グローバル内部監査基準の適用開始

内部監査人協会（IIA）のグローバル内部監査基準が2025年1月9日に適用開始となりました。金融庁は6月20日に、この基準を踏まえた金融機関の内部監査高度化に関する懇談会 報告書（2025）を公表しています。

この基準は法令ではなく、日本法上、会社に一律の遵守義務を課すものではありません（IIAの会員や資格保有者、適合を表明する内部監査部門には職業上の要請が及びます）。それでも整理しておく意味があるのは、基準が内部監査の位置づけをガバナンス機関との関係で定めているためです。日本の会社では、その役割を担う機関を会社法の枠組みと突き合わせて決めることになります。

基準の構成

IIAが2024年1月に公表し、日本内部監査協会が同年7月5日に日本語版を公表しました。5つのドメイン（領域）と15の原則で構成され、各原則の下に52の基準が置かれています。

ドメイン	名称	原則
I	内部監査の目的	—
II	倫理と専門職としての気質	誠実性、客観性、専門的能力、正当な注意、秘密の保持（1〜5）
III	内部監査部門に対するガバナンス	取締役会による承認、独立した位置付け、取締役会による監督（6〜8）
IV	内部監査部門の管理	戦略的な計画策定、監査資源の管理、効果的なコミュニケーション、品質の向上（9〜12）
V	内部監査業務の実施	業務の計画、実施、結果の伝達と改善措置のモニタリング（13〜15）

基準は内部監査の目的を、監査対象の確認ではなく、組織体の価値との結びつきで定義しています。

内部監査は、取締役会及び経営管理者に、独立にして、リスク・ベースで、かつ客観的なアシュアランス、助言、インサイト及びフォーサイトを提供することによって、組織体が価値を創造、保全、維持する能力を高める。
出典: 日本内部監査協会「「グローバル内部監査基準」から見た内部監査の高度化」（金融庁「金融機関の内部監査高度化に関する懇談会」第2回資料）

改訂の主眼の一つは、監査ガバナンスの強化です。ドメインIII（内部監査部門に対するガバナンス）に、内部監査基本規程の取締役会による承認（原則6）、独立した位置付け（原則7）、取締役会による監督（原則8）が置かれました。

承認と監督を担う機関

基準は、内部監査基本規程の承認と内部監査部門の監督を「取締役会」の役割としています。ただしここでいう取締役会（board）は、会社法上の取締役会に限られません。基準の用語一覧は、これをガバナンスを担う最上位の機関とし、取締役会のほか監査委員会や理事会などを挙げたうえで、ガバナンス機関が複数ある組織体では、内部監査部門に適切な権限、役割及び責任を付与する権限を認められた1つまたは複数の機関を指すとしています。つまり、その役割を実際にどの機関が担うのかは、組織の側で特定しなければなりません。日本内部監査協会も、基準を踏まえた要考慮事項の一つに「取締役会の関与明確化」を挙げています。

日本の会社では、機関設計によって候補が分かれます。監査役会設置会社では監査役が、監査等委員会設置会社では監査等委員会が業務監査を担い、取締役会との役割分担も一様ではありません。もっとも会社法は、業務の適正を確保するために必要な体制の整備を取締役会の決定事項とし、取締役への委任を禁じています（362条4項6号・5項。監査等委員会設置会社は399条の13、指名委員会等設置会社は416条）。内部監査部門の権限や報告経路は、この決定の一部として位置づけることができます。

金融庁が示した段階別評価

報告書は金融機関に向けたものですが、懇談会は「一般事業会社や海外金融監督当局も活用できる目線の提供」を目的の一つに掲げています。

4つの段階

第一段階は事務不備監査です。規程や事務ルールの運用状況を検証する段階とされます。準拠性の検証は本来は第1線・第2線が担うものですが、組織規模が小さく十分な3線管理体制の構築が難しい場合などには、全体最適の観点から第3線が第2線の役割の一部を担うことも否定されないとされています。

第二段階はリスクベース監査です。内部統制の整備・運用状況について、各業務に係るリスクアセスメントを行ったうえで監査を実施し、保証を提供する段階とされます。

第三段階は経営監査です。ここは誤解されやすいところで、報告書は「経営監査」を「経営戦略そのものの妥当性を評価する監査」と理解していた金融機関があったと指摘しています。経営戦略の決定は経営判断事項であり、その妥当性は一義的には監査役や監査（等）委員による監査の対象です。内部監査部門が監査（等）委員会や監査役会との連携の文脈でこれに関与することはあり得ても、主体的かつ直接的に評価する監査は想定されていないとされます。内部監査部門が着目するのは、経営戦略やその遂行から生じる歪み（コンダクトリスク、重要な事務リスク等）で、コントロール、リスク・マネジメント、ガバナンスといった管理態勢にアシュアランス・助言・インサイト・フォーサイトを提供する段階と整理されています。

第四段階は信頼されるアドバイザーです。前の3段階とは概念が異なり、先進的な手法を形式的に取り入れただけでは達成されないとされています。内部監査への信頼の結果として、経営陣や被監査部門の側から気づきや助言を積極的に求められる状態を指します。

卒業ではなく加算

段階の進展は直線的なものではなく、重層的なもの、厚みを増していくものという、いわゆる「加算方式」と理解すべきである。
出典: 金融庁「金融機関の内部監査高度化に関する懇談会 報告書（2025）」

上の段階へ進めば以前の段階の取組は不要になる、という理解を「卒業方式」と呼んで否定しています。準拠性の検証機能は、水準が第二段階や第三段階であっても重要性は変わらないという整理です。

ただし、準拠性監査を内部監査部門が常に自ら実施しなければならないという意味ではないとも述べられています。誰が担うかは3線管理の観点から役割を明確にすべきもので、それは経営陣が考えることだとされています。

段階別評価そのものの位置づけについては、内部監査の目的の実現や機能の発揮の成熟度合いを概念的に示すものとされています。取組を実施したこと自体で段階が上がるのではなく、その結果が目的の実現と機能の発揮に結びついてはじめて段階が進む、という整理です。

社内で確認すべき点

出発点は、内部監査基本規程の承認主体と報告経路の確認です。社長決裁で承認し、監査結果も社長にだけ上がる形であれば、基準が求める取締役会による承認と監督は組み込まれていません。前述のとおり内部監査部門の位置づけは内部統制システムの整備の決定に含められるので、その決定と規程を結び付ければ、承認主体と報告経路の見直しは規程の改定として進められます。

3線の役割分担は、内部監査部門だけでは動かせません。第1線・第2線でリスクを管理する体制がなければ内部監査の高度化は達成されないと日本内部監査協会も指摘しており、部門間の整理が前提になります。

ロジットパートナーズ法律会計事務所のサービス

当事務所では、内部監査支援において、内部監査部門の位置づけの整理や監査計画の設計に対応しています。内部監査基本規程や報告経路を規程の条文に落とす作業も、あわせて扱います（規程・ポリシー整備）。

3線の役割分担や、会社法上の内部統制システムの整備との接続を整理する場合は、内部統制の側から検討します（内部統制構築）。機関設計と内部監査の関係について書面で見解を示す必要があるときは、意見書を作成しています（法律意見書）。体制の整理から進めることもできます（法務コンサルティング）。