レビュー会議の席で、主任が調書の 1 ページを指さしました。「この『経理部長に確認済み、問題なし』というのは、何を見て言っているのですか」。担当者は、部長が口頭で説明してくれたこと、関連するメールも見せてもらったことを説明します。しかし、そのメールは部長が転送してきたもので、元のデータは確認していませんでした。結論欄の「統制は有効」という一文は、急に頼りないものに見えてきます。
これは、内部監査の調書レビューでよく起きる場面を組み合わせた、架空のモデルケースです。内部監査の結論は、最終的にはすべて証拠の上に立っています。証拠が弱ければ、どれほど丁寧な報告書も、指摘を受けた部署や経営陣からの「本当にそうなのか」という問いに耐えられません。
では、「十分な証拠」「適切な証拠」とは何を指すのでしょうか。この記事では、監査の基準が示す証拠の性質を整理したうえで、証憑の種類ごとの信頼性の判断方法と、調書での記録の仕方を解説します。
この記事の要点
- 監査基準報告書 500 は、十分性を「量的尺度」、適切性を「質的尺度（適合性と証明力）」と定義しています。グローバル内部監査基準 14.1 は、情報に「関連性」「信頼性」「十分性」を求めています
- 証明力は、外部の独立した情報源、有効な内部統制の下で作成、監査人が直接入手、文書化、原本の場合に一般に強くなりますが、例外があります
- 必要な量はリスクが高いほど増え、質が高いほど少なくて済みますが、量で質の低さを補えないことがあります
- 企業が作成した一覧やレポートを使う場合は、その正確性と網羅性を確かめなければ、テスト結果全体が弱くなります
監査証拠とは：基準が求める 3 つの性質
外部監査の基準における定義
日本公認会計士協会の監査基準報告書 500「監査証拠」は、監査証拠を、監査人が意見表明の基礎となる個々の結論を導くために利用する情報と定義しています。そして、証拠の性質を 2 つの尺度で説明しています。
1 つ目の十分性は、監査証拠の量的尺度です。2 つ目の適切性は、監査証拠の質的尺度であり、意見表明の基礎となる証拠の適合性と証明力を指します。適合性は、手続の目的や検討中のアサーション（経営者が財務諸表で主張している実在性・網羅性・評価などの事項）との論理的な関連性のことで、証明力は、その情報がどれだけ信頼できるかのことです。
内部監査の基準における性質
内部監査の国際基準であるグローバル内部監査基準（GIAS）は、基準 14.1「分析及び評価のための情報収集」で、内部監査人が収集する情報に 3 つの性質を求めています。関連性のある（業務の目標に合致し、範囲内で、結果の作成に役立つ）、信頼できる（事実に基づき、最新である）、十分である（慎重で十分な情報を得た有能な者が監査プログラムを繰り返し、同じ結論に達することを可能にする）、の 3 つです。
2017 年版の国際フレームワークの基準 2310 では、情報に「十分で、信頼でき、関連し、有用」であることが求められていました。2024 年に公表され 2025 年 1 月 9 日から適用されたグローバル内部監査基準では、この 4 つが 3 つに整理された形です。
| 観点 | 監査基準報告書 500 | グローバル内部監査基準 14.1 | 実務での問い |
|---|---|---|---|
| 目的との関係 | 適合性 | 関連性のある | この証拠は、確かめたいことを本当に示しているか |
| 信頼できるか | 証明力 | 信頼できる | 誰が作り、どう入手し、改ざんの余地はないか |
| 量 | 十分性 | 十分である | 第三者が同じ手続を繰り返して同じ結論になるか |
両者の用語は異なりますが、指している中身はほぼ重なります。この記事では、「適合性（関連性）」「信頼性（証明力）」「十分性」の 3 つの観点で説明していきます。
十分性の定義が示す「再現可能性」
グローバル内部監査基準の十分性の定義は、実務的に重要な示唆を含んでいます。証拠が十分かどうかを、「別の有能な者が監査プログラムを繰り返したら、同じ結論に達するか」という基準で判断するのです。基準 14.6「個々の内部監査業務の文書化」も、同様の考え方で調書の作成を求めています。
これは、冒頭のモデルケースの問題を言い当てています。「部長に確認済み」という記録からは、他の監査人が同じ手続を繰り返すことができず、同じ結論に達するかどうかも分かりません。十分性とは単に件数の多さではなく、「結論を他人が検証できる状態」を指していると考えると、判断がしやすくなります。
適合性（関連性）：その証拠は「何を」証明しているのか
同じ証拠でも、目的によって価値が変わる
適合性は見落とされやすい観点です。監査基準報告書 500 は、買掛金を例に説明しています。買掛金の過大計上（実在性）を確かめるなら、帳簿に計上された買掛金を検討することが目的に適合します。しかし、過小計上（網羅性）を確かめるなら、帳簿に載っているものを見ても意味がなく、期末日後の支払や未払の請求書など、帳簿の外にある情報を検討する必要があります。
内部監査でも同じです。「購買の発注が承認されているか」を確かめるために、承認済みの発注書のファイルから抽出しても、承認されていない発注は最初からファイルに含まれていないかもしれません。システムの発注データ全体（承認の有無を問わない母集団）から抽出して初めて、目的に適合した証拠になります。
1 つの証拠は 1 つの問いにしか答えない
監査基準報告書 500 は、あるアサーションに適合する証拠が、他のアサーションには適合しないことがあるとも述べています。在庫の実査で現物があることを確かめても、それが自社の所有物か、帳簿価額が妥当かは分かりません。
内部監査の調書で起きがちなのは、1 つの手続で複数の結論を出してしまうことです。「承認印を確認した」という手続は、承認が行われた形跡を示しますが、承認者が内容を検討したこと、承認権限が適切であることまでは示しません。監査プログラムの段階で、手続ごとに「何を確かめるのか」を 1 行で書いておくと、適合性の不足に気づきやすくなります。
信頼性（証明力）：証憑の種類で強さが変わる
証明力の 5 つの一般則
監査基準報告書 500 は、証明力について一般化はできるが重要な例外があると断ったうえで、一般的な傾向を次のように示しています。
| # | 一般則 | 強い証拠の例 | 弱い証拠の例 |
|---|---|---|---|
| 1 | 企業から独立した情報源から入手した証拠は強い | 取引先からの残高確認の回答、銀行の残高証明 | 社内で作成した残高一覧 |
| 2 | 企業内部の証拠は、作成と管理に関する内部統制が有効なら強い | 権限管理されたシステムの承認ログ | 誰でも編集できる Excel の管理表 |
| 3 | 監査人が直接入手した証拠は、間接的・推論による証拠より強い | 監査人による観察・再実施 | 担当者への質問の回答 |
| 4 | 文書化された証拠は口頭の証拠より強い | 会議の議事録 | 会議後の口頭での説明 |
| 5 | 原本の証拠は、コピーや電子化した文書より強い | 原本の契約書 | 写しの PDF、FAX |
グローバル内部監査基準 14.1 も、情報の信頼性は、内部監査人が直接または独立した情報源から入手した場合、裏付けが取れている場合、有効なガバナンス・リスク管理・コントロールを持つシステムから収集された場合に強化されるとしています。表現は違いますが、考え方は共通しています。
一般則の例外に注意する
一般則はあくまで出発点です。監査基準報告書 500 は、企業の外部から得た情報であっても、情報源が十分な知識を持たない場合や、経営者の利用する専門家が客観性を欠いている場合には信頼できないことがあると述べています。取引先からの確認状の回答でも、その取引先が経営者と特別な関係にあれば、独立した情報源とは言えません。
逆に、原本以外の文書でも、その作成と管理に関する内部統制が有効であれば、信頼性は高まります。ペーパーレス化が進んだ現在、多くの証憑は最初から電子データとして存在し、「原本」という概念が当てはまらないこともあります。その場合は、データの作成・変更・保存に関するアクセス管理や変更管理などの IT 全般統制が、証拠の信頼性を支えることになります。
裏付けは複数の証拠の組み合わせで
監査基準報告書 500 は、複数の情報源から入手した証拠に矛盾がない場合、個々に検討した証拠よりも確かな心証が得られるとしています。グローバル内部監査基準 14.1 の考慮事項も、複数の情報源との比較による裏付けを信頼性を高める方法として挙げています。1 つの強い証拠を探すよりも、性質の違う証拠を組み合わせるほうが現実的で、説得力も増します。
証拠を得る 8 つの手続と使い分け
手続の種類と得られる証拠
監査基準報告書 500 は、証拠を入手する手続として、閲覧、実査、観察、確認、再計算、再実施、分析的手続、質問を挙げ、多くの場合これらを組み合わせて実施するとしています。
| 手続 | 内容 | 得られる証拠 | 限界 |
|---|---|---|---|
| 閲覧 | 記録や文書を確かめる | 承認や記録の存在 | 文書の信頼性はその作成過程に依存 |
| 実査 | 資産の現物を確かめる | 実在性 | 所有権や評価は示さない |
| 観察 | プロセスや手続の実施を見る | 実施の状況 | 観察時点に限られ、観察されていることの影響を受ける |
| 確認 | 第三者から直接回答を得る | 残高・取引条件の外部証拠 | 回答者の知識と独立性に依存 |
| 再計算 | 計算の正確性を自ら確かめる | 計算の正確性 | 元データの正しさは示さない |
| 再実施 | 統制手続を監査人が自ら実施する | 統制が機能するか | 対象件数に時間がかかる |
| 分析的手続 | データ間の関係から異常を見つける | 全体の合理性、異常の兆候 | 期待値の精度に依存 |
| 質問 | 関係者に情報を求める | 理解・説明・新たな情報 | 通常、単独では運用の有効性を示さない |
質問については、監査基準報告書 500 が、通常、質問のみでは内部統制の運用状況の有効性について十分な証拠を提供しないと明記しています。インタビューを証拠に変える方法は監査インタビューの技術で詳しく扱っています。
手続の組み合わせ方の例
内部統制の運用状況を評価する場合、金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」は、関連文書の閲覧、担当者への質問、業務の観察、内部統制の実施記録の検証などを組み合わせる形で評価の手続を説明しています。
たとえば「月次で売掛金の年齢表をレビューし、長期滞留債権について回収方針を決定している」という統制なら、担当者に手順を聞き（質問）、過去数か月分のレビュー記録と議事録を確かめ（閲覧）、年齢表の滞留区分が正しく計算されているかを確かめ（再計算）、長期滞留とされた債権の後日の回収状況を見る（閲覧・分析）、という組み合わせが考えられます。J-SOX の運用テストの具体的な手順は運用状況評価（運用テスト）の手順で解説しています。
十分性：どれだけ集めれば足りるのか
量はリスクと質で決まる
監査基準報告書 500 は、十分性と適切性は相互に関連するとし、必要な証拠の量は評価したリスクが高いほど多くなり、証拠の質が高いほど少なくて済むと説明しています。そのうえで、数多くの証拠を入手しても、質の低さを補完しないことがあると注意を促しています。
この最後の一文は、実務で見落とされやすい点です。コピーの伝票を 100 件見ても、その伝票がどのように作られたか分からなければ、1 件の原本を確かめた場合より結論が弱いことがあります。量を増やす前に、まず質を上げる手段がないかを検討するのが順序です。
全件か、抽出か
どれだけの件数を確かめるかは、全件（精査）か、抽出（試査）かの選択から始まります。監査基準報告書 500 は、対象項目の抽出方法として、精査、特定項目抽出による試査、監査サンプリングによる試査の 3 つを挙げています。グローバル内部監査基準 14.1 の考慮事項も、母集団を全量検証するか代表サンプルを検証するかを検討すべきとし、データ分析ソフトウェアを使うことで全量の検証が容易になると述べています。
データで全件を確かめられる属性（承認者が権限者か、承認日が支払日より前か）は全件で、目視が必要な属性（添付資料の内容が請求と一致するか）は抽出で、という組み合わせは実務でよく使われます。抽出件数の考え方は内部監査のサンプル数はなぜ 25 件なのかと内部監査サンプル数計算機を参考にしてください。
十分性の判断基準の記入例
| 観点 | 判断の問い | 記入例 |
|---|---|---|
| リスク | 対象のリスク評価は高・中・低のどれか | 高（前年に逸脱 2 件） |
| 手続の組み合わせ | 質問以外の手続を含んでいるか | 質問＋承認ログの全件分析＋25 件の証憑閲覧 |
| 件数の根拠 | 件数の決め方を説明できるか | 信頼度 90%・許容逸脱率 9%・予想逸脱 0 で 25 件、高リスクのため 40 件に増加 |
| 母集団 | 母集団は網羅的か | 会計システムの支払データ全件、総勘定元帳と件数・金額を照合済み |
| 再現可能性 | 他の監査人が同じ手続を繰り返せるか | 抽出条件・抽出方法・対象一覧を調書 C-3 に保存 |
企業が作成した情報（IPE）の検証
母集団が不完全なら、テスト全体が弱くなる
内部監査で使う情報の多くは、被監査部署や情報システム部門が作成した一覧、レポート、データ抽出の結果です。監査基準報告書 500 は、監査人が証明力の強い証拠を得るには、手続に使う企業作成の情報の正確性と網羅性が十分である必要があるとし、抽出元の母集団が網羅的でない場合にはテスト結果の証明力が弱くなると述べています。この種の情報は、実務では IPE（Information Produced by the Entity）と呼ばれることがあります。
たとえば、支払承認のテストで、経理部から受け取った「当期の支払一覧」から 25 件を抽出したとします。もしこの一覧から特定の取引先への支払が抜けていたら、どれだけ丁寧にテストしても、その取引先への支払については何も分かりません。抽出の前に、一覧の件数と合計金額を総勘定元帳などの別の情報源と照合しておくことが必要です。
IPE の確認方法
監査基準報告書 500 は、情報の正確性と網羅性の証拠は、その情報を使う手続と同時に得られることもあれば、情報の作成と管理に関する内部統制の運用評価によって得ることもあるとしています。実務では次のような方法を組み合わせます。
| 方法 | 内容 | 向いている場面 |
|---|---|---|
| 合計の照合 | 件数・金額を元帳や別システムと突き合わせる | 取引一覧、残高一覧 |
| 抽出条件の確認 | 抽出の条件・期間・実行画面を確かめる | システムからのデータ抽出 |
| 監査人自身による抽出 | 監査人が自らシステムから抽出する | 閲覧権限を持っている場合 |
| 双方向の突合 | 一覧から原票へ、原票から一覧へ両方向で確かめる | 手作業で作成された一覧 |
| 作成過程の統制の評価 | レポートのロジック変更やアクセスの管理を確かめる | 繰り返し使う定型レポート |
Excel などで加工された一覧は、数式の誤りや手作業の修正が入りやすいため、特に注意が必要です。スプレッドシートの統制はEUC（Excel 等）統制の評価で解説しています。
調書に証拠をどう残すか
証拠そのものより「証拠を評価した過程」を残す
調書には、入手した証拠の写しを綴じるだけでなく、その証拠をどう評価したかを書き残します。グローバル内部監査基準 14.1 の「適合していることの証拠の例」には、収集した情報の出所・収集日・関連する期間の説明と、情報が十分であるとどのように判断したかの説明を文書化したものが挙げられています。
証拠評価のチェックリスト
| # | 確認項目 | 確認 |
|---|---|---|
| 1 | 証拠が確かめたい事項（目的・アサーション）に対応している | □ |
| 2 | 証拠の出所（誰が作成し、誰から、いつ入手したか）を記録した | □ |
| 3 | 原本・写し・電子データの別を記録した | □ |
| 4 | 企業作成の一覧は、正確性と網羅性を確かめた | □ |
| 5 | 質問で得た情報は、他の手続で裏付けた | □ |
| 6 | 性質の異なる証拠を組み合わせ、矛盾がないことを確かめた | □ |
| 7 | 件数や範囲の決め方をリスクと関連づけて説明した | □ |
| 8 | 矛盾する証拠や入手できなかった証拠への対応を記録した | □ |
| 9 | 別の監査人が同じ手続を繰り返せる程度に手続を記載した | □ |
8 番の「入手できなかった証拠」は重要です。グローバル内部監査基準 14.1 は、関連性のある情報を入手できない場合に、そのことを発見事項として識別するかどうかを決定しなければならないとしています。証拠が得られなかったことは、それ自体が監査の結果の一部です。調書の全体構成は監査調書の書き方と保管ルールを参考にしてください。
よくある失敗と対策
失敗 1：「確認済み」だけを書く
冒頭のモデルケースのように、誰に何を確認したかが分からない記録は、証拠としての価値がほとんどありません。確認した資料名、日付、確認した属性を具体的に書きます。
失敗 2：質問の回答で結論を出す
担当者の説明だけで統制を有効と結論することは、基準の考え方から外れます。質問は、閲覧・再実施・データ分析などと必ず組み合わせます。
失敗 3：母集団の網羅性を確かめない
受け取った一覧をそのまま母集団として抽出すると、一覧の外にある取引を見逃します。抽出前に件数・金額を別の情報源と照合します。
失敗 4：量で質を補おうとする
写しの伝票を大量に見て安心してしまうのは典型的な失敗です。原本や外部証拠、システムログなど、質の高い証拠を得る手段を先に検討します。
失敗 5：矛盾する証拠を無視する
結論と合わない証拠が見つかったとき、それを調書から外してしまうと、結論の信頼性が損なわれます。監査基準報告書 500 も、証拠の矛盾や証明力への疑義がある場合の対応を求めています。矛盾を解消するための追加手続と、その結果を記録します。
よくある質問
内部監査でも外部監査と同じ水準の証拠が必要ですか？
内部監査は、財務諸表監査とは目的も基準も異なるため、同じ水準が一律に求められるわけではありません。ただし、グローバル内部監査基準は、関連性・信頼性・十分性を備えた情報に基づいて結論を出すことを要求しています。特に J-SOX の評価で監査人に作業を利用してもらう場合は、監査人の基準を意識した証拠の水準が必要になります。
メールやスクリーンショットは証拠になりますか？
証拠になり得ますが、証明力は作成と入手の状況に依存します。本人から転送されたメールより、システムから直接取得したログのほうが一般に強い証拠です。スクリーンショットは、取得日時・画面の条件・取得者を記録し、可能であれば監査人自身が取得します。
被監査部署から証拠の提出を拒まれたら？
まず、内部監査規程に定めた情報へのアクセス権限を示して協力を求めます。それでも得られない場合は、内部監査部門長に報告し、代替手続で補えるかを検討します。入手できなかった事実は調書に記録し、発見事項とするかどうかを判断します。
証拠の保存期間はどう決めればよいですか？
法令や社内の文書管理規程、監査人との合意などを踏まえて決めます。グローバル内部監査基準 14.6 は、関連する法令や規制、内部監査部門と組織の方針・手続に従って文書を保存することを求めています。J-SOX 関連の記録は、監査人の要望も確認しておくと安心です。
まとめ
監査証拠の良し悪しは、「目的に合っているか（適合性）」「信頼できるか（証明力）」「量は足りているか（十分性）」の 3 つの観点で判断できます。そして、これら 3 つの判断を調書に書き残すことで、別の監査人が同じ結論にたどり着ける、再現可能な監査になります。
次の一歩として、直近の調書を 1 冊選び、この記事のチェックリストで証拠の評価を見直してみてください。「確認済み」とだけ書かれた箇所が見つかれば、そこが改善の出発点です。調書のレビューで指摘されやすい点は監査調書の書き方と保管ルール、現地での証拠の集め方は往査（実地監査）の進め方で解説しています。
証拠の評価基準や調書様式の整備についてのご相談は、お問い合わせからお寄せください。
参考資料
- 日本公認会計士協会 監査基準報告書 500「監査証拠」 https://jicpa.or.jp/specialized_field/2-24-500-2-20230112.pdf
- 日本公認会計士協会 監査基準報告書 530「監査サンプリング」
- The Institute of Internal Auditors「グローバル内部監査基準」（日本語版、日本内部監査協会訳）基準 14.1・14.6 https://www.iiajapan.com/leg/iia/info/2024/20240705_global_ia_std.html
- The Institute of Internal Auditors「2024 Global Internal Audit Standards」 https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023 年 4 月 7 日） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
