#25　全部は、見られない

内部監査入門（事件でわかる、内部監査の考え方）｜第25回／章「リスク」｜読了 約5分

100対5の現実

リスク対応は、なりゆきでなく、意識して選ぶものです。整理も把握もせず続くのは、受容（リスクを把握したうえで、意識的に引き受けること）ではなく放置。

リスク管理は、リスクをゼロにすることではなく、賢く選ぶことなんですね。

ここからは、その先の問いを考えます。皆さん、想像してみてください。

皆さんの会社に、100のリスクがあるとします。でも、内部監査チームは、5人。

全部を見ることは、物理的に、できないんです。さあ、どこから手をつけますか。

今回は、その優先順位の考え方、リスクベース思考を学んでいきます。

見ないのではなく、選ぶ

リスクベースの考え方は、実は、とてもシンプルなんです。たくさんあるリスクに、大きさで、見る順番をつける。

大きいリスクから、先に見る。当たり前のようですが、これが出発点なんですね。

では、リスクの大きさは、どう測るのか。基本になる軸は、二つです。

一つは、影響度。もし起きたら、どれだけ大きな打撃になるか。

もう一つは、発生確率。そもそも、どれくらい起きやすいか。

この二つを掛け合わせて、リスクの大きさを見るんですね。

この二つの軸で、リスクを四つの組み合わせに分けて考えます。影響度が大きく、発生確率も高い。

ここには、限られた監査の力を、集中させます。逆に、影響は大きいけれど、めったに起きないリスク。

ここは、見る頻度は下げても、備えだけは確かめておくんです。

起きやすいけれど、影響が小さいリスク。これは、現場の対応に任せて、監査は深入りしないことが多いです。

そして、影響も小さく、起きる確率も低いリスク。ここに、毎年同じだけの力を、かけ続けなくてもいいんです。

見る頻度を下げる。その年は、優先順位を下げる。

こうやって、四つの組み合わせで、力の入れ方を変えていく。これが、リスクベースの基本です。

見ないと決めているのではありません。いつ、どれだけ見るかを、選んでいるんですね。

文書化された評価／年1回／取締役会の承認

ここで、一つ、引っかかった方がいると思います。全部見なくて、いいんですか、と。

ハッキリ言います。全部は、見なくていいんです。

むしろ、全部を見ようとすることが、問題なんですね。

絵を、思い浮かべてみてください。絵の具は、限られています。

その絵の具を、画面全体に薄くのばすと、どこも中途半端になる。本当に描きたい一点を、深く塗り込むことができないんです。

監査も、同じなんですね。広く薄く、ではなく、深く一点。

これが、戦略的な集中です。

リスクベース思考とは、完璧主義を、放棄することではありません。戦略的に、集中することなんです。

リスクの大きいところに、力を集中する。だから、リスクベースと呼ぶんですね。

では、何を見て、何を後回しにするのか。それは、思いつきで決めるものでは、ありません。

組織の戦略、目標、そしてリスク。これらを評価した、文書になった資料。

それに基づいて、計画を立てるんです。

これが、内部監査の国際基準が求めていることなんです。IIA、内部監査人協会が2024年に公表した、内部監査の国際基準、GIAS。

その基準9.4は、こう示しています。

監査計画は、文書化された評価に基づくこと。その評価は、少なくとも年に1回。

そして、計画は、取締役会の承認を受けること。戦略的な集中には、こうした根拠の裏づけがあるんですね。

計画に、急いで組み込む

このリスクベース思考が、世界規模で試された出来事があります。2020年初頭の、COVID-19パンデミックです。

皆さんも、覚えていますよね。オフィスが閉まり、出張が止まり、日常が一夜で変わりました。

内部監査の世界でも、3か月前に作った年間監査計画が、突然、使い物にならなくなったんです。

IIAが2020年4月に行った、北米中心の速報調査があります。

それによると、内部監査部門の75%が、パンデミックに対応して、監査計画を更新したんですね。3か月前の前提が、もう通用しない。

だから、計画を作り直したわけです。

この調査でもう一つ大事なのは、対応が、部門ごとに違ったことです。一部の部門は、新しいリスクに向き合うため、追加の監査テーマを立ち上げました。

別の部門では、予定していた監査を縮小しました。そして、監査スタッフを、本来の監査からいったん離して、会社全体の危機対応を支える側にまわしたんです。

同じ行動を全部門がしたのではなく、それぞれが、いま何が重要かを、選び直したんですね。

では、何が新しいリスクとして浮上したのか。まず、サイバーセキュリティです。

全社員が突然リモートワークに移ると、セキュリティの穴が、一気に広がりました。

米国では、FBI、連邦捜査局のサイバー犯罪の通報窓口に寄せられた苦情が、2020年に約79万件。前年から、69%も増えました。

偽のメールやサイトで情報を盗む、COVID関連のフィッシングも、急増しました。

そして、BCP、つまり事業継続計画。災害や感染症が起きても重要な業務を止めないための計画ですね。

その計画が、紙の上だけでなく、本当に機能するのか。内部監査が、確かめるべき対象になりました。

従業員の健康と安全をどう守るか。取引先からの供給が止まらないか。

重点外だった領域が、一気に最重要リスクに浮上したんです。

多くの部門では、従来の計画でのサイバーやBCPの優先度を、急いで見直す必要が生じました。だから、計画に、サイバーやBCPを、急いで組み込み直す。

限られた力を、いま最も大きいリスクに、振り向け直したんですね。

次の回へ

昨日まで最重要だったものが、今日もそうとは限りません。選び直せるかどうかが、力の差になるんですね。

では、いま重要だと決めたリスクは、ずっと同じままなのか。次の回で、その先を考えます。

見直す癖がつけば、期の途中でも、点検の順番を組み替えられます。