ファミリーオフィス内部監査機能：範囲、報告ライン、独立性保護策

実質的な複雑性を有するファミリーオフィス、特に複数の法域にわたり多世代にわたる資産、投資ビークル、サービスプロバイダーを管理するオフィスは、ガバナンス、リスク管理、規制遵守を支援する正式な内部監査機能を必要とします。この機能の設計は、ラインマネジメントから独立して運営され、内部統制、リスク軽減、ガバナンスプロセスの有効性に関する客観的な保証を提供することを保証しなければなりません。本稿では、規制当局の期待およびThe Institute of Internal Auditorsのスリーラインモデルに合致した形で、内部監査任務の範囲、報告ライン、独立性保護策を定義する方法を概説します。

ファミリーオフィスにおける内部監査機能は、取締役会または同等の統治機関が承認した正式なチャーターに基づいて設置すべきです。このチャーターは、機能の目的、権限、範囲、責任を、Office of the Comptroller of the Currency（OCC）の内部統制および監査ガバナンス基準に合わせて定義しなければなりません。OCCの『Internal Control』および『Internal and External Audits』ハンドブックによれば、チャーターは内部監査機能に対し、業務遂行に必要なすべての記録、従業員、物的資産への無制限のアクセスを明示的に付与すべきです。また、内部監査部長が機能的に監査委員会に、管理的に上級幹部（通常は最高経営責任者または取締役会議長）に報告することを明記する必要があります。

内部監査の組織上の配置は、オフィスのリスクプロファイルを反映すべきです。信託、プライベートエクイティ、または不動産ポートフォリオを管理するオフィスでは、機能は戦略的意思決定に影響を与え、タイムリーな情報を取得できる十分なレベルに置く必要があります。OCCは、内部監査機能の組織的地位と報告関係がその有効性と客観性にとって重要であると強調しています。ファミリーオフィスが規制当局の監督下にある場合（例：登録投資顧問子会社を通じて）には、内部監査任務はSECの登録投資顧問に関する規則、特にAdvisers Actのコンプライアンスプログラム規則など、追加の要件の対象となることがあります。

内部監査の範囲はリスクベースかつ動的であり、すべての重要な事業活動、システム、統制をカバーしなければなりません。OCCの指針によれば、範囲はオフィスのリスクプロファイルに照らした事業の性質と規模、製品ライン、サービス、機能を含めるべきです。具体的には、投資運用プロセス、信託・遺産管理、税務コンプライアンス、サイバーセキュリティ、サードパーティリスク（例：ファミリーオフィスのサービスプロバイダー、カストディアン、法務顧問）および関連当事者取引の監視が含まれます。

監査の頻度と深さはリスクエクスポージャーに合わせて調整すべきです。高リスク領域（集中ポジション、デリバティブ戦略、または国境を越えたファンド構造など）は年1回、あるいはそれ以上の頻度でレビューすべきです。低リスク領域（管理支援機能など）は数年サイクルでレビューしても構いません。範囲には、職務分離、承認閾値、調整手続きなど、統制活動の有効性も含める必要があります。事務所が外部委託機能（例：簿記、コンプライアンス監視）に依存している場合、内部監査は監督体制の適切性を評価し、サービス組織レポート（例：SOC 1 または SOC 2）のレビューも含めるべきです。

内部監査機能は、独立性を保ち重要課題の迅速なエスカレーションを確保するため、機能的に監査委員会へ報告しなければなりません。この報告ラインにより、最高監査責任者は経営陣の干渉を受けずに、所見と提言を直接委員会に提示できます。管理上は、資源配分・人員配置・業務調整を円滑にするため、通常は最高経営責任者（CEO）または取締役会長に対して報告すべきです。

監査委員会は、内部監査チャーター、年間計画、予算の承認および最高監査責任者の業績評価を担当します。委員会は、管理層とは別に内部監査と会合を持ち、潜在的な利害対立や範囲の制限などの機微な事項を議論すべきです。OCC の Corporate and Risk Governance ハンドブックは、取締役会および委員会が、監査人の独立性や監査結果の質を含め、リスクガバナンス全体の枠組みの中で内部監査機能の適切性を評価すべきであると指摘しています。

独立性は、構造的、手続的、文化的な保護策によって維持されます。構造的には、最高監査責任者は業務上の責任を一切持たず、ラインマネジメントに報告してはなりません。手続的には、機能はすべての記録、システム、担当者への無制限のアクセス権を有し、必要に応じて事前の経営陣承認なしに外部専門家やコンサルタントを活用できなければなりません。内部監査チームは、統制の実装やシステム設計を担当すべきではありません—これらは Three Lines Model におけるライン側の責任です。

内部監査人協会（Institute of Internal Auditors）の Three Lines Model は、内部監査（第3ライン）が第1ライン（事業部門）および第2ライン（リスク・コンプライアンス機能）の有効性に対して独立した保証を提供することを明確にしています。客観性を保つため、内部監査スタッフは、過去に管理または実装の役割を担っていた領域については、少なくとも1年間は監査対象としないことが求められます。最高監査責任者の業績評価は、監査委員会のみが実施し、必要に応じて独立取締役の意見を取り入れるべきです。

ファミリーオフィスは、内部監査をコンプライアンス監視、税務処理、または業務支援と混同することで、内部監査の有効性を損なうことがよくあります。内部監査は、財務諸表の作成、新規投資のデューデリジェンス、ポリシーの策定といった経営機能を行うべきではありません。内部監査が事実上の業務チームとして利用されると、客観性が失われ、規制当局の監視が強化されます。

別の頻繁なミスは、情報や担当者へのアクセスを制限することです。経営陣は、家族構成員、信頼できる顧問、あるいは専有システムへのアクセス提供に抵抗することがあります。これを緩和するため、内部監査チャーターはアクセス権を明示的に付与し、全スタッフおよび取締役が監査要求に協力することを求めるべきです。抵抗が続く場合、最高監査責任者は問題を直接監査委員会にエスカレーションし、解決しない場合は全取締役会に報告しなければなりません。

資産1.2億ドル（$1.2B）を3つの法人口座（ファミリー投資会社、信託会社、プライベート財団）で管理するファミリーオフィスを想定します。2名の専門家で構成される内部監査機能は、管轄地域、資産集中度、第三者リスク、規制リスクを重み付けしたリスクマトリックスに基づき、年間計画を策定します。高リスク領域は、信託会社の受託者統制、国境を越えたファンド投資、財団の助成金コンプライアンスであり、これらは四半期ごとにレビューされます。一方、管理機能（例：人事、施設）は2年ごとにレビューされます。

最高監査責任者は、管理上は取締役会長に、機能上は監査委員会に報告します。監査委員会は四半期ごとに内部監査とエグゼクティブセッションを開催し、すべての業務に関する書面報告を受領します。内部監査が信託会社の利害対立審査プロセスにおける統制ギャップを特定した場合、その所見は直ちに委員会へエスカレーションされ、委員会は経営陣に対し、改訂された承認ワークフローの導入とスタッフの再教育を指示します。内部監査チームは新しいワークフローの設計・実装を行わず—これはライン側の責任として残り、独立性が保たれます。