内部監査で問題を指摘し、報告書を発行しても、それだけで組織が良くなるわけではありません。改善策が実行され、その効果が定着して初めて、監査は価値を生みます。ところが実務では、「改善完了の報告を受けたが、翌年の監査で同じ問題が見つかった」「期限を過ぎた指摘事項が積み上がり、誰も状況を把握していない」といった悩みがよく聞かれます。本記事では、内部監査部門の担当者や責任者に向けて、指摘事項のフォローアップ管理の考え方と進め方、改善が定着しない原因と対策、経営者や取締役会への報告方法を、指摘事項管理台帳のテンプレートとチェックリストとあわせて整理します。
フォローアップ管理がなぜ重要か
フォローアップとは、監査で識別した指摘事項について、監査対象部門が合意した改善策を実行したか、そしてその改善策が問題を解消しているかを確認する活動です。グローバル内部監査基準（GIAS）でも、内部監査部門長は、監査の結果として合意された改善措置の実施状況をモニタリングし、確認する方法を確立することが求められています。また、経営者が改善措置を実施せず、組織が許容できる水準を超えるリスクを受け入れていると判断した場合には、その問題を上級経営者や取締役会に伝えることも求められています。
フォローアップ管理が機能していないと、次のような問題が生じます。
- 指摘事項が放置され、リスクが顕在化するまで改善されない
- 監査対象部門が「監査は報告書が出たら終わり」と受け止め、指摘への対応が形だけになる
- 同じ問題が繰り返し指摘され、監査の信頼性や内部監査部門の存在意義が問われる
- 取締役会や監査役等が、組織のリスクの状況を正しく把握できない
逆に、フォローアップ管理がしっかり機能していれば、指摘事項の改善状況そのものが内部監査部門の成果を示す指標になります。期限内改善率や再発件数は、内部監査部門のKPIとしても活用しやすい指標です。
また、フォローアップの結果は次年度の監査計画にも反映されます。改善が進んでいない領域や、改善後の運用がまだ安定していない領域はリスクが高いと評価し、監査の頻度や深度を高めます。反対に、改善が定着した領域は監査資源を他の領域に振り向ける判断材料になります。このように、フォローアップ管理は個々の指摘事項の管理にとどまらず、リスクベースの監査計画を回すための重要な情報源でもあります。
指摘事項のライフサイクル
指摘事項は、識別されてから完了するまでに、いくつかの段階を経ます。段階ごとに誰が何をするかを明確にしておくことが、フォローアップ管理の基本です。
| 段階 | 主な活動 | 主な担当 | 成果物・記録 |
|---|---|---|---|
| 識別 | 監査手続で問題を発見し、事実を確認する | 内部監査人 | 監査調書、指摘事項の草案 |
| 合意 | 監査対象部門と事実・原因・リスクを確認し、改善策と期限を合意する | 内部監査人、監査対象部門の責任者 | 講評会の記録、監査報告書 |
| 改善計画 | 改善策を具体的な実施項目に分解し、担当者と期限を決める | 監査対象部門 | 改善計画書 |
| 実施・報告 | 改善策を実行し、進捗と完了を内部監査部門に報告する | 監査対象部門 | 進捗報告、完了報告と裏付け資料 |
| 確認 | 改善策が実施され、問題が解消されたかを検証する | 内部監査人 | フォローアップ調書 |
| 完了 | 指摘事項を完了とし、経営者・取締役会等に報告する | 内部監査部門長 | 指摘事項管理台帳、定期報告 |
特に重要なのが「合意」の段階です。改善策と期限が監査対象部門の責任者との間で合意されていないと、後の段階で「そこまでやるとは言っていない」「その期限では無理だ」といった議論が生じ、フォローアップが進まなくなります。指摘事項の書き方や、監査報告書での改善策の示し方については「内部監査報告書の書き方」も参考にしてください。
改善計画を合意するときのポイント
改善計画の質は、フォローアップの成否を大きく左右します。合意の段階では、次の点を確認します。
原因に対応した改善策になっているか
「担当者に注意喚起した」「再発防止を徹底する」といった改善策は、原因に対応していないことが多く、同じ問題が繰り返される原因になります。例えば、承認漏れの原因が「承認者が不在のときの代理ルールがない」ことであれば、改善策は代理承認のルールを定めて周知することになります。内部監査人は、指摘事項の原因分析を監査対象部門と一緒に行い、改善策が原因を解消するものかを確認します。
具体的で検証可能か
改善策は、完了したかどうかを客観的に判断できる形で記述します。「管理を強化する」ではなく、「○○規程を改定し、○月から月次で△△の照合を行い、照合結果を課長が承認する」のように、何を・いつから・誰が行うかを明確にします。検証可能な形で合意しておけば、フォローアップの際に何を確認すればよいかも明確になります。
期限と責任者は現実的か
期限は、改善策の難易度や必要な資源を踏まえて設定します。システム改修を伴う改善策に短い期限を設定しても、守られなければ意味がありません。長期にわたる改善策の場合は、暫定的な対応策と恒久的な対応策に分け、それぞれに期限を設定する方法が有効です。責任者は個人名ではなく役職で指定し、人事異動があっても責任が引き継がれるようにします。
改善計画書に記載する項目と記載例
合意した内容は、監査報告書に加えて改善計画書として文書化しておくと、フォローアップの際の確認基準になります。改善計画書には、次の項目を記載するよう監査対象部門に依頼します。
| 項目 | 記載例 |
|---|---|
| 対象の指摘事項 | 管理番号と指摘事項の概要 |
| 原因 | 承認者不在時の代理承認ルールが定められていない |
| 暫定対応 | 当面は部長が代理承認者を指名し、指名記録を保管する（○月末まで） |
| 恒久対応 | 職務権限規程に代理承認の条項を追加し、ワークフローの承認経路を変更する（○月末まで） |
| 完了の判断基準 | 規程改定の承認記録、ワークフロー設定画面、改定後1か月分の承認履歴 |
| 責任者・実施担当 | 経理部長（責任者）、経理課長（実施担当） |
| 進捗報告の時期 | 毎月末に台帳の進捗欄を更新する |
「完了の判断基準」をあらかじめ合意しておくことが特に重要です。監査対象部門は何を提出すれば完了と認められるかが分かり、内部監査部門も確認の範囲を事前に計画できます。講評会の場では、「本件は、規程改定の承認記録と改定後の運用記録を確認できた時点で完了とします」のように、完了の基準を口頭でも確認しておくと、後の認識の違いを防げます。
重要度に応じたフォローアップの方法
すべての指摘事項を同じ方法で確認していると、内部監査部門の工数が不足します。指摘事項の重要度に応じて、確認の方法と深度を変えることが現実的です。
重要度の高い指摘事項
財務報告や法令遵守に重大な影響を与えるもの、不正につながるおそれのあるものなど、重要度の高い指摘事項については、内部監査人が改善策の実施状況を直接検証します。改定された規程や手順書を確認するだけでなく、改善後の運用記録をサンプルで確認し、改善策が実際に機能しているかを確かめます。必要に応じて、現場への往査も行います。
重要度が中程度の指摘事項
監査対象部門から完了報告と裏付け資料の提出を受け、内部監査人が書面で確認します。裏付け資料が不十分な場合は追加の資料を求め、必要に応じてヒアリングを行います。
重要度の低い指摘事項
監査対象部門からの完了報告を受領し、記録します。次回の定期監査の際に、改善状況をあわせて確認します。
重要度別の確認方法の整理
重要度ごとの確認方法を一覧にしておくと、内部監査人によって確認の深度がばらつくことを防げます。内部監査規程や監査マニュアルに、次のような基準を定めておくとよいでしょう。
| 重要度 | 確認方法 | 確認する証跡の例 | 確認の時期 |
|---|---|---|---|
| 高 | 実地検証（運用のサンプルテストを含む） | 改定後の規程・手順書、改善後の運用記録のサンプル、システムの設定画面 | 完了報告の受領後と、一定期間の運用後の2回 |
| 中 | 書面確認（必要に応じてヒアリング） | 改定後の規程・手順書、実施記録の写し | 完了報告の受領後 |
| 低 | 完了報告の受領と記録 | 完了報告書 | 次回の定期監査時 |
運用記録をサンプルで確認する場合は、改善策の実施日以降の記録から抽出します。改善前の期間の記録が混ざっていると、改善策の有効性を正しく評価できません。また、サンプルの抽出方法と件数、確認した結果をフォローアップ調書に記録し、第三者が後から確認しても結論に至った根拠が分かるようにします。
確認結果が不十分だった場合
フォローアップで改善策が実施されていない、または実施されていても問題が解消されていないことが分かった場合は、ステータスを「確認済」とせず、監査対象部門に追加の対応を求めます。その際は、何が不足しているかを具体的に伝え、新たな期限を合意します。改善策そのものが原因に対応していなかったことが判明した場合は、改善策を見直したうえで、あらためて合意します。
改善の定着を確認する
改善策を実施した直後に確認するだけでは、一時的な対応で終わっていないかは分かりません。重要度の高い指摘事項については、改善策の実施から一定期間が経過した後、例えば数か月分の運用記録を確認して、改善が定着しているかを検証することが望まれます。次回の定期監査の計画を立てる際にも、過去の指摘事項が再発していないかを確認する手続を組み込みます。
指摘事項管理台帳（テンプレート）
指摘事項のフォローアップを管理するための台帳の項目例です。自社の状況に合わせて項目を追加・修正してご活用ください。
| 項目 | 記載内容 |
|---|---|
| 管理番号 | 監査年度・監査テーマ・連番などで一意に付番する |
| 監査名・報告書日付 | どの監査で識別されたか |
| 対象部門・拠点 | 監査対象部門と、改善の責任部門 |
| 指摘事項の概要 | 事実と問題点を簡潔に記載する |
| リスク区分 | 財務報告、法令遵守、業務効率、情報セキュリティなど |
| 重要度 | 高・中・低など、あらかじめ定めた基準による評価 |
| 改善策 | 合意した改善策の内容（暫定対応と恒久対応を分ける場合はそれぞれ） |
| 改善責任者 | 役職で指定する |
| 当初期限・変更後期限 | 期限を変更した場合は、変更理由と承認者もあわせて記録する |
| ステータス | 未着手・対応中・完了報告済・確認済（完了）・リスク受容など |
| 確認方法・確認日 | 実地検証、書面確認、次回監査で確認など |
| 確認結果・備考 | 確認した資料、残された課題など |
台帳のステータスは、定義を明確にしておくことが重要です。特に「完了報告済」（監査対象部門が完了を報告した状態）と「確認済」（内部監査部門が改善を確認した状態）は、区別して管理します。両者を混同すると、実際には改善が確認されていない指摘事項が完了として報告されてしまいます。
改善が定着しない原因と対策
フォローアップ管理がうまくいかない原因と、その対策を整理します。
- 期限の延長が繰り返される：期限の変更に承認のルールがないと、安易な延長が常態化します。期限の変更には監査対象部門の上位者の承認と理由の記録を求め、一定回数以上の延長や長期の超過は内部監査部門長から経営者に報告するルールを定めます
- 監査対象部門の当事者意識が低い：改善策が内部監査部門から一方的に示されたものだと、監査対象部門の当事者意識が生まれにくくなります。改善策は監査対象部門自身に考えてもらい、内部監査部門は原因への対応が十分かを確認する役割に徹するのが有効です
- 改善状況が経営者に見えていない：指摘事項の改善状況が報告されていないと、経営者からの後押しが得られません。定期的な報告の仕組みを設けることが重要です
- 台帳の更新が内部監査部門の負担になっている：監査対象部門からの報告をメールで受け、内部監査部門が台帳に転記していると、更新が滞りがちです。共有の台帳やワークフローを使い、監査対象部門が直接進捗を入力できるようにすると、負担と転記誤りを減らせます
リスク受容への対応
監査対象部門が、費用や業務負荷を理由に改善策を実施しないと判断する場合もあります。このような「リスク受容」は、組織として許容できるリスクの範囲内であれば、一つの経営判断として認められるものです。ただし、リスクを受け入れる判断は、そのリスクに見合う権限を持つ経営者が行い、その判断が記録されている必要があります。内部監査部門長は、受け入れられたリスクが組織の許容範囲を超えていると判断した場合には、その旨を経営者と協議し、解決しない場合は取締役会や監査役等に報告します。
経営者・取締役会への報告
指摘事項の改善状況は、四半期や半期ごとに、経営者、取締役会、監査役等に報告します。報告では、次のような内容を含めると、組織のリスクの状況が伝わりやすくなります。
- 期中に新たに識別された指摘事項の件数と、重要度別の内訳
- 期中に完了した指摘事項の件数
- 期限を超過している指摘事項の一覧と、超過の理由・今後の見込み
- 重要度の高い指摘事項の改善状況
- リスク受容とされた指摘事項と、その判断者
BI ツールを使って指摘事項管理台帳をダッシュボード化すれば、部門別・重要度別の状況や期限超過の推移を一目で示すことができます。ダッシュボードの設計については「BIによるKRIダッシュボードの設計」で解説しています。
フォローアップ管理のチェックリスト
- 改善策と期限を、監査対象部門の責任者と合意し、記録しているか
- 改善策が原因に対応し、完了を客観的に判断できる形で記述されているか
- 重要度に応じたフォローアップの方法が定められているか
- 「完了報告済」と「確認済」を区別して管理しているか
- 期限の変更に承認のルールがあり、変更理由を記録しているか
- リスク受容の判断者と理由が記録されているか
- 改善状況を定期的に経営者・取締役会・監査役等へ報告しているか
- 過去の指摘事項の再発の有無を、次回監査で確認しているか
フォローアップの実務での進め方の例
フォローアップ管理を定常業務として回すには、年間・月次の運用サイクルを決めておくことが有効です。以下は、内部監査部門が数名程度の組織を想定した進め方の一例です。
- 報告書発行時：指摘事項を台帳に登録し、改善計画書の提出期限（例えば報告書発行から2週間以内）を監査対象部門に通知します
- 改善計画書の受領時：原因への対応、完了の判断基準、期限の妥当性を確認し、必要に応じて修正を依頼します。確定した内容を台帳に反映します
- 毎月末：監査対象部門が台帳の進捗欄を更新します。内部監査部門は、期限が近い指摘事項と期限を超過した指摘事項を抽出し、担当者に確認の連絡をします
- 完了報告の受領時：重要度に応じた方法で確認を行い、結果をフォローアップ調書と台帳に記録します
- 四半期ごと：改善状況を集計し、経営者・監査役等への報告資料を作成します。長期の期限超過や延長の繰り返しがある指摘事項は、個別に報告します
- 年度末：期限内改善率、再発件数、平均の改善所要期間などを振り返り、次年度の監査計画とフォローアップの運用の見直しに反映します
内部監査部門の人数が限られている場合は、確認作業をすべて自部門で抱え込まず、重要度の低い指摘事項は次回監査で確認するなど、メリハリをつけることが大切です。フォローアップを含めた内部監査部門の成果指標の考え方は「内部監査のKPI」も参考にしてください。
よくある質問
Q. 監査対象部門が組織変更でなくなった場合、指摘事項はどうなりますか。
A. 指摘事項が示すリスクは、組織変更後も業務が存続する限り残ります。業務を引き継いだ部門を新たな改善責任部門として台帳を更新し、その部門の責任者とあらためて改善策と期限を確認します。業務そのものが廃止された場合は、廃止を確認できる資料を入手したうえで、「業務廃止により終了」などのステータスで完了とし、理由を記録します。
Q. 改善策の内容を途中で変更したいと申し出があった場合は、どう対応すればよいですか。
A. 変更後の改善策が当初の原因に対応しているか、リスクを同程度に低減できるかを確認します。問題がなければ、変更内容と理由、承認者を台帳に記録して受け入れます。変更によって低減されないリスクが残る場合は、その部分をリスク受容として扱うかどうかを経営者と協議します。
Q. 内部監査部門が改善策の立案を手伝ってもよいのでしょうか。
A. 改善の選択肢や他部門での取組みを情報提供することは問題ありません。ただし、内部監査部門が改善策を決定し、その実施まで担ってしまうと、後でその改善策を客観的に評価できなくなり、独立性や客観性が損なわれるおそれがあります。改善策の決定と実施は監査対象部門の責任であることを明確にしたうえで、助言の範囲にとどめます。
Q. 同じ指摘が繰り返される場合は、どう扱えばよいですか。
A. 再発した指摘事項は、前回の指摘事項と関連づけて台帳に登録し、報告書にも再発であることを明記します。前回の改善策が原因に対応していなかったのか、運用が定着しなかったのかを分析し、重要度を一段階引き上げて扱うことも検討します。再発の状況は、経営者や取締役会への報告でも個別に取り上げます。
まとめ
指摘事項のフォローアップ管理は、内部監査の価値を実際の改善につなげるための仕組みです。原因に対応した具体的で検証可能な改善策を監査対象部門と合意し、完了の判断基準まで改善計画書に落とし込んでおくことが出発点になります。そのうえで、重要度に応じた方法と深度で改善状況を確認し、改善の定着まで見届けます。期限の変更、改善策の変更、リスク受容にはルールを設け、月次・四半期・年度の運用サイクルに沿って台帳を更新し、改善状況を経営者や取締役会に定期的に報告することで、組織全体で改善に取り組む環境が整います。まずは管理台帳のテンプレートとチェックリストを使って、現在のフォローアップの運用を点検してみてください。
