- 更新日 : 2024年7月12日
内部統制とリスクマネジメントの関係は?違いや手順をわかりやすく説明
内部統制とリスクマネジメントは同じプロセスだと思われがちですが、実は異なる点も多々あります。あらかじめ違いを押さえておかないと、いざ進めるとなった際にスムーズに遂行ができなくなるかもしれません。
本記事では、内部統制とリスクマネジメントの違いや、どのようにリスクマネジメントを進めていくべきか、など具体的に説明します。内部統制を進めていくにあたって、記事の内容は理解しておくようにしましょう。
目次
内部統制とリスクマネジメントの共通点
内部統制とリスクマネジメントの共通点は、会社に対するリスクを適切にコントロールするために行われることです。しかし、内部統制=リスクマネジメントではありません。内部統制の実行プロセスのなかに、リスクマネジメントが含まれるイメージです。
内部統制におけるリスクは、リスクマネジメントと同じように、適切に処理する必要があります。うまく対応できなければ、会社にとって悪い影響をおよぼしかねません。
内部統制とリスクマネジメントの違い
先に説明したとおり、内部統制とリスクマネジメントには共通している部分もありますが、一方で違いもあります。なぜなら、内部統制は会社内部のルールを統制するための仕組みだからです。
内部統制とリスクマネジメントの主な違いは、以下になります。
- コントロールする範囲
- リスクの意味
それぞれの違いについて、詳しく見ていきましょう。
コントロールする範囲
内部統制とリスクマネジメントにおける大きな違いは、「リスクコントロールする範囲」です。内部統制でコントロールするのは、会社内のリスク、いわゆる内部要因です。内部要因とは、組織の中で生じる情報システムの故障や不具合、会計処理の誤処理や不正行為の発生、個人情報や経営情報の流出などが主に挙げられます。
一方、リスクマネジメントでコントロールする範囲は、会社内だけでなく会社外のリスクも含まれます。会社外のリスク、いわゆる外部要因とは、天災や市場競争の激化、資源相場の変動などです。リスクマネジメントには、内部統制でコントロールすべきリスクも含みます。
リスクの意味
もうひとつ、内部統制とリスクマネジメントの違いには、「リスクの意味」があります。内部統制におけるリスクとは、確実性の高いリスクです。簡単にいうと、滅多に起きない天災のようなリスクではなく、情報システムの故障のように、恒久的ルールを作っておいたほうがよいリスクをコントロールします。
一方、リスクマネジメントにおけるリスクとは、不確実性という意味合いが強いです。いつ起こるかわからない天災や、新しい競合の出現、盗難など、不確実な事象をコントロールします。さらに、リスクマネジメントでは不確実な負の事象だけでなく、正の事象つまり会社にとってプラスとなる事象も含まれます。
そもそも内部統制とは
内部統制とは、会社法では以下のように定義されています。
一見難しく感じるかもしれませんが、要約すると「内部統制の整備をするときは、子会社や関連会社も含めて倫理規範や定款、法令に照らし合わせて業務遂行できるような体制の確保を図るように務める」ということを示しています。
繰り返しになりますが、内部統制は経営者が効率的かつ健全に会社を運営する仕組みです。そのため、内部統制でいうところの「リスク」とは、基本的には会社内に限定されるのです。
内部統制における内部監査の手順
そもそも内部監査とは、内部統制がきちんと機能しているかを確認すること、不正防止や経営目標の達成、業務の効率化を目的として実施されます。ここでは、内部統制における内部監査の手順を紹介します。
- 監査計画を立てる
監査計画では、監査する人・日程・場所・目的を決めます。監査の進め方についても、監査計画を立てる時点で作成しましょう。 - 予備調査を行う
予備調査とは、監査対象の部門へ通知し、事前に情報収集することです。予備調査することで、本調査をスムーズに実行できます。 - 本調査を行う
本調査では、予備調査で得た情報と監査マニュアルに沿って調査していきます。責任者や従業員へのヒアリングも行われます。 - 調査結果の評価・報告を行う
本調査での監査結果をまとめ、報告書類を作成、評価します。 - 監査手続き後の改善を行う
監査結果をもとに、監査対象の部門へ回答書や改善計画書を作成して提案します。部門だけで対処できない課題が見つかった場合は、他部署も含めて改善していきましょう。
内部監査については、こちらの記事で詳しく説明しています。
Money Forwardクラウド「内部監査とは?その目的やチェック項目を分かりやすく解説」
リスクマネジメントの手順
では、リスクマネジメントはどのように進めていくのでしょうか。リスクマネジメントの手順は、以下のとおりです。
- リスクの発見
- リスクの分析
- リスクの評価
- リスクへ対応
- モニタリング
各手順を詳しく見ていきましょう。
①リスクの発見
まずは、組織目標を達成する際、どのようなリスクが問題となるかを検討します。検討の際は各部門1名以上が参加し、全社的に網羅していくと、見落としが少なくなるでしょう。検討したリスクはリスト化し、目に見える形で記録しておきます。またリスト化の際は、各部門の業務フローの順に挙げていくと漏れが少なくなります。
②リスクの分析
次に、洗い出したリスクを分析します。リスクの分析とは、リスト化したリスクを会社への影響度と発生頻度などで分類していくフェーズです。
リスク分析で一般的に用いられるのが、PIマトリックスです。PIマトリックスを日本語でいうと、「発生確率・影響度マトリックス」。つまり、リスクを発生確率と影響度で分類することで、等級づけしていくプロセスです。
③リスクの評価
リスク分析が終わったら、次は分類したリスクを評価していきます。一般的には、発生確率と影響度をグラフ化し、目に見える形にして評価します。
グラフ化することで、影響度が大きく、発生する頻度も高いリスクが見えくるでしょう。しかし、影響度が低くても、早期対応できるのなら、そちらを優先すべきときもあります。必ずしも影響度と発生頻度の高いものを優先するのではなく、早期対応できるリスクに着目するのも忘れないようにしましょう。
④リスクへ対応
リスクの分析・評価により、当該リスクへの適切な対処を選択するフェーズです。評価したリスクを以下の対処法4つから選択します。
- 回避:リスク管理できない場合は回避を選択する
- 低減:リスクを回避できない場合、リスクをできるだけ低く管理する
- 移転:リスクの全部、または一部を組織の外部に転嫁する
- 受容:リスクを受け入れ、実際に影響があった場合に対処する
リスクの回避の例として、利益が見込めない場合のM&Aの中止や、赤字拡大の見込みが大きい事業からの撤退などがあります。
⑤モニタリング
リスクへの対応を徹底したら終わりではありません。忘れがちなのがモニタリングで、対応した事例をモニタリングして本当に対処できたのかを確認するフェーズです。モニタリングは定期的に実施し、リスクマネジメントが正しく行われているかを確認しましょう。
まとめ
リスクマネジメントとは、不確実性をコントロールする目的で実行されるプロセスです。内部統制とは異なり、外部要因もコントロール範囲に含まれます。基本的な手順は、リスクの発見・分析・評価・対応・モニタリングです。分析したリスクへ対応するだけでなく、定期的なモニタリングもしましょう。
よくある質問
内部統制・リスクマネジメントとは?
内部統制とは、子会社や関連会社も含めて倫理規範や定款、法令に照らし合わせて業務遂行できるような体制の確保を図るように務めることです。リスクマネジメントの意味は、不確実性をコントロールする目的で実行されるプロセスです。
内部統制とリスクマネジメントの違いとは?
内部統制とリスクマネジメントの違いは、コントロールの範囲とリスクの意味です。内部統制でコントロールするのは、会社内のリスク、いわゆる内部要因です。 一方、リスクマネジメントでコントロールする範囲は、会社内だけでなく会社外のリスクも含まれます。内部統制におけるリスクとは、確実性の高いリスクです。一方、リスクマネジメントにおけるリスクとは、不確実性という意味合いが強いです。
※ 掲載している情報は記事更新時点のものです。
※本サイトは、法律的またはその他のアドバイスの提供を目的としたものではありません。当社は本サイトの記載内容(テンプレートを含む)の正確性、妥当性の確保に努めておりますが、ご利用にあたっては、個別の事情を適宜専門家にご相談いただくなど、ご自身の判断でご利用ください。
関連記事
内部統制におけるログ管理の重要性とは|ログ管理の課題やポイントを解説
内部統制では、整備しなければならない多くのポイントがあります。そのなかでも特に重要なのが、ログ管理です。 では、なぜログ管理が重要なのでしょうか。この記事では、内部管理におけるログ管理の重要性と問題点を挙げて解説します。さらに、ログ管理での…
詳しくみる監査難民とは?監査難民の増加理由や影響、監査法人の選定ポイントを解説
監査難民とは、IPOを目指す企業がIPO申請に必要な監査サービスを提供してくれる監査法人を見つけられない状況を指します。監査難民の発生は監査法人のリソース不足などが原因です。 企業は監査難民に陥ってしまうとIPOを達成できず、資金調達に深刻…
詳しくみるISMSの維持審査とは?更新審査・初回審査との違いや内容、期間、費用などを解説
情報セキュリティ対策が企業経営の重要課題となる現在、ISMS(情報セキュリティマネジメントシステム)/ ISO 27001認証は、組織の信頼性を高め、事業リスクを低減するための有効な手段です。しかし、情報セキュリティレベルを継続的に向上させ…
詳しくみるIPOに向けた業務プロセスは?全体像や各フェーズのタスク・改善ポイントを解説
IPOを実現させるためには、対応しなければならない業務が多く、IPOを目標としている企業にとってはしっかりとプロセスを把握する必要があります。 適切な業務プロセスの整備を行うことで、効率よく業務を行うことが可能です。 そこで本記事では、IP…
詳しくみるIPOにおける法務の重要性や役割、業務内容を解説
不正会計などの問題が深刻化したことに伴い、IPOにおける法務の重要性が高まっています。 法務部門はIPOにおいて内部統制やリスクマネジメントなどの役割を担い、法務DDの実施やコンプライアンス体制の構築などを行います。本記事では、IPOにおけ…
詳しくみるISO内部監査とは?基本から手順までわかりやすく解説
IPOを視野に入れている企業にとって、社内体制の整備は避けて通れない重要なステップです。その中でも「ISO内部監査」は、業務の透明性や内部統制の信頼性を高めるために欠かせない仕組みとして注目されています。本記事では、ISO内部監査の役割から…
詳しくみる