アシュアランスマップを活用したグループガバナンスの高度化

1 アシュアランスマップ作成の目的

子会社からリスク情報を収集する仕組みが本社事業部門やコーポレート部門によって整備されておらず、管理状況もモニタリングできていない結果、グループ全体のリスク管理の状況を十分に把握できていない会社を目にします。また、内部監査に対する投資が十分でなく、リスク管理の強化によるグループガバナンスの継続的な高度化に取り組めていない会社もあります。

このような状況を改善するために、グループにとって重大なリスクとそれに対応するアシュアランス活動を整理することが作成の目的となります。具体的には、縦軸に企業グループにとって重大なリスクを記載し、横軸には3ラインを中心とした内外のアシュアランス活動を記載することで、リスクへの対応を見える化し、経営判断に資する情報を提供することが目的となります（後述の図表1を参照）。

2 アシュアランスマップの作成方法

アシュアランスマップの作成方法や事例は、各社の目的によって異なっています。今回は、PwC英国が2021年1月にウェブサイトに掲載した「Exploring the Assurance Map」を参考に、6つのステップに分けた作成方法と作成例（図表1）について、日本での事例も加えながら紹介します。

6ステップによる作成例

• ステップ1：主要なリスクを特定するリスクレジスターの中から、理想的には5～10程度の主要なリスクに絞って選定します。
• ステップ2：リスクとコントロールを評価して残余リスクを特定するリスクに対応する内部統制、プロセスおよびガバナンスを特定し評価します（第1線と第2線）。
• ステップ3：リスクと関連するアシュアランス提供者を特定し、潜在的なギャップを識別するプロセスやコントロールに対する内部（第3線）と外部のアシュアランス活動に着目します。
• ステップ4：リスクと関連するKPI（Key Performance Indicator）や公開情報を確認する各リスク領域に関連するKPIが公開されている場合には、アシュアランスマップに記載します。
• ステップ5：KPIと関連するアシュアランス活動を特定し、潜在的なギャップを識別するステップ3と同様に、内部および外部のアシュアランス活動に着目します。
• ステップ6：これまでのステップを踏まえて、残余リスクの状況を評価し、必要に応じてステークホルダーとの対話を行い、潜在的なギャップの有無を検討する取締役会や監査委員会は、残余リスクが十分に低減されているか検討し、さらなるコントロールの強化が必要か決定します。

重大なリスクに絞り込む

リスクの種類は広く捉える

各社の目的によって異なりますが、オペレーショナルリスクやコンプライアンスリスクのうち、重要なものに絞って分析している会社もありますが、これは、取締役の責任である内部統制の構築と3ラインによる管理が、紐づけて分析しやすいことが背景にあると思われます。

しかし、予測不能な環境下においては、内外の環境変化、戦略リスクおよびESGに関連する時間軸の長いリスク等、グループ本社が中心となって個別にトップダウンで対応することが効果的なリスクが増えています。投資家も、変化の激しい時代において、対話の対象となるリスクの種類をビジネスと紐づけて幅広く捉えることを求めています。したがって、取締役や投資家の視点に立った場合、重要なリスクに数は絞った上で、リスクの種類はあまり限定せず、対象範囲を広く捉えることが望ましいと考えられます。

アシュランスマップの例示

アシュアランスマップの作成例を図表1に挙げています。ここではリスクを非財務・規制リスク、オペレーションリスク、財務リスクおよび戦略リスクの4つに分類し、そのうち主要なリスクとして、ESGの影響、サイバー、資産計上されたソフトウェアおよびイノベーションの失敗をリスクレジスターから選定しています。

例えば、資産に計上されたソフトウェアの場合、発生可能性と影響度から固有のリスクを「中程度」と評価し、年次の減損テスト等主要なコントロールの有効性を分析した結果、残余リスクも「中程度」としています。

そして、残余リスクの評価結果と、第3線である内部監査人と外部監査人のアシュアランス活動を紐づけて確認します。具体的には、両監査人ともサンプルベースでコントロールテストを実施しており、外部監査人は年度末に減損テストも実施しているため、リスクが十分に低減されているか期待ギャップの有無も含めて確認します。同様に、リスク管理上の重要なKPI（Key Performance Indicator）の開示状況とアシュアランス活動についても関連付けて分析します。アニュアルレポートにはROI（投資収益率）、帳簿価格および減損額が関連するKPIとして開示されているため、外部監査人による財務諸表計上額および関連するKPIのアシュアランス活動について、期待ギャップの有無を確認します。これらの一連のリスク管理活動の十分性については、最終的に取締役会や監査委員会によって決定されることになります。

3 残余リスクに応じた第2線の支援活動

グループにとって重大な残余リスクがある場合には、本社と子会社第2線が連携して、第1線のリスク管理体制を強化していくことが効果的です。本社第2線は、子会社第2線の成熟度に応じて、支援活動の強弱を検討します。子会社第2線の成熟度が高い場合には、子会社側にリスク管理体制の強化を任せた上で、進捗をモニタリングするようにします。一方、子会社第2線が脆弱な場合には、本社第2線は子会社第2線と協働で第1線のリスク管理体制の強化にあたります。すなわち、本社第2線は、子会社で対応が必要なリスク管理の方針を提示し、プロセス、コントロールの整備やこれらが機能するように人材の育成を支援します。そして、モニタリングの頻度を増やしながら、子会社第1線・第2線のリスク管理体制が強化され、残余リスクが許容可能な水準に下がるまで積極的に関与します。

不適切事案を繰り返す子会社は、第1線・第2線の管理体制が脆弱であるにもかかわらず、本社の関与も十分でなく、現場が閉鎖的な環境となっている場合があります。このような場合には、本社第2線も関与して現場プロセスの透明性を高め、モニタリング活動を通じた行動の変革を促すことで、風通しの良いリスクカルチャーの醸成を目指すのが効果的な方策となります。

4 第3線のアシュアランス活動

第1線と第2線のリスク管理体制と子会社第3線の成熟度を評価することで、第3線のアシュアランス活動の進め方を使い分けることが効果的です。子会社第3線（横軸）と子会社第1線と第2線のリスク管理体制（縦軸）の成熟度が共に高く、図表2の右上のケースに該当する場合には、子会社内部監査部の結果に依拠することを基本方針とします。一方、子会社内部監査部門の成熟度が低い場合には、依拠することが難しいため、本社内部監査部と共同監査を実施することで、監査品質の維持と子会社内部監査部の支援や育成に取り組みます。

また、第1線と第2線のリスク管理体制の成熟度が高い場合（縦軸）には、第2線を中心としたリスク管理体制の仕組みを監査することで効率化を図ることが可能と考えられます。一方、リスク管理体制が脆弱な場合には、個別にリスク評価を実施した上で、現場のプロセスやコントロールに対して監査手続きを実施することが必要となります。

執筆者