ガバナンス、内部監査、リスクって？？

1．内部監査とは何か～どんなことをやっているの？～

内部監査とはそもそもなんぞや？
「最近ちょくちょく言葉は聞くけど、会計士や監査法人が外からやってきてガシガシやるあれのこと？監査役って人もいるよね～あれとどう違うの？」よくある質問です。まずはその疑問にお答えしていきましょう。

内部監査とは、「組織体の運営に関し価値を付加し、また改善するために行われる、独立にして、客観的なアシュアランスおよびコンサルティング活動」と定義されています（The Institute of Internal Auditors  略称IIA：内部監査人協会)。

平たく言うと、皆さんの日々のオペレーション（業務）を独立した目から事後チェック（検証）する、です。が、チェックして終わり、ではありません。その結果の状況から会社にとってどうあるべきか（あるべき姿）を考え、会社が目標を達成する為の改善提案を出す必要があります。従来の内部監査は指摘することが主なゴールでしたが、近年では改善提案まで行うことが内部監査部門に求められる価値となっています。重責で大変な専門的な職業なのですが、会社を良い方向に進めることのできる貴重な部門のひとつです。

また、内部監査を語るときは、上述した定義中の「独立性と客観性」の2点が不可欠の要素となっています。なぜでしょう？これは、もしこれらが欠けていると自己監査となってしまい、チェックの意味がなくなってしまうまたは弱められてしまうこともあるからです。そして内部監査部門は、各部門から影響を受けないように各部門には通常属しません。もしどこかに属してしまうと、その部門に問題があっても指摘するのが難しくなりますよね。問題点を指摘して、もし降格などの不利益を被るなどと思いながらでは十分な活動がしにくくなるのは必定です。ですから、国際基準では、社長/代表取締役/CEOと取締役会に直属する旨が求められています。

２．ガバナンス上の重要な役割を担っている内部監査

2-1. 内部監査の重要性
では、今度は重要性の観点から内部監査をみていきましょう。
内部監査は、組織内のガバナンス、リスクマネジメント、そして内部統制の各プロセスの「有効性の評価と改善」を、内部監査の専門職として規律ある姿勢で体系的な手法をもって行うものであり、会社のガバナンス体制を構築していくためには欠かせない役割の一つとされています。

３様監査という重要キーワードがあります。これは、会社役員でもある監査役（会）による監査役監査、監査法人/公認会計士による外部監査と内部監査の３者を合わせた呼び名のことです。監査役監査や外部監査は投資家保護など外向きの目的、内部監査は社長の目と耳となり内部の運営の点検・改善のような内向きの目的などそれぞれに異なった立場と目的を有しています。このように、内部監査はコーポレートガバナンスの世界で非常に重要な位置付けとなっていることが分かると思います。

2-2. 内部監査を通じてのよくある＆重要な指摘事項

2-2-1  整備もそうだが運用は？
PDCAのPDまではやれているが、そこでやりっ放しのケース。D（整備）までして達成感で終わっているケース

2-2-2  人事異動や退職に伴う引継ぎは大丈夫？
１枚ペラの引き継ぎ書や、引き継ぎ書自体がなく口頭でちょちょっと伝えて聞いて終わりのケース。最近は退職代行サービスなどもあり、突然退職して残された社員が苦労するケースも散見されます。

2-2-3　おかしいと思うことをおかしいと言えない組織風土では？
忖度、自社のやり方に固執、妙なプライド、自社プロダクトへの過剰な自信などが原因。ちょっとした違和感を大切にしましょう。

2-2-4　職務分掌とレポートラインは明確ですか？
苦情や問題が発生した際の報告や共有はキチンとできていますか？
大きい金額が動く際の承認プロセスは明確ですか？
バッドニュースファーストで経営陣やマネジメントの耳にバランスよく情報が入るようになっていますか？

2-2-5　全てのビジネスパーソンが持つべきリスクに対する姿勢
そもそも関連するルールを知らない、知ろうとしないまたは教育の機会が全くないということはないですか？
正しい知識のインプットと高い意識を一人ひとりの社員が持つことが重要です。「これまでウチは大きな事件は起きてないし大丈夫だよね」しばしば聞くセリフです。本当にそうでしょうか？東芝、三菱電機、日産、かんぽ生命、オリンパス・・・名だたる大企業の社員もまさか自分の会社でそんな不祥事起きないでしょ、という意識がほとんどです。でも事実として起こったわけです。「まさかウチの子に限って」、の対岸の火事の意識ではなくだからこその意識を持てるかがポイントです。定期的な啓もうにより意識の弱まりを防止し、細かい傷から窓が割れる「割れ窓理論」を予防しましょう。また、社会経済情勢は常に高速で変化していきますので、最新の関連ルールを含めた情報キャッチ（＝正しい知識）が重要なのです。緩みがちな意識は、定期→継続→習慣化して常にフレッシュにアンテナを高く張っておきましょう！行動力と継続が全てです。

３．リスクとは

まずは定義の話
リスクとはそもそも何なのか。世には「リスク、リスク」っていう言葉がはびこっていますね。これを機にリスクの定義を改めて確認しておきましょう。分野によって定義が異なったりしますので明確に定義することは難しいのですが今日は１つだけ覚えて下さい。

リスクとは、「目的の達成に影響を与える可能性」のこと。
影響の大きさと発生可能性で測定されます。

リスクと利益
リスクは利益に付随していることが多いです。本質的には人も組織も不確実なものは回避したいと思うものです。だからこそリスクを負ってでも利益を得るために行動すべきか否かを警戒し迷います。では、どうすべきなのか。答えはリスクを「正しく評価し、正しい選択肢をとる」です。重要なのは、リスクは必ずしも行動することだけに伴うだけでなく、行動しない場合にもリスクが存在する可能性がある点です。リスクを取らない行動もまたリスクなのです。

リスクと利益の関係を例えるなら薬の作用と副作用が分かりやすいでしょう。「効果」という利益と「副作用」というリスクの関係です。効果を期待して薬を飲んだ場合、同時に副作用というリスクを負うことになります。つまり利益とリスクは光と影のように表裏一体の関係にあり、どちらか一方を選択した場合に付随してくるという一面があるのです。

通常は医師や薬剤師から効果と副作用の説明を我々は受けますよね。そしてその際に副作用について説明する場合、リスクという言葉が使われると思います。薬を服用することで得られる利益に対して、副作用による望ましくない症状というリスクを負います。しかし、それでも薬を服用するとしたら、それはリスクを負うだけの価値がある利益が存在するからです。

リスクは正しく評価し、「正しく恐れる」べし
それでは何を基準に人はリスクを負ってでも利益を得ようとするのでしょうか。リスクが取るに足らないものなら、利益を得るために躊躇なく行動できます。一方で許容できないリスクが想定される場合には、行動することに躊躇してしまうでしょう。そしてその「取るに足らない」とか「許容できない」ということを、どのように測定し評価するかというと以下のようになります。

リスク＝影響度×発生可能性

評価し終わったら、現在あるコントロール（統制）を加味して残ったリスク度合いをみて以下の４つの対処法を選択ていきます。

1. リスクの保有(許容する)
2. リスクの移転(保険などで転嫁する)
3. リスクの低減（統制強める）
4. リスクの回避（絶対に受け入れない）

人や組織の活動には、多かれ少なかれ何らかのリスクは付随します。リスクはゼロにはできません、が、コントロールはできます。重要なのは、リスクの意味と概念を正しく理解した上で、適切な評価と対応判断をすることですね。

「正しく恐れる」ということですが、本稿が皆様の様々なご判断の一助や契機となれば幸いです。