内部監査のリスク評価｜固有リスクと残存リスクの見方

📌 結論　固有リスクから出発する

内部監査の対象を選ぶとき、いきなり気になる部署を挙げるのではなく、リスクの評価から入ることが求められます。その評価で最初につまずきやすいのが、統制を織り込んだ状態のリスクだけを見てしまうことです。今は問題が起きていないから大丈夫だという判断は、統制が止まった瞬間に何が起きるかを見落とします。

実務では、統制がない状態を想定した固有リスクをまず評価し、そのうえで現に行われている統制を確かめて残存リスクを出すという順序で進めます。固有リスクが大きい領域は、統制があっても定期的に見る対象として残します。

🧭 リスク事象と要因を書き出す

リスクの識別で有効なのは、起きてほしくない事象と、その事象を引き起こす要因を分けて書くことです。売上が過大に計上されるというのが事象であり、出荷の記録と売上の計上が別々に行われている、期末に売上目標の未達が生じているといったのが要因です。

要因まで下ろすと、確かめるべき対象が具体的になります。事象のレベルで止めると、売上を見るという漠然とした計画にしかなりません。要因を書き出すと、出荷記録と売上計上の突合、期末月の売上の推移といった具体的な手続に落とせます。

要因を探すときは、業務の流れに沿って、どこで人の判断が入るか、どこで記録が分断されるか、どこで1人で完結できるかという3点を見ていくと出てきやすくなります。

📊 頻度と影響度をどう評価するか

リスクの大きさは、起きる頻度と起きたときの影響度の2つで測ります。数値で厳密に出す必要はなく、3段階か5段階で構いません。重要なのは、判断の根拠を書いておくことです。頻度を高いとした理由が過去に発生しているからなのか、取引の件数が多いからなのかで、後から見直すときの意味が変わります。

影響度については、金額だけで測らないようにします。上場準備の会社では、金額が小さくても、審査に影響する事象や、報道されると信用を失う事象のほうが重いことがあります。金額、法令違反の有無、上場審査への影響、社会的な信用という複数の軸で見ると実態に近づきます。

評価した結果は、縦軸に影響度、横軸に頻度をとった図に並べます。右上に来た領域が優先度の高い監査対象です。図にすると、経営に説明するときにも、なぜその部署を選んだのかが伝わりやすくなります。

🗂 統制を確かめて残存リスクを出す

固有リスクを評価したら、次にその領域で現に行われている統制を確かめます。ここで見るのは、統制があるかどうかだけでなく、その統制がどの種類のリスク対応を意図したものかという点です。

たとえば、承認の手続は発生頻度を下げるための統制であり、取引額の上限は影響度を下げるための統制です。両方が必要な領域に片方しかなければ、そこが残存リスクとして残ります。統制を数えるだけでは、この不足は見えません。

また、リスクを保有すると判断している領域については、その判断が誰によって行われたかを確かめます。少額だから調査しないという運用が、担当者の判断で始まっているのか、経営として決めたことなのかで、意味がまったく違います。

⚖️ 評価の見直しと記録

リスク評価は年に1回、年度計画を作る前に見直します。事業の内容が変わった、新しいシステムを入れた、拠点が増えた、人が大きく入れ替わったといった変化があれば、リスクの姿も変わります。前年度の評価をそのまま使うと、新しく生じたリスクが計画に反映されません。

見直しの材料としては、監査法人からの指摘、内部通報の傾向、前年度の監査で見つかった事項、経営会議で議論された論点が使えます。これらを集めるだけで、変化の兆候はかなり拾えます。

記録としては、評価表と、対象の選定理由を残します。審査で問われるのは、リスク評価をやったかどうかではなく、その結果として選んだ対象に説明がつくかどうかです。評価表があれば、なぜその部署を選び、なぜ別の部署を後回しにしたのかを一貫して説明できます。

❓ よくある質問

📄 まとめ

リスク評価は固有リスクから出発します。統制を織り込んだ状態だけを見ると、統制が止まったときに何が起きるかを見落とします。

リスクは事象と要因に分けて書きます。要因まで下ろすことで、確かめるべき手続が具体的になります。

頻度と影響度は3段階か5段階で足ります。点数より、そう評価した根拠が書かれていることが重要です。

統制を見るときは、どの種類のリスク対応を意図したものかを確かめます。数えるだけでは不足が見えません。

評価表と選定理由を残しておけば、なぜその部署を選んだのかを審査で一貫して説明できます。

本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。実際の制度設計や運用にあたっては、監査法人および主幹事証券会社にご確認ください。

📚 参考（公的な一次情報）

• 内部監査基準（一般社団法人日本内部監査協会）
• 財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）（金融庁）
• 会社法（e-Gov法令検索）
• 新規上場ガイドブック（日本取引所グループ）