内部監査とは？目的・やり方・監査役監査との違いを専門家が解説【2026年版】
更新日：2 時間前
「内部監査の担当になったが、何から手をつければいいかわからない」「IPO準備で内部監査が必要と言われたが、監査役監査と何が違うのか」。こうした疑問に、内部監査の実務とコンサルティングに携わる立場から答えます。
結論から言うと、内部監査とは、社内にいながら業務の執行から独立した立場で、業務・リスク管理・ガバナンスが機能しているかを確かめ、改善につなげる活動です。決算書の正しさを株主のために確かめる外部監査に対し、内部監査は「会社が目標を達成できる仕組みになっているか」を経営者と取締役会のために確かめます。
この記事では、2025年1月に施行されたグローバル内部監査基準の考え方も踏まえ、次の内容を解説します。
内部監査の定義と目的
内部監査が求められる会社と、法的な義務の有無
外部監査・監査役監査との違い（三様監査）
7ステップの進め方と領域別チェックリスト
形骸化させないコツと、外部委託という選択肢
内部監査とは？ひと言でいうと「社内からの独立したチェックと助言」
内部監査とは、組織の内部にいながら業務の執行から独立した立場で、ガバナンス・リスクマネジメント・内部統制が機能しているかを評価し、改善につなげる活動です。チェックして終わりではなく、改善策の提案までを含むのが特徴です。
国際基準（グローバル内部監査基準）による定義
内部監査の国際的なルールは、内部監査人協会（IIA）が定める「グローバル内部監査基準」です。2024年1月に公表され、2025年1月9日から施行されています。
同基準は内部監査を「独立にして客観的な、アシュアランス業務及びアドバイザリー業務」と位置づけています。組織に価値を加え、業務を改善することが目的で、体系的な手法で各プロセスを評価・改善し、組織の目標達成を支援します（出典：グローバル内部監査基準（日本語版））。
内部監査の2つの業務：アシュアランスとアドバイザリー
業務 | 内容 | 具体例 |
アシュアランス（保証） | 業務やリスク管理が基準どおり機能しているかを客観的に評価し、経営陣と取締役会に伝える | 購買の承認手続の監査、情報セキュリティの監査、子会社の不正リスク監査 |
アドバイザリー（助言） | 評価の責任は負わずに、仕組みづくりや改善への助言を行う。「コンサルティング業務」とも呼ばれる | 新システム導入時の統制設計への助言、社内研修、リスクについての議論の進行役 |
内部監査が「経営の目と耳」と呼ばれる理由
経営者がすべての現場を自分の目で確かめることはできません。内部監査は経営者や取締役会に代わって現場を確かめ、問題の兆しを早く伝える役割を担います。
そのため多くの会社で内部監査部門は社長直轄に置かれ、近年は取締役会や監査役等にも直接報告する体制が求められています（後述）。
内部監査の目的は「組織の価値を守り、高めること」
内部監査の目的は、組織が価値を生み出し、守り、維持する力を高めることです。グローバル内部監査基準は、取締役会と経営陣に独立した立場から保証・助言・洞察・先を見通す視点を提供することを、その手段として挙げています。
実務では、次の4つに分けて考えると整理しやすくなります。
1. 不正・ミスの防止と早期発見
承認手続の形骸化や職務分掌の不備は、横領や架空取引の温床になります。内部監査が定期的に現場を確かめること自体が抑止力になり、問題を小さいうちに見つけられます。
2. 業務の有効性・効率性の向上
「ルールどおりか」だけでなく「そのルールは今も必要か」を問うのも内部監査の役割です。重複した承認や使われていない帳票の廃止など、業務のムダを減らす提言につながります。
3. ガバナンスとリスク管理の強化
取締役会が全社のリスク管理を監督するには、現場の実態を独立した立場から伝える情報源が欠かせません。コーポレートガバナンス・コードも、取締役会が内部監査部門を活用しながらリスク管理体制の運用を監督するよう求めています（補充原則4-3④）。
4. 社外からの信頼の確保
上場審査や金融機関の融資、M&Aでの買収監査では、管理体制の信頼性が問われます。内部監査が実際に機能していることは、社外への何よりの説明材料になります。
内部監査は法律上の義務？実施が求められる会社
一般の事業会社に、内部監査部門の設置を直接義務づける法律はありません。内部監査部門は、監査役や会計監査人と違って会社法上の機関ではないからです。
ただし、次のような会社では事実上欠かせない機能になっています。
会社の区分 | 内部監査が必要になる理由 | 主な根拠 |
上場会社 | 内部統制報告制度（J-SOX）の評価、取締役会によるリスク管理の監督、有価証券報告書での開示に対応するため | 金融商品取引法、コーポレートガバナンス・コード、開示府令 |
IPO準備企業 | 上場審査で、内部監査を含む内部管理体制の整備と運用が確認されるため | 証券取引所の上場審査 |
会社法上の大会社 | 取締役会が「業務の適正を確保するための体制（内部統制システム）」を決めなければならず、その運用を確かめる手段として内部監査を使うのが一般的なため | 会社法362条5項 |
金融機関などの規制業種 | 監督当局が内部監査態勢を重点的に確認するため | 各業法、監督指針 |
会社法上の大会社とは、資本金5億円以上または負債総額200億円以上の株式会社です。専門誌の対談記事でも、内部監査部門は上場審査では設置が求められる一方、法制度で継続的な設置までは義務づけられていないと整理されています（出典：税務研究会「内部監査機能の拡充」）。
中小企業でも内部監査を導入する価値はある
義務がなくても、組織が大きくなるほど経営者の目は現場に届きにくくなります。不正やミスの早期発見、事業承継やM&Aでの評価、金融機関からの信頼など、内部監査を始めるメリットは規模を問いません。
専任者を置けない場合は、管理部門の担当者による兼任や、部門同士の相互監査から小さく始める方法があります。立ち上げ時だけ外部の専門家を入れ、仕組みができたら内製化するのも現実的です。
外部監査・監査役監査との違い（三様監査）
内部監査・監査役等監査・会計監査人監査（外部監査）の3つをまとめて「三様監査」と呼びます。最大の違いは「誰のために、何を確かめるか」です。
比較項目 | 内部監査 | 監査役等監査 | 会計監査人監査（外部監査） |
実施者 | 社内の内部監査部門 | 監査役・監査役会（監査等委員会、監査委員会） | 監査法人・公認会計士 |
法的な位置づけ | 会社法上の機関ではない | 会社法上の機関 | 会社法・金融商品取引法に基づく |
主な目的 | 業務・リスク管理・ガバナンスの評価と改善 | 取締役の職務執行の監査 | 財務諸表が適正かどうかの意見表明 |
主な報告先 | 社長、取締役会、監査役等 | 株主（監査報告） | 株主・投資家（監査報告書） |
立ち位置 | 経営の内側から改善を促す | 株主に代わって取締役を監視する | 外部の第三者として財務報告を保証する |
外部監査との違い
外部監査は、決算書（財務諸表）が適正かどうかについて、外部の公認会計士が意見を述べるものです。内部監査は会計に限らず、営業・購買・IT・コンプライアンスなど業務全般を対象にし、改善提案まで行います。
監査役監査との違い
監査役等は株主の立場から、取締役の職務執行が法令や定款に沿っているかを監査します。内部監査は経営者・取締役会の側に立ち、現場の業務やリスク管理を深く掘り下げます。
監査役等の人数は限られるため、内部監査の結果を活用して監査の目を広げるのが一般的です。
三様監査は「連携」してこそ効果が出る
3つの監査がばらばらに動くと、同じ部署に何度も監査が入る一方で、誰も見ていない領域が生まれます。コーポレートガバナンス・コードも、会計監査人と監査役、内部監査部門などとの十分な連携の確保を求めています（補充原則3-2②）。
実務では、次のような工夫が効果的です。
年間の監査計画を持ち寄り、対象と時期を調整する
定例の三者ミーティングで、発見事項やリスク認識を共有する
重大な指摘は、報告書の完成を待たずに速報で共有する
内部監査と内部統制の関係（3ラインモデル）
内部統制は業務に組み込まれた「仕組み」、内部監査はその仕組みが機能しているかを独立して確かめる「チェック」です。両者の関係は、IIAが2020年7月に公表した「3ラインモデル」で整理するとわかりやすくなります（出典：IIAの3ラインモデル（日本語版））。
取締役会への説明責任を軸に、経営陣のもとにある第1・第2ラインと、独立した第3ラインが並ぶ構造です。
第1ライン：事業部門 営業や製造など、日々の業務の中でリスクを直接管理する
第2ライン：管理部門 リスク管理・コンプライアンス・経理などが、専門的な支援とモニタリングを行う
第3ライン：内部監査 経営陣から独立し、第1・第2ラインを含む全体についてアシュアランスと助言を提供する
統治機関（取締役会） 組織全体を監督し、内部監査から直接報告を受ける
外部のアシュアランス提供者 会計監査人などが、組織の外から追加の保証を提供する
第1ラインと第2ラインはどちらも経営陣の指揮下にあり、内部統制を「運用する側」です。第3ラインの内部監査だけが、その外から独立して評価できる立場にあります。
J-SOX（内部統制報告制度）での内部監査の役割
上場会社は、財務報告に係る内部統制の有効性を経営者が評価し、内部統制報告書を提出します。この評価作業を、内部監査部門が経営者に代わって担う会社は少なくありません。
ただし、内部監査部門が統制の設計や運用そのものに深く関わると、自分で作った仕組みを自分で評価することになります。国際基準も、過去12か月以内に自分が責任を持っていた業務を監査する場合、客観性が損なわれているとみなしています。
内部監査の種類
内部監査は、何を対象にするかによっていくつかの種類に分かれます。1回の監査で複数の観点を組み合わせることもよくあります。
種類 | 何を確かめるか | 具体例 |
業務監査 | 業務が規程どおり、効率的に行われているか | 購買の承認手続、営業の与信管理、在庫管理 |
会計監査 | 会計処理や資産管理が正確か | 経費精算、売上計上の根拠、固定資産の現物確認 |
コンプライアンス監査 | 法令や社内規程を守っているか | 取適法（旧・下請法）、個人情報保護法、労務管理 |
IT監査（システム監査） | 情報システムとセキュリティの管理が適切か | アクセス権限、退職者アカウントの削除、バックアップ |
テーマ監査 | 全社に横断する重要リスクに対応できているか | サイバーセキュリティ、委託先管理、不正リスク |
子会社・海外拠点監査 | グループ会社の管理体制が機能しているか | 海外子会社の資金管理、子会社の権限規程 |
なお、ISO 9001（品質）やISO/IEC 27001（情報セキュリティ）などの規格が求める「ISO内部監査」は、マネジメントシステムが規格どおり運用されているかを確かめるものです。この記事で扱う内部監査とは、目的も担当者も異なる点に注意しましょう。
内部監査のやり方（7ステップ）
内部監査は、年間計画から改善の確認までを1つのサイクルとして回します。1件ごとの監査は、おおむね次の7ステップで進めます。
リスク評価と年間監査計画の策定
全社のリスクを洗い出し、影響の大きさと起こりやすさで優先順位をつけます（リスクアプローチ）。
国際基準は、少なくとも年1回のリスク評価に基づいて計画を作り、取締役会の承認を得ることを求めています。ITガバナンス、不正リスク、コンプライアンスと倫理の取り組みも、計画で検討すべき対象です。
個別監査計画の作成
監査の目的・範囲・期間・手続・担当者を決め、被監査部門に通知します。
予備調査
規程、業務フロー、過去の指摘事項、業績データを事前に読み込み、論点を絞り込みます。
事前に質問票を送っておくと、往査が効率的になります。
本調査（往査）
インタビュー、証憑との突合、現場の観察、サンプルテスト、データ分析で事実を確かめます。
確かめた内容と根拠は、監査調書に記録します。
講評会（結果のすり合わせ）
発見事項に事実誤認がないかを被監査部門と確認し、改善策の方向性を話し合います。
監査報告書の作成と報告
指摘事項、リスクの重要度、改善提案をまとめ、社長・取締役会・監査役等に報告します。
フォローアップ
被監査部門から改善計画を受け取り、期限どおり実行されたかを確認します。
未改善のものは理由とともに再度報告し、次の年間計画に反映します。
内部監査チェックリスト（領域別の項目例）
チェックリストは、監査の抜け漏れを防ぐための道具です。ただし毎年同じ項目をなぞるだけでは形骸化するため、リスク評価に合わせて項目を入れ替えることが大切です。
領域 | チェック項目の例 |
全社・ガバナンス | 職務権限規程・稟議規程は最新か／取締役会や経営会議の議事録は適切に残っているか／内部通報制度は利用され、対応記録があるか |
販売・債権 | 与信限度額は承認を経て設定されているか／売上は検収書など客観的な証拠に基づいて計上されているか／滞留債権を定期的に確認しているか |
購買・支払 | 発注・検収・支払の担当者は分かれているか／一定額以上の発注で相見積を取っているか／取引先の新規登録に承認があるか |
経費・現金 | 経費精算に上長承認と領収書があるか／小口現金を定期的に実査しているか／交際費が社内基準の範囲内か |
在庫・固定資産 | 棚卸を実施し、差異の原因を分析しているか／固定資産の現物と台帳が一致しているか |
人事・労務 | 勤怠記録と残業時間が36協定の範囲内か／ハラスメント防止の研修と相談窓口があるか／入退社時に権限の付与・削除を行っているか |
IT・情報セキュリティ | アクセス権を定期的に見直しているか／多要素認証を導入しているか／退職者のアカウントを速やかに削除しているか |
コンプライアンス | 取適法（旧・下請法）の対象取引を把握しているか／反社会的勢力のチェックを行っているか／契約書の締結と保管のルールが守られているか |
内部監査の体制づくり（独立性・規程・人員・資格）
内部監査が機能するかどうかは、監査人の腕前以上に「体制」で決まります。特に重要なのは、独立した報告ルート、内部監査規程、人員の確保の3つです。
独立性：社長直轄に加え、取締役会・監査役等にも直接報告する
日本の内部監査部門は社長直轄が一般的ですが、それだけでは経営トップが関わる問題を報告しにくくなります。2021年に改訂されたコーポレートガバナンス・コードは、内部監査部門が取締役会と監査役会にも直接報告する仕組みの構築を求めています（補充原則4-13③）。これを「デュアルレポーティングライン」と呼びます（出典：PwC Japan）。
上場会社は、有価証券報告書の「内部監査の状況」で、内部監査の実効性を確保するための取り組みを、デュアルレポーティングラインの有無も含めて具体的に書く必要があります（出典：EY新日本有限責任監査法人）。
国際基準も、内部監査部門長が職務上は取締役会に直属し、部門運営上は社長などの経営トップに直属する形を優れた実務としています。
内部監査規程を整え、取締役会で承認する
内部監査規程は、内部監査の「憲法」にあたる文書です。国際基準では「内部監査基本規程」と呼び、取締役会の承認を求めています。最低限、次の内容を定めておきましょう。
内部監査の目的と、国際基準などに従うこと
権限（資料・人・施設へ制限なくアクセスできること）
業務の範囲と種類（アシュアランス、アドバイザリー）
組織上の位置づけと報告ルート
品質を保つための評価の仕組み
人員：兼任なら「自分の業務は監査しない」
少人数の会社では、管理部門の担当者が内部監査を兼任するケースが多くあります。その場合も、自分が担当する業務を自分で監査しない仕組み（相互監査や外部委託）が必要です。
国際基準も、内部監査部門が1人だけの場合は、品質を確かめるために部門外からの支援が必要だとしています。
内部監査人に役立つ資格
法律上、内部監査人に必須の資格はありません。ただし、体系的な知識の証明として次の資格がよく活用されます。
資格 | 認定団体 | 特徴 |
公認内部監査人（CIA） | 内部監査人協会（IIA） | 内部監査の国際資格として世界で広く認知されている |
内部監査士（QIA） | 日本内部監査協会 | 協会が開く講習会を修了すると付与される国内資格 |
公認情報システム監査人（CISA） | ISACA | IT監査の国際資格 |
公認不正検査士（CFE） | ACFE | 不正の防止・発見・調査の専門資格 |
2025年以降の最新動向
内部監査をめぐるルールは、ここ数年で大きく変わりました。2026年時点で押さえておきたい動きは次の4つです。
1. グローバル内部監査基準の施行（2025年1月）
旧基準からの最大の変化は、内部監査に対する取締役会の役割を明記したことです。取締役会は内部監査基本規程・監査計画・予算を承認し、経営陣が同席しない場で内部監査部門長と話す機会を設けることが求められます。
品質面では、内部評価の結果を少なくとも年1回取締役会に報告し、外部評価を少なくとも5年に1回受ける必要があります。外部評価のチームには、公認内部監査人（CIA）を少なくとも1人含めなければなりません。
2. トピック別要求事項の適用開始（2026年〜）
IIAは、特定のリスク領域を監査するときの最低限の要求「トピック別要求事項」を順次公表しています。公表から12か月の準備期間を経て適用され、該当テーマを扱うアシュアランス業務では準拠が必須です。
テーマ | 適用開始日 |
サイバーセキュリティ | 2026年2月5日 |
第三者リスク管理 | 2026年9月15日 |
組織行動 | 2026年12月15日 |
3. J-SOX改訂（2024年4月以後に開始する事業年度から適用）
内部統制報告制度は2023年4月に基準が改訂され、2024年4月1日以後に開始する事業年度から適用されています。3月決算の会社では、2025年3月期が最初の対象です。
改訂の柱は、評価範囲を決めるときの「リスクアプローチの徹底」です。「売上高等のおおむね3分の2」などの数値基準を機械的に当てはめず、重要なリスクを見て範囲を決めることが求められています（出典：KPMGジャパン、税務研究会）。
4. 開示の強化とテクノロジーの活用
上場会社では、ガバナンス・コードと有価証券報告書の両面から、内部監査が「本当に機能しているか」を説明する責任が重くなっています。
監査の手法も変わりつつあります。取引データを全件分析して異常を洗い出す手法はその代表例です。国際基準も、内部監査部門がテクノロジーを活用して有効性と効率性を高めるよう求めています。
ハイファイでも、内部監査でのデータ活用を手軽にするデータ分析ツール「QAIVA（カイバ）」を提供しています。
内部監査が形骸化する5つの原因と対策
内部監査の相談で特に多いのが、「監査はしているが、役に立っている実感がない」という悩みです。形骸化した内部監査には、共通するパターンがあります。
よくある状態 | 根本的な原因 | 対策 |
毎年同じチェックリストを回すだけ | リスク評価をせず、前年の計画をなぞっている | 年1回はリスク評価をやり直し、監査テーマを入れ替える |
指摘が押印漏れなど細かいものばかり | 指摘の重要度を区別せず、根本原因まで掘り下げていない | 指摘を重要度でランク分けし、「なぜ起きたか」まで書く |
報告が社長止まりで、取締役会に届かない | 報告ルートが1本しかない | 取締役会・監査役等への定期報告を規程に明記する |
被監査部門から「警察」のように嫌われる | 結果を一方的に通告している | 講評会で事実をすり合わせ、改善策を一緒に考える。良い取り組みも報告書に書く |
指摘しても改善されない | 改善の期限と責任者が決まっていない | 改善計画に期限と担当者を明記し、未改善の件数を定期的に報告する |
形骸化を防ぐ最大のポイントは、内部監査を「指摘の数を競う仕事」ではなく、「経営の意思決定に役立つ情報を届ける仕事」と位置づけ直すことです。
人手やスキルが足りないなら「外部委託」も選択肢
内部監査の担当者を確保できない、あるいは専門知識が足りない場合は、外部の専門家を活用する方法があります。国際基準も、内部監査部門全体を委託する「アウトソーシング」と、業務の一部を委託する「コソーシング」を正式に定義しています。
自社の状況 | 向いている形 | 依頼内容の例 |
専任の担当者がいない、または兼任のみ | アウトソーシング | 年間計画の策定から監査の実施・報告まで |
部門はあるが、IT・海外・不正などの専門性が足りない | コソーシング | 専門領域の監査を社内の監査人と共同で実施 |
これから内部監査を立ち上げる（IPO準備など） | 立ち上げ支援 | 規程・マニュアルの整備、リスク評価、初年度の監査 |
5年に1回の外部評価を受ける必要がある | 外部品質評価 | 国際基準への適合状況の評価と改善提案 |
外部委託のメリットと注意点
メリットは、専門性と客観性をすぐに確保できることです。人を採用・育成するより早く立ち上げられ、必要な時期だけ体制を厚くするといった柔軟な使い方もできます。
注意点は、社内にノウハウが残りにくいことです。社内の担当者が同席して手法を学ぶなど、段階的に内製化する計画を立てておくと安心です。また、外部に委託しても、内部監査を監督する責任は取締役会に残ります。
よくある質問（FAQ）
Q1. 内部監査は誰が行いますか？
社内の内部監査部門（内部監査室、監査部など）が行います。専任者がいない会社では、管理部門の担当者が兼任したり、外部の専門家に委託したりします。いずれの場合も、自分が担当する業務を自分で監査しないことが原則です。
Q2. 内部監査はどのくらいの頻度で行いますか？
年間計画に基づいて行い、リスクの高い部門ほど頻度を上げるのが一般的です。たとえば、重要な拠点は毎年、リスクの低い部門は数年に1回といった形で濃淡をつけます。
Q3. 内部監査と内部統制の違いは何ですか？
内部統制は、業務を正しく効率的に進めるための社内の仕組みです。内部監査は、その仕組みが機能しているかを独立した立場で評価し、改善を促す活動です。
Q4. 内部監査と監査役監査の違いは何ですか？
監査役等は、株主の立場から取締役の職務執行を監査する会社法上の機関です。内部監査は、経営者と取締役会のために業務全般を評価する社内の機能です。詳しくは本記事の比較表をご覧ください。
Q5. 内部監査に資格は必要ですか？
法律上の資格要件はありません。ただし、公認内部監査人（CIA）や内部監査士（QIA）などの資格は、知識の証明や社内外からの信頼につながります。
Q6. 中小企業でも内部監査は必要ですか？
法律上の義務はありませんが、不正の防止や事業承継、金融機関からの信頼確保に役立ちます。兼任や相互監査、外部委託を組み合わせれば、少ない負担で始められます。
内部監査は「会社を強くするための独立したチェック機能」
内部監査とは、社内の独立した立場から業務・リスク管理・ガバナンスを評価し、改善につなげる活動
一般の会社に設置の法的義務はないが、上場会社・IPO準備企業・大会社では事実上欠かせない
外部監査は財務諸表、監査役監査は取締役の職務執行、内部監査は業務全般が主な対象。三様監査の連携で効果が高まる
進め方は「リスク評価と年間計画→個別計画→予備調査→往査→講評→報告→フォローアップ」の7ステップ
2025年のグローバル内部監査基準の施行で、取締役会の関与と品質評価がより重視されている
内部監査は、正しく設計すれば「監視のためのコスト」ではなく、経営判断の質を高める投資になります。自社だけで体制を整えるのが難しい場合は、外部の専門家の力を借りるのも一つの方法です。
