内部監査部門に配属されるとまず個別監査にアサインされるため、本記事では実務上、最も役に立つ、個別監査のやり方・プロセスを深掘りして解説します。
- 内部監査の計画
- 内部監査の実施
- 内部監査の報告
グローバルメーカーでの内部監査やBIG４での内部監査アドバイザリーなど豊富な内部監査の経験に基づいています。
内部監査計画
個別の内部監査計画では、年度計画で選定された個別監査ごとに「いつ、誰が、何を、どのようにみるのか」を定めていきます。スコーピングともいいます。
具体的には下記のような項目を定めます。
- 被監査組織・テーマのリスクに基づく監査目的の設定
- 概略スケジュールの策定
- リソースと役割分担の決定
順に解説します。
被監査組織・テーマのリスクに基づく監査目的の設定
被監査会社・組織の状況、リスクを踏まえ、今回の個別監査で実施すべきこと（監査目的や重点監査項目）を定めます。
リスク評価の方法は【徹底解説】内部監査のリスク評価とはをご参照ください。
監査目的の例
- 会計不正が発生した拠点であれば「会計不正が起きない体制が整備されているかを確かめる」
- 品質問題が過去に発生した拠点であれば「品質問題の再発防止策が有効に機能しているかを確かめる」
重点監査項目の例
- 決算人員・体制
- 経理規程・マニュアルの整備状況
- 経理上の職務分離の状況
- 品質保証組織・体制
- 品質保証教育の実施状況
- 新規検査基準の理解度
個別監査のリードは、被監査組織のリスクに応じて監査範囲を定めていきます。
概略スケジュール
監査計画から監査報告までの概略スケジュールを定めます。以下のようなガントチャートを作成することが多いです。
リソースと役割分担
下記のようにリソースと役割分担を大まかに定めます。
上記のような監査目標、リスク、重点監査項目、スケジュール、役割分担などを「個別監査計画書」としてまとめる会社もあります。
内部監査の実施
策定した監査計画に基づいて、監査を実施していきます。ここでは主に以下のようなプロセスがあります。
- 監査プログラム作成
- 往査準備
- 往査実施
順に解説します。
監査プログラムの作成
監査項目に応じて、監査プログラムを作成します。「監査手続書」とも呼ばれます。
- 監査の視点
- 想定されるリスク
- 実施する監査手続き
- 関連資料
往査準備
作成した監査手続きを実施するために、以下のようなことを行います。
- 事前資料依頼
- チーム内の往査の役割分担の決定
- 実査スケジュールの作成
事前に資料閲覧や分析を行い、どんなことが問題となりそうか（発見事項の仮説）を検討しておくと、より充実した往査になります。
往査実施
次はいよいよ現場往査です。
往査では主に下記を実施します。
- 監査手続きの実施
- 監査調書の作成
- 監査発見事項の作成
- 質問（インタビューで聞く）
- 閲覧（関連文書を見て確かめる）
- 照合（文書・データ等を突き合わせて整合しているかを確かめる）
- 観察（現場で実際に行っているところを見る）
- 再実施（必要に応じて自ら再実施する）
上記の手続きの組み合わせで監査を実施します。
監査結果は監査調書へ文書化します。監査調書の作成時は以下のような点に留意します。
- 正確に記載されているか（正確性）
- 誰が見てもわかるか（客観性）
- 簡潔にわかりやすく記載されているか（簡潔性・明瞭性）
- 体系的に、抜け・もれなく記載されているか（完全性）
- 根拠が十分に記載されているか（発見事項とするか否かの判断根拠が十分か）
そして監査の結論に基づき、発見事項を作成します。ここは監査の結論となる最重要ポイントです。
- 発見事項（現状とあるべき姿の差）
- リスク（問題を放置すると会社にどのような影響があるか）
- 改善提案（原因を踏まえた改善提案）
発見事項の事実確認は実査時に終わらせること、可能であれば改善事項（措置内容）・改善期限まで被監査部門と合意できるのがベストです。
内部監査報告
実査後は監査報告書を作成します。
報告書のドラフト前に、下記を被監査組織と合意しておきましょう。
- 発見事項の内容
- 改善施策（措置内容）
- 改善スケジュール
監査報告書には以下のような内容を含めるのが一般的です。
- 監査の概要（スケジュール、被監査組織、監査メンバーなど）
- 監査の目的
- 監査のスコープ
- 監査の結論（発見事項の概要）
- 発見事項の内容（現状とあるべき姿の差）
- リスク（発見事項を放置するとどのような影響があるか）
- 問題の原因（プロセス・ガバナンス・人・組織など様々な切り口から見た根本原因）
- 改善提案（根本原因を捉えた改善提案）
- 措置内容（被監査部門として実施する措置内容）
- 実施期限（その措置をいつまでに実施するか）
上記をドラフトし、内部監査部門長や品質管理担当などからレビューを受けます。
監査報告書は事実の「正確性」「客観性」が大事です。一方で、発行が遅くなりすぎるとステークホルダーにとって古い情報になってしまいます。「迅速性」「適時性」とのバランスが大切です。
監査報告書の発行後は、各発見事項のフォローアップのプロセスに入っていきます。
まとめ
概ね上記のような流れで個別監査は進んでいきます。
個人的には、個別監査の計画〜報告では以下の3つが特に大事だと思っています。
- 事前の計画段階でリスクに焦点を当てられるか
- 実査でどこまで問題点を深掘り（表面的な事象だけでなく、それを引き起こしている要因まで）できるか
- 監査報告書の文章品質（客観的かつ論理的なライティング力）をどこまで上げられるか
会社ごとに詳細なプロセスは異なるので、自社のルール（内部監査マニュアル）などを確認して個別監査に臨んでみてください。
今回は以上です。
