内部監査アウトソーシングとコソーシングの違いとは？費用の考え方と委託先の選び方

内部監査の人員不足や専門性の不足を補う手段として、外部の専門家へ業務を委託する企業が増えています。ただし「外注」と一口に言っても、すべてを任せるフルアウトソーシングと、社内チームと外部専門家が協働するコソーシングでは、得られる効果も社内に求められる体制も大きく異なります。本記事では、両者の違い、費用の考え方、委託先の選び方、そして委託しても社内に残る責任を整理します。

内部監査アウトソーシングとコソーシングの基本

内部監査アウトソーシングとは、内部監査業務の全部または大部分を外部の専門事業者に委託する形態です。監査計画の立案から往査、報告書の作成までを外部が担い、社内には窓口となる担当者を置くのが一般的です。

一方、コソーシングは、社内の内部監査部門が主体となり、特定の領域や工程だけを外部専門家が支援する形態です。たとえば IT 統制やデータ分析、海外子会社の往査など、社内に知見が不足している部分を補う使い方が代表的です。

どちらを選ぶかは「社内に内部監査の担い手をどこまで育てたいか」「どの領域の専門性が足りないか」によって決まります。IPO 準備中で内部監査部門をこれから立ち上げる企業と、既存部門の専門性を補強したい上場企業とでは、適した形態が異なります。部門の立ち上げについては IPO 準備企業の内部監査部門の立ち上げ もあわせてご覧ください。

3 つの形態の比較表

フルアウトソース、コソース、自社（インハウス）の 3 形態を主要な観点で比較すると、次のようになります。

実務では、最初はフルアウトソースで監査の型をつくり、社内人材の育成にあわせてコソースへ、さらに自社主体へと段階的に移行するケースも少なくありません。形態は固定的に考えず、数年単位のロードマップの中で位置づけることをおすすめします。

外注費用を左右する要素

内部監査の外注費用は、委託範囲や企業の状況によって大きく変わるため、一律の相場で判断するのは適切ではありません。見積もりを比較する際は、次の要素がどう前提に置かれているかを確認してください。

監査範囲と対象拠点

監査対象とする部門・プロセスの数、国内外の拠点数、往査の有無が工数に直結します。特に海外子会社を含む場合は、言語対応や移動の要否によって工数が変動します。

求められる専門性

業務監査中心か、J-SOX 対応や IT 統制、データ分析を伴うかによって、関与する専門家の層が変わります。IT 統制やシステム関連の監査は、専門人材の関与が必要になりやすい領域です。

社内の準備状況

規程・業務フロー・リスクコントロールマトリクスなどの文書がどの程度整備されているかで、外部が担う作業量が変わります。資料の提出がスムーズで、担当者との日程調整が円滑に進むほど、無駄な工数は生じにくくなります。

成果物の範囲と報告頻度

監査報告書のみか、改善提案やフォローアップ監査、取締役会・監査等委員会への報告支援まで含むかによって、費用の前提は大きく異なります。契約前に成果物のリストを双方で合意しておくことが重要です。

契約形態

年間契約か、スポット（単発）契約か、あるいは時間単価型か固定報酬型かによって、費用の予見性が変わります。年度途中で範囲が拡大した場合の取り扱いも事前に確認しておきましょう。

委託先選定のチェックリスト

委託先を比較検討する際は、価格だけでなく、以下の観点を確認することをおすすめします。

• 内部監査・J-SOX・IT 統制など、自社が必要とする領域の実務経験があるか
• 自社の業種・規模・上場準備段階に近い企業への支援経験があるか
• 担当者の体制（責任者・実務担当者）と、契約期間中の担当交代の方針が明確か
• 監査計画・調書・報告書のサンプルやテンプレートを事前に確認できるか
• 監査調書の帰属と、契約終了時の引き継ぎ方法が契約で定められているか
• 会計監査人との関係など、独立性に関する制約がないか確認できるか
• 秘密保持や情報セキュリティの管理体制（データの受け渡し方法を含む）が示されているか
• 社内人材への教育・ノウハウ移転をどの程度支援してもらえるか
• 見積もりの前提（範囲・工数・成果物）が具体的に書かれているか
• 最新の内部監査基準や制度改正の動向を踏まえた提案ができるか

なお、会計監査を担当する監査法人やその関係先に内部監査を委託する場合は、監査人の独立性の観点から制約が生じることがあります。候補先が決まった段階で、会計監査人にも事前に相談しておくと安心です。

委託しても経営者・内部監査部門長に残る責任

内部監査を外部に委託しても、内部監査に関するすべての責任が移転するわけではありません。この点を誤解したまま委託すると、監査の実効性が損なわれるおそれがあります。

経営者に残る責任

内部統制の整備・運用に対する責任は、経営者にあります。J-SOX における内部統制報告書も経営者が作成・提出するものであり、評価作業の一部を外部に委託した場合でも、評価結果に対する最終的な責任は経営者が負います。制度改訂の動向は J-SOX 改訂のポイント で解説しています。

内部監査部門長（責任者）に残る責任

グローバル内部監査基準でも、外部サービス提供者を活用する場合に、内部監査部門長がその業務の品質や基準への適合について責任を持つという考え方が示されています。具体的には、次のような役割は社内に残すべきです。

• リスク評価に基づく年間監査計画の承認と、取締役会・監査等委員会等への説明
• 委託先の作業品質の確認と、監査調書・報告書のレビュー
• 指摘事項に対する改善計画の合意と、フォローアップ状況の管理
• 委託先の評価と、次年度の委託範囲の見直し

基準の全体像は グローバル内部監査基準（GIAS）の解説 をご参照ください。

丸投げを防ぐための運用手順

委託を形骸化させないためには、次の手順で運用するのが効果的です。

1. 年度初めに、社内の責任者と委託先で監査計画・範囲・成果物を文書で合意する
2. 往査ごとに社内担当者が同席または事前・事後の打ち合わせに参加する
3. 報告書は社内責任者のレビューを経てから経営層へ報告する
4. 四半期など定期的に、進捗・品質・課題を振り返る場を設ける
5. 年度末に委託先の評価を行い、翌年度の形態（フル／コソース／自社）を見直す

まとめ

内部監査アウトソーシングは、人員や専門性の不足を早期に補える有効な手段です。フルアウトソースは立ち上げの速さに、コソースは不足領域の補完と社内へのノウハウ蓄積に強みがあり、自社の段階に応じて使い分けることが重要です。

費用は監査範囲、専門性、社内の準備状況、成果物、契約形態によって変わるため、見積もりの前提を揃えて比較してください。そして、委託しても内部統制に対する経営者の責任と、内部監査の品質に対する部門長の責任は社内に残ります。委託先を「任せる相手」ではなく「共に監査の質を高めるパートナー」と位置づけることが、成果につながる委託の鍵です。

関連サービス

• 内部監査アウトソーシング・コソーシング