リスク評価手続

Key Takeaways

> - リスク評価は計画段階の儀式ではなく、検証手続の設計図。ここでの粒度がそのまま期末の追加手続の量を決める。 > - ISA 315.A2は質問・分析的手続・観察の3要素を要求するが、現場では質問だけで完結する調書が多い。 > - 前年度リスクの扱いはパートナーで意見が割れる論点。流用と再評価の境界線は監基報315.A5の解釈問題。

---

How it works

ISA 315.5が要求するのは、被監査会社と環境の理解に基づくリスク識別。条文だけ読むと整然としている。実際には、計画段階の予算は典型的に薄く、リスク評価手続は早く終わらせて検証手続に時間を回す圧力がある。形式的なチェックリスト処理が標準化したのは怠慢ではなく、予算配分の結果。

質問だけでリスク評価を完了する事務所は多い。ところが、ISA 315.A2は3つの要素を明示している。経験上、リスク評価が良かった現場と悪かった現場の差は、質問の有無ではなく、回答に対する追加検証の有無にあった。経営者が「売上成長は新規顧客の獲得による」と述べたとして、それを業界統計や得意先元帳の動きと突き合わせるかどうか。突き合わせない調書は、ISA 315.A2の独立した証拠との照合要件を実質的に満たしていない。

リスク評価手続の範囲は、被監査会社の規模、複雑性、業界によって変わる。小規模企業では月次の経営会議資料とキャッシュフロー分析で足りることもある。複雑なグループでは、各事業部門・各地域ごとの分析が必要になる。ISA 315.A5は、過去の監査で得た知識を出発点として使うことを認めている。この条文の解釈で、Aパートナーは「前年度の流用は監基報315.A5を誤読している。毎年ゼロから再評価せよ」と主張する。一方、Bパートナーは「効率的な実務は前年度ベースライン＋差分分析。全部再評価は予算的に非現実的」と反論する。なぜなら前者は独立性と懐疑心の維持を重視し、後者は限られた時間を新出リスクに集中させるべきという立場だから。私たちのチームでは、前年度リスクを「再確認すべき仮説」として扱い、当年度に状況が変わった項目だけ詳細評価する折衷案を採っている。

正直なところ、リスク評価手続の真の難所は手続の実施そのものではなく、得られた情報を検証手続の「設計」に翻訳するインターフェース。多くの調書はリスク評価ペーパーと検証手続調書を別ファイルにしてしまい、両者が対話しない構造になっている。ISA 330が要求するリスク対応はリスク評価の「結果」に基づくはずだが、調書が分離していると審査担当も連動を確認できない。

---

Worked example: Tanaka Manufacturing Ltd.

被監査会社: 日本の製造業（電子部品メーカー）、2024年度売上 8億5000万円、日本基準採用、従業員250名

ステップ1: 経営者及び経理部長への質問 - 当年度の主要な経営目標：新規顧客獲得による売上25%成長、コスト削減5% - 最近の人事異動：経理部長が前年度末に異動。後任は前営業部長 - システム関連：受注システムのクラウド移行を10月に完了予定

文書化ノート： 打ち合わせ記録を実査段階前に監査ファイルに保存。質問事項は業界動向（顧客の在庫調整サイクル、LED産業の競争激化）、内部異動の詳細を記録。ここで複雑化要因が出た。経理部長交代の引き継ぎが完了しておらず、新部長が前任の判断根拠を再現できない箇所がある。当年度の見積項目（貸倒引当金、棚卸資産評価減）の根拠資料が前任者のローカルPCに残っている可能性。

ステップ2: 前年度の監査結果との比較 - 前年度で識別したリスク：売掛金の回収遅延（顧客Aの信用力低下）、在庫評価 - 当年度の進展：顧客Aとの取引を15%削減。在庫管理システムは未導入（対応予定なし）

文書化ノート： 前年度指摘事項と当年度の対応状況をリスク評価ワークペーパーに整理。対応なしの項目については、追加的なリスク評価手続を決定。在庫管理システム未導入は前年度から継続するリスク。

ステップ3: 分析的手続 - 売上成長率の分析：当年度上期売上4億2000万円、下期予想4億3000万円（計8億5000万円）。前年度は6億8000万円。成長率25.0% - 売上原価率：前年度43.2%、予想当年度43.1%。大きな変化なし - 売掛金回転日数：前年度60日、予想当年度58日（改善傾向）

文書化ノート： 売上成長が計画と一致。売上原価率の安定は、新規顧客からの受注内容（利幅の大きい製品）と合致。ただし、下期の実績未確認のため、期末月の3つの売上取引を詳細に検証することを決定。

ステップ4: 観察及び他の検査 - 工場訪問：生産設備は新しく、稼働率は高い状態。従業員の数は採用予定通り進捗 - 受注システムのクラウド移行準備状況：10月導入予定だったが、現場では9月末に経営判断で前倒しが決定。10月初週に強行された。移行前後のアクセス管理ログ取得が困難になっている

文書化ノート： IT統制リスク（クラウド移行に伴うアクセス管理の変更）の評価を深める。移行前のログは旧オンプレミス環境に残るが、ベンダーの保守契約が9月末で切れており復元コストが高い。移行直後のアクセス権限設定の検証手続をどう設計するかを審査前にパートナーと協議する必要あり。

結論： リスク評価の結果、重大なリスク領域は売上取引の認識（下期の実績）、クラウド移行に伴うIT統制（移行前後のログ取得困難）、在庫評価（前年度指摘の未対応）の3つと評価した。これらの領域に対して、検証的手続を集中させることを決定。売上取引については月次サンプル（3か月×10取引）を詳細に検証し、IT統制は移行前後のアクセスログを別ルート（ベンダーへの照会、ユーザー側操作ログ）から再構成することにした。

---

What reviewers and practitioners get wrong

- 多くの事務所はリスク評価手続を形式的に実施している。 経営者への質問を「標準的なアンケート」として処理し、回答内容を検証せず、すぐに次のステップに進む。ISA 315.A2は独立した証拠との照合を要求している。質問と分析的手続の結果が矛盾したら、その原因を探究する文書化が必須。テンプレートが「経営者への定型質問」を提供するため、独立した証拠との照合が省かれやすい構造的問題がある。

- 分析的手続の範囲が不足する傾向がある。 売上と売掛金の伸び率を比較するだけで、業界動向、顧客別の売上構成の変化、原価率の動きを見ていない事務所がある。ISA 315.A1は、被監査会社と被監査会社の環境についての「理解」を求めている。理解がなければ、どの領域にリスクがあるかを識別できない。経験上、ここで手を抜くと期末で必ず跳ね返ってくる。

- 前年度の評価結果を軽視する傾向。 「毎年同じリスク評価をする」という処理の結果、被監査会社の状況変化（経営陣の交代、新規事業、システム導入の前倒し）を見落とす。ISA 315.A5は事前の知識の活用を認めているが、「知識を流用する」ことと「当年度の変化を評価する」ことは異なる。前述のAパートナー対Bパートナーの論争は、まさにこの境界線の引き方の問題。

---

対比的な関連概念

リスク評価手続 vs. 実証的手続

リスク評価手続と実証的手続は監査の連続した2つの段階。リスク評価手続は「何がリスクか」を識別する段階。実証的手続は「そのリスクが実際に発生しているか」を検証する段階。

リスク評価手続の結果が実証的手続の形状を決定する。ISA 330は、評価されたリスク（特に重大なリスク）に対応するための検証的手続の設計を要求している。リスク評価で「売上認識が高リスク」と判定したら、実証的手続では売上取引のサンプルサイズを大きくし、より詳細な検証を実施する。逆に「売上認識は低リスク」と判定したら、分析的手続だけで足りるかもしれない。

両者を混同する事務所がある。リスク評価で「〜について質問した」という記載が、そのまま実証的手続の設計に使われている例がある。ISA 315とISA 330は別の基準。前者は「リスクが何か」を理解する段階、後者は「そのリスクに対応するために何をするか」を設計する段階。

---

関連用語

- 監査リスク: リスク評価手続は監査リスク全体の構成要素である重大な虚偽表示のリスクを評価するために実施される。 - 内部統制の理解: リスク評価手続の中核要素。経営者の統制環境、経営方針への理解がなければリスク評価は不完全。 - 分析的手続: リスク評価手続に含まれる3つの方法の一つ。質問と独立した情報を照合する。 - 実証的手続: リスク評価の結果に基づいて設計される。評価されたリスクが高ければ、実証的手続の範囲と深さを拡大する。 - 重大なリスク: リスク評価手続で識別されたリスクのうち、評価されたリスクが高い領域。ISA 330に基づく特別な対応が必要。 - 被監査会社の理解: リスク評価手続の目標。被監査会社の事業、業界環境、内部統制、経営者の意図を理解する。

---