自己評価を管理する

統制自己評価は 1987 年に開発された手法で、企業、慈善団体、政府機関などさまざまな組織がリスク管理および統制プロセスの有効性を評価するために使用されています。

「コントロール プロセス」とは、エラーのリスクを軽減または排除するために実行されるチェックまたはプロセスです。この手法は導入以来、米国、欧州連合、およびその他の国で広く採用されています。コントロール セルフ アセスメントを実施する方法は多数ありますが、その主な特徴は、従来の監査とは対照的に、テストとチェックは、評価対象の事業部門内で日常的な責任を負うスタッフによって行われることです。^[1]セルフ アセスメントでは、組織内のリスクの高いプロセスを特定することで、内部監査員はより効果的に作業を計画できます。^[2]多くの政府機関では、コントロール セルフ アセスメントの使用が義務付けられています。米国では、 IT システムと運用プロセスに対してコントロール セルフ アセスメントを定期的に実行することがFFIECの要件となっています。 ^[3]コントロール セルフ アセスメントの利点として、コントロールの明確な説明責任の確立、詐欺のリスクの軽減、リスク プロファイルの低い組織の創出などが挙げられます。^{[4] [5]}

状況によっては、統制自己評価が必ずしも効果的であるとは限りません。例えば、分散化された環境、従業員の離職率が高い組織、組織が頻繁に変更される組織、または組織の上級管理職がオープンなコミュニケーションの文化を育んでいない組織では、統制自己評価を実施することが難しい場合があります。^[6]

統制自己評価は、ウォーターゲート事件が親会社であるガルフ・オイル・コーポレーションに与えた影響を受けて、同社の監査役ブルース・マクカイグが当時使用されていた標準的な監査手法に不満を抱いた1987年にガルフ・カナダによって開発された。ガルフ・カナダで統制自己評価を全面的に導入する決定は、いくつかの要因によって推進された。その中には、同社に内部統制を報告するよう求める同意判決の存在や、より伝統的な監査手段を使用して石油・ガス埋蔵量を見積もる際の困難さなどが含まれていた。^[7]

その後 10 年間にわたり、ガルフ カナダは、業務スタッフによる管理プロセスの分析と評価をサポートするフレームワークを開発しました。これには、スタッフが意見を表明する際に妨げがないようにするための匿名投票も含まれていました。このアプローチは、1990 年 12 月に内部監査人誌^{で初めて発表されました。 [8]}ガルフ カナダは、1997 年にこのファシリテートされた会議のアプローチを中止しましたが、異なる手法を使用した管理の自己評価は継続しました。^[7]

ガルフカナダが自己評価コントロールを導入した後、多くの民間組織が同様の手法を導入した。米国では、連邦預金保険公社やカナダ預金保険公社と同様に、いくつかの州が自己評価コントロールの実践に基づくレビューを義務化した。^[7]

当初、外部監査人は、内部統制システムの有効性にとって極めて重要な「ソフト」領域（スタッフの士気など）に関する監査証拠を提供するのに効果的であったにもかかわらず、統制自己評価の利点を無視していました。^[9]

ロバート・マクスウェルの出版帝国の崩壊など、数々の金融スキャンダルの後、英国政府はエイドリアン・キャドバリーにコーポレートガバナンスの調査委員長を任命した。委員会は1992年に「コーポレートガバナンスの財務的側面」という報告書を発表した。第4章「報告と管理」において、キャドバリーは英国における自己評価の採用増加につながるいくつかの提言を行った。特に、報告書に含まれる実務規範の第4.5章では、会社の取締役は毎年の報告書で会社の内部統制システムの有効性を報告することが求められている。^[10]

2000 年 3 月、欧州委員会は委員会の運営方法に大きな変化をもたらす改革に関する白書を承認しました。これらの変更には、各部門が効果的な内部統制システムを確立するための勧告が含まれていました。内部統制の実施を支援するために、予算総局の中央財務局は、統制自己評価プロセスを策定しました。この最初の統制自己評価では、委員会全体の内部統制の改善が必要ないくつかの分野が特定されましたが、最も顕著なのは、リスク管理に対するより体系的なアプローチを実施する必要性でした。この最初の自己評価の結果、すべての総局が毎年統制とリスクの自己評価を実施することが義務付けられました。^[11]

2007 年、米国はサーベンス・オクスリー法を施行しました。同法のセクション 404 に準拠するために、企業はトップダウンのリスク評価を行う必要があり、そのためには「財務報告のための適切な内部統制構造と手順を確立し維持する経営陣の責任」を確約する「内部統制レポート」の作成が必要でした。15 USC  § 7262(a)。このレポートには、財務報告に関連する内部統制と手順の有効性の評価を含める必要があります。この要件を満たすために、組織は、認められた標準手法を使用して、統制自己評価を実行するようになりました。内部統制レポートに署名する必要がある組織の外部監査人は、通常、内部統制レポートの後の見直しを容易にするため、統制自己評価プロセスに深く関与するようになりました。^[12]

英国では、2011年に金融サービス機構がオペレーショナルリスク管理の改善に関する勧告の中で、自己評価によるリスク評価がリスクを特定する重要な手段となり得ることを認めた。また、評価が完全に有効であるためには、金融機関のリスク管理プロセスに完全に統合される必要があるとも指摘した。^[13]

統制自己評価の最初のステップは、各統制を測定またはテストする適切な方法を特定することを目的として、組織の統制プロセスを文書化することです。実際の統制テストは、プロセスがどのように機能するかについて最も詳しい知識を持つ、検査対象の組織領域内で日常業務を行っているスタッフによって実行されます。^{[1] [4]}評価を実行するための一般的な2つの手法は次のとおりです。

• テスト対象の事業部門の一部またはすべてのスタッフが参加するワークショップ（独立して実施される場合もありますが、必ずしも独立して実施される必要はありません）。
• スタッフが独自に完了した調査またはアンケート。

どちらのアプローチも、ビジネスユニットのスタッフではなく監査人が評価を実施する正式な監査とは逆のアプローチです。 ^[1]

評価が完了すると、受け取った応答に基づいて各コントロールが評価され、そのコントロールが失敗する可能性と、失敗した場合の影響が判断されます。これらの評価をマッピングして、潜在的な脆弱性領域を示す ヒートマップを作成できます。

自己評価のための6つの基本的な方法論が定義されている：^[14]

• 内部統制アンケート（ICQ）自己監査
• カスタマイズされたアンケート
• コントロールガイド
• インタビューテクニック
• 制御モデルワークショップ
• インタラクティブなワークショップ

米国国立標準技術研究所の自己評価管理手法は、カスタマイズされた質問票に基づいています。これは、システムベースの管理を評価するのに適したITに重点を置いた手法です。これは、情報セキュリティ管理のステータスを判断し、弱点を特定し、必要に応じて改善計画を定義するための費用対効果の高い手法を提供します。^[15]この手法では、システムまたはシステム グループに対する特定の管理目標と手法を含む質問票を使用して、テストと測定を行うことができます。この手法は、米国連邦政府機関向けに設計されていますが、民間組織にとっても価値があります。^[15]

COBIT方法論は、コントロールの自己評価に使用できます。NIST 方法論と同様に、IT に重点を置いた評価用に設計されています。COBIT のプロセス記述コンポーネントは、組織のプロセスとその所有権の参照モデルを提供します。そのコントロール目標コンポーネントは、組織で各 IT プロセスを効果的にコントロールするために必要と考えられる一連の要件を提供します。管理ガイドライン コンポーネントを使用してこれらのコンポーネントを評価および評価すると、組織がコントロール目標を達成しているかどうかを示す成熟度モデルを生成する評価メカニズムが提供されます。^[14]

内部監査人協会は、 1990年代の総合的品質管理アプローチとCOSOのフレームワークに基づいて、自己評価の統制方法論を策定しました。この方法論は、内部監査の専門的業務に関する国際基準の一部となり、多くの大手組織に採用されました。^[16]

統制自己評価を標準化するための他の多くの方法論が発表されている。^{[17] [18]}内部監査人協会は、統制自己評価の実践に関する認定を提供している。^[19]

統制自己評価プロセスをサポートするソフトウェア パッケージは多数あります。これらは通常、デロイトなどの監査および会計事務所や、ビジネスまたは財務管理ツールを専門とするニッチ ベンダーによって社内使用のために開発されたソフトウェアの修正バージョンです。

統制自己評価は、統制に対する明確な説明責任を確立し、不正行為のリスクを軽減し（異常な取引パターンを警告する可能性のあるデータを調査することにより）、組織のリスクプロファイルを低下させます。^{[4] [5]}

自己統制評価を実施する組織には、他にも多くのソフトなメリットがあると主張されています。これには、ビジネスオペレーションの理解の向上（経営陣と業務スタッフの両方による）、リスク慣行に対する意識の向上、コーポレートガバナンス体制の強化、内部監査の効率性の向上などが含まれます。^{[4] [20]}

一部の研究者は、リスクの定義と測定方法が洗練されていないため、統制自己評価は欠陥のあるアプローチであると批判している。特に、統制自己評価では、極端な下振れリスクを特定しないことでリスクを過小評価する可能性がある。極端な下振れリスクとは、発生すれば壊滅的な結果をもたらす、非常に起こりにくいイベントである。これらのリスクは、高い総合リスクスコアを持つべきである（通常、リスク発生の確率と、実際に発生した場合の影響を1～5のスケールで掛け合わせて計算される）。その結果、統制自己評価を行う個人は、リスクを明確に区別することができず、極端に確率の低いリスクは分析から除外されるか、または影響がそれほど深刻ではない他のより起こりやすい（しかし、それでも起こりにくい）リスクと一緒にグループ化される。^[21]

自己評価によるリスク排除への継続的な重点化も批判されている。リスクを継続的に評価し、リスクを軽減・排除する計画を立てるプロセスは、さまざまなビジネス上の選択のリスクとリターンの比率を無視してリスクを排除するという、不均衡な企業文化につながる可能性がある。^[21]

• 内部監査
• 内部統制

• 連邦交通局が使用する自己評価ツールを管理する