往査を終えた翌週の月曜日、内部監査室の担当者は、3 日かけて仕上げた報告書のドラフトを室長に手渡しました。調書は丁寧に整理され、サンプル 25 件のうち 4 件に承認日の遅れがあったこと、その 4 件の伝票番号、ヒアリングで聞いた担当者の説明まで、漏れなく書き込んであります。
30 分後に戻ってきたドラフトには、赤ペンで一言だけ書かれていました。「で、社長は何をすればいいの？」
これは特定の会社の出来事ではなく、内部監査の現場でよく見かける場面をもとにした架空のモデルケースです。調べた事実が正しくても、報告書が「読み手の次の行動」を示していなければ、監査は組織を動かしません。事実の羅列は調書の仕事であり、報告書の仕事は、何がどれほど問題で、なぜ起き、誰がいつまでに何をすべきかを、短く、誤解なく伝えることです。
本記事では、その中核である「発見事項の 5 要素」を軸に、報告書の書き方を記入例とテンプレート付きで解説します。
この記事の要点
- 内部監査報告書は調書の要約ではなく、経営者や被監査部門が次の行動を決めるための文書
- 発見事項は「事実（状況）・基準（規準）・原因・影響・提言」の 5 要素で書くと、論理の抜けが防げる
- 原因が「担当者の不注意」で止まると、提言が「注意喚起」になり再発する。根本原因まで掘る
- グローバル内部監査基準 15.1 は、発見事項の重大性と優先順位、責任者と完了予定日の明記を求めている
- 講評会で事実と原因を合意してから最終版を出すと、フォローアップが格段に楽になる
内部監査報告書とは何か──誰のために、何のために書くのか
内部監査報告書は、個別の内部監査の結果を、最高経営者や取締役会、被監査部門などに伝えるための最終的な文書です。日本内部監査協会の「内部監査基準」（2014 年改訂）は、第 8 章「内部監査の報告とフォローアップ」で、内部監査部門長が最終報告として内部監査報告書を作成すること（8.2.1）、報告書に内部監査の目標と範囲、内部監査人の意見、勧告および是正措置の計画を含めること（8.2.3）を求めています。
国際的な基準では、内部監査人協会（IIA）が 2024 年 1 月に公表し、2025 年 1 月 9 日に発効した「グローバル内部監査基準」が、基準 15.1「個々の内部監査業務の最終的なコミュニケーション」で記載事項を定めています。ここで「報告書」ではなく「最終的なコミュニケーション」という言葉が使われている点は見逃せません。口頭報告やスライドを含め、伝え方の形式は組織によって異なってよい一方、伝えるべき中身は決まっている、という考え方です。
なぜ「報告の品質」が基準で細かく決められているのか
内部監査は、経営者の指揮下にありながら、経営者自身の判断も含めて組織を客観的に評価する機能です。その成果は報告書を通じてしか外に出ません。どれほど精緻な検証をしても、報告書が曖昧なら、経営者は重要な問題を見落とし、被監査部門は何を直せばよいか分からないまま時間が過ぎます。
日本内部監査協会の基準は、報告が「正確、客観的、明瞭、簡潔、建設的、完全かつ適時」であることを求め（8.1.4）、グローバル内部監査基準も基準 11.2「効果的なコミュニケーション」でほぼ同じ 7 つの性質を掲げています。日本の基準と国際基準がここまで一致しているのは、報告の失敗パターンが世界共通だからだと考えると理解しやすいでしょう。
読み手が複数いることが、書きにくさの正体
報告書が書きにくい最大の理由は、読み手の関心がばらばらなことです。社長や取締役会は「全体として大丈夫か、どこが一番危ないか」を知りたく、被監査部門の管理者は「具体的に何を直すのか」を知りたがります。監査役や会計監査人は、判断の根拠と証拠の所在に関心があります。
コーポレートガバナンス・コードは、2021 年改訂で補充原則 4-13③ として加えられ、2026 年 7 月の改訂で原則 4-14 の解釈指針に移された記載で、内部監査部門が取締役会や監査役会にも直接報告する仕組みの構築などを求めており、報告書が経営者だけでなく取締役会・監査役にも読まれる前提は強まっています。三者の役割分担については三様監査の解説も参考にしてください。読み手が増えるほど、「要約は短く、詳細は根拠つきで」という二層構造が重要になります。
発見事項の 5 要素──「事実・基準・原因・影響・提言」
報告書の中心は発見事項です。発見事項とは、あるべき姿と実際の状態との間に見つかった差異のことで、グローバル内部監査基準の用語集では「評価規準とレビューの対象となる活動の状況との間」の差異として定義されています。
この差異を読み手に納得してもらうための型が、本記事で扱う 5 要素です。英語圏の実務では Criteria（規準）、Condition（状況）、Cause（原因）、Consequence / Effect（影響）、Corrective action（是正措置・提言）の頭文字から「5C」と呼ばれることもあります。
| 要素 | 答える問い | 書く内容 | よくある NG |
|---|---|---|---|
| 基準（規準） | あるべき姿は何か | 規程・マニュアル・契約・法令・業界慣行など、評価の物差し | 「一般的に望ましい」など出典のない物差し |
| 事実（状況） | 実際はどうだったか | 検証した母集団・サンプル・件数・期間・具体的な状態 | 「一部で不備が見られた」など件数のない表現 |
| 原因 | なぜ差が生じたか | 仕組み・体制・システム・教育などの根本的な要因 | 「担当者の確認不足」で止まる |
| 影響 | 放置すると何が起きるか | 金額・件数・規制・評判など、リスクの大きさと起こりやすさ | 「リスクがある」とだけ書く |
| 提言 | 何を、誰が、いつまでに | 原因に対応した具体的な改善策と、経営管理者の改善措置計画 | 「徹底すること」「周知すること」 |
基準が先、事実が後──順番に意味がある
5 要素を書くとき、多くの人は目に見えた事実から書き始めます。しかし論理の順番は「基準が先」です。基準が決まっていなければ、どんな事実も「問題」とは言えないからです。
グローバル内部監査基準は基準 14.2 で、評価規準と「状況」（condition）との差異の有無を分析することを求め、その評価規準自体は計画段階（基準 13.4「評価規準」）で定めることとしています。日本語版では criteria が「規準」と訳されています。社内規程のような明文のルールだけでなく、合理的な業務慣行や目標値も物差しになりうるという含みがあります。
実務では、基準の欄に「購買規程第 12 条」のように出典を書けるかどうかが、発見事項の強さを決めます。出典を書けないときは、それが本当に発見事項なのか、改善提案（アドバイザリー的なコメント）として扱うべきかを立ち止まって考えるきっかけになります。
事実は「数えられる形」で書く
事実の欄で最も大切なのは、母集団と検証範囲を明示することです。「25 件中 4 件」と「4 件」では、読み手の受け取り方がまったく違います。サンプルの抽出方法や件数の考え方は、サンプル数 25 件の根拠を解説した記事も参照してください。
また、事実には監査人の評価語を混ぜないのが原則です。「ずさんな管理により承認が遅れていた」ではなく、「承認日が発注日より後の伝票が 4 件あった（最大 18 日後）」と書きます。評価は影響と重要度の欄で行い、事実の欄は誰が読んでも同じ数字になるように保ちます。
原因と影響を掘る──「担当者の確認漏れ」で止めない
5 要素のうち、最も書き手の力量が表れるのが原因です。グローバル内部監査基準は基準 14.3「発見事項の評価」で、可能であれば根本原因を識別し、潜在的な影響を判断し、重大性を評価するために「経営管理者と協力しなければならない」としています。原因分析を監査人だけで完結させず、業務を最もよく知る現場と一緒に行うという発想です。
表層原因と根本原因の違い
表層原因とは、差異の直接のきっかけです。根本原因とは、それを生んだ仕組みの欠陥です。「担当者が確認を忘れた」は表層原因で、「なぜ忘れることが可能だったのか」を問うと根本原因に近づきます。「なぜ」を数回繰り返す手法は、基準 14.3 の「実施に当たって考慮すべき事項」でも、根本原因を特定する最も単純な方法として触れられています。
| 事実（例） | 表層原因 | 「なぜ」を重ねた根本原因 | 原因に向けた提言 |
|---|---|---|---|
| 事前承認のない発注が 4 件 | 担当者が承認前に発注した | システム上、承認前でも発注書を出力できる設定になっている | 承認完了を発注書出力の条件にするシステム設定の変更 |
| 退職者の ID が 3 件残存 | 人事からの連絡が漏れた | 退職情報を IT 部門に伝える手続が定められていない | 人事システムと連動した ID 停止手続の文書化と月次照合 |
| 棚卸差異の調査が未実施 | 繁忙期で手が回らなかった | 差異調査の責任者と期限が決まっていない | 調査責任者・期限・閾値を定めた手順書の整備 |
表の右端を見ると、根本原因まで掘った提言はどれも「人の注意力」に頼らない仕組みの変更になっていることが分かります。原因が「担当者の不注意」のままだと、提言は「注意喚起」「周知徹底」になり、担当者が替われば同じことが起きます。
影響は「起こりやすさ × 大きさ」で書く
影響の欄は、差異を放置した場合に組織が負うリスクを示します。基準 14.3 は、リスクの重大性を判断するために、発生可能性と、組織のガバナンス・リスクマネジメント・コントロールに及ぼす影響を考慮することを求めています。
「不正発注のリスクがある」だけでは、読み手は重さを判断できません。「承認を経ない発注が可能な状態であり、年間発注額が数十億円規模の購買プロセス全体で、不要・過大な発注や架空発注を検知できないおそれがある」のように、対象の規模と、起こりうる事象を具体的に書きます。金額を正確に見積もれない場合でも、対象範囲の大きさを示すだけで説得力は大きく変わります。基準も、影響の程度は多くの場合、監査人の職業的判断にもとづく見積りになると認めています。
記入例──購買プロセスの発見事項を 5 要素で書く
ここからは、架空のモデルケースとして、ある製造業の購買プロセス監査で見つかった発見事項を 5 要素で書いてみます。数値はすべて説明用の架空のものです。
修正前（よくあるドラフト）
発注承認について、一部で承認漏れが見られた。担当者の確認不足によるものであり、今後は承認手続を徹底されたい。
短く見えますが、「一部」がどれほどか、何を基準に漏れと判断したのか、なぜ起きたのか、放置すると何が困るのかが分かりません。提言の「徹底」も、何をすれば完了なのかを判定できません。
修正後（5 要素で再構成）
| 項目 | 記入例 |
|---|---|
| 発見事項番号・表題 | 2026-購買-01 事前承認を経ない発注が可能な状態にある |
| 重要度 | 高 |
| 基準 | 購買規程第 12 条は、発注金額 50 万円以上の発注について、発注前に購買課長の承認を得ることを定めている |
| 事実 | 2026 年 4〜6 月の対象発注 312 件から無作為に 25 件を抽出して検証した結果、4 件で承認日が発注日より後であった（遅延は 3〜18 日）。うち 1 件は承認記録自体がなかった |
| 原因 | 購買システムの設定上、承認ステータスにかかわらず発注書を出力できる。承認の遅れを検知する定期的なモニタリングも行われていない |
| 影響 | 規程の承認統制がシステム上担保されておらず、不要・過大な発注や架空発注が行われても事前に防止できないおそれがある。対象期間（3 か月）の該当発注の総額は約 4 億円である |
| 提言 | (1) 承認完了を発注書出力の条件とするシステム設定への変更、(2) 設定変更までの間、承認遅延一覧を月次で抽出し購買課長が確認する代替統制の導入を提言する |
| 経営管理者の回答・改善措置計画 | 購買部長：(1) を 2026 年 12 月末までに実施する。(2) は 2026 年 10 月から開始する |
| 責任者・完了予定日 | 購買部長 2026 年 12 月 31 日 |
修正後は長くなりましたが、読み手は表を上から読むだけで「どれほど重く、何をすれば終わるのか」を判断できます。完了条件が明確なため、後の発見事項のフォローアップでも「実施済みかどうか」を客観的に確かめられます。
重要度の格付けは「組織の物差し」で統一する
基準 14.3 は、内部監査部門長が確立した手法を使い、各発見事項に重大性にもとづく優先順位を付けることを求めています。格付けの物差しは監査人ごとにぶれやすいため、部門として定義表を持っておくことが重要です。以下は記入用テンプレートの例で、閾値は自社のリスク許容度に合わせて設定してください。
| 重要度 | 定義の例 | 改善期限の目安（自社で設定） | 報告先の例 |
|---|---|---|---|
| 高 | 財務報告・法令遵守・事業継続に重大な影響を及ぼすおそれがあり、早急な対応が必要 | 3 か月以内 | 社長・取締役会・監査役 |
| 中 | 統制の有効性を損なうが、補完統制により影響が限定されている | 6 か月以内 | 担当役員・社長 |
| 低 | 効率性や文書化の改善にとどまる | 次回監査まで | 被監査部門長 |
個別の発見事項の格付けとは別に、監査対象全体の結論も必要です。基準 14.5「個々の内部監査業務の結論」の実施上の考慮事項では、結論の尺度の例として「満足」「部分的に満足」「要改善」「不満足」が挙げられています。アシュアランス業務の結論では、プロセスが有効な場合にもその旨を認めることが求められている点に注意してください。問題がなかった領域を書くことは、監査の網羅性を示し、被監査部門の信頼を得ることにもつながります。
報告書の構成と、講評会から最終版まで
発見事項が書けたら、報告書全体を組み立てます。基準 15.1 は、アシュアランス業務の最終的なコミュニケーションに、目標、範囲、提言や改善措置の計画、結論に加えて、発見事項の重大性と優先順位、範囲の制約（ある場合）、ガバナンス・リスクマネジメント・コントロールの有効性に関する結論を含めることを求めています。さらに、発見事項への対応に責任を負う個人と、改善措置を完了すべき予定日の明記も必須です。
報告書の構成テンプレート
| 章 | 内容 | 基準との対応 |
|---|---|---|
| 1. 表紙・配付先 | 監査名、報告日、配付先リスト、機密区分 | 15.1 の考慮事項（表題・配付先リスト） |
| 2. エグゼクティブサマリー | 総合評価、重要度「高」の発見事項の要約（1 ページ以内） | 15.1（結論・優先順位） |
| 3. 監査の概要 | 目的、範囲、対象期間、実施期間、手法、範囲の制約 | 15.1（目標・範囲・範囲の制約）、内部監査基準 8.2.3 |
| 4. 総合意見 | 対象プロセスの有効性に関する結論と、その根拠 | 15.1、14.5、内部監査基準 8.2.4 |
| 5. 発見事項一覧 | 番号・表題・重要度・責任者・完了予定日の一覧表 | 15.1（責任者・完了予定日） |
| 6. 発見事項の詳細 | 5 要素と経営管理者の回答 | 14.3、14.4 |
| 7. 良好事例・謝辞 | 有効に機能していた統制、協力への謝意 | 15.1 の考慮事項（認識） |
| 8. 付録 | 用語、検証手続の概要、基準への適合に関する記載 | 15.1 の考慮事項（適合の声明） |
基準 15.1 の実施上の考慮事項は、読み手の知識や利用目的に応じて、形式・内容・詳細さを変えた複数のバージョンを発行してよいとしています。取締役会向けには 1〜2 ページの要約版、被監査部門向けには詳細版、という使い分けは基準の考え方に沿ったものです。
文章のルール──1 文 1 意、主語、数字
報告書の文章で守りたいルールは多くありません。1 文には 1 つの事実だけを書く、主語（どの部署が、どのシステムが）を省略しない、「一部」「多数」ではなく件数と割合を書く、の 3 点です。個人名は原則として書かず、役職や部署で表します。発見事項は個人の責任追及ではなく、仕組みの改善を目的としているからです。
評価語もぶれやすいポイントです。「不備」「不適切」「改善の余地」などの言葉を監査人ごとに使い分けると、読み手は重さを比較できません。重要度の定義表と対応づけた用語集を部門で持つと、表現が安定します。
講評会と合意形成──最終版の前に「事実」を合わせる
日本内部監査協会の基準 8.2.2 は、報告書の作成に先立ち、対象部門や関連部門への結果の説明、問題点の相互確認など、意思の疎通を十分に図ることを求めています。講評会（クロージング・ミーティング）は、事実に誤りがないか、原因の見立てが現場の実感と合っているかを確かめる場です。
グローバル内部監査基準の基準 14.4 は、提言や改善措置について監査人と経営管理者の意見が合わない場合に、双方が立場と理由を示せる確立された手法に従って解決を図ることを求めています。実施上の考慮事項では、双方の正式な見解を最終報告に添付する方法にも触れています。合意できない発見事項を削るのではなく、意見の相違を記録したうえで報告するのが基準の立場です。
| 段階 | 主な作業 | 実施者 | チェックポイント |
|---|---|---|---|
| 往査終了 | 調書の完成、発見事項シートの作成 | 監査担当者 | 5 要素がそろっているか |
| 講評会 | 事実・原因の確認、提言の方向性の共有 | 監査責任者・被監査部門長 | 事実誤認の有無、原因の合意 |
| ドラフト送付 | 経営管理者の回答・改善措置計画の依頼 | 監査責任者 | 回答期限の明示 |
| 回答受領 | 責任者・完了予定日の確認 | 監査責任者 | 計画が原因に対応しているか |
| 承認・配付 | 内部監査部門長のレビューと承認、配付 | 内部監査部門長 | 基準 15.1 の記載事項の網羅 |
基準 15.1 は、最終版を発行する前に内部監査部門長のレビューと承認を受けることを求めています。また、講評会のあとに被監査部門がすでに改善に着手していれば、その事実を報告書に反映させる必要があります。報告書は監査人の「成績表」ではなく、組織の改善の出発点として書くものです。
よくある失敗と対策
失敗 1：調書をそのまま報告書に貼る
検証手続の詳細やサンプルの一覧を本文に入れると、報告書は長くなり、肝心の結論が埋もれます。本文には結論と 5 要素だけを書き、詳細は調書番号で参照するようにします。調書側の書き方は監査調書の書き方で解説しています。
失敗 2：提言が「徹底」「周知」で終わる
完了を判定できない提言は、フォローアップで「実施済み」と「未実施」の区別がつきません。提言には、何が変われば完了なのか（設定変更、手順書の改訂、モニタリングの開始など）を書き、根本原因に対応しているかを確認します。
失敗 3：重要度が監査人ごとにばらつく
同じような発見事項が、ある監査では「高」、別の監査では「中」になると、経営者は報告書全体を信頼しなくなります。重要度の定義表を作り、発見事項シートの段階で監査責任者が一括して格付けを見直すと、ばらつきを抑えられます。
失敗 4：報告が遅れて旬を逃す
往査から報告まで何か月も空くと、組織変更や担当者の異動で、報告書の内容が現状と合わなくなります。「適時」は基準にも明記された性質です。講評会の日程を往査計画の段階で押さえておき、報告日までの逆算で作業を組むのが効果的です。
よくある質問
Q1. 発見事項がゼロの場合も報告書は必要ですか？
必要です。基準 15.1 は、個々の内部監査業務ごとに最終的なコミュニケーションを作成することを求めており、アシュアランス業務では有効性に関する結論を含めなければなりません。「検証した範囲では統制が有効に機能していた」という結論も、経営者にとって価値のある情報です。
Q2. 「提言」と「経営管理者の改善措置計画」はどう違いますか？
提言は監査人が示す改善の方向性で、改善措置計画は経営管理者が自ら決めて実行する具体的な行動です。基準 14.4 は、監査人が提言を作るか、経営管理者に計画を求めるか、協働して合意するかを判断するとしており、いずれの場合も改善を実施する責任は経営管理者にあります。
Q3. 報告書に基準への適合を書く必要はありますか？
グローバル内部監査基準 15.1 の実施上の考慮事項は、基準に適合して実施した旨の声明を最終的なコミュニケーションに含めるべきだとしています。ただし、その声明は監督や品質評価の結果に裏付けられている場合に限って適切とされます。自己評価の進め方は品質評価（QAR）の解説を参照してください。
Q4. 生成 AI で報告書のドラフトを作ってもよいですか？
文章の推敲や表現の統一には有効ですが、事実・数値・結論は監査人が調書と照合して確認する必要があります。機密情報の取り扱いにも注意が要ります。活用方法は生成 AI と内部監査でまとめています。
まとめ
内部監査報告書の品質は、文章のうまさよりも、発見事項の論理の組み立てで決まります。基準を先に示し、事実を数えられる形で書き、原因を仕組みの欠陥まで掘り下げ、影響を起こりやすさと大きさで示し、原因に向けた提言を書く。この 5 要素がそろえば、報告書は「読んで終わり」ではなく「次の行動が決まる」文書になります。
まずは次回の監査で、本記事の発見事項シートと重要度の定義表を試してみてください。格付け基準を部門で統一し、講評会で事実と原因を合意してから最終版を出す流れを作れば、報告後のフォローアップも円滑になります。改訂されたグローバル内部監査基準の全体像はグローバル内部監査基準の改訂ポイントで整理しています。なお、重要度の判断や記載範囲は、最終的には自社の内部監査規程と監査責任者の判断によります。
報告書テンプレートの整備や監査手法の見直しについてのご相談は、お問い合わせからお寄せください。
参考資料
- The Institute of Internal Auditors「Global Internal Audit Standards」（2024 年 1 月公表、2025 年 1 月 9 日発効） https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
- 一般社団法人日本内部監査協会「グローバル内部監査基準」（日本語版）公表のお知らせ https://www.iiajapan.com/leg/iia/info/2024/20240705_global_ia_std.html
- 一般社団法人日本内部監査協会「内部監査基準」（2014 年 5 月改訂、同年 6 月 1 日適用） https://www.iiajapan.com/leg/guide/
- 株式会社東京証券取引所「コーポレートガバナンス・コード」（2026 年 7 月 21 日改訂）
- 金融庁「コーポレートガバナンス・コード（2026 年改訂版）の確定について」（2026 年 7 月 21 日） https://www.fsa.go.jp/news/r7/singi/20260721.html
