#39　リスクが変われば、監査も変わる

内部監査入門（事件でわかる、内部監査の考え方）｜第39回／章「独立性と倫理」｜読了 約4分

答えのない、新しさ

内部監査人には、倫理の5原則があります。誠実性、客観性、専門的能力、正当な注意、秘密保持。

このうち専門的能力を、正しく発揮するには、力がいるんですね。世界が変われば、組織が向き合うリスクも、変わっていきます。

今回は、その専門的能力に、踏み込んでいきます。変わり続けるリスクに、内部監査人の力は、追いつき続けられるのか。

そこを、見ていきましょう。

少し、想像してみてください。ある朝、ニュースで、大きなデータ問題が報じられました。

それを見た、皆さんの会社のCEOが、ふと、内部監査部門に聞くんですね。「うちは、こういうデータの扱い、大丈夫なんだろうか」。

さあ、皆さんなら、何から確かめますか。

どんなデータプライバシーの規制があるのか。自社のどの業務に、それが関わるのか。

もし、すぐに答えられなかったとしても、それは、恥ずかしいことではないんです。リスクが新しすぎて、まだ誰の手元にも、答えがない。

問題は、その分からなさに、どう向き合うかなんですね。

責任は、手放せない

内部監査人に求められるスキルは、大きく変わっているんです。従来は、会計と財務の知識が、中心でした。

帳簿を見て、数字の辻褄が合っているかを確認する。それが、主な仕事だったんですね。

でも、今は違います。会計という母語だけでは、新しいリスクの言葉が、聞き取れない。

リスクは、次々と、新しい言語で話しかけてくるんです。

その新しい言語が、何かというと。データ分析、英語でData Analytics、大量のデータから傾向や異常を読み取る技術ですね。

サイバーセキュリティ、情報システムを攻撃から守る領域。ESG、環境や社会、ガバナンスへの取り組みが正しく開示されているか。

そして生成AI。リスクの種類が、爆発的に増えているんです。

ここで大切になるのが、専門的能力の、2つの側面なんですね。1つ目は、自分の能力の範囲を、知ること。

自分の力を超える業務は、引き受けない。誠実性の話とも、つながります。

分からないことを、分かったふりをしない。自分を過信せず、限界を見極める。

それが、プロとしての出発点なんです。

2つ目は、外部の専門家を、活用することです。全てを自分で、知る必要はありません。

GIAS 2024、内部監査の世界共通の基準でも、組織内で確保できない専門能力は、外から調達してよいと、認められています。

たとえばサイバー攻撃の監査なら、専門の会社の力を借りて、内部監査人と一緒にチームを組む。これを、コソーシングと呼ぶんですね。

ただし、外に出したからといって、責任まで手放せるわけではないんです。誰に任せ、その結果をどう確かめるか。

そして、出てきた監査の結論と品質に、責任を持つのは。最後まで、内部監査の側なんですね。

心理プロファイル

2018年、世界を揺るがせた事件があります。Cambridge Analytica事件ですね。

きっかけは、ある性格診断アプリでした。「This Is Your Digital Life」という名前の、クイズアプリ。

約27万人が、ダウンロードしたんです。

ところが、このアプリは、裏で別のことをしていました。

Facebookの仕組みを通じて、ダウンロードした本人だけでなく、その友人のプロフィール情報まで、取得していたんですね。

結果、27万人を起点に、最大8,700万人分のプロフィール情報が、不適切に共有されてしまいました。

冒頭のCEOが案じていたのは、まさに、こういう事態なんです。

ここが、ポイントなんです。本人が同意したのは、自分の情報だけでした。

それなのに、友人のネットワークを経由して、規模が、芋づる式に広がってしまった。同意した範囲と、実際に広がった範囲が、まったく違ったんですね。

集められた情報は、心理プロファイルの構築に使われました。一人ひとりの考え方の傾向を、データから推定するんですね。

そしてその心理プロファイルは、Cambridge Analytica社を通じて、2016年の米国大統領選挙の選挙運動に、利用されてしまいました。

あの事件の、とき

この事件を受けて、FTC、アメリカの連邦取引委員会が、Facebookに制裁金を課しました。その額、50億ドル。

日本円にすると、当時のレートで、およそ5,400億円です。FTC史上、最高額でした。

データの扱い方が、これほど重い責任を、企業に問うようになったんですね。

この回で、覚えてほしいのは、ここです。リスクが変われば、監査も変わる。

会計の知識だけでは、もう追いつけない領域が、生まれているんです。だからこそ、専門能力には、2つの側面がありました。

1つは、自分の限界を、知ること。もう1つは、外部の力を、借りること。

全てを自分で知る必要は、ないんです。

さて、最初の場面に、戻りましょう。CEOから、データの扱いは大丈夫か、と問われたとき。

きちんと監査できる人が、どれだけいたのか。あの事件のとき、答えはまだ、誰の手元にもなかった。

誰もが、手探りだったんです。だからこそ、学び続ける力が、要るんですね。

次の回へ

分からないと言える人が、いちばん頼りになります。皆さんの職場では、その一言が出ていますか。

では、その足りなさを埋める力は、どこから来るのか。次の回で、その源をたどります。

全てを自分で抱えなくていいと知っていれば、手に負えない案件で、詳しい人を早く呼べます。