4月の人事面談。経理部で8年、決算と連結を担当してきた主任は、上司から思いがけない打診を受けました。「来期から内部監査室に行ってみないか。J-SOX の評価も含めて、会社全体を見られる仕事だ」。
面談のあと、主任は自席で検索を始めます。「内部監査 キャリア」「内部監査 資格」。出てくるのは CIA、CISA、内部監査士、公認不正検査士と、似たような名前の資格ばかりです。どれから取るべきなのか。そもそも内部監査は「上がりのポスト」なのか、それとも次のキャリアへの足場になるのか。答えのないまま、主任は異動の返事を1週間待ってもらうことにしました。
これは架空のモデルケースですが、内部監査への異動や転職を前に、同じ疑問を抱く人は少なくありません。本記事では、内部監査人のキャリアパスと求められる能力を整理したうえで、代表的な3つの資格（CIA・CISA・内部監査士）の制度を公式情報に基づいて比較し、経験に応じた選び方と育成計画の記入例を紹介します。
この記事の要点
- 内部監査は会社全体の業務・リスク・統制を横断的に見る職務で、経営企画、リスク管理、財務責任者、監査役等への足場にもなります
- CIA は IIA の国際資格で、3パートの試験（各600点以上で合格）と実務経験の要件があり、日本語で受験できます
- CISA は ISACA の情報システム監査の資格で、150問・4時間の試験と、原則5年の実務経験が要件です
- 内部監査士は日本内部監査協会の国内資格で、筆記試験ではなく24科目48時間の講習と修了論文で認定されます
- 資格選びは「今の経験」と「3年後に担いたい監査領域」から逆算すると迷いにくくなります
内部監査人とは｜なぜ「専門職」として扱われるのか
内部監査人は、組織体のガバナンス、リスク管理、内部統制が有効に機能しているかを、独立した立場から評価し、改善を促す職務です。日本では、上場企業の多くが社長直轄や取締役会・監査等委員会の下に内部監査部門を置いています。内部監査の基本は内部監査とは？目的・流れ・外部監査との違いで解説しています。
「専門職」の根拠は国際基準にある
内部監査が単なる社内の点検係ではなく専門職として扱われる背景には、内部監査人協会（IIA）が定める国際基準があります。2025年1月9日に発効した「グローバル内部監査基準」は、原則3「専門的能力の発揮」の下で、内部監査人に職責を果たすための知識・スキル・能力を求め（基準3.1）、継続的な専門的能力の開発を求めています（基準3.2）。また基準7.2では、取締役会が内部監査部門長に必要な適格性、経験及び専門的能力を識別し、最高経営者と連携してそれを備えた部門長を任命することが、必須条件として挙げられています。
つまり、国際基準の上では「誰でも異動してくれば務まる仕事」ではなく、能力の獲得と維持が要求事項として書かれている職務です。この点が、資格や継続教育が重視される理由でもあります。基準の全体像はグローバル内部監査基準の改訂ポイントと自社対応を参照してください。
日本企業で内部監査の人材が求められてきた経緯
日本では、2008年4月以降に開始する事業年度から上場企業に内部統制報告制度（J-SOX）が適用され、多くの企業で内部監査部門が評価業務の中心を担うようになりました。その後、コーポレートガバナンス・コードの浸透や、サイバーセキュリティ、サステナビリティ、グループ会社の不正といったリスクの多様化により、内部監査に求められる領域は財務報告の枠を超えて広がっています。
ここに1つの発見があります。内部監査人に必要な知識は「監査の技術」だけでは足りず、監査対象となる事業、IT、法規制の知識が掛け合わさって初めて価値が出るという点です。経理出身、IT出身、営業出身といった多様な経歴を持つ人が内部監査部門に集まるのは、この掛け算の構造があるからです。
内部監査人のキャリアパス｜入口と出口
職位ごとの役割
内部監査部門内のキャリアは、一般に次のような段階で整理できます。呼称や人数は企業によって異なります。
| 職位 | 主な役割 | 求められる力 |
|---|---|---|
| スタッフ | 監査手続の実施、証拠の収集、調書の作成 | 監査手続の理解、文書化、ヒアリング |
| シニア | 個々の監査の現場責任者、スタッフの指導、発見事項の草案作成 | リスク評価、発見事項の構成、被監査部門との調整 |
| マネージャー | 複数監査の監督、年間計画の策定支援、報告書の品質管理 | 計画策定、レビュー、経営への説明 |
| 内部監査部門長 | 部門の戦略、取締役会・経営者への報告、資源と品質の管理 | ガバナンスの理解、経営との対話、組織運営 |
内部監査部門長に求められるもの
最上位の内部監査部門長には、監査の技術に加えて、取締役会や最高経営者と対等に議論する力が求められます。グローバル内部監査基準は、内部監査部門長に対し、部門の管理に必要な適格性と専門的能力について取締役会の理解を助けること、そして自らの適格性と専門的能力を維持・向上させることを求めています。
ここから読み取れるのは、部門長の要件は「社内の序列」ではなく「取締役会が期待する役割」から決まるという考え方です。部門長を目指す人は、監査の現場経験だけでなく、取締役会への報告資料の作成、年間計画や内部監査の戦略の策定、部門の品質管理といった経験を、マネージャーの段階から意識的に積んでおくと移行がスムーズになります。
入口：どこから内部監査に来るのか
内部監査への入口は大きく3つあります。1つ目は経理・財務、IT、営業、製造など事業部門からの社内異動です。2つ目は監査法人やコンサルティング会社からの転職で、監査手法に慣れている一方、事業理解は入社後に深めることになります。3つ目は新卒・若手の配属で、近年は監査部門をローテーションの一環として位置付ける企業もあります。
出口：内部監査の経験が生きる次のポスト
内部監査の経験は、会社全体の業務とリスクを横断的に見た経験として、他のポストで生かされることがあります。代表的なのは、経営企画、リスク管理・コンプライアンス部門、子会社の管理部門責任者、財務責任者、そして監査役や監査等委員といったポストです。
ただし、内部監査の経験が自動的に次のキャリアにつながるわけではありません。監査で見た事業やリスクの知見を、どの領域の専門性として言語化できるかが分かれ目になります。この点で、資格は「何を体系的に学んだか」を他者に示す手段として機能します。
代表的な3つの資格｜CIA・CISA・内部監査士の制度比較
内部監査人がよく検討する資格を、公式情報に基づいて比較します。試験制度や料金は改定されることがあるため、受験前に必ず各団体の公式サイトで最新情報を確認してください。
| 項目 | CIA（公認内部監査人） | CISA（公認情報システム監査人） | 内部監査士 |
|---|---|---|---|
| 認定団体 | IIA（日本の窓口は日本内部監査協会） | ISACA | 日本内部監査協会 |
| 性格 | 内部監査全般の国際資格 | 情報システム監査・IT統制の国際資格 | 内部監査の国内資格 |
| 認定方法 | 3パートの試験に合格し、実務経験等の要件を満たす | 試験に合格し、実務経験の要件を満たして申請 | 認定講習会（24科目・48時間）を受講し、修了論文の審査に合格 |
| 試験の形式 | 択一式。パート1：125問・150分、パート2・3：各100問・120分 | 択一式150問・4時間 | 筆記試験なし（修了論文8,000〜10,000字） |
| 合格基準 | 各パート250〜750点のスケールで600点以上 | 200〜800点のスケールで450点以上 | 論文審査と講習出席状況により決定 |
| 日本語対応 | あり | あり（対応言語は ISACA で確認） | 日本語 |
| 継続要件 | 継続的専門能力開発（CPE）の報告 | CPE（年20時間以上、3年間で120時間以上） | 協会の案内を確認 |
CIA（公認内部監査人）
CIA は IIA が認定する内部監査の国際資格です。日本内部監査協会によれば、同協会は1999年11月から CIA 試験の日本語受験を実現しています。試験は3パート構成で、2025年に改訂されたシラバスは、グローバル内部監査基準との整合を図る内容になりました。日本語の新シラバス試験は2025年7月28日に開始されています。パートの受験順序は定められていません。
学歴と実務経験の要件について、IIA は学士号の場合2年、修士号以上の場合1年の内部監査の実務経験を求めており、試験は経験を積む前に受験できるとしています。日本内部監査協会の案内では、初期登録の完了後3年以内に全パートの合格と実務経験の承認手続きを完了する必要があり、1回に限り有料で1年間延長できます。
受験料は、日本内部監査協会のサイトで個人会員と非会員に分けて掲載されています（2026年9月時点の掲載例：登録料は会員18,000円・非会員36,000円、パート1は会員46,000円・非会員66,000円、パート2・3は各会員42,000円・非会員62,000円）。料金は改定される可能性があるため、申込前に公式サイトで確認してください。
CISA（公認情報システム監査人）
CISA は ISACA が認定する情報システム監査の国際資格です。試験は150問・4時間で、「情報システム監査プロセス」「ITのガバナンスとマネジメント」「情報システムの取得・開発・導入」「情報システムの運用とビジネスレジリエンス」「情報資産の保護」の5ドメインで構成されています。認定には、情報システムの監査・統制・保証・セキュリティ分野で原則5年の実務経験が必要で、学歴等による一部免除があります。試験合格から5年以内に認定を申請する必要があります。
ITGC（IT全般統制）やクラウドサービスの評価、サイバーセキュリティ監査を担う人にとっては、体系的な知識の裏付けになります。評価の実務はITGC とは？クラウド/SaaS 時代の評価ポイントと SOC 報告書の見方で解説しています。受験料は ISACA 会員・非会員で異なり、米ドル建てのため、最新の金額は ISACA の公式サイトで確認してください。
内部監査士（QIA）
内部監査士は、日本内部監査協会が主催する内部監査士認定講習会を修了した人に与えられる称号です。協会によれば、講習会は昭和32年から開催されています。講習は年6回・偶数月に開講され、オンデマンド配信で指定期間中に24科目・48時間を受講し、修了論文の提出後に1日・2時間のフォローアップ研修を受けます。修了論文は8,000〜10,000字で、指定テーマから1つを選び、講習終了後1か月以内に提出します。
受講資格は、内部監査業務に携わっていること、又はそれに該当しない場合は大学等で会計学・商学・経営学・経済学・法学・情報学等を学んだことなどです。受講費は協会サイトで正会員・個人会員165,000円、非会員236,500円（いずれも税込、2026年9月時点の掲載）とされています。
意外に知られていないのが、協会がこの資格を国内資格と位置付け、英文名称は設定していないと明記している点です。「QIA」という略称は通称として広く使われていますが、英文の履歴書などに記載する際は表記に注意が必要です。
その他の関連資格
内部監査の周辺では、公認不正検査士（CFE）、情報処理技術者試験のシステム監査技術者、公認会計士・USCPA などもよく検討されます。また、IIA の CRMA（リスク管理保証の資格）は、日本内部監査協会の案内によれば、取得に CIA の認定が不要になりました。いずれも制度が改定されることがあるため、各団体の公式情報を確認してください。
資格の選び方｜経験と目指す領域から逆算する
資格は取ること自体が目的ではなく、担いたい監査領域で必要な知識を体系化する手段です。次の表は、経歴と3年後に担いたい役割から、最初に検討する資格の目安を整理したものです。
| 現在の経歴 | 3年後に担いたい役割 | 最初に検討する資格 | 理由 |
|---|---|---|---|
| 経理・財務出身 | 業務監査・J-SOX 評価の現場責任者 | 内部監査士、次に CIA | 会計知識を土台に、監査の理論と手法を体系化する |
| IT・情報システム出身 | ITGC・サイバー監査の担当 | CISA | IT知識を監査・統制の枠組みで整理し直す |
| 監査法人出身 | 内部監査部門のマネージャー | CIA | 外部監査との違い（アシュアランスと助言、業務監査）を体系的に押さえる |
| 事業部門出身 | 業務監査・子会社監査の担当 | 内部監査士 | 講習の業務別科目（購買、営業、製造等）で監査の着眼点を得る |
| 内部監査経験5年以上 | 内部監査部門長候補 | CIA（未取得なら）、専門領域の資格 | 国際基準に基づく部門運営と、専門領域の深さの両方を示す |
「内部監査士か CIA か」で迷ったら
両者は競合するものではなく、性格が異なります。内部監査士は講習と論文を通じて日本企業の監査実務を体系的に学ぶ形式で、講習には業務別の監査のポイントが並んでいます。CIA は国際基準に基づく知識を試験で測る形式で、海外拠点の監査や外資系企業との関係がある場合に共通言語として機能しやすい資格です。まず内部監査士で実務の全体像をつかみ、その後に CIA に進む順序を選ぶ人もいます。
学習時間の確保は「監査計画」と同じ発想で
働きながらの受験では、学習時間の確保が最大の課題になります。繁忙期（J-SOX の期末評価や決算期）を避けて受験日を設定し、逆算で週あたりの学習時間を決めるのが現実的です。CIA はパートごとに受験できるため、繁忙期の合間に1パートずつ受験する計画も立てやすくなっています。
スキルマップと育成計画｜記入例
資格と並んで重要なのが、日々の監査業務で身に付けるスキルです。以下は、架空のモデルケース（経理部から内部監査室に異動した入社9年目の担当者）を想定したスキルマップと3年間の育成計画の記入例です。評価は自社で定めた4段階（1：知識なし〜4：他者に指導できる）の例です。
| スキル領域 | 現状 | 1年後目標 | 3年後目標 | 身に付ける方法 |
|---|---|---|---|---|
| 監査手続・調書作成 | 1 | 3 | 4 | OJT、調書レビューでの指摘の振り返り |
| リスク評価・監査計画 | 1 | 2 | 3 | 年間計画策定への参加、リスク評価シートの作成 |
| 発見事項・報告書作成 | 1 | 2 | 4 | 報告書ドラフトの作成とレビュー |
| 会計・財務報告 | 4 | 4 | 4 | 現状維持（強み） |
| IT統制・データ分析 | 1 | 2 | 3 | ITGC 評価の補助、Excel・SQL での全件分析 |
| コミュニケーション・ヒアリング | 2 | 3 | 4 | 往査での主担当、被監査部門との講評会 |
| 資格 | ― | 内部監査士 | CIA 全パート合格 | 講習受講、パート別の受験計画 |
記入のポイント
スキルマップは、強みを「現状維持」と明記することが大切です。経理出身者であれば会計の知識は即戦力であり、すべての領域を平均的に伸ばすより、弱い領域に学習時間を集中させたほうが効果的です。3年後目標は、部門の年間計画で担当したい監査テーマと結び付けておくと、上司との面談で配置の相談がしやすくなります。
データ分析のスキルは、近年特に需要が高まっている領域です。入門にはデータ分析監査（CAAT）入門、AIの活用については生成 AI で内部監査はどう変わる？も参考にしてください。報告書作成の力を伸ばすには内部監査報告書の書き方で発見事項の5要素を押さえておくと、レビューでの指摘が減っていきます。
よくある失敗と対策
失敗1：資格の取得が目的になる
合格した時点で学習が止まり、実務に生かされないケースです。資格の学習範囲と、自分が担当する監査のテーマを対応付け、学んだ論点を監査プログラムや調書の改善に反映すると、知識が定着します。
失敗2：「内部監査は一時的な配属」と割り切る
数年で元の部門に戻る前提だと、監査の専門性を深める動機が弱まります。一時的な配属であっても、監査で得た全社的な視点を言語化しておくと、戻った先で統制の設計やリスク管理に生かせます。異動前にスキルマップを作っておくと、何を得たかを説明しやすくなります。
失敗3：繁忙期に受験日を入れてしまう
J-SOX の期末評価や決算期と試験日が重なり、学習が進まないまま受験するケースです。CIA の受験可能期間や試験プログラムの有効期限を踏まえ、年間の業務カレンダーと照らして受験日を決めます。期限の延長には費用がかかる点にも注意が必要です。
失敗4：継続教育の記録を残さない
資格の維持には継続的専門能力開発（CPE）の報告が求められます。研修や勉強会の受講記録を後から集めようとすると抜けが出ます。受講のたびに日付・時間・内容・証明書を一覧で記録しておくと、報告時に慌てずに済みます。
よくある質問
Q1. 内部監査の実務経験がなくても CIA は受験できますか？
IIA は、学歴に応じた実務経験の要件を定めていますが、試験自体は経験を積む前に受験できるとしています。認定には、試験プログラムの有効期限内に実務経験の承認を得る必要があります。学歴要件を満たさない場合の取り扱いを含め、最新の要件は IIA と日本内部監査協会の案内で確認してください。
Q2. CIA の資格を維持するには何が必要ですか？
認定後は、継続的専門能力開発（CPE）の要件を満たし、毎年報告する必要があります。一般に年40時間（うち倫理2時間）の CPE が基本とされていますが、時間数や報告方法は IIA の継続教育方針で確認してください。日本内部監査協会の研修には CPE 単位が付与されるものがあります。
Q3. 内部監査士と CIA、両方取る意味はありますか？
性格が異なるため、両方を取得する意味はあります。内部監査士は日本企業の業務別監査の着眼点を講習で学べる点、CIA は国際基準に基づく知識を示せる点が特徴です。どちらを先にするかは、担当業務と受験・受講のタイミングで判断するとよいでしょう。
Q4. IT 出身ではありませんが、CISA を目指すべきですか？
ITGC やサイバーセキュリティ監査を担当する予定があれば、学習する価値は高いといえます。ただし認定には情報システム監査・統制・セキュリティ分野の実務経験が必要なため、まずは ITGC 評価の補助などで実務経験を積みながら学習を始めるのが現実的です。
まとめ｜3年後の自分から逆算する
内部監査人のキャリアは、監査の技術と、事業・IT・法規制などの専門知識の掛け算で価値が高まります。CIA は国際基準に基づく内部監査全般の資格、CISA は情報システム監査の資格、内部監査士は講習と論文で日本企業の監査実務を体系化する国内資格です。制度や料金は改定されることがあるため、受験・受講前に公式情報を確認してください。
次の一歩として、本記事のスキルマップに自分の現状を記入し、3年後に担いたい監査領域から最初の資格を選んでみてください。部門としての人材育成や品質の考え方は内部監査の品質評価（QAR）とは？、組織内の役割分担は3ラインモデルとは？もあわせてご覧ください。内部監査部門の体制づくりや人材育成の支援をご希望の場合は、お問い合わせからご相談ください。
参考資料
- The Institute of Internal Auditors「Certified Internal Auditor（CIA）」 https://www.theiia.org/en/certifications/cia/
- The Institute of Internal Auditors「グローバル内部監査基準」（日本語版）原則3 専門的能力の発揮、基準7.2 内部監査部門長の適格性
- 一般社団法人日本内部監査協会「CIA認定資格試験ガイド」 https://www.iiajapan.com/leg/certifications/CIA/
- 一般社団法人日本内部監査協会「CIAの新シラバスと試験に関するご案内」 https://www.iiajapan.com/leg/certifications/info/2024/20240529_02.html
- 一般社団法人日本内部監査協会「内部監査士」 https://www.iiajapan.com/leg/certifications/ninko/
- ISACA「CISA Certification」 https://www.isaca.org/credentialing/cisa
- ISACA「Certification Exam Candidate Guide」
