リスク・マネジメント・プロセスの評価

リスク管理のしくみを、内部監査はどう確かめるのか

オーディットコア・ハブのアキラです。この記事では、CIA試験の学習目標をひとつ、読み物として整理していきます。

今回のテーマは、リスクを管理するしくみの確かめ方です。適切に設計され、有効に動いているかを、内部監査部門がどう確かめるのか。

内部監査とは、組織の中にいながら、組織のしくみがうまく働いているかを確かめる仕事です。その確認を独立した立場で行うのが、内部監査なんですね。

私と一緒に、誰が何をする役なのかという線引きから見ていきましょう。

内部監査部門の評価の主眼は、経営管理者の代わりにリスクを管理することではなく、経営管理者がリスクを識別・評価・対応するプロセスの設計と運用である。

この一文が、今回の暗記対象なんです。扱う学習目標は「組織体のプロセスや部門におけるリスク・マネジメントについて説明する」です。

この記事は、その中の細目を見ていきますね（学習目標P1-C-06-a）。ひとことで言えば、リスクを管理するのは経営管理者です。

そのプロセスが有効かを独立して評価するのが内部監査部門、ということなんです。

この記事で分かること

• 内部監査部門がリスク・マネジメント・プロセスの有効性を評価するとき、何を見て、どこから先は見ないのか（GIAS 2024〔グローバル内部監査基準: Global Internal Audit Standards〕基準9.1）
• 経営管理者のリスク情報に依拠してよい（そのまま使ってよい）のは、どんな条件がそろったときか（基準9.4）
• 出題型は3つ。切り方は「主体と動詞」

リスクを管理するしくみが、適切に設計され、有効に動いているかを確かめる（P1-C-06-a）

よくある誤解

次に挙げるのは、内部監査部門によるリスク・マネジメント・プロセスの評価を説明する場面での記述です。

どれも、単独の記述として、つまりその一文だけで示されたら誤りになります。

• 経営管理者が出したリスク評価の結果をそのまま受け入れ、監査計画に反映することが最も重要である
• 組織の中にあるリスクを内部監査部門が独自に洗い出し、一覧にまとめることが最も重要である
• リスク管理の規程が詳しく文書化され、全従業員に配布されていることを確認できれば、有効性を評価したことになる
• 内部監査部門は、組織のリスクを管理する主体である

どれも、こうして並べられると、それらしく見えてきませんか。1つ目は、評価そのものを投げ出しています。

2つ目は、経営管理者の責任の肩代わりです。経営管理者とは、つまり、組織の仕事を実際に動かして責任を負う立場の人たちのことなんですね。

3つ目は、形だけを確かめて終わっている例になります。そして4つ目は、前の3つを生み出しているおおもとの取り違えなんです。

なお、リスクの定義、リスク選好とリスク許容度、リスク対応の分類は、リスクの定義と対応の回（P1-C-05）で扱いました。

ここではプロセスを評価する側の話に絞ります。頭の中も、いったん評価する側に切り替えておいてください。

全文が読める見本: 3ラインモデル、戻せるのは「いつの時点」か、それとも「どれだけ早く」か、外部評価の実施間隔