第１４８話 「第４回 監査所見は、『白と黒』」（その２）
２．改訂されたISO 19011のポイント
改訂されたISO 19011の序文には、マネジメントシステム監査における、２つのリスクの側面が挙げられています。
（１）監査プロセスがその目的を達成しないというリスク
（２）監査が被監査者の活動及びプロセスを妨げるというリスク
ここからは、この２つのリスクについて、監査プログラムのどのステップで、何に留意しなければならないのかを具体的に解説していきます。
ISO 19011では、監査プログラムに係わる活動の全体をフロー図で表しています（図２参照）。この（図２）に記されている、5.2～5.6、7、8などは、ISO 19011の箇条と符合する番号です。このフロー図で、（１）監査プロセスに関するリスクは、「5.3 監査プログラムの策定」の枝箇条である「5.3.4 監査プログラムに係わるリスクの特定及び評価」のステップ、つまり監査の内容全体を形成するときに留意しなければならない事項です。一方、（２）監査によって発生する組織に対するリスクは、「6 監査の実施」のステップ、つまり個別の監査を準備するときに留意しなければならない事項です。
次に、（１）と（２）のそれぞれのリスクに係わる留意点を述べます。
（１）監査プロセスに関するリスク
ISO 19011 「5.3.4 監査プログラムに係わるリスクの特定及び評価」の中で取り上げられているリスクを（表１）にまとめました。この６項目について、もう少し詳しく説明していきます。
①計画の策定： 監査プログラム責任者が、監査の目的を明確にしなければ、監査員は、何を重点的に調査しなければならないのかが分かりません。また、監査プログラム責任者が、監査の対象部署、対象業務に係わる指示を間違えれば、監査は、目的を達成することができず、その結果は無意味なものになるでしょう。
②資源： 監査プログラム責任者が、監査活動の計画、実施、管理、改善に必要な財務資源、監査方法、力量を備えた監査員などについて、何も考慮していない。また、調査に必要な時間を与えない。このような状況下では、監査員が十分な監査を行うことができないのは言うまでもありません。
③監査チームの選定： 監査プログラム責任者が、製造部の監査に、製造業務を全く知らない要員で構成されたチームを任命したとき、その監査からは果たして有意義な所見が得られるでしょうか。この監査チームに、的を射た指摘を期待するのは、やはり無理があるのではないでしょうか。
④実施： 監査員は、被監査者から、コミュニケーションを通じて、マネジメントシステムの評価に必要な監査証拠を得ます。現地における監査で情報を得たいと希望する被監査者にインタビューができない、又は、リモート監査でインターネットを利用した調査ができない。これでは、マネジメントシステムを評価するための証拠が得られません。それは即ち、監査が客観的な評価に結びつかないことを意味します。
⑤記録及びその管理： 筆者は、企業でマネジメントシステムを効果的に運用しているかどうかを見極めるバロメータとして、内部監査の活動状況を調査します。そのとき、監査報告書、監査で用いたチェックリストなど、内部監査に係わる記録を確認します。もし、記録の保管及び保護に不備があり、紛失、又は、汚損により、確認したい情報が得られなければ、内部監査の活動状況を調査することはできません。また、企業自ら、監査の現状を把握し、監査プログラムを改善するためにも、過去の監査の記録は、貴重な資料であり、これを保護（損傷、劣化の防止）しなければなりません。
⑥監査プログラムの監視、レビュー及び改善： 監査プログラムの成果とは、監査プログラムの目的に対する達成度と言えます。例えば、重大な顧客クレームが連続して発生したことを受けて、監査プログラム責任者が、臨時監査を計画したと想定します。この臨時監査で得られた所見が、顧客クレームの発生を防止することに役立つものであれば、成果が得られたことになります。しかし、所見が顧客クレームに何ら関係のない指摘だけで、監査目的の成果が得られなかったのであれば、その原因を明らかにして処置を講じなければなりません。例えば、監査プログラムの中で、事前準備が不十分だった、監査員の力量が不足していたなどの問題があるにも拘わらず、それを放置しておけば、以後の内部監査でも、同じことの繰り返しになってしまいます。
これまで、述べてきた①～⑥に係わるリスクは、監査プログラム責任者が、監査プログラムを策定するときに留意しなければならない事項と言えます。
（２）監査によって発生する組織に対するリスク
監査によって発生する組織に対するリスクとは、監査チームが監査活動によって、好ましくない影響を与える可能性を言います。ISO 19011では、このリスクについて、「影響を与える」レベルと、「脅威を引き起こす」レベルについて認識する必要性を述べています。
◇監査チームの存在が、安全衛生、環境、品質に影響を与える
◇監査チームが、製品、サービス、要員及びインフラストラクチャーに対し、脅威を引き起こす
この２つのリスクについて事例を挙げて説明します。
前者は、監査員が、被監査者の現場における安全に係わるルールを理解せずに監査することにより、その監査員の不安全行為が何らかの事故の発生につながることを示唆しています。
一方、後者は、食品工場における監査の際に、監査員がノロウイルス感染していれば、製品、作業者、インフラストラクチャーを汚染してしまい、製品事故の原因となりうることを示唆しています（図３参照）。
監査によって発生するリスクについては、その監査を担当する監査チームリーダーが、監査を計画する際に留意しなければなりません。
日刊工業新聞社『ＩＳＯマネジメント』誌に掲載した連載記事「経営に活かすために内部監査を変える！」 2012年5月号より
