「内部監査を任されたものの、何から手をつければよいか分からない」「年間計画は立てたが、実際の往査や報告書の書き方に自信がない」——内部監査の責任者や新任担当者の多くが、こうした悩みを抱えています。内部監査は、決められた様式を埋めれば終わる作業ではありません。リスクの所在を見極め、限られた工数で組織にとって意味のある気づきを提供し、最後に改善へつなげるまでが一連の流れです。
この記事では、内部監査の全体プロセスを「計画→実施→報告→改善→フォローアップ」の順に整理し、それぞれの段階で何をどう進めればよいかを、実務の手順に沿って具体的に解説します。リスクアプローチに基づく監査計画の立て方、往査・ヒアリング・証憑突合といった監査手続の進め方、監査調書と発見事項の整理、報告と是正措置のフォローアップ、そしてつまずきやすいポイントと外部活用の判断軸までを一通り押さえられる構成です。これから内部監査の仕組みを整えたい方も、すでに運用しているが進め方を見直したい方も、自社の状況に照らしながら読み進めてください。
内部監査の全体プロセス（計画→実施→報告→改善→フォローアップ）
内部監査の進め方を理解するうえで、まず押さえておきたいのが全体プロセスです。個々の手続は、この大きな流れのどこに位置づくのかを意識することで、目的を見失わずに進められます。
内部監査が果たす役割
内部監査は、組織の業務やリスク管理、内部統制が有効に機能しているかを独立した立場で評価し、経営に対して客観的な保証と改善提言を行う活動です。外部の会計監査（財務諸表監査）が主に財務報告の適正性を対象とするのに対し、内部監査は財務・業務・コンプライアンスなど組織活動の広い範囲を対象とし、経営に資する「改善」までを視野に入れる点に特徴があります。
ここで重要なのが「独立性」と「客観性」です。被監査部門から独立した立場で評価を行い、特定の利害に左右されずに事実を見極めることが、内部監査の信頼性の土台になります。組織図上の位置づけや報告ラインの設計は、この独立性を確保するうえで欠かせない論点です。
計画からフォローアップまでの5段階
内部監査の進め方は、おおむね次の5つの段階で循環します。
- 計画：組織全体のリスクを評価し、監査対象・テーマ・時期を年間計画に落とし込む。
- 実施：個別監査ごとに監査手続を設計し、往査・ヒアリング・証憑突合などを通じて事実を集める。
- 報告：集めた事実を発見事項として整理し、評価とともに経営層・被監査部門へ報告する。
- 改善：被監査部門が是正措置・改善計画を立案し、実行する。
- フォローアップ：改善が計画どおり実行され、効果を上げているかを確認する。
この5段階は一度きりで終わるものではなく、フォローアップの結果や新たに把握したリスクが、翌期の計画に反映されていく循環構造になっています。つまり、内部監査は「年に一度の点検イベント」ではなく、継続的な改善サイクルを回す仕組みだと捉えると、各段階の意味が理解しやすくなります。
なお、内部監査と財務報告に関する内部統制（J-SOX）は対象範囲も目的も異なりますが、現場では連携が求められる場面が多くあります。制度の具体的な対象範囲や評価の要件は改定されることがあるため、最新の要件は公式情報や監査法人にご確認ください。両者の役割分担については「内部監査とJ-SOX（内部統制報告制度）の関係」で詳しく整理しています。
リスクアプローチに基づく監査計画の立て方
内部監査の進め方で最初の山場となるのが、年間計画（監査計画）の策定です。限られた人員と時間で組織全体をカバーすることは現実的ではないため、「どこに、どれだけの監査資源を投下するか」を決める必要があります。その判断軸となるのがリスクアプローチです。
リスクアプローチとは
リスクアプローチとは、組織にとって重要度の高いリスクが存在する領域に監査資源を重点配分する考え方です。すべての部門・業務を均等に監査するのではなく、リスクが顕在化したときの影響の大きさと発生可能性を評価し、優先順位をつけて監査対象を選びます。これにより、限られた工数で組織全体のリスク低減への貢献度を高めることができます。
リスク評価の進め方
リスク評価は、おおむね次の手順で進めます。
- 監査対象（監査ユニバース）の洗い出し：部門・拠点・業務プロセス・システムなど、監査の対象となりうる単位を網羅的にリストアップします。
- リスク要因の特定：各対象について、財務的影響、コンプライアンス、業務効率、レピュテーションなどの観点からリスク要因を洗い出します。過去の不正・エラー事例、業界動向、組織変更や新規事業などの環境変化も考慮します。
- リスクの評価：特定したリスクについて「影響度」と「発生可能性」を一定の基準で評価し、優先度を整理します。評価には、経営層や各部門責任者へのヒアリングを組み合わせると精度が高まります。
- 監査対象の選定：リスク評価の結果をもとに、当期に監査する対象とテーマ、実施時期、おおよその工数配分を決めます。
リスク評価は担当者の主観に偏りやすいため、評価基準をあらかじめ文書化し、複数の視点を取り入れることがポイントです。
年間計画への落とし込み
リスク評価の結果は、年間監査計画書としてまとめます。具体的には、監査テーマ、対象部門、監査の目的・範囲、実施時期、想定工数、担当者の割り当てなどを記載します。年間計画は、経営層や監査役・取締役会など、組織の統治機関の承認を得てから運用するのが一般的です。承認プロセスを経ることで、内部監査が経営の関心事と整合し、必要なリソースの裏付けを得られます。
また、年間計画は一度固めたら終わりではありません。期中に重大なリスクが顕在化したり、組織や事業環境が大きく変わったりした場合は、計画を機動的に見直す柔軟性も求められます。
データを活用した計画の高度化
近年は、会計データや業務システムのログを分析し、異常値や傾向を把握したうえで監査対象を選ぶ「データドリブン」なアプローチが広がっています。例えば、取引データ全体を俯瞰して特異な動きのある領域を抽出し、そこへ重点的に監査資源を振り向ける、といった進め方です。サンプリングに頼らず母集団全体を見渡せるため、リスクの見落としを減らす効果が期待できます。こうしたデータ分析を起点とした監査の始め方は「内部監査DXとは｜Power BIを活用したデータドリブン監査の始め方」で具体的に解説しています。
監査手続の実施（往査・ヒアリング・証憑突合）の進め方
年間計画で監査対象が決まったら、個別監査ごとに具体的な手続へと進みます。ここからが内部監査の実施段階です。
個別監査の事前準備
往査（現場での調査）にいきなり入るのではなく、まず個別監査ごとの計画を立てます。事前準備で行う主な内容は次のとおりです。
- 監査目的・範囲の明確化：何を確かめる監査なのか、対象期間・対象業務をどこまでとするかを定めます。
- 事前情報の収集：関連する規程・マニュアル、過去の監査結果、業務フロー図、関連データなどを入手し、業務の流れとリスクの所在を把握します。
- 監査手続書（監査プログラム）の作成：確認すべき項目ごとに、どのような手続でどんな証拠を得るかを設計します。
- 被監査部門への事前通知：監査の目的・日程・依頼資料を伝え、現場の協力を得られるよう調整します。
事前準備の質が、往査の効率と発見事項の精度を大きく左右します。業務の全体像を理解しないまま現場に入ると、表面的な確認に終わりがちです。
主な監査手続
監査手続には複数の技法があり、目的に応じて組み合わせて用います。代表的なものを整理します。
往査（現地調査・視察）：現場に赴き、実際の業務の流れや管理状況を直接観察します。書類上は整っていても、運用が形骸化しているケースは少なくありません。現物の保管状況、システムへの入力状況、承認手続の実態などを自分の目で確かめることに意味があります。
ヒアリング（質問・インタビュー）：業務担当者や責任者に質問し、業務の実態、課題認識、統制の運用状況などを聞き取ります。ヒアリングは事実確認の手段であると同時に、現場の協力関係を築く機会でもあります。相手を追及するのではなく、業務改善に向けて一緒に考える姿勢で臨むと、率直な情報を得やすくなります。
証憑突合（証拠資料の照合）：取引記録や会計帳簿と、契約書・請求書・納品書・承認記録などの証憑を照合し、記録の正確性や手続の適切性を確かめます。例えば、支出が正規の承認を経ているか、計上額が証憑と一致しているかなどを確認します。
閲覧・査閲（記録のレビュー）：規程・議事録・報告書などの文書を確認し、ルールどおりに運用されているか、必要な記録が整備されているかを評価します。
再実施・分析：担当者が行った計算や処理を改めて検証したり、データの傾向を分析して異常を探したりする手続です。データ分析ツールを使えば、全件チェックや複数条件での絞り込みが効率的に行えます。
証拠の積み上げと心証形成
監査手続の目的は、結論を裏づける十分かつ適切な証拠を集めることにあります。一つの事実だけで判断するのではなく、複数の手続から得た証拠を突き合わせて整合性を確かめることで、評価の確からしさが高まります。確認した内容は、その場で記録に残す習慣をつけておくと、後の調書作成がスムーズになります。
なお、限られた工数の中で証憑突合や分析を網羅的に行うことは負担が大きく、ここでデータ分析の活用が効果を発揮します。サンプル抽出に頼らず母集団全体を対象とした検証ができれば、見落としを抑えつつ工数の最適化も図れます。
監査調書の作成と発見事項の整理
監査手続で集めた証拠は、監査調書として整理・記録します。調書は内部監査の成果物であり、報告の根拠であると同時に、品質を担保する重要な記録です。
監査調書の役割
監査調書とは、実施した監査手続、入手した証拠、評価、結論を記録した文書一式を指します。調書には主に次の役割があります。
- 結論の裏づけ：報告書に記載する評価や指摘が、どの証拠・手続に基づくものかを示します。
- 品質の確保：第三者（上長や統治機関、外部の評価者）が監査の過程を辿り、結論の妥当性を検証できるようにします。
- 知識の蓄積：翌期以降の監査や担当者の引き継ぎに活用できる組織の財産になります。
調書作成のポイント
調書は「後から読んだ人が、監査の経緯と結論を理解できる」ことを基準に作成します。実務上のポイントを挙げます。
- 手続と結論の対応を明確にする：何を確認し（手続）、何が分かり（事実）、どう評価したか（結論）を区別して記載します。
- 証拠との紐づけを残す：参照した証憑やデータの所在を明記し、必要に応じて写しや抜粋を添付します。
- 客観的に書く：主観的な印象ではなく、確認できた事実に基づいて記述します。
- 記録の一貫性を保つ：様式やファイリングのルールを統一し、誰が作成しても一定の品質になるようにします。
調書のフォーマットが属人化していると、品質にばらつきが生じ、レビューにも時間がかかります。テンプレートや記録ルールを整備しておくことが、進め方を安定させるうえで効果的です。
発見事項の整理
調書を作成する過程で見えてきた問題点は、発見事項（指摘事項）として整理します。発見事項は、次の要素に分解して記述すると、説得力が高まり、改善にもつながりやすくなります。
- 状態（Condition）：実際に確認された事実・問題の状況。
- 基準（Criteria）：あるべき姿（規程・ルール・ベストプラクティスなど）。
- 原因（Cause）：なぜそうなっているのかという背景・要因。
- 影響（Effect）：放置した場合に想定されるリスク・損失。
- 改善提案（Recommendation）：どう是正すべきかという提言。
この型で整理すると、「ルール違反を指摘する」だけでなく「なぜ起きたのか」「何が問題なのか」「どう直すべきか」までを示せるため、被監査部門が改善に動きやすくなります。発見事項は重要度（高・中・低など）でランク付けし、優先的に対応すべき事項を明確にしておくとよいでしょう。
監査報告と是正措置のフォローアップ
監査の結果は報告書としてまとめ、関係者へ伝えます。そして、指摘した事項が確実に改善されるよう、フォローアップまでを行って一連の進め方が完結します。
監査報告書の作成と伝達
監査報告書には、監査の目的・範囲、実施した手続の概要、発見事項とその評価、改善提案、被監査部門の見解などを記載します。報告書を作成するうえで意識したいのは「読み手に伝わること」です。
- 要点を先に示す：経営層は多忙です。総括的な結論や重要度の高い指摘を冒頭に置き、詳細は後段で説明する構成が読まれやすくなります。
- 事実と評価を分ける：確認した事実と、それに対する内部監査の評価・提言を区別して記載します。
- 建設的な表現を使う：問題の指摘に終始せず、改善に向けた前向きな提案として伝えます。
報告に先立ち、発見事項を被監査部門と事前にすり合わせ、事実認識の齟齬をなくしておくことも重要です。事実の誤認に基づく指摘は、報告の信頼性を損ない、現場の協力も得にくくします。最終的な報告は、経営層や監査役・取締役会など統治機関にも共有し、組織として改善に取り組む体制を整えます。
是正措置とフォローアップ
報告して終わりにしないことが、内部監査の価値を左右します。指摘した発見事項について、被監査部門に是正措置・改善計画（対応内容・責任者・期限）を立ててもらい、その進捗と効果を確認するのがフォローアップです。
フォローアップの進め方は、おおむね次のとおりです。
- 改善計画の入手：被監査部門から、各指摘への対応方針・スケジュール・担当を受け取り、内容の妥当性を確認します。
- 進捗のモニタリング：期限に応じて進捗状況を確認し、遅延や停滞があれば早めに把握します。
- 改善の検証：是正措置が実際に実行され、リスクが低減されたかを、再度の確認手続によって検証します。形式上の対応で終わっていないかを見極めます。
- 結果の報告：フォローアップの結果を経営層・統治機関へ報告し、未対応事項があれば継続管理の対象とします。
改善状況を一覧で管理し、進捗を可視化しておくと、抜け漏れを防ぎやすくなります。多数の指摘事項を扱う場合は、管理表やダッシュボードで状況を共有する仕組みが有効です。是正措置の進捗を継続的にモニタリングする発想は、データを活用した監査の高度化とも親和性が高い領域です。
進め方でつまずきやすいポイントと外部活用の判断軸
ここまで内部監査の標準的な進め方を見てきましたが、実際の運用では、多くの組織が共通の壁にぶつかります。最後に、つまずきやすいポイントと、外部の力を借りるべきかどうかの判断軸を整理します。
つまずきやすいポイント
人員・専門性の不足：内部監査は、会計・業務・システム・コンプライアンスなど幅広い知見が求められます。少人数の体制では、対象範囲を十分にカバーできなかったり、専門性の高い領域で踏み込んだ評価ができなかったりすることがあります。
独立性・客観性の確保：被監査部門と近い立場の担当者が監査を行うと、評価が甘くなりがちです。特に組織規模が小さい場合、独立性をどう担保するかが課題になります。
形骸化・マンネリ化：毎期同じ対象を同じ手続で点検するうちに、チェックリストを埋めるだけの作業に陥ることがあります。リスクの変化に追従できず、本来見るべき領域を見落とすおそれがあります。
工数の逼迫：往査・証憑突合・調書作成・報告と、内部監査の作業は多岐にわたります。本来業務と兼任している担当者の場合、計画どおりに進まないことも少なくありません。
改善につながらない：報告までは行うものの、フォローアップが手薄で指摘が放置される、というケースもあります。これでは監査が「指摘のための指摘」に終わってしまいます。
これらの課題は、体制設計や進め方の見直し、そしてデータ活用やツールの導入によって、相当程度まで緩和できます。例えば、工数の逼迫や属人化は、データ分析による検証の効率化やテンプレートの整備で改善が見込めます。
外部活用を検討する判断軸
社内のリソースや専門性だけでは対応が難しい場合、外部の専門家を活用する選択肢があります。活用形態には、監査業務の一部を外部と分担する「コソース」、業務全体を委託する「アウトソース」、体制づくりを支援してもらう「構築支援」などがあります。それぞれの違いや選び方は「内部監査の体制構築｜内製・コソース・アウトソースの違いと選び方」と「内部監査のアウトソース・コソースとは｜活用メリットと依頼範囲の考え方」で詳しく解説しています。
外部活用を検討する際の判断軸としては、次のような観点が挙げられます。
- 専門性のギャップ：自社にない知見（特定業種のリスク、データ分析、IPO審査水準の体制など）が必要か。
- 独立性・客観性の補完：社内だけでは独立した評価が難しいか。
- 工数・リソース：本来業務と兼任で、計画どおりの監査が回らない状況か。
- 立ち上げ期かどうか：これから内部監査体制を構築する段階で、設計から伴走してほしいか。
費用については、依頼範囲・関与の深さ・対象の複雑さなどによって変わります。具体的な金額は条件によって大きく異なるため、料金を構成する項目や変動要因の考え方を理解したうえで、見積もりを取ることをおすすめします。費用の考え方は「内部監査の費用の考え方｜料金を構成する項目と変動要因を解説」で整理しています。
まとめ
内部監査の進め方は、「計画→実施→報告→改善→フォローアップ」という循環として捉えると、各段階の目的が明確になります。
- 計画：リスクアプローチで重要領域を見極め、年間計画に落とし込む。
- 実施：往査・ヒアリング・証憑突合などで十分な証拠を集める。
- 報告・調書：発見事項を「状態・基準・原因・影響・改善提案」で整理し、伝わる報告書にまとめる。
- フォローアップ：是正措置の進捗と効果を確認し、翌期の計画に反映する。
そして、人員不足・属人化・形骸化・工数逼迫といったつまずきは、進め方の見直しとデータ活用、そして必要に応じた外部活用によって乗り越えられます。
RSM汐留パートナーズでは、公認会計士・税理士・社会保険労務士・行政書士・司法書士を擁し、コソース・アウトソース・体制構築支援を通じて、IPO審査水準にも対応できる内部監査体制づくりを伴走支援しています。内部監査の立ち上げや進め方の見直し、体制の最適化についてお考えの方は、ぜひ内部監査コンサルティングサービスをご覧ください。
また、Power BIを活用したデータドリブン監査により、証憑突合や分析の工数削減、継続的なモニタリングの高度化を実現する支援も行っています。監査業務の効率化やリスクの見える化に関心のある方は、内部監査DX支援もあわせてご確認ください。具体的な進め方や体制に応じたご提案については、お気軽にお問い合わせ・資料ダウンロードからご相談ください。
