内部監査で全部の業務を毎年見ることはできません。だから、何を選び何を選ばなかったかの根拠が要ります。これがリスクアプローチです。
根拠がないまま監査対象を選ぶと、担当者が詳しい部門や協力的な部門ばかりを見ることになります。上場審査で監査していない領域について聞かれたとき、答えられません。
この記事では、リスクを評価する5つの視点、業務プロセスの分け方、3か年サイクルへの割り付け、そしてやってはいけない選び方を整理します。
- リスクを評価する5つの視点
- 業務プロセスを10前後に分ける切り方
- 高中低の頻度をどう割り付けるか
- 監査対象の選び方でやってはいけない4つ
- 審査で監査していない領域を聞かれたときの答え方
図 監査の対象の選び方の判定
📌 結論 全部は見られない。だから根拠を残す
5つの視点を点数化すると、部門ごとの優先順位が並びます。点数の付け方は社内で統一してください。
限られた人員で全部の業務を毎年監査することはできません。だからこそ、何を選び、何を選ばなかったのかの根拠が要ります。この根拠づくりがリスクアプローチです。
リスクは5つの視点で評価します。金額の大きさ、不正の起きやすさ、手順の新しさ、過去の指摘、外部からの関心です。それぞれを3段階で点数化し、合計点で高中低に区分します。
点数の付け方は社内で統一してください。担当者が代わるたびに評価の基準が変わると、前期との比較ができなくなります。評価シートの様式を作って共有フォルダに置いておくのが確実です。
🧭 業務プロセスの分け方
リスク評価の前に、会社の業務を10前後の単位に分けます。細かく分けすぎると評価が終わりませんし、大きすぎるとリスクの差が出ません。
製造業であれば、販売と売上計上、購買と支払、生産と在庫、固定資産、現金預金と資金、経費精算、人事労務、情報システム、子会社管理、というあたりが標準です。サービス業なら生産と在庫の代わりに、役務提供の進捗管理が入ります。
この分け方は、財務報告に係る内部統制の評価で使う業務プロセスの区分と揃えておくと便利です。同じ資料を両方に使えますし、評価範囲の説明も一貫します。
子会社は、親会社と同じプロセス区分で分けたうえで、子会社という単位でもひとつ立てます。子会社管理という単位では、親会社側の管理体制、たとえば子会社からの報告の受領や決裁の経路を監査します。
📄 サイクルへの割り付け
高リスクを毎年見ておけば、間が空いた領域があっても説明がつきます。
高リスクと判定したプロセスは毎年監査します。販売と売上計上、購買と支払、現金預金の3つは、多くの会社で毎年の対象になります。金額が大きく、不正が起きやすい領域だからです。
中リスクは2年に1度、低リスクは3年に1度です。この頻度で回せば、3年で全体が一巡します。上場審査で監査していない領域について聞かれたときも、サイクル表を示せば説明がつきます。
これに加えて、随時の枠を用意しておきます。新規事業の立上げ、システムの入替え、新拠点の設置といった事象が起きたときに、サイクルとは別に監査する枠です。年度計画に1テーマ分の余白を残しておくと運用しやすくなります。
日数が足りないときに削るのは、低リスクのテーマです。高リスクを削ると説明ができなくなります。
業務プロセスの区分、5つの視点での評価、3か年のサイクル表、当期の重点領域の選定まで作成します。財務報告に係る内部統制の評価範囲とも整合させて設計しますので、同じ資料を両方にお使いいただけます。上場申請書類（Ⅰの部・Ⅱの部）の作成支援と内部統制の導入、内部監査対応を行っている公認会計士・税理士が直接対応します。初回のご相談は無料です。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら
📊 やってはいけない選び方
第1に、担当者が詳しい部門ばかり監査することです。理解が早く進めやすいのですが、リスクの高い領域が抜けます。
第2に、協力的な部門ばかり選ぶことです。往査を受け入れてくれる部門は監査しやすいのですが、抵抗のある部門ほど問題が潜んでいることがあります。
第3に、前年と同じテーマを惰性で繰り返すことです。前年の指摘が是正されたかを見るフォローアップは必要ですが、それは本監査とは別枠で行います。
第4に、経営者から言われた部門だけを見ることです。経営者の関心は重要な材料ですが、それだけで決めると、内部監査が経営者の道具になってしまいます。リスク評価の結果と経営者の関心の両方を踏まえて決めてください。
🗂 評価を毎年見直す
リスク評価は毎年見直します。組織が変われば業務プロセスの区切りも変わりますし、システムが入れ替われば手順の新しさの評価も動きます。
見直しの記録を残してください。前期の評価シートと当期の評価シートを並べて、どこが変わったかが分かる状態にしておくと、形骸化していないことを示せます。
評価が3年間まったく変わっていない場合は、見直しをしていないと見られます。実際に変化がなくても、確認した記録は残してください。
⚖️ 上場審査での説明
審査では、監査対象をどう選んだのかを聞かれます。リスク評価シートとサイクル表があれば、この質問に正面から答えられます。
とくに、直近3年間で一度も監査していない領域があると、その理由を問われます。低リスクと評価したうえで3年目に予定している、という説明ができれば問題ありません。
また、会計監査人が指摘した領域を内部監査でも見ているかを確認されることがあります。指摘を受けた領域は、翌期の重点領域に入れておくのが自然です。
❓ よくある質問
A. 業務プロセスを10前後に分け、5つの視点でリスクを評価し、高中低の頻度に割り付けます。
A. 金額の大きさ、不正の起きやすさ、手順の新しさ、過去の指摘、外部からの関心です。
A. 多くの会社で、販売と売上計上、購買と支払、現金預金の3つが毎年の対象になります。
A. 高は毎年、中は2年に1度、低は3年に1度とすれば、3年で全体が一巡します。
A. 財務報告に係る内部統制の評価で使う区分と揃えると、同じ資料を両方に使えます。
A. 経営者の関心は材料のひとつですが、それだけで決めると内部監査が道具になります。リスク評価と併せて判断してください。
A. 見直します。変化がなくても、確認した記録を残してください。
A. 低リスクと評価したうえで3年目に予定している、という説明ができれば問題ありません。
📄 まとめ
全部を毎年見ることはできません。何を選び何を選ばなかったかの根拠を残すのがリスクアプローチです。
金額、不正の起きやすさ、手順の新しさ、過去の指摘、外部の関心という5つの視点で評価します。
高は毎年、中は2年に1度、低は3年に1度で割り付けると、3年で全体が一巡します。
担当者が詳しい部門、協力的な部門、前年と同じテーマ、経営者に言われた部門だけを選ぶのは避けてください。
公認会計士・税理士 鈴木佑也（鈴木佑也公認会計士税理士事務所／東京都台東区入谷）。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンス、企業価値評価、IFRS影響度調査、不正調査、フォレンジックに携わりました。現在は上場申請書類（Ⅰの部・Ⅱの部）の作成支援、内部統制の導入と内部監査対応、新収益認識基準やIFRSの導入支援、社内諸規程の整備を行っています。
本記事は一般的な情報提供を目的としたものであり、個別の事案に対する助言ではありません。実際の制度設計や運用にあたっては、監査法人および主幹事証券会社にご確認ください。
体制と立ち上げ
- 内部監査規程には何を書くか
- 内部監査基準と規程
- 内部監査は誰が担当するか
- 内部監査は何人必要か
- 内部監査を外部に委託できるか
- 内部監査室はいつ設置するか
- 内部監査室の立ち上げ90日
- 内部監査の年間スケジュール
- 3ラインモデルと内部監査
- 企業統治の指針と内部監査
- 内部監査の助言はどこまで
計画とリスク評価
- 内部監査計画はどう作るか
- 内部監査のリスク評価
- 内部監査の対象はどう選ぶか（この記事）
手続と実施
報告とフォローアップ
業務別の監査
- 購買と支払の内部監査
- 販売と売上計上の内部監査
- 現金預金と経費精算の内部監査
- 棚卸資産と固定資産の内部監査
- 労務管理の内部監査
- ITの内部監査
- 予算実績管理の内部監査
- 関連当事者取引の内部監査
- 契約管理の内部監査
- 子会社の内部監査
不正への対応
内部統制報告制度
通報と監査役との連携
