統制自己評価【CSA】 Control Self-Assessment

概要

統制自己評価（CSA）とは、内部監査の手法の一つで、監査部門が監査対象の部門を監査するのではなく、対象の部門(非監査部門)が監査部門の援助の元に自らの監査を行うこと。IT分野ではシステム監査やセキュリティ監査で行われることがある。

企業などの組織内で行われる監査には外部機関による外部監査と自社内の監査部門が業務部門に実施する内部監査がある。内部監査は通常、業務部門からは独立した専門の監査部門や監査人によって実施されるが、統制自己評価では監査部門の依頼や一定の関与のもと、業務部門内部で実際の監査活動が実施される。

具体的な手法として、業務部門の人員を集めて業務上のリスクなどについて議論する「ファシリテーション」「ディスカッション」「ワークショップ」などの形式（議論の進行方法などの詳細に違いがある）、監査部門の作成したチェック事項について業務部門の人員に答えてもらう「アンケート」「インタビュー」などの形式がある。

監査部門が監査を実施する場合に比べ、実際に業務に携わる人が主体的に関わる必要があるため、議論や回答を通じて業務のリスクや問題点、課題について関心や認識を深め、監査の仕組みや結果を「自分ごと」として受け止められるようになることが期待される。

ただし、非監査部門は通常業務に加えて統制自己評価の活動を行うため負担は大きく、監査の客観性や独立性が薄れる危険もある。部門内での議論では問題点の指摘などに際して匿名性を確保することも難しく、職位や年次による力関係、人間関係などに起因する意見の偏りが生じる場合もある。

(2023.9.17更新)