「内部監査とは何か」を、実務の視点からシンプルに解説します。定義・領域・目的・進め方まで、この記事で内部監査の全体像がつかめます。2025年1月に適用が始まった「グローバル内部監査基準」に対応して記載しています。
グローバルメーカーでの内部監査やBIG４での内部監査アドバイザリーなど豊富な内部監査の経験に基づいています。
内部監査とは
内部監査の定義
内部監査の基準は、2025年1月に大きく変わりました。それまで独立した要素だった「内部監査の定義」は、新しい「グローバル内部監査基準」ではドメインⅠ「内部監査の目的」（パーパス・ステートメント）に統合されています。まずは現行のものから見ていきます。
内部監査は、取締役会及び経営管理者に、独立にして、リスク・ベースで、かつ客観的なアシュアランス、助言、インサイト及びフォーサイトを提供することによって、組織体が価値を創造、保全、維持する能力を高める。
内部監査は、組織体の以下の事項や機能を強化する。
内部監査人協会（IIA）『グローバル内部監査基準』（日本語版）ドメインⅠ「内部監査の目的」パーパス・ステートメント
- 目標の成功裏な達成
- ガバナンス、リスク・マネジメント及びコントロールの各プロセス
- 意思決定及び監督
- ステークホルダーからの評判と信頼性
- 公共の利益に資する能力
「何言っているかよくわかりません」という感じですね。
これを会社の活動に当てはめ、よりかみ砕くと下記のようになります。
会社の成長のために、会社運営のプロセスを第三者目線でチェック・評価し、その結果、「ここはちゃんとできています」（アシュアランス＝保証）、「ここはもっとこうした方がよいですよ」（助言）、さらに「実はこういう構造になっています」（インサイト＝洞察）、「このままだとこうなります」（フォーサイト＝先見）まで差し出す活動のこと
旧定義では「保証」と「助言」の2つでしたが、新しい基準では「インサイト（洞察）」と「フォーサイト（先見）」が明記されました。起きたことを評価して終わりではなく、その裏側の構造を示し、この先どうなるかまで差し出す——ここが新基準で強調された点です。
健康診断をイメージするとわかりやすいです。
健康診断は機器を使ったり問診をしたりして、決められた項目について、現状がどんな状態にあるのか、あるべき基準との差を評価してもらい、問題のあるところへ改善を促してくれます。
一方で内部監査は、管理（ここでいう管理とは、ガバナンス、リスクマネジメント、コントロールのプロセスのこと。詳細は下記で解説）の有効性に対して、あるべき姿とのギャップを評価し、改善を促します。
留意点としては、実際の内部監査は健康診断よりも深いのも事実です。例えば、内部監査はより重要なリスクにフォーカスしたアプローチ（リスクベースアプローチ）をとり、また発見した問題に対して根本原因を分析したうえで改善提案をすることがベストプラクティスとされています。健康診断はそこまでやりませんが、ざっくりイメージを持ってもらえればと思います。
この「指摘して終わりにしない」という姿勢が現場で実際にどう効くのかは、危機対応下の内部監査を題材にした記事で具体的に書いています。
長く使われてきた旧定義はこちらです。研修や書籍でこちらを覚えた方も多いはずなので、参考として残しておきます。
内部監査は、組織体の運営に関し価値を付加し、また改善するために行われる、独立にして、客観的なアシュアランスおよびコンサルティング活動である。内部監査は、組織体の目標の達成に役立つことにある。このためにリスク・マネジメント、コントロールおよびガバナンスの各プロセスの有効性の評価、改善を、内部監査の専門職として規律ある姿勢で体系的な手法をもって行う。
（一般社団法人日本内部監査協会・旧IPPF）
変わった点：新旧どちらも「ガバナンス、リスクマネジメント、コントロールの各プロセス」を扱う点は同じです。新しい基準では、提供するものにインサイトとフォーサイトが加わり、報告先として取締役会が明示され、目的が「価値を付加する」から「価値を創造、保全、維持する能力を高める」へと言い換えられました。
内部監査の範囲・領域
上記のパーパス・ステートメントには、内部監査が強化するものとして「ガバナンス、リスク・マネジメント及びコントロールの各プロセス」という一文があります。
この文を順に解説します。
ガバナンス
ガバナンスは広義では「統治」という意味ですが、企業経営にあてはめると、以下の２つの言葉がよく使われております。
- 「コーポレートガバナンス」：株主に利益が出るように企業を管理・監督しているかという観点でのガバナンス
- 「グループガバナンス」：経営者が企業グループの経営管理をどうやっていくかという観点でのガバナンス
リスクマネジメント
リスクマネジメントは、会社が直面する様々なリスク（例えば、災害を受けて工場が停止する、従業員が会社のお金を横領する、営業部長が架空の売上を立てる等）を把握・管理し対応する仕組みのことです。
コントロールとは
企業が直面する様々なリスクを低減させるための活動のことをコントロールといいます。いわゆる内部統制です。
ガバナンス、リスクマネジメント、コントロールの関係
ガバナンス、リスクマネジメント、コントロールの概念のイメージをまとめると下記のようになります。
内部監査は、コントロール（内部統制）のプロセスを見るものと思っている方が多いのですが、グローバル内部監査基準ではコントロールだけでなく、もっと広い概念であるリスクマネジメントやガバナンスのプロセスを見るものと位置づけられています。
内部監査の目的は
では内部監査をなぜするのでしょうか？ その目的はざっくりわけると、以下２つの理由です。
- 企業価値の保護＝アシュアランス（保証）
不祥事等が起きると会社の信頼が下がり、株価が低下したり、従業員が離反したりと企業価値が低下するので、それを防ぐための活動です - 企業価値の向上＝コンサルティング（助言）
中期経営計画等の経営戦略の実現とか、ビジネスパフォーマンス（KPI）の実現、業務効率の改善等の活動です。
グローバル内部監査基準では、この2つが「価値を創造、保全、維持する能力を高める」という言い方でまとめられています。
昨今「保証」（アシュアランス）を最低限行いつつ、より経営に付加価値をつけた「助言」（コンサルティング）を志向している企業も増えてきています。
ただ、昨今の日本企業をみていると、様々な不祥事が頻発しているのも事実であり「保証」（アシュアランス）がしっかりできているかも依然、重要です。
外部監査との違い
内部監査は組織内の人によって行われる任意の活動であるのに対して、外部監査は組織と利害関係のない外部によって行われる保証のことで、会計監査等、法や規制で実施が義務付けられているものです。
内部監査のやり方（プロセス）
内部監査のやり方（プロセス）を以下の２つから解説します。
- 内部監査の組織運営
- 個別内部監査のプロセス
内部監査組織運営
内部監査の部門はざっくり以下のようなステップで運営します。
内部監査組織として何を目指すのか、どんな領域を対象にして監査をしていくのか、そのためのどんな人材を確保し、育成していくか等の大方針です。３カ年程度の計画を定めることが多い。
その年度において、何のリスクが重要か、どのような組織やテーマを対象にして、監査をするのかという年度計画を決めます。
方針・計画について取締役会等の上位機関から承認をもらいます。
計画した監査が実施できるように個別監査へ十分なリソースの確保と品質管理をします。
年度を通しての監査結果を取締役会等へ報告します。
これを繰り返していきます。
なお、STEP3の「取締役会等の上位機関から承認をもらう」という一手順は、事務的に見えて内部監査の独立性の根幹にあたります。グローバル内部監査基準も、統治機関の責任として「監査計画を承認して資源を提供すること」を名指しで挙げています。ここを掘り下げた記事がこちらです。
また年度計画の中の個別監査のプロセスは以下のようなものです。
個別内部監査のプロセス
個別の監査対象、テーマでリスク評価をし、監査する領域・項目を決める。
監査計画で定めた領域に対して、どんな監査手続きを実施するのかを決める。
データの分析、資料の閲覧、現場でのインタビュー等を通して、監査手続きを実施し、その結果を監査調書に文書化します。是正すべき事項等を指摘事項・発見事項等としてまとめ、被監査組織・部門とその改善計画を合意します。
上位マネジメント等のステークホルダーに対し監査結果を報告します。
監査でのコメントが改善されるまでフォローアップをする。
基本的に内部監査は、この個別監査の集合体です。
では次にこれらの組織運営、個別監査をどのように行っていくのかを考える上で重要な基準をみていきます。
内部監査の国際基準（グローバル内部監査基準）
内部監査人協会（IIA）は「専門職的実施の国際フレームワーク（IPPF）」という枠組みを定めています。このIPPFは2024年1月に全面的に改訂され、2025年1月9日から新しい版が適用されています。
まず、2024年まで使われていた旧IPPFの構造がこちらです。
「内部監査の使命」「基本原則」「内部監査の定義」「倫理綱要」「国際基準」が必須のガイダンスとして並び、その外側に推奨されるガイダンス（実施ガイダンス・補足的ガイダンス）が置かれる構造でした。
新しいIPPFでは、この構造が組み替えられ、下記のように構成されます。
- グローバル内部監査基準（必須）
- トピック別要求事項（必須）
- グローバル・ガイダンス（推奨）
中心となるのが「グローバル内部監査基準」です。5つの領域と15の原則、そして各原則を支える複数の基準で構成されており、旧版にあった「属性基準」「実施基準」という区分は廃止されました。日本語版は2024年7月に日本内部監査協会から公表されています。
基準の本文は公開されていますので、グローバル内部監査基準（日本語版・PDF）や日本内部監査協会のIIA国際フレームワークのページを参照してください。
この基準を見ると、組織運営、個別監査のスタンダードがわかります。ただ、概念的・抽象的で、未経験者がぱっと見てわかるような内容ではないので留意する必要があります。
基準を深掘りしたければ、CIA（公認内部監査人）の取得をおすすめします。Part 1, Part 2を勉強することで、基準をベースに内部監査の組織運営、個別監査を考える習慣がついてくるはずです。
企業は不祥事防止できる十分な活動をしているのか、株主等のステークホルダーに説明する責任があります。よってこのような基準に適合しているのか、評価し、その結果を公表するなどし、ステークホルダーからの信頼を獲得するのに活用したりされています。
内部監査とは～まとめ～
- 内部監査とは
企業の成長のために、会社運営のプロセスを第三者目線でチェック・評価する。そしてその結果、「ここはちゃんとできてます」（保証）、「ここはもっとこうした方がよいです」（助言）、さらに洞察（インサイト）と先見（フォーサイト）まで差し出す活動のこと - 内部監査の領域
コントロール（内部統制）だけでなく、リスクマネジメント、ガバナンスのプロセスも含む。 - 内部監査の目的
「企業価値の保護」＝アシュアランスと「企業価値の向上」＝コンサルティングの２つ。新基準では「価値を創造、保全、維持する能力を高める」と表現されている。 - 内部監査のやり方（プロセス）
組織運営、個別内部監査のプロセスがある。
内部監査人協会が定めた「グローバル内部監査基準」（2025年1月適用）が公開されている。
基準を深掘りしたければCIA資格のPart 1, Part 2を勉強。
今回は以上です。
