グローバル内部監査基準（GIAS）で変わる要点と対応ロードマップ

内部監査人協会（IIA）が2024年1月に公表した「グローバル内部監査基準（Global Internal Audit Standards、以下 GIAS）」は、2025年1月9日に発効しました。発効から一定期間が経ち、次回の外部品質評価（QAR）を見据えて「自社の内部監査は新基準に適合しているか」を確認したいという声が増えています。本記事では、GIAS の構成と旧基準からの主な変更点を整理し、実務で使える対応ロードマップと自己点検チェックリストを紹介します。

グローバル内部監査基準（GIAS）とは

GIAS は、IIA が定める「専門職的実施の国際フレームワーク（IPPF）」の中核となる基準です。2024年の改訂（いわゆる IPPF 2024）では、従来の IPPF（2017年版）に含まれていた「使命」「基本原則」「定義」「倫理綱要」「基準」が一つの文書に統合されました。新しい IPPF は、GIAS を中心に、特定のリスク領域に関する「トピック別要求事項」と、実務の参考となる「グローバル・ガイダンス」で構成されます。

GIAS 自体は、次の5つのドメイン、15の原則、52の基準で構成されています。

各基準は「要求事項」「実施にあたっての考慮事項」「適合の証拠の例」で構成され、何をすれば適合と説明できるかが旧基準より具体的になりました。「適合の証拠の例」は自己点検や外部評価の準備に活用できます。

旧 IPPF（2017年版）との主な違い

GIAS は旧基準の考え方を引き継ぎつつ、内部監査部門の「運営」と「ガバナンス」に関する要求を強化しています。主な変更点は次のとおりです。

トピック別要求事項は、サイバーセキュリティを皮切りに順次公表・発効する方針が示されています。適用開始時期や対象領域は個別に定められるため、IIA や日本内部監査協会の最新の公表内容を確認したうえで、監査計画への反映時期を判断することをおすすめします。

特に対応負荷が大きい3つのポイント

取締役会・最高経営者の「必須条件」

GIAS のドメインIIIでは、内部監査部門が有効に機能するために、取締役会と最高経営者が果たすべき事項が「必須条件」として示されています。たとえば、内部監査部門の権限や責任の承認、独立性の確保、十分な資源の提供、内部監査部門長との定期的なコミュニケーションなどです。

これらは内部監査部門だけでは完結しません。内部監査部門長が取締役会や監査委員会に説明し、合意内容を内部監査憲章（内部監査規程）や議事録に残すことが重要です。

内部監査戦略とパフォーマンス測定

年度監査計画に加えて、GIAS では組織の戦略や主要リスクに整合した内部監査戦略を策定し、取締役会と共有することが求められます。

あわせて、戦略の達成度を測る指標も必要です。指標の例は次のとおりです。

• 監査計画の実施率（計画件数に対する完了件数）
• 監査報告書の発行までの所要日数
• 指摘事項の改善完了率と期限遵守率
• 被監査部門アンケートによる満足度・有用性評価

QAIP と外部品質評価（QAR）

GIAS への適合を対外的に説明する根拠となるのが QAIP と外部評価です。外部評価は少なくとも5年に1回実施する必要があり、評価の範囲、評価者、実施時期について取締役会と協議することが求められます。また、内部評価として、日々の監査業務の継続的モニタリングと、定期的な自己評価を組み合わせることが重要です。

前回の外部評価を旧基準で受けた企業は、次回が GIAS に基づく評価になることを前提に、早めに自己評価を実施しておくと安心です。

対応ロードマップ：ギャップ分析から評価まで

GIAS への対応は、4つのフェーズで段階的に進めるのが現実的です。

進め方のポイントは次のとおりです。

1. ギャップ分析では「規程に書いてあるか」と「実際に運用され証跡が残っているか」を分けて評価します。
2. 規程・憲章の改定は、取締役会・監査委員会の承認スケジュールを先に押さえます。
3. 運用フェーズでは、監査調書や報告書の書式を見直し、証跡が自然に残る仕組みにします。
4. 評価結果は取締役会に報告し、次年度の内部監査戦略・監査計画に反映させます。

目安期間は企業規模や体制によって変わります。IPO 準備企業で内部監査部門を立ち上げる段階であれば、最初から GIAS を前提に規程や業務プロセスを設計するほうが効率的です。立ち上げの進め方は「IPO準備企業の内部監査部門の立ち上げ」でも解説しています。

GIAS 適合の自己点検チェックリスト

ギャップ分析の第一歩として次の項目を確認し、「いいえ」「不明」が多い領域から対応を検討します。

ガバナンス（ドメインIII）

• 内部監査憲章に、内部監査の目的・権限・責任・範囲が明記され、取締役会の承認を受けているか
• 内部監査部門長が取締役会（または監査委員会）に直接報告できる経路が確保されているか
• 取締役会と内部監査部門長が、必須条件に関する期待役割について話し合い、記録を残しているか
• 内部監査部門長の任命・解任、評価、報酬に取締役会が関与しているか

部門の管理（ドメインIV）

• 組織の戦略・主要リスクと整合した内部監査戦略を文書化しているか
• リスク評価に基づく監査計画を策定し、取締役会の承認を得ているか
• パフォーマンス目標と測定指標（KPI）を定め、定期的に報告しているか
• QAIP として継続的モニタリングと定期的な自己評価を実施しているか
• 外部評価を少なくとも5年に1回実施する計画があり、評価範囲や評価者を取締役会と協議しているか

倫理・業務の実施（ドメインII・V）

• 内部監査人の客観性を損なう状況（過去に担当した業務の監査など）を把握・管理しているか
• 個別監査ごとに目的・範囲・評価基準を明確にした計画を作成しているか
• 発見事項の重要度評価や根本原因の分析を行っているか
• 指摘事項の改善状況をフォローアップし、未対応事項を上位者に報告しているか

GIAS 対応を進めるうえでの注意点

GIAS は世界共通の基準であるため、日本企業の機関設計にそのまま当てはめにくい部分もあります。たとえば「取締役会」を監査役会設置会社でどう読み替えるか、監査役等との連携をどう位置づけるかは、各社の機関設計に即して整理する必要があります。

また、J-SOX 対応で整備している内部統制評価との役割分担も確認しておきたい点です。2024年4月以後開始する事業年度から適用されている改訂 J-SOX の論点については「J-SOX 2024年改訂のポイント」をご参照ください。

まとめ

GIAS（IPPF 2024）は、5つのドメイン・15の原則・52の基準で構成され、2025年1月9日に発効しました。旧 IPPF（2017年版）と比べ、取締役会・最高経営者の必須条件、内部監査戦略、パフォーマンス測定、QAIP と外部評価に関する要求が明確になり、トピック別要求事項という新しい仕組みも加わりました。

対応は、ギャップ分析、規程・憲章の改定、運用、評価の4フェーズで段階的に進めるのが現実的です。まずは本記事のチェックリストで現状を確認し、次回の外部品質評価（QAR）までに何を整えるべきかを整理するところから始めてみてください。

関連サービス

• 内部監査部門の立ち上げ・高度化