、親会社と子会社間で共有し、び基準により識別している。さらに、この結果を取締役会を含む）主要な利害関 実践している。リスク評価の計画や結係者との意見交換経て 果は、子会社から親会社に報告されて などに報告している。
最終化している。
リスク評価は、ボトムアップのみならず、トップダウン的ないる戦略的な観点に基づいて行われ、継続的に更新・管理し、KRI（重要なリスク指
親会社は、グループ全体のリスク評価 グループ全体のリスクプロファイルを作成している。特定さ標）を定め、定期的にを横断的に行い、グループベースでの れたリスクは、ERMまたは同様の枠組みに組み込まれ、モニタリングし、その結 重要なリスクを標準化した方法論およ組織の戦略的な価値創造活動の意思決定を支援している。
果を内部監査計画にび基準により識別している。さらに、こ反映している。の結果を取締役会などに報告している。

リーディングプラクティス

PwC

7

内部評価の実務とポイント

2-1. 内部評価の実施体制
大規模組織のケース

小規模組織のケース

内部監査部門長・部長

内部監査部長

監査実施部門担当副部長・次長

監査企画担当副部長・次長

品質保証チーム

監査チーム

品質保証

教育研修・
ＫＭ

ＩＴ

監査チームＣ

監査チームＢ

監査チームＡ

評価実施

評価実施
PwC

9

2-1. 継続的モニタリング
日々の内部監査業務に通常組み込まれている監督や査閲（レビュー）などであって下記の項目（例示）を含むものである。
 個々の業務の監督
 監査調書などの査閲（レビュー） 監査対象部門からのフィードバック
 業務遂行規準の測定と分析

監査担当者

監査主任

審査担当者

✓✓

✓

監査計画
年度監査計画時点からアップデートされ、・・・・・
オフサイトモニタリング結果によるリスクアセスメントの影響・・・・・・・・・
実地監査
事前依頼資料は、・・・・・
検出事項については、・・・・・・
・・・・・
監査調書
検出事項に係るエビデンスは・・・・・・
・・・・・
・・・・・
監査報告書

PwC

10

2-2. 定期的自己評価
四半期、半期、年に1回など定期的に実施される評価であり、下記の項目が含まれる
 IIA基準への適合性評価
 監督官庁からの要求事項への適合性評価
 内部監査規程への遵守状況についてのレビュー
 ステークホルダーに対するインタビュー

PwC

11

2-3. 定期的自己評価の実施方法例- IIA品質評価マニュアルの活用
 2017年にIIA Research Foundationが発刊
 最新のIIA基準のアップデートに対応し、ビジネスなどの変化を考慮した内容
 一貫した評価が可能なメソドロジーを採用
 内部監査部門長が策定すべき品質のアシュアランスと改善のプログロムのあらゆる局面に対応し、継続的な改善を実現させるために活用可能

IIA「品質評価マニュアル」所収ツール
プランニング・ガイド
サーベイ・ガイド
インタビュー・ガイド
プログラム・ガイド
品質評価サマリ―
品質評価報告書

 内部監査の品質評価のプロセスを4つのセグメントに分割
1. 内部監査体制（「基準」1000番台、1100番台、1300番台、「倫理綱要」）
2. 内部監査要員（「基準」1200番台）
3. 内部監査部門運営（「基準」2000番台、2100番台、2450、2600）
4. 内部監査プロセス（「基準」2200番台、2300番台、2450を除く2400番台）

PwC

12

2-4. 内部評価のよくあるポイント （1/2)
 1100（独立性と客観性）、1110（組織上の独立性）：
内部監査の独立性を確保するための仕組みとして、内部監査部門長が最高経営者および取締役会の双方に直接のレポーティングラインを持つことが推奨されている。一方で、内部監査部門長と取締役会との間の指揮系統・関係性や、取締役会が内部監査において果たす役割については、 明文化されていない場合が見られる。
 1112（内部監査部門長の内部監査以外の役割）：
内部監査部門長が内部監査以外の役割や職責を有する場合の対応措置については、明文化されていない場合が見られる。
 1210（熟達した専門的能力）,1220（専門職としての正当な注意）：「内部監査人は、与えられた業務（work）を遂行するために、重要な情報技術（IT）のリスクおよびコントロール手段についての十分な知識と、活用可能なテクノロジー・ベースの監査技法を身につけていなければならない」「内部監査人は、テクノロジー・ベースの監査技法とその他のデータ分析技法の使用を検討しなければならない。」とある一方で、内部監査人が身につけるべき知識や、監査計画時に検討すべきデータ分析技法について、社内で明確に整理されていない場合が見られる。
PwC

13

2-4. 内部評価のよくあるポイント （2/2）
 2330（情報の文書化）, 2410（伝達の基準）：
監査調書のアクセス管理の方法や、開示の際に相手先に課す制約について、明文化されていない場合が見られる。
 2420（伝達の品質）：「伝達は、正確、客観的、明確、簡潔、建設的、完全かつ適時なものでなければならない。」とある一方で、伝達を「正確、客観的、明確、簡潔、建設的、完全かつ適時」なものとする手法・ポイントについて、社内で明確に整理されていない場合が見られる。
 2600（リスク受容についての伝達）：
監査先との合意形成に至らなかった場合の対応について、明文化されていない場合が見られる。

PwC

14

外部評価の実務とポイント

3-1. 外部評価の概要
 最低でも5年に1度は実施されなければならない
 ２つの取り組み方法①フル外部評価②自己評価と独立した検証（SAIV）
 実施内容①IIA基準への適合性評価②内部監査部門の有効性および効率性の評価③改善の機会を明らかにすること

PwC

16

3-2. 外部評価のメリット

組織体外部の独立した第三者により客観的な評価を得ることができる

外部のレビュー実施者またはチームが保持するベンチマークやベストプラクティスツールの適用によってより多くの改善機会を識別することが可能

経営陣が内部監査部門の役割について再検討する機会を提供する

内部監査部門が社会や経営陣から期待されている役割を果たしているということについての客観的な裏付けとなる

PwC

17

3-3. 外部評価を実施する場合の事前検討ポイント• 内部監査部門の成熟度を考慮して、適合性重視or有効性と効率性重視？

外部評価を依頼する重点項目• 従来より認識している課題をまとめておく• 経営陣や取締役会（監査委員会）の期待を把握

外部評価者の選定• 独立性を前提とした上で、組織体の理解度を重視• 業界やベストプラクティスの知見 VS 内部監査経験• 組織体内部への通知

外部評価の実施や報告の際の留意事項• 情報管理• 品質評価報告書の内容として要求する事項をあらかじめ依頼する• 報告の対象者とタイミング（必要に応じて外部評価者にあらかじめ依頼することを含む）

PwC

18

3-4. 外部評価の実施プロセス
外部評価の進め方計 画
 内部監査機能の現状分析
 外部評価計画の策定

分 析評 価報 告 ステークホルダー分析

 IIA基準への適合性評価

 外部評価報告書の作成- インタビューの実施

 海外主要当局基準評価 内部監査部門への報告

 ベンチマークツールによる評価

 マネジメントへの報告- アンケートの実施
 内部監査プロセス分析- 内部監査関係文書の閲覧- 個別監査調書の閲覧

PwC

 高度化などの方向性に関する協議および高度化提言の策定

19

3-4. 外部評価の実施プロセス- 計画の策定

内部統制、内部監査態勢に関する課題
認識

内部監査態勢の基
本情報ヒアリング＆ディスカッション

過去の外部評価の経験から把握した他
社内部監査の課題と改善の方向性

PwC

内部監査
態勢高度化の仮説

仮説検証

当局の期待などの
外部環境情報20

3-4. 外部評価の実施プロセス- インタビューの実施
ステークホルダーインタビューを通じて、内部監査に対するマネジメントの期待を把握し、現状の「内部監査の水準」、「改善機会」を見極めます。
（例示） インタビューのポイント
マネジメント

内部監査部門

インタビュー対象者

代表取締役（CEO)、内部監査担当役員、監査役、その他経営陣（CFO,CIOなど）

被監査部門長（営業部門、内部管理部門など）

内部監査部門長、内部監査スタッフ

主なインタビュー項目• 内部監査に対する期待• 内部監査の役割及び貢献すべき領域：
 主なビジネスリスク
 統制環境 内部監査の戦略的活用• 各部門の業務目標及び主なリスク• ビジネスと内部監査の整合性及び他のモニタリン
グ機能との連携の状況• 内部監査業務の品質、提供される情報や提言の状況（価値のある活動となっているかなど）• 内部監査人のスキル・専門性• 内部監査の組織内における影響• 内部監査人の育成プロセス• 内部監査人の満足度• 業務実施方法• テクノロジーの利用• 内部監査業務の品質向上、継続的改善、イノベーションの状況

インタビュー実施の背景

内部監査のミッションや注力している領域の適切性

内部監査対象範囲の適切性及び当該範囲を実施するに足るスキル・専門性の保持

内部監査機能の適切性

ステークホルダーの期待とのギャップの特定方法

各ステークホルダーからの期待を体系的に取りまと 組織のリスクプロファイル、リスクアセスメント、内部 IIA基準、ベストプラクティスなどに基づき、現状の内め、現行のミッションや成果などとの比較を行う
監査計画の整合性を検証する
部監査業務プロセスを分析する

特定されるギャップの性質
PwC被監査部門

ステークホルダーの期待

内部監査対象範囲

内部監査のパフォーマンス
21

3-4. 外部評価の実施プロセス- アンケートの実施
選択肢

PwC

A

内部監査では、既に発生した事故のみ考慮し、発生した事故に基づいた監査計画が立案されている。

B

一定のルールや周期的なサイクルによる監査計画のもとで内部統制の監査を実施している。

C

内部監査では、幅広くリスクアセスメントを実施し、組織の内部統制の有効性を客観的に保証している。

D

内部監査部門は、幅広いステークホルダーにヒアリングや相談を行い、主要なリスクや専門家を特定のうえ、当該リスクの発生可能性と影響度を評価している。内部監査では、問題の根本原因を特定するためにテクノロジーによる分析を活用している。

E

内部監査のリスクへの対応は、他のリスク管理部門などのリスク管理プロセスと統合されている。より包括的にリスクを認識するために、グループ全体でリスク情報が共有されている。内部監査は、より深い洞察に基づき有意義な解決策を積極的に提案する一方、専門知識を活用して当該問題に潜む幅広い含蓄のある考察や提示を行っている。

F

トップダウンにより把握されたリスクについて、戦略的視点に基づきリスク評価を実施しており、継続的にリスクを識別している。識別されたリスクに対応する組織の戦略目標および監査計画が策定されている。監査計画に基づく監査実務は、組織の戦略的な課題に明確に関連付けられている。

①②

現状のリスクへの対応期待されるリスクへの対応

22

3-4. 外部評価の実施プロセス- 個別監査調書の分析
スコーピング① 監査の目的・保証範囲とその根拠が明確であるか

監査プログラム② コントロールの有効性を確認するためのテストステップが具体的に設定されているか③ サンプリングの考え方・方法が明示されているか④ 再実施可能な程度に十分な証拠が集められているか（ヒアリングなど間接証拠のみに依拠していないか）

指摘・真因分析・改善提案⑤ 指摘すべき事項が正しく記録されているか（口頭でとどめているものはないかなど）⑥ 指摘事項の発生原因の分析結果（含：根拠となる事実）が記録されているか、その深度は十分か⑦ 指摘事項のリスク・発生原因と改善提案が整合しているか

報告書⑧ 保証範囲が保証可能な水準にあるかの結論が明確に示されているか⑨ 監査の結果、見極められた残存リスクが明示されているか

フォローアップ⑩ 改善提案の進捗状況が証拠に基づき確認されているか⑪ 改善提案と実際対応策が整合していることが確認されているか、また、不整合の場合に必要な措置が取られているか（評価結果の表示）○：概ね実施できている △：実施されているが、改善事項が認められる ×：実施できていない
PwC

23

3-4. 外部評価の実施プロセス- 評価の観点PwC

24

3-4. 外部評価の実施プロセス- 評価の観点
ビジネスとの整合・リスクアプローチ•期待は明確に表現され、伝達されている•内部監査は自らの目標および価値を定義し明示している•公表された目標とビジョンへ向けての進捗を測定するために、測定基準が開発されている•リスク評価の方法論を定め、定期的にリスク評価が行っている。
•KRI（重要なリスク指標）を定め、期中において動的に内部監査計画に反映し、内外のリスク環境変化に対応している。
•監査計画はトップダウンの戦略的なアプローチとビジネスリスクを識別するためのボトムアップアプローチとの両方に基づいている•監査計画は企業と外部ビジネス環境の変化に対応するため、常に更新されている
Q.内部監査のリスクアセスメントについて、貴社に最も当てはまるものはどれですか？
① リスクアセスメントは内部監査部門内のリスクに関する知識を有する者によって実施されている。
② 内部監査部門は、監査委員会のメンバー、経営陣、業務部門のマネジャー、外部監査人などの主要な利害関係者からのインプットを得て、リスクアセスメントを行っている。
③ 上記に加え、他の内部統制部門と調整・協力を行い、外部データも活用しつつ、リアルタイムなリスクアセスメントを行っている。
PwC

25

3-4. 外部評価の実施プロセス- 評価の観点
人材•要求される期待に合わせるため、核となる内部監査と特定事項の専門家(ビジネス感覚を十分に有する者を含む)の適切な組み合わせが存在している•コンフリクト管理とクリティカルシンキングに加え、ビジネスや関連するリスクについての内部監査の知識を向上させるための継続的な学習と能力開発モデルが存在する•スタッフへのパフォーマンスフィードバックは部門のみならず、ｽﾀｯﾌ自身の成長と能力開発を促進するために行われる

Q.内部監査の研修、人材育成について、貴社に最も当てはまるものはどれですか？
新入部員のための手引きや研修プログラムが整備、実施されている。
監査計画に直結した社内研修が実施されている。これには、コミュニケーションなどのソフトスキルと、ビジネスに関する業界知識、監査専門知識（根本原因分析、調書の作成方法など）が含まれる。
上記に加え、内部監査部門の中長期計画を踏まえた研修・教育モデルが策定され、提供された研修の有効性を評価するための仕組みがある。
PwC

26

3-4. 外部評価の実施プロセス- 評価の観点
ステークホルダーに対するサービスカルチャー•利害関係者は、内部監査が業務的に卓越しており、必要に応じて戦略的なサポートを提供していると認識している•期待、コミュニケーション戦略、タイムラインを含んだ内部監査の戦略的な計画が存在する•内部監査は、一対一インタビューと調査票方式のと両方を通じて、定期的に自部門に関するフィードバックを求めている•内部監査部門は、期待を定義し、監査の範囲を共有するために、事業部門と調整している•利害関係者の期待に基づいて顧客の満足度を測定している
Q.ステークホルダーとのコミュニケーションについて、貴社に最も当てはまるものはどれですか？
ステークホルダーにフィードバックを依頼しておらず、ほとんど受け取っていない。あるいはフィードバックを受けても、内部監査部門はそれを検討・活用していない。
ステークホルダーからのフィードバックは監査プロセスの一環として要請され、フィードバックが正式に記録され、内部監査部門による検討/解決のために活用されている。
ステークホルダーからのフィードバックが、内部監査部門の改善計画に反映されている。改善計画は定期的に評価され、その結果が監査委員会と最高経営者に伝達されている。
PwC

27

3-4. 外部評価の実施プロセス- 評価の観点
テクノロジー•データ分析が行われているため、事業領域と方向性を一致させることが可能となり、また、自動化を通じて効率よくテストを行うことが可能となる•データは、ビジネス上の課題と所見、改善提案において深くかつ説得力ある情報を提供するために利用される•継続的な監査技法はリスク兆候を初期に警告するため及び監査範囲を拡大するために活用される•関連する活動はｶﾞﾊﾞﾅﾝｽ･ﾘｽｸ･ｺﾝﾌﾟﾗｲｱﾝｽ(GRC)ツール活用を通じて、効果的にコーディネートされる
Q.内部監査部門におけるテクノロジーの活用について、貴社に最も当てはまるものはどれですか？
監査管理のためのツールやテクノロジーは導入されておらず、作業や文書化は人力に頼っている。
監査管理システムが導入・活用されており、監査調書がシステム上に保管され、改善・指摘事項を追跡する機能がある。
監査管理システムは、他の内部統制部門と共同で利用できる形になっている。

PwC

28

3-4. 外部評価の実施プロセス- 評価の観点
品質とコスト•品質標準が定義され、内部監査部門の全活動をカバーしている•改善の機会を発見するために、公式な品質評価が定期的に行われている•革新が内部監査の文化に混みこまれており、継続的に発展し、報いられている•人材配置モデルは、監査活動を効率的に完了するために、スタッフレベルや地理的な場所を変えながら、内部と外部リソースを効果的に活用する•生産性は、最も費用対効果の高いサービスを提供するために、積極的に測定され管理される•監査方法論とプロセスは費用対効果のために標準化・簡略化される•監査のインフラへの投資は、練り上げられたROIアプローチに基づいて実施される
Q.内部監査による指摘・改善事項の管理について、貴社に最も当てはまるものはどれですか？
指摘・改善事項のリストが経営管理者に提示されているが、内部監査部門は改善の進捗を監視・モニタリングしていない。
内部監査部門は、特定された問題をモニタリングすることに加え、フォローアップ監査を実施している。
内部監査部門は、問題を追跡、監視、伝達するためにGRCツールなどのシステムを活用している。システムには、他のリスク管理グループが特定した問題や改善の提言についても記録されている。このシステムには監査対象部門もアクセスできるようになっており、監査に先立ち自ら課題を識別し解決することができる。
PwC29

3-5. 外部評価における発見事項
外部評価において頻繁にみられる発見事項の項目は以下のとおりです。

 内部監査基本規程
 内部監査部門におけるレポーティングライン
 内部監査担当役員や部門長の兼務
 専門的能力の具備と継続的な向上のための取り組み
 年度計画におけるリスクアセスメント
 監査調書 内部監査報告書
 フォローアップ活動
 ＩＴ監査への対応

PwC

30

3-5. 外部評価における発見事項- 内部監査基本規程
・ 定期的な見直しが実施されておらず、現状の内部監査活動の実態とかい離した内容となっている
・ 内部監査の目的や役割に係る記載が不明瞭
・ 独立性についての記載がない
・ リスクアセスメントや監査計画についての経営陣および取締役会から承認を得る内容となっていない

・ 経営陣や取締役会からの期待が反映されていない・ 基本規程の改訂が部門長レベルで可能とされている
・ 品質評価に係る記載がなされていない
・ 執行側へのレポーティングが主になりがち

PwC

31

3-5. 外部評価における発見事項- 内部監査部門の専門的能力•

日本の内部監査部門は所与の人材を活用することに注力する傾向があり、適正人員数や専門的能力が部内に具備されているのか検討されていないケースが多い•

経営陣などと人材マネジメント方針についてすり合わせる作業が必要があり、具体的な施策や制度に落とし込むことが望まれる【人材マネジメント方針の策定と導入手法例】

監査戦略

人材ﾏﾈｼﾞﾒﾝﾄ戦略

人材マネジメント施策

各種人事制度

PwC• 中長期または年度監査計画• 内部監査の目的や役割や業務内容• 求められる人材像-スキル、コンピテンシー、経験• 要員数-マネージャー、スタッフ、派遣・契約社員• あるべき組織構造• あるべき人材ポートフォリオと現状とのギャップ分析• ギャップ解消のためのアクション-人数増減、配置の最適化、質の成長、人材育成• 評価制度• 能力開発制度• キャリアプラン

32

3-5. 外部評価における発見事項- リスクアセスメント
・ 中長期監査計画や年度監査計画のためのリスクアセスメント自体が実施されていない
・ リスクアセスメントの結果が文書として残されていない

・ リスクアセスメントの結果について経営陣などとコミュニケーションが不十分である・ 業務プロセスレベルでのみリスクアセスメントされており、トップダウンのリスクアセスメントが十分に実施されていない
・ 経営陣からは重点とすべき監査領域のみを把握してリスクアセスメントに反映しているが、経営陣から内部監査部門への役割期待やステークホルダー価値へのインパクトが考慮されていない
・ リスクアセスメントの単位が粗い（監査の粒度とあっていない）、毎年同じような内容になっている

PwC

33

3-5. 外部評価における発見事項- リスクアセスメント
ステークホルダー価値をベースとしたアプローチ

ステークホルダー価値を高める活動を特定する
全社的リスクを理解する(戦略, 報告, 業務, コンプライアンス)

組織の戦略的な課題に明確にリンクし、ステークホルダー価値に直接影響を与える課題をカバーするトップアプ
ローチ

ステークホルダー価値に対するインパクトを評価する

監査計画

伝統的なアプローチ
ステークホルダーへのインタビューや分析に基づく伝統的なボトムアップア
プローチであり、焦点は特定されたリ
スク領域、地理的およびビジネスオペ
レーションにある

PwC

監査対象範囲内のリスクの影響度を評価する
リスクを特定する（財務報告、コンプライアンス）
監査対象範囲を定義・明確化（例えば、地理、ビジネスユニット）34

3-5. 外部評価における発見事項- 監査調書・ 内部監査報告書に記載されている内容が監査調書として記録されていない
・ 監査調書として記録すべき範囲が明確となっていない
・ 監査調書の記録方法が統一されておらず、担当者間でバラツキがある・ サンプリングメソドロジーが整理されておらず、監査ごと、あるいは監査人ごとに方法・対象が変わってしまっている（テクノロジー活用の余地？）
・ 監査調書の相互参照がなされていないため、別の担当者がレビューや参照した場合に監査を実施した内容や結論が不明瞭となる・ 経営陣からは重点とすべき監査領域のみを把握してリスクアセスメントに反映しているが、経営陣から内部監査部門への役割期待やステークホルダー価値へのインパクトが考慮されていない
・ 簡素な報告書を求めるあまり、発見事項の背景・真因について記載が抜け落ちている

PwC

35

3-5. 外部評価における発見事項- 監査調書
監査調書の役割• 監査報告書の裏付け資料とする• 人々への質問や指示および通達のレビュー、システムとプロセスの分析、現状の観察、取引の検査を通じて得た情報を記録する• 欠陥の存在とその程度を判定するための証拠を収集して、監査の発見事項を識別し、文書化する• 業務担当者との話し合いに役立てる• 監査の進捗状況や成果を監督者がレビューするための基礎資料を提供する• 不正、訴訟、保険請求の場合の裏付け資料や証拠とする• 外部監査人に内部監査の仕事を評価する手段を提供する• 相互レビューを容易にする

PwCなど

36

3-5. 外部評価における発見事項- 監査調書
監査調書と内部監査報告書の関係
監査報告書• 個別監査の詳細計画• 証跡（エビデンス）• 分析などの内部監査人による監査の記録• クライアントとの改善策の協議結果• 改善提案ドラフト

内部監査報告書
••
•
••
•

監査目的
監査範囲
重点監査項目
指摘事項
改善提案
改善計画

内部監査人が発見した事実や被監査部門と合意した改善策など、監査調書に記録されている情報に基づき、内部監査報告書は作成される。

PwC

37

3-6. 外部評価の成功のためのポイント

目指すべき水準・方向性を明確にする• 今後の高度化を図っていく目標がないと、改善すべきアクションプランの内容が決められません。
• 〇×的な発想で捉えず、継続的改善のための一環として外部評価を活用してください。

内部監査全般について課題認識をもつ• 評価者と課題を共有して、本質的な課題の深堀りにつなげたり、他社事例やベストプラクティスを評価者から引き出しましょう。
• 課題認識をもつために内部評価を事前にしておくと効果的です。

適切な評価者を選定する• 目的によって選定する評価者が異なります。上述の2つのポイントに対応した評価者を選定するのがベストです。

PwC38

PwCあらた有限責任監査法人

ガバナンス・リスク・コンプライアンス・アドバイザリー部
マネージャー大野 大
dai.ohno@pwc.com
080-7655-6498

www.pwc.com/jp© 2022 PricewaterhouseCoopers Aarata LLC. All rights reserved.
PwC refers to the PwC network member firms and/or their specified subsidiaries in Japan, and may sometimes refer to the PwC network. Each of such firms andsubsidiaries is a separate legal entity. Please see www.pwc.com/strucrure for further details.
This content is for general information purposes only, and should not be used as a substitute for consultation with professional advisors.