内部監査の品質評価（QAR）とは？外部評価の要件と準備の進め方を解説

「外部品質評価を受ける時期が近づいているが、何から準備すればよいか分からない」「前回の評価から担当者が入れ替わり、当時の資料が残っていない」。内部監査部門の責任者から、こうした相談を受けることがあります。内部監査の品質評価（QAR：Quality Assessment Review）は、内部監査部門が基準に適合し、組織に価値を提供できているかを確かめる重要な仕組みです。本記事では、グローバル内部監査基準（GIAS）を前提に、品質評価の全体像、外部評価の要件、準備の進め方、評価結果の活用方法を解説します。

内部監査の品質評価（QAR）とは

内部監査の品質評価とは、内部監査部門の活動が基準に適合しているか、また内部監査が有効かつ効率的に行われているかを評価する取り組みです。一般に QAR という言葉は、組織外部の評価者による外部品質評価を指して使われることが多いですが、広い意味では内部評価も含めた品質評価の仕組み全体を指す場合もあります。

内部監査人協会（IIA）が公表したグローバル内部監査基準（GIAS）では、内部監査部門の長（最高内部監査責任者）が、品質のアシュアランスと改善のプログラム（QAIP：Quality Assurance and Improvement Program）を策定・実施することが求められています。QAIP は内部評価と外部評価から構成され、評価の結果は取締役会や最高経営者に報告されます。

品質評価が求められる理由

品質評価の目的は、単に基準への適合を確認することだけではありません。主に次のような意義があります。

• 内部監査部門の活動が基準に適合していることを、取締役会や監査等委員会、経営者に対して客観的に説明できる
• 内部監査の手法、体制、成果物の改善点を把握し、監査の質を継続的に高められる
• 他社の実務や業界の動向と比較することで、自社の内部監査の位置付けを確認できる
• 内部監査部門のメンバーにとって、自らの業務を振り返り、専門性を高めるきっかけになる

GIAS の全体像と旧基準からの変更点については「グローバル内部監査基準（GIAS）の構成と対応ロードマップ」で解説しています。

内部評価と外部評価の違い

QAIP を構成する内部評価と外部評価は、実施者、頻度、目的が異なります。両者の違いを整理すると次のとおりです。

内部評価の構成

内部評価は、継続的モニタリングと定期的な自己評価の二つで構成されます。継続的モニタリングとは、監査業務ごとの監督やレビュー、標準化された手続書や調書様式の利用、監査後のアンケート、パフォーマンス指標の測定など、日々の業務の中で品質を確保する仕組みです。定期的な自己評価は、年に一度など一定の周期で、基準への適合状況を体系的に点検するものです。

継続的モニタリングの具体例として、監査業務ごとの調書レビューでは、次のような点検項目を定めておくと、レビューの深度を一定に保てます。

• 監査の目的と範囲が、リスク評価の結果と結び付いて記載されているか
• 手続ごとに、実施した内容、入手した証拠、結論が対応して記録されているか
• サンプルの抽出方法と件数の根拠が記載されているか
• 指摘事項の事実関係が、証拠によって裏付けられているか
• レビュー者が確認した日付と、レビューでの指摘への対応が記録されているか

調書の記載方法の標準化については「監査調書の作成と管理」も参考にしてください。

定期的な自己評価の進め方と記録様式

定期的な自己評価は、基準の要求事項を一覧にした点検表を用いて行うのが一般的です。点検表には、要求事項ごとに次のような欄を設けておくと、外部評価の際にもそのまま説明資料として活用できます。

自己評価は、最高内部監査責任者だけで行うよりも、部門のメンバーで分担して点検し、結果を全員で討議する方が、課題の共有と改善への意識づけにつながります。担当した要求事項について「なぜ適合と判断したのか」を証拠とともに説明できるかを、評価の基準にするとよいでしょう。

外部評価で良い結果を得るためには、内部評価がきちんと運用されていることが前提になります。外部評価の直前に慌てて準備するのではなく、日頃から内部評価を通じて改善を積み重ねておくことが重要です。

外部評価の要件

GIAS では、外部評価について主に次のような要件が定められています。実際の対応にあたっては、基準の原文や関連するガイダンスを確認してください。

• 外部評価は少なくとも5年に1回実施する
• 評価は、組織から独立し、適格な評価者または評価チームが実施する
• 評価チームには、公認内部監査人（CIA）の資格を有する者を少なくとも1名含める
• 最高内部監査責任者は、外部評価の範囲、頻度、評価者の資格と独立性について、取締役会と協議する
• 外部評価の結果と改善計画は、取締役会と最高経営者に報告する

評価者の独立性

評価者の独立性は、外部評価の信頼性を左右する重要な要素です。例えば、評価対象の内部監査部門に最近まで在籍していた者や、内部監査業務を受託している外部業者が評価を行う場合、実質的な利益相反が生じるおそれがあります。評価者を選定する際は、過去の関係や現在の契約関係を確認し、独立性に問題がないことを取締役会と共有しておきます。

評価の方式

外部評価には、主に次の二つの方式があります。

• フル外部評価：外部の評価チームが、資料のレビュー、関係者へのインタビュー、調書の点検などを通じて評価全体を実施する方式
• 自己評価と独立した検証：内部監査部門が十分な自己評価を行い、その結果を外部の評価者が独立した立場で検証する方式

自己評価と独立した検証の方式は、外部評価の費用や負担を抑えやすい一方で、内部監査部門による自己評価の品質が前提になります。どちらの方式を選ぶかは、内部監査部門の規模や成熟度、前回の評価結果、取締役会の期待などを踏まえて検討します。なお、評価サービスは監査法人やコンサルティング会社、一般社団法人日本内部監査協会などが提供しています。

また、外部評価の結果は、一般に「基準に適合している」「部分的に適合している」「適合していない」といった段階で示されます。評価の区分や表現は評価者によって異なるため、評価者の選定時に、どのような形式で結果が報告されるかを確認しておくとよいでしょう。

外部評価で確認される主な領域

外部評価では、個別の監査業務の品質だけでなく、内部監査部門の運営全体が評価の対象になります。代表的な確認領域は次のとおりです。

特に、内部監査の戦略や、パフォーマンスの測定と取締役会への報告は、GIAS で要求が明確になった領域です。パフォーマンス指標の設計については「内部監査のKPI設計」も参考にしてください。

改善の対象になりやすいポイント

外部評価の準備にあたっては、次のような点が改善の対象になりやすいため、事前に重点的に点検しておくとよいでしょう。

• 内部監査憲章や規程が、基準の改訂や組織の変化に合わせて更新されていない
• 年間計画がリスク評価と十分に結び付いておらず、前年と同じテーマの繰り返しになっている
• 調書に結論に至った根拠やレビューの記録が十分に残っていない
• 取締役会への報告が監査結果の一覧にとどまり、全体的な評価や課題の説明が不足している
• 継続的モニタリングや自己評価の手順は定めているが、実施の記録が残っていない

いずれも、日々の業務の中で少しずつ改善できる事項です。評価直前にまとめて対応しようとすると負担が大きくなるため、内部評価の結果を踏まえて計画的に取り組むことをお勧めします。

外部評価の準備の進め方

外部評価の準備は、評価の実施時期から逆算して、少なくとも半年から1年程度前には始めておくと安心です。次の手順で進めるとよいでしょう。

1. 取締役会との協議：評価の範囲、方式、時期、評価者の選定方針について取締役会と協議し、合意する
2. 評価者の選定：複数の候補から提案を受け、評価者の経験、資格、独立性、評価の進め方、費用を比較して選定する
3. 自己評価の実施：基準の要求事項ごとに適合状況を点検し、証拠となる文書を整理する。不足している事項は評価前に対応するか、改善計画として整理する
4. 資料の準備：内部監査憲章、規程、年間計画、監査調書、報告書、取締役会への報告資料、研修記録などを、評価者が参照しやすい形で整理する
5. 関係者への周知：取締役、監査等委員、経営者、被監査部門の責任者など、インタビュー対象者に評価の目的と日程を伝える
6. 評価の実施と結果の協議：評価期間中は評価者からの質問や追加資料の依頼に迅速に対応する。結果案の段階で事実関係を確認する
7. 改善計画の策定と報告：評価結果を受けて改善計画を策定し、取締役会と最高経営者に報告する

初めて外部評価を受ける場合

設立から間もない内部監査部門や、これまで外部評価を受けたことがない部門では、いきなり外部評価を受けるのではなく、まず自己評価を一通り実施して現状を把握することから始めると進めやすくなります。自己評価の結果、基準への適合に大きな課題がある場合は、改善を先行させ、改善の目途が立った段階で外部評価を受けるという進め方も考えられます。その場合も、外部評価の実施時期の見通しを取締役会と共有しておくことが大切です。

部門の規模に応じた考え方

品質評価の進め方は、内部監査部門の規模によっても工夫の余地があります。

1〜2 名の小規模な部門

小規模な部門では、監査業務ごとのレビューを部門内で行うことが難しい場合があります。その場合は、監査役等や他部門の有識者にレビューを依頼する、外部の専門家によるレビューを定期的に受けるなど、客観的な目を入れる工夫が考えられます。自己評価も、すべての要求事項を一度に点検するのではなく、年度ごとに重点領域を決めて順に点検する方法が現実的です。少人数の内部監査部門の運営については「一人内部監査の進め方と外部活用」も参考にしてください。

数名から十数名程度の部門

監査チームの中で、担当者による調書作成、主査によるレビュー、最高内部監査責任者による承認という階層的なレビューを定着させることが、継続的モニタリングの中心になります。自己評価は、品質管理の担当者を指名して毎年実施し、その結果を取締役会への年次報告に含めると、外部評価の準備にもつながります。

内部監査業務の一部を外部に委託している場合

アウトソーシングやコソーシングを利用している場合でも、品質評価の対象は内部監査部門の活動全体です。委託先が実施した業務についても、委託先の品質管理の方法、調書の保管と閲覧の可否、レビューの記録を確認できるようにしておく必要があります。外部活用の形態については「内部監査のアウトソーシングとコソーシング」で解説しています。

準備チェックリスト

外部評価の準備状況を確認するためのチェックリストです。自社の状況に合わせて項目を追加・修正してご活用ください。

体制・文書

• 内部監査憲章が最新の基準を踏まえて改定され、取締役会の承認を得ているか
• 内部監査規程、監査マニュアル、調書様式が整備され、実際の業務と整合しているか
• 最高内部監査責任者から取締役会への報告経路が、規程上も運用上も確保されているか
• 内部監査の戦略と、リスク評価に基づく年間計画が文書化されているか

監査業務

• 監査業務ごとに、計画、手続、証拠、結論、レビューの記録が調書に残っているか
• 指摘事項の改善状況を継続的にモニタリングし、記録しているか
• 監査後のアンケートなど、被監査部門からのフィードバックを収集しているか

品質とパフォーマンス

• 継続的モニタリングと定期的な自己評価の手順が定められ、実施記録があるか
• パフォーマンス指標を設定し、測定結果を取締役会に報告しているか
• 前回の外部評価で指摘された事項への対応状況を説明できるか
• 要員の研修計画と実績、資格の取得状況を把握しているか

評価結果を改善につなげる

外部評価は、評価を受けること自体が目的ではありません。評価結果を改善につなげてこそ、品質評価の意義があります。評価報告書で示された改善提言は、優先度と対応期限を定めた改善計画に落とし込み、進捗を取締役会に定期的に報告します。

改善提言の中には、内部監査部門だけでは対応できないもの（人員の増強、報告経路の見直し、ツールへの投資など）も含まれることがあります。こうした事項は、取締役会や経営者の理解と支援を得るための材料として活用できます。評価結果を率直に共有し、内部監査部門の課題と必要な資源について対話する機会と捉えるとよいでしょう。

また、評価の過程で得られた気付きを、次回の内部評価の点検項目に反映しておくと、内部評価と外部評価が連動した継続的な改善の仕組みを構築できます。

外部評価の間隔は最長で5年あるため、その間に担当者の交代や組織の変化が起こることも少なくありません。評価報告書、改善計画、対応状況の記録は、次回の評価時に参照できるよう一元的に保管し、引継ぎの際にも確実に共有しておきましょう。

よくある質問

Q. 外部評価の評価期間中、内部監査部門はどのような対応が必要ですか。

A. 一般に、評価者による資料のレビュー、関係者へのインタビュー、調書のサンプル点検が行われます。内部監査部門は、資料の提供窓口を一本化し、評価者からの質問や追加資料の依頼を一覧で管理すると、対応の漏れを防げます。インタビューの日程調整では、取締役や監査等委員の予定を早めに確保しておくことが重要です。

Q. 「部分的に適合」という結果が出た場合、どう受け止めればよいですか。

A. 評価結果は、改善の方向性を示すものとして受け止めることが大切です。どの要求事項が部分的な適合とされたのか、その理由は何かを評価報告書で確認し、改善計画に落とし込みます。取締役会への報告では、結果だけでなく、改善の内容と時期、必要な資源をあわせて説明すると、建設的な議論につながります。

Q. 前回の外部評価から5年が経過していませんが、組織再編があった場合は評価を前倒しすべきでしょうか。

A. 基準が求めるのは少なくとも5年に1回の実施であり、それより短い間隔で実施することは妨げられていません。内部監査部門の体制や報告経路が大きく変わった場合、最高内部監査責任者が交代した場合などは、前倒しで外部評価を受けることや、自己評価の範囲を広げることを取締役会と協議するとよいでしょう。

Q. 外部評価の結果は、社外に開示する必要がありますか。

A. GIAS は、外部評価の結果を取締役会と最高経営者に報告することを求めていますが、社外への開示を一律に求めているわけではありません。開示するかどうかは組織の方針によります。外部評価を受けたことを統合報告書などで説明する組織もあるため、取締役会と方針を協議しておくとよいでしょう。

Q. 評価者を選定する際、提案の比較で重視すべき点は何ですか。

A. 評価者の経験と資格、独立性に加えて、評価の方式、インタビューの対象範囲、調書の点検の深さ、報告書の形式、改善提言の具体性などを比較します。自社と同程度の規模や業種の内部監査部門の評価経験があるかも確認するとよいでしょう。費用だけで判断せず、評価の結果を改善にどう生かせるかという観点で選定することが大切です。

まとめ

内部監査の品質評価（QAR）は、内部監査部門が基準に適合し、組織に価値を提供できているかを客観的に確かめる仕組みです。GIAS では、内部評価と外部評価からなる QAIP の実施と、少なくとも5年に1回の外部評価が求められています。外部評価で良い結果を得るためには、調書レビューの点検項目の設定や、要求事項ごとの点検表を用いた定期的な自己評価など、日頃の内部評価の運用が前提になります。部門の規模や外部委託の有無に応じて客観的なレビューの仕組みを工夫し、評価時期から逆算して取締役会との協議、評価者の選定、自己評価と資料準備を計画的に進め、評価結果を改善計画につなげていきましょう。

関連サービス

• 内部監査部門の立ち上げ・高度化
• 内部監査アウトソーシング・コソーシング