グローバル内部監査基準とは?5つのドメインと旧IPPFからの変更点をわかりやすく解説
- 9 時間前
- 読了時間: 19分
「グローバル内部監査基準って、結局何がどう変わったの?」——内部監査部門に配属されたばかりの方が、先輩や監査調書の中でこの言葉に出会い、戸惑うケースは少なくありません。
グローバル内部監査基準(Global Internal Audit Standards。以下、必要に応じて「新基準」)は、内部監査人協会(IIA)が定める内部監査の世界共通の職業的規範です。2024年1月に公表され、2025年1月から適用が始まりました。約20年ぶりの大改訂といわれ、従来の「専門職的実施の国際フレームワーク(IPPF)」の構造を根本から組み替えた内容になっています。
本記事では、新任・若手の内部監査人の方を主な読者として、グローバル内部監査基準の全体像、旧IPPFからの変更点、2026年時点で押さえておくべき「トピック別要求事項」の動向、そして内部監査部門としての実務対応までを、順を追って解説します。
グローバル内部監査基準とは
内部監査の「世界共通ルール」
グローバル内部監査基準とは、内部監査人協会(The Institute of Internal Auditors:IIA)が策定する、内部監査の専門職としての実施基準です。内部監査が「組織体の価値を高め、保全する」という使命を果たすために、内部監査人個人と内部監査部門が満たすべき要求事項(requirements)と、その適用を助ける考慮事項などがまとめられています。
会計監査(外部監査)に監査基準があるように、内部監査にも職業的な拠り所となる基準があります。ただし、会計監査の基準が法令等で強制されるのに対し、グローバル内部監査基準は専門職団体であるIIAが定める基準であり、直接の法的強制力を持つものではありません。それでも、IIA会員やCIA(公認内部監査人)などの資格保持者には遵守が求められ、実務上も「内部監査の品質を測る世界共通のものさし」として、外部品質評価や監査役等・取締役会への説明の基礎になっています。日本では一般社団法人日本内部監査協会がIIAの日本代表機関として、基準の日本語版を公表しています。
策定の経緯と適用時期
新基準の経緯は次のとおりです。
2023年:IIAが草案を公表し、世界中からパブリック・コメントを募集
2024年1月9日:グローバル内部監査基準を正式公表
2024年7月5日:日本内部監査協会が日本語版を公表
2025年1月9日:適用開始
2025年〜:個別テーマごとの「トピック別要求事項(Topical Requirements)」が順次公表・適用開始
つまり本記事の執筆時点(2026年)では、すでに「新基準で内部監査を実施していることが当然」というフェーズに入っています。新任の方は旧基準を経由せず、最初から新基準で学べる世代ともいえます。
旧IPPF(専門職的実施の国際フレームワーク)との関係
従来、IIAの規範体系は「専門職的実施の国際フレームワーク(IPPF:International Professional Practices Framework)」と呼ばれ、「内部監査の使命」「倫理綱要」「内部監査の専門職的実施の国際基準(属性基準・実施基準)」「実施ガイダンス」など、複数の文書が階層構造をなしていました。
新基準では、この複雑な階層構造が再編されました。旧来の倫理綱要や属性基準・実施基準といった区分は廃止され、内容がグローバル内部監査基準という一つの文書に統合されています。改訂後のIPPFは、大きく「グローバル内部監査基準」「トピック別要求事項」「グローバル・ガイダンス」で構成されるシンプルな体系になりました。
なぜ約20年ぶりに大改訂されたのか
新基準への改訂の背景には、内部監査を取り巻く環境の大きな変化があります。ポイントは3つです。
第一に、リスク環境の複雑化です。サイバーセキュリティ、サプライチェーン、気候変動・サステナビリティ、地政学リスクなど、内部監査がカバーすべき領域は従来の会計・業務プロセス中心の監査から大きく広がりました。基準側も、こうした新しいリスクへの対応を明示的に求める構造が必要になりました。
第二に、ガバナンスにおける内部監査への期待の高まりです。世界的に企業不祥事が続く中、取締役会や監査委員会が内部監査を実効的に監督し、活用することの重要性が強調されるようになりました。新基準では、取締役会と内部監査部門長(CAE)の関係に関する要求事項が大幅に拡充されています。
第三に、テクノロジーの進展です。データアナリティクスやAIの活用が内部監査の生産性と保証水準を左右する時代になり、基準にもテクノロジー活用に関する要求が盛り込まれました。
また、旧基準は「基準本文」「解釈指針」「実施ガイダンス」が別文書に分かれており、実務家にとって全体像を把握しづらいという声がありました。新基準は要求事項と考慮事項を一体化し、「読めば何をすべきか分かる」構造を目指した点も特徴です。
新基準の全体構造:5つのドメイン・15の原則・52の基準
グローバル内部監査基準は、5つのドメイン(領域)の下に15の原則(Principles)、その下に52の基準(Standards)が配置される3層構造です。まず全体の骨格を頭に入れてしまうのが、新基準を最短で理解するコツです。
ドメイン | テーマ | 対応する原則 |
ドメインⅠ | 内部監査の目的 | (原則なし・目的の宣言) |
ドメインⅡ | 倫理と専門職としての気質 | 原則1〜5 |
ドメインⅢ | 内部監査部門に対するガバナンス | 原則6〜8 |
ドメインⅣ | 内部監査部門の管理 | 原則9〜12 |
ドメインⅤ | 内部監査業務の実施 | 原則13〜15 |
ドメインⅠ:内部監査の目的
ドメインⅠは、内部監査が何のために存在するのかを宣言する部分です。内部監査は、ガバナンス・リスクマネジメント・コントロールの各プロセスに対する独立かつ客観的なアシュアランス(保証)と助言を通じて、組織体の価値創造・保全・向上を支援する——という趣旨が示されています。旧IPPFの「内部監査の使命」「内部監査の定義」に相当する内容が、ここに集約されたイメージです。
新任の方は、監査報告書や監査計画の説明で「なぜ内部監査がこの監査をやるのか」を問われたとき、このドメインⅠの言葉に立ち返ると説明がぶれません。
ドメインⅡ:倫理と専門職としての気質(原則1〜5)
ドメインⅡは、旧倫理綱要に相当する部分で、内部監査人個人の行動規範を定めます。原則1〜5はそれぞれ、誠実性、客観性、専門能力、専門職としての正当な注意、守秘義務をテーマとしています。
それぞれの原則を、実務の場面に引き付けて確認しておきましょう。
誠実性:発見した不備を、監査対象部門との関係悪化を恐れて報告から落とすようなことをしない。事実を事実のまま扱う姿勢です。
客観性:自分が直前まで所属していた部門を監査すると、自己レビューによって客観性が損なわれるおそれがあります。利益相反の可能性がある場合は、上司(CAEや監査責任者)に申告し、担当替え等の措置を仰ぎます。
専門能力:担当する監査テーマに必要な知識・スキルを持つこと、不足する場合は研修や専門家の支援で補うことが求められます。「知らないまま監査する」ことこそがリスクです。
専門職としての正当な注意:職業的懐疑心を持ち、監査手続の深度をリスクに応じて判断すること。「言われたとおりの手続だけ流す」のではなく、違和感に立ち止まる姿勢が該当します。
守秘義務:監査で知り得た情報を、業務上の正当な目的以外に使わない・漏らさないこと。監査部門は組織の機微情報が最も集まる部署の一つであり、情報管理は信頼の生命線です。
これらは配属初日から求められる専門職の基本動作であり、CIA試験でも繰り返し問われる領域です。
ドメインⅢ:内部監査部門に対するガバナンス(原則6〜8)
ドメインⅢは、取締役会(日本企業では監査委員会・監査等委員会・監査役会などがこの役割の一部を担うことがあります)と最高経営者が、内部監査部門をどう位置づけ、支援し、監督するかを定める領域です。原則6〜8は、内部監査部門への権限付与(内部監査基本規程の承認など)、組織上の独立した位置づけ、取締役会による監督をテーマとしています。
旧基準が主に「内部監査部門側の義務」を書いていたのに対し、新基準は取締役会・最高経営者側の関与を明確にした点が大きな特徴です。この点は後述する変更点で詳しく触れます。
ドメインⅣ:内部監査部門の管理(原則9〜12)
ドメインⅣは、内部監査部門長(CAE:Chief Audit Executive)による部門運営の基準です。原則9〜12は、戦略的な計画策定(内部監査戦略・監査計画)、資源(人材・テクノロジー・予算)の管理、効果的なコミュニケーション、品質の向上(品質保証・改善プログラム、パフォーマンス測定)をテーマとしています。
年間監査計画の策定がリスクベースであるべきこと、部門としての品質評価(内部評価・外部評価)を行うことなど、部門運営の骨格はこのドメインに定められています。若手のうちは「CAEの仕事」と感じるかもしれませんが、自分の監査業務が部門の品質プログラムの中でどう評価されるのかを知っておくと、調書レビューや事後評価の意味が理解しやすくなります。
ドメインⅤ:内部監査業務の実施(原則13〜15)
ドメインⅤは、個別の監査業務(engagement)の進め方を定める、実務者に最も身近な領域です。原則13〜15は、個別監査業務の計画(リスク評価、目的・範囲の設定、監査プログラム策定)、業務の実施(情報の収集・分析、発見事項の評価、結論の形成、業務の文書化)、結果の伝達とアクションプランのモニタリング(監査報告とフォローアップ)をテーマとしています。
日々の予備調査・往査・調書作成・報告書ドラフトといった仕事は、すべてこのドメインⅤに紐づいています。まずはドメインⅤから精読し、慣れてきたらⅣ→Ⅲへと視野を広げる読み方がおすすめです。
旧IPPFからの主な変更点
ここからは、旧IPPF(2017年版)と比べて何が変わったのかを、実務への影響が大きい順に整理します。
変更点1:文書構造の全面再編
まず形式面では、属性基準(1000番台)・実施基準(2000番台)という馴染み深い区分が廃止され、上述の5ドメイン構造に再編されました。「基準2330(情報の記録=いわゆる監査調書の基準)」のような旧来の番号は、新基準では「基準14.6(業務の文書化)」のように原則配下の番号に変わっています。解釈指針や適用準則(Implementation Guidance)も独立文書としては廃止され、各基準の中に「要求事項」「適用に当たっての考慮事項」「適合の証拠の例」が一体的に記載される形になりました。
過去の監査マニュアルや調書様式に旧基準番号が引用されている場合は、新旧対応(マッピング)の確認が必要です。日本内部監査協会やIIAが新旧対応表を公表しているので、部門のマニュアル改訂時にはこれを活用します。
変更点2:取締役会・最高経営者の役割の明確化
新基準の最大の特徴の一つが、内部監査の有効性の「必須条件」として、取締役会と最高経営者の支援・監督を明示したことです。内部監査基本規程の承認、CAEの任免や評価・報酬への関与、内部監査部門の予算・人員といった資源の適切性の確保、外部品質評価に関する協議などについて、取締役会が果たすべき役割が基準8.1・8.2・8.4などに具体的に書き込まれました。
これにより、CAEには取締役会・監査委員会等との定期的で実質的なコミュニケーションがこれまで以上に求められます。担当者レベルでも、監査結果が最終的に取締役会等へどう報告されるかという「出口」を意識した監査運営が重要になります。
変更点3:内部監査戦略の策定が新たな要求事項に
基準9.2により、CAEは組織体の戦略と整合した内部監査部門の戦略(ビジョン、戦略目標、支える行動計画)を策定・維持することが求められるようになりました。単年度の監査計画だけでなく、中期的に部門をどう発展させるか——人材育成、データアナリティクスの導入、監査手法の高度化など——を明文化し、取締役会・最高経営者の期待と結びつける趣旨です。
これは旧基準には明示されていなかった、新基準の代表的な新規要求事項です。部門の中期計画や研修計画が整備されはじめたと感じたら、その背景にはこの基準があります。
変更点4:テクノロジー活用の明文化
基準10.3は、内部監査部門が業務の実施にあたり適切なテクノロジーを活用すること、そして定期的にその活用状況を評価し改善機会を検討することを求めています。データアナリティクス、監査管理ツール、そして近年ではAIの活用が、「あれば望ましい」から「基準上の要求」へと位置づけが変わりました。
もちろん、組織規模に応じた合理的な範囲での対応が前提ですが、Excel中心の監査からの脱却は世界的な潮流です。若手のうちにデータ分析スキルを身につけることは、新基準時代の内部監査人としての明確な強みになります。
変更点5:発見事項の重大性評価と結論の明確化
個別監査の実施面では、発見事項の重大性(深刻度)を評価すること、そして監査結果として結論(conclusion)を明確に示すことが強調されました(基準14.3・14.5など)。「事実の列挙」で終わる報告ではなく、発見事項が組織体にとってどの程度重要なのか、監査対象のガバナンス・リスク管理・コントロールは全体として有効といえるのか、を格付けや総合評価の形で示すことが求められます。
報告書の指摘事項に「重要度:高/中/低」といったレーティングを付す実務は従来からありましたが、新基準はその評価プロセスと根拠の文書化をより明確に要求しています。
変更点6:品質・パフォーマンス測定の強化
品質に関しては、旧基準から引き続き内部評価と少なくとも5年に1回の外部品質評価が求められるほか、内部監査部門のパフォーマンス測定(KPIの設定と測定)に関する要求が強化されました。監査計画の達成率、指摘改善率、監査先満足度といった指標で部門の有効性を測り、継続的改善につなげる運用が想定されています。
変更点7:助言業務(アドバイザリー)の位置づけの整理
内部監査のサービスには、独立した立場から評価結果を提供するアシュアランス(保証)業務と、経営や現場の求めに応じて改善への示唆を提供する助言(アドバイザリー)業務があります。新基準では、両者の定義と、それぞれの業務に適用される要求事項の範囲がより分かりやすく整理されました。DX推進プロジェクトへの助言参加など、内部監査への助言ニーズが高まる中で、客観性を保ちながら助言業務を行うための整理として実務上も重要です。なお、後述するトピック別要求事項の適合が必須となるのはアシュアランス業務であり、助言業務では適用が推奨される、という区別も押さえておきましょう。
「基準への適合」はどう確認されるのか
新基準を理解するうえで欠かせないのが、「適合(conformance)」の考え方です。内部監査部門が「グローバル内部監査基準に適合して業務を実施している」と対外的に表明するためには、基準の要求事項を満たしていることが品質評価によって裏付けられている必要があります。
品質評価には2種類あります。一つは内部評価で、日常的なモニタリング(調書レビュー、監査ごとの事後評価など)と定期的な自己評価から成ります。もう一つは外部評価で、少なくとも5年に1回、組織外部の適格な評価者による評価(外部品質評価)を受けることが求められます。日本でも、上場企業を中心に外部品質評価の受審は着実に広がっており、コーポレートガバナンス・コードが求める内部監査の実効性確保の文脈でも注目されています。
新任の方の目線でいえば、日々の調書レビューや監査後の振り返りは、この品質保証・改善プログラムの一部です。レビューコメントは「あら探し」ではなく、部門として基準適合を維持するための仕組みだと理解すると、前向きに受け止めやすくなります。
トピック別要求事項(Topical Requirements)とは
新IPPFのもう一つの目玉が、トピック別要求事項です。これは、特定のリスク領域を監査する際に最低限評価すべき事項を定める文書で、グローバル内部監査基準を補完します。リスクベースの監査計画等により該当領域を監査対象とした場合、アシュアランス業務では適合が求められる点で、単なるガイダンスとは異なる「強制力のある」文書です。
執筆時点(2026年8月)の状況は次のとおりです。
サイバーセキュリティ:2025年2月公表。2026年2月5日から適用開始
第三者(サードパーティ):2025年9月25日公表(アウトソーシング、クラウド、ベンダー管理等を対象)。2026年中に適用開始
組織行動(オーガニゼーショナル・ビヘイビア):公表済み。2026年中に適用開始
組織レジリエンス:2026年後半に公表見込み
たとえばサイバーセキュリティのトピック別要求事項では、サイバーセキュリティ監査においてガバナンス、リスクマネジメント、コントロールの各側面から評価すべき要求事項が列挙されています。該当テーマの監査に着手する前には、トピック別要求事項と付属のユーザーガイドを必ず確認する習慣をつけましょう。今後もテーマは追加されていく見込みのため、IIAおよび日本内部監査協会の公表情報を定期的にチェックすることが大切です。
新任・若手内部監査人がまず押さえるべき5つのポイント
基準の全文を最初から読み込むのは大変です。新任・若手の方は、次の5点から着手することをおすすめします。
ドメインⅤ(個別業務の実施)を最初に読む:自分の日常業務に直結する原則13〜15を、実際の監査案件と照らし合わせながら読むと定着が早まります。
ドメインⅡ(倫理)は暗記レベルで:誠実性・客観性・専門能力・正当な注意・守秘義務の5原則は、監査の全場面で判断の軸になります。
「要求事項(must)」と「考慮事項」を区別する:基準の文中で強制なのはmustで書かれた要求事項です。考慮事項は適用の助けとなる説明であり、この区別を意識すると読解が楽になります。
自部門の監査マニュアルと基準の対応を確認する:自社のマニュアルが新基準のどの基準に対応しているかを把握しておくと、調書レビューでの指摘の意図が理解できます。
トピック別要求事項の公表状況をウォッチする:担当テーマの監査前には、該当するトピック別要求事項の有無を確認することを習慣化しましょう。
なお、CIA(公認内部監査人)試験も新基準に対応した内容に移行しています。これから受験する方は、新基準ベースの教材で学習することが、資格取得と実務の両面で効率的です。
内部監査部門としての実務対応ステップ
部門としての新基準対応は、多くの組織で一巡した時期ですが、これから点検する場合や、対応の抜け漏れを確認する場合は、次のステップが標準的です。
ギャップ分析:現行の内部監査基本規程・マニュアル・調書様式を新基準の要求事項と突き合わせ、差分を洗い出す
内部監査基本規程の改訂:新基準への準拠を明記し、取締役会の承認を得る
内部監査戦略の策定:組織体の戦略と整合した部門戦略を文書化する(基準9.2対応)
取締役会・最高経営者との期待値のすり合わせ:報告ライン、報告頻度、資源の適切性について合意する
監査マニュアル・調書様式の改訂:重大性評価や結論の記載欄、テクノロジー活用の手順を織り込む
品質保証・改善プログラムの見直し:内部評価の仕組みとKPI、外部品質評価の受審計画を整備する
研修の実施:部門メンバー全員への新基準教育と、トピック別要求事項の継続的なアップデート
ポイントは、形式的な文書改訂で終わらせず、「取締役会との関係強化」「重大性評価の運用」「テクノロジー活用」といった実質面の変化につなげることです。外部品質評価では、規程の文言ではなく実際の運用が評価されます。
押さえておきたい基本用語ミニ辞典
新基準を読むうえで頻出する用語を整理します。社内での説明や調書作成の際の言葉選びにも役立ちます。
CAE(内部監査部門長/Chief Audit Executive):内部監査部門の責任者。取締役会・最高経営者との関係構築、監査計画・資源・品質に関する最終責任を負う。
取締役会(board):基準上は、組織体のガバナンスに最終責任を負う機関を指す概念。日本企業では取締役会に加え、監査委員会・監査等委員会・監査役会等が基準のいう「取締役会」の機能の一部を担う場合があり、自社のガバナンス構造に即した読み替えが必要。
アシュアランス業務:内部監査人が独立・客観の立場で証拠を評価し、結論を提供する業務。いわゆる通常の内部監査。
助言業務(アドバイザリー):依頼に基づき、助言や示唆を提供する業務。結論の保証は伴わない。
要求事項(requirements):基準本文で「しなければならない(must)」と定められた強制事項。
考慮事項(considerations):要求事項の適用を助けるための一般的な実務や留意点。強制ではないが、適合の説明力を高める。
個別業務(engagement):一つひとつの監査案件のこと。個別監査、監査業務とも訳される。
発見事項(findings):監査手続の結果識別された、あるべき姿(規準)と現状との差異。指摘事項の元となる。
トピック別要求事項:特定リスク領域の監査で最低限評価すべき事項を定める強制文書。サイバーセキュリティ等が公表済み。
よくある質問(FAQ)
Q1. グローバル内部監査基準に法的な強制力はありますか?
A. 法令ではないため、直接の法的強制力はありません。ただし、IIA会員とCIA等の資格保持者には遵守義務があり、内部監査部門が「基準に適合している」と表明するためには基準の要求事項を満たす必要があります。取締役会や監査役等への説明、外部品質評価の観点からも、実務上のデファクトスタンダードといえます。
Q2. 旧基準(2017年版IPPF)はもう使えないのですか?
A. 2025年1月9日の適用開始をもって新基準に移行しており、以後の内部監査業務は新基準に基づいて評価されます。マニュアル等に旧基準番号が残っている場合は、新旧対応表を用いて更新しましょう。
Q3. 小規模な内部監査部門でも全部の基準を守る必要がありますか?
A. 新基準は組織の規模や成熟度に応じた適用を想定しており、公的セクターや小規模部門向けの適用上の配慮も示されています。ただし「規模が小さいから守らなくてよい」のではなく、要求事項の趣旨をどう充足するかを説明できることが重要です。
Q4. 日本語版はどこで入手できますか?
A. 日本内部監査協会のWebサイトで日本語版が公表されています。トピック別要求事項についても、順次日本語版・ユーザーガイドが提供されています。
Q5. J-SOX(内部統制報告制度)との関係はどうなりますか?
A. J-SOXは金融商品取引法に基づく財務報告に係る内部統制の制度であり、グローバル内部監査基準とは別の枠組みです。ただし、内部監査部門がJ-SOX評価を担う場合、その業務も内部監査業務として新基準の品質要求の対象になります。両者の役割分担を整理しておくことが実務上のポイントです。
Q6. 新基準の学習にはどれくらいの時間がかかりますか?
A. 基準本文の通読自体は数日で可能ですが、要求事項を自部門の実務と結びつけて理解するには、実際の監査サイクルを1〜2回経験しながら参照するのが現実的です。まずドメインⅤを担当案件と照らして読み、部門内の勉強会や日本内部監査協会の研修を活用すると効率的です。
Q7. 「内部監査基準(日本内部監査協会)」とグローバル内部監査基準は同じものですか?
A. 別のものです。日本内部監査協会は従来から日本独自の「内部監査基準」を公表しており、多くの日本企業がこれを拠り所としてきました。グローバル内部監査基準の公表を受けて、日本の内部監査基準についても整合を図る検討・改訂の動きが進んでいます。自社の内部監査基本規程がどちらの基準への準拠を掲げているかを必ず確認し、最新の改訂動向は日本内部監査協会の公表情報でフォローしてください。
まとめ:新基準は「内部監査の存在意義」を問い直すフレームワーク
グローバル内部監査基準のポイントを振り返ります。
IIAが定める内部監査の世界共通基準。2024年1月公表、2025年1月9日適用開始
5つのドメイン・15の原則・52の基準の3層構造に全面再編
取締役会・最高経営者の関与、内部監査戦略、テクノロジー活用、発見事項の重大性評価などが主要な変更点
サイバーセキュリティ、第三者、組織行動などのトピック別要求事項が順次適用開始。該当テーマの監査では適合が必須
新任・若手はドメインⅤ→Ⅱ→Ⅳの順に読み込み、自部門のマニュアルとの対応を確認するのが近道
新基準は、内部監査を「チェックする部署」から「組織体の価値創造・保全に貢献する専門職能」へと引き上げるための設計図でもあります。基準の言葉を自分の監査業務に引き付けて理解することが、内部監査人としての成長の最短ルートです。
