リスクマネジメントとガバナンスの監査

リスクマネジメントの監査

内部監査は、「企業が重要なリスクを適切に管理していること、リスクを管理するための内部統制が有効に機能していることを独立した立場で評価する」とされ、企業のリスクマネジメントを対象とした内部監査を実施することが期待されています。

リスクマネジメントを対象とした監査としては「リスクマネジメント体制の監査（整備の監査）」と「リスクマネジメント・プロセスの監査（運用の監査）」に分けて実施します。

（１） リスクマネジメント体制の監査（整備の監査）

リスクマネジメント体制は企業の規模や業態に従って設計されるべきもので、内部監査人は自社の実情に合った体制になっているかという観点で整備の監査を行うことが考えられます。具体的には、

• マネジメントが設定したリスクマネジメント目的が達成できる体制となっているか
• リスクを的確に把握し、具体的な対応方法を理解できる人材を関与させているか
• 個別のリスクマネジメントだけでなく、リスクマネジメント活動を全社的に最適化する体制となっているか

という視点で評価することが望ましいと考えられます。

（２） リスクマネジメント・プロセスの監査（運用の監査）

リスクマネジメント体制が有効であると評価した後にリスクマネジメント・プロセスの評価を行います。具体的には、

• リスクマネジメント・プロセスが設計通りに運用されているか
• 重要リスクに対する管理が適切に行われているか
• リスク評価結果および対応状況について適時にマネジメントに報告されているか

という視点で運用の監査をすることが望ましいと考えられています。

リスクマネジメント体制やプロセスが十分でない場合には、内部監査はリスクマネジメントのアシュアランスより「リスクマネジメント・プロセスの構築や改善のための助言」の役割が期待されます。

ガバナンス・プロセスの監査

ガバナンス・プロセスの監査は、一般に「経営者のための監査」と「経営者に対する監査」に大別できます。日本の内部監査部門の多くは社長・取締役会等に直属することが多く、「経営者に対する監査」の実施には高いハードルが存在しています。ここでは「経営者のための監査」について考察します。

経営者のための監査とは、企業がその目的を達成するために、内部監査が企業内の状況を（経営者に代わって）評価し経営者に報告することです。経営に資する情報を報告・提供できるよう経営者と十分に協議して決定することが望ましいと考えられます。以下は監査対象に含めることが適当と考えられる監査テーマの例です（図2ガバナンス・プロセス監査における監査テーマ例参照）。

（１） コンプライアンス監査

企業を取り巻く法規制への準拠性とその管理体制を対象とする監査

（２） 倫理体制監査

企業が継続的に倫理的行動をとるための諸施策の妥当性を対象とする監査

（３） 経営（計画）監査

中期および年度経営計画等の準拠性、達成状況、阻害要因を対象とする監査

（４） ディスクロージャー監査

CSR報告書等組織活動状況のディスクロージャー内容の正確性を対象とする監査

（５） 上記4テーマを横断する経営構造の妥当性監査

これらの内容につきまして、詳しくは「内部監査実務ハンドブック」をご覧ください。

また、トーマツでは「次世代の内部監査への変革を本気で取り組もう」という会社様向けに「次世代内部監査提言サービス」を始めました。外部品質評価（診断）や内部監査ラボなどを通してInternal Audit 3.0フレームワークとのFit & Gap分析を実施し、各社の実情に合った次世代内部監査モデルを提言いたします。ご興味のある方はぜひトーマツの内部監査プロフェッショナルまでお問い合わせください。