2020年は新型コロナウイルス感染症の流行により、ビジネスにも多大な影響が生じました。今までとは異なるアプローチでの監査が求められる中、実際にどのような形で業務を進めたのかーー。金融、流通、総合商社という3つの業界からアビタスのCIA（公認内部監査人）プログラムの卒業生3人を招き、コロナ禍における監査業務の現状と課題について、率直に語ってもらいました。

＊2020年10月実施のイベントをまとめています。情報は開催時のものです。

伊藤勝幸講師（以下、講師）　2020年は新型コロナウイルス感染症が流行し、4月から5月にかけては緊急事態宣言が発令されました。そんな環境下において、監査業務にどのような変化がありましたか。ファンド運用会社で内部監査部長を務められている伊藤さん、どうでしょう。

伊藤さん（以下、伊藤）　弊社は緊急事態宣言で全社員が原則在宅勤務に移行しており、その期間、監査業務自体は実施しませんでした。基本的に自宅のデスクワークでできるもの、監査手続書やチェックリスト、J-SOX（内部統制監査制度）の3点セットなど、体制整備面を中心に行っていました。6月以降は在宅勤務が週1日、2日となり、それ以外はほぼ通常出社に戻りました。監査業務も通常に戻りつつありますが、やはり年度計画の見直しは実施しています。コロナファクターはまだ加味できていないところもありますが、かなり絞った形に修正しました。

一つは、金融業界の場合、ライセンスをもらっている関係で金融庁からの業規制をがっちり受けています。最近、当局は「内部監査が機能しているか」という点を重点的に見るようになると言われていて、いつ当局の検査が入ってきてもおかしくありません。そのため、この業規制の部分は監査範囲を狭めずに、従来通りの監査を実施しています。

次にJ-SOXですが、これは決算と同じく止められるものではありませんので、会社側の自己評価を継続して計画に残しています。裏を返せば、それ以外の部分については、リスクが大きいものを除いて次年度以降に先送りしました。

最後に海外拠点の監査については、毎年3拠点の全てを往査していましたが、2020年は物理的に海外に行けないこともあり、2拠点については次年度以降に監査を延期しています。残りの1拠点は弊社グループの連結収益の約3割を占める重要拠点で、J-SOXにおいても監査法人の評価対象に入っているため、リモート監査に切り替えて7月と8月に実施しました。

講師　ホールディングスで監査・内部統制部に在籍経験があり、現在はグループ内の事業会社の管理・人事部門の鈴木さんいかがでしょう。

鈴木さん（以下、鈴木）　ホールディングスの取り組みと事業会社の取り組み、それぞれについてご紹介します。まずはホールディングスの取り組みからですが、予備調査から往査実施、報告というプロセスのうち、この4月から6月にかけては予備調査を徹底的に実施しました。チーム内の打ち合わせをオンラインで行いながら、リスク分析、リスク評価をして、監査項目と実施する手続きを決めるところまで進めました。7月に入ってからは、往査実施、報告を順次再開しています。通常、一つの対象部門ごとに3カ月ほどかかるところを1～2カ月まで短縮させることで、年間の基本計画を充足させられるように進めています。

次に事業会社における取り組みですが、ある会社では通常だと本社、事業所、子会社に往査を実施するところ、今年度については事業所の往査を行わないそうです。事業所に関しては、決裁などの手続き簡素化に伴うミスの発生、従業員の収入低下に伴う横領・着服の発生など、リスクが高まると考えられるテーマについて、書面監査を中心に実施していると聞いています。他の事業会社では、昨年度実施済みの部門に対する監査を見送るといった対応も見られます。なお、関西や影響の少ない事業会社では、例年通り監査を実施しているところもあるようです。

講師　最後は、総合商社の内部監査部において、監査業務や企画管理業務をご担当されている多田さん、お願いいたします。

多田さん（以下、多田）　弊社の事業拠点は、国内の部店、国内の関係会社、海外の部店、海外の関係会社の4つに分類できます。このうち海外の関係会社で、かつ、在庫を持っている、製造を行っているところに関しては、往査を行わないと見えないところがあります。そのため、コロナ禍で往査が難しい中、そういった海外の監査案件については後ろ倒しをする一方、それほど重くない国内や部店などを前倒しにする形で、年間の監査計画の並び替えを行いました。私はと3月に欧州の部店に監査に行く予定がありました。飛行機も押さえていたのですが、直前の2日前に急きょ往査を取りやめて、リモート監査に切り替えたということがありました。

講師　原則はリスクベースに準じてできるところからやっていく、ということですね。また、法令で求められているところはしっかり押さえた上で、皆さまごとの業界特有のリスクを中心に対応されていたと感じました。

講師　リモート監査をどのように進めたか、状況を教えてください。

伊藤　弊社では、海外拠点についてリモート監査を実施しました。通常であれば年1回、3日から4日滞在して、過去1年分の各種会議体の議事録の確認、業務プロセスや決算財務プロセスに関するウォークスルー的な書類の確認、承認証跡等の確認などを実施していました。一方、今回については、必要な書類をリスト化して先方に送り、電話やZoomなどテレビ会議システムで説明した上で、書類は全てPDF化してメールで送ってもらいました。実際にリモートで監査を実施してみて、必要事項の確認はできましたがいくつか課題もありました。

まず、往査であれば書類が全てあるので一発で終わるところが、メールや電話で英語を通してのコミュニケーションとなり、意図がうまく伝わらずに何度もやりとりを繰り返すことがありました。事前のコミュニケーション、余裕を持ったスケジューリングの重要性を感じました。その他、往査に行くと個々の社員とも面談ができますし、一緒にランチに行って雑談する中でも、不満に思っていることを聞けることがあります。オフィス全体の雰囲気や空気感など、肌感覚でおかしいことが起きてないか感じられるのですが、リモートではそのあたりが難しいところがありました。

講師　やってみたら意外とできたという反面、コミュニケーションや空気感というところで課題も感じられたわけですね。私は「抜き打ち性がなくなる」といった弊害についても耳にしたことがあるですが、この点についてはいかがでしょうか。

伊藤　現地に行くことができれば、例えば監査対象期間外のものをあえて確認することによって、信頼性を確認することができます。しかし、リモートになると、先方が完璧に準備したものを送ってきている可能性もあります。抜き打ち性についても、確かに課題の一つだと思います。

鈴木　ホールディングスの方ではいわゆるリモート監査は実施していませんが、監査部内のミーティングについて、ZoomやSkypeを活用しています。対象部門に対するインタビューや往査については、キックオフや監査前のアイスブレイクを非常に重要視しており、リモートだと難しいところがあるため、対面で実施している状況です。事業所に対する監査については、往査を伴わない書面監査に切り替えています。また、グループとして予備調査に力を入れており、リスク評価に当たっては内部統制部門と連携を取って、評価結果について情報共有をしてもらいながら進めています。予備調査の段階では、書面をPDF化してデータでやりとりしており、リスク分析結果に基づいて書面を提出してもらうという形を取っています。事業所データは必要に応じて事前に確認するため、リモートを通じて受け取っています。この段階で、監査項目や手続きは絞り込めていますので、ある意味ではリモートでも対応できる監査を実施できていたのかもしれません。

講師　対面が基本ということですが、リモートで実施した部分については、抜き打ち性がなくなるということはありましたか。

鈴木　リモートだと、やはり運用状況をしっかり見られないところがあります。そこについてはサンプルを通常より多く取ることで、信頼性や信ぴょう性を上げる方向で対応していました。

講師　多田さんはいかがでしょう。

多田　先ほどのお話にも出てきましたが、リモート監査は意外とできることもあります。例えばリモートの面談では、対面と同じような感じで面談することが可能です。また、移動時間もないという点も、特に海外では移動にコストがかかる上、時差があり体力的に厳しいということを考えると、リモート監査のメリットと言えるかもしれません。ただ、抜き打ち性や現場の雰囲気が分からないといったデメリットも、やはりあると思います。また、往査で現地に行かないと見られない部分、例えば固定資産や現金などの現物確認ができない、倉庫や工場を見て回れないといった点は、大きな課題です。そういう中で私自身の取り組みを紹介しますと、欧州への往査を取りやめた際に、もともと現地時間の朝から夕方まで対面で面談する予定を組んでいたところを、全てリモート面談に切り替えた上で、対象者を絞り時間を短縮しました。日本時間の夕方5時から夜の10時ぐらいまで、現地では午前中に該当する時間帯を設定して、部門長だけに絞って面談を行った形です。

それ以外の時間については、メールでのやりとりを中心に行いました。質問状を送って返答を書いてもらうなど、いわゆるセルフアセスメントの取り入れのような感じになりますが、必要なことはメールで確認しながら監査を実施していました。私が担当した以外ですと、アンケートを使う形で予備調査を行い、その中でしっかりと情報を仕入れた上で、往査時間を短くするといった取り組みも行っていました。

講師　各社状況が違う中で、工夫しながらリモート監査に取り組まれていたことが分かりました。紙と印鑑の弊害はありますか。

伊藤　弊社でものすごく問題になっているところです。例えば、請求書が紙で送られてくるケースが多く、在宅期間中も必ず社員1人が週1回出社して、郵送された請求書をPDFにして各担当者にメール送付していました。メールを受け取った担当者はそれを確認して、ワークフローで支払い承認を受けるわけです。印鑑については、ワークフローで承認されたものに代表取締役印を押すために、別の社員が週に1回出社するということもありました。こういった非効率を解消するために、いくつかのプロジェクトが社内で立ち上がっているところです。

講師　鈴木さんはいかがでしょうか。

鈴木　紙の方は、ここ数年でペーパーレス化がグループ全体でかなり進んでいました。印鑑については、稟議等は全てワークフローを使ってやっていますが、セキュリティ面でリスクが出てくると考えています。印鑑をなくすことで効率化を図りつつも、このリスクを適切にコントロールしていくことが大切だと考えています。

講師　多田さんはどのように感じていますか。

多田　私は、ウォークスルーを実施する際に、紙ベースが多く苦労しました。例えば、先ほどお話しました欧州の部店では、商売の最初の引き合いの段階から最後の決裁までの一連の流れを書類で確認する予定でしたが、書類をPDF化するために現地のスタッフがお店に行く必要がありました。まだまだ電子化できていないものがあり、現地に負荷をかけてしまったと感じています。

講師　ありがとうございました。ペーパーレス化や印鑑をなくす動きは各社が以前から取り組んでいるところもあったと思いますが、まだまだ改善する余地があるといったところでしょうか。

講師　それでは、「新型コロナウイルス感染症の流行に対する会社対応について、どのようにモニタリングを行っているか」というテーマで、お話を伺っていきたいと思います。伊藤さんからお願いいたします。

伊藤　現在、実はまだ何か特別なことをモニタリングとして実施しているわけではありません。ただ、在宅勤務規定をはじめ、新しいルールが入ってきていますので、現場に負荷をかけないように気をつけて、少し落ち着いてから全社的な点検というものは実施したいと考えています。

モニタリングから少し外れるかもしれませんが、先ほどの経費支払いのペーパーレス化について、現在プロジェクトが立ち上がっています。こういったプロジェクトが動くと、必ず内部監査部に「監査上の問題ないか」という相談が来ます。例えば、「アクセス権限の設定をどうすればいいか」「アクセスログはどの範囲でどの期間を取るべきか」といった具合です。私はもともとIT音痴でしたが、CIAではIT監査の部分にもウェイトが置かれており、そこで学んだ知識が今非常に役立っています。この分野は技術変革も非常に早いので、引き続き情報収集を続けながら、自分自身のバージョンアップを図っていきたいと考えています。

鈴木　ホールディングスとしての取り組みを紹介させていただきます。

ホールディングスとしては、傘下の事業会社に対して各社のコロナ対応のモニタリングを行う必要がありますが、これは3つのディフェンスラインに例えると、ホールディングスの各部門、例えば管理部や人事部、情報システム部などが、グループ全体の第2のディフェンスラインの役割を担っているという認識です。そのため、内部監査担当としては、ホールディングスの各部門に対する監査項目を決定するに当たって、「各部門がどのようにグループ会社のコロナ対応のモニタリングをしているか」という観点を、リスク評価の一つに入れて確認することを徹底しています。

あと、事業会社における監査という観点では、ホールディングスから各社の監査担当に対して、監査を行うに当たっての共通事項として、「コロナ対応に対してこういうところに気をつけて監査しなさい」ということを伝えるようにしています。

多田　ディフェンスラインという話も出ましたが、第3のディフェンスラインである内部監査部としては、最初にお話したように、まずはできるところから前倒しして確認しています。難易度が高いところが残っていますが、ワールドワイドで事業を展開している商社という性質上、海外を先延ばしにするということもできないので、そこをどうしていくかというのが課題です。リモート監査というのは一つの方法ですが、それ以外にも外部委託という形も含めて、対応方法を検討しているのが実態です。

BCP（事業継続計画）の見直しはこれから

講師　IT監査やディフェンスライン、外部委託といった話が出てきましたが、ここでBCP（事業継続計画）の見直しについてもお聞きしたいと思います。日本のほとんどの企業では、地震や水害に対するBCPはしっかり策定されている一方、感染症についてはあまり想定されていないことがあります。この点、BCPの見直しはどのような状況でしょうか。

伊藤　弊社のBCPには、確かに感染症という文言が入っていますが、先生がおっしゃったように、実際に私どもが想定していたのは「東日本大震災をはじめとする自然災害の中で、本社の中のサーバーが壊れたらどうするか」というところがメインでした。現在はまだBCPの見直しまでは議論に至っておりませんが、ボードメンバーも含めて、感染症対策も含めたBCPは非常に強く認識されるようにはなったと考えています。

また、現在のように分散型業務が定着してくることを踏まえると、「全てクラウドにして、サーバーを持たない形にした方がいいのではないか」という議論も社内で起こっています。その方が自然災害、感染症、全てに強いというわけです。ただ、クラウドには、安全性やスピード面での課題があります。BCPそのものではありませんが、関連してこういった議論も出てきています。

鈴木　現在、私は事業会社にいるので具体的なところは分かりませんが、私が監査にいたときには、震災等の自然災害、サイバー攻撃といったところに対するBCPの見直しは適宜実施しており、事業会社によっては監査項目として確認しているところもありました。そのため、感染症に対するBCPの見直しについても、次年度の年度計画等を策定するに当たり、恐らくリスク評価として上がってくると思います。そこで何らかの形で監査項目として上げて、来年度以降に確認していく形になるのではないかと思われます。

多田　私どもも、明確には感染症に対するBCPというのは想定していないところがあります。現在、まだ刻一刻と変化していく状況を見ながら、国内、海外を含めて情報を集約して、どのように対応していくべきかを社内で検討していく必要があると考えております。

変わっていく必要のある監査の在り方

講師　皆さま、ありがとうございました。コロナ禍における監査について、いろいろなご意見をいただくことができました。この状況において、リモート監査、PDF化、オンラインでのインタビューなど、対面ができないところをカバーしながら、できるところをやっていく形で進めていることが分かりました。また、コロナ対応のモニタリングなどもやるべきところはやり、今は時期が時期なので、今後しっかりと見直していくところもあるのかなと感じました。それでは、最後に皆さまから一言ずつお言葉をお願いします。

伊藤　本日は、鈴木様、多田様、そして久しぶりに伊藤先生のお話も聞けて勉強になりました。このイベントに参加されている方にどれだけお役に立てたか自信がないところもありますが、少しでもお役に立てたらうれしいです。ありがとうございました。

鈴木　現在、私は事業所にて管理・人事を担当しています。事業会社として、また事業所として、コロナ対応でいろいろなことをやっている中で、リスクが目に付くところもあります。そういったところを内部監査でご確認いただいて、改善提案していただければ幸いに思います。

多田　今日はいろいろとありがとうございました。皆さまのご意見も大変参考になりました。コロナ禍で日々刻々と状況が変化していますが、監査の在り方も変わっていく必要があると感じました。CIAで体系的に学んだ知識を生かしながら、次の在り方について考えていきたいと思っています。

伊藤（仮名）
ファンド運用会社　内部監査部長
PEファンド運用会社の内部監査部門にて監査業務に従事。現在は内部監査部長として、監査業務、内部統制評価業務、その他社内コンサルティング業務を担当。公認内部監査人。

鈴木（仮名）
大手グループ事業会社　管理・人事部門
大手グループ事業会社にて事業戦略部門、経理部門を経験。その後、ホールディングスの監査・内部統制部にて監査実務に従事。現在は事業会社の管理・人事部門に在籍。公認内部監査人。

多田（仮名）
総合商社　内部監査部
総合商社にて与信・経理部門、国内営業、輸出・輸入ビジネス、東南アジア駐在、上場関連会社への出向などを経験。現在は内部監査部に在籍し、監査業務、企画管理業務を担当。公認内部監査人、公認不正検査士。

伊藤 勝幸
アビタスUSCPA（米国公認会計士）、CIA（公認内部監査人）プログラム講師

（いとう・かつゆき）大学卒業後、渡米してシアトルを拠点とした製造業に勤務。帰国後、大手監査法人の金融部に勤務。USCPA を取得。金融機関に対する会計監査、自己資本比率規制監査、IFRS コンバージェンスアドバイザリー業務などを行う。 エネルギッシュながらも落ち着いた語り口で、受講生アンケートでは常にトップクラスの評価を受けている。