内部監査アウトソーシングとコソーシングの違いとは？費用の考え方と委託先の選び方

内部監査の人員不足や専門性の不足を補う手段として、外部の専門家へ業務を委託する企業が増えています。ただし「外注」と一口に言っても、すべてを任せるフルアウトソーシングと、社内チームと外部専門家が協働するコソーシングでは、得られる効果も社内に求められる体制も大きく異なります。本記事では、両者の違い、費用の考え方、委託先の選び方、そして委託しても社内に残る責任を整理します。

内部監査アウトソーシングとコソーシングの基本

内部監査アウトソーシングとは、内部監査業務の全部または大部分を外部の専門事業者に委託する形態です。監査計画の立案から往査、報告書の作成までを外部が担い、社内には窓口となる担当者を置くのが一般的です。

一方、コソーシングは、社内の内部監査部門が主体となり、特定の領域や工程だけを外部専門家が支援する形態です。たとえば IT 統制やデータ分析、海外子会社の往査など、社内に知見が不足している部分を補う使い方が代表的です。

どちらを選ぶかは「社内に内部監査の担い手をどこまで育てたいか」「どの領域の専門性が足りないか」によって決まります。IPO 準備中で内部監査部門をこれから立ち上げる企業と、既存部門の専門性を補強したい上場企業とでは、適した形態が異なります。部門の立ち上げについては IPO 準備企業の内部監査部門の立ち上げ もあわせてご覧ください。

コソーシングの代表的な使い方

コソーシングは「どの工程を外部に任せるか」によって、いくつかの型に分けられます。自社の課題に近い型を選ぶと、委託範囲を具体的に定めやすくなります。

一つの型に限定する必要はなく、たとえば「IT 統制は専門領域補完型、年度末の J-SOX は工数補完型」のように組み合わせることもできます。

3 つの形態の比較表

フルアウトソース、コソース、自社（インハウス）の 3 形態を主要な観点で比較すると、次のようになります。

実務では、最初はフルアウトソースで監査の型をつくり、社内人材の育成にあわせてコソースへ、さらに自社主体へと段階的に移行するケースも少なくありません。形態は固定的に考えず、数年単位のロードマップの中で位置づけることをおすすめします。

外注費用を左右する要素

内部監査の外注費用は、委託範囲や企業の状況によって大きく変わるため、一律の相場で判断するのは適切ではありません。見積もりを比較する際は、次の要素がどう前提に置かれているかを確認してください。

監査範囲と対象拠点

監査対象とする部門・プロセスの数、国内外の拠点数、往査の有無が工数に直結します。特に海外子会社を含む場合は、言語対応や移動の要否によって工数が変動します。

求められる専門性

業務監査中心か、J-SOX 対応や IT 統制、データ分析を伴うかによって、関与する専門家の層が変わります。IT 統制やシステム関連の監査は、専門人材の関与が必要になりやすい領域です。

社内の準備状況

規程・業務フロー・リスクコントロールマトリクスなどの文書がどの程度整備されているかで、外部が担う作業量が変わります。資料の提出がスムーズで、担当者との日程調整が円滑に進むほど、無駄な工数は生じにくくなります。

委託前に社内で次の準備を進めておくと、外部の作業が本来の監査手続に集中しやすくなります。

• 組織図、職務分掌規程、権限規程など、監査の前提となる基本資料を一式にまとめておく
• 過去の監査報告書と指摘事項の改善状況を一覧にしておく
• 資料依頼の窓口と、共有フォルダなどの受け渡し方法を決めておく
• 被監査部門に対し、外部の専門家が監査に参加することを事前に周知しておく

成果物の範囲と報告頻度

監査報告書のみか、改善提案やフォローアップ監査、取締役会・監査等委員会への報告支援まで含むかによって、費用の前提は大きく異なります。契約前に成果物のリストを双方で合意しておくことが重要です。

契約形態

年間契約か、スポット（単発）契約か、あるいは時間単価型か固定報酬型かによって、費用の予見性が変わります。年度途中で範囲が拡大した場合の取り扱いも事前に確認しておきましょう。

見積もり依頼時に伝えておきたい情報

複数の委託先から見積もりを取る場合、依頼する側の前提がばらばらだと比較ができません。見積もり依頼書（RFP）には、少なくとも次の項目を記載しておくことをおすすめします。

• 会社概要（事業内容、従業員数の規模感、上場区分または上場予定時期）
• 監査対象の範囲（部門・業務プロセス・子会社・拠点の一覧と所在地）
• 委託したい業務（業務監査、J-SOX 評価、IT 統制評価、フォローアップなど）と期待する形態（フル／コソース）
• 社内の体制（内部監査担当者の人数、兼務の有無、J-SOX 事務局の有無）
• 既存文書の整備状況（内部監査規程、業務記述書、フローチャート、RCM など）
• 求める成果物と報告先（報告書の形式、取締役会・監査等委員会への同席の要否）
• 契約期間と希望する開始時期、往査の想定時期
• 使用言語、リモート対応の可否、資料共有の方法

依頼書の段階でこれらを整理しておくと、見積もりの比較がしやすくなるだけでなく、社内で「何を委託したいのか」を改めて言語化するきっかけにもなります。

委託先選定のチェックリスト

委託先を比較検討する際は、価格だけでなく、以下の観点を確認することをおすすめします。

• 内部監査・J-SOX・IT 統制など、自社が必要とする領域の実務経験があるか
• 自社の業種・規模・上場準備段階に近い企業への支援経験があるか
• 担当者の体制（責任者・実務担当者）と、契約期間中の担当交代の方針が明確か
• 監査計画・調書・報告書のサンプルやテンプレートを事前に確認できるか
• 監査調書の帰属と、契約終了時の引き継ぎ方法が契約で定められているか
• 会計監査人との関係など、独立性に関する制約がないか確認できるか
• 秘密保持や情報セキュリティの管理体制（データの受け渡し方法を含む）が示されているか
• 社内人材への教育・ノウハウ移転をどの程度支援してもらえるか
• 見積もりの前提（範囲・工数・成果物）が具体的に書かれているか
• 最新の内部監査基準や制度改正の動向を踏まえた提案ができるか

なお、会計監査を担当する監査法人やその関係先に内部監査を委託する場合は、監査人の独立性の観点から制約が生じることがあります。候補先が決まった段階で、会計監査人にも事前に相談しておくと安心です。

委託しても経営者・内部監査部門長に残る責任

内部監査を外部に委託しても、内部監査に関するすべての責任が移転するわけではありません。この点を誤解したまま委託すると、監査の実効性が損なわれるおそれがあります。

経営者に残る責任

内部統制の整備・運用に対する責任は、経営者にあります。J-SOX における内部統制報告書も経営者が作成・提出するものであり、評価作業の一部を外部に委託した場合でも、評価結果に対する最終的な責任は経営者が負います。制度改訂の動向は J-SOX 改訂のポイント で解説しています。

内部監査部門長（責任者）に残る責任

グローバル内部監査基準でも、外部サービス提供者を活用する場合に、内部監査部門長がその業務の品質や基準への適合について責任を持つという考え方が示されています。具体的には、次のような役割は社内に残すべきです。

• リスク評価に基づく年間監査計画の承認と、取締役会・監査等委員会等への説明
• 委託先の作業品質の確認と、監査調書・報告書のレビュー
• 指摘事項に対する改善計画の合意と、フォローアップ状況の管理
• 委託先の評価と、次年度の委託範囲の見直し

基準の全体像は グローバル内部監査基準（GIAS）の解説 をご参照ください。

丸投げを防ぐための運用手順

委託を形骸化させないためには、次の手順で運用するのが効果的です。

1. 年度初めに、社内の責任者と委託先で監査計画・範囲・成果物を文書で合意する
2. 往査ごとに社内担当者が同席または事前・事後の打ち合わせに参加する
3. 報告書は社内責任者のレビューを経てから経営層へ報告する
4. 四半期など定期的に、進捗・品質・課題を振り返る場を設ける
5. 年度末に委託先の評価を行い、翌年度の形態（フル／コソース／自社）を見直す

委託先に対する評価は、主観的な印象だけで行うのではなく、次のような観点をあらかじめ決めておくと、翌年度の判断材料として活用しやすくなります。

実務での進め方の例

ここでは、内部監査部門に担当者が1〜2名いる企業が、コソーシングを初めて導入する場合の進め方の一例を示します。期間は企業の状況によって変わるため、あくまで流れのイメージとしてご覧ください。

初年度は、社内担当者が委託先の手続を横で見ながら覚える期間と位置づけ、2年目以降に社内が担う範囲を少しずつ広げていくと、ノウハウの移転が進みやすくなります。往査に同席する、調書のレビューを社内担当者が先に行う、といった工夫も効果的です。

委託でよくある失敗例と対策

外部委託がうまくいかない原因は、委託先の力量だけでなく、依頼する側の準備や関与の仕方にあることも少なくありません。代表的な失敗例と対策を整理します。

よくある質問

Q. 内部監査部門がない状態でも、フルアウトソースで内部監査を実施できますか

実施すること自体は可能ですが、社内に窓口と責任者を置くことは欠かせません。内部監査規程で内部監査の責任者を定め、監査計画の承認や報告の受領を行う体制を整えたうえで、実務を外部に委託する形が一般的です。IPO 準備企業の場合は、上場審査で内部監査の実施体制や運用状況を説明することになるため、社内の誰が責任を持つのかを明確にしておく必要があります。

Q. コソーシングとフルアウトソースは、どちらが費用を抑えられますか

一概にはいえません。コソーシングは外部が担う範囲が限られる分、委託費用は抑えやすい一方で、社内の人件費や育成コストがかかります。フルアウトソースは社内の人員を最小限にできますが、委託範囲が広くなります。社内人件費を含めた総コストと、数年後にどのような体制を目指すかをあわせて比較することが大切です。

Q. 委託先を途中で変更する場合の注意点はありますか

過去の監査調書、指摘事項の一覧、改善状況の記録を社内で保有していれば、委託先が変わっても継続性を保ちやすくなります。契約時に調書の帰属と引き渡し方法を定めておくことが、将来の切り替えに備えるうえでも重要です。監査調書の整え方は「監査調書の作成と管理」も参考にしてください。

Q. 担当者が1名しかいない場合は、どの形態が適していますか

判断の中核を社内に残しつつ、専門性と作業量を補えるコソーシングが適していることが多いでしょう。ひとり体制ならではの年間計画の回し方や委託範囲の切り分けは「ひとり内部監査の限界と外部活用の実務」で詳しく解説しています。

まとめ

内部監査アウトソーシングは、人員や専門性の不足を早期に補える有効な手段です。フルアウトソースは立ち上げの速さに、コソースは不足領域の補完と社内へのノウハウ蓄積に強みがあり、自社の段階に応じて使い分けることが重要です。

コソーシングには専門領域補完型、工数補完型、拠点補完型、品質レビュー型、立ち上げ伴走型といった型があり、課題に応じて組み合わせることができます。

費用は監査範囲、専門性、社内の準備状況、成果物、契約形態によって変わるため、見積もり依頼書で前提を揃えて比較してください。導入後は、社内担当者が往査や調書レビューに関与しながらノウハウを移転し、年度末には評価観点に沿って委託先を振り返ることで、「報告書を説明できない」「惰性的に続く」といった失敗を防げます。そして、委託しても内部統制に対する経営者の責任と、内部監査の品質に対する部門長の責任は社内に残ります。委託先を「任せる相手」ではなく「共に監査の質を高めるパートナー」と位置づけることが、成果につながる委託の鍵です。

関連サービス

• 内部監査アウトソーシング・コソーシング