#26　リスクの地図は塗り替わる

内部監査入門（事件でわかる、内部監査の考え方）｜第26回／章「リスク」｜読了 約4分

その問いに、答えを出す

リスクベース思考では、リスクは多く、監査の力は限られているからこそ、影響度と発生確率で優先順位をつけて、戦略的に集中します。

その考え方は、COVID-19のパンデミックで、世界規模で試されました。

リスクは、この先も、変わり続けるのか。今回は、その問いに、答えを出していきます。

会社に流されない、目

パンデミックが教えてくれたのは、リスクベース思考は、一度決めたら終わり、ではないということなんです。環境が変われば、リスクの地図も変わる。

地図になかった山が、突然、目の前にあらわれる。だから、地図そのものを、塗り直し続けなければならないんですね。

この変化は、調査の数字にも、はっきり表れています。IIA、内部監査人協会は、北米の内部監査部門に、毎年、意識調査を行っています。

いま何を高いリスクと見ているかを、たずねる調査ですね。

その2023年版では、サイバーセキュリティを、高い、または非常に高いリスクと答えた部門が、78%でした。

そして、翌年の2024年版では、新しいテーマが前に出てきます。AIです。

40%以上の内部監査リーダーが、AIをどう活用できるか、調べ始めていました。実際に使い始めた、というよりも、その可能性を探っている段階ですね。

サイバーに加えて、AIも新たな検討テーマとして浮上しました。リスクの地図は、こうして、毎年のように更新されているんです。

北米中心の調査ではありますが、優先テーマがどう動いているかを見る、よい参考になります。

だから、監査計画も、固定ではいられません。年に1回作って終わり、ではなく、環境の変化に合わせて、見直し続ける。

現場に出向かず、オンラインで資料やデータを確認しながら進める、リモート監査やハイブリッド監査も、定着しました。

ここに、内部監査の大事な役割があります。地図が塗り替わったとき、それにいち早く気づいて、今、最も見るべきはどこかを、経営層に伝える。

もちろん、リスクを管理する責任は、あくまで経営にあります。

でも、その経営が、見落としているかもしれない変化を、経営とは別の、独立した立場から指摘する。そして、自分たちの監査計画にも、反映していく。

会社の中にいながら、会社に流されない目。それが、内部監査なんですね。

古い地図を、そのまま信じない

ここで、皆さん自身のことを考えてみましょう。皆さんが、何かの計画や、ルールの一覧を、引き継いだとします。

これは、内部監査の部門でも、他のどの部署でも、同じです。

たとえば、内部監査の部門なら、前任者から、リスク評価表や、監査計画を受け取るかもしれません。

そのとき、いきなり中身の良し悪しを判断しようと、しなくて大丈夫です。

まず見てほしいのは、その資料が、最後に更新された日付です。その評価は、いつの事業環境を前提にしているのか。

リモートワーク、サイバー、AI。そうした変化が、反映されているのか。

日付を見るだけで、リスクベース思考の、第一歩なんですね。

これは、内部監査の部門に限った話では、ありません。皆さんの今いる部署にも、何年か前に作られたままの、ルールや手順があるかもしれません。

古い地図を、そのまま信じるのではなく、いまの地形に合っているかを確かめる。その目を持てるかどうかなんです。

リスクと向き合う、姿勢

ここで、この章で学んできたことを、振り返りましょう。私たちは、リスクという、つかみどころのないものを、3つの問いで、ひとつずつ、ほどいてきました。

一つ目は、リスクとは何か。リスクは、単なる悪いことではなく、目的に対する不確実性でした。

良い方向にも、悪い方向にも、転びうるものでしたね。

リスクがあると分かった。では、どうするのか。

これが二つ目の問いです。皆さんは、回避、軽減、移転、受容、そして活用。

この5つの選択肢を、手に入れましたよね。なりゆきでなく、意識して選ぶことが、大事でした。

そして、選択肢があっても、全部には手が回らない。だから、どこから手をつけるか。

戦略的に集中する。これが三つ目です。

この3つの問いは、ばらばらではなく、不確実性から、対応の選択、そして重点化へと、一本につながっているんですね。

この章で、覚えておいてほしいことを、お伝えします。リスクの地図は、一度描いたら終わり、ではありません。

環境が変われば、地形が変わる。だから、計画も、塗り直し続ける。

立ち止まらずに、見直し続ける。これが、リスクと向き合う姿勢なんですね。

皆さんが手に入れたこの姿勢は、これから先、どんな仕事でも、きっと支えになります。

次の回へ

塗り直すのは、失敗したからではありません。まわりが動いたから、描き直すんですね。

リスクの話は、ここでひと区切りです。決めた重点を、会社はどう押さえるのか。

次の回から、そこに入っていきます。押さえ方が分かれば、自分の仕事のどこに歯止めがあるかを言えます。