記事全体のサマリー
本文に入る前に、この記事の全体像を1枚にまとめました。先に見取り図をつかんでから読み進めていただければと思います。
いま、私はコンプライアンスやERMを担う部門と一緒に、リスク評価を統合しようとしています。
正直に書くと、思うように進んでいません。関係者が多く、前提をそろえるだけで時間がかかります。そして、気づいたことがあります。
進まないことへの言い訳に、私は「独立性」を使っていました。
深く入りすぎると独立性が疑われる。だから距離を置いたほうがいい。そう考えているつもりでした。でも実際のところは、面倒になっていただけかもしれません。
今回の材料 ― IIAのニュースレター1本
2026年8月、IIA が『Tone at the Top』の Issue 136 を出しました。テーマは統合アシュアランス（Integrated / Combined Assurance）です。
先に性質を書いておきます。これは基準ではありません。経営者・取締役会・監査委員会向けに、ガバナンスの論点を短くまとめて届けるニュースレターです。ただし今回は注意が要ります。この号は本文の中で、グローバル内部監査基準そのものと、三線モデルのスタンス・ステートメントを引用しています。つまり、要求事項と、要求事項ではない解説が、同じ4ページに同居しています。社内で紹介するときは、どちらを指しているのかを分けて話す必要があります。
中身は、統合アシュアランスとは何かを整理したうえで、普及していない現実を数字で示し、成り立つための条件を並べる構成です。
普及の数字が、思っていたより厳しいものでした。
リスク・監査・コンプライアンスの専門職 約2,000名への調査で、60%の組織が統合アシュアランスの枠組みの導入に着手していないか、ごく初期の段階にある。成熟した取り組みが進行中だと答えたのは9%にとどまる。
The IIA『Tone at the Top』Issue 136（2026年8月）が引用する Wolters Kluwer の2026年調査／訳は筆者
これは Wolters Kluwer の2026年の調査で、Tone at the Top が引用しているものです。つまり、進んでいないのは私の部門だけではありません。
独立性は、連携しない理由にはならない
ここが、読んでいていちばん効いた箇所です。
同じ号が、Internal Audit Foundation と Baker Tilly の調査『Collaboration Without Compromise』を引用しています。
調査に回答した監査・リスクの専門職の80%が、第2線と第3線のあいだに共有された責任が存在しないことは、内部監査の独立性にとってリスクになると考えている。
同上が引用する Internal Audit Foundation ／ Baker Tilly『Collaboration Without Compromise』／訳は筆者
連携することが独立性のリスクだ、ではありません。連携していないことが、独立性のリスクだと答えているのです。
同じ号には、こう書かれています。独立性とは、完全な隔離を意味しない。
そして基準の側は、もっとはっきりしています。グローバル内部監査基準の9.5「連携と依拠」は、要求事項としてこう定めています。
内部監査部門長は、内部及び外部のアシュアランス業務のプロバイダと連携し、そのプロバイダの仕事に依拠することを検討しなければならない。
グローバル内部監査基準（2024年・日本語版）基準9.5「連携と依拠」要求事項
「できれば望ましい」ではなく、しなければならない、です。さらに続きがあります。
連携が適切なレベルに達することができない場合、内部監査部門長は、最高経営者、及び必要であれば取締役会に懸念を提起しなければならない。
同上
連携が進んでいないとき、黙っていてよい状態ではない、ということです。進まないなら、進まないという事実を上に上げるところまでが要求事項に入っています。
私が「独立性があるから距離を置く」と考えていたとき、基準はその反対のことを求めていました。
では、どこからが本当に危ないのか
とはいえ、何でも一緒にやってよいわけではありません。言い訳をやめるためには、本当に越えてはいけない線がどこかを、自分で引けている必要があります。
基準を読むかぎり、線は3本あります。
- 意思決定の責任を負わない ― 一緒に作業することと、その領域の意思決定責任を引き受けることは別です。後者は兼務であって、兼務した領域については内部監査は独立していません。その領域のアシュアランスが要るなら、適格な第三者が提供する必要があります。
- 依拠しても、結論の責任は自分に残る ― 基準9.5は、他者の仕事に依拠する場合でも、依拠の根拠を文書化しなければならず、内部監査が到達した結論については責任を負う、と書いています。渡せるのは作業であって、責任ではありません。
- 依拠してよいかを、毎回評価する ― 相手の役割、責任、組織上の独立性、専門的能力、客観性、専門職としての正当な注意を考慮することが求められています。相手が第2線だからという理由だけで依拠するのは、この評価を飛ばしているだけです。
この3本が引けていれば、残りは実装の話になります。定型で低リスクの領域は、第2線のモニタリングが機能していることを確かめたうえで依拠して工数を浮かせる。見積もりのように判断が入り、バイアスのかかりやすい領域は、報告を受け取るだけにせず自分で確かめる。第2線がモニタリングに使っているデータの抽出条件や例外処理そのものを見にいく。
信じるか信じないかではなく、どこを信じ、どこを自分で確かめるかを設計する。それが監査計画の仕事です。
現場への問い
- 第2線との連携を見送ったとき、その理由は独立性でしたか。それとも、工数と手間でしたか。
- 自部門が依拠している他部門の作業について、依拠してよいと判断した根拠を文書に残していますか。
- 連携が進んでいないという事実を、最高経営者や取締役会に伝えたことがありますか。
私はこう考える
冒頭の話に戻ります。
私が気乗りしなくなっていた理由は、2つありました。進まないことと、時間がかかること。
同じ号を読んで、そのどちらも、失敗の兆候ではないと分かりました。Tone at the Top は、統合アシュアランスが成り立つ条件を5つ挙げ、その最後にこう置いています。統合アシュアランスは長期的に積み上げる力であって、コスト削減の施策ではない。条件のもう1つは、関係と信頼です。協力し、知見を共有し、互いの仕事に依拠しようとする意思があるかどうか。
どちらも、短期間では手に入らないものです。
つまり、時間がかかることは、やらない理由になりません。それは仕様です。
私は、短期で成果が見えないことを「進んでいない」と読み替え、その上に独立性という理由を乗せていました。順序が逆で、先に面倒があり、後から理屈が来ていたのだと思います。
このプロジェクトは、まだ途中です。うまくいったとは書けません。ただ、少なくとも断る理由としての独立性は、もう使えなくなりました。
今回は以上です。
出典
- The IIA『Tone at the Top』Issue 136、2026年8月
https://www.theiia.org/globalassets/site/resources/research-and-reports/tone-at-the-top/2026/aug-2026-tatt-en.pdf - グローバル内部監査基準（日本語版、2024年）基準9.5「連携と依拠」（発行＝The Institute of Internal Auditors／日本語版＝一般社団法人日本内部監査協会）
