グローバル内部監査基準（GIAS）で変わる要点と対応ロードマップ

内部監査人協会（IIA）が2024年1月に公表した「グローバル内部監査基準（Global Internal Audit Standards、以下 GIAS）」は、2025年1月9日に発効しました。発効から一定期間が経ち、次回の外部品質評価（QAR）を見据えて「自社の内部監査は新基準に適合しているか」を確認したいという声が増えています。本記事では、GIAS の構成と旧基準からの主な変更点を整理し、実務で使える対応ロードマップと自己点検チェックリストを紹介します。

グローバル内部監査基準（GIAS）とは

GIAS は、IIA が定める「専門職的実施の国際フレームワーク（IPPF）」の中核となる基準です。2024年の改訂（いわゆる IPPF 2024）では、従来の IPPF（2017年版）に含まれていた「使命」「基本原則」「定義」「倫理綱要」「基準」が一つの文書に統合されました。新しい IPPF は、GIAS を中心に、特定のリスク領域に関する「トピック別要求事項」と、実務の参考となる「グローバル・ガイダンス」で構成されます。

GIAS 自体は、次の5つのドメイン、15の原則、52の基準で構成されています。

各基準は「要求事項」「実施にあたっての考慮事項」「適合の証拠の例」で構成され、何をすれば適合と説明できるかが旧基準より具体的になりました。「適合の証拠の例」は自己点検や外部評価の準備に活用できます。

読み進める際は、要求事項と考慮事項の性格の違いを意識しておくと理解しやすくなります。要求事項は内部監査部門が満たすべき事項であり、実施にあたっての考慮事項は、要求事項を満たすための一般的な実務や望ましい方法を示したものです。自社の規模や業種によって考慮事項の取り入れ方は変わりますが、要求事項については適合しているかどうかを説明できる状態にしておく必要があります。

また、GIAS では「取締役会（board）」「最高経営者（senior management）」「内部監査部門長（chief audit executive）」といった用語が繰り返し使われます。これらが自社のどの機関・役職にあたるのかを最初に整理しておくと、規程の改定や取締役会への説明がスムーズになります。

旧 IPPF（2017年版）との主な違い

GIAS は旧基準の考え方を引き継ぎつつ、内部監査部門の「運営」と「ガバナンス」に関する要求を強化しています。主な変更点は次のとおりです。

トピック別要求事項は、サイバーセキュリティを皮切りに順次公表・発効する方針が示されています。適用開始時期や対象領域は個別に定められるため、IIA や日本内部監査協会の最新の公表内容を確認したうえで、監査計画への反映時期を判断することをおすすめします。

特に対応負荷が大きい3つのポイント

取締役会・最高経営者の「必須条件」

GIAS のドメインIIIでは、内部監査部門が有効に機能するために、取締役会と最高経営者が果たすべき事項が「必須条件」として示されています。たとえば、内部監査部門の権限や責任の承認、独立性の確保、十分な資源の提供、内部監査部門長との定期的なコミュニケーションなどです。

これらは内部監査部門だけでは完結しません。内部監査部門長が取締役会や監査委員会に説明し、合意内容を内部監査憲章（内部監査規程）や議事録に残すことが重要です。

取締役会への説明資料は、次のような構成にすると議論が進めやすくなります。

1. GIAS の概要と、取締役会・最高経営者に求められる事項の一覧
2. 現状の対応状況（規程の定め、報告の頻度、資源の状況）
3. 不足している事項と、内部監査部門からの提案（憲章の改定案、報告頻度の見直し案など）
4. 取締役会として決議・確認していただきたい事項

一度の説明ですべてを合意する必要はありません。論点ごとに複数回に分けて協議し、その都度議事録に残していくほうが、実質的な合意につながりやすくなります。

内部監査戦略とパフォーマンス測定

年度監査計画に加えて、GIAS では組織の戦略や主要リスクに整合した内部監査戦略を策定し、取締役会と共有することが求められます。

内部監査戦略には、内部監査部門が目指す姿（ビジョン）、その実現に向けた戦略的目標、目標を達成するための施策を含めることが求められます。たとえば「データ分析を活用した継続的なモニタリング体制の構築」を戦略的目標に掲げる場合、施策として人材の育成計画やツールの導入計画を具体化し、年度ごとの到達点を定めておくと、進捗を取締役会に報告しやすくなります。

あわせて、戦略の達成度を測る指標も必要です。指標の例は次のとおりです。

• 監査計画の実施率（計画件数に対する完了件数）
• 監査報告書の発行までの所要日数
• 指摘事項の改善完了率と期限遵守率
• 被監査部門アンケートによる満足度・有用性評価

指標は多ければよいわけではありません。戦略的目標との対応関係が説明できる指標に絞り、目標値の設定根拠と測定方法をあわせて文書化しておくことが大切です。KPI の設計の考え方は「内部監査の KPI 設計」で解説しています。

QAIP と外部品質評価（QAR）

GIAS への適合を対外的に説明する根拠となるのが QAIP と外部評価です。外部評価は少なくとも5年に1回実施する必要があり、評価の範囲、評価者、実施時期について取締役会と協議することが求められます。また、内部評価として、日々の監査業務の継続的モニタリングと、定期的な自己評価を組み合わせることが重要です。

前回の外部評価を旧基準で受けた企業は、次回が GIAS に基づく評価になることを前提に、早めに自己評価を実施しておくと安心です。

対応ロードマップ：ギャップ分析から評価まで

GIAS への対応は、4つのフェーズで段階的に進めるのが現実的です。

進め方のポイントは次のとおりです。

1. ギャップ分析では「規程に書いてあるか」と「実際に運用され証跡が残っているか」を分けて評価します。
2. 規程・憲章の改定は、取締役会・監査委員会の承認スケジュールを先に押さえます。
3. 運用フェーズでは、監査調書や報告書の書式を見直し、証跡が自然に残る仕組みにします。
4. 評価結果は取締役会に報告し、次年度の内部監査戦略・監査計画に反映させます。

目安期間は企業規模や体制によって変わります。IPO 準備企業で内部監査部門を立ち上げる段階であれば、最初から GIAS を前提に規程や業務プロセスを設計するほうが効率的です。立ち上げの進め方は「IPO準備企業の内部監査部門の立ち上げ」でも解説しています。

ギャップ分析表のテンプレート

ギャップ分析は、基準ごとに次のような表で整理すると、優先度付けと進捗管理を一つの表で行えます。

判定は「適合」「部分的に適合」「不適合」の3段階程度にとどめ、判定の根拠となる資料名を併記しておくと、外部評価の際にもそのまま説明資料として使えます。

部門の規模別の考え方

GIAS の要求事項は内部監査部門の規模にかかわらず適用されますが、どのように満たすかは規模や体制によって異なります。規模に応じた考え方の例を整理します。

少人数の部門では、すべてを自前で整えようとすると本来の監査業務が滞ります。外部の力を借りる方法は「ひとり内部監査の限界と外部活用の実務」でも解説しています。

GIAS 適合の自己点検チェックリスト

ギャップ分析の第一歩として次の項目を確認し、「いいえ」「不明」が多い領域から対応を検討します。

ガバナンス（ドメインIII）

• 内部監査憲章に、内部監査の目的・権限・責任・範囲が明記され、取締役会の承認を受けているか
• 内部監査部門長が取締役会（または監査委員会）に直接報告できる経路が確保されているか
• 取締役会と内部監査部門長が、必須条件に関する期待役割について話し合い、記録を残しているか
• 内部監査部門長の任命・解任、評価、報酬に取締役会が関与しているか

部門の管理（ドメインIV）

• 組織の戦略・主要リスクと整合した内部監査戦略を文書化しているか
• リスク評価に基づく監査計画を策定し、取締役会の承認を得ているか
• パフォーマンス目標と測定指標（KPI）を定め、定期的に報告しているか
• QAIP として継続的モニタリングと定期的な自己評価を実施しているか
• 外部評価を少なくとも5年に1回実施する計画があり、評価範囲や評価者を取締役会と協議しているか

倫理・業務の実施（ドメインII・V）

• 内部監査人の客観性を損なう状況（過去に担当した業務の監査など）を把握・管理しているか
• 個別監査ごとに目的・範囲・評価基準を明確にした計画を作成しているか
• 発見事項の重要度評価や根本原因の分析を行っているか
• 指摘事項の改善状況をフォローアップし、未対応事項を上位者に報告しているか

GIAS 対応を進めるうえでの注意点

GIAS は世界共通の基準であるため、日本企業の機関設計にそのまま当てはめにくい部分もあります。たとえば「取締役会」を監査役会設置会社でどう読み替えるか、監査役等との連携をどう位置づけるかは、各社の機関設計に即して整理する必要があります。

機関設計ごとの読み替えは、たとえば次のように整理する方法が考えられます。最終的には自社の規程や実際の報告経路に即して判断してください。

• 指名委員会等設置会社：取締役会または監査委員会を、GIAS の「取締役会」の主な対話先として位置づける
• 監査等委員会設置会社：取締役会に加え、監査等委員会を内部監査部門長の主な報告先・協議先として位置づける
• 監査役会設置会社：取締役会への報告に加え、監査役会・監査役との連携を規程で明確にし、必須条件に関する協議の場として活用する

また、J-SOX 対応で整備している内部統制評価との役割分担も確認しておきたい点です。2024年4月以後開始する事業年度から適用されている改訂 J-SOX の論点については「J-SOX 2024年改訂のポイント」をご参照ください。

よくある質問

Q. 基準に適合できない項目がある場合はどうすればよいですか

GIAS では、内部監査部門が基準に適合できない場合、内部監査部門長がその事実と影響を取締役会に伝えることが求められています。適合できない状態を放置するのではなく、理由と影響、改善に向けた方針を取締役会と共有し、記録に残すことが重要です。また、「基準に適合している」と表明できるのは、品質のアシュアランスと改善のプログラムの結果によって裏付けられている場合に限られる点にも注意が必要です。

Q. 外部評価はどのような人に依頼すればよいですか

外部評価は、組織から独立した、適格な評価者または評価チームが実施する必要があります。GIAS では、評価チームに公認内部監査人（CIA）の資格保有者を含めることなど、評価者の要件が定められています。評価者の選定にあたっては、内部監査部門長が取締役会と協議し、独立性や利益相反の有無を確認することが求められます。外部品質評価の準備の進め方は「内部監査の品質評価（QAR）の進め方」をご参照ください。

Q. 内部監査憲章と内部監査規程は、別々に作る必要がありますか

名称や文書の形式は各社の実情に合わせて判断して構いません。日本企業では内部監査規程として定めているケースが多く見られますが、GIAS が内部監査憲章に求める目的・権限・責任・範囲、取締役会の役割などの内容が網羅され、取締役会の承認を受けていることが重要です。既存の規程を改定する場合は、GIAS の要求事項との対応表を作成しておくと、承認時の説明に役立ちます。

Q. 対応の優先順位はどのように決めればよいですか

取締役会の承認を要する事項は承認機会が限られるため、早めに着手する必要があります。そのうえで、外部評価で指摘を受けやすい「規程はあるが運用の証跡がない」項目や、取締役会への報告が必要な KPI・QAIP の結果など、年度単位で運用実績を積み上げる必要がある項目を優先するとよいでしょう。

まとめ

GIAS（IPPF 2024）は、5つのドメイン・15の原則・52の基準で構成され、2025年1月9日に発効しました。旧 IPPF（2017年版）と比べ、取締役会・最高経営者の必須条件、内部監査戦略、パフォーマンス測定、QAIP と外部評価に関する要求が明確になり、トピック別要求事項という新しい仕組みも加わりました。

対応は、ギャップ分析、規程・憲章の改定、運用、評価の4フェーズで段階的に進めるのが現実的です。ギャップ分析では規程と運用の証跡を分けて判定し、要求事項の満たし方は部門の規模や体制に応じて工夫します。適合できない項目がある場合は、その事実と影響を取締役会と共有しておくことも欠かせません。まずは本記事のチェックリストで現状を確認し、次回の外部品質評価（QAR）までに何を整えるべきかを整理するところから始めてみてください。

関連サービス

• 内部監査部門の立ち上げ・高度化