改善措置フォローアップにおける内部監査部門の責任【CIAパート3】

Contents

テーマ：「言いっぱなし」はプロの仕事ではない～改善の完了を見届ける責任～
【練習問題】パート3 セクションD-7-a

テーマ：「言いっぱなし」はプロの仕事ではない～改善の完了を見届ける責任～

セクションD-7-aは、監査報告書を発行した後のプロセスです。「悪いところを見つけて、報告書を出した。これにて一件落着！」と監査人が祝杯を挙げているとしたら、それは大きな間違いです。

内部監査の価値は「報告書を書くこと」ではなく、「組織が良くなること（リスクが低減されること）」にあります。

したがって、GIAS（グローバル内部監査基準）では、経営管理者が約束した改善策が本当に実行されたかを確認する「モニタリング（フォローアップ）」のプロセスを確立することを、内部監査部門長（CAE）の必須の責任としています。

1. 導入：責任の分界点（誰が何をやるか）

改善のフェーズにおいても、役割分担（3線モデル）は明確です。

経営管理者（第1線・第2線）：
- 責任： 改善措置の計画（Action Plans）を実行すること。
- 「いつまでに、どう直すか」を宣言し、実際に手を動かすのは彼らです。
内部監査部門（第3線）：
- 責任： 改善措置の進捗状況をモニタリング（追跡）し、完了を確認すること。
- 監査人が代わりに作業をしてはいけません（独立性の侵害）。しかし、「やったかどうか」をチェックする義務があります。

2. フォローアップ・プロセスの確立

CAEは、すべての監査業務における発見事項について、そのステータスを追跡するためのシステムやプロセスを確立しなければなりません。

何を追跡するか？
- 合意された改善措置の計画。
- （または）経営陣が受け入れたリスク受容の決定。
ステータスの分類例：
- 「完了（Completed）」
- 「進行中（In Progress）」
- 「期限切れ（Overdue）」
- 「リスク受容（Risk Accepted）」

★ポイント： フォローアップは「次の監査まで待つ」ものではありません。リスクの重要性に応じて、適切なタイミングで実施されるべきです。

3. フォローアップの手法（重要性に基づくアプローチ）

すべての改善措置に対して、再度現場に行って実査を行う必要はありません。リスクの重要度（Significance）に応じて、確認の深さを調整します。

リスクの重要度	フォローアップの手法
高（High）	再監査（Follow-up Audit）：実際にテストを行い、リスクが解消されたか証拠を入手して検証する。
中（Medium）	証拠の送付依頼：スクリーンショットや修正後の文書を送ってもらい確認する。
低（Low）	状態確認（Inquiry）：経営管理者へのメールや口頭での確認で済ませ、次回の定期監査でついでに見る。

4. 改善が進まない場合（期限切れへの対応）

経営管理者が「やります」と言ったのに、期限を過ぎても実行されていない場合、CAEはどうすべきでしょうか？

理由の確認： なぜ遅れているのか（予算不足、人手不足、優先順位の変更など）を聞き取ります。
リスクの再評価： 遅れることで、リスクが増大していないか評価します。
エスカレーション： 進捗が芳しくなく、リスクが放置されている場合、上級経営陣や取締役会に「未完了の改善措置リスト」を報告します。

「直せ」と命令する権限はありませんが、「直っていませんよ」と告げ口（報告）する強力なルートを持っています。

5. 試験で狙われる「ひっかけ」ポイント

×「監査報告書が発行された時点で監査業務は終了するため、その後の改善は経営陣の責任であり、監査人は関与しない」
- 解説： 間違いです。監査業務のプロセスには「モニタリング（フォローアップ）」が含まれています。完了を見届けるまでが監査です。
×「改善措置が完了していない場合、監査人は自ら是正措置を行い、リスクを低減すべきである」
- 解説： 何度も出ますが、独立性の侵害です。監査人は「実行」してはいけません。
×「すべての改善措置について、必ず次回の定期監査の際にまとめて確認しなければならない」
- 解説： 緊急性の高いリスク（例：サイバーセキュリティの脆弱性）の場合、次回の監査（1年後など）を待っていては手遅れになります。リスクに応じて即座にフォローアップする必要があります。