内部監査の立ち上げ手順｜IPO準備会社が内部監査部門を設置するには

IPO 準備を進める中で、「内部監査部門を設置してください」と主幹事証券会社や監査法人から指摘を受けるケースは少なくありません。とはいえ、専任者を採用できず、管理部門の担当者が兼務で「ひとり内部監査」から始める会社も多いのが実情です。本記事では、内部監査部門をゼロから立ち上げる手順と、IPO 審査を見据えて押さえておきたいポイントを、規程の文例や様式、よくある失敗例も交えて整理します。

なぜ IPO 準備で内部監査部門の設置が求められるのか

上場会社には、組織的な経営を行い、内部管理体制が有効に機能していることが求められます。内部監査は、その内部管理体制が規程どおりに運用されているかを、業務執行部門から独立した立場で確認し、改善につなげる仕組みです。

上場審査では、内部監査部門が「形式的に存在するか」だけでなく、「実際に計画に基づいて監査が行われ、指摘事項が改善されているか」が確認される傾向にあります。そのため、申請直前に慌てて体制を整えるのではなく、一定期間の運用実績を積み上げられるよう、早い段階で立ち上げに着手することが重要です。

また、内部監査は J-SOX（金融商品取引法に基づく財務報告に係る内部統制報告制度）対応の評価体制とも関係が深く、上場後の内部統制報告書の作成を見据えても、早めに基盤を作っておくメリットがあります。内部監査部門が J-SOX の独立的評価を担う会社も多いため、業務監査と内部統制評価をどう役割分担するかも、立ち上げ時点で方針を決めておくと後の混乱を防げます。

内部監査部門 立ち上げの 6 ステップ

内部監査部門の設置は、次の 6 つのステップで進めると整理しやすくなります。

1. 内部監査規程の制定：目的・権限・責任・手続を明文化し、取締役会等で承認を得る
2. 独立性の確保：組織上の位置づけ（社長直轄など）と、担当者の兼務範囲を決める
3. 年間監査計画の策定：リスク評価に基づき、監査対象・時期・重点項目を決める
4. 監査の実施：個別監査計画書を作成し、ヒアリング・証跡確認・サンプルテストを行う
5. 監査結果の報告：監査報告書を作成し、代表取締役や取締役会、監査役等に報告する
6. フォローアップ：改善計画の提出を受け、期限までに改善されたかを確認する

ステップ 1：内部監査規程の制定

まず、内部監査の拠り所となる規程を整備します。規程がないまま監査を行うと、被監査部門に資料提出を求める根拠が曖昧になり、協力を得にくくなります。規程に盛り込む項目は後述のチェックリストを参考にしてください。

規程とあわせて、「内部監査実施要領」や「内部監査マニュアル」のような下位文書を用意しておくと、担当者が交代しても手続の水準を保ちやすくなります。規程には原則と権限を、要領には様式の使い方や調書の書き方などの実務手順を書き分けるのが一般的です。

ステップ 2：独立性の確保

内部監査部門は、代表取締役直轄とするのが一般的です。管理部長の配下に置くと、管理部門自体を監査する際に独立性が損なわれるおそれがあります。兼務者が担当する場合は、「自分が所属する部門の業務は自分で監査しない」というルールを明確にし、その部門は別の担当者が監査する体制（相互監査）を用意しておきます。

独立性は組織図だけでなく、実際の報告経路でも示す必要があります。たとえば、監査報告書を管理部長経由で代表取締役に上げている、監査計画を管理部長が修正している、といった運用があると、形式上は社長直轄でも実質的な独立性が疑われます。報告書の宛先や承認者の欄を確認し、規程どおりの経路で回っていることを記録に残しておきましょう。

ステップ 3：年間監査計画の策定

全部門を毎年同じ深さで監査するのは現実的ではありません。部門ごとに不正や誤謬が起きた場合の影響度と発生可能性を簡易に評価し、リスクの高い領域から優先的に監査対象とします。IPO 準備会社では、販売・購買・在庫・経費精算・労務管理・情報システムなどが重点になりやすい領域です。

初年度は、リスクの高い領域を深く見ることと、全部門を少なくとも一巡することのバランスが課題になります。重点領域は通常の業務監査として手続を厚くし、リスクの低い部門は規程遵守状況の確認を中心とした簡易な監査にするなど、深さに濃淡をつけて計画すると現実的です。リスク評価の方法は「リスクベースの年間監査計画の立て方」も参考にしてください。

ステップ 4〜6：監査実施・報告・フォローアップ

監査実施では、規程・業務フローと実際の運用を突き合わせ、承認証跡やサンプルを確認します。指摘事項は、事実・原因・リスク・改善提案の 4 点で整理すると、被監査部門にも伝わりやすくなります。報告後は改善計画書を提出してもらい、期限到来時に改善状況を確認して記録を残すところまでが一連のサイクルです。

監査の手続と結論を後から第三者が追えるよう、監査調書には「何を・どの資料で・何件確認し・どう判断したか」を残します。調書の書き方は「監査調書の作り方」、報告書の書き方は「内部監査報告書の書き方」、フォローアップの進め方は「監査指摘事項のフォローアップ」で詳しく解説しています。

内部監査規程に入れる項目チェックリスト

規程を作成・見直す際は、次の項目が含まれているかを確認してください。

• 目的（内部監査の役割と、経営への貢献の方向性）
• 適用範囲（本社・支店・子会社など監査対象となる組織）
• 組織上の位置づけ（代表取締役直轄であること、報告経路）
• 独立性・客観性の確保（兼務時の自己監査の禁止など）
• 内部監査人の権限（資料閲覧・ヒアリング・立入の権限）
• 被監査部門の協力義務
• 守秘義務
• 年間監査計画の策定と承認手続
• 個別監査の手続（通知・実施・講評）
• 監査報告の方法と報告先（代表取締役、取締役会、監査役等）
• 改善計画の提出とフォローアップの手続
• 監査調書・証跡の作成と保存期間
• 監査役等・会計監査人との連携
• 規程の改廃手続

規程は作って終わりではなく、実際の運用と乖離していないかを定期的に見直すことが大切です。規程上「半期ごとに報告」と定めたのに実際は報告していない、といった不一致は、審査で指摘を受ける原因になります。

規程の条文例

以下は、条文の書き方のイメージです。自社の組織や運用に合わせて調整してください。

• （目的）本規程は、当社における内部監査の基本事項を定め、内部管理体制の適正性と業務の有効性・効率性を評価し、その改善に資することを目的とする。
• （組織上の位置づけ）内部監査担当は代表取締役に直属し、業務執行部門から独立してその職務を行う。
• （権限）内部監査担当は、監査の実施に必要な範囲で、帳簿・証憑・電子データその他の資料の閲覧、役職員へのヒアリング、事業所への立入りを求めることができる。
• （協力義務）被監査部門は、内部監査の実施に協力し、正当な理由なく資料提出やヒアリングを拒んではならない。
• （自己監査の禁止）内部監査担当が他の業務を兼務する場合、当該兼務部門の監査は、代表取締役が指名する他の者が行う。
• （フォローアップ）被監査部門は、指摘事項について所定の期日までに改善計画書を提出し、内部監査担当はその実施状況を確認して代表取締役に報告する。

条文は抽象的にしすぎると運用の根拠になりにくく、細かくしすぎると実態と乖離しやすくなります。報告の頻度や改善計画の提出期限など、運用で守れる水準を書くことを意識しましょう。

立ち上げ時に整備したい様式一式

規程と計画だけでなく、監査のたびに使う様式をあらかじめそろえておくと、書類の抜け漏れを防げます。最低限、次の様式を用意しておくことをおすすめします。

様式は凝ったものである必要はありません。表計算ソフトや文書ファイルで十分ですが、ファイル名の付け方と保存場所のルールを決め、年度・監査対象ごとに書類がそろって見える状態にしておくことが重要です。

IPO 審査で確認されやすい観点

IPO 審査では、内部監査について主に次のような観点が確認されます。準備段階から、これらを説明できるエビデンスを意識して残しておきましょう。

特に「改善状況」は見落とされがちです。指摘事項管理表で、指摘日・改善期限・対応状況・確認日を一覧化しておくと、フォローアップの抜け漏れを防ぎ、審査対応時の説明もしやすくなります。

審査の場では、担当者自身が内部監査の計画の考え方や指摘の経緯を説明できるかも見られます。書類をそろえるだけでなく、「なぜこの部門を重点にしたのか」「この指摘はどのように改善されたのか」を口頭で説明できるよう、監査のたびに要点を整理しておくと安心です。また、監査役等や会計監査人との連携状況も問われることがあるため、定期的な情報交換の記録を残しておきましょう。三者の連携については「三様監査の連携」で解説しています。

よくある失敗例と対策

立ち上げ期に起こりやすい失敗と、その対策を整理します。

どの失敗も、「書類が残っていない」「経営者の関与が見えない」という点に行き着くことが多いです。代表取締役に定期的に報告し、承認の記録を残すことが、運用実績を示すうえでも、社内の協力を得るうえでも効果的です。

ひとり内部監査の限界と外部活用

IPO 準備会社では、兼務の担当者 1 名で内部監査を始めることも珍しくありません。ただし、ひとり内部監査には次のような限界があります。

• 自分の所属部門を監査できず、独立性の確保に別の手当てが必要になる
• 業務量が限られ、全部門を計画どおりに一巡できないおそれがある
• IT 統制や会計、労務など専門性の高い領域を十分にカバーしにくい
• 監査手続や調書の品質を客観的にレビューする人がいない
• 担当者の異動・退職で、監査の継続性が途切れるリスクがある

こうした課題に対しては、外部の専門家を活用する方法があります。内部監査業務の全部を委託するアウトソーシングと、社内担当者と外部専門家が協働するコソーシングがあり、立ち上げ期には規程・計画の整備や初回監査の同行から支援を受け、徐々に社内へノウハウを移していく進め方も考えられます。それぞれの特徴や選び方は「内部監査のアウトソーシングとコソーシングの違い」で詳しく解説しています。ひとり体制ならではの工夫については「ひとり内部監査と外部活用」もあわせてご覧ください。

なお、外部を活用する場合でも、内部監査の責任者は社内に置き、計画の承認や結果報告は社内の責任で行うことが基本です。

立ち上げ初年度のスケジュール例

立ち上げ初年度は、次のような流れで進めると、運用実績を積み上げやすくなります。

規程・計画・調書・報告書・改善記録という一連の書類がそろうことで、「内部監査が継続的に運用されている」ことを示しやすくなります。

2 年目以降は、初年度の指摘事項の改善状況を確認しながら、IT 全般統制や子会社など、初年度に手が回らなかった領域へ範囲を広げていくのが自然な流れです。J-SOX 対応の準備が本格化する時期とも重なるため、内部監査と内部統制評価の作業が同じ部門に集中しすぎないよう、工数を早めに見積もっておきましょう。IT 統制の評価については「IT 全般統制（ITGC）の評価ガイド」が参考になります。

よくある質問

Q. 内部監査の担当者に資格は必要ですか

法令上、特定の資格は求められていません。公認内部監査人（CIA）などの資格は知識の体系化に役立ちますが、立ち上げ期には、社内の業務を理解していること、客観的に事実を確認し記録できることのほうが重要です。不足する専門性は研修や外部専門家の活用で補う方法があります。

Q. 兼務者でも内部監査部門として認められますか

兼務であること自体が直ちに問題になるわけではありませんが、自己監査の回避や十分な工数の確保ができているかが問われます。兼務部門の監査を誰が担当するか、内部監査にどの程度の時間を割くかを明文化し、実績として示せるようにしておくことが大切です。

Q. 監査の対象期間はどう決めればよいですか

一般的には、直近数か月から 1 年程度の取引や記録を対象とし、個別監査計画書に明記します。規程や業務フローを改定した直後であれば、改定後の運用が定着しているかを確認できるよう、改定日以降の期間を対象に含めると効果的です。

Q. 内部監査の基準として参考にできるものはありますか

内部監査人協会（IIA）の「グローバル内部監査基準」が国際的に参照される基準です。立ち上げ期からすべてを満たすのは難しいものの、独立性や監査の品質に関する考え方は規程や要領を作る際の参考になります。概要は「グローバル内部監査基準（GIAS）のポイント」で紹介しています。

まとめ

内部監査部門の立ち上げは、規程の制定、独立性の確保、年間計画の策定、監査の実施、報告、フォローアップという 6 つのステップで進めます。規程は運用で守れる水準の条文にし、リスク評価表から指摘事項管理表までの様式を最初にそろえておくと、書類の抜け漏れを防げます。IPO 審査では、運用実績・独立性・改善状況がエビデンスとともに確認される傾向があるため、書類を残しながら早期にサイクルを回し始めることがポイントです。証跡を確認しない監査や期末への集中、フォローアップ漏れといった典型的な失敗を避け、代表取締役への定期報告で経営者の関与を示しましょう。ひとり内部監査で人員や専門性が不足する場合は、外部の専門家との協働も選択肢として検討してみてください。

関連サービス

• 内部監査部門の立ち上げ・高度化