【内部監査Tips】どこまで掘り下げるのか：根本原因分析の"ちょうどいい深さ"を探る
1. はじめに：目的は効果的な再発防止策の導出
内部監査において、根本原因分析は問題の本質を理解し、効果的な再発防止策を提案するための鍵となるプロセスです。しかし、多くの内部監査人が「いったい、どこまで掘り下げる？」「なぜは5回で十分？」といった疑問を抱えています。
そもそも、根本原因分析の目的は何でしょうか？
それは、効果的な再発防止策を導き出すことです。
本稿では、根本原因分析の適切な深さを見極めるための実践的なアプローチを提供し、いかに効果的な再発防止策を導き出すかについて解説します。また、根本原因分析を行う前提として、問題を適切に表現することの重要性についても触れます。
2. 根本原因分析の課題
根本原因分析の深さに明確な正解はありません。しかし、「関係者が正解と納得するだろう」という深さは存在します。
その深さとは、「発見事項の再発防止策に"つながる"程度」です。
適切な深さを見極める際には、内部監査人の力量が試されます。浅すぎれば本質的な問題を見逃し、深すぎれば時間とリソースの無駄になるだけでなく、実行が現実的ではない提案につながる可能性があります。まさに、「浅瀬で溺れる」か「深みにはまる」かの綱渡りと言えるでしょう。
3. 事例分析：顧客データ流出の根本原因
具体的な事例を通じて、根本原因分析の深さと再発防止策の関係を見ていきます。本稿で取り上げている発見事項（例）は、別の投稿で取り上げているものです。本稿ではWhy 2～４回を省略していますので、一連の流れを確認されたい方は、以下の投稿もご参照ください。
5/5【COSO：5回シリーズ（第5回）】 内部監査人は、なぜCOSOを理解・習得する必要があるのか｜TAIZO (note.com)
【発見事項（例）】： 「顧客データが監査時点では権限のない従業員によってアクセスされ、外部に流出した。」
3.1 表面的な分析（Why 1回）
なぜ権限のない従業員がアクセスできたのか？
（想定される原因）：アクセス制御が適切に設定されていなかった
（想定される再発防止策）：アクセス制御（権限）を適切に設定する
この程度の分析では、"もぐら叩き"の対処にとどまり、本質的な問題解決につながりません。
3.2 より深さのある分析（Why 5回）（Why 2～４回は省略）
なぜ組織体制が不明確だったのか？
（想定される根本原因）：経営陣や管理職の情報セキュリティに対する認識が十分でなかった。
（想定される再発防止策）：
統制環境の改善：経営陣や管理職への情報セキュリティ研修の実施、CISO職の設置
統制活動の整備：アクセス権限の付与・承認の統制を見直し
統制活動の強化：アクセス権限の定期的レビュープロセスの確立、責任者の明確化
モニタリングの強化：情報セキュリティ監査の定期的な実施
アクセス権限の設定：アクセス権限を最小限にする対応と定期的な見直し
より深さのある分析によって、本質的な問題につながる効果的な再発防止策を導き出します。
（※なお、効果的か否かは企業・組織毎に異なる点にご留意ください。）
4. 適切な深さの見極め方
根本原因分析の適切な深さを見極めるためには、以下のような点を自問することを推奨します。
特定した原因は、（監査対象部門が）直接に防止することが可能か
再発防止策（案）は、具体的かつ実行可能か
再発防止策（案）は、問題の再発を効果的に防止できそうか
特定した原因は、関係者（監査対象部門、経営陣）が納得できる深さか
これらの質問に「はい」と答えられる場合には、適切な深さまで分析している可能性が高いと言えるでしょう。
5. 問題を適切に表現することの重要性
根本原因分析を効果的に行うためには、まず問題を適切に表現することが不可欠です。特に重要なのは、「事実をありのままに表現する」という点です。
5.1 事実をありのままに表現する重要性
問題を事実に基づいて正確に表現することは、以下の理由から非常に重要です。
誤解やバイアスの排除： 主観的な解釈や感情を交えずに事実を述べることで、問題の本質を見誤るリスクを低減します。
正確な原因分析： 客観的な事実に基づいた分析により、真の原因を特定し易くなります。
効果的な再発防止策： 問題の実態を適切に把握することで、的確な再発防止策の立案につなげ易くします。
5.2 事例：工場における生産性の低下
ある製造会社での発見事項（例）を取り上げます（※「事実をありのままに表現する重要性」の説明に焦点を当てるために内容を簡素化しています）。
不適切な表現： 「製造ラインAの生産性が低下している。従業員の慢性的な長時間労働が続いていることが原因だと思われる。」
より適切な表現： 「過去3ヶ月間、製造ラインAの1時間あたりの生産量が、前年同期比で平均20%減少している。また、同期間中、機械の停止回数が1日あたり平均3回増加している。」
不適切な表現では、問題として「生産性の低下」がどのような状態であるかは説明されておらず、さらに、その原因は憶測に留まっています。この内容（表現）に基づいて根本原因分析をスタートすると、真の原因を見逃す可能性が生じます。
一方、より適切な表現では、以下の通り、観察された事実のみを述べ、原因の憶測を避けています。
具体的な数値（20%減少、3回増加）を用いて問題を定量化
比較の基準（前年同期、1日あたり）を明確化
このような、より適切な表現に基づいて分析を進めることで、機械の不具合や保守管理の問題など、様々な可能性を検討できるでしょう。結果として、より効果的な解決策を見出せる可能性が高まります。
6. まとめ
根本原因分析の"ちょうどいい深さ"とは、「発見事項の再発防止策に"つながる"程度」です。以下のような点をチェックすることで、効果的な再発防止策の導出につながります。
表面的な原因にとどまらず、本質的な問題を探る
（監査対象部門が）直接に防止することが可能な要因に焦点を当てる
具体的かつ実行可能な再発防止策を導き出す
コストと便益のバランスも考慮する
関係者の納得を得られる深さを目指す
問題を適切に表現し、事実をありのままに記述する
最後に、大事なポイントをもう一つお伝えします。リスクが低いと思われる発見事項でも、根本原因分析を省略せずに行うことをお勧めします。なぜなら、リスクの本当の大きさは、根本原因を把握して初めて適切に評価できるからです。
本稿でご紹介したアプローチを実践することで、より効果的な再発防止策を導き出し、組織に真の価値をもたらすことができるでしょう。