内部監査の役割と財務諸表監査への関係｜外部監査人は内部監査をどう理解し、どこまで利用できるか

内部監査は、財務諸表監査の「補助部門」ではありません。

かといって、財務諸表監査において内部監査を無視できるわけでもありません。内部監査は、会社のガバナンス、リスク管理、内部統制、業務プロセス、IT、コンプライアンス、不正リスクについて、重要な情報を握っています。外部監査人が企業および企業環境を理解し、重要な虚偽表示リスクを識別・評価するうえで、内部監査機能は有力な情報源になり得ます。

もっとも、内部監査が存在するからといって、外部監査人の手続が当然に減るわけではありません。内部監査人の作業を財務諸表監査で利用できるかどうかは、内部監査機能の客観性、能力、体系的で規律ある手法、品質管理、監査対象、調書の水準、そして外部監査人自身のリスク評価によって決まります。

本記事では、内部監査の役割を、財務諸表監査、内部統制報告制度、監査計画、リスク評価、監査証拠、三様監査との関係から整理します。

内部監査は何のために存在するのか

内部監査の本質は、会社の業務が「できているかどうか」を点検することにとどまりません。

内部監査とは、組織の目標達成を支援するために、ガバナンス、リスク管理、内部統制の各プロセスを評価し、その改善に貢献する機能です。IIAのグローバル内部監査基準も、内部監査基準を、内部監査機能の品質を評価・向上させるための基盤と位置づけています。そのうえで、内部監査を「目的」「倫理と専門性」「内部監査機能のガバナンス」「内部監査機能の管理」「内部監査業務の実施」という領域で整理しています。
出典：The Institute of Internal Auditors｜Global Internal Audit Standards

財務報告との関係でいえば、内部監査は経理・財務部門だけを見る機能ではありません。販売、購買、在庫、固定資産、IT、連結、決算、開示、子会社管理、関連当事者取引、情報セキュリティ、内部通報、コンプライアンスなど、財務諸表に影響し得る業務と統制を広く対象とします。

したがって、内部監査を財務諸表監査と接続するとき、最初に整理すべきなのは「内部監査が何を監査したか」ではありません。問うべきは、次の点です。

• その内部監査は、財務報告に影響するリスクを捉えているか。
• その内部監査結果は、外部監査人のリスク評価に影響するか。
• その内部監査調書は、発見事項、根拠、原因、影響、改善状況を後から説明できる水準にあるか。
• その内部監査機能は、客観性と専門性を持って業務を実施しているか。
• その内部監査結果を、監査役等、経営者、外部監査人がどのように利用しているか。

内部監査は、会社内部の点検活動であると同時に、財務報告の信頼性を支える情報インフラでもあります。

財務諸表監査における内部監査の位置づけ

財務諸表監査とは、経営者が作成した財務諸表について、監査人が十分かつ適切な監査証拠を入手し、重要な虚偽表示がないかどうかについて意見を形成する業務です。

内部監査は、外部監査人に代わって監査意見を形成するものではありません。内部監査人はあくまで会社内部の機能であり、外部監査人に求められる独立性を保持しているわけではないからです。そのため、外部監査人が内部監査人の作業を利用したとしても、監査意見に対する責任は外部監査人に単独で残ります。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

この点は、実務上きわめて重要です。

• 内部監査が実施した統制テストがある。
• 内部監査が業務プロセスの不備を指摘している。
• 内部監査が改善完了と報告している。
• 内部監査が決算プロセスをレビューしている。

これらは、外部監査人にとって有用な情報になり得ます。しかし、それだけで外部監査人の監査証拠になるとは限りません。

外部監査人は、内部監査機能を理解し、必要に応じて内部監査人の作業を評価したうえで、その作業が監査目的に照らして適切かどうかを判断しなければなりません。内部監査の存在は、外部監査人の責任を軽くするものではなく、リスク評価と監査アプローチをより精緻にするための材料と捉えるべきものです。

内部監査機能を理解することと、内部監査人の作業を利用することは違う

外部監査人の実務では、「内部監査を理解すること」と「内部監査人の作業を利用すること」を、はっきり区別する必要があります。

内部監査機能の理解は、会社の内部統制システム、モニタリング活動、リスク管理、統制環境を把握するために行うものです。監査基準報告書315でも、内部監査機能の理解が、監査人による重要な虚偽表示リスクの識別および評価に直接関連する情報をもたらす場合があると整理されています。
出典：日本公認会計士協会｜監査基準報告書315 重要な虚偽表示リスクの識別と評価

これに対して内部監査人の作業を利用するとは、外部監査人が自ら実施する監査手続の種類、時期、範囲を変更または縮小するために、内部監査人が実施した作業を監査証拠の一部として用いることをいいます。監査基準報告書610は、この場合における外部監査人の責任を扱うものです。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

この違いを曖昧にしたままでは、監査実務は危ういものになります。

• 内部監査報告書を読んだだけで、内部統制が有効だと判断していないか。
• 内部監査部門と面談しただけで、リスク評価を十分に更新した気になっていないか。
• 内部監査のチェックリストを入手しただけで、監査証拠として十分だと考えていないか。
• 内部監査人の作業を利用しているにもかかわらず、その客観性・能力・手法を評価していないか。

外部監査人には、内部監査を「情報源」として理解する場面と、「監査証拠の一部」として利用する場面とを切り分ける姿勢が求められます。

内部監査人の作業を利用できるかを判断する3つの視点

監査基準報告書610では、外部監査人が内部監査人の作業を利用できるかどうかを判断するにあたり、重要な評価事項が示されています。すなわち、内部監査機能の組織上の位置付けや関連する方針・手続により確保される客観性、内部監査機能の能力、そして品質管理を含む体系的で規律ある手法の適用です。

出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

客観性

内部監査部門が、監査対象部門から独立した位置づけにあるか。内部監査部門長が、経営者だけでなく取締役会や監査役等に適切に報告できる体制にあるか。監査対象部門の責任者が、内部監査の範囲、結論、報告内容に不当な影響を及ぼしていないか。

ここで問題になるのは、形式上の組織図だけではありません。

たとえば、内部監査部門が経理部門の下に置かれ、その内部監査部門が決算プロセスを監査しているとすれば、外部監査人はその客観性を慎重に評価する必要があります。過去に自ら担当していた業務を内部監査人が監査している場合も、同じく客観性の問題が生じます。内部監査の実務では、過去に自ら職責を有した活動を対象としてアシュアランス業務を行う場合には客観性が損なわれる、という考え方を押さえておくことが重要です。

能力

内部監査人が、監査対象業務、会計、内部統制、IT、法令、業務プロセス、不正リスクを理解しているか。内部監査部門全体として、必要な知識・技能・経験を備えているか。

内部監査は、形式的なチェックリストを消化するだけでは機能しません。内部監査人には、内部監査の基準・手続・技術を適用する力に加えて、財務記録・報告、経営管理、会計、商法、財務、税務、情報技術に関する理解、さらには監査対象部門とのコミュニケーション能力が求められます。

外部監査人が内部監査の作業を利用する場合には、内部監査部門が「人数として存在するか」ではなく、「監査目的に耐える能力を持つか」を評価しなければなりません。

体系的で規律ある手法

内部監査計画が文書化されているか。監査目的、範囲、実施時期、監査資源が明確か。監査手続書、監査調書、発見事項、改善提案、フォローアップが整備されているか。

内部監査の計画策定にあたっては、監査目的、監査範囲、監査方法、開始・終了予定日、監査資源を文書化し、監査対象部門とのコミュニケーションを行うことが重要になります。

また、内部監査調書には、監査計画、証拠の収集、監査報告に関する資料が含まれます。発見事項、改善案、報告、進捗状況のモニタリング、フォローアップまでが、内部監査業務の一連の流れとして整理されます。

外部監査人の目から見れば、内部監査調書が弱い場合、内部監査報告書の結論だけを利用することは困難です。結論に至る証拠、母集団、抽出方法、質問内容、閲覧資料、例外事項の評価、改善状況を説明できなければ、財務諸表監査上の利用には限界があります。

内部監査はJ-SOX評価とどう関係するか

財務報告に係る内部統制の評価及び監査の基準では、内部統制を次のように整理しています。すなわち、業務の有効性・効率性、報告の信頼性、法令等の遵守、資産の保全という目的を達成するために、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスです。そして内部統制は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応という基本的要素から構成されます。
出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準

内部監査は、このうち特にモニタリング機能と深く関係します。

J-SOXでは、経営者が財務報告に係る内部統制を評価し、内部統制報告書を作成します。外部監査人は、その内部統制報告書に対して内部統制監査を実施します。なお、財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」は、2025年2月13日改正として公表されています。
出典：日本公認会計士協会｜監査実務指針等

実務では、内部監査部門がJ-SOXの評価作業を担う会社が少なくありません。評価範囲の検討、業務プロセスの文書化、整備評価、運用評価、IT統制評価、不備の集計、改善状況の確認などに、内部監査部門が関与することがあります。

しかし、内部監査部門がJ-SOX評価を実施している場合でも、それはあくまで経営者評価の一部です。外部監査人の内部統制監査とは、別のものです。

外部監査人は、内部監査部門が実施したJ-SOX評価を参考にすることはできますが、経営者評価をそのまま監査結論に置き換えることはできません。評価範囲が妥当か、キーコントロールが適切に選定されているか、サンプル抽出とテスト結果が妥当か、不備の重要性評価が適切か、ロールフォワードや補完統制の判断に無理がないか。これらは、外部監査人自身が検討すべき事項です。

内部監査計画は、外部監査人のリスク評価に影響する

外部監査人が内部監査機能を理解するとき、最初に目を通すべき資料の一つが内部監査計画です。

内部監査計画には、会社が何をリスクと見ているかが表れます。販売プロセス、購買プロセス、在庫管理、固定資産管理、与信管理、子会社管理、IT全般統制、決算・開示プロセス、内部通報、情報セキュリティ、コンプライアンス。どの領域を監査対象としているかは、会社のリスク認識そのものです。

内部監査計画を外部監査の視点で読む場合には、次の点が重要になります。

• 財務報告に重要な影響を与えるプロセスが監査対象に含まれているか。
• 過去の内部統制不備や監査指摘が監査計画に反映されているか。
• 新規事業、システム変更、組織再編、子会社取得、海外展開など、リスク変化が反映されているか。
• 内部監査の頻度や範囲が、会社のリスクに見合っているか。
• 監査対象部門との調整が過度に優先され、重要リスクが先送りされていないか。
• J-SOX評価、内部監査、監査役等監査、外部監査が重複または空白を生んでいないか。

内部監査計画がリスクベースになっていない場合、外部監査人はその点をリスク評価に反映する必要があります。たとえば、財務報告上重要な子会社が長期間にわたり内部監査の対象外になっている、決算・開示プロセスが内部監査の対象になっていない、IT変更管理が監査対象から外れている。こうしたケースでは、会社のモニタリング活動そのものに弱さがある可能性があります。

内部監査手続書・チェックリストは、結論よりも設計思想を見る

内部監査手続書やチェックリストは、外部監査人にとって便利な資料です。監査対象、手続、確認事項、証跡が整理されているため、内部監査の実施内容を把握しやすいからです。

ただし、チェックリストがあることと、内部監査が有効であることは同じではありません。

外部監査人が見るべきなのは、チェックリストの存在よりも、次の点です。

• 手続が監査目的と整合しているか。
• 財務報告リスクとアサーションに結びついているか。
• 単なる規程準拠確認にとどまらず、統制の有効性を評価しているか。
• 質問だけで終わらず、閲覧、観察、再実施、証憑突合などの手続が組み合わされているか。
• サンプルの抽出方法と母集団が明確か。
• 例外事項が発見された場合の評価手順が明確か。
• 改善提案とフォローアップが、発見事項の原因に対応しているか。

チェックリスト型の内部監査は、「規程はありますか」「承認されていますか」「記録されていますか」という確認に偏りがちです。しかし、財務諸表監査との関係では、それだけでは不十分です。

重要なのは、当該統制が、重要な虚偽表示を防止または発見・是正する統制として機能しているかどうかです。その意味で内部監査手続書は、外部監査人にとって、内部監査部門が財務報告リスクをどう理解しているかを読み取るための資料でもあります。

内部監査調書は、外部監査人が利用可能性を判断する核心資料である

内部監査報告書には、通常、発見事項、原因、影響、改善提案、改善期限、担当部門、フォローアップ状況が記載されます。

しかし、外部監査人が内部監査人の作業を利用する場面では、報告書だけでは足りません。鍵を握るのは監査調書です。

内部監査調書には、少なくとも次の要素が必要です。

• 監査目的
• 監査対象範囲
• 監査期間
• 監査手続
• 使用資料
• 質問相手
• 母集団
• 抽出方法
• テスト結果
• 例外事項
• 発見事項
• 原因分析
• 影響評価
• 改善提案
• 経営者の対応
• フォローアップ結果

内部監査調書が発見事項と結論を十分に裏付けているかどうかは、内部監査機能の品質そのものに関わります。内部監査部門長による監督の観点からも、監査調書が監査所見、結論、改善提案を十分に裏付けているかを判断することが重要とされています。

外部監査人が内部監査の作業を利用する場合には、内部監査調書の閲覧、再実施、質問、証拠の評価などを通じて、その作業が監査目的に照らして適切かどうかを検討することになります。

内部監査報告書の結論が「概ね問題なし」であったとしても、調書上、何を見たのか、どの母集団から何件抽出したのか、例外事項をどう評価したのかが不明であれば、外部監査人として利用することは難しくなります。

改善提案とフォローアップは、財務諸表監査のリスク評価を更新する材料になる

内部監査の価値は、指摘事項を発見することだけにあるのではありません。

むしろ本質は、発見事項の原因を把握し、改善提案を行い、改善状況をフォローアップするところにあります。内部監査実務においても、発見事項、改善案、監査報告、進捗状況のモニタリング、フォローアップは、一連のプロセスとして重要です。

外部監査人にとって、内部監査の改善提案とフォローアップは、次のような意味を持ちます。

• 内部統制不備が解消されたか。
• 同じ不備が反復していないか。
• 改善策が表面的なルール追加にとどまっていないか。
• 統制の設計だけでなく、運用が改善しているか。
• 改善遅延が、経営者の統制意識や統制環境に関係していないか。
• 財務諸表監査のリスク評価を見直す必要がないか。
• J-SOX上、不備または開示すべき重要な不備の評価に影響しないか。

内部監査のフォローアップで改善未了が続いている場合、外部監査人としては、その領域の統制リスクを高く評価する必要があるかもしれません。

反対に、内部監査が発見した不備について、原因分析、改善策、運用確認、再発防止が適切に実施されているのであれば、外部監査人はその情報を踏まえて、監査計画やリスク対応手続の設計を検討することができます。

ただし、改善完了報告があるだけでは十分ではありません。実際に統制が再設計され、運用され、証跡が残っているかを確認する必要があります。

内部監査と外部監査の関係で誤りやすい実務

内部監査と財務諸表監査の関係には、いくつか典型的な誤りがあります。

内部監査があるから統制リスクを低く見積もる

内部監査部門が存在すること自体は、統制環境やモニタリングの一要素です。しかし、内部監査部門があるというだけで、統制リスクを低く評価できるわけではありません。

• 内部監査がリスクベースで実施されているか。
• 重要な財務報告リスクを対象としているか。
• 発見事項を適切に評価しているか。
• 改善状況をフォローしているか。
• 監査役等や取締役会に適切に報告されているか。

これらを確認しないまま進めれば、内部監査機能を過大評価することになります。

内部監査のJ-SOXテストをそのまま利用する

内部監査部門がJ-SOX評価を実施している場合、そのテスト結果は外部監査人にとって有用な情報です。しかし外部監査人は、内部監査人の作業を利用できるかどうかを自ら判断し、必要な手続を実施しなければなりません。

内部監査人の作業を利用する場合であっても、監査人は監査業務における全ての重要な判断を自ら行う必要があります。監査基準報告書610は、監査人が表明した監査意見に単独で責任を負うこと、そして内部監査人の作業を利用しても監査人の責任は軽減されないことを、明確にしています。
出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用

内部監査人を外部監査人の直接補助者のように扱う

日本の監査実務では、内部監査人が監査人を直接補助する取扱いについて、慎重な整理が必要です。JICPAは、2021年の監査基準報告書610改正にあたり、従来我が国において禁止されている内部監査人による監査人の直接補助について、海外の構成単位の監査でも内部監査人が構成単位の監査人を直接補助することがないよう改正を公表した、と説明しています。
出典：日本公認会計士協会｜監査基準委員会報告書610「内部監査人の作業の利用」及び関連する監査基準委員会報告書の改正について

したがって、内部監査人を外部監査チームの作業要員のように扱う発想は避けるべきです。

内部監査人の作業を利用することと、内部監査人を外部監査人の直接補助者として使うことは、まったく別のことです。

内部監査を「外部監査対応部門」にしてしまう

内部監査部門が、外部監査人からの依頼資料を集めるだけの部門になってしまうことがあります。

もちろん、内部監査部門が外部監査人との調整役・連絡役として機能する場面はあります。内部監査は、経営者と外部監査人との間の調整役、会計プロセスの独立的評価者、内部統制評価プロセスのレビュー役として機能し得ます。

しかし、内部監査の本来の役割は、外部監査対応を円滑にすることだけではありません。内部監査は、会社のリスク、統制、業務改善、ガバナンスに対して、独立的・客観的な評価を行う機能です。

外部監査対応に偏りすぎると、内部監査が本来見るべきリスクが見えなくなります。

内部監査結果を財務諸表監査に接続する実務上の判断軸

内部監査結果を財務諸表監査に接続する場合、外部監査人は次の順序で考えると整理しやすくなります。

1. その内部監査結果は、財務報告に関係するか

内部監査は幅広い領域を対象とします。すべての内部監査結果が財務諸表監査に関係するわけではありません。

ただし、一見すると業務監査に見えるものでも、財務報告に影響することがあります。

• 販売管理の不備は、収益認識や売掛金の実在性・期間帰属に関係します。
• 在庫管理の不備は、棚卸資産の実在性・評価に関係します。
• 購買承認の不備は、仕入・費用・債務の網羅性に関係します。
• ITアクセス管理の不備は、仕訳入力やマスタ変更のリスクに関係します。
• 子会社管理の不備は、連結範囲、連結パッケージ、関連当事者取引に関係します。
• 決算資料の作成・レビュー不備は、注記、組替、開示の誤謬に関係します。

外部監査人は、内部監査結果を、勘定科目、アサーション、内部統制、開示に結びつけて評価する必要があります。

2. その発見事項は、重要な虚偽表示リスクを高めるか

内部監査が発見した不備が、そのまま重要な虚偽表示リスクになるとは限りません。

重要なのは、不備の性質、発生頻度、影響額、関係する勘定科目、補完統制、改善状況です。

• 単なる手続遅延なのか。
• 承認権限の逸脱なのか。
• 証跡が残っていないのか。
• データが改ざん可能な状態なのか。
• 経営者が意図的に統制を無効化できる状態なのか。
• 過年度にも同様の不備があったのか。
• 内部監査後に改善され、再発防止が確認されているのか。

この評価によって、外部監査人のリスク評価、運用評価手続、実証手続の範囲が変わってきます。

3. その内部監査手続は、監査証拠として利用できる水準か

内部監査結果が財務報告に関係していても、内部監査手続の水準が不十分であれば、外部監査人が作業を利用することは難しくなります。

評価すべきポイントは、内部監査の客観性、能力、体系的手法、調書、証拠、レビュー、品質管理です。

• 内部監査が質問だけで完結している場合、証拠力は限定的です。
• 母集団が不明なサンプルテストは、外部監査人が利用しにくくなります。
• 例外事項の評価が不明確な調書は、結論の妥当性を判断しにくくなります。
• 改善完了の確認が自己申告だけであれば、フォローアップとして弱い可能性があります。

外部監査人が内部監査作業を利用するには、内部監査そのものの品質を評価する必要があります。

4. 外部監査人自身の追加手続が必要か

内部監査人の作業を利用する場合でも、外部監査人は必要な追加手続を実施します。

• 内部監査人への質問
• 監査調書の閲覧
• 内部監査手続の再実施
• サンプルの再抽出
• 例外事項の再評価
• 関連する統制の運用評価
• 実証手続の追加
• 監査役等とのコミュニケーション
• 経営者への追加質問

重要な判断領域、不正リスクが高い領域、会計上の見積り、経営者による内部統制の無効化に関係する領域。これらについて内部監査人の作業だけに依拠することは、通常、慎重に検討すべきです。

内部監査と不正リスク

内部監査は、不正リスク対応においても重要な役割を担います。

内部監査は、業務プロセス、権限、職務分掌、承認、証跡、システムアクセス、棚卸、現金管理、子会社管理、内部通報など、外部監査人とは異なる角度から会社を見ることができるからです。

会計不正は、取引スキームを熟知している者が内部統制の弱点を利用して行うことがあります。不正実行者以外が取引の詳細を把握しておらず、モニタリングが不十分な場合もあります。

内部監査が不正リスクに気づけるかどうかは、次の点に左右されます。

• 形式的な規程準拠だけでなく、取引実態を見ているか。
• 長期間同じ担当者が処理している業務に注意しているか。
• 例外処理、手作業仕訳、期末集中処理、関連当事者取引を見ているか。
• 内部通報や苦情情報をリスク評価に反映しているか。
• IT権限やログを確認しているか。
• 経営者による統制無効化の可能性を意識しているか。
• 改善提案が現場任せになっていないか。

外部監査人は、内部監査の不正リスク対応を理解することで、自らの不正リスク評価を深めることができます。ただし、不正リスクについては、内部監査の発見事項がないことをもって安心してはなりません。内部監査がどのような視点で、どこまで見たのかを確認する必要があります。

内部監査とIT統制

財務諸表監査において、IT統制の重要性は年々高まっています。

販売、購買、在庫、債権債務、固定資産、原価計算、連結、開示、ワークフロー、電子承認、マスタ管理、仕訳入力、アクセス権限、変更管理、バックアップ。多くの財務報告プロセスは、ITに依存しています。

内部監査部門がIT統制を理解していない場合、財務報告リスクの重要な部分が見落とされる可能性があります。内部監査実務でも、IT統制は、全般統制と業務処理統制、予防的・発見的・是正的統制、物理的統制と論理的統制などに整理され、J-SOXにおけるIT統制も重要論点として扱われます。

外部監査人は、内部監査がIT統制をどこまで対象としているかを確認する必要があります。

• アクセス権限の棚卸が行われているか。
• 退職者・異動者の権限削除が適時に行われているか。
• 特権IDの利用がモニタリングされているか。
• プログラム変更が承認・テスト・本番移行の手順に従っているか。
• マスタ変更に承認と証跡があるか。
• システム障害やデータ修正が記録されているか。
• 外部委託先やクラウド利用に対する統制が評価されているか。

IT統制の内部監査が弱い場合、外部監査人は、財務諸表監査上のシステム依拠、データ利用、CAAT、実証手続の設計を慎重に見直す必要があります。

内部監査と監査役等・外部監査人の三様監査

内部監査、監査役等、外部監査人は、それぞれ目的と責任が異なります。

内部監査は、会社内部のアシュアランス・助言機能として、業務、リスク、統制、改善状況を評価します。

監査役等は、取締役等の職務執行、内部統制システム、会計監査人の監査の方法と結果の相当性を監視します。

外部監査人は、財務諸表等に対する監査意見を形成します。

三者は同じではありません。しかし、財務報告の信頼性という目的においては接点があります。

三様監査を機能させるには、会議を開催するだけでは不十分です。重要なのは、情報が監査判断に反映されているかどうかです。

• 内部監査の発見事項が、監査役等の監査計画に反映されているか。
• 監査役等の懸念が、外部監査人のリスク評価に共有されているか。
• 外部監査人の内部統制不備の指摘が、内部監査のフォローアップ対象になっているか。
• J-SOX評価、内部監査、監査役等監査、外部監査の間で、重複と空白が整理されているか。
• KAM候補や会計上の見積りについて、内部監査が把握している業務実態が共有されているか。

内部監査結果は、三様監査の中で「共有資料」として扱われるだけでは足りません。リスク評価、監査計画、改善状況、監査報告に接続されて、はじめて意味を持ちます。

内部監査を財務諸表監査に活かすために必要な資料

外部監査人が内部監査機能を理解し、必要に応じてその作業を利用するためには、次の資料が重要になります。

• 内部監査基本規程
• 内部監査部門の組織図・報告経路
• 内部監査人の職歴・資格・担当業務
• 内部監査計画
• リスク評価資料
• 個別監査計画
• 監査手続書
• 監査チェックリスト
• 監査調書
• 内部監査報告書
• 発見事項一覧
• 改善提案一覧
• 改善状況管理表
• フォローアップ調書
• J-SOX評価資料
• IT統制評価資料
• 監査役等への報告資料
• 取締役会・監査役会への報告状況
• 外部監査人との協議メモ

ただし、資料が多いことが重要なのではありません。

重要なのは、資料同士が一貫していることです。

• リスク評価で重要とされた領域が内部監査計画に反映されているか。
• 内部監査計画に基づいて個別監査計画が作成されているか。
• 個別監査計画に対応する監査手続が実施されているか。
• 監査手続の結果が調書に残っているか。
• 調書から発見事項が導かれているか。
• 発見事項に対して改善提案が対応しているか。
• 改善提案がフォローアップされているか。
• 未改善事項が経営者・監査役等に報告されているか。
• 外部監査人のリスク評価に影響する事項が共有されているか。

この流れが途中で切れている場合、内部監査の活動は存在していても、財務諸表監査に活かしにくくなります。

内部監査機能が弱い場合に、外部監査人が考えるべきこと

内部監査機能が弱い会社では、外部監査人は、単に「内部監査を利用できない」と整理するだけでは不十分です。

内部監査機能の弱さは、会社のモニタリング活動、統制環境、リスク管理、J-SOX評価、決算・開示プロセスの信頼性に影響する可能性があるからです。

外部監査人は、次の点を検討する必要があります。

• 内部監査機能の弱さは、財務諸表全体レベルのリスクに影響するか。
• 特定の業務プロセスや勘定科目のリスク評価に影響するか。
• 内部統制監査上、不備の評価に影響するか。
• 監査役等への報告事項になるか。
• 監査計画、実証手続、IT監査、子会社監査の範囲を見直す必要があるか。
• 不正リスク評価に影響するか。
• 経営者の統制意識や改善姿勢に懸念があるか。

内部監査機能が弱いことは、必ずしも直ちに財務諸表の虚偽表示を意味するわけではありません。しかし、会社内部でリスクを識別し、統制を評価し、改善を促す機能が弱いという意味では、監査上の注意が必要です。

内部監査機能が強い場合でも、外部監査人の責任は残る

反対に、内部監査機能が強い会社であっても、外部監査人の責任は残ります。

• 内部監査部門が高い専門性を持っている。
• 監査調書が整備されている。
• J-SOX評価が精緻に行われている。
• フォローアップが厳格である。
• 監査役等への報告も適時に行われている。

このような場合、外部監査人は内部監査機能を有効な情報源として利用しやすくなります。場合によっては、内部監査人の作業を利用することで、外部監査手続の種類、時期、範囲に影響が及ぶこともあります。

しかし、監査意見に対する責任は外部監査人にあります。とりわけ、重要な判断、特別な検討を必要とするリスク、会計上の見積り、不正リスク、経営者による内部統制の無効化、KAM候補に関する判断については、外部監査人自身が監査証拠を評価し、結論を形成しなければなりません。

内部監査が強い会社ほど、外部監査人は内部監査を「便利な代替手段」としてではなく、「高度なリスク情報と統制情報を持つ監査機能」として扱うべきです。

内部監査の役割を誤解しないための実務上の整理

内部監査と財務諸表監査の関係は、次のように整理しておくと誤解を避けやすくなります。

• 内部監査は、会社内部のアシュアランス・助言機能である。
• 財務諸表監査は、外部監査人が監査意見を形成する法定監査である。
• 内部監査は、外部監査人の責任を代替しない。
• 外部監査人は、内部監査機能をリスク評価の情報源として理解する。
• 外部監査人が内部監査人の作業を利用する場合には、客観性、能力、体系的手法を評価する。
• 内部監査の結果は、J-SOX、監査役等監査、外部監査、改善活動に接続される。
• 内部監査調書とフォローアップが弱い場合、内部監査の結論だけでは監査証拠として利用しにくい。
• 内部監査が強い場合でも、外部監査人は重要判断を自ら行う。

この整理を持っておくことで、内部監査を過小評価することも、過大評価することも避けられます。

内部監査は「監査品質」を支えるが、外部監査の代替ではない

内部監査は、財務諸表監査の外側にあるように見えて、実際には監査品質と深く関係しています。

• 会社のリスクを早期に発見する。
• 内部統制不備を改善につなげる。
• 経営者の統制意識を可視化する。
• 監査役等に重要な情報を提供する。
• 外部監査人のリスク評価を深める。
• J-SOX評価の実効性を高める。
• 不正リスクやITリスクの兆候を拾う。
• 決算・開示プロセスの弱点を補正する。

これらはすべて、財務報告の信頼性に関係しています。

ただし、内部監査が存在することと、財務諸表監査上の十分かつ適切な監査証拠が得られることは、別の問題です。

外部監査人は、内部監査を尊重しつつ、独立した専門家として、リスク評価、証拠評価、重要判断、監査意見形成を自ら行わなければなりません。内部監査を財務諸表監査に活かすとは、内部監査に依存することではありません。内部監査から得られる情報を、監査計画、リスク評価、内部統制評価、監査証拠、監査役等とのコミュニケーションへ、適切に接続していくことです。

主な出典・根拠

• 出典：日本公認会計士協会｜監査基準報告書610 内部監査人の作業の利用
• 出典：日本公認会計士協会｜監査基準報告書315 重要な虚偽表示リスクの識別と評価
• 出典：日本公認会計士協会｜監査実務指針等
• 出典：日本公認会計士協会｜監査基準委員会報告書610「内部監査人の作業の利用」及び関連する監査基準委員会報告書の改正について
• 出典：金融庁・企業会計審議会｜財務報告に係る内部統制の評価及び監査の基準
• 出典：The Institute of Internal Auditors｜Global Internal Audit Standards
• 出典：The Institute of Internal Auditors｜Complete Global Internal Audit Standards

内部監査・J-SOX・外部監査対応で判断に迷う場合

内部監査の結果を財務諸表監査にどう接続するかは、単なる資料整理の問題ではありません。

内部監査計画、J-SOX評価、監査調書、改善提案、監査役等への報告、外部監査人との協議、KAM候補、不正リスク、IT統制が、複雑に絡み合います。とりわけ、内部監査人の作業を外部監査で利用できるか、内部統制不備をどのように評価するか、改善未了事項を監査計画にどう反映するかについては、個別事情に応じた慎重な整理が欠かせません。

犬飼公認会計士・税理士事務所では、内部監査・J-SOX・財務諸表監査・監査役等対応を横断して、実務上の論点整理を支援しています。内部監査体制の見直し、監査調書の整備、外部監査人への説明、内部統制不備の整理に課題を感じておられる場合は、現状の資料と論点を整理したうえでご相談ください。

重要事項の振り返り

論点	実務上のポイント
内部監査の本質	ガバナンス、リスク管理、内部統制を評価・改善する会社内部のアシュアランス・助言機能である。
財務諸表監査との関係	内部監査は外部監査人の責任を代替しないが、リスク評価や内部統制理解の重要な情報源になり得る。
内部監査機能の理解	外部監査人は、内部監査計画、対象領域、発見事項、改善状況を通じて会社のモニタリング活動を理解する。
内部監査人の作業の利用	利用できるかは、客観性、能力、体系的で規律ある手法、品質管理、調書水準により判断する。
外部監査人の責任	内部監査人の作業を利用しても、監査意見に対する外部監査人の責任は軽減されない。
J-SOXとの関係	内部監査部門が経営者評価を担うことはあるが、外部監査人の内部統制監査とは区別する必要がある。
内部監査調書	報告書の結論だけでなく、手続、証拠、母集団、サンプル、例外事項、判断過程が重要である。
改善提案・フォローアップ	改善未了や再発は、財務諸表監査上のリスク評価や内部統制不備評価に影響し得る。
不正リスク	内部監査は不正兆候を拾う重要な機能だが、不正リスクについては外部監査人自身の懐疑心と手続が必要である。
三様監査	内部監査、監査役等、外部監査人は役割が異なるが、情報共有を監査判断に反映して初めて連携が機能する。