企業のガバナンス強化やIPO（新規公開株）準備において、極めて重要な役割を果たす内部監査。しかし、その体制をゼロから、しかも未経験の状態で立ち上げるとなったとき、一体何から手を付ければよいのでしょうか。

本レポートでは、人材サービス会社において、未経験からたった1人で内部監査室の立ち上げを任された浦野剛司氏をゲストに迎えたイベントの模様をお届けします。
更地のような状態からどのように基本規程や監査計画を整備し、組織として機能させていったのか。
現場で直面した他部署との調整の苦労や、監査品質を高めるために実践したCOSOフレームワークの活用法、そしてCIA（公認内部監査人）の学習が実務に与えた影響について、リアルな試行錯誤のプロセスをQ&A形式で詳しくご紹介します。

浦野氏： 内部監査部門を立ち上げる際、まずは組織としての形式的な枠組みを整える必要があります。しかし、適切な内部監査の形は、会社の規模やIPOまでの時間的猶予など、それぞれの状況によって大きく異なります。

内部監査という仕事には、いくつかの掴みどころのない特色があります。

1つ目は、監査対象が組織全体に及ぶため、守備範囲が非常に広いこと。

2つ目は、準拠すべきグローバル内部監査基準が、あらゆる組織をカバーするために抽象的かつ膨大であること。

そして3つ目は、基準が広すぎるために実務でそのまま使える共通のマニュアルが存在せず、KPI（重要業績評価指標）も設定しづらいことです。

この掴みどころのなさが、立ち上げにおけるすべての苦労の源泉になります。
答えがどこにも用意されていない中で、自分たちの状況に合わせて、どこまで作り込むべきかという狙いを絞り込むことが極めて重要になります。

私自身の場合、未経験の状態で1人だけ内部監査室に配属され、サポートもほぼゼロという、設計図も基礎工事もない更地からのスタートでした。手当たり次第に専門書を買い、日本内部監査協会に入会して資料を端から読み込みましたが、最初は膨大な情報に途方に暮れるばかりでした。
勉強して知識が増えるほど、やるべき課題も増えてしまい、何から手を付ければよいか分からなくなるという悪循環に陥ったこともあります。

また、他部署との調整にも頭を悩ませました。
管理部門には、大手を渡り歩いてきた経験豊富な方々が集まっており、彼らはこれまでの経験から、歴史ある会社の組織を参考にして管理体制を作ろうとします。

その際、悪気なく、内部監査部門を第2線（管理機能）に組み込み、最終チェックを内部監査室が行ってリスクコンプライアンス委員会に報告する、といった独立性の基準に適合しない規程を作ろうとされることがありました。
これを単に「基準に合わないので受け取れません」と却下すると関係がこじれてしまうため、相手の背景を理解した上で、内部監査の本来の立場を丁寧に説明して解きほぐすのには非常に苦労しました。

初年度の年間計画については、会計年度の途中で異動したこともあり、まずは監査役の監査計画をなぞる形で作成して時間を稼ぎ、その間に次年度の本格的な準備を進めるという工夫で乗り切りました。

浦野氏： 弊社の規模はそれほど大きくありませんが、部署が機能別に細かく分かれています。

教科書的には、それぞれの業務に合わせたリスク評価を行い、個別の監査プログラムを作成すべきとされていますが、リソースが限られる中でそれは困難でした。

そこで、金融機関を対象としたものではありますが、金融庁が示す内部監査の成熟度水準を参考にしました。この指標では、リスクベースの監査は第2段階とされており、第1段階はルールに合致しているかを確認する事務不備監査（準拠性監査）となっています。
まずはこの第1段階を確実にクリアすることを目指しました。

しかし、スタートアップ特有の課題として、社内の規程や作業基準自体が整備中や見直し中であり、監査の基準となる元が存在しないことが多々ありました。
さらに、半期ごとに改組が行われて業務分掌が振り出しに戻るなど、体制が安定しない状況でした。

このような評価基準が存在しないという状況は、グローバル内部監査基準の13.4にも言及されており、多くの先人達も同じ苦労をしてきたのだと身につまされる思いでした。
それでも監査を実施しなければならないため、社内に基準がないのであれば、汎用的な外部の基準を頼ろうと考え、COSO（コソ）の内部統制フレームワークを活用することにしました。

具体的には、日本内部監査協会が公表している資料を参考に、確認事項をすべてスプレッドシートに落とし込みました。
その中には取締役会などの経営層を対象としたガバナンス上流の項目も含まれていたため、各部署の業務監査で使えるように不要な部分を削ぎ落とし、実務的なチェックリストへと刈り込んでいきました。
この汎用的な基準を自社向けにカスタマイズするアプローチによって、早期の体制構築を実現しました。

浦野氏： 立ち上げ当初は形式を整えるだけで精一杯でしたが、実際に業務監査を数回経験する中で、監査品質の向上において専門職としての懐疑心を持つことの難しさと重要性を実感するようになりました。
これは、リスクに対する想像力と言い換えることができます。

すでに顕在化しているリスクは、第1線や第2線が主導して対応しているため、内部監査の仕事ではありません。内部監査は、その先を回り込んで将来的に躓きそうな石を事前に見つけて拾い上げる必要があります。
しかし、無数にある業務プロセスの中から、将来大きな問題に発展する可能性の高いリスクを見極めるのは非常に困難です。

現場が、今のフローで問題なく回っており、トラブルも起きていないと主張していても、内部統制の基準から見て、上長の承認プロセスが欠落している、あるいはモニタリングが機能していないという不備があれば、組織の拡大に伴って将来的に大きな事件につながる可能性があります。
これらを識別し、現場が受け入れられる形で改善提案を提示することが、内部監査人に求められる役割です。

私自身、元々は第1線の現場部門におり、その後サポート部門を経て内部監査室に異動した経緯があります。
現場の業務を熟知しているという強みがある一方で、当初は現場最優先、コンプライアンスは二の次という現場時代の感覚に引っ張られ、リスクを甘く見てしまう傾向がありました。

形式的なツールは短期間で準備できても、リスクを見極める経験や勘はすぐには身につきません。また、サンプリングなどの具体的な監査手法を参考書だけで実務に落とし込むことにも限界を感じていました。
こうした課題を解決し、体系的な判断基準を早期に身につけるために、アビタスでCIAの学習を始めることを決めました。

浦野氏： 資格そのものが肩書きとして社外にアピールされるのはこれからの段階ですが、社外取締役が、私がCIAを取得したことに興味を示すなど投資家目線での信頼性向上につながる手応えを感じています。

実務において最も直接的に役立ったのは、アビタスの講義で紹介された、自分の中に別人格（ロールモデル）を育てるという考え方です。

試験対策として練習問題を繰り返し解く中で、グローバル内部監査基準を完全に理解し、十分な経験を積んだ内部監査人であれば、この場面でどう行動し、どう判断するかというロールモデルが自分の中に構築されていきました。

この学びが、実際の監査現場で非常に活きています。

実務で初めて直面する問題に対しても、自分の中のロールモデルに沿った判断の筋道や根拠、類例が自然と浮かぶようになりました。
これにより、未経験ゆえの経験や勘の不足を補うことができ、自信を持って現場との交渉や判断を行えるようになりました。
グローバル基準や過去の先達の経験が凝縮された試験問題をなぞって勉強することは、そのまま実務の強力なガイドラインになると感じています。

浦野氏： 私の場合、実務の立ち上げをある程度経験した後にアビタスに入会したため、テキストの内容と日常業務を照らし合わせながら、実務と学習を重ね合わせる形で進めることができました。

学習は主に休日に集中して行いました。
実務で馴染みのなかったパート2のファイナンス領域やサンプリング手法などは非常に手こずりましたが、納得がいくまでインターネット等で調べ、自分の手でドキュメントやスプレッドシートにまとめ直して理解を深めました。自分で他人に説明できるレベルまで落とし込むことを、理解の基準としていました。

問題演習においては、アビタスの講義でのアドバイスに従い、単にスピードを上げて正解を選ぶのではなく、すべての選択肢について、なぜこれが正しいのか、なぜ他が間違っているのかを1問ずつ丁寧に確認することを徹底しました。

オンラインのMC問題は、制限時間のタイマーが動くため焦ってしまい、理解が中途半端なまま進んでしまう感覚がありました。
そのため、普段は電子テキストの問題集をじっくりと読み込むことに時間をかけ、MC問題は受験直前のスピード調整や時間配分の確認としてのみ活用しました。

最初の1周には途方もない時間がかかりましたが、この丁寧なアプローチが、結果的に最も効率よく本質的な理解を定着させる道だったと感じています。

浦野氏： 内部監査という仕事は非常に自由度が高いため、言われた通りに形式的なチェックだけを行って済ませることも可能です。
しかし、そのような受け身の姿勢では、上場後に内部監査部門が縮小されたり、廃止されたりするリスクを免れません。

内部監査部門が組織において真の価値を示し続けるためには、経営者に対して、この部門がなぜ必要なのかを自ら示していく必要があります。

そのために、CIAの学習を通じて得られる体系的な知識と国際基準の視点は、間違いなく強力な武器になります。
内部監査という仕事に主体的に向き合い、組織の成長に貢献したいと考えている方は、ぜひ挑戦していただきたいです。

浦野氏： 立ち上げ当初は私1名の体制でした。その後、証券会社からの指示もあり、他社での内部監査経験者を1名採用して2名体制となった時期もありました。

しかし、社内の他部署でリソースが不足したことに伴い、そのメンバーがサポート業務に回ることになり、現在は再び私1人の体制に戻って運営しています。1人で全社をカバーするのは大変ですが、効率的な仕組みづくりを意識して取り組んでいます。

浦野氏： 上場準備のプロセスにおいて、第2線（管理部門）が先行してリスク管理体制の構築を進めており、リスクコントロールマトリクス（RCM）などのリスク管理シートが作成されていたため、まずはそれらを参考にしました。

グローバル内部監査基準では、他部署の評価をそのまま受け入れるのではなく、内部監査室が独自にリスク評価を行うことが求められています。
しかし、1名体制でゼロからすべてを網羅することは物理的に不可能なため、会社全体の既存のリソースをうまく巻き込みながら進めています。

現在は、IIA（国際内部監査人協会）が提供しているリスク評価ツールなどを活用し、内部監査室独自のリスク評価の準備を進めている段階です。
ただし、財務報告以外の分野も含めて、各部署の業務記述書やフローチャートなどの3点セットが十分に揃ってこないと、具体的なリスクの焦点化が難しいため、まずはそれらの整備を他部署に促している状況です。

浦野氏： 講演の中で、AIを活用する手もあると言及しましたが、私自身は今回のチェックリストを手作業で作成しました。
日本内部監査協会のひな形を自社の業種や実態に合わせてカスタマイズする作業は、手作業で行うと非常に骨の折れるものでした。

一方で、日本内部監査協会の会誌『内部監査研究』に掲載されている、AIを利用した監査に関する論文などを読むと、最終的な人間のチェックは不可欠であるものの、現在のAIの精度であれば、実務で十分に活用できるレベルの監査プログラムやチェックリストを生成できるという感触を得ています。
私自身も、今後の実務におけるAIの活用可能性について、現在さまざまな実験や調査を行っているところです。

浦野氏： 弊社には約20の部署やグループが存在しており、それぞれの監査において、実際のヒアリングや実査に1〜2日程度を要します。

さらに、弊社はISMS（情報セキュリティマネジメントシステム）認証も取得しているため、その準拠性監査も並行して行う必要があります。
そのため、実質的にはその2倍の工数がかかっており、年間を通じて計画的に監査スケジュールを消化しています。

未経験、かつ1人という極限の状況から内部監査体制を立ち上げた浦野氏の実践知は、多くのスタートアップやIPO準備企業の担当者にとって、大きな希望となるものでした。

特に印象的だったのは、形式的なマニュアルを整えるだけでなく、COSOフレームワークなどの国際基準を自社サイズに刈り込んで活用する柔軟な姿勢です。また、CIAの学習を通じて自分の中にプロフェッショナルとしてのロールモデルを育てるというアプローチは、経験不足を補い、現場との対等な交渉を可能にするための極めて実践的な方法論であると感じました。

変化の激しいビジネス環境において、内部監査が形だけのチェックに終わらず、経営に資する価値を提供し続けるために、国際基準を学ぶ意義の大きさを改めて実感させられるイベントでした。