内部監査の社内研修はどう設計する?研修テーマ例・年間計画・OJTの組み立て方を解説
「内部監査部門に配属されたけれど、体系的な研修がなく、いきなり往査に同行して見よう見まねで覚えている」内部監査の現場では、いまだにこうした声が少なくありません。経理や営業と違って社内に「先輩のノウハウ」が蓄積されにくく、人事ローテーションで数年ごとにメンバーが入れ替わる内部監査部門では、研修の仕組みがないと監査品質が個人の経験値に依存してしまいます。
しかも、内部監査人の能力開発は「やれると望ましい」ものではありません。2025年1月に適用が始まったグローバル内部監査基準は、専門的能力の保持と継続的な開発を基準上の要求事項として明確に定めています。研修体系の整備は、いまや内部監査部門の品質管理そのものです。
本記事では、内部監査部門の研修を企画する立場の方と、自分のスキルアップの道筋を知りたい新任・若手の内部監査人の方に向けて、社内研修の設計手順、階層別の研修テーマ例、OJT・外部研修・資格との組み合わせ方、そしてISO内部監査員の社内養成まで、監査人材育成の実務を解説します。
内部監査の社内研修はなぜ必要か
理由1:基準が「専門的能力」を要求しているから
グローバル内部監査基準のドメインⅡには、原則3「専門的能力の発揮」が置かれています。その配下の基準3.1(専門的能力)は、内部監査人が職務の遂行に必要な知識・スキル・能力を有するか獲得することを求め、さらに内部監査部門長(CAE)には部門全体として必要な専門的能力を確保する責任を課しています。続く基準3.2(継続的な専門的能力の開発)は、能力を維持するだけでなく継続的に開発すること、専門職資格の保持者はその継続教育要件を満たすことを要求しています。
また、ドメインⅣの基準10.2(人的資源の管理)は、部門運営の観点から人材の採用・育成を含む資源管理をCAEの責任として位置づけています。つまり「研修をやっているか」「育成の仕組みがあるか」は、外部品質評価(少なくとも5年に1回)でも確認される、基準適合の評価項目なのです。研修の実施記録が残っていない部門は、この時点で説明に窮することになります。
理由2:内部監査は「社内に教科書がない」職種だから
内部監査人に求められる能力は、監査技術、業務・業界知識、会計・IT、法令、コミュニケーションと多岐にわたる一方、営業や経理のように日常業務の中で自然に先輩の型を学べる機会は多くありません。監査は年に数件のプロジェクト型業務であり、担当案件以外の経験は意識的に共有しないと蓄積されないからです。社内研修と事例共有の仕組みは、この構造的な弱点を埋める装置です。
理由3:ローテーション人事と人材獲得難
日本企業の内部監査部門は、他部門からの異動者で構成されることが多く、監査未経験のメンバーが常に一定割合存在します。さらに近年は監査人材の中途採用市場も競争が激しく、「採って即戦力」は期待しにくい状況です。未経験者を一定期間で戦力化する再現性のある育成プログラムの有無が、部門の実力を左右します。
内部監査人に必要なスキルの全体像(スキルマップ)
研修を設計する出発点は、「内部監査人に何ができてほしいのか」の言語化です。大きく4領域で整理すると設計しやすくなります。
監査の専門技術:リスク評価、監査計画(予備調査)、監査手続(ヒアリング、ウォークスルー、突合、サンプリング)、監査調書の作成、発見事項の評価、報告書作成、フォローアップ
対象業務の知識:自社の事業・業務プロセス、会計・財務、IT(システム統制、セキュリティ)、関連法令、業界固有の規制
ソフトスキル:質問力・傾聴力、文章力、説明・交渉力、プロジェクト管理
職業倫理・姿勢:誠実性、客観性、守秘義務、職業的懐疑心(グローバル内部監査基準の原則1〜5)
自部門用のスキルマップを作る際は、IIA(内部監査人協会)が公表している内部監査のコンピテンシー(実務能力)に関するガイダンスが参考になります。重要なのは網羅性よりも、「当社の監査で実際に使う能力」に絞り込み、等級(新任/担当/リーダー)ごとに到達レベルを定義することです。
社内研修の設計5ステップ
ステップ1:スキルマップと現状のギャップを把握する
メンバーごとにスキルマップで自己評価+上長評価を行い、部門としての弱点(例:IT監査ができる人がいない、報告書の品質がばらつく)を特定します。調書レビューや外部品質評価の指摘、監査対象部門からのフィードバックも貴重なインプットです。
ステップ2:年間研修計画を立てる
ギャップの大きい領域から優先順位をつけ、年間の研修計画に落とします。ポイントは監査の年間サイクルと連動させることです。期初の監査計画の時期にリスク評価研修、往査シーズン前にヒアリング・調書研修、報告が集中する時期の前に報告書研修を置くと、学んだことを即実践でき、定着率が大きく変わります。
ステップ3:テーマごとに最適な実施形式を選ぶ
座学(社内講義・eラーニング)、ケーススタディ、ロールプレイ、OJT、外部研修を、テーマの性質で使い分けます(後述)。すべてを内製する必要はありません。「社内でしか教えられないもの(自社の業務・リスク・監査マニュアル)は社内研修、普遍的な専門知識は外部活用」が原則です。
ステップ4:実施と記録
研修は実施記録(日時、テーマ、講師、参加者、資料)を必ず残します。この記録は、基準3.2・10.2への適合を示すエビデンスであり、CIA等の資格保持者にとってはCPE(継続的専門教育)の報告根拠にもなります。
ステップ5:効果測定と翌年度への反映
理解度テストやアンケートだけでなく、「調書レビューの指摘件数が減ったか」「報告書の手戻りが減ったか」といった業務品質の指標で効果を測り、翌年度の計画を見直します。研修の効果測定は、内部監査部門のパフォーマンス測定(品質保証・改善プログラム)の一部として位置づけると、部門運営への説明もしやすくなります。
階層別・社内研修テーマの具体例
社内研修のカリキュラム例を階層別に示します。自部門の実情に合わせた取捨選択のたたき台にしてください。
階層 | 研修テーマ例 | 主な形式 |
新任(配属〜1年目) | 内部監査の目的と三様監査/グローバル内部監査基準の基礎/内部監査基本規程・監査マニュアルの読み方/監査の年間サイクルと個別監査の流れ/監査調書の書き方/ヒアリングの基本(ロールプレイ)/守秘義務・倫理/J-SOX評価の基礎 | 座学+ロールプレイ+OJT |
担当者(2〜3年目) | リスク評価とRCM(リスク・コントロール・マトリクス)作成/サンプリングと監査証拠/データ分析の基礎(Excel・BIツール)/不正の手口と兆候(業種別事例)/発見事項の重大性評価/指摘事項・報告書のライティング/IT統制(ITGC)の基礎 | ケーススタディ+演習 |
リーダー・管理職 | 個別監査計画の策定と工数管理/調書・報告書のレビュー技法/監査対象部門との合意形成・講評会の運営/経営者・監査役等への報告/部下育成とOJT設計/品質評価(内部評価)の実施 | ケーススタディ+実務指導 |
全階層共通 | 自社の事業・業務プロセス研修(現場部門の講師招聘)/法令・規制アップデート/グローバル内部監査基準・トピック別要求事項の改訂動向/情報セキュリティ/過去監査の事例共有会 | 座学+勉強会 |
このうち特に効果が高いのに実施率が低いのが、現場部門の管理職を講師に招く「自社業務研修」です。監査人の業務理解が深まるだけでなく、現場との関係構築にもつながる一石二鳥の施策です。
実施形式の使い分け:OJTを「放置」にしないために
座学・eラーニング
基準や制度の知識インプットに向きます。社内講義は録画してアーカイブ化し、中途配属者がいつでも視聴できるようにすると、属人化を防げます。
ケーススタディ・模擬監査
過去の自社監査案件を教材化し、「この資料からどんなリスク仮説を立てるか」「この発見事項の重大性をどう評価するか」を議論する形式です。実在の調書・報告書(必要に応じてマスキング)ほど優れた教材はありません。年1回、架空の監査対象部門を設定して予備調査から講評会までを通しで行う模擬監査を実施している部門もあります。
ロールプレイ
ヒアリングと講評会は、知識ではなく訓練がものをいう領域です。先輩が「非協力的な監査対象部門の課長」を演じ、新任が質問を組み立てる——この30分のロールプレイは、往査10回分の学びになることがあります。
OJT
内部監査の育成の中心は、実案件へのアサインを通じたOJTです。ただし「とりあえず同行させる」のはOJTではなく放置です。OJTを研修として機能させる要件は3つあります。(1)案件ごとに習得目標を決める(今回はヒアリングの主担当を任せる等)、(2)調書レビューを指導の場として使う(直すのではなく、なぜ直すかを言語化して返す)、(3)監査終了後に振り返り面談を行う。トレーナー役の先輩に負荷が偏るため、リーダー層の評価項目に育成を組み込むことも忘れずに。
外部研修・資格・自己学習との組み合わせ
社内研修だけで完結させる必要はありません。むしろ外部リソースの計画的な活用が、小規模部門ほど重要になります。
外部研修・セミナー:日本内部監査協会をはじめ、監査法人・コンサルティングファーム・研修会社が内部監査向けの講座を提供しています。基準改訂や新領域(サイバーセキュリティ、サステナビリティ等)のキャッチアップは外部研修が効率的です
資格:CIA(公認内部監査人)は内部監査の国際資格として最も認知度が高く、学習範囲がそのまま実務の体系学習になります。このほか、日本内部監査協会の認定講習を通じて取得する内部監査士、IT領域のCISA(公認情報システム監査人)などが代表的です。資格取得支援(受験料補助・報奨金)を研修制度の一部として設計する企業も増えています
CPEの管理:CIA保持者は継続的専門教育(CPE)の報告が毎年必要です(実務従事者は年40時間、うち倫理2時間が目安。最新の要件はIIAの公表情報で確認してください)。社内研修をCPE対象として記録・証明できるよう、実施記録の様式を整えておくと、資格保持者の負担が下がり、社内研修への参加動機にもなります
自己学習の支援:専門書の購入補助、協会機関誌の回覧、社内ナレッジベース(過去の調書・報告書・研修資料のライブラリ)の整備も、立派な研修インフラです
ISO内部監査員を社内研修で養成する場合
「内部監査 社内研修」というテーマでは、ISOマネジメントシステム(ISO 9001・14001・27001等)の内部監査員養成を指しているケースも多いため、ここで整理しておきます。
ISOの内部監査員に公的な資格要件はありません。認証規格が求めるのは、組織が内部監査員の力量(必要な知識・技能)を定め、教育訓練等によって確保し、その証拠を記録として保持することです。したがって、外部の養成講座を受講させる方法と、社内研修で養成する方法のどちらも認められます。
社内養成する場合の研修プログラムは、概ね次の構成が標準です。
対象規格の要求事項の理解(規格の逐条解説)
監査の原則・プログラム・手順の理解(監査のガイドライン規格であるISO 19011の考え方)
チェックリストの作成演習
模擬監査(インタビュー・記録確認・不適合の記述演習)
理解度確認テストと修了認定(修了証の発行、力量記録への登録)
注意点は2つあります。第一に、講師を務められる力量者(外部講習の修了者や審査員資格保持者など)を社内に確保し、研修の客観性を担保すること。第二に、養成して終わりにせず、監査実績と定期的なフォロー研修(規格改訂時を含む)で力量を維持することです。審査(外部審査)では内部監査員の力量の根拠を問われるため、研修記録・テスト結果・監査実績を力量評価表として一元管理しておくとスムーズです。
なお、J-SOXや経営監査を担う内部監査部門と、ISO事務局が運営する内部監査員制度は、別の仕組みとして並存している企業が多いのが実情です。両者の監査範囲の重複(例:購買プロセス)を整理し、結果を相互参照するだけでも、全社の監査負荷の軽減と指摘の質の向上につながります。
小規模部門・ひとり監査室の現実解
専任者が1〜2名の監査部門では、体系的な社内研修の内製は現実的ではありません。その場合は次の組み合わせが実務的です。
外部研修と資格学習を能力開発の軸に置き、年間の受講計画を監査計画とセットで経営者に承認してもらう(予算確保も含めて)
日本内部監査協会等の研究会・交流会で他社監査人とのネットワークを作り、事例や悩みを共有する場を「研修」として位置づける
監査法人・コンサルタントとの共同監査(コソーシング)を、専門領域のOJTの機会として活用する
自部門の監査マニュアル・チェックリストを毎年更新する作業自体を、最新知識のインプット機会とする
ひとり監査室こそ、能力開発の計画と記録を文書化しておくことが、外部品質評価や経営者への説明で効いてきます。
年間研修計画のモデル例(3月決算の場合)
監査サイクルと連動させた年間研修カレンダーの一例を示します。
1〜3月(次年度計画の策定期):リスク評価・監査ユニバース研修/次年度の重点監査テーマに関する業界・法令インプット/スキルマップの自己評価と個人別育成計画の面談
4月(期初):新任配属者向け導入研修(監査の基礎・規程・倫理を1〜2週間で集中実施)/年間監査計画の共有会
5〜7月(往査前〜往査期):ヒアリング・ロールプレイ研修/監査調書研修/担当案件のRCM作成演習(実案件を教材化)
8〜9月(報告集中期の前):発見事項の重大性評価・報告書ライティング研修/過年度報告書の良例・悪例レビュー会
10〜12月(下期往査期):データ分析演習/不正事例研究会/外部研修の受講(基準改訂・新領域テーマ)と部内への還元報告
通年:月1回の部内勉強会/eラーニング/現場部門講師による自社業務研修(四半期に1回程度)
このように「次に使うスキルを、使う直前に学ぶ」配置にすると、同じ研修時間でも定着率がまったく変わります。研修計画は年間監査計画の付属文書として経営者の承認を得ておくと、往査繁忙を理由にした研修の中止・先送りを防ぎやすくなります。
社内研修が形骸化する3つのパターンと対策
最後に、内部監査部門の研修でよくある失敗パターンを押さえておきましょう。
「研修=外部セミナーに行かせること」になっている:受講後の還元がなく、個人の知識で終わるパターンです。外部研修は「受講者が30分で部内に還元報告するまでが研修」とルール化するだけで、1人分の受講料で部門全体が学べます。
繁忙を理由に中止が常態化する:監査計画と研修計画を別物として管理していると、必ず研修が後回しになります。研修を監査計画の工数に組み込み、経営者承認の対象にすることで「業務の一部」に格上げします。
教材づくりで息切れする:ゼロから教材を作ろうとすると長続きしません。実際の調書・報告書・ヒアリング録、レビュー指摘の類型集など、業務の副産物を教材化する運用に切り替えると、準備コストが激減し、内容も実務に直結します。
よくある質問(FAQ)
Q1. 社内研修の年間時間数はどれくらいが目安ですか?
A. 一律の基準はありませんが、CIAのCPE(実務従事者で年40時間)が一つの参考値になります。社内研修・外部研修・OJT内の意図的な指導・自己学習を合算して、メンバー1人あたり年40時間程度の能力開発機会を確保できていれば、専門職としての水準感に沿った設計といえます。
Q2. 研修を内製する時間がありません。何から始めるべきですか?
A. 最小構成は「月1回・1時間の部内勉強会」です。テーマは、直近監査の振り返り(良かった調書・苦労した指摘の共有)、外部研修受講者の還元報告、基準・法令の改訂紹介の3本をローテーションするだけで成立します。ゼロから教材を作るのではなく、業務の中で生まれたものを教材化するのが続けるコツです。
Q3. 新任監査人の独り立ちまで、どれくらいの期間を想定すべきですか?
A. 個人差はありますが、小規模な監査の主担当を任せられるまで1〜2年(監査サイクル1〜2巡)を想定した育成計画が一般的です。初年度は「同行→一部手続の担当→ヒアリング主担当→調書一式の作成」と段階的に任せ、案件ごとの習得目標を明示することで、期間を短縮できます。
Q4. 研修の効果はどう測ればよいですか?
A. 受講直後の理解度テスト・アンケート(反応・学習)に加えて、実務指標で測るのが本質です。具体的には、調書レビューでの指摘件数・差し戻し回数の推移、報告書ドラフトの修正量、監査対象部門アンケートの評価、監査計画の遵守率などです。研修前後での変化を追えるよう、レビュー指摘を類型別に記録しておくと測定が容易になります。
Q5. 研修予算について経営者の理解が得られません。どう説明すればよいですか?
A. 「研修は基準上の要求であり、品質保証の一部である」という説明が最も通ります。具体的には、(1)グローバル内部監査基準が専門的能力の開発と資源の確保を要求しており、外部品質評価で確認されること、(2)監査の失敗(重大リスクの見落とし、現場との軋轢)のコストと比べれば研修投資は小さいこと、(3)外部研修・資格・書籍を含めた年間計画と金額を監査計画とセットで示すこと、の3点です。金額の相場観としては、外部研修1講座数万円程度からで、メンバー1人あたり年間数万〜十数万円の予算を確保する企業が多く見られます。
Q6. ISOの内部監査員は必ず外部講習を受けさせる必要がありますか?
A. いいえ。規格が求めるのは力量の確保と記録であり、外部講習は手段の一つです。社内研修で養成しても、プログラム内容・講師の力量・修了判定・記録が整っていれば問題ありません。ただし、立ち上げ期や規格改訂時は、核となるメンバーに外部講習を受講させ、その内容を社内展開する方式が品質と効率のバランスに優れます。
まとめ:研修体系は内部監査部門の「品質保証」そのもの
内部監査の社内研修のポイントを振り返ります。
専門的能力の保持・開発はグローバル内部監査基準の要求事項(原則3、基準3.1・3.2、10.2)。研修体系と実施記録は外部品質評価でも確認される
設計はスキルマップ→ギャップ把握→年間計画→形式選択→記録・効果測定の5ステップ。監査の年間サイクルと研修時期を連動させると定着する
社内でしか教えられないもの(自社業務・自社マニュアル・過去事例)は社内研修、普遍的な専門知識は外部研修・資格で補う
OJTは「目標設定・レビューでの言語化・振り返り」の3点セットで初めて研修になる
ISO内部監査員の社内養成は可能。力量の定義・研修・記録の3点を押さえ、フォロー研修で維持する
研修体系というと大がかりに聞こえますが、出発点は「月1回の勉強会」と「研修記録の様式を作る」ことで十分です。属人化した監査ノウハウを部門の資産に変える仕組みづくりを、今期から始めてみてください。
