新興リスクとテクノロジー｜AI・RPA・ブロックチェーン監査【CIAパート3】

Contents

テーマ：組織を「輪切り」にする視点～何を監査単位（Entity）とするか～

セクションB-1-bは、監査対象領域（Audit Universe）という大きなパイを、どのようにカットして、一つひとつの「監査可能な単位（Auditable Entity）」として識別するかというテーマです。

試験では、単に「営業部」や「経理部」といった組織図上の箱だけを監査対象と捉えるのではなく、ビジネスプロセス、戦略的プロジェクト、リスクの塊といった多角的な視点で構成要素を分解できるかが問われます。

監査対象領域（ユニバース）を作成する際、最も簡単な方法は「組織図」をコピー＆ペーストすることです。しかし、これだけでは不十分です。

なぜなら、現代のリスクは部門をまたがって（Cross-functional）存在するからです。例えば、「サイバーセキュリティ」というリスクは、IT部門だけの問題ではありません。人事（教育）、総務（物理アクセス）、業務部門（パスワード管理）など、全社にまたがります。

GIASの視点： 監査対象領域の構成要素（監査可能な単位）は、組織の構造だけでなく、戦略、目標、およびリスクに基づいて識別されなければなりません。

試験対策として、監査対象を識別するための4つの主要な切り口（コンポーネント）を覚えましょう。

組織構造（Organizational Structure）：
- 部門、支店、工場、子会社など。
- 最も基本的ですが、縦割り（サイロ）のリスクしか見えない可能性があります。
共通プロセス・機能（Common Processes/Functions）：
- 調達から支払（P2P）、採用から退職、IT全般統制など。
- 複数の部門を横断する業務フローを一つの単位とします。
戦略的イニシアチブ・プロジェクト（Strategic Initiatives）：
- 大規模なシステム導入（DX）、M&A統合プロジェクト、新市場参入、サステナビリティ推進など。
- これらは「部署」ではありませんが、高リスクかつ高付加価値な重要な監査対象です。
資産・情報（Assets/Information）：
- 特定の重要資産（例：工場の大型設備）や、データ群（例：顧客データベース）そのものを対象とする場合。

イメージ：「人体」を検査（監査）する場合、

部位別： 「手」「足」「頭」（組織構造）

システム別： 「血管」「神経」「消化器」（プロセス）

イベント別： 「骨折の治療」「手術後の経過」（プロジェクト）医師（監査人）は、これらを組み合わせて最適な検査対象を定義します。

構成要素を識別する際、「どのくらいの大きさで切り分けるか」が重要です。

大きすぎる場合： （例：「製造本部」全体を1つの単位とする）
- リスクが埋没し、焦点がぼやけた監査になりがちです。
細かすぎる場合： （例：「工場Aの第1ラインのネジ締め工程」を1つの単位とする）
- 監査対象の数が膨大になり管理不能になります。また、戦略的な重要性が低い監査が増えます。

正解のアプローチ： 「リスク・プロファイル」に基づいて粒度を決めます。リスクが高い領域は細かく分解し、リスクが低い領域は大きくまとめます。

識別された構成要素は、それぞれ固有の「リスク」と「コントロール」を持っています。 CAEは、識別した監査単位ごとに、以下を紐づけて理解する必要があります。

これにより、構成要素のリストは単なる「名簿」から「戦略的な監査マップ」へと進化します。

×「監査対象領域の構成要素は、一度定義したら固定すべきである」
- 解説： 間違いです。組織再編や新プロジェクトの発足により、構成要素は常に変化します。動的に見直す必要があります。
×「外部委託先（アウトソーシング）は社外の組織であるため、監査対象領域の構成要素には含まれない」
- 解説： 誤りです。重要な業務を外部委託している場合、その委託業務（または委託先管理プロセス）は、内部監査の範囲に含めるべき重要な構成要素です。
×「『組織図上の部門』と『業務プロセス』が重複する場合、どちらか一方のみをリストアップすべきである」
- 解説： 必ずしもそうではありません。例えば「IT部門監査（組織）」と「サイバーセキュリティ監査（テーマ）」は重複しますが、視点が異なるため、両方を別々の監査対象としてリストアップし、リスク評価の結果に応じてどちらを実施するか（あるいは両方実施するか）を決めるのが一般的です。