大きな地震が発生するたび、経営者は会社の危機管理や BCP が確かなものなのかを担当者に確認し、備蓄の数量不足や BCP 訓練の遅延に神経を尖らせます。
通常、経営者はBCPのような経営管理項目の内容について毎年内部監査報告を受けているにも関わらず、地震発生のニュースを聞くたびに過敏に反応します。彼らのこうした行動を見聞きすると、内部監査は本当に意味を持っているのかと疑念が沸きます。
実際、多くの内部監査は「木を見て森を見ず」の形骸化が進行し、全体像がぼやけた局所的な指摘と改善によって流されていく、そんな状態ではないでしょうか。
近年、首都直下地震、南海トラフ地震、富士山噴火降灰など近い将来予想される連続災害に加え、サイバー攻撃による企業活動全体の停滞がクローズアップ。さらに企業は、地政学的リスクや複合的な危機、未知のリスクへの対応を余儀なくされています。
ゆえに企業はサイバーセキュリティBCPやオールハザード型BCPの導入へ意識を向けますが、これらの新しいタイプのBCPも当然ながら内部監査を実施しなければなりません。しかしそこには、従来のBCP監査の考え方や手法が通用しない、まったく新たな監査指針が”内包”されていることをご存じでしょうか。
1.サイバーセキュリティBCPの内部監査
ここでは、国際標準になっているNIST（米国国立標準技術研究所）が策定した CSF 2.0（Cybersecurity Framework：サイバーセキュリティフレームワーク、以下CSF）をベースに、サイバーセキュリティをBCPに統合する手法を前提とします。
CSFでは「Core」「Tier」「Profile」という三つの構造により、サイバーセキュリティで要求されるさまざまな機能ごとに現在の立ち位置と目標の設定を行い、BCPとして災害対策本部運営の一部に組み込まれます。
ここで内部監査として注目する機能が「Tier」と「Profile」です。Tierは成熟度評価と呼ばれ、以下のような4段階で構成・定義されています。
【Tier2】Risk-Informed（リスク志向）：リスク認識はあるが一貫した管理策欠如
【Tier3】Repeatable（反復可能）：経営主導のリスク管理策が定着、継続的見直し
【Tier4】Adaptive（適応的）：脅威や教訓を反映した継続的改善、アジャイルな対応
この考え方においては、サイバーセキュリティで要求される130を超える業務機能単位で目標への達成度、現行の整備状況や成熟度を自ら理解するために、望ましい段階への進捗評価がサイバーセキュリティBCPの内部構造に組み入れられます。内部監査はこれらを利用することになるのです。
従来の内部監査は「適合性」と「有効性」を焦点に当該年度で監査対象の枠組みが決められ、その範囲で監査が行われました。しかしこのサイバーセキュリティBCPの内部監査では、業務（Profile）全プロセスに対し網羅的に目標への進捗評価が継続し、成熟度（Tier）が加わります。
さらにサイバーセキュリティBCP訓練では、司令塔となるインシデント・コマンダーの能力判定として以下のようなKPIが設定され評価対象となります。
①初期対応時間（ネットワーク遮断まで）：目標30分以内
②情報共有精度（関係者への通知漏れ率）：目標 0 %パーセント
③復旧時間（主要システム再稼働）：目標24時間以内
④成熟度スコア：CSF2.0 Tier 3到達
2.オールハザード型BCPの内部監査
オールハザード型BCP内部監査も、サイバーセキュリティBCPと同様、詳細プロセスを標準定義し、プロセス（機能）成熟度の評価やレベル判定、訓練による実効性評価を実施します。
こちらはサイバーセキュリティBCPの内部監査よりさらに厄介です。少なくとも内部監査担当者や管理職はオールハザード型BCPがどのように構築されているのかを、災害種別BCPの内部監査よりも深く理解しておく必要があります。望むべくは構築段階で、内部監査担当者と管理職はオブザーバーメンバーとして参加しておくことをお勧めします。
注意すべきは、従来のBCPで使っていた用語の意味の変更や新しいキーワードの出現です。
例えば事業影響度分析（通称BIA）について、従来型では災害種ごとに単純なシナリオにもとづき売上高や利益による事業のランキング化を行う定量分析の後に定性的な評価（震災時に需要が増す・減るなど）を加えるのが主な作業でした。が、オールハザード型BCPのBIAは災害の種類に依存せず、事業継続に必要な「機能・リソース」を軸に分析・評価していきます。
実施ステップとして
①重要事業機能の特定（売上高、顧客への影響、法令遵守要件）
②停止許容時間（MTPD）や目標復旧時間（RTO）の設定
③影響度を定量化するために、財務的損失、ブランド毀損、法的リスクのスコア化
④優先度付けやリソース影響評価
という一連の作業が事業影響度分析となります。
また、内部監査チームが理解しておくべき新しい用語や概念があります。
まず「プレイブック」。これは、従来型でいうところの「初動マニュアル＋BCPマニュアル」です。物理災害BCPプレイブック、サイバーセキュリティBCPプレイブック、複合災害プレイブックの三種類が策定されます。これにより危機管理系のドキュメント構造は、最上位から「危機管理規定」「オールハザードBCP規程」「プレイブック」「部門別BCP補助文書・手順書」「様式・書式」となります。
もう一つ重要な概念として「ゲート」が加わります。ゲートとは、BCP対応プロセスにおいて、次のステップに進むために必要な条件・基準・承認を確認する公式の判定ポイントをいいます。ゲートには「品質保証ゲート」「セキュリティゲート」「法令ゲート」「意思決定ゲート」が設定されます。
では、実際にオールハザード型BCP内部監査の全体像を見てみましょう。
II.リソース最適化評価
III.リスク包括性評価
最初の「I.機能性・実効性を評価するための成熟度評価」は、サイバーセキュリティBCPと同等の考え方です。オールハザード型で特徴的なのは、次のII.とIII.です。
「II.リソース最適化評価」では、次の内容によって評価が行われます。
・リソース（ヒト、設備、IT、供給）制約下でも最小コストで目標復旧可能な設計か
・運用実績（訓練、実際の障害対応等）により継続的改善が認められるか
・監査証憑、事業影響度分析、重要業務リストとRTO／RPO、DR 設計、訓練計画、結果報告、改善記録等が存在しているか
これらの評価に際し①事業影響度分析＋リソースマッピング②KPI ベースのリソース効率化指標③シナリオベースのストレステスト④コスト最小化設計⑤継続改善の仕組み、が割り当てられます。
また「III.リスク包括性評価」では、リスク・タクソノミーマップを作成し、可視化することで、その整合性をチェックします。
リスク・タクソノミーマップの作成方法は、まず構成として、以下の3レベルの階層構造を設定します。
【レベル２】サブカテゴリ（例. オペレーション、サプライチェーン、ITシステム、人的資源）
【レベル３】具体的リスク事象（例. IT システム⇒サイバー攻撃、ランサムウェア、クラウド障害）
加えて各カテゴリとして
①戦略リスク：市場変動、M&A 失敗、技術革新遅れ
②財務リスク：為替・金利変動、資金流動性不足、信用リスク（顧客・取引先）
③オペレーションリスク：サプライチェーン断絶、生産設備故障、IT/OT障害、サイバー攻撃
④コンプライアンス・法務リスク：規制違反、贈収賄・不正会計、知的財産権侵害
⑤外部環境リスク：自然災害、パンデミック感染症、地政学的リスク、社会的評判・風評
を設定し、Excelなどを利用して、リスクカテゴリと影響範囲をそれぞれ対比させ、各セルに「代表シナリオ」「発生確率」「影響度」「主要制御策」「残余リスク」を記載します。
いかがでしょうか。従来型の事業影響度分析やBCP監査とまったく異なる手法、膨大な作業量、作業の質の違いをご理解いただけたでしょうか。
これらの監査方法の基盤となる各種一覧や可視化するためのExcelシートなどは、内部監査チームが作成し、常に更新する必要があります。つまり、従来の内部監査のように年度の監査対象だけでなく、常時全プロセスのアップデートに対する監査状態を維持することになります。
3.内部監査管理のDXシステム化
このようにサイバーセキュリティBCPとオールハザード型BCPは、内部監査としての成熟度評価や進捗評価、機能性評価に加え、リソースの最適化やリスクの包括性にも軸を置かなければならない、従来型の内部監査とはまったく異なる思想と実行力、基盤の構築と維持が必要だとわかります。そこで要求される内部監査手法は、非常に合理的かつ可視化を通した先進的なものです。
一方、企業の内部監査項目はBCPだけではありません。内部統制・財務報告（J-SOX）、IT統制、ESG、サステナビリティ関連（TCFD、サステナビリティ戦略等）、コンプライアンス／法令遵守、外部委託・サプライチェーン、グループ会社、DX／AIなど多岐にわたります。
これらの監査対象に対し、サイバーセキュリティBCPやオールハザード型BCPを採用した途端、他の対象をレガシーな方法で内部監査することはできません。
企業の内部監査は、小さな組織で形式的に行う「儀式」でなく、監査対象全体をポリシー設定した上で、すべての対象をプロセスに分解し、KPIによる目標設定数値化、成熟度判定などをベースとした継続的な監視と可視化を前提にした大きな「フレームワーク」による管理が必要であることを示しています。
しかし一方で、この膨大な作業量と評価の質的レベルの高さを維持することは、多くの企業で困難が予想されます。これを限られた人数のヒトだけでやり切れるのか、そもそも監査部門に全体および詳細を理解する能力はあるのか、内部監査スキルの継承はできるのかという大きな課題が浮かび上がります。
内部監査による数値化データの積み上げは、企業経営管理項目の状態変化の可視化を可能とし、さらにはAI機械学習などによって見えないリスクの発見や、今後起こりうる予測にも活用できる、いわゆる「DX」システムの適用分野であることは言うまでもありません。加えて、経営陣も監査対象となることでさらに内部監査の重要性が増している以上、DX化へ舵を切るのは必然と思われます。
企業は新たな複合的なリスクに対応したBCPを採用することを決断した時、すべての内部監査に関して、避けられない大きな変革が必須となります。人手不足、スキル不足、経験不足、司令塔能力不足といった組織的な課題を克服するためにも、DX化への推進と投資は避けては通れないでしょう。
