内部監査という仕事

• 決算書・勘定科目残高が会計基準・社内規程通りに処理されているかの検証
• グローバル内部監査基準(IIA=内部監査人協会が定める国際的な実務指針)に沿った年間監査計画の立案
• J-SOX(上場企業に義務付けられる内部統制報告制度)対応として、業務記述書・フローチャート・RCM(リスクコントロールマトリックス、業務のリスクとチェック体制を一覧化した表)といった「3点セット」と呼ばれる資料の整備状況のレビュー
• リスクアセスメント(会社全体のリスクを洗い出し、優先順位をつける作業)を踏まえた監査範囲の見直し
• 監査結果の経営層・監査委員会への報告

決算期以外の時期は、年間監査計画に沿った往査(現地に赴いての確認作業)と、リスクアセスメントの結果を反映した監査プログラム(監査の手順・範囲をまとめた計画書)の作成が中心です。往査当日は、午前に経理担当者へのヒアリングと証憑(取引の実態を裏付ける請求書・領収書などの書類)のサンプルチェック、午後は監査調書(確認した手続きと結果を記録する書類)への記録とリスク評価の更新、という流れが一般的です。上場企業では年間数十〜100件規模の取引・勘定科目をサンプル確認することもあり、決算期はレビュー件数が増えます。監査調書やリスク評価の集計にはExcel、経営層・監査委員会向けの報告資料にはPowerPointが使われ、CIA試験で学んだ内部統制のフレームワークを、実際の資料作成や報告の裏付けとして使う場面が多くあります。

• 資格取得をゴールと考え、その後の実務での知識更新に消極的な人
• 数字を作る側の仕事(経理の記帳・仕訳)を続けたい人
• 地道な書類確認や照合作業に飽きてしまう人

• 内部監査部門のマネージャー・室長、将来的にはCAE(内部監査部門の最高責任者)へ
• 監査法人・コンサルティングファームのアドバイザリー職への転身も

• 決算書・勘定科目残高が会計基準・社内規程通りに処理されているかの検証
• J-SOX対応として、業務記述書・フローチャート・RCM(リスクコントロールマトリックス、業務のリスクとチェック体制を一覧化した表)といった「3点セット」と呼ばれる資料の整備状況の確認
• 経理部門への往査(現地に赴いての確認作業)と、証憑(取引の実態を裏付ける請求書・領収書などの書類)のサンプルチェック
• 監査結果をまとめた監査報告書の作成、経営層・監査役への報告
• 外部監査(監査法人=公認会計士が所属し、外部から企業の会計を監査する組織による監査)との情報連携

決算期以外の時期は、年間監査計画に沿って対象部署を順番に回る往査が中心です。午前中に経理担当者へのヒアリングや証憑のサンプルチェックを行い、午後はその日確認した内容を監査調書(確認した手続きと結果を記録する書類)にまとめる、という流れが一般的です。上場企業では年間で数十〜100件程度の勘定科目・取引をサンプル抽出して確認することもあり、四半期決算・本決算の直前は決算数値のレビュー件数が増えます。監査調書やサンプルチェックの結果整理にはExcelでの数値集計・照合が欠かせず、経営層・監査役向けの監査報告書の作成にはPowerPointやWordでの文書構成力が求められます。

• 決算業務(記帳・仕訳作成)そのものを担当したい人(検証する側の仕事のため)
• 地道な書類確認より、対外的な折衝や交渉を中心にしたい人
• 成果がすぐに数字や売上として表れる仕事を求める人

• CIA(公認内部監査人)資格を取得し、より専門性の高い監査領域へ
• 内部監査部門のマネージャー・室長へ

• リスクアセスメント(会社全体のリスクを洗い出し、優先順位をつける作業)に基づく年間監査計画の立案・提案
• 営業拠点・工場など現場への往査、業務プロセスの評価
• グローバル内部監査基準(IIA=内部監査人協会が定める国際的な実務指針)に沿った監査手続きの設計
• 現地責任者へのヒアリングと、改善提案(勧告)のとりまとめ
• 前回監査の指摘事項に対するフォローアップ状況の評価

往査のある週は、CIA試験で学んだリスクアセスメントの考え方をもとに事前に監査プログラム(手順・範囲をまとめた計画書)を作成し、現地では午前にヒアリング、午後に証憑(取引の実態を裏付ける請求書・領収書などの書類)や現物の確認を行うという流れが基本です。年間の監査計画では国内外の拠点を数十拠点規模で回ることもあり、1拠点あたり1〜3日程度の往査期間が目安です。監査プログラムやリスク評価の整理にはExcel、経営層向けの監査報告書にはPowerPointが使われ、CIAで学んだ内部統制のフレームワークを、初めて訪れる拠点でも一定の型に沿って評価するための土台として活用します。

• 一つの業務領域にとどまって専門性を深めたい人
• 資格の知識だけで現場を判断し、実態確認を怠ってしまう人
• 出張や移動が多い働き方が負担に感じる人

• 内部監査部門のマネージャー・室長、将来的にはCAE(内部監査部門の最高責任者)へ
• リスクマネジメント・コンプライアンス部門への異動も

• 営業拠点・工場・物流センターなど現場への往査
• 業務プロセスが社内規程・マニュアル通りに運用されているかのチェック
• 現金・在庫の実査(実際に数えて帳簿と照合する確認作業)
• ヒアリングを通じた業務上のリスク・非効率の洗い出しと改善提案(勧告)の作成
• 前回監査で指摘した事項が改善されているかのフォローアップ

往査のある週は、午前に対象拠点へ移動し現地責任者・担当者へのヒアリング、午後は現金・在庫の実査や証憑(取引の実態を裏付ける請求書・領収書などの書類)のサンプルチェックを行い、その日のうちに気づいた点をメモにまとめる、という1日になることが多いです。年間の監査計画では、国内の営業拠点や工場を数十拠点規模で順番に回ることもあり、1拠点あたり1〜3日程度の往査期間が目安になります。実査結果や指摘事項の整理にはExcelでのチェックリスト管理、現地責任者への改善提案(勧告)や経営層向けの監査報告書の作成にはPowerPointやWordでの文書構成力が必要です。往査のない期間は、次回訪問先の資料の読み込みや、前回の指摘事項に対する改善状況のフォローアップに時間を使います。

• デスクワーク中心で、出張や移動の多い働き方を避けたい人
• 一つの業務・拠点にじっくり腰を据えて関わりたい人
• 現場から歓迎されにくい役回りにストレスを感じやすい人

• CIA(公認内部監査人)資格を取得し、監査領域を横断的に担当する立場へ
• 内部監査部門のマネージャー、または現場の業務改善・企画部門への異動も

• リスクアセスメント(会社全体のリスクを洗い出し、優先順位をつける作業)に基づくIT監査計画の立案(対象システム・優先順位の決定)
• ITGC(IT全般統制、システム全体に関わる統制)、アプリケーション統制(個別システムの入力・処理チェック機能)の評価
• クラウドサービス・外部委託先も含めたシステムリスクの洗い出し
• 情報セキュリティインシデント(不正アクセスや情報漏えいなどの事故)への対応体制の評価
• 監査結果の経営層・CISO(最高情報セキュリティ責任者)への報告

監査計画の策定期間はリスクアセスメントを行い、往査(現地に赴いての確認作業)期間は情報システム部門へのヒアリングとログ・設定データの確認が中心です。午前にヒアリング、午後にアクセス権限一覧やログデータをExcelで突き合わせるという流れが基本で、上場企業では基幹システムを含む数十システムを対象にすることもあります。CIAで学んだリスク評価のフレームワークを使ってシステムごとの優先順位付けを行い、監査結果は監査調書(確認した手続きと結果を記録する書類)に記録した上で、経営層・CISO向けの報告資料をPowerPointで作成します。CIAの知識とIT特有の技術理解の両方が求められる分、両者を橋渡しする役割になることが多いです。

• IT技術の学習を継続することに負担を感じる人
• 会計・業務プロセス寄りの監査に専念したい人
• 経営層への報告より、技術的な深掘りだけに集中したい人

• CISO(最高情報セキュリティ責任者)、情報セキュリティ部門の責任者へ
• 内部監査部門のマネージャー・室長へ

• ユーザーIDの発行・削除手順や退職者アカウントの削除状況など、アクセス権限管理の検証
• パスワードポリシーやシステムのアクセス制御設定が社内規程通りに運用されているかの確認
• システム開発・変更管理プロセス(誰が承認し、どう記録されているか)の検証
• J-SOX(上場企業に義務付けられる内部統制報告制度)対応として、ITGC(IT全般統制、システム全体に関わる統制)の評価
• 情報セキュリティ対策(バックアップ・ログ管理等)の運用状況の確認

往査(現地に赴いての確認作業)のある期間は、情報システム部門の担当者へのヒアリングと、システムのアクセスログ・設定画面の確認が中心になります。午前中にヒアリングで運用ルールを確認し、午後は実際のアクセス権限一覧やログデータをExcelで突き合わせて、規程通りに運用されているかをチェックする、という流れが一般的です。上場企業では基幹システムを含む数十システムを対象に、年間を通じてITGCの評価を行うこともあります。確認した手続きや発見事項は監査調書(確認した手続きと結果を記録する書類)としてまとめ、改善提案の報告書作成にはPowerPointやWordを使います。情報セキュリティの知識だけでなく、開発・運用の現場感覚があると、担当者への質問の解像度が上がります。

• 手を動かしてシステムを作る仕事を続けたい人(検証する側の仕事のため)
• 会計・業務プロセス寄りの監査より、コードを書く仕事がしたい人
• 地道なログ確認・照合作業に飽きてしまう人

• CIA(公認内部監査人)資格を取得し、IT監査の専門性をさらに強化
• 情報セキュリティ・リスクマネジメント部門の責任者へ

• グローバル内部監査基準(IIA=内部監査人協会が定める国際的な実務指針)に沿った海外拠点向け監査計画の立案
• 海外子会社への往査(現地に赴いての確認作業)、現地責任者への英語でのヒアリング
• 各国拠点の内部統制状況を横並びで比較評価するための共通評価軸の運用
• 現地の法規制・商習慣を踏まえたリスク評価
• 監査結果の本社経営層・グローバル本部への英語・日本語での報告

海外出張のある週は、CIAで学んだ標準的な監査プログラム(手順・範囲をまとめた計画書)をベースに、現地の状況に合わせて調整した上で往査に臨みます。午前は現地責任者・経理担当者への英語でのヒアリング、午後は証憑(取引の実態を裏付ける請求書・領収書などの書類)・現物確認、というのが基本の流れです。出張は目安として月1回程度〜隔月1回のケースがあり、1回の出張で1〜2週間、複数拠点をまとめて回ることもあります。各国拠点の評価結果はExcelで共通フォーマットに整理し、横並びで比較できるようにした上で、本社経営層・グローバル本部向けの報告資料を英語・日本語両方でPowerPointを使って作成します。CIAの知識体系が、拠点ごとに異なる商習慣の中でも一定の評価軸を保つための土台になります。

• 資格の型を機械的に当てはめるだけで、現地の実態確認を怠ってしまう人
• 長期の出張や不規則なスケジュールを避けたい人
• 一つの拠点・言語圏だけに集中して深く関わりたい人

• グローバル内部監査のマネージャー、将来的にはCAE(内部監査部門の最高責任者)へ
• 海外駐在を伴う経営管理職への転身も

• 海外子会社への往査(現地に赴いての確認作業)による内部統制の検証
• 現地の経理・業務担当者への英語でのヒアリング
• 本社基準と現地の会計処理・業務プロセスとのギャップの洗い出し
• 現地の法規制・商習慣を踏まえたリスク評価
• 監査結果を英語・日本語両方でとりまとめ、本社・現地双方への報告

海外出張のある週は、現地に到着後すぐに現地責任者・経理担当者への英語でのヒアリングを行い、午後は証憑(取引の実態を裏付ける請求書・領収書などの書類)や現物の確認、夜は翌日の質問事項の整理、という1日になることが多いです。出張は目安として月1回程度〜隔月1回のケースがあり、1回の出張で1〜2週間、1〜3拠点程度をまとめて回ることもあります。現地でのヒアリング内容や確認結果は英語でメモを取り、帰国後にExcelで整理して、本社向けの監査報告書は日本語、現地拠点向けのフィードバックは英語で作成する、という二重の言語対応が発生します。時差のある拠点とのメールやオンライン会議の調整も日常的な業務です。

• 長期の出張や不規則なスケジュールを避けたい人
• 語学力の維持・向上に継続的に取り組むことが負担な人
• 一つの拠点にじっくり腰を据えて関わりたい人

• CIA(公認内部監査人)資格を取得し、国際資格としての専門性を強化
• グローバル内部監査のマネージャー・海外駐在ポジションへ