内部監査の体制構築｜内製・コソース・アウトソースの違いと選び方

「内部監査の部署を立ち上げたいが、何人体制で、どんなスキルの人材を置けばよいのか分からない」「IPO準備を進める中で主幹事証券や監査法人から内部監査体制の整備を求められたが、社内に経験者がいない」——成長企業や上場準備企業の経営者・管理部門責任者の方から、こうしたご相談を数多くいただきます。

内部監査は、一度作れば終わりという仕組みではありません。会社の規模や上場ステージ、確保できる人材によって、最適な体制の形は変わります。そして体制の選択肢は、すべてを社内で行う「内製」だけではなく、外部の専門家と分担する「コソース」、外部に委託する「アウトソース」と幅があります。どれを選ぶかによって、コスト構造も、監査の質も、立ち上げにかかる時間も大きく異なります。

この記事では、内部監査の体制構築を初めて検討する方、あるいは既存の体制を見直したい方に向けて、次のことが分かるように解説します。

• 内部監査体制に求められる「独立性」と「客観性」という大前提
• 内製・コソース・アウトソースという3つの選択肢の違いと、それぞれの向き・不向き
• 自社の人材・規模・上場ステージに応じた体制の選び方
• IPO審査で実際に問われる内部監査体制の水準
• 体制構築を進める際の手順と、つまずきやすいポイント

体制づくりの「型」と判断の軸を押さえることで、自社にとって過不足のない内部監査の姿が見えてくるはずです。

内部監査体制に求められる独立性と客観性

内部監査の体制を考えるうえで、まず理解しておきたいのが「何のために内部監査を置くのか」という目的と、そこから導かれる「独立性」「客観性」という二つの原則です。これらは体制の形を決める前提条件であり、ここを外すと、どんなに人を配置しても機能しない内部監査になってしまいます。

内部監査の役割と「3つのディフェンスライン」

企業のリスク管理を整理する考え方として、「3つのディフェンスライン（3 lines model）」という枠組みが広く使われています。

• 第1のディフェンスライン：営業や製造など、業務を実行する現場部門。日々の業務の中でリスクを管理します。
• 第2のディフェンスライン：経理、法務、リスク管理、コンプライアンスなど、現場をサポート・牽制する管理部門。
• 第3のディフェンスライン：内部監査。第1・第2のディフェンスラインが適切に機能しているかを、独立した立場で検証します。

内部監査は、この第3のディフェンスラインに位置づけられます。つまり、現場や管理部門の「外」から、組織全体の統制やリスク管理が有効に働いているかをチェックする役割です。この立ち位置こそが内部監査の価値の源泉であり、体制設計の出発点になります。

独立性：監査対象から距離を置く

独立性とは、内部監査が監査の対象から組織的に切り離されている状態を指します。たとえば経理部門の中に内部監査担当を置き、その担当者が経理の業務も兼ねていると、自分の仕事を自分で監査することになり、有効な牽制になりません。

独立性を確保するためによく採られるのが、内部監査部門を経営トップ（社長）の直轄とし、さらに監査の結果を取締役会や監査役（監査等委員会・監査委員会）にも報告できる経路を持たせる設計です。これにより、業務執行ラインからの圧力を受けにくくし、必要があれば経営陣に対しても物申せる位置づけを確保します。

客観性：事実に基づき、偏りなく評価する

客観性とは、監査人が個人的な利害や先入観に左右されず、事実と証拠に基づいて判断する姿勢を指します。客観性を損なう典型例が、自分が過去に構築・運用してきた業務を監査するケースです。「自己監査」と呼ばれ、どうしても評価が甘くなりがちです。

この独立性・客観性という観点は、後述する「内製・コソース・アウトソース」の選択にも直接かかわってきます。社内人材だけで体制を組む場合、組織が小さいほど「監査する人」と「される人」が近くなり、独立性・客観性を保ちにくくなる——この構造的なジレンマが、外部活用を検討する一つの理由になるのです。

なお、内部監査と混同されやすいものに、会計監査人（監査法人）による会計監査や、監査役による業務監査があります。これらは目的も根拠も異なります。内部監査と内部統制報告制度（J-SOX）の関係については「内部監査とJ-SOX（内部統制報告制度）の関係｜役割分担と連携のポイント」で整理しています。

内製・コソース・アウトソースの3つの選択肢と特徴

内部監査をどう運営するかには、大きく3つの選択肢があります。すべてを社内で完結させる「内製（インソース）」、社内と外部専門家が分担する「コソース」、外部に委託する「アウトソース」です。それぞれの特徴を見ていきましょう。

内製（インソース）：すべてを社内で行う

内製は、内部監査の計画立案から実査、報告、フォローアップまでを自社の社員（内部監査担当者・内部監査室）で行う形態です。

メリット

• 自社の業務・業界・組織風土に精通した人材が監査するため、現場の実態に踏み込んだ指摘ができる。
• 監査で得た知見やノウハウが社内に蓄積される。
• 日常的な部門とのコミュニケーションを通じて、リスクの兆候を早期に察知しやすい。

デメリット・留意点

• 内部監査の専門知識（リスクアプローチ、監査技法、各種規制対応など）を持つ人材の確保・育成に時間とコストがかかる。
• 少人数だと監査範囲が偏り、専門領域（IT、海外拠点、特殊な業法など）をカバーしきれない。
• 前述の独立性・客観性を、社内だけで担保する設計上の工夫が必要になる。

コソース：社内と外部が分担する

コソース（co-sourcing）は、社内の内部監査担当者を中心に置きながら、専門性の高い領域や人手が足りない部分を外部の専門家が補う形態です。「協働」「共同実施」と表現されることもあります。

たとえば、年間計画の策定や全体の運営は社内が担い、ITシステムの監査や複雑な会計領域の検証、海外子会社の往査などを外部専門家が支援する、といった分担が典型的です。

メリット

• 社内にノウハウを蓄積しながら、不足する専門性・リソースを機動的に補える。
• 内製とアウトソースの中間に位置し、コストと品質のバランスを取りやすい。
• 外部の知見を取り込みながら、徐々に内製化へ移行する「移行期の体制」としても機能する。

デメリット・留意点

• 社内と外部の役割分担を明確にしないと、責任の所在が曖昧になる。
• 外部に依存しすぎると、ノウハウが社内に残りにくくなる。

アウトソース：外部に委託する

アウトソース（outsourcing）は、内部監査の実務の大部分を外部の専門会社に委託する形態です。社内には窓口となる担当者（または兼務者）を置き、計画の承認や報告の受領、外部との調整を担います。

メリット

• 専門人材を社内で抱える必要がなく、立ち上げが速い。
• 外部の客観的な視点が入りやすく、独立性・客観性を確保しやすい。
• 監査の品質を一定水準で維持しやすい。

デメリット・留意点

• 委託範囲によっては、社内にノウハウが蓄積されにくい。
• 自社の業務理解を外部に伝える初期の負荷がかかる。
• 完全な丸投げではなく、内部監査の最終的な責任は会社（経営陣）にある点を理解しておく必要がある。

3形態の比較

アウトソース・コソースの活用メリットや、どこまでを外部に任せるかという依頼範囲の考え方については「内部監査のアウトソース・コソースとは｜活用メリットと依頼範囲の考え方」でより詳しく解説しています。

自社の状況別・体制の選び方（人材／規模／上場ステージ）

3つの選択肢のどれが適しているかは、自社の状況によって変わります。ここでは「人材」「規模」「上場ステージ」という3つの軸から、選び方の考え方を整理します。

人材の軸：内部監査の経験者が社内にいるか

最も大きな分かれ目は、内部監査の実務経験者が社内にいるかどうかです。

• 経験者がいない／確保が難しい：いきなり内製を目指すと、計画の立て方も監査技法も手探りになり、形だけの内部監査に陥りがちです。立ち上げ期はアウトソースやコソースで外部の知見を借り、進め方を学びながら段階的に内製化する道筋が現実的です。
• 経験者が1〜2名いる：コア人材を中心に、専門領域（IT監査など）や繁忙期の人手を外部で補うコソースが適しています。
• 複数名のチームが組める：内製を基本に、特定の高度領域だけスポットで外部活用する形が選べます。

規模の軸：従業員数・拠点数・事業の複雑さ

組織の規模や複雑さも判断材料です。

• 拠点が国内中心で事業がシンプルな場合は、少人数の内製やコソースでも十分カバーできることがあります。
• 海外拠点がある、M&Aで急拡大している、規制の厳しい業種である、といった場合は、監査すべき範囲が広く専門的になり、内製だけでは手が回りにくくなります。コソース・アウトソースで専門性とリソースを補う必要性が高まります。

なお、規模が小さいほど「監査する人」と「される人」の距離が近くなり、独立性・客観性を社内だけで保ちにくくなる点は、前述のとおりです。小規模組織ほど、外部の目を入れる意義が相対的に大きくなります。

上場ステージの軸：未上場／IPO準備／上場後

会社の上場に向けたステージによっても、求められる体制の水準が変わります。

• 未上場・成長段階：まずはリスクの高い領域から内部監査を始め、運用実績を積むことが重要です。体制は小さくても、PDCAを回す仕組みを作ることが先決です。
• IPO準備段階：主幹事証券・監査法人の審査に耐える体制が求められます。「内部監査が機能している実績（複数期にわたる運用）」が問われるため、準備は早めの着手が鍵になります。経験者の採用が間に合わない場合、コソース・アウトソースで体制を立ち上げつつ運用実績を作る選択が有効です。
• 上場後：継続的な運用と高度化が求められます。データを活用したモニタリングなど、効率と網羅性を両立する仕組みづくりが課題になります。

IPO審査で問われる内部監査体制の水準

IPO（新規上場）を目指す企業にとって、内部監査体制の整備は避けて通れないテーマです。上場準備の過程で、主幹事証券会社の引受審査や証券取引所の審査において、内部管理体制の一部として内部監査の機能が確認されます。ここでは、審査で重視される観点を整理します。

「体制があること」ではなく「機能していること」

審査で問われるのは、内部監査部門という箱が存在することではなく、内部監査が実際に機能しているかどうかです。具体的には、次のような点が確認されます。

• 内部監査の独立性が確保されているか（経営トップ直轄など、適切な位置づけになっているか）。
• リスクに基づいた年間監査計画が立てられ、計画どおりに監査が実施されているか。
• 指摘事項に対する改善（是正措置）が行われ、その後のフォローアップまで完結しているか。
• 監査結果が経営陣や取締役会・監査役等に適切に報告されているか。

つまり、計画→実施→報告→フォローアップという一連のサイクル（PDCA）が回っている「実績」が重視されます。内部監査の進め方の全体像については「内部監査の進め方｜年間計画から報告・フォローアップまでの手順を解説」で手順を解説しています。

運用実績には「時間」が必要

体制を整えてからすぐに上場できるわけではありません。内部監査が「機能している」と評価されるには、一定期間にわたって監査を実施し、改善まで回した実績の積み重ねが求められます。ここに、IPO準備で内部監査の着手が遅れると致命的になる理由があります。

「上場を意識し始めてから内部監査の必要性に気づき、人材を探したが見つからない」という状況は珍しくありません。経験者の採用には時間がかかるため、立ち上げ局面でコソース・アウトソースを活用し、まず運用実績を作りながら並行して社内人材を育てる、という進め方が現実的な選択肢になります。

J-SOX（内部統制報告制度）との関係

上場会社（およびその準備企業）には、財務報告に係る内部統制の評価・報告を求める制度として、内部統制報告制度（いわゆるJ-SOX、金融商品取引法に基づく仕組み）への対応が関わってきます。内部監査と内部統制評価（J-SOX対応）は、目的も範囲も異なりますが、実務上は連携や役割分担が論点になります。

なお、内部統制報告制度の具体的な評価範囲や手続の要件は改訂が行われることがあり、適用される最新の要件は公式情報や監査法人への確認が必要です。本記事では制度の細かな数値基準の断定は避けています。内部監査とJ-SOXの役割分担については「内部監査とJ-SOX（内部統制報告制度）の関係｜役割分担と連携のポイント」をご覧ください。

体制構築の進め方とよくある落とし穴

ここからは、実際に内部監査の体制を構築していく際の進め方と、つまずきやすいポイントを解説します。形だけの内部監査にしないために、押さえておきたい勘所です。

体制構築の基本ステップ

内部監査体制の構築は、おおむね次のステップで進みます。

1. 目的・位置づけの明確化：自社にとって内部監査で何を達成したいのか（IPO対応、不正防止、業務改善など）を定め、組織上の位置づけ（独立性の確保）を決めます。
2. 規程・体制の整備：内部監査規程を整え、権限・責任、報告経路、対象範囲を文書化します。
3. リスク評価と監査計画の策定：会社全体のリスクを洗い出し、リスクの高い領域を優先する「リスクアプローチ」で年間・中期の監査計画を立てます。
4. 監査の実施：計画に基づき、往査・ヒアリング・証憑確認などを行い、事実を収集・評価します。
5. 報告と改善（フォローアップ）：監査結果を経営陣・取締役会等に報告し、指摘事項の是正状況を追跡します。
6. 見直しと高度化：運用しながら計画や手法を見直し、効率化・高度化を図ります。

よくある落とし穴

体制構築でつまずきやすいポイントを挙げます。

落とし穴1：独立性の不足

人手が足りないからと、経理担当者に内部監査を兼務させたり、被監査部門の出身者がそのまま自部門を監査したりするケースです。独立性・客観性が損なわれ、審査でも問題視されます。組織図上の位置づけと、誰が何を監査するかの設計を最初に固めることが重要です。

落とし穴2：「指摘して終わり」のフォローアップ欠如

監査で問題点を指摘しても、改善されたかを追跡しないと、内部監査が機能しているとは評価されません。報告だけでなく、是正措置の実施と確認までを一連のサイクルとして回す設計が必要です。

落とし穴3：チェックリストの形骸化

網羅性を意識するあまり大量のチェック項目を作り、形式的に「○」を付けるだけの監査になってしまうケースです。リスクの高い領域に重点を置き、本質的な検証に時間を使う姿勢が求められます。

落とし穴4：着手の遅れ

特にIPO準備企業で多いのが、運用実績に時間がかかることを見落とし、着手が遅れるケースです。前述のとおり、内部監査は「箱を作ればすぐ機能する」ものではありません。

落とし穴5：属人化と非効率

監査担当者の経験と勘に依存し、手作業のExcel集計に多くの工数を取られ、本来注力すべき分析や指摘がおろそかになるケースです。近年は、データを活用して網羅的・効率的にモニタリングする「データドリブン監査」への関心が高まっています。たとえばPower BIなどのツールで全件データを可視化し、異常値を抽出する手法は、サンプリングに頼っていた従来監査の限界を補い、工数削減とモニタリングの高度化を両立しうる選択肢です。内部監査DXの考え方については、「内部監査DXとは｜Power BIを活用したデータドリブン監査の始め方」で解説しています。

費用の考え方

体制構築や外部活用を検討する際、費用は重要な判断材料です。ただし、内部監査の費用は、監査の対象範囲、拠点数、必要な専門性、支援の深さ（フルアウトソースか部分的なコソースか）、訪問の頻度など、複数の要因によって変わります。一律の金額で語れるものではなく、「料金を構成する項目」と「変動要因」を理解したうえで、自社の必要範囲に合わせて見積もることが大切です。費用の考え方は「内部監査の費用の考え方｜料金を構成する項目と変動要因を解説」で整理しています。

外部パートナーと作る内部監査体制（RSMの構築支援）

ここまで見てきたとおり、内部監査の体制構築には、独立性・客観性の確保、自社の状況に応じた形態の選択、IPO審査水準への対応、運用実績づくりといった、いくつもの論点があります。社内に経験者がいない、あるいは立ち上げを急ぐ状況では、外部の専門家と組むことが現実的かつ有効な選択肢になります。

RSM汐留パートナーズの内部監査支援

RSM汐留パートナーズでは、内部監査の体制構築から運用までを、企業の状況に合わせて支援しています。

• 構築支援：内部監査規程の整備、組織上の位置づけ（独立性確保）の設計、リスク評価に基づく監査計画の策定など、ゼロからの立ち上げを伴走します。
• コソース：社内の内部監査担当者と分担し、不足する専門性・リソースを補います。社内へのノウハウ移転を意識した支援で、将来の内製化も見据えられます。
• アウトソース：内部監査の実務を委託いただき、客観的な立場から監査を実施します。

私たちの特徴は、IPO審査で問われる水準を踏まえた体制づくりに対応できる点です。上場準備の現場で求められる「機能している内部監査」の要件を理解したうえで、計画から報告・フォローアップまでの実効性ある仕組みを設計します。

データドリブン監査（内部監査DX）への対応

さらに、Power BIをはじめとするBIツールと監査の知見を組み合わせた、データドリブン監査の導入も支援しています。全件データの可視化や異常値の抽出により、従来のサンプリング中心の監査を補完し、監査工数の削減と継続的モニタリングの高度化を目指せます。属人化したExcel作業から脱却し、より本質的な分析・指摘に時間を使える体制づくりをサポートします。

公認会計士・税理士をはじめとする専門家が在籍し、大手監査法人対応の実務知見を有するRSM汐留パートナーズは、グローバルネットワークであるRSM Internationalの一員として、幅広い業種・規模のガバナンス課題に対応しています。

まとめ

内部監査の体制構築では、まず「独立性」と「客観性」という前提を押さえたうえで、内製・コソース・アウトソースという3つの選択肢を、自社の人材・規模・上場ステージに照らして選ぶことが重要です。

• 内部監査は第3のディフェンスラインとして、独立した立場から組織の統制を検証する役割を担う。
• 体制の形は「内製・コソース・アウトソース」の3択。それぞれにメリット・デメリットがあり、自社の状況で最適解は変わる。
• 経験者の有無、組織の規模・複雑さ、上場ステージが選択の主な軸になる。
• IPO審査では「体制があること」ではなく「機能している実績」が問われ、運用には時間がかかる。早めの着手が鍵。
• 体制構築では、独立性の不足、フォローアップの欠如、形骸化、着手の遅れ、属人化・非効率といった落とし穴に注意する。

「自社にどの形態が合うのか分からない」「IPOに向けて内部監査を立ち上げたいが、何から手をつければよいか相談したい」という場合は、ぜひ一度ご相談ください。RSM汐留パートナーズが、貴社の状況に合わせた内部監査体制の構築・運用をご支援します。

▶内部監査の構築支援・コソース・アウトソースについて：内部監査コンサルティングへ
▶Power BIを活用したデータドリブン監査（内部監査DX）について：内部監査DX支援へ
▶IPO準備・上場に向けた内部管理体制づくりについて：IPO（株式上場）コンサルティングへ