「リスクが高いと判断した業務等以外についても、一律に監査対象から除外せず、頻度や深度を適切に調整して監査を行うなどの必要な対応を行うこと」とありますが、具体的にどのようなことが求められているのでしょうか。
第３線が実施する監査についても、リスクベース・アプローチを適用して対応することが求められていますが、具体的な監査項目の選定に当たり、リスクの高低のみで判断して、リスクが低いと判断した場合には、一律監査対象から外すという手法は、リスクベース・アプローチとはいえず、リスクが低い項目であっても、過去に一度も監査していないような場合等については、深度を調整してサンプル的に監査を実施するなどの対応が必要になるということを明確化したものです。