期末まで残り 2 か月。会計監査人から内部監査室に 1 通のメールが届きました。「J-SOX の運用評価で、内部監査室が実施した販売プロセスのテスト結果を利用したいので、調書一式を共有してください」。
担当者がファイルサーバーを開くと、前任者が作成した Excel が見つかりました。25 行のサンプル一覧の右端に「OK」の文字が並び、最終行に「問題なし」とあります。しかし、どの帳票の何を見て OK と判断したのか、サンプルはどう選んだのか、誰がいつレビューしたのかは、どこにも書かれていません。前任者は昨年異動しており、結局、テストは実施し直すことになりました。
これは特定の会社の出来事ではなく、多くの内部監査部門で起こりうる状況をもとにした架空のモデルケースです。監査調書は作成した本人のメモではなく、「未来の他人」が読んで同じ結論にたどり着くための記録です。その前提を外すと、手間をかけたテストの価値が、後から丸ごと失われてしまいます。
本記事では、監査調書の役割と基準上の位置づけを確認したうえで、レビューで指摘されないための 7 項目、記入例、保管ルールの作り方までを解説します。
この記事の要点
- グローバル内部監査基準 14.6 は、十分に情報を得た慎重な内部監査人が「仕事を繰り返し、同じ結果を導き出せる」ように文書化することを求めている
- 調書に最低限必要なのは「目的・出典・母集団とサンプル・実施手続・結果と例外・結論・作成者とレビュー者」の 7 項目
- 監督者のレビューと内部監査部門長の承認は基準上の要求事項であり、レビューの記録も調書の一部
- J-SOX の実施基準は、記録の保存期間として有価証券報告書等の縦覧期間（5 年）を勘案することを例示している
- 保存期間・媒体・アクセス権限は、法令と自社の方針に照らして内部監査規程などで明文化しておく
監査調書とは何か──なぜ「再実施できる記録」が求められるのか
監査調書（ワーキングペーパー）とは、内部監査人が監査の過程で入手した情報、実施した手続、その結果と結論を記録した文書の総称です。計画書、ヒアリング記録、業務フロー図、テストの明細、発見事項の分析などがすべて含まれます。
日本内部監査協会の「内部監査基準」（2014 年改訂）は、内部監査人が結論および結論に至る過程を監査調書に記録すること、内部監査部門長が調書を適切に保存し、記録へのアクセスを管理することを定めています（7.2.1 ⑶）。IIA の「グローバル内部監査基準」（2025 年 1 月 9 日発効）は、基準 14.6「個々の内部監査業務の文書化」でさらに踏み込み、分析・評価・裏付け情報を「十分に情報を得た慎重な内部監査人、又は同様の情報を得た有能な者が、その仕事を繰り返すことができ、同じ個々の内部監査業務の結果を導き出すことができるように」文書化しなければならないとしています。
「再実施可能性」という基準の意味
この「再実施可能性」こそが、監査調書の品質を測る物差しです。調書を読んだ第三者が、同じデータを取り出し、同じ手続を行い、同じ結論に至れるかどうか。これが満たされていれば、作成者が異動しても、退職しても、調書は証拠として生き続けます。
逆に言えば、「OK」「確認済」とだけ書かれた調書は、作成者の頭の中にしか根拠がありません。基準 14.1 は、情報が「十分」であることの条件として、慎重で有能な人が監査プログラムを繰り返して同じ結論に達することを可能にする、という表現を使っています。十分性の定義と文書化の要求事項が、同じ言葉でつながっているわけです。
調書を読むのは誰か
調書の読み手は、作成者本人だけではありません。第一に、監督者と内部監査部門長です。基準 14.6 は、内部監査人と監督者が調書を正確性・関連性・完全性の観点でレビューし、内部監査部門長がレビューして承認することを要求事項としています。
第二に、品質評価の担当者です。内部・外部の品質評価では、調書を通じて基準への適合が確かめられます（品質評価（QAR）の解説も参照）。第三に、会計監査人です。J-SOX の「財務報告に係る内部統制の評価及び監査に関する実施基準」は、監査人が内部監査人等の作業を自己の検証そのものに代えて利用することはできないが、その品質と有効性を検証したうえで、経営者の評価に対する監査証拠として利用することが考えられるとしています（Ⅲ.4.(6)③）。検証の手がかりになるのは調書です。冒頭のモデルケースのように、調書が再実施に耐えなければ、せっかくの内部監査の作業は利用されません。
調書の体系──インデックスとクロスリファレンス
1 枚 1 枚の調書の質を上げる前に、調書全体の「地図」を作ることが重要です。基準 14.6 の実施上の考慮事項は、調書を監査プログラムの構造に沿って整理し、関連する情報と相互参照（クロスリファレンス）することを推奨しています。
インデックス体系のテンプレート
以下は、インデックス番号の付け方の一例です。番号体系は部門で 1 つに統一し、すべての監査で使い回します。
| 番号 | 区分 | 主な調書 | 基準 14.6 で例示される調書との対応 |
|---|---|---|---|
| A | 計画 | 監査通知、リスク評価、監査プログラム、予算と日程 | 計画に関する文書 |
| B | 理解 | 業務フロー図、業務記述書、ヒアリング記録 | プロセスマップ・フローチャート、面談の要約 |
| C | リスクとコントロール | RCM、統制の整備状況の評価 | リスク・コントロール・マトリクス |
| D | テスト | 運用テスト、データ分析、実査の明細 | 実施したテストと分析の詳細 |
| E | 発見事項 | 発見事項シート、原因分析、講評会の記録 | 結論（発見事項の調書への相互参照を含む） |
| F | 報告 | 報告書ドラフト、経営管理者の回答、最終版 | 経営管理者の回答を含む最終的なコミュニケーション |
| G | フォローアップ | 改善措置の確認計画と結果 | 実施予定のフォローアップ業務 |
C 区分の RCM や B 区分の業務フロー図は、J-SOX の 3 点セットと重なる部分が多く、被監査部門が作成したものを参照番号付きで取り込むこともできます。作り方は J-SOX 3 点セットの作り方と RCM の記入例で解説しています。
クロスリファレンスは「双方向」に張る
相互参照で見落とされやすいのは、方向です。テスト調書（D-3）から発見事項シート（E-1）へ「例外 → E-1 参照」と書くだけでなく、E-1 の側にも「根拠 D-3 行 7〜10」と書きます。報告書の発見事項から調書へ、調書から証拠ファイルへと、上からも下からもたどれる状態にしておくと、レビューや外部からの問い合わせに短時間で答えられます。
レビューで指摘されない 7 項目
基準 14.6 の実施上の考慮事項は、調書の基本的な様式として、参照番号、表題、監査の日付または期間、実施した業務の範囲、目的、データの出典、母集団とサンプル数・抽出方法、実施者名、レビューノートとレビュー者名を挙げています。これを実務で使いやすく 7 項目に整理したのが、次のチェックリストです。
| # | 項目 | 書く内容 | レビューでよくある指摘 |
|---|---|---|---|
| 1 | 目的 | この調書で何を確かめるのか（対応するリスク・統制番号） | 何のためのテストか分からない |
| 2 | 出典 | データ・帳票の名称、システム名、抽出条件、入手日、入手元 | どこから取ったデータか不明 |
| 3 | 母集団とサンプル | 母集団の件数と期間、完全性の確認方法、サンプル数、抽出方法 | 母集団が全件である根拠がない |
| 4 | 実施手続 | 何と何を照合し、どの属性を確かめたか | 「確認した」だけで手順が再現できない |
| 5 | 結果と例外 | サンプルごとの結果、例外の内容と件数、追加手続 | 例外の扱いが書かれていない |
| 6 | 結論 | 目的に対する結論と、その理由 | 結論が目的と対応していない |
| 7 | 作成者・レビュー者 | 作成者名と作成日、レビュー者名とレビュー日、レビューノート | レビューの痕跡がない |
「出典」と「母集団」が最も弱くなりやすい理由
7 項目のうち、実務で最も抜けやすいのが 2 と 3 です。テストの手順（4）は監査プログラムに書いてあるので写せば済みますが、データをどう入手したかは、その場の作業で決まるため記録に残りにくいのです。
しかし、母集団が不完全であれば、どれほど丁寧にサンプルを検証しても結論は成り立ちません。システムから抽出した一覧であれば、抽出条件と件数、会計帳簿の合計との照合結果を残しておきます。基準 14.2 の「適合していることの証拠の例」にも、テストの母集団、サンプリングのプロセスと方法を記録した調書が挙げられています。サンプル数の決め方はサンプル数 25 件の根拠とサンプル数計算ツールを参照してください。
ティックマークは「凡例」とセットで
ティックマーク（✓、△ などの記号）は、同じ種類の確認を何度も繰り返すテストで便利です。ただし、凡例のないティックマークは第三者には読めません。調書の冒頭か末尾に、記号ごとの意味（「✓ = 発注書と請求書の金額一致を確認」など）を必ず書きます。記号の意味を監査ごとに変えないことも重要です。
記入例──運用テスト調書（架空のモデルケース）
ここでは、架空の卸売業における「売上計上の承認統制」の運用テストを例に、7 項目を満たした調書の記入例を示します。数値は説明用の架空のものです。
ヘッダー部
| 項目 | 記入例 |
|---|---|
| 参照番号 | D-3 |
| 表題 | 販売プロセス 売上計上承認の運用テスト |
| 対象期間 | 2026 年 4 月 1 日〜2026 年 9 月 30 日 |
| 目的 | 統制 S-04（出荷実績のない売上計上を防ぐため、営業課長が出荷報告書と照合のうえ売上伝票を承認する）が対象期間を通じて運用されているかを確かめる。関連リスク R-02（架空売上） |
| 出典 | 販売管理システムの売上伝票一覧（抽出条件：計上日が対象期間、伝票区分「通常売上」）。2026 年 10 月 6 日に情報システム部から監査担当者が直接受領 |
| 母集団 | 1,842 件、合計 12 億 3,400 万円。総勘定元帳の売上高（通常売上分）と一致することを確認（D-3-1） |
| サンプル | 25 件。乱数による無作為抽出（乱数表示と抽出結果は D-3-2） |
| 実施手続 | ① 売上伝票に営業課長の承認記録があるか、② 承認日が計上日以前か、③ 出荷報告書の数量・日付と伝票が一致するかを確かめる |
| 作成者 / 日付 | 内部監査室 A 2026 年 10 月 14 日 |
| レビュー者 / 日付 | 内部監査室長 B 2026 年 10 月 17 日 |
明細部と結論
| No. | 伝票番号 | 計上日 | ① 承認 | ② 承認日 | ③ 出荷照合 | 備考 |
|---|---|---|---|---|---|---|
| 1 | S-26-0412 | 4/8 | ✓ | ✓ | ✓ | |
| 2 | S-26-0587 | 4/19 | ✓ | ✓ | ✓ | |
| … | … | … | … | … | … | |
| 17 | S-26-1320 | 8/2 | ✓ | × | ✓ | 承認日 8/5。計上後の事後承認。E-1 参照 |
| 25 | S-26-1795 | 9/28 | ✓ | ✓ | ✓ |
凡例：✓ = 手続どおり確認し問題なし、× = 例外。
結論：25 件中 1 件で事後承認が認められた。当該 1 件は出荷報告書と一致しており、架空売上ではないことを確認した（③）。例外の原因を担当者と営業課長に確認したところ、課長の出張中に承認が保留されていた。代理承認者が定められていないことが原因であり、E-1 で発見事項として評価する。例外が 1 件あることを踏まえた統制の有効性の判断は、部門の評価基準（許容逸脱数）に従い E-1 で行う。
このように、結論には「何件中何件が例外か」「例外が統制の目的（架空売上の防止）にどう影響するか」「どの調書で評価を続けるか」を書きます。発見事項シートの書き方は内部監査報告書の書き方で詳しく扱っています。
監督者レビューと部門長承認の進め方
調書のレビューは、「誤字を探す作業」ではありません。基準 14.6 は、調書を正確性・関連性・完全性の観点でレビューすることを求めています。つまり、レビュー者が見るべきは、目的と結論が対応しているか、結論が証拠で支えられているか、必要な手続が抜けていないか、です。
レビューの 3 つの問い
実務では、次の 3 つの問いに沿って調書を読むと、指摘の質がそろいます。第一に「この結論は、この証拠から言えるか」。第二に「この母集団で、統制の目的をカバーできているか」。第三に「例外の扱いは、部門のルールどおりか」。細かな体裁の指摘は最後に回し、結論に影響する指摘を優先します。
レビューのタイミングも品質を左右します。往査の最終日にまとめて見るのではなく、計画（A 区分）の確定時、テストの途中（最初の数件を終えた段階）、結論の作成時と、少なくとも 3 回に分けて見ると、手戻りが小さくなります。テストの途中で手続の誤りに気づけば、残りのサンプルで修正できるからです。
レビューノートの管理表
レビューで出た指摘と対応は、それ自体が「監督が行われた証拠」です。基準 14.6 の様式例にも、レビューノートとレビュー者名が含まれています。以下のような管理表で記録し、すべてクローズしてから部門長の承認に進みます。
| No. | 調書番号 | 指摘内容 | 指摘者・日付 | 対応内容 | 対応者・日付 | 状態 |
|---|---|---|---|---|---|---|
| 1 | D-3 | 母集団と総勘定元帳の照合結果が添付されていない | B 10/17 | D-3-1 として照合表を追加 | A 10/18 | 完了 |
| 2 | D-3 | No.17 の例外について、同じ課で他に事後承認がないか確認が必要 | B 10/17 | 同課の対象期間の全伝票を抽出し追加確認。他に該当なし（D-3-3） | A 10/20 | 完了 |
レビューが終わったら、調書の確定日を記録し、以降の修正を制限します。報告後に調書を書き換えられる状態では、調書が証拠として信頼されません。
保管ルール──期間・媒体・アクセス
基準 14.6 は、関連する法令や規制、内部監査部門と組織体の方針と手続に従って調書を保存することを求めています。具体的な年数は基準には書かれておらず、各組織が決める必要があります。
保存期間を決める手がかり
J-SOX の実施基準は、財務報告に係る内部統制について作成した記録の保存の範囲・方法・期間は企業が諸法令との関係を考慮して判断するとしたうえで、金融商品取引法上は、有価証券報告書およびその添付書類の縦覧期間（5 年）を勘案し、同程度の期間保存することが考えられるとしています（Ⅱ.3.(7)②）。あわせて、後日、第三者による検証が可能となるよう、関連する証拠書類を適切に保存する必要があるとも述べています。
また、会社法第 432 条第 2 項は、会計帳簿の閉鎖の時から 10 年間、会計帳簿とその事業に関する重要な資料を保存することを定めています。監査調書そのものがこれに該当するかは組織ごとの判断ですが、調書に添付した証憑の原本がこうした資料に当たることはあります。いずれにしても、保存期間は法務部門と相談のうえ内部監査規程や文書管理規程に明記しておくのが確実です。
保管ルールのテンプレート
| 項目 | 定める内容 | 記載例 |
|---|---|---|
| 保存期間 | 調書の区分ごとの保存年数と起算点 | J-SOX 関連調書：報告書提出年度の翌年度から 5 年以上。その他：7 年 |
| 保存媒体 | 電子・紙の別、保存場所 | 電子保存を原則とし、内部監査室専用フォルダに格納 |
| 確定と改変防止 | 確定のタイミングと方法 | 最終報告書の発行後 30 日以内に確定し、編集権限を解除 |
| アクセス権限 | 閲覧できる者と承認手続 | 内部監査室員のみ。外部監査人等への開示は内部監査部門長の承認を要する |
| 機密・個人情報 | マスキングや持ち出し制限 | 給与・個人情報を含む証跡は必要最小限とし、閲覧記録を残す |
| 廃棄 | 廃棄の手続と記録 | 保存期間満了後、内部監査部門長の承認を得て廃棄し、廃棄記録を作成 |
日本内部監査協会の基準が、保存と並べて「記録へのアクセスを管理」することを部門長の責任にしているのは、調書に経営上の機密や個人情報が集まるからです。監査ツールやクラウドストレージで管理する場合も、権限設定と閲覧ログの確認をルールに含めてください。生成 AI に調書を読ませる場合の注意点は AI 活用の落とし穴でまとめています。
よくある失敗と対策
失敗 1：画面を見て「確認済」とだけ書く
システムの画面を見て確認したときは、画面のキャプチャや出力を保存し、何を見て何を確認したかを書きます。証跡を残せない場合でも、確認した画面名、条件、日時、立会者を記録すれば、再実施の手がかりになります。
失敗 2：母集団の完全性を確かめていない
被監査部門から受け取った一覧をそのまま母集団にすると、都合の悪い取引が抜けていても気づけません。可能な限りシステムから直接抽出し、会計帳簿の合計などと照合します。データ分析監査（CAAT）で全件を扱う場合も、抽出条件の記録は欠かせません。
失敗 3：レビューが報告書の発行後になる
報告書を出してから調書をレビューすると、指摘が見つかっても結論を直せません。レビューと部門長承認は、報告書ドラフトの確定前に終える日程を組みます。
失敗 4：個人のフォルダに調書が散らばる
担当者の PC や個人のクラウド領域に調書が残ると、異動や退職で失われます。インデックス体系どおりの共有フォルダ構成をテンプレート化し、監査の開始時に作成しておくと散逸を防げます。
失敗 5：前年の調書をコピーして日付だけ変える
前年の調書を下敷きにすること自体は効率的ですが、業務フローやシステム、担当者が変わっているのに、前年の記述が残ったままになりがちです。コピーして使う場合は、B 区分（理解）の記述を今年のヒアリング結果で必ず更新し、変更点を調書の冒頭に明記します。レビュー者も「前年から何が変わったか」を最初に確認すると、見落としを防げます。
よくある質問
Q1. 調書の様式は Excel と Word のどちらがよいですか？
どちらでも構いません。基準 14.6 の実施上の考慮事項も、ひな型やソフトウェアの利用に触れているだけで、形式は指定していません。大切なのは 7 項目がそろっていることと、部門内で様式が統一されていることです。テストの明細は Excel、ヒアリング記録は Word、のように用途で使い分ける組織が多いでしょう。
Q2. ヒアリング記録はどこまで詳しく書くべきですか？
発言の逐語録は不要ですが、日時、相手の役職、同席者、質問と回答の要旨、入手した資料を記録します。結論の根拠にする発言は、可能であれば相手に要旨を確認してもらうと、後の事実確認で争いになりにくくなります。
Q3. アドバイザリー業務でも調書は必要ですか？
必要です。基準 14.6 の要求事項は個々の内部監査業務全般に適用されます。ただし、アドバイザリー業務では関係者との合意内容によって証拠の範囲が変わるため、合意した目的と範囲に見合った記録を残すことになります。
Q4. 保存期間を過ぎた調書は必ず廃棄すべきですか？
期間満了で自動的に廃棄しなければならないわけではありません。訴訟や調査が予想される場合には保存を延長する必要もあります。廃棄の可否は内部監査部門長の承認を得て判断し、その記録を残す運用が一般的です。
まとめ
監査調書の価値は、作成者がいなくなったあとに試されます。「十分に情報を得た慎重な内部監査人が、同じ結果を導き出せるか」という基準 14.6 の物差しに照らして、目的・出典・母集団とサンプル・実施手続・結果と例外・結論・作成者とレビュー者の 7 項目を毎回そろえることが、再実施に耐える調書への近道です。
まずは部門共通のインデックス体系と、本記事の 7 項目チェックリスト、保管ルールのテンプレートを内部監査規程や手順書に落とし込むところから始めてみてください。調書が整えば、報告書の作成も発見事項のフォローアップも、根拠をたどりながら進められるようになります。保存期間や開示範囲は、法令と自社の規程に照らして最終的に自社で判断してください。
調書様式の整備や品質評価への備えについてのご相談は、お問い合わせからお寄せください。
参考資料
- The Institute of Internal Auditors「Global Internal Audit Standards」（基準 14.1、14.2、14.6） https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/
- 一般社団法人日本内部監査協会「内部監査基準」（2014 年改訂） https://www.iiajapan.com/leg/guide/
- 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」（2023 年 4 月 7 日） https://www.fsa.go.jp/news/r4/sonota/20230407/20230407.html
- 会社法（平成 17 年法律第 86 号）第 432 条
