「内部監査部門のためのRPAの活用のポイント」の解説

ロボティクス・プロセス・オートメーション（以下、「RPA」）をさまざまな業務に適用する取り組みが多くの企業で開始されており、その波は内部監査部門にも及び始めています。このような状況のもと、PwCあらた有限責任監査法人では2018年9月に「内部監査部門のためのRPAの活用のポイント」というレポート（以下、「RPAレポート」）を発行しました。これは、PwCの海外法人が発行した「Robotic process automation; A primer for internal audit professional」の日本語訳に、「日本企業におけるRPA普及に係る示唆」という、日本の企業向けの考察を加えたものです。本コラムでは、このRPAレポートを参照しながら、内部監査部門はRPAという新たなテクノロジーをどのように捉え、活用していくべきかを考察します。

なお、本コラムにおける意見・判断に関する記述は筆者の私見であり、所属組織の見解とは関係のない点を予めお断りしておきます。

ポイント1：RPAの利用状況やRPAの導入の主導権について理解し、業務部門や他部門のリーダーと連携できているか？

RPAは、複雑なプログラムをコーディングすることを利用者に求めないため、システム開発スキルはほぼ必要ありません。すなわち普段パソコン操作を行っている人であれば、RPAも同様に操作できると言えます。そのためRPAの導入は、従来のシステム開発のように、システム部門への相談を行うことなく、業務部門主体で導入することも可能です。

専門的な開発能力なしに導入可能なRPAは、同時に、既に確立された内部統制を侵食するリスクをはらんでいます。そのため内部監査部門は、社内のIT戦略を考慮しつつ、各部門との連携のもとでRPAの利用状況を把握し、現行の内部統制を損なうことがないようにするという観点からRPAの導入／運用管理が図られているかどうかを確認し、モニタリングしていく必要があります。

なおRPAレポートでは、モニタリングに際して準拠すべきフレームワークとして、「RPA導入に係るガバナンス／リスク管理態勢フレームワーク」（図1）を紹介しています。これらを踏まえ、戦略、組織、人材、プロセス、システムの切り口で、RPAに係る内部統制が十分であるかどうかについてモニタリングを行っていくことが推奨されます。

ポイント3：内部監査の業務プロセスを調査し、ロボットに置き換えることができるタスクを特定できているか？

ここまで、RPA導入を行う業務部門に対し、内部監査部門がどのように関与していくかについて述べてきましたが、そもそも内部監査部門自体の業務・タスクにおいて、RPAを利用することで効率化可能なものがないかを棚卸をすることも重要です。

例えば、今までは検証範囲が広範・膨大なため、サンプリングベースで検証を行わざるを得なかった内部監査のアプローチも、RPAを有効活用することで、サンプルベースでなく、全件を対象とした検証を効率的に行えるようになり、内部監査の水準を高度化できる可能性があります。RPAレポートで紹介した通り、以下のような内部監査に係る業務範囲は、RPAにより見直し可能なタスク群となります。

• 未出荷や未納等の異常な監査対象となるような異常なデータの特定
  
• 電子メールでの締め切りの催促やステータス更新の自動化
  
• 進捗状況やリスク指標の確認やモニタリング
  
• テンプレート化されている監査報告書の入力
  
• データアナリティクスのためのデータ作成
  
• マスタデータの完全性や検証など、決まった検証項目の自動化
  

内部監査部門でも、進捗管理や監査のためのデータ作成等、多くの定型業務を抱えています。これらの業務をRPAの導入によって自動化し、内部監査部門に本来求められる専門的な職務へのリソース集中を可能にすることは、業務水準の高度化にもつながります。