" 発生事実（不祥事／不正行為） " が発生しない上場会社の内部監査 Part. 14 - フォローアップ② -
上場会社での発生事実（不祥事／不正行為）が跡を絶たない昨今、内部監査はその責務を果たすため、どのようにしたら良いでしょうか。
直近事例を内部監査の目線でみていきます。
フォローアップをどう行うか？
今回は前回Part.13「フォローアップ」の続きとなります。理由は、今回の直近事例は内部監査の皆さんの業務にとってとても参考になる事例であり、大きな不祥事のときだけでなく普段の指摘事項があった場合の対応事例としてとても価値ある事例だからです。
前回の記事「" 発生事実（不祥事／不正行為） " が発生しない上場会社の内部監査 Part. 13 - フォローアップ -」では、内部監査がフォローアップを行う際に何に気をつけたら良いかのポイントを３点挙げました。
ポイント１：根本原因を特定して把握する
ポイント２：不祥事の範囲を測定する
ポイント３：フォローアップの手順とスケジュール
上の３点は、フォローアップを行う前の事前準備のところです。実際にどのようなフォローアップを行うかまでをご紹介していませんでした。今回は、フォローアップの際に行うモニタリングについて考えてみたいと思います。
内部監査のモニタリングの大変さ
内部監査が行うモニタリングについて、一般社団法人 日本内部監査協会が公表している「内部監査基準」に以下のように示しています。
第８章 内部監査の報告とフォローアップ
第５節 内部監査のフォローアップ
8.5.1 内部監査部門長は、内部監査の結果に基づく指摘事項および勧告について、対象部門や関連部門がいかなる是正措置を講じたかに関して、その後の状況を継続的にモニタリングするためのフォローアップ・プロセスを構築し、これを維持しなければならない。
8.5.2 内部監査部門長は、是正措置が実現困難な場合には、その原因を確認するとともに、阻害要因の除去等についての具体的な方策を提言するなどフォロー活動を行わなければならない。
8.5.3 内部監査部門長は、組織体にとって受容できないのではないかとされる水準のリスクを経営管理者が受容していると結論付けた場合には、その問題について最高経営者と話し合わなければならない。内部監査部門長は、それでもなおその問題が解決されていないと判断した場合には、当該事項を取締役会および監査役（会）または監査委員会に伝達しなければならない。
内部監査が行うフォローアップは、内部監査の結果に基づいて指摘事項及び勧告を行った後に、被監査部門（及び関連部門）が是正措置を講じ実施しているかを確認し、それによって指摘事項等が解消し円滑な業務遂行が有効に行われているか、ガバナンス・プロセス、リスク・マネジメント及びコントロールの妥当性と有効性を再評価する監査です。指摘事項及び勧告の内容や業務の重要性の高低によっては、是正措置の内容として単に元の業務ルールを完全遂行するだけでは済まない場合があります。そうなると、業務ルールを数段厳しくするのか。二段階／三段階チェックを行うのか。人員増員を行うのか。当該部門は様々な是正措置を講じて実施することなりますので、業務の量も時間も人員も増える可能性が高いです。そうなると内部監査の結果に基づいて行った指摘事項及び勧告以外の問題が発生したり、その問題は新たな事業等のリスクであったり、時には業務ルールやフローを変更したために今まで以上のリスクと物理的な損失が生じる可能性もあります。内部監査のフォローアップは、是正措置が実施されていることを確認するだけではありません。上の引用にありますように内部監査はその是正措置が実施されているか否か。実施されていなければそれが実施可能なのか否か。実施が困難であればその原因の特定と阻害要因の除去等への具体的なアドバイスを実施し、残存（又は新たに発生）するリスクについて受容できるか否かを代表取締役社長と協議し、難しい場合には取締役会及び監査役会（監査等委員会）に伝達する。ここまでがフォローアップの業務となります。そのため内部監査行うフォローアップはかなり長期間となりますし、モニタリングもかなり大変な業務となります。ですから、ポイントを押さえて、効率的かつ効果的に行う必要がありますので、内部監査基準には是正措置の後の状況を「継続的にモニタリングするためのフォローアップ・プロセスを構築し、これを維持しなければならない」と示しているのです。
モニタリングで気を付けたいポイント
ここからは、内部監査が行うモニタリングで気を付けたいポイントをご紹介します。
① モニタリングの開始時期
モニタリングの開始時期は、被監査部門が改善活動や是正措置の検討を始めた日からです。被監査部門が作成した是正措置を内部監査が受領した日ではありません。
なぜ是正措置の検討を始めた日からモニタリングするのかというと、その理由は是正措置がどのような目的と方向性をもって検討し、是正措置の完成日及びその過程であるマイルストーンをいつ・どこに定めているのかを把握し理解するためです。指摘事項及び勧告の内容を示した「改善指示書」には改善せよと示すのみで、改善のゴール（目的地）とその具体的な方策の記載はありません。それらは被監査部門が検討して作成します。是正措置はあくまで手段ですのでそれが改善のゴールと具体的な方策ではありませんし、代表取締役社長等経営層が持っている改善の意図を踏まえたうえで被監査部門が是正措置を講じているのかはわかりません。そのためにも、内部監査は被監査部門が是正措置の検討を始めた日からモニタリングすることをお勧めします。
② ロードマップとマイルストーン
これは①と関連していますが、被監査部門が改善活動や是正措置について対応するにあたりどのような目的と方向性をもって検討し、改善活動や是正措置の完成日及びその過程であるマイルストーンをいつ・どこに定めているのかそのロードマップを把握する必要があるというものです。
内部監査がフォローアップのために被監査部門をモニタリングすると言っても、四六時中常にモニタリングすることはできません。そうなるといつ・何をモニタリングするのかが重要になります。これを考える際に必要なものがロードマップであり、モニタリングするタイミングはマイルストーンを置いている期日であり、そこで達成されているであろう成果物を確認するということが考えられます。
それともうひとつ。このロードマップで重要なポイントは、経営層が経営戦略上考えているスケジュールと被監査部門が業務遂行上考えているスケジュールとでギャップがあるかどうかです。例えばJ-SOXを見ますと「開示すべき重要な不備が発見された場合であっても、それが報告書における評価時点（期末日）までに是正されていれば、財務報告に係る内部統制は有効であると認めることができる。」（引用：金融庁・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準」21ページ）とありますので、経営層としては決算期末日までに改善することを求めますが、被監査部門としては業務システムの入替えが必要など何らかの理由で期末日には間に合わないケースが考えられます。このようなケースでは内部監査がその対策検討の中心人物になることはできませんが、必要に応じてその改善を促す職務を担っていますので、被監査部門の状況を把握しつつ経営層へ報告する等の連携が重要になります。そのためにもロードマップとマイルストーンを把握することが重要になると言えます。
③ 定例報告会の開催
②でロードマップとマイルストーンの把握が重要であることをご紹介しましたが、そのマイルストーンの期日ごとに達成されているであろう成果物を確認するだけでは少々物足らないかもしれません。内部監査が行うモニタリングとしては、その成果物が作り出される工程も押さえておく必要があります。なぜなら、代表取締役社長等経営層が持っている改善の意図を踏まえたうえで被監査部門が是正措置を講じていたはずなのに、いつの間にかその是正措置自体が目的となってしまい、改善活動のゴールを見失っている可能性があるかもしれないからです。内部監査が行うフォローアップの最大の目的は、是正措置が完了していることを確認するだけでなく、是正措置等で改善された業務がその後も定着して有効かつ効率的に行われることを保証すること（内部監査のアシュアランス業務）ではないでしょうか。
被監査部門が改善活動のゴールを見失っていないかをチェックするためにも、被監査部門が作成したロードマップを把握し、マイルストーンごとに達成される成果物の確認とは別に定例報告会を開催して改善活動の進捗状況を把握することをお勧めします。この定例報告会は非常に重要で、改善活動の進捗が進んでいるのか／進んでいないのか、停滞しているのか／完全に止まっているのかなどを確認し、進んでいればその状況を、また進んでいない／停滞／止まっている場合はその状況を分析して経営層に逐次報告する必要があり、経営層はその報告を受けて迅速かつ適切な対策を検討して経営的な判断をする必要があるからです。そのため、この定例報告会はその指摘事項及び勧告の内容やロードマップにもよりますが、週１回、月２回、月１回の開催が考えられます。是正措置が完了した以降は隔月１回、四半期１回、半期１回と間隔を空けてフォローアップを継続することをお勧めします。
内部監査が行うフォローアップの最大目的は、再発防止です。これは前回の記事でもご紹介しましたが、内部監査が行うことは、再発防止に向けた施策の内容や再発防止の内部管理体制の構築状況及び進捗状況、再発防止に向けた全社的な理解の浸透状況などを調査すること専念することとなります。不祥事が発生した部門・業務の改善促進と同時に、その不祥事に関係の無い部門・業務及び全社においても不祥事の未然防止の意識が生まれます。これは、内部監査の皆さんにしかできない企業価値の向上のための業務ではないでしょうか。