内部監査業務でリスクマップ監査をしたいと思いますが、 どのように作成していけばよいのか手順を教えてください。

Question

内部監査業務でリスクマップ監査をしたいと思いますが、
どのように作成していけばよいのか手順を教えてください。

Answer 1

一般にはリスクマップからリスクを網羅的に把握し、識別されたリスクに対しその発生の可能性（管理の脆弱性）と影響度の観点から評価を行い、リスクの種類に応じてコントロールの妥当性を内部監査により評価します。
有名なモデルはトーマツのリスクマップがありますので参考にされると良いでしょう。
マップ→http://www.tohmatsu.com/assets/Dcom-Japan/Local%20Assets/Images/Full%20Size%20Images/jp_s_ers_riskmanagement03_160410.jpg
もちろん、ここに書かれた全てのリスクについてマッピングする必要はありません。各リスクについてシナリオを描き、その影響がある物についてのみ評価してゆきます。
例えば、「経営者の倫理観」と言うリスクにより引き起こされる事象は「経営者不正」と言うことになるのでしょうが、影響は大きくても可能性がゼロであれば、ゼロに何を掛けてもゼロなので、マップには載せません。
このようにシナリオを描きながら、発生時の影響度と発生可能性とを網羅的に検討し、評価結果をマップに置いて行きます。
リスク評価
http://www.tohmatsu.com/view/ja_JP/jp/services/ers/riskmgmt/riskctrl/index.htm

マトリクスで各象限に表示されたリスクに応じて、リスクの軽減、リスク受容、再配置等のコントロールが行われているはずなので、それが十分に機能し、目的に適合しているかを評価します。

例えば、債権の貸倒れに代表される与信リスクは、潜在的な発生頻度が高く（管理の脆弱性が高い）、それが巨額に上った場合は発生した時の影響も大きいと考えられるため、通常は債権の年齢管理を複数の目で定期的に行って、焦げ付きは無いかをチェックするとともに、もし長期に亘り回収不能な状況があれば業績に対する影響を最小限にするため、債権に見合う貸倒引当てを積み増します。
この時の「債権年齢管理」は発生可能性に対するコントロールであり、「引当金積増し」は発生した場合の影響を最小限にするためのコントロールです。
つまり、信用リスクに対しては「低減」を目標としたコントロールが行われているはずなので、それが十分か否かを見に行けば良いわけです。