内部監査管理とは？計画から指摘フォローまでの進め方と部門運営の基準を解説

内部監査を任された、あるいは上場（IPO）準備で内部監査の体制を一から立ち上げることになった。そんなとき、監査計画を立て、往査して、調書を残し、指摘をフォローして……という一連の流れを、今はExcelと紙で属人的に回している担当者は少なくありません。「内部監査の管理って、結局どう進めるのが正解なのか」を、一度まとまった形で確認したい場面です。

知りたいのは「内部監査とは何か」の一歩先、業務を回す側の視点です。計画から指摘事項のフォローアップまでを一年を通してどう管理し、各工程で何を成果物として残し、部門としてどんな基準で運営するか。ここが曖昧だと、点検が形式的に終わり、調書や指摘の追跡が属人化して監査の質がばらつきます。

本記事では、内部監査の管理サイクル（計画→予備調査→本調査→調書・報告→指摘事項のフォローアップ）の全体像と、各工程で作成する成果物の記載項目を具体的に整理します。

あわせて、分野別のチェック観点、内部監査部門として管理する視点（年間計画・リスク評価・独立性・グローバル内部監査基準の4原則）、内部統制報告制度（J-SOX）との関係、そして属人的な運用を証跡が残る形に整えるツールの選択肢までを解説します。

内部監査管理とは？管理サイクルの全体像をつかむ

内部監査とは、社内の独立した立場から、業務やリスク・内部統制が適切に機能しているかを点検し、改善を助言する仕組みです。「内部監査管理」とは、その内部監査を一度きりの点検で終わらせず、計画の立案から指摘事項の改善確認までを一年のサイクルとして回し、部門として継続的に運営していくことを指します。

内部監査の目的や進め方は、内部監査人の国際的な専門機関であるIIA（内部監査人協会）の「グローバル内部監査基準」に体系化されています。同基準は内部監査の目的を次のように示しており、点検そのものよりも、組織の価値を高めることに主眼を置いている点が、管理の出発点になります。

内部監査は、取締役会及び経営管理者に、独立にして、リスク・ベースで、かつ客観的なアシュアランス、助言、インサイト及びフォーサイトを提供することによって、組織体が価値を創造、保全、維持する能力を高める。

出典：「グローバル内部監査基準」（日本語版）ドメインⅠ 内部監査の目的｜内部監査人協会（IIA）・一般社団法人 日本内部監査協会

要点を平たく言えば、内部監査は不備を見つけて終わりではなく、独立した立場からの点検と助言を通じて組織の価値向上まで担う機能だということです。だからこそ、単発の点検ではなく一年のサイクルとして管理する発想が必要になります。

内部監査の管理サイクル（計画→予備調査→本調査→調書・報告→指摘フォロー）の工程フロー

ここからは、内部監査を管理する側の視点で、一連の工程フローを押さえます。個々の監査は、おおむね次の流れで進みます。

1. 監査計画の策定：リスク評価にもとづき、何を・いつ・どの範囲で監査するかを決め、監査計画書にまとめます。
2. 予備調査：対象部門の業務内容・規程・過去の指摘を把握し、重点的に見るリスクを整理します。
3. 本調査（往査）：現場で証拠を収集し、ヒアリングや資料突合で統制の整備・運用状況を確かめます。
4. 監査調書の作成・監査報告：手続と証拠、発見事項と結論を監査調書に残し、監査報告書として経営層・取締役会に報告します。
5. 指摘事項のフォローアップ：指摘した事項について、対象部門の是正措置の進捗を追跡し、改善の完了を確認します。

この流れは我流ではなく、グローバル内部監査基準の原則に沿ったものです。同基準は個々の内部監査業務について、計画の策定（原則13）、監査プログラムの実施（原則14）、結果のコミュニケーションと改善措置の計画のモニタリング（原則15）を定めています。

「予備調査」「本調査（往査）」は実務で定着した呼称で、基準上の見出し語ではありません。基準では、計画の策定プロセスに情報収集とリスク評価が、実施のプロセスに証拠の収集・分析が含まれる形で規定されています。

出典・参考資料（1件）

• 参考資料：「グローバル内部監査基準」（日本語版）ドメインⅤ 内部監査業務の実施（原則13〜15）｜内部監査人協会（IIA）・一般社団法人 日本内部監査協会（https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-japanese.pdf）

なぜ内部監査を「管理」するのか（目的・ねらい）

一回の監査をうまくこなすだけなら、管理という視点は要りません。それでも管理が必要なのは、内部監査が単発の点検ではなく、組織全体のリスクを毎年もれなくカバーし、改善につなげ続ける営みだからです。

管理が効くと、三つの効果が生まれます。第一に、リスクの高い領域から計画的に監査を割り当てられるため、限られた人員でも重要な統制の不備を取りこぼしません。第二に、調書や指摘の記録が標準化され、担当者が替わっても監査の質が落ちにくくなります。

第三に、指摘のクローズまで追えるので、「指摘はしたが直っていない」という形骸化を防げます。属人的なExcel運用では、この三つが崩れがちです。

管理サイクルの各工程と成果物の記載項目

ここからは、各工程で何をやり、どの成果物に何を書くかを具体的に見ていきます。工程の流れそのものより、成果物の中身が属人化しやすいため、記載項目のレベルまで落として整理します。

監査計画の策定（監査計画書に書くこと）

個別監査の出発点が監査計画書です。グローバル内部監査基準の原則13は、内部監査人が「体系的で、専門職としての規律ある手法を用いて個々の内部監査業務の計画を策定する」と定めています。この要請を満たすために、監査計画書には次の項目を記載するのが一般的です。

• 監査の目的・テーマ（何を確かめるための監査か）
• 対象部門・業務・期間（監査の範囲）
• 想定されるリスクと重点監査項目
• 監査手続（何を・どの証拠で確かめるか）とスケジュール
• 担当する内部監査人と、監査先からの独立性の確認

予備調査（対象の把握・リスクの整理）

本調査にいきなり入らず、まず対象部門の業務フロー・規程・組織・過去の指摘事項を把握するのが予備調査です。ここで業務のどこにリスクが潜むかを整理し、本調査で重点的に確かめる論点を絞り込みます。予備調査が浅いと、本調査が網羅的なチェックリストの消化になり、本当に見るべき統制を外しがちです。

実務では、本調査に入る前に対象部門へ必要な資料（規程・組織図・業務フロー図・前回の指摘事項と是正状況など）をあらかじめ依頼し、往査の日程と当日の進め方を対象部門と調整しておきます。事前に資料を読み込んで論点を絞っておくと、往査当日のヒアリングや現物確認を重点論点に充てられ、対象部門の負担も抑えられます。

本調査・往査（証拠収集・ヒアリング）

本調査（往査）では、現場で実際の運用を確かめます。資料や記録の突合、担当者へのヒアリング、現物の確認などを通じて、統制が整備され、かつ想定どおり運用されているかの証拠を集めます。

グローバル内部監査基準の原則14は、内部監査人が監査プログラムを実施し、情報を収集し、分析・評価を行って証拠を作成するプロセスを定めています。ヒアリングは「はい・いいえ」で終わる質問を避け、事実と理由を引き出す聞き方にすると、形式的な確認に陥りにくくなります。

往査の終わりには、対象部門と講評（ラップアップ）の場を持ち、その時点で把握した暫定的な発見事項や事実認識を共有しておくと、後の報告段階での認識の食い違いを防げます。発見事項は口頭で終わらせず、確認した資料・記録と対応づけて監査調書に残し、次の調書作成につなげます。

監査調書（ワーキングペーパー）の作成と記載項目

監査調書（ワーキングペーパー）は、監査の過程と根拠を文書化したものです。属人化しやすく、「適切に記録する」で済まされがちですが、何を残すかが曖昧だと、後から結論の根拠をたどれなくなります。グローバル内部監査基準は、監査調書を次のように定義しています。

個々の内部監査業務の計画策定及び実施に際して行われた内部監査の仕事を文書化したものであり、個々の内部監査業務の発見事項及び結論の裏付けとなる情報を提供する。

出典：「グローバル内部監査基準」（日本語版）用語一覧 workpapers〈監査調書〉｜内部監査人協会（IIA）・一般社団法人 日本内部監査協会

この定義を満たすため、監査調書は「実施した監査手続」「入手した証拠」「そこから導いた発見事項・結論」が対応づけて追えるように残します。具体的には、次のような項目を記録しておくと、第三者が後から検証できる調書になります。

• 監査対象・実施日・担当者
• 実施した監査手続と、確認した資料・記録（証拠）
• 発見事項（事実）と、それにもとづく評価・結論
• 結論の根拠（なぜそう判断したか）とレビュー記録

監査報告書の作成と報告

監査調書をもとに、発見事項・評価・改善提言をまとめたものが監査報告書です。グローバル内部監査基準の原則15は、内部監査人が個々の内部監査業務の結果について「適切な関係者とコミュニケーションをとり」、改善措置の進捗をモニタリングすると定めています。

報告書は、事実と評価と提言を分けて書き、経営層や取締役会が意思決定に使える形にするのがポイントです。他の成果物と同じように、記載する項目をあらかじめ決めておくと、読み手に伝わりやすくなります。

• 監査の目的・対象範囲・実施期間
• 総合評価・結論（統制が有効に機能しているかの判断）
• 発見事項（指摘）と、その重大度・影響
• 改善提言と、対応を求める期限の目安
• 報告先・報告日（誰に・いつ報告したか）

誰に・いつ・どの範囲を報告するかは、あらかじめ監査計画や内部監査規程で決めておきます。

出典・参考資料（1件）

• 参考資料：「グローバル内部監査基準」（日本語版）用語一覧・ドメインⅤ（原則13〜15）｜内部監査人協会（IIA）・一般社団法人 日本内部監査協会（https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-japanese.pdf）

指摘事項のフォローアップと是正措置の追跡（オープン/クローズ管理）

内部監査の管理で最もつまずきやすいのが、指摘を出した後のフォローアップです。報告して終わりにすると、是正措置が実施されたかを誰も追わず、同じ指摘が翌年も繰り返される、という形骸化に陥ります。グローバル内部監査基準の原則15は、改善措置の計画の実施に向けた経営管理者の進捗状況を内部監査人がモニタリングすると定めており、指摘の「出しっぱなし」を基準そのものが戒めています。

このモニタリング要請を実務で回すには、指摘事項を一覧で管理し、状態を更新していく仕組みが要ります。基準に項目名まで列挙があるわけではありませんが、追跡を確実にするための実務上の管理項目として、次のような情報を指摘事項管理表にまとめると、オープン（未完了）とクローズ（完了）が一目で分かります。

• 指摘内容と、それが示すリスクの重大度（優先度）
• 是正措置の内容と、対象部門側の担当者
• 対応期限と、進捗の状態（未着手／対応中／完了）
• 完了を確認した根拠（再確認の証拠）と確認日

指摘件数が増えるほど、この追跡をExcelと紙で回すのは負担になります。期限管理や状態更新が担当者の記憶や手作業に依存すると、クローズ漏れが生まれやすくなるためです。後述するツールは、この指摘のオープン/クローズ管理を自動化する機能を備えています。

分野別のチェック観点（会計・業務・情報システム・コンプライアンス・ISO）

指摘の追跡と並んで、計画段階で「どの分野を見るか」の着眼点を持っておくことも、管理のぶれを防ぎます。内部監査は対象分野によって見るポイントが変わるため、分野ごとの観点を押さえておくと、監査項目の設計や後述の年間計画での分野の割り当てがしやすくなります。主要な分野と、それぞれで確認する代表的な観点、そして具体的な確認事項の例を整理します。

これらは排他的ではなく、1回の監査で複数分野にまたがることもあります。自社のリスクの所在に応じて、どの分野をどの深さで見るかを年間計画で割り振るのが、部門としての管理になります。

内部監査部門として管理する視点（部門の管理の基準）

ここまでは個々の監査をどう進めるかでしたが、内部監査の管理にはもう一段上、部門として監査活動全体をどう運営するかという視点があります。年間計画・リスク評価・独立性、そして部門運営の基準を押さえておくと、個別監査の積み重ねが組織全体のリスクカバーにつながります。

年間監査計画とリスク評価（リスクベース監査）

部門としての監査は、思いつきではなくリスク評価にもとづいて計画します。グローバル内部監査基準の原則9「戦略的な計画策定」は、内部監査部門長が組織のガバナンス・リスクマネジメント・コントロールの各プロセスを理解したうえで計画を策定するとしています。

実務では、全社のリスクを洗い出して重要度を評価し、リスクの高い領域から優先的に監査を割り当てる「リスクベース監査」で、最低でも年次の監査計画を組むのが一般的です。

内部監査の独立性・客観性の担保

内部監査が信頼されるには、監査する側が監査対象から独立し、客観的に判断できることが前提になります。グローバル内部監査基準は、内部監査部門が取締役会に直接説明責任を負う形で組織上の独立性を確保することを求めています。実務では、内部監査部門を被監査部門から分けて設置し、自分が所属していた部門は監査しない、監査結果を取締役会・監査役等に直接報告できる経路を持つ、といった形で独立性を担保します。

内部監査部門の管理の4原則（グローバル内部監査基準）

部門運営の基準は、グローバル内部監査基準のドメインⅣ「内部監査部門の管理」に、内部監査部門長が担う4つの原則として定められています。年間計画や独立性もこの枠組みの一部で、部門を管理するうえでの全体像になります。

原則９ 戦略的な計画策定／原則10 監査資源の管理／原則11 効果的なコミュニケーション／原則12 品質の向上。内部監査部門長は、内部監査基本規程及び「グローバル内部監査基準」に従って内部監査部門を管理する責任を負っている。この責任には、戦略的計画、監査資源の獲得と配備、関係の構築、ステークホルダーとのコミュニケーション、及び部門のパフォーマンスの確実な遂行と強化が含まれる。

出典：「グローバル内部監査基準」（日本語版）ドメインⅣ 内部監査部門の管理（原則9〜12）｜内部監査人協会（IIA）・一般社団法人 日本内部監査協会

• 戦略的な計画策定（原則9）：部門が負託事項を果たし、長期的に機能するよう戦略的に計画を立てる。
• 監査資源の管理（原則10）：戦略と監査計画を実行するため、人材・予算・テクノロジーなどの監査資源を確保・配分する。
• 効果的なコミュニケーション（原則11）：ステークホルダーと効果的に意思疎通できるよう部門を導く。
• 品質の向上（原則12）：部門が基準に適合し、継続的にパフォーマンスを高めることに責任を負う。

この4原則は、2024年に公表され2025年1月に適用が始まったグローバル内部監査基準にもとづくものです。従来の内部監査基準から枠組みが更新されているため、部門の運営方針を見直す際は最新版を出所として確認すると確実です。

出典・参考資料（2件）

• 出典：「『グローバル内部監査基準™』公表のお知らせ」｜一般社団法人 日本内部監査協会（https://www.iiajapan.com/leg/iia/info/20240112.html）
• 参考資料：「グローバル内部監査基準」（日本語版）ドメインⅣ（原則9〜12）｜内部監査人協会（IIA）・一般社団法人 日本内部監査協会（https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-japanese.pdf）

内部統制報告制度（J-SOX）・IPO審査に耐える管理の型

上場企業やIPO準備企業では、内部監査の管理が法制度とも関わってきます。混同しやすいのが、金融商品取引法にもとづく内部統制報告制度（J-SOX）と、会社法にもとづく内部統制システムの整備義務です。両者は目的が異なるため、分けて理解しておくと管理の型を設計しやすくなります。

J-SOXは、財務報告の信頼性を確保するための制度です。金融商品取引法第24条の4の4は、有価証券報告書を提出しなければならない会社のうち政令で定めるものに対し、財務計算に関する書類その他の情報の適正性を確保する体制を評価した「内部統制報告書」の提出を義務づけています。上場企業がすべて無条件に対象というわけではなく、政令・内閣府令で範囲が定まる点に注意が必要です。

一方、会社法第362条は、大会社である取締役会設置会社に対し、業務の適正を確保するための体制（内部統制システム）の整備方針を取締役会で決定することを義務づけています。こちらは財務報告に限らず、業務の適正全般を対象とする点でJ-SOXと異なります。大会社とは、資本金5億円以上または負債200億円以上の株式会社を指します（会社法第2条第6号）。

内部監査は、これらの制度が求める内部統制が有効に機能しているかを点検する役割を担います。計画・調書・指摘フォローが標準化され証跡が残る管理の型は、IPO審査やJ-SOX対応で「内部統制が継続的に運用されている」ことを示す裏付けにもなります。

出典・参考資料（2件）

• 参考資料：金融商品取引法 第二十四条の四の四（内部統制報告書）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/323AC0000000025）
• 参考資料：会社法 第三百六十二条・第二条（大会社の内部統制システム）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/417AC0000000086）

内部監査部門がJ-SOX（内部統制報告制度）の評価にどこまで関与し、内部統制監査とどう役割を分担するのかは、以下の記事で評価手順まで踏み込んで整理しています。

属人的なExcel・紙運用の限界と、証跡が残る形に整える手段

ここまで見てきた管理サイクルは、ツールがなくても回せます。実際、多くの内部監査部門はExcelの監査計画表・調書テンプレート・指摘事項管理表で運用しています。まずはツール導入より、計画・調書・指摘フォローの型を標準化することが先決です。

ただし、監査の本数や指摘件数が増え、複数の監査人で分担するようになると、Excel・紙運用にはいくつか限界が見えてきます。

• 計画・調書・指摘が別ファイルに分散し、最新版や進捗が一元で見えない
• 指摘のフォローアップが担当者の手作業に依存し、期限・クローズ漏れが起きやすい
• 誰がいつ更新したかの証跡（監査証跡）が残りにくく、監査自体の信頼性を示しにくい

こうした課題を解く手段が、監査計画からリスク評価・調書・指摘のフォローアップまでを一つの基盤で管理する監査管理ツール（GRC＝ガバナンス・リスク・コンプライアンスを統合管理するツール）です。計画と実績、指摘のオープン/クローズを同じ基盤で追え、更新の証跡が自動で残るため、属人化と証跡不足を同時に解消できます。

内部監査の高度化を論じるPwCのレポートでも、データ分析を活用した監査の高精度化が今後の方向性として挙げられています。次の章で、代表的なツールの特徴を比較します。

出典・参考資料（1件）

• 参考資料：「求められる内部監査の『進化』とそのポイント」｜PwCあらた有限責任監査法人（https://www.pwc.com/jp/ja/knowledge/prmagazine/pwcs-view/202212/41-01.html）

監査計画〜指摘追跡を管理できる主な監査管理ツール

ここからは、内部監査の計画・調書・指摘フォローを一元管理できる主な監査管理ツール（GRCツール）を紹介します。いずれも監査管理モジュールを備えた統合型のツールで、全社のリスク・統制と監査を同じ基盤で扱える点が特徴です。

ここで挙げるのは全社のガバナンス・リスク・コンプライアンスを統合する大企業向けの製品が中心で、導入は個別見積もり・パートナー経由が前提になります。中堅企業やIPO準備フェーズで、まず内部監査の業務だけを軽量に始めたい場合は、内部監査に特化したツールの比較記事（後述の関連記事）が向きます。規模によっては、当面はExcelやスプレッドシートのテンプレートを標準化するだけでも管理の型は整います。

ここで取り上げたのは、全社のGRCを統合して扱う大企業向けツールが中心です。内部監査に特化したツールと総合型GRCの違いまで含めて幅広く比較したい場合は、12製品をタイプ別に整理した以下の記事が参考になります。

Diligent（Diligent Japan合同会社）

取締役会管理を起点に成長したガバナンスSaaS大手が提供する、統合プラットフォーム「Diligent One Platform」です。企業リスク管理（ERM）・内部監査・コンプライアンスなどを単一基盤に束ね、その中の監査管理（Audit Management）機能が内部監査の計画から調書、指摘のフォローアップまでをカバーします。

日本法人のDiligent Japan合同会社（2018年設立）が国内の窓口となり、導入支援を手がけるパートナーもあります。ガバナンス・リスク・監査・コンプライアンスを一体で運用したい企業に向く一方、料金は公式の価格表がなく個別見積もり方式のため、まずは資料で機能範囲を確認するのが現実的です。

MetricStream（MetricStream, Inc.）

リスク・コンプライアンス・監査・サイバーなどの領域を単一プラットフォームで扱うGRCベンダーです。製品群のうち「Audit & Controls」が内部監査とSOX対応を担い、リスクベースの監査計画から実施、指摘管理までを統合的に扱えます。公式サイトによれば35カ国以上で利用されており、グローバル拠点を持つ大企業が全社GRC基盤として導入しています。

機能が広範な分、全社的なリスク・統制管理と内部監査を一体で回したい組織に適します。料金は公式に非公開で問い合わせ方式のため、自社の監査規模に対して機能が過不足ないかを資料で見極めることが導入検討の出発点になります。

Archer（Archer Technologies Japan合同会社）

統合リスク管理の分野で長い実績を持つプラットフォームで、「Archer Audit Management」が内部監査機能を担います。リスクベースの監査計画、調書の作成、指摘事項の管理までを、全社のリスク・統制情報と結びつけて扱える点が強みです。

グローバルで多数の導入実績を持ち、金融機関をはじめとする大規模組織での導入事例があります。料金は非公開で、導入は認定パートナーによる設計・構築が前提となるため、全社的なリスク管理基盤の一部として内部監査を組み込みたい企業の比較対象になります。

IBM OpenPages（日本アイ・ビー・エム株式会社）

統合GRCプラットフォーム「IBM OpenPages」は、内部監査管理（Internal Audit Management）モジュールを備え、日本アイ・ビー・エムが国内で提供しています。全社のリスク・コンプライアンス情報と監査を同じ基盤で扱い、AIを活用したリスクの可視化・分析を特徴としています。

日本語でのUI・サポートが提供され、大企業・金融機関での採用実績があります。リスク管理・コンプライアンスと内部監査を統合し、データにもとづく監査の高度化まで視野に入れたい組織に向くため、他の統合GRCと並べて機能を比較するとよいでしょう。

SAP GRC（SAPジャパン株式会社）

SAPジャパンが提供する、SAP ERPと密接に連携する大企業向けのGRCソリューション群です。アクセス管理・内部統制・リスク管理などのモジュールで構成され、そのうちAudit Management（監査管理）が内部監査の計画・実施・報告を統合的に扱います。

SAP環境の取引データを直接参照し、権限・プロセス・リスクを同じデータ基盤で扱える点が特徴で、SAPを基幹システムに持つ企業にとっては業務と統制を一体で回せます。料金は要問い合わせで、認定パートナー経由の導入が標準となります。

以上は監査管理に使えるツールの一部です。内部監査に限らず、リスク管理やコンプライアンスまで含めたGRCツール全体を、選び方とあわせて比較したい方は、以下の記事で主要な製品をタイプ別に整理しています。

まとめ

内部監査の管理とは、監査計画の策定から予備調査・本調査、監査調書・報告書の作成、そして指摘事項のフォローアップまでを一年のサイクルとして回し、部門として継続的に運営することです。各工程では、成果物に何を記載するかを標準化しておくと、担当者が替わっても監査の質が保たれます。

部門としては、リスクベースの年間計画・独立性の担保・グローバル内部監査基準の4原則を押さえることで、個別監査の積み重ねが組織全体のリスクカバーにつながります。

指摘のオープン/クローズ管理や証跡の確保が属人的なExcel・紙運用で難しくなってきたら、監査管理ツール（GRCツール）で計画から指摘追跡までを一元化する選択肢を検討するとよいでしょう。各ツールの詳しい比較資料は、まとめて取り寄せて自社の監査規模と照らし合わせるのが近道です。

よくある質問（FAQ）

Q. 内部監査管理とは何ですか？

A. 内部監査管理とは、内部監査を一度きりの点検で終わらせず、監査計画の策定から指摘事項の改善確認までを一年のサイクルとして回し、部門として継続的に運営することです。個々の監査をうまくこなすだけでなく、リスクの高い領域を計画的にカバーし、調書や指摘の記録を標準化し、指摘のクローズまで追い切ることで、担当者が替わっても監査の質を保つことを目的とします。

Q. 内部監査の監査計画書には何を書けばよいですか？

A. 内部監査の監査計画書には、監査の目的・テーマ、対象部門と期間（範囲）、想定リスクと重点監査項目、監査手続とスケジュール、担当者と監査先からの独立性の確認を記載します。グローバル内部監査基準の原則13が「体系的で、専門職としての規律ある手法を用いて」計画を策定すると定めており、思いつきではなくリスク評価にもとづいて範囲と手続を決めるのがポイントです。

Q. 内部監査の監査調書（ワーキングペーパー）には何を記載しますか？

A. 監査調書には、実施した監査手続・入手した証拠・そこから導いた発見事項と結論を、対応づけて後から追えるように記録します。グローバル内部監査基準は監査調書を「発見事項及び結論の裏付けとなる情報を提供する」ものと定義しており、監査対象・実施日・担当者、確認した資料、結論の根拠とレビュー記録まで残すと、第三者が後から検証できる調書になります。

Q. 内部監査の指摘事項のフォローアップはどのように追跡しますか？

A. 指摘事項のフォローアップは、指摘内容とリスクの重大度、是正措置と対象部門の担当者、対応期限と進捗状態（未着手／対応中／完了）、完了を確認した根拠と確認日を一覧で管理し、オープン（未完了）とクローズ（完了）を更新していくことで追跡します。

グローバル内部監査基準の原則15は改善措置の進捗を内部監査人がモニタリングすると定めており、報告して終わりにすると同じ指摘が翌年も繰り返される形骸化に陥ります。指摘件数が増えると、この追跡をExcel・紙で回すのは負担になります。

Q. 内部監査の年間監査計画はどう立てればよいですか？

A. 内部監査の年間監査計画は、全社のリスクを洗い出して重要度を評価し、リスクの高い領域から優先的に監査を割り当てる「リスクベース監査」の考え方で組むのが一般的です。

グローバル内部監査基準の原則9「戦略的な計画策定」は、内部監査部門長が組織のガバナンス・リスクマネジメント・コントロールを理解したうえで計画を策定するとしており、最低でも年次で計画を立て、限られた人員で重要な統制をもれなくカバーすることをねらいます。

Q. 内部監査の独立性・客観性はどう担保しますか？

A. 内部監査の独立性は、内部監査部門を被監査部門から分けて設置し、自分が所属していた部門は監査せず、監査結果を取締役会・監査役等へ直接報告できる経路を持つことで担保します。グローバル内部監査基準は、内部監査部門が取締役会に直接説明責任を負う形で組織上の独立性を確保することを求めており、監査する側が対象から独立して客観的に判断できることが、監査が信頼される前提になります。

Q. グローバル内部監査基準の「内部監査部門の管理」の4原則とは何ですか？

A. 4原則とは、原則9「戦略的な計画策定」、原則10「監査資源の管理」、原則11「効果的なコミュニケーション」、原則12「品質の向上」を指し、内部監査部門長が部門を運営するうえで担う責任を体系化したものです。

グローバル内部監査基準のドメインⅣ「内部監査部門の管理」に定められており、2024年に公表され2025年1月に適用が始まったため、部門の運営方針を見直す際は最新版を出所として確認すると確実です。

Q. 内部監査と内部統制報告制度（J-SOX）はどう関係しますか？

A. 内部監査は、J-SOX（内部統制報告制度）が求める財務報告の信頼性にかかわる内部統制が有効に機能しているかを点検する役割を担います。J-SOXは金融商品取引法第24条の4の4にもとづき、対象となる会社に内部統制報告書の提出を義務づける制度で、計画・調書・指摘フォローが標準化され証跡が残る管理の型は、IPO審査やJ-SOX対応で「内部統制が継続的に運用されている」ことを示す裏付けになります。

Q. 内部監査管理をExcel・紙で続けることの限界は何ですか？

A. Excel・紙運用の限界は、計画・調書・指摘が別ファイルに分散して最新版や進捗が一元で見えないこと、指摘のフォローアップが手作業に依存して期限・クローズ漏れが起きやすいこと、誰がいつ更新したかの証跡（監査証跡）が残りにくいことの3点に集約されます。

監査の本数や指摘件数が増え、複数の監査人で分担するようになると顕在化しやすく、まずは計画・調書・指摘フォローの型を標準化し、それでも回りにくくなった段階がツール化を検討する目安です。

Q. 監査管理ツール（GRCツール）はどんな企業に向いていますか？

A. 監査管理ツール（GRCツール）は、監査計画からリスク評価・調書・指摘のフォローアップまでを一つの基盤で管理したい企業、とりわけ監査本数や指摘件数が多く証跡の確保が重要な上場・IPO準備企業や、全社のリスク・統制と監査を一体で回したい組織に向いています。

計画と実績、指摘のオープン/クローズを同じ基盤で追え、更新の証跡が自動で残るため、属人化と証跡不足を同時に解消できます。自社の監査規模に対して機能が過不足ないかは、各社の資料を取り寄せて見極めるのが近道です。

内部監査管理ツールの料金・資料を一括チェック

MCB FinTechカタログでは、内部監査の計画・調書・指摘フォローを一元管理できる監査管理ツール（GRCツール）の最新資料を無料で一括請求できます。機能範囲や対応規模を並べて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。