監査等委員会の定例会。議題が内部監査部門の年度報告に移ったとき、社外取締役の委員が手元の資料から顔を上げて尋ねました。「内部監査部門の品質そのものは、誰がチェックしているのですか。最後に外部の評価を受けたのはいつでしょう」。
内部監査部門長は答えに詰まります。監査計画の達成率は毎年報告している。監査報告書は部門長が全件レビューしている。けれども、それは「自分たちで自分たちを見ている」に過ぎません。前回の外部評価は、記録をたどると7年前。当時の担当者はすでに異動しており、評価報告書の改善提言がどこまで実行されたのかも曖昧でした。
これは架空のモデルケースですが、内部監査部門が他部署の統制を評価する一方で、自部門の品質評価は後回しになりがちな構図は、規模を問わず見られます。本記事では、内部監査の品質評価（QAR：Quality Assessment Review）の仕組みを、グローバル内部監査基準（GIAS）の要求事項に沿って整理し、定期的自己評価の進め方と外部評価の準備を記入例付きで解説します。
この記事の要点
- 品質評価は、内部監査部門長が維持する「品質のアシュアランスと改善のプログラム」の中核で、内部評価と外部評価の2種類で構成されます（GIAS 基準8.3）
- 外部評価は、適格にして独立した評価者又は評価チームにより少なくとも5年に1回実施し、チームの少なくとも1人は有効な CIA の称号が必要です（基準8.4）
- 外部評価は「独立した検証を伴う自己評価」によっても満たせます。ただし2つの組織体間の相互評価は独立とはみなされません
- 内部評価の結果は少なくとも年1回、取締役会及び最高経営者に報告します
- 自己評価は「計画 → 証拠収集 → ステークホルダーの意見聴取 → 評定 → 改善計画 → 報告」の6ステップで進めると外部評価の準備にもなります
品質評価（QAR）とは｜なぜ内部監査が「監査される」のか
品質評価とは、内部監査部門が国際基準に適合して業務を行い、期待される成果を上げているかを評価する活動です。実務では外部評価を指して「QAR」と呼ぶことが多いものの、GIAS の枠組みでは、日常の監督や定期的な自己評価を含む「品質のアシュアランスと改善のプログラム（QAIP）」全体の一部として位置付けられています。
「監査する側」にこそ品質保証が要る理由
内部監査の結論は、取締役会や経営者の判断材料になります。報告書に「重要な問題は認められなかった」と書かれていれば、その領域の追加対応は見送られるかもしれません。もし監査手続が不十分だったなら、その安心は根拠を欠いたものになります。内部監査は他部署に対して証拠に基づく評価を求める立場にある以上、自らの手法と成果についても証拠に基づいて説明できることが、信頼の前提になります。
もう1つの理由は、内部監査部門の「独立性」が、裏を返せば「外からのチェックが届きにくい」ことを意味する点です。社内の他部署は内部監査の対象になりますが、内部監査部門自身を定期的に評価する仕組みは、意識して作らない限り存在しません。品質評価は、この構造的な空白を埋めるための制度といえます。
GIAS における品質の定義
GIAS の原則12（品質の向上）は、品質を「グローバル内部監査基準への適合具合」と「内部監査部門のパフォーマンス目標の達成度」を組み合わせて測定するものとしています。ここに重要な発見があります。基準に書かれた手続をすべて守っていても、取締役会が期待する成果を上げていなければ品質は十分とはいえず、逆に成果が出ていても基準から外れた手法では品質を主張できません。品質評価は「ルールの遵守」と「価値の提供」の両輪を確認する仕組みです。GIAS 全体の構成はグローバル内部監査基準の改訂ポイントと自社対応で解説しています。
GIAS が定める品質評価の枠組み
GIAS では、品質に関する要求事項が主に3つの基準に分かれて置かれています。
| 基準 | 名称 | 主な要求事項 |
|---|---|---|
| 8.3 | 品質 | 部門のあらゆる側面をカバーする品質のアシュアランスと改善のプログラムを策定・実施・維持する。内部評価の結果は少なくとも年1回、外部評価の結果は完了時に取締役会及び最高経営者へ報告する |
| 8.4 | 品質の外部評価 | 外部評価の計画を策定し取締役会と議論する。適格にして独立した評価者又は評価チームにより少なくとも5年に1回実施する。独立した検証を伴う自己評価でも満たせる。評価者の少なくとも1人は有効な CIA |
| 12.1 | 品質の内部評価 | 継続的モニタリングと定期的自己評価（又は組織体内の知識ある者による評価）を行い、結果を取締役会及び最高経営者に伝える。内部評価は文書化し、外部評価の対象に含める |
内部評価の2層構造
内部評価は「継続的モニタリング」と「定期的自己評価」の2層で構成されます。継続的モニタリングは、個々の監査計画・調書・最終報告の監督者レビュー、チェックリスト、監査後のアンケートなど、日常業務に組み込まれた品質管理です。GIAS は、継続的モニタリングが主に個々の業務の実施に関する基準に焦点を当てるのに対し、定期的自己評価はすべての基準への適合性を評価する、と両者の役割を区別しています。
外部評価の2つの方式
外部評価には、評価者が各基準への適合を包括的にレビューする「フル外部評価」と、内部監査部門が外部評価に倣った包括的な自己評価を行い、適格で独立した外部評価者がそれを検証する「独立した検証を伴う自己評価」の2つの方式があります。後者を選ぶ場合、GIAS は取締役会がその選択の根拠を承認の対象とすべきことを示しています。
5年という期間の意味
基準8.4は「少なくとも5年に1回」と定めつつ、実施に当たって考慮すべき事項で、より頻繁な実施が適切な場合を挙げています。例として、最高経営者や内部監査部門長の交代、内部監査手法の大幅な変更、複数の内部監査部門の統合、スタッフの大幅な入れ替わりなどです。5年は上限であって目標ではありません。組織の変化が大きい時期ほど、外部の目を早めに入れる価値が高まります。
定期的自己評価の進め方｜6つのステップ
定期的自己評価は、外部評価の予行演習であると同時に、それ自体が改善の起点になります。GIAS は、外部評価の直前に自己評価を行うと外部評価の時間と労力が削減されることがある、と述べています。
ステップと成果物
| ステップ | 主な作業 | 成果物 |
|---|---|---|
| 1 計画 | 評価範囲（全基準）、評価者、スケジュール、評定方法を決める | 自己評価計画書 |
| 2 文書レビュー | 基本規程、戦略、年間計画、監査マニュアル、指標の実績を確認する | 文書レビュー記録 |
| 3 調書サンプルレビュー | 完了した個々の監査からサンプルを抽出し、計画・調書・報告の基準適合を確認する | 調書レビューチェックリスト |
| 4 ステークホルダーの意見聴取 | 取締役会メンバー、最高経営者、被監査部門へのインタビュー・サーベイ | インタビュー記録、サーベイ集計 |
| 5 評定と改善計画 | 基準ごとに適合度を評定し、不適合と改善機会への改善措置の計画を作成する | 自己評価シート、改善措置の計画 |
| 6 報告 | 結果と改善計画を取締役会及び最高経営者に報告する | 報告資料、議事録 |
誰が評価するか
GIAS は、定期的自己評価の実施者として、内部監査部門の上級職メンバー、専任の品質アシュアランスチーム、CIA の称号を持つ又は GIAS に関する豊富な経験を持つ部門内の個人、組織体内の他部署の監査の専門的能力を持つ個人を挙げています。また、内部監査人の基準理解を深めるため、自己評価のプロセスに内部監査人を参加させることを検討すべきとしています。
小規模な部門では、自分が担当した監査を自分で評価する形になりやすい点に注意が必要です。可能であれば、担当者と評価者を入れ替える、あるいは監査役スタッフなど内部監査の知識を持つ他部署の人に一部を依頼するといった工夫で、客観性を補います。調書レビューの観点は監査調書の書き方と保管ルールも参考になります。
調書サンプルの選び方
調書レビューでは、リスクの高い領域の監査、新任者が主担当だった監査、発見事項が多かった監査と少なかった監査の両方を含めると、手法の弱点が見えやすくなります。件数は部門の規模によりますが、年度内の完了監査のうち各類型から少なくとも1件ずつ選ぶと偏りを抑えられます。
自己評価シートの記入例
以下は、架空のモデルケース（内部監査部門6名の上場企業）での自己評価シートの記入例です。評定は自社で定めた「適合／一部適合／不適合」の3段階の例です。外部評価で用いられる評定尺度は、IIA の品質評価マニュアルや評価機関によって呼称が異なるため、外部評価を依頼する際に確認してください。
| 基準 | 確認した証拠 | 所見 | 評定 | 改善措置 |
|---|---|---|---|---|
| 6.2 内部監査基本規程 | 規程、取締役会議事録 | 規程に GIAS 遵守のコミットメントの記載なし。取締役会承認は5年前 | 一部適合 | 規程改訂案を作成し取締役会承認を得る |
| 7.1 組織上の独立性 | 組織図、監査等委員会の議事録 | 監査等委員会への報告は年2回。部門長との非公開協議の記録なし | 一部適合 | 年1回以上の非公開協議を議題に設定 |
| 9.4 内部監査の計画 | 年間計画、リスク評価資料 | リスク評価の根拠資料が一部未保管 | 一部適合 | リスク評価シートの保存ルールを追加 |
| 12.2 パフォーマンスの測定 | 指標の実績表 | 計画達成率のみで、取締役会の意見を反映した目標設定がない | 不適合 | 目標案を作成し取締役会の意見を求める |
| 13.2 個々の業務のリスク評価 | 調書サンプル5件 | 5件中2件で業務レベルのリスク評価が未文書化 | 一部適合 | 監査計画書の様式にリスク評価欄を追加 |
| 14.6 個々の業務の文書化 | 調書サンプル5件 | 結論に至る根拠と証拠の対応が明確 | 適合 | ― |
| 15.2 実施の確認 | フォローアップ台帳 | 期限超過案件のエスカレーション基準なし | 一部適合 | 期限超過時の報告ルールを定める |
所見の書き方
所見欄は「何を確認し、何が不足していたか」を事実で書きます。「概ね良好」のような表現は、改善措置につながりません。調書サンプルの結果は「5件中2件」のように分母を示すと、問題が偶発的なものか構造的なものかを判断しやすくなります。フォローアップの運用は発見事項フォローアップの運用で詳しく解説しています。
外部評価の準備｜評価者の選び方と独立性
外部評価で最初に悩むのが、誰に依頼するかです。GIAS は評価者の適格性と独立性について具体的な考え方を示しています。
適格性の確認項目
基準8.4の要求事項として、評価チームの少なくとも1人は有効な CIA の称号を持っている必要があります。加えて、実施に当たって考慮すべき事項として次のような適格性が挙げられています。
| 確認項目 | 確認方法の例 |
|---|---|
| GIAS と優れた内部監査実務の経験・知識 | 評価者の経歴書、過去の評価実績 |
| 内部監査部門長又は上級管理者としての経験 | 職歴の確認 |
| 自社の業界・セクターの経験 | 同業種での評価・監査経験 |
| 外部品質評価の実施経験 | 実施件数、評価報告書のサンプル（秘匿処理済み） |
| IIA が認定する外部品質評価研修の修了 | 修了証 |
| 利益相反がないことの宣誓 | チームメンバーの宣誓書 |
独立性の判断で迷いやすい点
GIAS は、評価者の独立性を損なう可能性がある関係の例として、財務諸表の外部監査、内部監査部門への支援、個人的関係、品質の内部評価への参加、ガバナンス・リスク管理・内部統制等に関するアドバイザリー業務などを挙げています。つまり、自社の会計監査人や、内部監査の共同実施（コソーシング）を依頼しているコンサルティング会社は、独立性の観点から慎重な検討が必要です。
また、組織体内の他部署の個人や、親会社・同じグループの関連会社の個人は、外部評価の目的では独立とはみなされません。2つの組織体の間で相互に評価し合うことも独立とはみなされませんが、同業種などの3つ以上の組織体が持ち回りで行う評価は、独立とみなされることがあります。
取締役会に承認を求める事項
GIAS は、取締役会が外部評価の計画をレビューし承認する際に、最低限、評価の範囲と頻度、外部評価者の専門的能力と独立性、独立した検証を伴う自己評価を選ぶ場合はその根拠を対象とすべきとしています。さらに、取締役会は外部評価の完全な結果を評価者から直接受け取ることを要求する、とされています。部門長を経由して要約だけが上がる形では、この必須条件を満たしにくくなります。
結果の報告と改善措置の計画
品質評価は、報告して改善につなげて初めて意味を持ちます。基準8.3は、内部評価の結果を少なくとも年1回、外部評価の結果を完了時に報告し、その中に GIAS への適合とパフォーマンス目標の達成、該当する場合は法令・規制の遵守、不備と改善機会に対処する計画を含めることを求めています。
改善措置の計画（記入例）
| No. | 改善事項 | 根拠（基準） | 優先度 | 措置内容 | 完了予定 | 進捗 |
|---|---|---|---|---|---|---|
| 1 | 基本規程の改訂 | 6.2 | 高 | 改訂案作成、監査等委員会で協議、取締役会承認 | 第2四半期 | 案作成中 |
| 2 | パフォーマンス目標の設定 | 12.2 | 高 | 指標案（報告書発行日数、改善措置完了率、ステークホルダー満足度）を作成し意見聴取 | 第2四半期 | 未着手 |
| 3 | 業務レベルのリスク評価の文書化 | 13.2 | 中 | 監査計画書様式の改訂、部内研修 | 第3四半期 | 様式改訂済み |
| 4 | フォローアップのエスカレーション基準 | 15.2 | 中 | 期限超過60日で監査等委員会に報告するルールを制定 | 第3四半期 | 未着手 |
優先度は、不適合が内部監査部門全体の範囲や運用に影響するかどうかで判断すると説明しやすくなります。GIAS の基準12.1は、GIAS への不適合が部門の全体的な範囲又は運用に影響を与える場合、その不適合と影響を取締役会及び最高経営者に開示することを求めています。
取締役会への報告資料の構成
報告資料は、読み手が数分で全体像をつかめる構成にします。1枚目に「評価の範囲・方法・実施者」「総合的な評定」「重要な不適合の有無」を置き、2枚目に基準別の評定一覧、3枚目に改善措置の計画と完了予定を載せる3枚構成が一例です。前回の報告からの進捗を並べて示すと、改善が続いているかどうかを取締役会が判断しやすくなります。
GIAS の基準8.3は、取締役会が少なくとも年1回、内部監査部門のパフォーマンス目標を承認し、品質のアシュアランスと改善のプログラムの結果を検討することを必須条件に挙げています。報告の場を「説明して終わり」にせず、次年度の目標の承認と改善措置の完了予定の合意までを議題に含めると、この必須条件と結び付いた運用になります。
「GIAS に適合して実施された」という表明
GIAS は、個々の内部監査業務が GIAS に適合して実施された旨の声明を最終的なコミュニケーション（監査報告書等）に含めるべきとし、適合しなかった場合には、不適合となった基準、その理由、発見事項と結論への影響を開示することを求めています。品質評価の結果は、この表明を裏付ける根拠にもなります。品質評価を行っていない状態で適合を表明することは、根拠のない保証を与えることになりかねません。報告書全体の構成は内部監査報告書の書き方を参照してください。
よくある失敗と対策
失敗1：外部評価の「合格」がゴールになる
外部評価で良い評定を得ることが目的化すると、評価直前に書類を整えるだけの運用になりがちです。GIAS が品質を「適合」と「パフォーマンス目標の達成」の組み合わせとしているのは、形式だけ整えても品質とはいえないからです。対策として、外部評価の改善提言を改善措置の計画に取り込み、年1回の内部評価報告で進捗を追う仕組みを作ります。
失敗2：継続的モニタリングが属人的になる
部門長が全件レビューしている部門ほど、レビューの観点が部門長の頭の中にしかないことがあります。部門長が交代した瞬間に品質が変わってしまうリスクがあります。レビューチェックリストを文書化し、誰がレビューしても同じ観点を確認できるようにします。
失敗3：ステークホルダーの声を聞かない
自己評価を部門内の文書レビューだけで済ませると、取締役会や被監査部門の期待とのずれに気付けません。サーベイは監査終了直後の短いアンケートと、年1回の経営層インタビューを組み合わせると負担が小さく済みます。
失敗4：評価者の独立性を後から問われる
費用を抑えるためにグループ会社の監査部門や取引先のコンサルティング会社に依頼し、後から独立性に疑問が生じるケースです。依頼前に過去・現在の関係を洗い出し、評価チームから利益相反がないことの宣誓を得て、取締役会の承認記録に残しておきます。
よくある質問
Q1. 定期的自己評価はどのくらいの頻度で行うべきですか？
GIAS は定期的自己評価の具体的な頻度を定めていません。ただし内部評価の結果は少なくとも年1回報告する必要があるため、年次の報告サイクルに合わせて計画すると運用しやすくなります。すべての基準を毎年同じ深さで見るのが難しい場合は、重点領域を年ごとに変え、外部評価の前年に全体を包括的に評価する方法もあります。
Q2. 1人だけの内部監査部門でも外部評価は必要ですか？
必要です。GIAS は、内部監査部門が1人で構成されている場合、適切な品質のアシュアランスと改善のプログラムには部門外部からの支援が必要になると述べています。独立した検証を伴う自己評価を選ぶ、内部評価の一部を組織体内の知識ある者に依頼するなど、規模に応じた方法を検討してください。
Q3. 会計監査人に外部評価を依頼できますか？
GIAS は、財務諸表の外部監査を評価者の独立性に対する潜在的な侵害の例として挙げています。依頼を検討する場合は、独立性への影響を評価し、その判断根拠を取締役会の承認記録に残す必要があります。多くの場合、会計監査人とは別の評価者を選ぶほうが説明しやすいでしょう。
Q4. J-SOX の内部統制評価と品質評価はどう関係しますか？
J-SOX（財務報告に係る内部統制報告制度）の評価業務を内部監査部門が担っている場合、その業務の品質も部門の品質評価の範囲に含めることが考えられます。一方で、J-SOX 評価は経営者評価の一部であり、内部監査としての独立性との関係を整理しておく必要があります。評価手順はJ-SOX 3点セットの作り方も参考にしてください。
まとめ｜まずは自己評価シートを1回回す
品質評価は、内部監査が「自らの仕事も証拠で説明する」ための仕組みです。GIAS は、内部評価の年1回以上の報告、少なくとも5年に1回の外部評価、評価者の独立性と CIA の関与、取締役会による計画の承認と結果の直接受領を求めています。
次の一歩としては、本記事の自己評価シートを使って、まずドメインⅢ（ガバナンス）とドメインⅤ（業務の実施）の主要な基準から評価してみることをおすすめします。そこで見えたギャップが、改善措置の計画と外部評価の準備の出発点になります。どこまでを適合とみなすかは、最終的に自社と評価者の判断になりますが、根拠を文書に残すこと自体が品質の一部です。GIAS の全体像はグローバル内部監査基準の改訂ポイント、専門人材の育成は内部監査人のキャリアと資格もあわせてご覧ください。品質評価の準備や自己評価の支援をご希望の場合は、お問い合わせからご相談ください。
参考資料
- The Institute of Internal Auditors「グローバル内部監査基準」（日本語版）基準8.3 品質、基準8.4 品質の外部評価、原則12 品質の向上、基準12.1 品質の内部評価、基準12.2 パフォーマンスの測定、基準15.1 個々の内部監査業務の最終的なコミュニケーション
- The Institute of Internal Auditors「Global Internal Audit Standards」 https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
- The Institute of Internal Auditors「Quality Assessment Manual」（2024 Edition）
- 一般社団法人日本内部監査協会「『グローバル内部監査基準™』（日本語版）公表のお知らせ」 https://www.iiajapan.com/leg/iia/info/2024/20240705_global_ia_std.html
