試験の概要と形式
本ガイドは、The IIAの2025年CIAシラバスをもとに、Part 1〜3を日本語で学ぶための独自教材です。対象は、内部監査の経験者と、監査・リスク・ガバナンスの基礎を体系的に学びたい受験者です。実際の試験問題を再現・想起したものではなく、出題を保証するものでもありません。
2025年シラバスでは、Part 1は125問・150分、Part 2とPart 3はそれぞれ100問・120分です。各Partのスコアは250〜750の尺度で報告され、合格スコアは600です。Global Internal Audit Standardsは2025年1月に発効しました。試験形式や受験要件は変更される可能性があるため、申込み前に公式情報を確認してください。
本ガイドの学習用解説が日本語であることは、公式試験を日本語で受験できることを意味しません。受験可能な言語はThe IIAでご確認ください。本ガイドは3つのPartをまとめて扱う学習資料であり、単一の公式試験の問題数・試験時間を示すものではありません。
公式情報
シラバスの全体像
| 試験領域 | 主な学習範囲 | 公式配点・学習上の目安 |
|---|---|---|
| Part 1：内部監査の基礎 | 内部監査の目的と役割、権限と内部監査基本規程、組織上の独立性、Global Internal Audit Standardsの基盤 | 公式シラバスの配点は35% |
| Part 1：倫理と専門性 | 倫理、専門職としての姿勢、客観性、能力、正当な注意、専門職としての懐疑心 | 公式シラバスの配点は20% |
| Part 1：ガバナンス、リスク、統制 | 組織のガバナンス、リスク管理、内部統制 | 公式シラバスの配点は30% |
| Part 1：不正リスク | 不正リスク要因、兆候の評価、不正に関する責任分担、内部監査人の対応 | 公式シラバスの配点は15% |
| Part 2：内部監査業務 | 監査業務の計画、情報収集・分析・評価、証拠、サンプリング、業務の監督と業務中のコミュニケーション | Part 2の領域別配点は公式シラバスで確認。Part 1の配点や3つのPart全体の学習比率と混同しない |
| Part 3：内部監査部門の運営 | 部門運営、戦略と監査計画、資源、品質、他の保証提供者との連携、監査結果の最終的な伝達、対応状況の確認、リスク受容に関する報告 | Part 3の領域別配点は公式シラバスで確認。Part 1の配点や3つのPart全体の学習比率と混同しない |
押さえておきたい60の概念 1–10
1. 内部監査の目的
Part 1：内部監査の基礎
内部監査は、独立した客観的な保証と助言を通じて、組織が価値を創出・維持・保護する力を高めます。個々の監査の目的は、組織の戦略やリスクに結びつけて定め、単なる手続き確認に終わらせないことが重要です。
実務例: 新システム導入後の監査では、操作手順の遵守だけでなく、重要な業務リスクが管理され、期待した業務成果が得られているかを確認します。
よくある誤解: 内部監査を誤り探しや規則違反の摘発だけとみなすのは誤りです。重要なのは、証拠に基づきガバナンス・リスク管理・統制の改善に役立つ評価を行うことです。
2. 内部監査部門の権限と内部監査基本規程
Part 1：内部監査の基礎
内部監査基本規程（チャーター）は、内部監査の目的、権限、責任、提供するサービス、組織上の位置づけと報告関係を明文化する文書です。CAE（内部監査部門長）はこれを整備・維持し、経営陣および取締役会等の統治機関と協議したうえで、取締役会の承認を得ます。必要な情報・人・資産へのアクセス権限も明確にします。
実務例: 新しいクラウド業務へのアクセスが既存の基本規程では明確でない場合、CAEは監査に必要な権限と情報保護要件を確認します。改訂が必要なら経営陣と取締役会に協議し、取締役会の承認を得ます。
よくある誤解: 経営陣の了解だけで基本規程の承認が完了するわけではありません。また、基本規程があっても法令を超えるアクセス権限は生じません。必要なアクセスが制限された場合は、適用される要件と監査への影響を評価し、適切に報告します。
3. Global Internal Audit Standardsの役割
Part 1：内部監査の基礎
Global Internal Audit Standardsは、内部監査を導き、その品質を評価するための原則と要求事項を定めます。監査人は文言を暗記するだけでなく、倫理、部門運営、監査業務の各判断に要求事項がどう関わるかを理解します。
実務例: 業務の計画を見直す際、担当者は適切な目的・範囲・資源を定める必要性を基準に照らし、変更の理由と承認過程を記録します。
よくある誤解: 基準をチェックリストとして機械的に適用すれば十分、とは限りません。要求事項を満たすとともに、状況に即した専門的判断と裏付けを示す必要があります。
4. 部門としての独立性
Part 1：内部監査の基礎
組織上の独立性は、内部監査部門が不当な干渉を受けずに責任を果たせる状態です。取締役会への直接の報告関係とアクセスが、その重要な基盤となります。CAEは独立性を損なう事象と対応する保護策を取締役会に開示し、少なくとも年1回、内部監査部門の組織上の独立性を取締役会に確認します。
実務例: 監査対象を所管する経営幹部が、重大なリスクのある領域を監査範囲から外すよう求めました。CAEは干渉の内容と監査への影響を記録し、取締役会に伝えて対応を協議します。
よくある誤解: 監査人個人が公平であれば、部門の独立性も保たれるわけではありません。個人の客観性と組織上の独立性は別の要件です。また、独立性を損なう事象を、年次の確認時期まで報告せずに待つべきではありません。
5. 個人の客観性
Part 1：倫理と専門性
客観性は、監査人が証拠を公平に評価し、先入観、利益相反、他者からの圧力に判断を左右されない姿勢です。実際の問題だけでなく、潜在的な問題や外部から客観性が損なわれていると見られる状況も考慮します。過去12か月以内に自ら責任を担った活動にアシュアランスを提供する場合、客観性が損なわれていると推定されます。助言しただけの場合とは区別が必要です。
実務例: 6か月前まで購買責任者だった監査人が、現在の購買業務のアシュアランスを担当することになりました。監査人は以前の責任をCAEに申告し、自己評価を避けるため、その評価を別の適格な監査人に割り当てる対応を求めます。
よくある誤解: 以前の担当から12か月が経過すれば、客観性の問題が自動的になくなるわけではありません。また、利益相反を開示しただけで、そのまま業務を続けてよいとも限りません。残る脅威を評価し、担当変更などの適切な対応をとります。
6. 不正トライアングルと不正リスク要因
Part 1：不正リスク
不正トライアングルは、不正リスクを考えるために、動機・プレッシャー、機会、正当化という三つの要素を整理するモデルです。監査人は、業績目標、職務分掌の不備、経営陣の姿勢などからリスク要因を評価し、監査手続の重点を決めます。このモデルは、不正の発生や特定の人物の犯罪行為を証明するものではありません。
実務例: 厳しい売上目標が課される一方、同じ担当者が期末の売上調整仕訳を起票・承認できることが分かりました。監査人はプレッシャーと機会に関するリスクを評価し、承認統制や仕訳の裏付けを重点的に検証します。担当者の正当化の有無や不正の発生は、これだけでは断定しません。
よくある誤解: 三つの要素が見られれば必ず不正が起きている、または一つ確認できなければ不正はない、と判断するのは誤りです。リスク評価の枠組みと、個別の不正を裏付ける証拠は区別します。
7. 専門職としての正当な注意
Part 1：倫理と専門性
専門職としての正当な注意とは、十分な能力を備えた慎重な内部監査人に期待される注意を払うことです。業務の複雑性、重要性、重大な誤りや不正の可能性、必要な手続の範囲、費用対効果などを考慮して業務を実施します。正当な注意は完全無欠を意味せず、すべての問題の発見を保証するものでもありません。
実務例: 重要な決済処理の監査で、承認統制の欠落が複数見つかりました。監査人は当初予定のサンプル数をそのまま消化して終了せず、影響範囲と追加手続の必要性を評価し、監督者と計画の変更を協議します。
よくある誤解: 正当な注意を、常に全件検査を行うことや、計画どおりに作業を終えることと同一視してはいけません。リスクと証拠に応じて必要な手続を判断します。買収調査等を指すデューデリジェンスとも区別します。
8. 守秘と情報の適切な利用
Part 1：倫理と専門性
監査人は職務で得た情報を適切に保護し、許可なく開示したり、個人的な利益のために使ったりしてはなりません。一方、守秘は正当な報告義務を妨げる口実ではありません。開示が必要な場合は、権限と適用される要件を確認します。
実務例: 人事記録に不適切なアクセスが見つかった場合、担当者はデータを安全に保管し、認められた報告経路で必要な関係者に伝えます。
よくある誤解: 守秘を理由に、適切なエスカレーションまで避けるのは誤りです。必要な情報を適切な相手に、必要な範囲で、適切な経路を使って共有します。
9. 能力と専門知識
Part 1：倫理と専門性
監査人には、担当業務を有効に遂行するための知識、技能、経験が必要です。部門として必要な専門性が不足する場合は、研修、他の専門家の支援、外部資源の活用などを検討します。資格の有無だけで能力全体を判断することはできません。
実務例: 複雑なクラウド環境の監査で専門知識が不足するとCAEが判断した場合、専門家を起用するか、監査チームの技能を補う計画を立てます。
よくある誤解: 監査人はすべての技術領域の専門家でなければならない、とは言えません。ただし、専門性が不足するまま十分な支援なしで結論を出すことも適切ではありません。
10. 保証業務と助言業務
Part 1：内部監査の基礎
保証業務では、監査人が証拠を評価し、ガバナンス・リスク管理・統制について独立した結論を示します。助言業務は、関係者の意思決定や改善を支援します。どちらの場合も、経営陣の責任を引き受けず、目的や役割を明確にします。
実務例: 新しい申請手続きの設計会議に助言者として参加しても、最終的な設計・承認・運用の責任は経営陣に残ります。
よくある誤解: 助言を行えば、監査人が後の保証業務を必ず実施できなくなるとは限りません。ただし、自己評価などの客観性への脅威を評価し、必要な対応をとります。
押さえておきたい60の概念 11–20
11. ガバナンスの役割分担
Part 1：ガバナンス、リスク、統制
ガバナンスは、組織の方向づけ、監督、説明責任を支える仕組みです。取締役会などの統治機関、経営陣、内部監査は異なる責任を担います。監査人は役割分担を理解し、監督の不足や責任の曖昧さがリスクに与える影響を評価します。
実務例: 重大なリスクを受け入れる判断は経営陣が担い、取締役会が監督します。内部監査は、その判断の根拠や管理状況を独立して評価します。
よくある誤解: 内部監査がガバナンスに関与するからといって、統治機関や経営陣の責任を代行するわけではありません。監査の役割は評価と助言です。
12. スリー・ライン・モデル
Part 1：ガバナンス、リスク、統制
スリー・ライン・モデルは、組織の価値創出を支える責任と保証の関係を整理する考え方です。業務を担う管理者、リスク・コンプライアンスなどの支援や監視機能、独立した内部監査が連携しながら、責任の所在を明確に保ちます。
実務例: 営業部門が顧客審査を実施し、リスク部門が方法を監視し、内部監査が設計と運用の有効性を独立して評価します。
よくある誤解: ラインを組織図上の固定された三部署と理解するのは誤りです。各組織の構造は異なりますが、役割と説明責任を明確にする考え方は共通します。
13. リスク・ガバナンスとリスク選好
Part 1：ガバナンス、リスク、統制
リスク選好は、組織が目的の達成に向けて受け入れるリスクの種類や程度に関する方針です。リスク許容度などの具体的な基準と合わせて、意思決定や統制に反映されているかを見ます。内部監査は方針を設定せず、その運用を評価します。
実務例: 経営陣が新市場への進出を決めた場合、監査人は承認されたリスク選好と、実際の投資判断・モニタリングが整合しているかを確認します。
よくある誤解: 内部監査が組織のリスク選好を決めると考えるのは誤りです。監査人は、適切な責任者が定めた方針が機能しているかを評価します。
14. リスク識別と評価
Part 1：ガバナンス、リスク、統制
リスク評価では、目的を妨げる事象や状況を識別し、その発生可能性と影響などを踏まえて重要度を判断します。定性的な情報や変化の兆候も含め、評価の前提を明確にします。評価結果は、統制や監査の優先順位につながります。
実務例: 売上処理の監査では、過去の誤りだけでなく、システム変更や新しい販売経路によって生じたリスクも評価に加えます。
よくある誤解: 過去に損失がなかった領域は低リスクだと決めつけるのは危険です。環境の変化や統制の弱まりによって、将来のリスクは変化します。
15. 内部統制の目的と種類
Part 1：ガバナンス、リスク、統制
内部統制は、業務目標の達成、情報の信頼性、法令や方針の遵守などに関わるリスクを管理する仕組みです。予防・発見・是正の機能や、自動・手動の形態があり、統制の種類だけでなく、どのリスクにどう対応するかを見ます。
実務例: 支払データの入力権限を限定する統制は予防的に働き、銀行明細との照合は不一致を発見する統制として機能します。
よくある誤解: 統制が一つ存在すればリスクが十分に管理されるとは限りません。統制目的、対象となるリスク、運用状況を組み合わせて評価します。
16. 統制の設計と運用
Part 1：ガバナンス、リスク、統制
設計の有効性は、統制が目的のリスクに対応する仕組みになっているかを問います。運用の有効性は、その統制が意図したとおりに実施されたかを問います。適切な設計があっても実施されない場合と、実施されていても設計が不十分な場合は区別します。
実務例: 高額支出の規程自体が申請者による自己承認を認めているなら、独立した承認という観点から設計上の不備です。一方、規程が独立した権限者の承認を求めているのに、実際の支出でその承認が行われていなければ、運用上の不備です。
よくある誤解: 手順書に統制が記載されているだけで有効とは言えません。設計と実際の運用は、それぞれ別の証拠で評価します。
17. 固有リスクと残余リスク
Part 1：ガバナンス、リスク、統制
固有リスクは、統制の影響を考慮する前のリスクです。残余リスクは、管理策が働いた後に残るリスクを指します。統制が存在する事実だけで残余リスクを低いと判断せず、設計と運用の有効性を含む根拠を確認します。
実務例: 大量の送金を扱う業務では、統制を導入する前の固有リスクが高い可能性があります。送金承認の運用を検証してから残余リスクを評価します。
よくある誤解: 統制があると聞いただけで残余リスクが小さいと結論するのは誤りです。統制の有効性と、なお残るリスクを証拠に基づいて見極めます。
18. 不正に関する責任の境界
Part 1：不正リスク
不正の予防・発見に関する主たる責任は、組織の経営陣と統治機関にあります。内部監査は、不正リスクを考慮し、監査業務で兆候を評価して適切に報告しますが、すべての不正を発見できると保証するものではありません。
実務例: 監査人は経費精算の統制を検証し、不審な取引を見つけた場合は証拠を保全して所定の責任者に報告します。
よくある誤解: 内部監査が不正防止の全責任を負う、または不正を必ず発見できるという考えは誤りです。監査の役割と経営陣の責任を分けて考えます。
19. 不正の兆候への対応
Part 1：不正リスク
不正の兆候は、追加確認や適切な報告を検討するきっかけであり、それ自体で不正を証明するものではありません。監査人は、組織の不正対応方針、内部監査部門の権限、適用される法令に沿って証拠を確認・保全し、適切に報告します。疑いのある相手への接触が証拠や調査に与える影響も考慮します。
実務例: 支払記録の照合により、同じ請求書について同じ銀行口座へ2回支払われたことが分かりました。組織の方針では、不正が疑われる場合はCAEに報告して調査担当者と対応を調整することになっています。監査人は権限の範囲内で関連記録を保全し、CAEに報告します。担当者への質問の方法と時期は、調査への影響を踏まえて調整します。
よくある誤解: 重複支払があれば直ちに不正と断定することも、疑いのある担当者へまず説明を求めることも、一律には適切ではありません。入力ミスなどの可能性を残しつつ、証拠の保全と適切な報告経路を優先します。
20. 専門職としての懐疑心
Part 1：倫理と専門性
専門職としての懐疑心は、問いを持つ姿勢を保ち、情報の信頼性を批判的に評価し、判断に必要な裏付けを求めることです。説明や記録を自動的に受け入れず、矛盾、欠落、不自然な傾向を検討します。専門職としての正当な注意が業務全体で払うべき注意の水準に関わるのに対し、懐疑心は情報を評価する際の姿勢に関わります。
実務例: 業務責任者は、承認を省略した例外処理は一度だけだったと説明しました。しかし、処理記録には同種の例外が複数見られます。監査人は説明をそのまま採用せず、対象期間の記録を照合し、不一致の理由と影響を確認してから結論を出します。
よくある誤解: 懐疑心は、相手を常に不誠実だとみなすことでも、不正を前提に調べることでもありません。説明に対して公平に検証を行い、結論の強さを確認できた証拠に合わせます。
押さえておきたい60の概念 21–30
21. 監査業務の目的と範囲
Part 2：内部監査業務
監査目的は、何を評価し、どの問いに答えるかを定めます。範囲は、対象となる活動、期間、拠点、システムなどの境界を示します。目的と範囲は関連リスクに基づき、関係者の要望だけで不必要に狭くなったり広くなったりしないようにします。
実務例: 在庫管理の監査では、目的を在庫記録の信頼性評価とし、対象拠点や対象期間を明らかにして関係者と確認します。
よくある誤解: 範囲を広げれば監査の質が必ず高まるわけではありません。目的に関係するリスクを十分に扱える範囲を設定し、制約があれば明確にします。
22. 事前調査と予備的リスク評価
Part 2：内部監査業務
事前調査では、対象業務の目的、プロセス、関係者、過去の問題、利用可能な情報を把握します。その理解をもとにリスクを予備評価し、監査手続の重点を決めます。計画は仮説の固定ではなく、新たな証拠に応じて更新するものです。
実務例: 経費精算の監査前に、フロー図、苦情記録、前回の監査結果を確認し、例外処理のリスクを重点候補として設定します。
よくある誤解: 事前調査で問題が見つからなければ監査テストは不要、とは言えません。予備評価はリスクを理解する出発点であり、実証手続に代わるものではありません。
23. 評価基準の設定
Part 2：内部監査業務
評価基準は、確認した状態が望ましい状態に照らして適切か判断する物差しです。方針、契約、承認済み目標、専門的な枠組みなど、対象にふさわしい基準を選び、関係者が理解できるようにします。基準が曖昧なら、結論も曖昧になりやすくなります。
実務例: 支出承認を評価する監査人は、対象となる承認権限表と正式な手続を基準として、実際の承認記録を比較します。
よくある誤解: 監査人個人の好みを評価基準にするのは適切ではありません。基準の出所と適用理由を明示し、事実との比較が再現できるようにします。
24. 監査プログラムと手続
Part 2：内部監査業務
監査プログラムは、監査目的を達成するための評価基準、具体的な手続、分析方法、担当者などを整理した計画です。各手続がどの目的とリスクに対応するかを明らかにし、実施前に内部監査部門長（CAE）の承認を得ます。調査の進展に応じて変更する場合も、理由を記録し、速やかにCAEの承認を得ます。
実務例: ベンダー登録の監査では、不適切な登録のリスクに対応する承認記録の確認、登録データの分析、担当者への質問を監査プログラムに組み込み、実施前に承認を得ます。途中で承認を経由しない登録経路が判明した場合は、その経路を検証する手続を追加し、変更理由を記録して速やかに承認を得ます。
よくある誤解: 過去の監査プログラムをそのまま使えば十分とは限りません。現在のリスクやシステム変更に合わない手続は、目的に対する証拠を得られないことがあります。
25. 監査資源と監督
Part 2：内部監査業務
業務を遂行するには、必要な時間、技能、人員、技術などを計画し、適切な監督を行います。監督者は手続の適切さ、作業記録、結論の根拠を確認し、担当者を支援します。資源不足が品質や範囲に影響する場合は、その影響を管理します。
実務例: データ分析が必要な監査に専門技能が不足していると分かった場合、責任者は研修や専門家の参加を調整してから手続を確定します。
よくある誤解: 経験豊富な監査人なら監督は不要、とは言えません。監督の程度を業務の複雑さや担当者の経験に合わせ、品質を確認できる状態にします。
26. 情報の関連性と信頼性
Part 2：内部監査業務
監査情報は、目的に関係するかという関連性と、判断に使えるほど信頼できるかという両面から評価します。情報の出所、作成方法、完全性、改変可能性などを検討し、必要に応じて他の資料と照合します。
実務例: 管理者が作成した売上一覧を使う前に、抽出条件と元データを確認し、会計記録や取引明細と照合します。
よくある誤解: 社内システムから出力されたデータなら常に正確、とは限りません。抽出の完全性や処理方法を確認して、監査目的に使えるか判断します。
27. 証拠の十分性と追加手続
Part 2：内部監査業務
Global Internal Audit Standardsでは、判断を支える情報に関連性、信頼性、十分性を求めます。十分性は単なる資料の量ではなく、必要な分析・評価を行え、慎重な判断力と必要な知識・能力を持つ者が業務を再実施して同じ結論に到達できるだけの情報があることを意味します。不足や未解決の矛盾がある場合は、追加手続を行い、なお制約が残る場合は結論への影響を明らかにします。
実務例: 年度途中の7月に購買承認システムが変更された監査で、監査人は変更前の承認記録しか入手していません。年度全体の運用が有効だったと結論する前に、変更後の承認処理と記録についても証拠を収集・評価します。
よくある誤解: 資料が大量にあれば十分な証拠がある、とは言えません。同じ説明を繰り返す資料を増やしても、未検証の期間や処理についての証拠不足は解消しません。
28. 複数の証拠を照合する
Part 2：内部監査業務
証拠を複数の独立した情報源から照合すると、説明の裏付けや不一致を確認しやすくなります。ただし、情報源が多くても同じ基礎データに依存していれば独立性は高まりません。不一致が見つかったら、原因と影響を調べます。
実務例: 棚卸記録と倉庫の実地観察に加え、出荷履歴を確認し、記録上の数量と実際の在庫の差を分析します。
よくある誤解: 同じデータを別形式で出力した資料を複数の独立証拠と数えるのは誤りです。情報の起源や生成過程を見て証拠の強さを判断します。
29. サンプリングとサンプル選択
Part 2：内部監査業務
サンプリングは、定義した母集団の一部を調べて評価する方法です。統計的サンプリングは無作為選択と確率理論に基づく評価を用い、サンプリングリスクを数量化します。非統計的サンプリングでは、そのリスクを統計的に数量化しません。サンプリングリスクとは、サンプルに基づく結論が全件を調べた場合の結論と異なる可能性です。目的、母集団、選択方法、サンプル数、例外の評価を整合させ、結果から推論できる範囲を明確にします。
実務例: 対象年度の購買承認を評価する監査人が、高額取引だけを判断で選んで調べ、例外を発見しなかったとしても、全取引の承認逸脱率が一定水準以下だとは統計的に結論できません。母集団全体の逸脱率を統計的に評価する目的なら、母集団の完全性を確認し、必要な信頼水準や許容逸脱率などに応じて選択方法とサンプル数を設計します。
よくある誤解: 無作為に選んだだけで、統計的サンプリングになるとは限りません。確率理論に基づく評価も必要です。また、判断で選んだサンプルの例外率を、そのまま母集団全体の例外率とみなすのは適切ではありません。
30. データ分析の活用と限界
Part 2：内部監査業務
データ分析は、全件から異常な傾向や重複、例外を見つけ、監査手続を重点化するのに役立ちます。結果を信頼するには、データの完全性、抽出条件、分析ロジックを確認します。分析結果は調査の手がかりであり、それだけで原因や不正を証明しません。
実務例: 同一口座への支払を抽出した後、取引の正当性を契約書や承認履歴と照合して、重複や誤登録の可能性を評価します。
よくある誤解: 異常値が検出されたことを、そのまま不正の証拠とみなすのは誤りです。分析方法と背景を確かめ、個々の事実を追加検証します。
押さえておきたい60の概念 31–40
31. 質問と確認の使い分け
Part 2：内部監査業務
質問や面談は、プロセスの理解、説明の入手、追加調査の手がかりに使えます。しかし、口頭の説明だけでは実際の処理や記録の存在を十分に裏付けられない場合があります。重要な説明は文書、記録、観察などで確認します。
実務例: 担当者が例外処理は上長承認を得ると説明したら、監査人は例外取引を選び、承認記録と処理履歴を確認します。
よくある誤解: 担当者の回答が明確なら、裏付けは不要とは限りません。質問は情報収集の手段であり、重要な結論には適切な追加証拠を求めます。
32. 観察とその限界
Part 2：内部監査業務
観察は、業務が実際に行われる様子や物理的な状態を把握する手続です。特定の時点で見えた状況に限られ、監査人がいることで行動が変わる可能性もあります。観察結果は他の記録や期間の証拠と合わせて評価します。
実務例: 監査人が入退室管理を確認する際、当日の運用を見るだけでなく、入退室ログや権限設定も検証します。
よくある誤解: 一度適切な作業を観察しただけで、常に正しく運用されていると結論するのは誤りです。観察の時点と範囲を踏まえて評価します。
33. 監査調書と再現可能性
Part 2：内部監査業務
監査調書には、実施した手続、得られた証拠、評価、結論のつながりを残します。適切な記録は、監督者や品質評価者が業務を理解し、判断を追跡できるようにします。個人情報や機密情報の保護にも配慮し、必要な範囲で管理します。
実務例: 取引サンプルのテストでは、母集団の出所、選択方法、確認した記録、例外の評価、結論を調書にまとめます。
よくある誤解: 監査人自身が覚えていれば、記録は簡略でよいとは限りません。他の適切なレビュー担当者が根拠と手続をたどれる程度に記録します。
34. 監査上の指摘を構成する要素
Part 2：内部監査業務
指摘は一般に、評価基準、実際に確認した状態、差が生じた原因、影響やリスクを関連づけて整理します。監査人は経営陣と協力し、可能な限り根本原因を特定します。原因が未確定なら、確認した状態と原因についての仮説を区別し、未確定であることを明示します。推測を事実として記載してはいけません。
実務例: 支出承認の記録を保存する社内規程があるのに、対象取引の記録が見つかりません。監査人はまず規程と実際の保存状況との差を確認し、経営陣と協力して保存処理の不具合や運用上の問題を調べます。記録の欠落だけで承認自体が行われなかったとは断定せず、支出の妥当性を検証できないリスクなどを証拠に基づいて評価します。
よくある誤解: 基準と実際の状態に差があるだけでは、原因は確定しません。例えば承認記録の欠落だけで、承認未実施や担当者の不注意を断定せず、追加確認を行います。
35. 指摘の重要性とリスク評価
Part 2：内部監査業務
指摘の重要性は、発生可能性、影響、広がり、既存の対策などを踏まえて評価します。単発の事象か、組織的な弱点かによっても対応は異なります。基準の逸脱があっても、重要度や報告方法は証拠と状況に基づいて判断します。
実務例: 少額の誤りが複数部署で繰り返されていれば、単一取引の金額だけでなく、共通する統制上の原因を調べます。
よくある誤解: 金額が小さいから重要でないと決めるのは早計です。累積影響、法令・評判上の影響、再発可能性なども検討します。
36. 結論の範囲と証拠の限界
Part 2：内部監査業務
監査結論は、目的と範囲に対応し、入手した証拠が支える範囲にとどめます。証拠の制約や未解決の矛盾がある場合は、その影響を明らかにして追加手続や結論の限定を検討します。一部の取引や拠点の検証でも、適切なサンプリング設計と十分な証拠があれば、定義した母集団に関する結論を示せる場合があります。断定の強さを証拠の強さに合わせることが重要です。
実務例: 過去にアクセス権の問題があった2支店を判断で選んで検証した場合、その結果だけで全支店の統制が有効だとは結論しません。選定理由と検証対象を明示し、全支店について結論が必要なら、それを支える追加手続を計画します。
よくある誤解: 監査報告を明快にするために、証拠が支えない全社的結論まで述べるのは誤りです。明確さと断定のし過ぎは別問題です。
37. 是正措置と責任者
Part 2：内部監査業務
是正措置は、指摘されたリスクや原因に対応するため、経営陣が選択・実施する対応です。対応内容、責任者、予定時期などを明確にし、監査人は提案が原因やリスクに見合うかを評価します。実施責任は監査部門ではなく経営陣にあります。
実務例: アクセス権の過剰付与が見つかった場合、部門責任者が権限見直しを行い、監査人は計画された対応の妥当性を確認します。
よくある誤解: 内部監査人が統制を設計・運用して是正するのが当然、という考えは誤りです。助言はできますが、経営陣の責任を引き受けないようにします。
38. 監査結果の伝達
Part 2：内部監査業務
監査結果の伝達では、目的、範囲、重要な指摘、結論、必要な対応を、受け手が判断できる形で正確に示します。事実と評価を区別し、重要な制約や未解決事項も明らかにします。誤りや欠落が分かった場合は、適切な訂正を行います。
実務例: 報告書では、例外件数だけを示すのではなく、対象母集団、確認方法、影響、経営陣の対応を併記します。
よくある誤解: 報告書を短くするために、結論を支える範囲や重要な制約を省略するのは適切ではありません。簡潔さと正確性を両立させます。
39. 見解の相違と未解決事項
Part 2：内部監査業務
監査人と経営陣の見解が異なる場合は、証拠、評価基準、リスク評価を使って相違点を確認し、双方の見解と理由を記録します。事実誤認は訂正しますが、合理的な変更理由がなければ、反対があることだけを理由に指摘や結論を変更する必要はありません。未解決の相違は、CAEが定めた方法に従って扱い、必要に応じて適切なレベルへ報告します。
実務例: 経営陣は、アクセス権の定期見直しが未実施でも、悪用事例がないため重要度は低いと主張しています。監査責任者はその見解を記録し、権限の範囲、悪用の可能性、影響、代替統制を再評価します。評価を変更する根拠がなければ結論を維持し、CAEが定めた手続に従って、経営陣の見解と監査側の判断根拠を報告に反映します。
よくある誤解: 経営陣の同意は、監査結論を示すための必要条件ではありません。ただし、監査人も反論を無視してよいわけではなく、証拠を再確認し、双方の理由と未解決事項を適切に記録・伝達します。
40. 是正措置のフォローアップ
Part 2：内部監査業務
フォローアップでは、経営陣が約束した措置の進捗だけでなく、リスクが適切に軽減されたかを確認します。自己申告だけで判断せず、必要な証拠を検証します。対応が遅れた場合や不十分な場合は、その重要性に応じて報告します。
実務例: 権限一覧を更新したとの回答を受けた監査人は、実際のシステム権限と承認記録を確認し、指摘が解消したかを評価します。
よくある誤解: 対応済みと報告された時点で指摘を自動的に閉じるのは誤りです。措置の実施だけでなく、リスクへの効果を確かめます。
押さえておきたい60の概念 41–50
41. 内部監査戦略と組織目標
Part 3：内部監査部門の運営
内部監査戦略は、組織の戦略目標と取締役会・上級経営陣などの期待を踏まえ、内部監査部門が中長期にどのような価値を提供するかを示します。Global Internal Audit Standardsの基準9.2では、ビジョン、戦略目標、それを支える施策を含む戦略の策定と実施が求められます。内部監査部門長（CAE）は、戦略を取締役会および上級経営陣と定期的に見直し、必要な能力、技術、計画、資源配分に反映します。
実務例: 海外展開を加速する組織で、CAEは「海外拠点の重要リスクについて適時に保証を提供する」という戦略目標を設定します。現地の専門知識の確保や遠隔監査手法の整備を支援施策とし、進捗と前提の変化を取締役会・上級経営陣と定期的に確認します。
よくある誤解: 組織の戦略に沿うことは、経営陣が望む結論に合わせることではありません。組織目標への貢献と、内部監査の独立性・客観性を両立させます。
42. リスクベースの監査計画
Part 3：内部監査部門の運営
監査計画は、組織の目標、戦略、リスクについての文書化された評価に基づき、実施する業務と優先順位を定めます。基準9.4では、この評価を少なくとも年1回実施し、取締役会と上級経営陣からの情報を反映することが求められます。CAEは内部監査の権限と利用可能な資源も考慮し、計画を取締役会・上級経営陣と協議したうえで、取締役会の承認を得ます。
実務例: 年度計画の策定時、CAEは文書化したリスク評価から、新事業の収益認識と主要システムの刷新を高い優先順位に置きます。関係者の懸念と資源制約も整理し、低リスク領域の定例監査より優先する理由を説明して、計画の承認を求めます。
よくある誤解: 前年の監査計画をそのまま繰り返したり、依頼の多い領域から順に監査したりしても、リスクベースの計画にはなりません。優先順位を現在のリスク評価で裏付けます。
43. 監査計画の更新
Part 3：内部監査部門の運営
監査計画は、新しいリスク、事業変更、重大な事象、資源の変化に応じて更新する必要があります。CAEは変更理由、監査で検証できる範囲への影響、必要な資源を評価し、変更の重要性を判断します。基準9.4では、監査計画の重要な変更について取締役会の承認が求められます。通常の運用上の調整は、部門で定めた権限と手続に従って管理します。
実務例: 主要システムの障害を受け、CAEは緊急の監査を追加する代わりに、承認済みの高リスク領域の監査を延期する案を作成します。これは重要な変更として、延期による影響と代替案を上級経営陣・取締役会に説明し、取締役会の承認を求めます。
よくある誤解: 承認済みの計画は一切変更できない、という理解も、CAEがどのような変更でも単独で決定できる、という理解も誤りです。変更の重要性に応じて適切な承認を得ます。
44. 資源の管理と能力ギャップ
Part 3：内部監査部門の運営
CAEは計画を実行するための人員、技能、技術、予算などを把握し、必要な能力が不足する領域を特定します。採用、育成、業務の再配分、専門家や外部提供者の活用などを検討し、選択が監査の品質と独立性に与える影響も評価します。
実務例: サイバー監査の需要に対して専門家が不足している部門は、育成計画と外部支援の選択肢を比較します。
よくある誤解: 予算を増やせないなら、監査品質を落として計画を維持するしかないとは限りません。優先順位や範囲を見直し、影響を適切に伝えます。
45. 資源制約とガバナンスへの説明
Part 3：内部監査部門の運営
CAEは、内部監査の権限を果たし、監査計画を達成するための資源が十分かを評価します。不足する場合は、追加予算、専門家の活用、配置の変更、監査計画の見直しなどの対応策を検討し、不足が監査範囲や品質に及ぼす影響を取締役会・上級経営陣に説明します。すべてのリスクを監査することではなく、検証できない重要領域と資源確保策を透明にすることが要点です。
実務例: 予算削減によって高リスク領域の監査を延期せざるを得ないと見込まれる場合、CAEは未監査期間、残るリスク、追加資源の選択肢を示します。計画の重要な変更が必要なら、取締役会の承認を求めます。
よくある誤解: 予算が決まった以上、資源不足の影響を報告する必要はないという理解は誤りです。制約を隠したり、品質を落として計画を達成したように見せたりせず、影響と対応策を説明します。
46. CAEの報告関係と取締役会へのアクセス
Part 3：内部監査部門の運営
内部監査の組織上の独立性を支えるため、CAEは取締役会に直接報告できる関係を持つ必要があります。ここでいう取締役会には、内部監査の監督を担う監査委員会など、組織に応じた統治機関を含みます。機能上の監督と日常運営上の管理を区別し、経営陣を介さずに重要事項を伝えられる状態を確保します。基準7.1では、CAEが少なくとも年1回、組織上の独立性を取締役会に確認することも求められます。
実務例: 経営陣が重要な監査結果の報告を差し止めようとした場合、CAEは監督を担う監査委員会に直接アクセスし、干渉の内容と結果の伝達への影響を説明します。
よくある誤解: 管理上の報告先が経営陣であること自体が、直ちに独立性の欠如を意味するわけではありません。機能上の直接報告、実際のアクセス、範囲・資源・結果への干渉を区別して評価します。
47. 利害関係者とのコミュニケーション
Part 3：内部監査部門の運営
効果的なコミュニケーションは、内部監査の目的、優先順位、計画、重要な結果を関係者に理解してもらい、必要な対話を促します。相手の役割と情報ニーズに合わせて内容や時期を選びつつ、機密性と正確性を保ちます。
実務例: 計画策定時に各事業責任者から新たなリスクを聞き取り、得られた情報を他のリスク評価資料と合わせて検討します。
よくある誤解: 利害関係者の要望をすべて監査計画に入れることが、良好な関係づくりではありません。要望は評価材料の一つとして扱い、優先順位を説明します。
48. 他の保証提供者との連携
Part 3：内部監査部門の運営
内部監査は、リスク管理、コンプライアンス、外部監査などの保証・助言活動と連携し、重複と未対応領域を把握します。情報共有や日程調整を行うことと、他者の作業に依拠して自らの結論を形成することは別です。依拠する場合は、対象範囲、能力、客観性、作業の質を評価します。基準9.5に従い、依拠の根拠を文書化し、依拠後も内部監査の結論に対するCAEの責任を保持します。
実務例: 外部専門家がアクセス管理を検証済みであっても、内部監査は対象期間、対象システム、実施手続、証拠を確認します。利用できる範囲と追加検証が必要な範囲を判断し、依拠の根拠を調書に残します。
よくある誤解: 他の提供者の報告書を引用すれば、自部門の結論に対する責任を移せるわけではありません。依拠の適切性を評価し、不十分な部分には追加手続を行います。
49. 保証マップとカバレッジの空白
Part 3：内部監査部門の運営
保証マップは、主要なリスクとそれに関わる保証活動を見渡し、重複やカバレッジの空白を把握するために使えます。複数の機能の活動を並べるだけでなく、保証の範囲や深さ、責任者、情報共有の仕組みを理解することが重要です。
実務例: 主要システムの変更リスクについて、内部監査、IT部門、コンプライアンス部門の確認範囲を比べ、未確認の領域を特定します。
よくある誤解: 監査件数の一覧を作れば保証マップになるとは限りません。リスクごとに何がどの程度検証されているかを明らかにします。
50. 品質保証・改善プログラム
Part 3：内部監査部門の運営
品質保証・改善プログラムは、内部監査部門の全側面を対象に、Global Internal Audit Standardsへの適合、業績目標の達成状況、継続的改善を評価する仕組みです。内部評価と外部評価の両方を含みます。基準8.3では、CAEは内部評価結果を少なくとも年1回、外部評価結果を完了時に取締役会・上級経営陣へ伝えることが求められます。報告には、改善のための対応策も含めます。
実務例: 調書レビューで記録不足が繰り返されている場合、部門は原因を分析し、研修や手順を改善します。CAEは内部評価結果と対応策を年次の品質報告に含め、取締役会・上級経営陣に伝えます。
よくある誤解: 品質保証・改善プログラムは、数年に一度の外部評価だけではありません。日常のモニタリング、定期的な内部評価、外部評価を組み合わせ、改善につなげます。
押さえておきたい60の概念 51–60
51. 継続的モニタリングと定期的な内部評価
Part 3：内部監査部門の運営
継続的モニタリングは、日常の監督、調書レビュー、業績情報の確認などを通じて、基準への適合と業績目標に向けた進捗を把握します。定期的な内部評価は、部門の実践をより広い観点から見直す自己評価、または内部監査実務に十分な知識を持つ組織内の者による評価です。基準12.1に沿って両者を組み合わせ、改善課題と対応策を記録します。
実務例: 監査マネジャーが各業務の調書を日常的にレビューする一方、部門は定期的な自己評価で、戦略、計画、資源管理、報告を含む実践を見直します。必要な知識を持つ組織内の者が評価を行う方法もあります。
よくある誤解: 一件の調書レビューで部門全体の評価が済むわけではありません。また、定期的な内部評価を実施しても、外部品質評価の要件を満たしたことにはなりません。
52. 外部品質評価
Part 3：内部監査部門の運営
基準8.4では、少なくとも5年に1回、適格で独立した組織外の評価者または評価チームによる外部品質評価が必要です。評価者側には少なくとも1名の有効なCIA資格保有者を含めます。全面的な外部評価に代えて、独立した検証を伴う自己評価を選ぶこともできます。CAEは評価計画を取締役会と協議し、評価範囲・頻度、評価者の能力・独立性などを含む計画について承認を得ます。
実務例: 前回の外部品質評価から5年が経過する前に、CAEは独立した検証を伴う自己評価を提案します。検証者が組織外から独立しており、評価者側に有効なCIA資格保有者がいることを確認し、取締役会に計画の承認を求めます。
よくある誤解: 内部監査部門に所属しない社内の者による評価を、そのまま外部品質評価と呼ぶことはできません。また、独立した検証のない自己評価だけでは、外部評価の要件を満たしません。
53. 業績指標と価値の測定
Part 3：内部監査部門の運営
基準12.2では、CAEは内部監査部門の業績目標を設定し、取締役会・上級経営陣の意見と期待を考慮します。その目標に照らして業績を測定する方法を整備し、戦略、品質、適時性、リスクの検証範囲、改善への貢献などを評価します。指標は定義、情報源、測定期間を明確にし、単一の数値を部門の価値全体の代わりにしません。
実務例: 計画実行率を報告する部門は、承認済みの計画と年度中の変更履歴を管理し、分母を明示します。完了件数だけでなく、重要なリスクの検証状況や品質評価結果も合わせて、目標の達成状況を説明します。
よくある誤解: 実行率を高く見せるために未完了業務を分母から黙って除くと、比較可能性と透明性が失われます。指標の定義を一貫させ、変更と背景を説明します。
54. 監査業務の監督とCAEの責任
Part 3：内部監査部門の運営
基準12.3に基づき、CAEは監査業務の監督、品質の確保、監査人の能力開発を支える仕組みを整備します。監督では、監査目的の達成、必要な手続の実施、指摘と結論を支える証拠、レビューの記録を確認します。適格な者に監督を委任できますが、CAEの全体的な責任は残ります。監督の深さは、業務の複雑さやリスク、担当者の経験に応じて調整します。
実務例: CAEが熟練した監査マネジャーに日常の監督を委任した業務で、重大な証拠不足が報告されました。CAEは追加手続や支援の必要性を判断し、監督者の報告とレビュー記録を通じて、結論を支える証拠が確保されたことを確認します。
よくある誤解: 監督を委任すれば、品質上の問題は委任先だけの責任になるという理解は誤りです。一方、CAEがすべての調書を自らレビューしなければならないわけでもありません。適切な委任と責任の保持を両立させます。
55. 内部監査の結果と傾向の報告
Part 3：内部監査部門の運営
CAEは重要な監査結果や部門全体の傾向を、適切な受け手が意思決定に使えるように伝えます。個別の指摘に加え、複数業務に共通する原因や、計画上の重要な未対応領域があれば明確にします。報告の根拠と範囲を誤解なく示します。
実務例: 複数の業務で権限管理の弱点が見つかったとき、CAEは個別報告にとどめず、共通するリスク傾向を経営陣に説明します。
よくある誤解: 個別報告を提出したから、全体傾向を改めて伝える必要はないとは限りません。組織横断の重要な影響があればまとめて共有します。
56. 受け入れられないリスクの扱い
Part 3：内部監査部門の運営
基準11.5では、経営陣が受け入れたリスクが組織のリスク選好またはリスク許容度を超えるとCAEが判断した場合、上級経営陣と協議する必要があります。その協議でも問題が解決されていないと判断した場合は、取締役会へ上申します。CAEは判断の根拠と残るリスクを示しますが、リスクを解決する責任や経営陣に代わって対応を実行する責任は負いません。
実務例: 経営陣がシステム障害対策を延期し、残るリスクが承認済みのリスク許容度を超えるとCAEが判断しました。CAEは上級経営陣と協議し、延期理由と影響を確認します。それでも問題が解決されていないと判断した場合、取締役会に上申します。
よくある誤解: 経営陣がリスクを受け入れたから報告は不要、という理解も、CAEが受容判断を単独で取り消せる、という理解も誤りです。基準に従って協議・上申し、経営上の責任を引き受けないことが重要です。
57. 新たなリスクの把握と早期評価
Part 3：内部監査部門の運営
新たなリスクを把握するには、過去の監査結果だけでなく、事業計画、経営会議での情報、事故情報、技術・規制・業界の動向などを継続的に確認します。CAEは情報の信頼性、組織目標への潜在的な影響、不確実性を評価し、必要な専門性や保証・助言の必要性を検討します。これは監査計画の変更手続に先立つ情報収集と判断の段階であり、組織のリスクを管理する経営陣の責任を代替しません。
実務例: 主要業務の外部委託案を契約締結前に把握したCAEは、委託の範囲、代替可能性、データへのアクセス、サービス継続性について情報を集めます。経営陣によるリスク評価も確認し、早期の助言や将来の保証業務が必要かを検討します。
よくある誤解: 新しい技術や事業であることだけを理由に、必ず最高リスクと評価するのは適切ではありません。影響と証拠を検討し、既存の重要リスクとの比較も行います。
58. 外部提供者の活用と監督
Part 3：内部監査部門の運営
外部の専門家やサービス提供者は、内部に不足する技能や能力を補えます。CAEは必要な能力、契約上の範囲、機密情報の取扱い、業務品質、内部監査部門の責任との関係を検討します。外部委託しても、部門の説明責任が消えるわけではありません。
実務例: 専門会社に技術テストを委託する場合、CAEは作業範囲と成果物を定め、結果が監査目的を支えるか確認します。
よくある誤解: 専門会社の名前や実績だけで成果物をそのまま採用できるとは限りません。依頼内容と品質を確認し、自部門の結論に対する責任を保ちます。
59. 内部監査の方針、手順、知識管理
Part 3：内部監査部門の運営
部門の方針や手順は、監査業務を一貫して実施し、役割と品質期待を共有するための土台です。定期的に見直し、基準、技術、組織の変化を反映します。過去の知見や業務記録を適切に管理すれば、学習と効率の改善にもつながります。
実務例: データ抽出の手順を標準化し、変更履歴と確認方法を記録することで、別の監査チームでも結果を再確認できます。
よくある誤解: 文書化された手順があれば実務も適切だと決めつけるのは誤りです。実際に使われているか、現状に合っているかも評価します。
60. 継続的改善と学習
Part 3：内部監査部門の運営
継続的改善では、品質評価、業務後の振り返り、利害関係者からの意見、指標の傾向などを使って、改善が必要な根本原因を探ります。対応を実施するだけでなく、その効果を確認し、得られた知識を次の計画や業務方法に反映します。
実務例: 報告書の訂正が繰り返された場合、担当者の注意不足と決めつけず、レビュー工程や用語の統一方法を見直して効果を確認します。
よくある誤解: 研修を一度実施しただけで、品質上の問題が解決したとみなすのは早計です。問題の原因と、変更後の実際の改善を確認します。
学習を進める6つのステップ
参照した公式情報
The IIAの「CIA Exam Syllabus」「CIA Certification」「Global Internal Audit Standards」およびPart 1〜3の詳細シラバスを根拠として整理しました。情報確認日：2026年10月11日。基準や試験内容は改定される可能性があるため、受験時には最新の公式情報を確認してください。