グローバル内部監査基準に合わせて、社内のマニュアルを改訂しました。作業を終えて最初に思ったのは、「思ったより変わらなかった」です。
もちろん、新設・拡充された要求事項はあります。ただ、少なくとも私たちのマニュアルは、実務を根本から書き換える必要はありませんでした。大きく変わったのは、個々の実務の心というより、それらを収める器――フレームワークの構造です。
今回の改訂の意味は、そこにあると考えています。
グローバルメーカーでの内部監査やBIG４での内部監査アドバイザリーなど豊富な内部監査の経験に基づいています。
何が分かりにくかったのか
IIA（内部監査人協会）は、2024年1月にグローバル内部監査基準を公表しました。日本語版は同年7月に公表され、基準は2025年1月9日から有効になっています。
旧IPPF（専門職的実施の国際フレームワーク）では、次の要素が「必須のガイダンス」を構成していました。
- 内部監査の使命
- 専門職的実施の国際フレームワークのための基本原則
- 内部監査の定義
- 倫理綱要
- 内部監査の専門職的実施の国際基準
いずれも重要ですが、定義は定義、倫理は倫理、基準は基準として分かれていました。「内部監査とは何か」「監査人にどのような姿勢が求められるか」「部門をどう統治し、個々の監査をどう進めるか」を説明するとき、参照先が散らばりやすい構造だったのです。
新しい基準では、それらが5つのドメインからなる一つの体系に整理されました。IIAは、旧IPPFの必須要素と新基準との双方向マッピングも公表しています。
5つのドメイン、15の原則、52の基準
グローバル内部監査基準の構造は、次のとおりです。
| ドメイン | 原則 |
|---|---|
| Ⅰ 内部監査の目的 | 原則は置かれず、内部監査の目的を示すパーパス・ステートメントで構成 |
| Ⅱ 倫理と専門職としての気質 | 1 誠実性の発揮／2 客観性の維持／3 専門的能力の発揮／4 専門職としての正当な注意の発揮／5 秘密の保持 |
| Ⅲ 内部監査部門に対するガバナンス | 6 取締役会による承認／7 独立した位置付け／8 取締役会による監督 |
| Ⅳ 内部監査部門の管理 | 9 戦略的な計画策定／10 監査資源の管理／11 効果的なコミュニケーション／12 品質の向上 |
| Ⅴ 内部監査業務の実施 | 13 個々の内部監査業務の計画の効果的な策定／14 個々の内部監査業務の実施／15 個々の内部監査業務の結果のコミュニケーション及び改善措置 |
旧IPPFで独立していた内部監査の使命や定義は、ドメインⅠの「内部監査の目的」に受け継がれました。
また、旧倫理綱要の4原則――誠実性、客観性、秘密の保持、専門的能力――は、ドメインⅡに組み込まれています。そこに「専門職としての正当な注意」が加わり、倫理と専門職としての行動が5つの原則として一体的に示されました。
つまり、過去の考え方が捨てられたのではありません。受け継ぐべき考え方を、実務の流れに沿って一つの体系に組み直したのが、グローバル内部監査基準です。
「属性基準」「実施基準」という区分がなくなった
旧基準では、1000番台の属性基準と2000番台の実施基準に分かれていました。新しい基準では、この区分と番号体系がなくなり、52の基準が原則にひも付く形で、1.1から15.2まで採番されています。
各基準には、主に次の3つが示されています。
- 要求事項：適合のために実施しなければならない事項
- 実施に当たって考慮すべき事項：要求事項を実施する際に考慮する実務上の指針
- 適合していることの証拠の例：適合を示し得る記録や資料の例
実務上特にに有用なのは、「適合していることの証拠の例」が同じ基準の中に示されたことです。内部監査部門は、要求事項を理解するだけでなく、何を記録として残し、どのように適合を説明するかまで考えやすくなりました。
ただし、ここに挙げられる証拠はあくまで例です。それ自体が追加の必須要求というわけでも、例示された資料だけが唯一の証明方法というわけでもありません。自部門の規模、体制、業務内容に応じて、要求事項を満たしていることを説明できる証拠を整える必要があります。
マニュアル改訂で実際に起きたこと
社内マニュアルの改訂では、個々の監査手続きを根本から書き換えるというより、章立てと基準との対応関係を整理する作業が中心になりました。
マニュアルの構造が新基準の構造とそろっていれば、次の点が明確になります。
- この手続きは、どの原則・基準に対応するのか
- 内部監査部門長、取締役会、最高経営者にそれぞれ何が求められるのか
- 適合を示す証拠として、どの記録を残すのか
要求事項が大きく変わらなくても、体系を整理し直す価値はここにあります。外部評価や社内説明のたびに旧基準との関係をたどり直す必要が減り、適合性を一本の筋で説明しやすくなるからです。
独立性を、内部監査部門だけの問題にしない
新基準の構造が分かりやすくなった例として、独立性があります。
ドメインⅢでは、原則7「独立した位置付け」の下に、基準7.1「組織上の独立性」と基準7.2「内部監査部門長の適格性」が置かれています。その直後に、原則8「取締役会による監督」があり、基準8.1「取締役会による対話」、8.2「監査資源」、8.3「品質」、8.4「品質の外部評価」が続きます。
この並びからは、内部監査の有効性や独立性を、内部監査部門の姿勢だけで成立させるのではなく、取締役会による承認・監督と組み合わせて支えるという考え方が読み取りやすくなりました。
とくに監査資源は、単なる予算管理の論点ではありません。必要な人員、専門性、テクノロジー、予算が不足すれば、承認されたマンデートや監査計画を十分に遂行できません。基準8.2そのものが「独立性」を定義しているわけではありませんが、資源の充足は内部監査部門が役割を実効的に果たすための重要な前提です。
独立性が予算と体制の問題として現れる場面については、別の記事で詳しく書いています。
適合できない場合も、「できない」で終わらせない
法令や規制上の制約、資源上の制約などにより、基準の要求事項に適合できない場合もあります。
新基準は、そのような場合に、要求事項の意図を達成するための代替措置を検討し、適合できない事情、代替措置、その根拠や影響を文書化して、適切な関係者へ伝達することを求めています。
重要なのは、形式的に「適合」「不適合」と判定して終わることではありません。基準が何を達成しようとしているのかを理解し、制約の中でどう補い、その判断をどう説明できる状態にするかです。
現場への問い
- 内部監査基本規程やマニュアルの章立ては、旧基準の構造のままになっていませんか。
- 独立性を原則7だけで点検し、取締役会の監督や監査資源まで見落としていませんか。
- 各基準の「適合していることの証拠の例」と、自部門が実際に残している記録を突き合わせましたか。
要求事項への対応ができていても、構造と証拠が整理されていなければ、外部評価や取締役会への説明に余計な手間がかかります。マニュアル改訂は、文言の置換ではなく、責任、手続き、証拠のつながりを点検する機会として使うべきです。
次に確認すべきは、トピック別要求事項
基準本体への移行が終わっても、対応は完了ではありません。今後、継続的に確認が必要なのがトピック別要求事項です。
2026年8月時点では、次の発効日がIIAから公表されています。
- サイバーセキュリティ：2026年2月5日
- サードパーティ：2026年9月15日
- 組織行動：2026年12月15日
トピック別要求事項は、内部監査部門に対し、そのテーマを必ず監査対象に選ぶことや、一定頻度で監査することを一律に命じるものではありません。リスク評価の結果、そのテーマについてアシュアランス業務を実施し、適用対象として重要である場合に、監査の設計や評価へ組み込むべき要求事項です。
したがって、監査ユニバースとリスク評価、監査計画、個別監査プログラムをつなげて管理する必要があります。とくにサードパーティと組織行動は発効前に、既存の監査手続きとのギャップを確認しておくべきです。
私はこう考える
グローバル内部監査基準への移行で、すべてが別物になったわけではありません。
変わったのは器です。受け継がれたのは、内部監査の原則です。
定義、倫理、部門のガバナンス、管理、個々の監査業務が一つの体系に整理されたことで、「誰が、何を、どの証拠によって支えるのか」を説明しやすくなりました。とくに取締役会と最高経営者の役割が基準の構造上も見えやすくなったことは、内部監査部門だけで完結しない基準になったという点で重要です。
既にしっかり実務を積み上げてきた部門であれば、必要なのは全面的な作り直しではなく、現在の規程、マニュアル、記録を新しい体系に沿って結び直すことです。
器が整った今、次はトピック別要求事項を含めて、中身を継続的に更新していく。そのフェーズに入ったのだと、私は考えています。
今回は以上です。
出典
- 内部監査人協会（IIA）『グローバル内部監査基準』2024年（日本語版・日本内部監査協会）
https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-japanese.pdf - The IIA「Global Internal Audit Standards」公式ページ（旧IPPF必須要素との双方向マッピングを含む関連資料の掲載元）
https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/ - The IIA「Topical Requirements」
https://www.theiia.org/en/standards/2024-standards/topical-requirements/ - The IIA「Cybersecurity Topical Requirement」
https://www.theiia.org/en/standards/2024-standards/topical-requirements/cybersecurity/
