これら3つの計画視点は、相互に補完しながら機能します。複数年監査計画は、将来的に監査カバレッジやリソースの不足がどこで発生する可能性があるかを監査責任者に示します。年次監査計画は、現在の優先事項を正式に承認された監査活動へと落とし込みます。一方、四半期レビューは、リスクの変化に応じて監査チームが計画を柔軟に調整できるようにします。
| 複数年度監査計画 | 年次監査計画 | 四半期監査計画 |
|
複数年度監査計画は、主要業務、財務統制、および新興テクノロジーに対するリスクベースの監査カバレッジを導くための計画です。 |
年次監査計画は、リスクに基づく監査の優先事項を、その年度の組織目標および利用可能なリソースと整合させるための計画です。 | 四半期監査計画は、現在の優先事項に焦点を当てて監査活動を実施し、リスクや事業環境の変化に応じて監査対象範囲を調整するための計画です。 |
複数年度監査計画とは、数年にわたる保証業務およびアドバイザリー業務のローリング予測です。リスク、過去の監査実績、リソース、スキルを関連付けることで、現在の意思決定が将来の保証活動へどのような影響を及ぼすかを可視化します。この予測は、組織目標や事業環境の変化に合わせて柔軟に更新されます。一部の組織では、複数年監査計画の策定自体が規制要件となっています。効果的な複数年計画は、適切なリスク評価と専門的判断に基づきます。
3年間の予測計画において、サードパーティリスク監査が翌年に予定されており、ERPレビューが当年度に予定されていると想定してみてください。しかし、重大なサプライヤー関連の事故が発生したことで状況が変わります。内部監査部門は、サードパーティリスク監査を前倒しで実施し、ERPレビューの範囲を縮小したり、実施時期を変更したりする可能性があります。年次計画には、この直近の変更が反映されます。一方で、複数年予測計画は、その変更が将来の監査カバレッジやリソースの余力にどのような影響を与えるかを示します。承認済みの監査計画に対する重要な変更については、IIA（内部監査人協会）のグローバル内部監査基準に基づき、引き続き取締役会および上級経営陣との協議が必要であり、取締役会の承認を得なければなりません。四半期レビューは、定期的な確認ポイントとして機能します。一方で、重要な事象が発生した場合には、それより早い段階で計画変更が必要となることもあります。
有用な予測計画は、組織がどのように運営され、何を達成しようとしているのかを反映した監査ユニバースから始まります。各領域について、監査チームは現在のリスク、これまでの監査カバレッジ、他の保証提供元（アシュアランスソース）、および実施時期に影響を与える監査サイクルや規制上の要件を理解するために十分な情報を把握しておく必要があります。そのうえで、計画では、実施候補となる監査案件、想定される工数、必要なスキル、依存関係、そしてなぜその期間に監査を配置するのかという理由を示すことができます。また、延期された監査業務や、監査範囲が縮小された業務についても明確に見えるようにしておく必要があります。
IIA（内部監査人協会）の基準9.4では、最高監査責任者（CAE）が少なくとも年に1回、組織の戦略、目標、およびリスクに関する文書化された評価に基づいて監査計画を策定し、状況の変化に応じてその計画を更新することを求めています。複数年の予測計画は、このプロセスをより多くの情報に基づいて実施できるようにしますが、最新のリスク評価や承認済みの年次監査計画の必要性に取って代わるものではありません。複数年予測は、年次の計画策定における意思決定が、時間の経過とともにどのような結果をもたらしていくのかを示すものです。
地域や業界によって定められた規制は、複数年度監査計画を採用する直接的な理由となり得ます。その義務は、管轄区域および機関の種類によって異なります。監査責任者は、要求される計画期間、レビュー頻度、承認プロセスを含め、各組織体に適用される規則を特定する必要があります。
金融セクターは、規制がどのように複数年度監査計画を推進するかを示す一例です。ルクセンブルクを含む一部のEUの管轄区域では、対象となる金融機関は複数年にわたる監査計画を維持し、毎年その見直しを行わなければなりません。米国の監督当局のガイダンスもまた、年次のリスク評価フレームワークを認めつつ、適切なリスクカバレッジを実現するために、3年または4年の監査サイクルによる複数年計画を一般的に実践されているアプローチとして認識しています。より長期の計画期間は、状況の変化に応じた柔軟性を維持しながら、監査責任者が規制上の義務、リソース、および新たに発生するリスクを整合させることを支援します。
義務付けられた複数年監査計画であっても、アジャイル監査を支援することは可能です。監査リーダーは、適用されるカバレッジ要件および承認要件を満たしながら、リスクの変化に応じて優先順位を調整できます。必須レビュー、期限、そして変更理由を記録することで、チームはどの業務を移動できるのか、またどこで追加のリソースが必要になる可能性があるのかを把握できます。より長い計画期間を持つことで、規制上のコミットメントと新たに顕在化するリスクを、同じ計画策定の議論の中に取り込むことができます。
複数年監査計画の信頼性は、その前提条件の信頼性に左右されます。組織は、要員数、コソーシング・パートナーへの依存度、予想される事業変革イニシアチブ、想定される規制動向、重要な技術投資、ならびに他部門によって提供される予定のアシュアランス活動といった主要な前提条件を文書化すべきです。
明確な前提条件があれば、将来の変更を評価し説明することが容易になります。優先順位が変化した場合、リーダーはその変更がリスク評価の更新によるものなのか、リソースの変化によるものなのか、事業上の出来事によるものなのか、あるいは計画策定時の前提条件が不正確であったことによるものなのかを判断できます。文書化された前提条件は、監査委員会および経営幹部のステークホルダーとの計画策定に関する議論をより強固なものにします。
年次監査計画は、それ自体で十分に妥当なものであり得ますが、数年という視点で見ると重要なギャップを残す可能性があります。年次計画は最も緊急性の高い業務を明確にしますが、新たに顕在化したリスクによって繰り返し後回しにされる監査は、見落とされやすくなります。ローリングビューは、ある領域が最後にレビューされた時期、次にいつ対象となる可能性があるか、そしてどの程度の頻度で延期されてきたかを示します。こうした履歴は、CAE（最高監査責任者）が、意図的な判断によるものなのか、それとも単に積み重なった監査上の空白なのかを区別するのに役立ちます。
リスクベース内部監査は、組織にとって最も重要なリスクに対して適切なアシュアランスが提供されているかどうかに焦点を当てます。一方で、監査リーダーは、どのリスク、プロセス、および事業体がレビューされ、どれが未レビューのままであるかを把握する必要もあります。複数年の視点は、監査ユニバース全体にわたるカバレッジを、固定的な部門ローテーションではなく、事業目標およびリスクと結び付けるものです。
変化が激しく高リスクな領域では、より頻繁な監査や、より深度のある監査が必要となる場合があります。一方で、安定した低リスクの領域では、より限定的なレビュー、継続的なモニタリング、あるいは内部監査がその業務を評価した他のアシュアランス提供者への依拠が適切である場合があります。また、一部の規制対象組織は、特定の監査サイクル上の要件を満たさなければなりません。これらの要求をまとめて捉えることで、監査サイクルを業務スケジュール策定の唯一の理由として扱うのではなく、規制当局の期待と新たに顕在化するリスクとのバランスを取りやすくなります。
サイバーセキュリティ関連の業務に対応するため、調達監査が2回延期されたと仮定します。サイバーセキュリティを優先するという判断自体は妥当であるかもしれませんが、より長期的な視点に立つことで、調達領域における監査上の空白が可視化されます。CAE（最高監査責任者）は、調達監査の対象範囲を縮小するのか、他のアシュアランス活動を活用するのか、リソースを追加するのか、あるいは残存するエクスポージャーについて監査委員会に説明するのかを判断できます。この議論は、単なるスケジュール変更の話ではなく、リスクとアシュアランスに関する議論となり、そのスケジュール変更も文脈の中で説明されることになります。
多くのチームは、まず数年分の監査業務をスプレッドシート上でモデル化します。監査ユニバースが小規模であれば、このアプローチは管理可能かもしれませんが、リスク評価、過去の監査実施日、監査サイクルに関するルール、そして人員配置に関する前提条件が変化するにつれて、スケジュールの維持はより困難になります。あるファイルで更新された評価結果が別のファイルのスケジュールに反映されないこともあれば、取締役会向けのプレゼンテーション資料がさらに別のバージョンを反映していることもあります。こうした複数の見解を照合する作業によって、本来その計画が支援するはずの議論に割くべき時間や労力が圧迫される可能性があります。
多くのチームは、まず数年分の監査業務をモデル化するためにスプレッドシートを使用します。構造化されたプロセスでは、一貫したデータと定義されたスケジューリング上の前提条件を用いて、計画立案の出発点となる予測を作成できます。また、監査サイクルの期限、業務が集中し過ぎている四半期、あるいは計画されたカバレッジが存在しない領域にチームの注意を向けることができます。その後、監査担当者は、それらの結果が依然として妥当であるかどうかを検討することに、より多くの時間を費やすことができます。
数年にわたる計画策定を行うことで、年次計画の一覧だけでは気付きにくい相違点が明らかになります。類似したリスク評価を持つ2つの領域であっても、その監査スケジュールは大きく異なる場合があります。ある領域では他部門による強力なモニタリングが行われている一方で、別の領域では急速な変化が進行している可能性があります。計画に、最新の評価結果、過去のアシュアランスの範囲、提案されたレビュー実施のトリガー、そして監査を延期した理由が記録されていれば、将来その計画を確認する担当者は、過去の議論を一から再構築することなく、その違いを理解することができます。
一貫性のある計画策定では、監査ユニバース全体に対して同じ基本的な問いを適用し、専門的判断によって異なる結論に至った箇所を記録します。明確な記録は、前提条件に対して検証や見直しを行うことができるため、将来予測に対する信頼性を高めます。また、経営層の交代があった場合や、かつては遠い将来の問題と思われていたリスクがより差し迫ったものになった場合にも役立ちます。
監査委員会への報告は、多くの場合、その年度にチームが完了した業務、延期した業務、あるいは追加した業務を中心に行われます。完了状況や延期状況に関する指標は重要ですが、それだけでは計画の対象外となっている領域について十分に示すことはできません。複数年の視点を持つことで、個々の監査業務を延期した影響、依然としてアシュアランスの提供を待っている領域、そして重要なカバレッジ上のギャップを解消するために必要なリソースを示すことができます。その結果、監査委員会は、内部監査が予定どおり進捗しているかどうかだけを議論するのではなく、期待されるカバレッジが組織のリスクプロファイルと整合しているかどうかについて議論することができるようになります。
Standard 9.4では、リソースの制約、高リスク領域におけるアシュアランス提供を見送る理由、ならびに監査計画における重要な変更について、適時に報告することが求められています。ローリング予測は、実施されなかったレビューが不意の問題となる前に、こうした事項を明らかにするのに役立ちます。複数年計画の維持が義務付けられている組織にとっては、提案される変更が規制上の要件にどのような影響を及ぼすかを説明する上でも、この予測は有効です。簡潔な監査委員会向け報告には、承認済みの年次監査計画、より長期的な予測、重要なカバレッジ上のギャップ、主要な前提条件、そして前回の議論以降に何が変化したのかを含めるべきです。
監査計画における制約は、利用可能な時間数だけであることはほとんどありません。監査部門全体として十分な遂行能力を有していたとしても、必要な時点で適切な専門知識を持っていない場合があります。将来を見据えることで、複数のテクノロジー、サイバーセキュリティ、アナリティクス、またはデータ集約型の監査業務が同じ時期に集中していることが明らかになる場合があります。その結果、CAE（最高監査責任者）は、人材育成を進める、コソーシングの手配を行う、実施時期を調整する、あるいはより十分な根拠に基づいたリソース要求を行う機会を得ることができます。
例えば、内部監査部門が組織によって1年後に導入予定の新しいクラウドベースのシステムを監査する計画を立てている場合、スキル向上のための時間を確保することができます。その監査では、クラウドセキュリティ、自動化された統制、そしてサードパーティリスクに関するスキルが必要になる可能性がありますが、チームは現時点ではこれらの分野に関する経験が限られているかもしれません。複数年計画の中でそうしたニーズを特定することで、監査リーダーは監査開始前に、研修の手配、専門人材の採用、あるいは外部支援の確保を行うための時間を得ることができます。さらに、より長期的な視点は、計画された監査業務とスキル開発を、監査部門の内部監査戦略と結び付けることにも役立ちます。
計画期間は、適用される規制要件および組織のニーズを反映したものであるべきです。特定の計画期間が求められていない場合でも、将来のカバレッジや人員配置の必要性を可視化するには、一般的に2年から3年程度で十分であり、遠い将来の日付を過度に正確なものとして扱う必要はありません。文書化されたリスク評価は少なくとも年に1回更新されるべきであり、重大な事業上の出来事が発生した場合には、将来予測もそれに応じて変更されるべきです。四半期ごとのレビューでは、監査スケジュールを、新たなリスク、監査業務の結果、事業上の重要なマイルストーン、そして人員の稼働状況と照らし合わせて評価することができます。重大な事象が発生した場合には、より早期の計画調整が必要となることもあります。
優先順位が変更されるたびに、チームはどの業務が後回しになったのか、他のアシュアランスが引き続き利用可能なのか、そしてどの重要なリスクが現在では計画上のカバレッジを欠いているのかを問い直すべきです。その回答は、将来予測の次の版に反映されるべきです。内部監査テクノロジーは、既存の監査データと設定されたサイクル手法を活用して、監査担当者が根拠を文書化したうえで調整可能な予測を生成することにより、その履歴の維持を支援し、また計画策定の透明性を向上させることができます。
複数年監査計画の価値は、それによって可能となる対話と、その対話を支える準備にあります。監査チーム内では、より長期的な視点を持つことで、戦略的な監査に備える時間を確保し、新たなスキルを習得し、必要に応じて追加の専門知識を取り入れることが可能になります。監査委員会にとっては、この計画によってカバレッジとトレードオフがより可視化されます。これにより、なぜある監査業務をより早く実施する必要があるのか、どの業務を後回しにせざるを得ないのか、そして現在のリソースに関する意思決定が将来のアシュアランスにどのような影響を与えるのかについて、議論を行いやすくなります。
複数年計画は、適応の余地を残しながら方向性を示します。監査リーダーは、将来のリスク、カバレッジ上のギャップ、そして必要となる能力を見据えつつ、変化する事業環境に対応することができます。その結果、監査部門は、今後予定されている監査業務だけでなく、その過程で生じる変化に対しても、より良い準備が整った状態となります。
フォームを表示するには、Cookieの設定を変更する必要があります。下のボタンをクリックして設定を更新し、すべての Cookie を受け入れるようにしてください。詳細については、「プライバシーと Cookieに関するお知らせ」をご覧ください。
