内部監査の危険性とは?機能しない監査が組織にもたらすリスクと、監査人が知っておくべき落とし穴
「内部監査の危険性」と聞いて思い浮かべるものは、立場によって違います。経営者や管理部門の方なら「内部監査が機能していないと、どんな問題が起きるのか」。監査を受ける現場の方なら「内部監査で何を指摘されるのか」。そして内部監査人本人なら「この仕事にはどんなリスクがあるのか」。
どの関心にも共通するのは、内部監査が「やっているつもり」で終わったときに危険が生じるという点です。監査部門があり、計画があり、報告書が出ていても、肝心のリスクを見ていなければ、不正や不祥事は見過ごされます。監査を担う個人も、不都合な事実を報告する場面での圧力や、機微な情報を扱う責任といったリスクを抱えています。
本記事では、内部監査の危険性を「組織にとって」「監査そのものに潜む」「内部監査人にとって」の3つの層に分けて整理し、それぞれの対策を解説します。新任・若手の内部監査人の方に加えて、内部監査の実効性を見直したい管理部門・経営層の方にも役立つ内容です。
内部監査の「危険性」は3つの層で考える
層 | 誰にとっての危険性か | 代表例 | 主な対策 |
1. 内部監査が機能しない | 組織(経営者・株主・従業員) | 不正の発覚の遅れと損失の拡大、不祥事の見過ごし | 対象範囲の網羅、改善のフォローアップ、取締役会等との連携 |
2. 監査そのものに潜む | 組織と内部監査部門 | 見落とし、「監査済み」による過信、独立性の喪失、形骸化、現場の疲弊、データ・AIの誤用 | リスクに応じた手続、保証範囲の明示、客観性の確保 |
3. 監査人個人が直面する | 内部監査人 | 報告をためらわせる圧力、守秘義務違反、孤立、キャリアの不安 | 報告ルートの確保、情報管理の徹底、社外とのつながり |
以下、層ごとに見ていきます。
【組織にとって】内部監査が機能しないことの危険性
データで見る:内部監査の有無で不正の損失と発覚までの期間が変わる
内部監査が機能しないことの危険性は、不正に関するデータに表れます。公認不正検査士協会(ACFE)が2026年に公表した報告書『Occupational Fraud 2026: A Report to the Nations』は、143の国・地域の2,402件の職業上の不正の事例を分析しています。報告書によると、組織は年間売上の約5%を不正によって失っていると推計され、不正1件あたりの損失額の中央値は10万4,000ドル、発覚までの期間の中央値は12か月でした。
不正が最初に発見されたきっかけは、通報が43%で最も多く、内部監査が15%、経営者によるレビューが13%と続きます。内部監査は、通報に次ぐ2番目の発見経路です。
内部監査部門の有無で比べると、被害を受けた組織に内部監査部門があった事例では損失額の中央値が10万ドル、なかった事例では15万ドルで、約33%の差がありました。発覚までの期間の中央値も、あった事例が12か月、なかった事例が18か月です。抜き打ち監査を実施していた事例では、損失額の中央値が7万4,000ドル(実施していなかった事例は14万9,000ドル)、期間が8か月(同16か月)と、どちらも約半分になっています。
これらは相関を示すデータであり、内部監査部門を置けば損失が必ず減るという意味ではありません。それでも、内部監査がない組織、あるいは機能していない組織ほど、不正が大きく、長く続きやすい傾向は読み取れます。
不祥事の調査報告書で繰り返し指摘される5つの機能不全
国内では、企業不祥事の際に公表される調査委員会の報告書で、内部監査の不備がたびたび指摘されています。KPMGが公表済みの調査委員会報告書等を分析した論考(2026年9月)は、内部監査に関して多く指摘される事項として、次の5つを挙げています。
内部監査の対象範囲が十分に網羅されていない
内部監査のテーマに改善の余地がある
内部監査の人員や能力が不足している
内部監査で検出された改善事項がフォローされていない
取締役会などガバナンス機関との連携が不十分である
2021年のコーポレートガバナンス・コード改訂で、内部監査部門が取締役会・監査役会にも直接報告する仕組みの構築が補充原則4-13③に盛り込まれた背景にも、相次ぐ不祥事によって内部監査の機能不全が注目されたことがあります。
「部門はあるのに機能していない」ことを示すサイン
内部監査の機能不全は、外から見えにくいのが厄介な点です。次のような状態が続いている場合は、形骸化を疑ってみる価値があります。
毎年ほぼ同じ部門・同じテーマを監査しており、リスク評価で対象が入れ替わらない
本社部門、経営陣の意思決定プロセス、子会社・海外拠点が監査の対象から外れている
指摘事項が書類の不備など形式的なものに偏り、重要なリスクに関する指摘がほとんどない
改善計画の実施状況を確認しておらず、同じ指摘が翌年も繰り返されている
監査結果が社長への報告で止まり、取締役会・監査役等に届いていない
監査担当者が他業務と兼任し、自分の業務を自分で監査している
【監査そのもの】内部監査に潜む6つの危険性
内部監査が実施されていても、そのやり方に危険が潜んでいることがあります。
危険性1:重要な問題を見落とす(監査リスク)
監査には、重要な問題が存在するのに「問題なし」と結論づけてしまうリスクがあります。これを監査リスクと呼びます。財務諸表監査の分野では一般に、業務そのものに内在する誤りや不正の起こりやすさ(固有リスク)、統制がそれを防止・発見できないリスク(統制リスク)、監査手続で発見できないリスク(発見リスク)の3つの要素で説明されます。
内部監査でも考え方は同じです。サンプル25件を確認して例外がなかったとしても、母集団の残りに問題がないことの証明にはなりません。リスクの高い領域ほど、サンプル数を増やす、全件データを分析する、抜き打ちの手続を組み込むといった方法で発見リスクを下げる必要があります。グローバル内部監査基準も、基準4.3(専門職としての懐疑心)で、提示された情報をうのみにせず批判的に評価する姿勢を内部監査人に求めています。
危険性2:「監査済み」による過信
内部監査の報告書に「重要な問題は認められなかった」と書かれると、経営者や監査対象部門は「この業務は大丈夫だ」と受け止めがちです。しかし、その結論は、監査の対象範囲・期間・手続の範囲内での評価にとどまります。監査していない領域や期間まで安全だと受け取られると、内部監査がかえって油断を生みます。
対策は、報告書に監査の範囲と限界を明記することです。対象とした期間と拠点、サンプルの抽出方法、実施しなかった手続を書いておけば、読み手は結論の重みを正しく理解できます。
危険性3:独立性・客観性の喪失
内部監査の価値は、監査対象から独立した立場での評価にあります。その前提が崩れる典型的な場面は次のとおりです。
自己監査:兼任者が自分の業務を監査する、内部監査人が自ら設計した仕組みを評価する
異動直後の監査:直前まで所属していた部門を監査する。グローバル内部監査基準の基準2.2(客観性の防御)は、過去12か月以内に自分が責任を負っていた活動を評価する場合、客観性が損なわれているとみなしています
経営者の意向への配慮:経営トップが関与する案件を監査範囲から外す、報告書の表現を弱める
社内政治への利用:監査が特定の部門や人物を追及する手段として使われる
客観性が損なわれる状況にある場合、基準2.3(客観性に対する侵害の開示)は、その詳細を速やかに適切な関係者に開示することを求めています。担当替えや外部専門家の活用で手当てし、その経緯を記録に残すのが基本です。
危険性4:チェックリスト監査による形骸化
前年のチェックリストをそのまま使い、規程どおりに書類がそろっているかだけを確認する監査は、効率的に見えて危険です。業務や組織が変わっても監査の観点が変わらないため、新しいリスクを見逃します。規程そのものが実態に合っていない、承認印はあるが中身を確認していない、といった実質的な問題は、準拠性の確認だけでは見えてきません。
監査手続は、毎回「この業務の目的を妨げるリスクは何か」から組み立て直すのが原則です。チェックリストは手続の抜け漏れを防ぐ道具として使い、考えることの代わりにしないことが大切です。
危険性5:現場を疲弊させる「指摘のための指摘」
指摘件数を監査の成果と考えると、形式的な不備の指摘が積み上がります。現場は対応に追われ、内部監査への反発が強まり、問題を見せないようにする方向に動くこともあります。品質監査やISO内部監査、管理部門によるモニタリングなど、似た確認が重なると、監査を受ける側の負担はさらに大きくなります。
指摘は重要なリスクに絞り、改善の方向性は現場と一緒に考えるのが基本です。グローバル内部監査基準の基準9.5(連携と依拠)も、他のアシュアランス提供者と連携し、その成果への依拠を検討することで、監査の重複を減らすことを求めています。
危険性6:データ分析・生成AIの使い方を誤る
データ分析や生成AIは、全件の検証や大量の文書の確認を効率化し、見落としのリスクを下げる有力な手段です。グローバル内部監査基準も、基準10.3(テクノロジーに係る資源)でテクノロジーの活用を求めています。
一方で、使い方を誤ると新しい危険を生みます。抽出条件の誤りで対象データの一部が欠けていても、分析結果だけを見ると「例外なし」に見えてしまうこと。生成AIの出力を確認しないまま事実として調書に書き込むこと。機微情報を、社内で利用が認められていない外部のAIサービスに入力してしまうこと。対策は、分析に使ったデータの件数・期間を元のシステムや帳簿と突き合わせて網羅性を確かめること、AIの出力は必ず原資料で裏づけること、社内で認められたツールと入力してよい情報の範囲を守ることです。
【内部監査人にとって】監査人個人が直面する4つのリスク
リスク1:不都合な事実を報告しにくい圧力
内部監査人が直面する最も大きなリスクは、経営陣や有力部門にとって不都合な事実を報告するときの心理的・組織的な圧力です。報告をためらえば内部監査は機能しなくなり、報告すれば人間関係や人事評価への影響が気になります。
グローバル内部監査基準は、この場面を想定した要求事項を置いています。基準1.1(正直さと専門職としての勇気)は、板挟みや困難な状況に直面しても、正直にコミュニケーションをとり適切に行動することで、専門職としての勇気を示すことを求めています。また、内部監査部門長は少なくとも年1回、部門の組織上の独立性を取締役会に確認することが求められます(基準7.1)。経営者が組織として許容できる水準を超えるリスクを受け入れていると判断した場合には、最高経営者と協議し、解決しなければ取締役会に伝えることも求められています(基準11.5)。
個人で抱え込まないためには、次の準備が有効です。
取締役会・監査役等への直接の報告ルート(デュアルレポーティング)を内部監査規程で定めておく
事実、証拠、判断の根拠を監査調書に残し、「個人の意見」ではなく「監査の結論」として報告する
重要な発見事項は、内部監査部門長を通じて組織として扱う
リスク2:守秘義務違反・情報漏えい
内部監査人は、人事情報、取引条件、不正の疑いなど、社内で最も機微な情報に触れる立場にあります。グローバル内部監査基準も原則5(秘密の保持)で、業務を通じて得た情報の適切な使用と保護を求めています。何気ない雑談やメールの誤送信が、監査対象部門や関係者の信頼を損ない、監査の継続を難しくすることもあります。
特に注意したいのが、内部監査部門が内部通報の窓口や調査を担う場合です。公益通報者保護法では、常時使用する労働者が300人を超える事業者に、公益通報に対応する体制の整備と、公益通報対応業務従事者の指定が義務づけられています(300人以下の事業者は努力義務)。従事者に指定された人には法律上の守秘義務(第12条)が課され、通報者を特定させる情報を正当な理由なく漏らすと、刑事罰(30万円以下の罰金)の対象になります。
さらに、2025年6月に成立した改正公益通報者保護法が、2026年12月1日に施行される予定です。公益通報を理由とする解雇・懲戒への刑事罰(行為者は6月以下の拘禁刑または30万円以下の罰金、法人は3,000万円以下の罰金)が新設され、正当な理由なく公益通報者を特定しようとする行為(通報者の探索)も禁止されます。通報後1年以内の解雇・懲戒は、公益通報を理由とするものと推定される規定も設けられました。調査の過程で「誰が通報したのか」を探ることは、監査人個人にとっても組織にとっても大きなリスクになります。通報対応に関わる内部監査人は、施行前に自社の規程と手順を確認しておきましょう。
リスク3:社内での孤立と精神的な負担
内部監査人は、立場上どの部門とも一定の距離を保つ必要があり、社内で孤立を感じやすい職種です。少人数の監査部門や、元の職場の同僚を監査する場面では、精神的な負担が大きくなります。
監査対象部門には、監査の目的が改善にあることを伝え、事実確認を丁寧に行うことで、協力の関係を築くことができます。また、日本内部監査協会の研究会や他社の監査人との交流など、社外に相談できるつながりを持っておくことも、負担を抱え込まないための有効な手段です。
リスク4:キャリアへの不安
「内部監査に異動すると出世コースから外れる」「一度入ると戻れない」といったイメージを持たれることがあります。内部監査は利益を直接生む部署ではないため、成果が見えにくい面があるのは事実です。
一方で、内部監査では全社の業務とリスクを横断的に見る経験が積めます。経営者や取締役会に報告する機会も多く、こうした経験はリスク管理、経営企画、経理財務、子会社管理などの職務で活かせます。CIA(公認内部監査人)などの資格で専門性を示すこともできます。異動時に上司と育成方針や在任期間の見通しを話し合い、身につけたいスキルを明確にしておくと、キャリアの不安は小さくできます。
内部監査の危険性が特に高まる場面
次のような局面では、組織のリスクが急に大きくなる一方で、内部監査の手が回りにくくなります。年間監査計画の途中でも、監査の追加や重点の見直しを検討したい場面です。
M&Aや組織再編の直後(異なる業務ルールやシステムが混在し、統制の空白が生じやすい)
新規事業の立ち上げや急成長期(規程や権限の整備が業務の拡大に追いつかない)
基幹システムの更改やDXの推進時(データ移行の誤りや権限設定の不備が生じやすい)
経営トップや主要な管理者の交代、人員の大幅な入れ替わり
業績目標の達成が強く求められている時期(数字を合わせるための不適切な処理の動機が生じやすい)
最後の点は、不正のデータにも表れています。ACFEの2026年版報告書では、不正行為者に見られた行動上の兆候のうち「組織内からの過度なプレッシャー」があった事例の損失額の中央値が53万2,000ドルと、全体の中央値(10万4,000ドル)を大きく上回っています。
内部監査の危険性を抑える対策チェックリスト
ここまでの内容を、組織と監査人それぞれの立場で確認できるチェックリストにまとめます。
組織(経営者・内部監査部門長)としての対策
リスク評価に基づいて監査対象を毎年見直し、本社部門・経営陣・子会社も対象に含めている
監査結果を、取締役会・監査役等にも直接報告している
指摘事項の改善状況をフォローアップ台帳で管理し、未改善の重要事項を報告している
内部監査部門の人員と能力が、監査計画に見合っている
兼任者の自己監査を避ける仕組みがある
抜き打ちの手続やデータ分析を監査に組み込んでいる
内部通報対応を担う場合、従事者の指定と守秘の手順が整っている
内部監査人としての対策
手続を「何のリスクを確かめるためか」から組み立てている
報告書に監査の範囲と限界を明記している
自分の客観性が損なわれる状況(異動元の部門の監査など)を上長に申告している
発見事項を事実と証拠で記録し、組織として報告している
機微情報の取り扱いルール(保管、送信、会話)を守っている
よくある質問(FAQ)
Q1. 内部監査で不正を見逃した場合、内部監査人は責任を問われますか?
A. 内部監査人は通常、従業員として職務にあたっており、取締役や監査役などの会社法上の役員等のように任務懈怠責任を負う立場ではありません。監査には限界があり、すべての不正を発見することまでは求められていません。ただし、計画した手続を意図的に省略したり、事実と異なる報告をしたりすれば、社内で責任を問われ得ます。合理的な手続を実施し、その範囲と結論の根拠を監査調書と報告書に残しておくことが、監査人自身を守ることにもつながります。
Q2. 監査を受ける側にとって、内部監査は「危険」なものですか?
A. 内部監査の目的は業務の仕組みの改善にあり、指摘事項の多くは担当者個人ではなく仕組みの問題として扱われます。事実を隠さずに説明し、改善計画を一緒に考えることが、結果として現場を守ることになります。不正が疑われる場合の調査は、通常の監査とは別の手続として行われるのが一般的です。
Q3. 内部監査部門が内部通報窓口を兼ねるのは危険ですか?
A. 業務執行部門から独立している点から、内部監査部門が通報窓口や調査を担う企業は少なくありません。ただし、公益通報対応業務従事者としての守秘義務や、2026年12月施行予定の改正法による通報者探索の禁止など、通常の監査とは異なるルールが適用されます。通報対応と監査業務の情報を分けて管理し、担当者と手順を明確にしておくことが前提になります。
Q4. 指摘事項がゼロの監査が続くのは危険信号ですか?
A. 1回の監査で指摘がないこと自体は問題ではありません。統制が有効に機能していると評価できたなら、それも価値のある結論です。ただし、ほとんど指摘がない状態が何年も続く場合は、監査対象がリスクの低い領域に偏っていないか、手続が浅くなっていないかを点検するサインと考えましょう。
Q5. 「内部監査はやめとけ」と言われるのはなぜですか?
A. 成果が数字で見えにくいこと、社内で嫌われ役になりやすいこと、ローテーション人事で長くとどまるイメージがあることなどが理由として挙げられます。一方で、全社の業務とリスクを見渡す経験や、経営層に報告する経験は、他の職種では得にくいものです。向き不向きは、本記事で紹介したリスクと対策を踏まえて判断するとよいでしょう。
まとめ:危険性を知ることが、内部監査の実効性を高める第一歩
内部監査の危険性のポイントを振り返ります。
内部監査の危険性は、組織にとっての危険性、監査そのものに潜む危険性、内部監査人個人のリスクの3層で整理できる
ACFEの2026年版報告書では、内部監査部門があった事例の損失額の中央値は、なかった事例より約33%小さく、発覚までの期間も短い
国内の不祥事の調査報告書では、対象範囲の不足、人員・能力の不足、改善のフォロー不足、ガバナンス機関との連携不足などが繰り返し指摘されている
監査には見落とし、過信、独立性の喪失、形骸化、現場の疲弊、データ・AIの誤用という危険が潜む。範囲と限界の明示、客観性の確保、リスクに応じた手続で抑える
M&A、新規事業、システム更改、経営陣の交代、業績へのプレッシャーが強い時期は、危険性が特に高まる
内部監査人は、報告をためらわせる圧力、守秘義務、孤立、キャリアの不安と向き合う。2026年12月1日施行予定の改正公益通報者保護法にも備えが必要
どこに落とし穴があるかを知っていれば、監査の設計と運用でそれを避けられます。自部門の監査を、本記事のチェックリストで一度点検してみてください。
