内部監査の世界へようこそ！
こんにちは！P3 リスク管理の学習の中で、最も実践的な章の一つへようこそ。企業がどのようにルールを遵守させているのか、不思議に思ったことはありませんか？ここでは、内部監査の様々な形態について探求していきます。
内部監査は、企業にとっての「健康診断」のようなものです。医師が体の各部位（心臓、肺、反射神経など）をチェックするように、内部監査人はビジネスの様々な側面をチェックし、すべてが正しく機能しているかを確認します。最初は専門用語が多くて難しく感じるかもしれませんが、大丈夫です。一つずつ丁寧に紐解いていきましょう！
1. 内部監査とは具体的に何でしょうか？
様々な形態を見る前に、まずはシンプルに定義しましょう。内部監査とは、企業の内部統制が機能しているかをチェックする社内の独立した部門のことです。彼らの目的は、リスクが適切に管理されているという保証（アシュアランス）を取締役会に提供することにあります。
例え：プロのスポーツチームを想像してみてください。選手（経営陣）は試合に勝つ（利益を上げる）ためにプレーしますが、審判（内部監査）は試合が混乱しないように、全員がルールを守っているかを監視しています。
クイック復習：3つの防衛線
内部監査はよく第3の防衛線と呼ばれます：
1. 第1の防衛線：マネジメント（業務上のリスクを所有・管理する主体）。
2. 第2の防衛線：リスク管理およびコンプライアンス機能（リスク統制を監視し促進する役割）。
3. 第3の防衛線：内部監査（取締役会および監査委員会に独立した保証を提供する役割）。
2. 内部監査の様々な形態
内部監査人は単に会計帳簿を見るだけではありません。組織が直面するリスクに応じて、彼らは様々な役割を担います。CIMA P3試験に向けて知っておくべき、内部監査の主な形態を紹介します：
A. コンプライアンス監査
これはルールを守ることに関する全てです。対象となるルールには、外部の法的・規制上の義務（データ保護法、税法、労働安全衛生規則など）もあれば、社内規程（職務権限規程や出張費規程など）も含まれます。
よくある間違い：多くの学習者はコンプライアンスが制定法に関することだけだと思いがちです。P3では、コンプライアンス監査が社内方針、手続き、倫理規定の遵守状況も検証することを覚えておいてください。
B. 不正調査
不正が疑われる、あるいは発覚した場合、内部監査人は調査のために頻繁に招集されます。不正調査は、不正がどのように発生したかの特定、金銭的損失や風評被害の総額の評価、証拠の収集と保全、統制の破綻箇所の特定、および再発を防止するための是正統制の提案に焦点を当てます。
重要な区別：堅固な内部統制を通じて不正を防止・発見する主な責任は経営陣にありますが、内部監査は不正疑惑を調査し、現行システムの不正に対する脆弱性を評価し、必要な是正措置について監査委員会に助言します。
C. バリュー・フォー・マネー（VFM）／経営監査
パフォーマンス監査や業務監査（オペレーショナル監査）とも呼ばれ、この監査は「経営陣は組織のリソースをうまく活用して仕事をしているか？」を問うものです。目標が経済的、効率的、かつ効果的に達成されているかを評価します。
暗記ポイント：バリュー・フォー・マネーの3つのE
「バリュー・フォー・マネー」や「経営監査」という言葉が出てきたら、この3つの核心的な基準を思い出してください：
1. エコノミー（Economy／経済性）：適切な品質を考慮しつつ、調達または使用されるリソースのコストを最小限に抑えること（支出を抑える）。
2. エフィシェンシー（Efficiency／効率性）：財・サービスの産出量（アウトプット）と、その生産に使用されたリソースの関係を最大化すること（上手に支出する／物事を正しく行う）。
3. エフェクティブネス（Effectiveness／有効性）：公表された目的や目標がどの程度達成されたか（賢く支出する／正しい物事を行う）。
D. 社会・環境監査
現代の組織は、重大な非財務リスク、サステナビリティリスク、風評リスクに直面しています。社会・環境監査は、企業が社会、地域社会、従業員、および自然環境に与える影響を評価します。例として、二酸化炭素排出削減目標の達成状況の評価、水・廃棄物管理プロトコルのモニタリング、職場の多様性と包摂性（D&I）指標の監査、サプライチェーンパートナーが倫理的な労働慣行を順守しているかの検証などが挙げられます。
E. 情報技術（IT）・システム監査
デジタルなビジネス環境において、IT監査はコンピュータシステム、ネットワーク、データベースのセキュリティ、完全性、可用性を検証します。監査人は、事業継続性を確保し機密性の高い企業データを保護するために、アクセス統制、データバックアップ手順、ディザスタリカバリ計画、サイバーセキュリティ防御を評価します。
F. 財務および業務監査
内部監査人は、日常のビジネスプロセスだけでなく、財務および業務情報の信頼性と完全性をレビューします。企業の資産を保護するために、銀行勘定調整、職務分掌、実地棚卸、購買承認などの主要な統制が効果的に機能しているかをテストします。
重要なポイント：内部監査は非常に多才です。コンプライアンス、不正調査、バリュー・フォー・マネーのレビュー、社会・環境責任、テクノロジーの統制などを幅広く網羅します。
3. 誰が監査を行うのか？（機能の調達）
企業が内部監査機能を設置するには、主に3つの方法があります。どれを選ぶかは監査委員会にとって重要なガバナンス上の決定事項です。
1. インハウス（社内部門）
企業が自社のフルタイム従業員を内部監査人として雇用します。
メリット：企業の文化、業務、システムを深く理解しており、常設で即座に対応可能です。
デメリット：専門的な知見を育成・維持するコストがかかり、監査対象の現場スタッフと親密になりすぎると監査人の客観性が失われるリスクがあります。
2. アウトソーシング（外部委託）
外部の専門企業（会計事務所やリスクコンサルティング会社など）と契約し、内部監査サービス全体を委託します。
メリット：専門的なスキル、最先端の監査ソフトウェア、柔軟な体制の活用が可能で、独立した客観的な視点が得られます。
デメリット：長期的な時間単価が高く、ビジネス特有の業務上の機微に精通していない可能性があり、社内の組織的な学習機会が失われるリスクがあります。
3. コソーシング（共同委託）
これはハイブリッド型です。定常的な監査や経営陣との連絡調整のために社内のコアチームを維持しつつ、複雑で専門性の高い業務（高度なサイバーセキュリティの侵入テストや複雑な不正のフォレンジック調査など）には外部の専門家を活用します。
現実の例：中堅銀行が日常の支店業務や支店融資のコンプライアンスチェックには自社の内部監査人を維持しつつ、アルゴリズム取引システムやクラウドセキュリティの監査にはITフォレンジック専門会社とコソーシングを行うケースです。
クイック復習：調達の判断基準
- インハウス：組織の知識と継続的なプレゼンスの維持に最適。
- アウトソーシング：専門機能と明確な独立した視点の確保に最適。
- コソーシング：社内の継続性に加え、外部専門家の柔軟な活用を両立。
4. 内部監査計画に影響を与える要因
内部監査人は毎年すべてを監査できるわけではありません。リスクエクスポージャーが最も高い分野にリソースの優先順位を付けるために、リスクベースの内部監査アプローチを採用する必要があります。
監査計画は通常、以下に基づいて決定されます：
- リスク評価：全社的リスク台帳において固有リスクおよび残余リスクが高い事業部門、プロジェクト、またはプロセスを優先します。
- 重要性（マテリアリティ）：重要な金銭的価値、重大な取引量、または戦略的重要性を持つ分野に焦点を当てます。
- 変化と複雑性：新しい基幹ソフトウェアの導入、組織再編、新規買収した子会社など、最近変化があった分野は迅速なレビューが必要です。
- 経営陣の懸念事項と過去の指摘事項：過去にコンプライアンス違反があった分野や、監査委員会からの特定の要請に対応します。
5. まとめと励まし
内部監査の形態について学び終えました！CIMA P3試験に向けて覚えておくべきポイントは以下の通りです：
- コンプライアンス監査：外部の法律、規制、および社内方針の遵守を検証します。
- 不正調査：不正の仕組みを特定し、損失を評価し、証拠を保全し、統制の改善を提案します。
- バリュー・フォー・マネー（VFM）／経営監査：業務のパフォーマンスを「3つのE」（経済性、効率性、有効性）に照らして評価します。
- 社会・環境監査：組織の環境持続可能性、地域社会への影響、倫理基準を測定します。
- 調達モデル：コスト、独立性、および専門スキルの要件に基づいて、インハウス、完全アウトソーシング、またはコソーシングによって人員配置されます。
試験のヒント：CIMAでシナリオ形式の問題が出題されたら、「この具体的なエンゲージメントは何を評価することを目的としているのか？」と自問してみてください。ルールの遵守（コンプライアンス）か、不正の疑い（不正調査）か、リソースの最適化（VFM／経営監査）か、それともサステナビリティへの影響（社会・環境）でしょうか？主たる目的を特定することで、正しい監査形態が自ずと見えてきます。
この調子で頑張りましょう！内部統制とリスク軽減は、P3試験合格のための極めて重要な柱です！