CAE にとって最も適切な行動方針は、特定された弱点に対処するための経営陣の行動計画の堅牢性と実現可能性を評価することです。CAE は、実装の進捗状況、重要な日付、成果物を監視して、是正措置が順調に進み、規定のタイムライン内でリスクが効果的に軽減されることを確認する必要があります。参照: = IIA 標準 2500 - 進捗状況の監視。

経営陣が重要な推奨事項、特に規制遵守や潜在的な評判リスクに関連する推奨事項を実施しないことを決定した場合、最高監査責任者 (CAE) が問題を上級経営陣にエスカレーションすることが不可欠です。この手順により、経営陣は関連するリスクを完全に理解し、十分な情報に基づいた決定を下すことができます。
詳細な説明:
IIA 標準 2600 - リスクの受容の伝達:
この標準では、CAE が許容できないと考えるリスク レベルを経営陣が受け入れた場合、CAE は上級経営陣と取締役会にその旨を伝える必要があります。CAE は、意思決定者が潜在的な結果を認識していることを確認する必要があります。
エスカレーションの重要性:
CAE は上級管理職との会議を開催することで、潜在的な規制上の制裁や評判の低下など、コンプライアンス違反のリスクについて話し合うことができます。この話し合いにより、上級管理職はこれらのリスクを考慮して決定を再評価する機会が得られます。
IIA 実務アドバイス 2600-1:
この勧告では、重大なリスクが経営陣によって対処されていない場合、CAE はこれらの懸念を組織の上位レベルに伝える必要があると提案しています。これにより、リスクが無視されることがなくなり、適切な措置を講じることができるようになります。
他の選択肢はないのでしょうか?
オプション A (何もしない): CAE には重大なリスクをエスカレーションする責任があるため、これは適切ではありません。
オプション B (規制当局に連絡する): これは極端な措置であり、最初の行動方針としては適切ではありません。この問題は、外部の規制当局を関与させる前に社内で議論する必要があります。
オプション D (外部監査人への強調): 外部監査人に通知する必要があるかもしれませんが、まず組織内で問題に対処する必要があります。

上級管理職が、疑わしいベンダーとの取引などのリスクを受け入れることを決定し、最高監査責任者 (CAE) がこれが組織に重大なリスクをもたらすと判断した場合、CAE は問題を取締役会にエスカレーションする必要があります。取締役会はリスク管理を監督する最終的な責任を負っており、リスクに応じて適切な措置を講じることができます。
IIA リファレンス:
IIA 標準 2600: リスクの受け入れに関する伝達では、CAE が、上級管理職が組織にとって受け入れがたいレベルの残留リスクを受け入れたと判断した場合、CAE は上級管理職とこの件について話し合う必要があると規定されています。リスクに関する決定に変更がない場合、CAE は取締役会に通知する必要があります。
リスク管理に関する実務ガイドでは、特にこれらのリスクが組織に重大な影響を及ぼす可能性がある場合、経営陣が受け入れることを選択した重大なリスクについて CAE が取締役会に報告することの重要性を強調しています。

セクション: 巻 B
説明/参照: