2.1リスクアプローチと監査リスク

システム監査人が扱える監査資源（時間・人員）は常に有限です。すべての業務・システムを同じ深さで精査することは現実的でないため、監査人はリスクの高い領域に資源を重点配分する——これがリスクアプローチです。その資源配分を規律づける中核概念が監査リスクであり、これは監査人が「重要な問題があるのに監査意見で見逃してしまう」リスクを、固有リスク・統制リスク・発見リスクという3つの要素に分解して捉えます。この節では、3つのリスクの役割の違い——とりわけ監査人が手続でコントロールできるのは発見リスクだけであるという点を軸に、監査計画の出発点となる判断を学びます。

2.1.1監査リスクの3要素と役割の違い

• 固有リスク＝内部統制がまったく無いと仮定した場合に、その業務やシステムが本来的に持つ誤り・不正のリスク。取引の複雑さ、金額の大きさ、変更の頻度などに左右される。監査人はこれを「評価」する所与であり、監査人が下げられるものではない。
• 統制リスク＝被監査対象の内部統制によっても誤り・不正が防止・発見されずに残ってしまうリスク。統制の整備・運用状況に左右される。これも監査人が統制の評価を通じて「評価」する所与であり、監査人自身が下げるものではない（統制を整備・運用するのは被監査部門）。
• 発見リスク＝重要な問題が実際に存在するのに、監査人の監査手続がそれを発見できずに見逃してしまうリスク。これだけが監査人が監査手続の種類・範囲・時期の設計を通じて「コントロール」できる要素である。試査範囲を広げる／精査に近づける／有効な監査技法を選ぶことで発見リスクを下げられる。

2.1.2監査リスクの関係式と資源配分

• 監査リスク＝固有リスク×統制リスク×発見リスク。監査人はまず固有リスクと統制リスクを評価し、監査リスクを自らの許容水準に収めるために、逆算して発見リスクをどこまで下げる必要があるかを決める。
• 固有リスク・統制リスクが高いと評価した領域ほど、監査リスクを許容水準に抑えるために発見リスクを大きく下げる必要がある——具体的には試査の範囲を拡大する、より証明力の高い監査手続を選ぶ、精査に近づける、といった手続の強化につながる。逆に両リスクが低ければ、限定的な試査でも監査リスクは許容水準に収まる。

あるシステム監査人が、新たに稼働した売上計上システムの監査計画を策定しています。予備調査の結果、この領域は取引件数が膨大で計上ロジックが複雑（多通貨・複数の値引き条件）なため固有リスクが高いと評価され、加えて、計上前の承認統制がシステム化されておらず担当者の手作業に依存していることから統制リスクも高いと評価されました。このとき監査人は、監査リスク（重要な計上誤りを見逃す最終的なリスク）を自らの許容水準に抑えるために、発見リスクを大きく下げる必要があると判断します。ここで重要なのは、監査人は固有リスクそのもの（取引の複雑さ）も統制リスクそのもの（承認統制の弱さ）も自ら引き下げることはできない、という点です。それらは被監査対象の性質であり、統制を強化するのは監査人ではなく被監査部門の責任です。監査人ができるのは、自らの監査手続の設計を通じて発見リスクをコントロールすることだけです。具体的には、当初計画していた少数サンプルの試査（限定的なサンプリング）を、対象期間の全計上トランザクションを汎用監査ソフトで網羅的に突合する精査に近い手続へ切り替える、複数の監査技法を組み合わせて証拠の証明力を高める、といった強化を行います。逆に、もし予備調査で固有リスク・統制リスクがともに低いと評価されていれば、限定的な試査でも監査リスクは許容水準に収まるため、資源を他の高リスク領域へ振り向ける判断が妥当になります。このように、監査リスクの関係式は「どの領域にどれだけの監査手続を投入するか」という資源配分の判断そのものを規律づけます。

2.1.3この節のまとめ

• リスクアプローチ＝有限の監査資源を高リスク領域へ重点配分する考え方
• 監査リスク＝固有リスク×統制リスク×発見リスク。固有・統制リスクは監査人が評価する所与
• 監査人が監査手続でコントロールできるのは発見リスクだけ——固有・統制が高いほど発見リスクを下げる（試査を精査へ）