4月1日付の辞令は、A4 1 枚に「内部監査室長を命ずる」とだけ書かれていました。部下は兼務の 1 人。前任者はおらず、引き継ぐべき調書もありません。社長からは「上場準備で必要らしいので、まずは形を作ってほしい」と言われ、監査等委員会の委員長からは「半年後には何か報告を聞かせてほしい」と声をかけられました。机の上にあるのは、ノートパソコンと、どこかの研修でもらった基準の冊子だけです。
これは、成長企業や上場準備企業、あるいは不祥事をきっかけに体制を強化する企業で、よく見られる状況です（本記事の事例はすべて架空のモデルケースです）。立ち上げ担当者が最初に悩むのは「何から手をつけるか」です。いきなり監査に出るべきか、規程を作るべきか、それとも研修を受けるべきか。順番を誤ると、1 年たっても「監査をしたが誰も読まない報告書」だけが残ることになります。
本記事では、1〜3 人の少人数部門を前提に、立ち上げで決めるべきことを「なぜその順番なのか」とあわせて整理します。最後に、初年度 12 か月のスケジュール表と立ち上げチェックリストを用意しました。
この記事の要点
- 日本の会社法は一般の株式会社に内部監査部門の設置を義務づけていませんが、内部統制システムの整備、J-SOX、上場審査、コーポレートガバナンス・コードの要請から、実質的に不可欠な機能になっています
- 最初に決めるのは「負託事項（何を任されるか）」「組織上の位置付け」「報告経路」の 3 点で、これを内部監査規程に書き、取締役会等の承認を得ます
- 少人数部門は「人日」で考えます。年間に使える人日を先に計算し、監査件数はそこから逆算します
- 初年度は、規程・計画づくり（1〜3 か月目）、リスク評価と試行監査（4〜6 か月目）、本格監査（7〜10 か月目）、年次報告と翌年計画（11〜12 か月目）の 4 段階で進めると無理がありません
内部監査部門はなぜ必要か：法令上の位置づけと「期待」の正体
法律が直接求めているわけではない
意外に思われるかもしれませんが、会社法には「内部監査部門を置かなければならない」という条文はありません。会社法が求めているのは、取締役会が「業務の適正を確保するための体制」、いわゆる内部統制システムの整備について決定することです（会社法第 362 条第 4 項第 6 号。大会社である取締役会設置会社では決定が義務。同条第 5 項）。その具体的な項目は会社法施行規則第 100 条に列挙されており、法令等遵守体制や損失の危険の管理に関する体制などが含まれます。
では、なぜ多くの会社が内部監査部門を置くのでしょうか。理由は、決定した体制が「実際に機能しているか」を誰かが継続的に確かめなければならないからです。体制を決議するだけでは、それが現場で守られているかは分かりません。内部監査は、この検証の担い手として位置づけられてきました。
部門の設置を後押しする 4 つの要請
内部監査部門の設置を実質的に求める要請は、主に次の 4 つです。
| 要請 | 根拠 | 内部監査に期待されること |
|---|---|---|
| 内部統制システム | 会社法第 362 条、会社法施行規則第 100 条 | 決議した体制の運用状況の検証 |
| 財務報告に係る内部統制（J-SOX） | 金融商品取引法、金融庁「内部統制基準・実施基準」 | 経営者評価の実施、独立的モニタリング |
| 上場審査 | 東京証券取引所の上場審査・新規上場申請の各種資料 | 内部監査体制の整備と運用実績 |
| コーポレートガバナンス・コード | 東京証券取引所 | 取締役会・監査役会等との連携、直接報告の仕組み |
コーポレートガバナンス・コードは 2021 年の改訂で、内部監査部門が取締役会や監査役会に直接報告する仕組みの構築などにより、内部監査部門と取締役・監査役の連携を確保すべきとする趣旨を盛り込みました（旧補充原則 4-13③）。なお、コードは 2026 年 7 月に再び改訂されて補充原則が廃止され、この記載は原則 4-14（取締役会における審議の活性化等）の解釈指針に移っています。
基準は「独立した位置付け」を求める
内部監査の専門職基準も、部門の置き方に具体的な要求をしています。日本内部監査協会の「内部監査基準」（2014 年改訂）は、内部監査部門は組織上、最高経営者に直属し、職務上取締役会から指示を受け、同時に取締役会および監査役（会）または監査委員会への報告経路を確保しなければならないとしています（2.2.1）。
内部監査人協会（IIA）の「グローバル内部監査基準」（2025 年 1 月 9 日発効）も、原則 6「取締役会による承認」、原則 7「独立した位置付け」、原則 8「取締役会による監督」で、部門のガバナンスを詳しく定めています。立ち上げとは、監査を始めることではなく、まずこの「位置付け」を組織に認めてもらうことだと言えます。内部監査そのものの定義は内部監査とは？目的・流れ・外部監査との違いで詳しく扱っています。
最初に決める 3 つのこと：負託事項・位置付け・報告経路
負託事項：何を任されるのか
グローバル内部監査基準の日本語版では、内部監査部門に与えられる権限・役割・責任を「内部監査への負託事項」（マンデート）と呼びます（基準 6.1）。立ち上げで最初にやるべきことは、この範囲を経営者と取締役会にはっきり言葉にしてもらうことです。
具体的には「業務監査だけか、J-SOX の独立的評価も担うのか」「子会社は対象か」「アドバイザリー業務（助言）を行うか」「不正調査を担うのか」を決めます。ここが曖昧なまま始めると、依頼が来るたびに引き受けるかどうかで揉め、少人数部門はすぐに手一杯になります。
位置付けと報告経路：誰に報告するのか
次に、組織図上の位置と、報告の流れを決めます。多くの日本企業では、内部監査部門を社長直轄とし、あわせて取締役会や監査役会・監査等委員会にも報告する「デュアルレポーティング」の形をとります。形態ごとの特徴は次のとおりです。
| 形態 | メリット | 注意点 |
|---|---|---|
| 社長直轄のみ | 指摘への対応が速い。経営の関心と合わせやすい | 経営者自身に関わる事項を扱いにくい。独立性の説明が弱い |
| 社長直轄＋取締役会・監査（等）委員会への直接報告 | 独立性と実効性のバランスがよい。多くの上場企業で採用 | 報告の頻度・様式・議題を事前に決めておく必要がある |
| 監査（等）委員会直轄 | 経営からの独立性が高い | 執行側の協力を得る仕組み（予算・人事の手続）が別途必要 |
| 管理担当役員の配下 | 小規模企業で導入しやすい | 管理部門自体を監査しにくい。基準 2.2.2 の趣旨に沿った手当てが必要 |
兼務は「防御措置」とセットで
少人数部門では、室長が経理や法務を兼務していることも珍しくありません。グローバル内部監査基準の基準 7.1 は、内部監査部門長が内部監査以外の役割を担う場合、その責任や防御措置を内部監査基本規程に文書化すること、その領域を監査対象とするときは独立した外部の提供者に委ねるなどの代替手段を設けることを求めています。
兼務を一切なくすことが理想ですが、現実的には「兼務している領域は自分で監査しない」「その領域の監査は外部に委託するか、他の監査人が担当する」「兼務を解消する時期を決める」という 3 点を書面にしておくことが第一歩になります。独立性と客観性の考え方は3 ラインモデルとはでも整理しています。
少人数部門の体制設計：人日で考える
年間に使える人日を先に計算する
1〜3 人の部門で最もよくある失敗は、やりたい監査を並べてから人が足りないことに気づくことです。順番を逆にし、先に「使える人日」を計算します。1 人日は 1 人が 1 日働く量です。
| 項目 | 専任 1 名 | 兼務 1 名（監査 50%） | 合計 |
|---|---|---|---|
| 年間所定労働日 | 240 日 | 240 日 | — |
| 内部監査に充てる割合 | 100% | 50% | — |
| 監査に充てられる日数 | 240 日 | 120 日 | 360 日 |
| 研修・品質評価・部門運営 | ▲30 日 | ▲10 日 | ▲40 日 |
| 臨時対応の予備（約 15%） | ▲30 日 | ▲20 日 | ▲50 日 |
| 個別監査に使える人日 | 180 日 | 90 日 | 270 人日 |
※数値は計算方法を示すための一例です。自社の勤務日数・兼務割合で置き換えてください。
1 件の業務監査に準備・往査・報告まで 30〜40 人日かかるとすれば、初年度に実施できるのは 6〜8 件程度です。ここから「全部門を毎年回る」計画が現実的でないことが分かります。この計算を経営者に見せることが、後述するリスクベースの計画を受け入れてもらう下地になります。
足りない専門性は外部と組み合わせる
少人数部門がすべての領域の専門性を持つことはできません。IT、税務、海外拠点、不正調査などは、外部の専門家と共同で実施する「コソーシング」や、特定のテーマだけを委託する方法が現実的です。グローバル内部監査基準の基準 10.2 も、内部監査部門長に人的資源の適切性と十分性を確保し、足りない場合は取締役会と最高経営者に影響を伝えることを求めています。
外部を使う場合でも、監査の計画・結論・報告の責任は内部監査部門に残ります。委託先の作業を自部門の調書としてレビューできる体制を整えておくことが前提です。
最初に揃えたいスキル
初期メンバーに求めたいのは、監査の経験そのものよりも「会社の業務を横断的に知っていること」と「文書で説明できること」です。業務プロセスの理解、会計の基礎、IT の基礎、インタビューと文書化の技術があれば、監査手法は研修や基準で補えます。資格取得を含む育成の道筋は内部監査人のキャリアと資格を参考にしてください。
内部監査規程（内部監査基本規程）に書くこと
規程が「部門の憲法」になる理由
内部監査規程は、部門の存在根拠と権限を定める文書です。監査先から「なぜその資料を見せなければならないのか」と問われたとき、答えの根拠になるのがこの規程です。日本内部監査協会の内部監査基準は、内部監査人の責任および権限を組織体の基本規程として明記し、部門長が適時に見直して最高経営者および取締役会の承認を得ることを求めています（2.3.1、2.3.2）。
グローバル内部監査基準の基準 6.2 は、内部監査基本規程に最低限、内部監査の目的、基準への準拠の表明、負託事項（範囲やサービスの種類など）、組織上の位置付けと指示・報告関係を含めることを求めています。そして、取締役会がこれを承認することを「必須条件」として挙げています。
条項構成の例
少人数部門でも使える、内部監査規程の条項構成の一例です。
| 章・条 | 内容 | 立ち上げ時のポイント |
|---|---|---|
| 総則（目的・定義） | 規程の目的、内部監査の定義 | 基準への準拠を明記する |
| 組織と位置付け | 所属、部門長の任免手続 | 任免に取締役会等が関与する旨を書く |
| 報告経路 | 社長・取締役会・監査（等）委員会への報告 | 報告の頻度（例：四半期ごと）を書く |
| 権限 | 資料閲覧、立入り、質問、協力義務 | 「全ての記録・資産・人員へのアクセス」を明記 |
| 対象範囲 | 本社、子会社、委託先の扱い | 子会社は子会社側の規程との関係も整理する |
| 独立性・客観性 | 兼務の扱い、利益相反の申告 | 兼務領域は自ら監査しない旨を書く |
| 監査の種類 | 定期監査、臨時監査、アドバイザリー | 引き受けの判断基準を書く |
| 計画と報告 | 年度計画の承認、監査報告、フォローアップ | 計画は取締役会等の承認を得る旨を書く |
| 品質の管理 | 内部評価、外部評価 | 外部評価の頻度（少なくとも 5 年に 1 回）を書く |
| 改廃 | 改廃の手続 | 取締役会決議事項とする |
条文の具体例は【テンプレート】内部監査規程で紹介しています。規程とあわせて、手順を定めた内部監査マニュアル（監査の進め方、調書の様式、報告書の様式）を最低限そろえます。グローバル内部監査基準はこれを「手法」と呼び、部門長が整備し、内部監査人に研修することを求めています（基準 9.3）。最初は 10 ページ程度の簡易版で十分です。
初年度 12 か月のスケジュール
4 段階で進める理由
初年度を「計画→試行→本格→振り返り」の 4 段階に分けるのは、少人数部門には試行錯誤の余地が必要だからです。最初の監査で様式や手順の不備が必ず見つかります。それを直してから本格監査に入れば、後半の品質が安定します。
| 月 | 段階 | 主な作業 | 成果物 | 承認・報告先 |
|---|---|---|---|---|
| 1 | 基盤づくり | 経営者・監査（等）委員会へのヒアリング、負託事項の確認 | ヒアリングメモ | — |
| 2 | 基盤づくり | 内部監査規程・マニュアル案の作成 | 規程案、マニュアル案 | 社長 |
| 3 | 基盤づくり | 規程の承認、社内への周知 | 承認済み規程、周知文 | 取締役会 |
| 4 | リスク評価 | 監査対象の洗い出し、リスク評価 | 監査ユニバース、リスク評価表 | — |
| 5 | リスク評価 | 年度監査計画の策定 | 年度監査計画書 | 社長・取締役会 |
| 6 | 試行監査 | 小規模テーマで 1 件目を実施 | 監査報告書 1 件 | 社長 |
| 7〜8 | 本格監査 | 優先度の高い領域の監査 2〜3 件 | 監査報告書 | 社長・委員会 |
| 9〜10 | 本格監査 | 監査 2〜3 件、指摘のフォローアップ開始 | 監査報告書、改善状況一覧 | 社長・委員会 |
| 11 | 振り返り | 品質の自己評価、手順の改善 | 自己評価結果 | — |
| 12 | 振り返り | 年次報告、翌年度計画 | 年次報告書、次年度計画案 | 取締役会 |
最初の監査テーマは「小さく、見える」ものを選ぶ
試行監査のテーマは、リスクの大きさよりも「短期間で終わる」「結果が経営者に分かりやすい」ことを優先します。例えば、経費精算、購買の承認手続、アカウント管理などは、範囲を絞りやすく、改善の効果も見えやすい領域です。
逆に、全社的なガバナンスや海外子会社の監査を 1 件目に選ぶと、準備と調整に時間がかかり、部門の実績が見えないまま半年が過ぎてしまいます。1 件目で「監査を受けると業務が良くなる」という経験を監査先に持ってもらえれば、2 件目以降の協力が得やすくなります。
年度計画の書き方は年間内部監査計画書の書き方、リスク評価の手順はリスクベース内部監査の始め方、監査対象の洗い出しは監査ユニバースの作り方で詳しく扱っています。
立ち上げチェックリスト
初年度の終わりに、次の項目がそろっているかを確認します。
| # | 確認項目 | 確認欄 |
|---|---|---|
| 1 | 内部監査の負託事項（範囲・サービスの種類）が文書化されている | □ |
| 2 | 内部監査規程が取締役会等で承認されている | □ |
| 3 | 取締役会・監査（等）委員会への報告経路と頻度が決まっている | □ |
| 4 | 兼務がある場合、その内容と防御措置が規程に書かれている | □ |
| 5 | 内部監査マニュアル（手順・調書・報告書の様式）がある | □ |
| 6 | 監査対象の一覧（監査ユニバース）とリスク評価の記録がある | □ |
| 7 | 年度監査計画が承認されている | □ |
| 8 | 監査調書がレビューの記録とともに保管されている | □ |
| 9 | 指摘事項の改善状況を追跡する一覧がある | □ |
| 10 | 年次報告を取締役会等に行った | □ |
| 11 | 品質の自己評価を行い、改善点を翌年計画に反映した | □ |
| 12 | 外部の品質評価の実施時期の見通しを立てた | □ |
よくある失敗と対策
規程を作らずに監査を始めてしまう
「まず実績を」と規程の前に監査を始めると、監査先から資料提出を断られたときに根拠を示せません。対策は、最初の 3 か月を規程と合意形成に充てることを経営者に説明し、了承を得ておくことです。規程は完璧でなくてよく、翌年に改定する前提で承認を得ます。
依頼をすべて引き受けてしまう
立ち上げ期は「内部監査室が手伝ってくれるなら」と、調査や業務改善の依頼が集まりがちです。すべて引き受けると、計画した監査が進まず、独立性にも疑問が生じます。規程に引き受けの判断基準を書き、計画外の依頼は予備の人日の範囲で、部門長の判断で受ける形にします。
報告が社長止まりになる
社長への報告だけで年度が終わると、取締役会や監査（等）委員会から見た内部監査の存在感が薄くなります。四半期に一度でよいので、委員会に活動状況を報告する枠をあらかじめ議題に組み込んでもらいます。監査役等との連携の考え方は三様監査とはを参照してください。
兼務者が自分の業務を監査する
少人数部門で起きやすい問題です。兼務者の担当業務を監査対象から外すか、別の監査人・外部専門家が担当する体制を計画段階で組み込みます。
よくある質問
専任者がいなくても内部監査部門と言えますか？
形式上の要件はありませんが、兼務者だけで構成する場合は独立性の説明が難しくなります。兼務の内容と防御措置を規程に明記し、取締役会等が承認していることが最低限の条件と考えられます。上場準備企業の場合は、審査の観点も含めて主幹事証券会社や監査法人と早めに相談してください。
最初から外部の品質評価を受けるべきですか？
グローバル内部監査基準の基準 8.4 は、外部評価を少なくとも 5 年に 1 回実施することを求めています。立ち上げ直後は評価の対象となる実績がないため、初年度は自己評価を行い、2〜3 年目以降に外部評価の時期を計画するのが現実的です。進め方は内部監査の品質評価（QAR）とはで解説しています。
上場準備企業ですが、どの時期から部門が必要ですか？
上場審査では内部監査の運用実績が確認されるため、申請の直前期より前から運用を始めておくことが一般的です。具体的な逆算の方法は上場準備（IPO）企業の内部監査体制構築ロードマップを参照してください。個別の要件は証券取引所の最新資料で確認が必要です。
グローバル内部監査基準にすべて適合してから始めるべきですか？
いきなり全項目に適合するのは現実的ではありません。まず規程、報告経路、計画、調書、品質の自己評価といった骨格を整え、適合していない項目を把握して年次で改善していく進め方が現実的です。基準の全体像はグローバル内部監査基準の改訂ポイントにまとめています。
まとめ
内部監査部門の立ち上げは、監査に出る前の「位置付けづくり」で成否がほぼ決まります。負託事項、組織上の位置付け、報告経路の 3 点を決めて規程に書き、取締役会等の承認を得る。そのうえで、使える人日から逆算した現実的な計画を立て、小さな試行監査から始めるのが、少人数部門にとって最も確実な道筋です。
次の一歩として、本記事の人日計算表に自部門の数字を入れてみてください。そのうえで【テンプレート】内部監査規程と【テンプレート】内部監査マニュアルを使い、規程と手順の骨格を作ることをおすすめします。なお、体制や報告経路の最終的な設計は、自社の機関設計と取締役会の判断によります。
内部監査部門の立ち上げや体制設計についてのご相談は、お問い合わせからお寄せください。
参考資料
- The Institute of Internal Auditors「Global Internal Audit Standards」（2024 年 1 月 9 日公表、2025 年 1 月 9 日発効。基準 6.1、6.2、7.1、8.2、8.4、9.3、10.2） https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
- 一般社団法人日本内部監査協会「『グローバル内部監査基準™』（日本語版）公表のお知らせ」（2024 年 7 月 5 日） https://www.iiajapan.com/leg/iia/info/2024/20240705_global_ia_std.html
- 一般社団法人日本内部監査協会「内部監査基準」（2014 年改訂。2.2.1、2.2.2、2.3.1、2.3.2） https://www.iiajapan.com/leg/guide/
- 会社法 第 362 条、会社法施行規則 第 100 条（e-Gov 法令検索） https://laws.e-gov.go.jp/
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023 年 4 月 7 日） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 金融庁「コーポレートガバナンス・コード（2026 年改訂版）の確定について」（2026 年 7 月 21 日） https://www.fsa.go.jp/news/r7/singi/20260721.html
