「え、先週、提出したばかりなのに……」
期末の取締役会に有価証券報告書と内部統制報告書を重要事項として報告・上程し、EDINET（金融庁の電子開示システム）へのアップロードを無事見届けた直後。ホッとしたのもつかの間、翌週、社内のある部署から前年度の決算数値に関わる記載内容誤りの懸念が報告され、一気に冷や汗が吹き出した。
現場の内部監査人や経理担当者なら、一度はこんな背筋の凍るような経験があるのではないでしょうか。
内部監査人として、限られたリソースと期間の中でJ-SOXの評価手続きを漏れなくこなし、「有効」と結論づけた。やれることは全部やりきった。しかし、もしこの有報のミスが、自分たちが「有効」と評価したはずの範囲内の不備に起因するものだとしたら、「内部統制報告書の訂正（有効から『有効でない』への転落）」という最悪の事態に波及しかねません。心穏やかでいられないのは当然です。
さらに追い打ちをかけるように、経営者や内部監査人にとって耳の痛い実証データがあります。『月刊監査研究』2022年2月号の吉田健一郎氏の論文によれば、2018年から2020年の3年間において「内部統制報告書の訂正報告書」を提出した上場企業95社のうち、実に80%にあたる76社で、提出から約半年後の株価変動指数※が日経平均をアンダーパフォーム（下回る）していたという調査結果が報告されています。
※株価変動指数：対象95社の株価終値をその日の日経平均で割った値を、訂正報告書の提出日に1.00となるよう基準化し、提出日から第120営業日（約半年後）までの推移を追った指標。
もちろん、株価は様々な要因で変動するため、J-SOXの評価の甘さや訂正報告書の提出だけが株価劣後を誘発したという直接的な因果関係を証明することは困難です。実際には、根底にある業績悪化やガバナンス不全など様々な要因が複雑に絡み合っているはずです。
しかし、一度「有効」と報告しておきながら、後から不正や誤謬が発覚して「やっぱり有効ではありませんでした」と訂正する事態が、市場からの信頼（株価）に深刻なダメージを与える傾向があるのは紛れもない事実です。
本当に、私たちのJ-SOX（財務報告に係る内部統制）は機能しているのでしょうか。毎年、前年を踏襲して同じような手続きを繰り返す「形式的な監査」に陥り、組織に潜む「真のリスク」を洗い出せていないのではないか。
毎年同じような証憑提出やチェック作業を依頼されてうんざりしているのは、現場の事業部門だけではありません。監査する側である内部監査人もまた、前年通りの手続きをなぞるだけの作業に「専門家としての成長実感が持てない」「これで本当に不正や重大なリスクを拾えているのだろうか」と強いジレンマを感じているのがリアルな実態です。
この「やらされ感」と「形骸化」の構造にどう立ち向かうべきか。いまも完全な答えを持てずにいますが、日々の実務を通じて得た私なりの気づきを、ここで共有したいと思います。
「形骸化は構造の問題だ」と私が気づいた瞬間
制度への違和感を抱えつつもうまく言語化できずにいた私が、あるやりとりをきっかけに「J-SOXの形骸化の正体」に腑に落ちたことがあります。
ある事業会社で内部監査マネージャーに就任し、上期の業務プロセス統制の評価手続きの時期がやってきたときのことです。内部監査室に配属されて間もない若手の部下は、早々に前年度のJ-SOX関連データをコピーするメンテ作業から取りかかっていました。前年と同じ業務記述書、前年と同じリスク・コントロール・マトリクス（RCM）、そして前年と同じ「25件」のサンプル抽出。違うのは年度の数字だけです。
その時、部下が声をかけてきました。「マネージャー、これ、去年と同じやり方でいいですよね？」
新任マネージャーだった私は当初、この言葉を聞いて「なるべく機械的に、単なる作業として終わらせたいのだろうか」と感じました。しかし、対話を重ねる中で、部下の真の意図はそこにはないことに気づきます。部下は「J-SOXという制度のもとでは、一度監査法人と合意した評価範囲やサンプル件数を、現場の判断で勝手に変更することはリスクが高い（できない）」という事実を確認したかったのです。
私は翌朝、机の上に去年、2年前、3年前の調書を並べてみました。3年分の調書は、形式上はすべて完璧に整っていました。手続きの記載も、サンプル件数も、評価結果の「有効」という結論も、パッと見はまるで判子を押したように同じです。
実務の現場では、毎年、限られた期間内に少人数で大量の証憑を収集し、評価しなければなりません。時として現場のビジネスに新たなリスクの気配を感じたとしても、監査法人へ新たなリスク評価を提示し、ゼロから協議をやり直す工数は膨大です。その負担を天秤にかければ、結局は「説明しうる理屈」を見いだし、それが適切であると信じ込み、前年度と同様の手続きで着地させてしまう。これが現場のリアルな一面でもあります。
従来の実務では、評価作業の工数削減や外部監査人とのやり取りの平易化を優先し、「売上高のおおむね2/3」や「売上・売掛金・棚卸資産の3勘定」という選定基準を機械的・画一的に適用するアプローチが定着していました。
しかし当然ながら、会社の成長や事業環境の変化とともにリスクも刻々と変化します。実際に、過去の評価手続や評価結果が前年度と同じで相違がないから「内部統制は有効」とするようなマンネリ化や、機械的・形式的すぎる実務が、内部統制報告制度の形骸化の要因として強く指摘されるようになりました。
こうした形骸化を打破するため、2023年4月に改訂された内部統制基準（2024年4月以降適用）では、売上高2/3や3勘定といった基準を機械的に適用すべきではない旨が明記されました。さらに、長期間にわたり評価範囲外としてきた特定の事業拠点や業務プロセスについても、評価範囲に含めることの必要性の有無を定期的に考慮することが明確化されました。
とはいえ、基準が変わっても、あの朝に調書を前にして感じたJ-SOXの構造そのものが変わるわけではありません。監査法人から提供された新たなツールを使い、リスクアプローチの観点を含めた議論を行ったとしても、これを毎年、限られたリソースのなかで「仕組みとして漏れなくカバーする」運用を実効性をもって回すのは、極めて高いハードルです。
内部統制の評価は、本来、組織の持続的成長のために不備を直し改善を図るためのものです。それがいつの間にか「監査法人の監査を通すこと」自体の目的化にすり替わると、どうしても形式的な対応に陥ってしまいます。
「J-SOXの形骸化には、個人の意識だけでは抗えない構造がある」。その感覚を、私はあの時初めて実感しました。
誰も手を抜いているわけではありません。皆、真面目に、誠実に、限られた時間の中で手続きを回しています。それでも、本当に見るべきリスクだけが、いつの間にか取り残されていく。部下との何気ないやり取りは、そんな現実を私に静かに突きつける出来事でした。
制度疲労の3段階：気づかぬうちに、観点が落ちていく
あの過去の3冊の調書を片付けたあと、私はしばらく会議室のホワイトボードの前で考えを整理しました。観点が脱落するのは、いつから始まっていたのか。3年前の自分は、なぜ気づかなかったのか。3年前の自分は、たぶん「気づかなかった」のではなく「気づく必要のない仕組みに守られていた」のだろう、と。あの問いが、ここから先の話に繋がっていきます。
J-SOXが2008年に適用開始されてから、2026年現在、すでに約18年が経っています。J-SOX導入後を3段階に分けるとすると、導入直後の①厳格適用期、効率化を進めた②合理化期を経て、いま多くの企業が③形骸化期に入っている、というのが私の感触です。
評価時点では様々な論点を整理するものの、最終的には、指摘の改善計画が提出されれば「完了」扱いになる、リスクマップは前年とほぼ同じ、評価範囲は売上3分の2基準で機械的に決まる。どれも単体では合理的に見えますが、3つが揃うと、組織は「動いている形」を保ったまま、中身が抜け落ちていく感覚も否定できません。
『月刊監査研究』2023年12月号の堀江正之氏の「改定内部統制基準と内部監査に期待される役割」の記事において、評価を単に「手続き」として捉えてしまう運用そのものが形骸化の真因だと、氏は指摘しています。前年度と同じ範囲・同じ手続・同じ結果だから「有効」と判定する。この思考停止が、評価作業の自己目的化を生む、という論です。
読みながら、3年分の調書を並べたあの朝の机のことを思い出していました。評価は本来、より良い内部統制への改善を図っていくための手段のはずです。けれども手続化が進むと、目的と手段が入れ替わってしまうリスクがある。堀江氏が言葉にしているのは、私が現場で見ていた風景の輪郭でした。
ちょうど同じ頃、私は藤井範彰氏の「内部監査シンドローム」という命名に出会いました。当時の私が抱えていた違和感の輪郭が、この一語で具現化できた気がしたのを覚えています。前任者の手続きを踏襲する監査人と、形式的に対応する被監査部門。両者が互いに摩擦を避けようとした結果、負のスパイラルが回り始めると、という捉え方です。
監査部門、被監査部門の両方の経験がある私には、できれば限られた人的、時間的リソースの中でなんとか完結したい内部監査部門、個人の業績や評価にも直結しづらい新しい仕事を増やしたくないという被監査部門の偽らざる本音がにじみ出ていると感じました。これは両者の関係性そのものがなるべくして形骸化している感覚です。
内部監査部門の指摘が、被監査部門にとって新しい気づきや視点として有益であれば、両者の関係性は自ずと改善していきます。しかし形式的なチェックが主になると、その信頼は育ちにくい。そこに、関係性が形骸化する構造があります。
少し話が逸れますが、私がCIA試験を学習しはじめた頃、「内部統制の限界」の章を読んだとき、理屈はわかっても目の前の実務になかなか当てはめづらい感覚を覚えました。担当者の不注意や共謀、環境変化や非定型的取引、費用対効果、そしてマネジメント・オーバーライドという4つの限界です。※なお、2023年の基準改訂ではこれらに加え「経営者以外の現場責任者による無効化」も明記されています。
試験対策のために覚えた論点そのままの不正等を、現場で目のあたりにする機会がなかった、あるいはそこまで深く気付く視点を持ち合わせていなかったという理由もあるかもしれません。この4つの限界を感じ取ることができたのは、ある事業会社で内部監査を数年経験し、形骸化期に入った状況を見たときだと思います。
手続きは整っている、文書は揃っている、結論も「有効」と書ける。それでも財務報告のどこかに穴が空いていてもおかしくない、という感覚がありました。効果に比べてコストが上回ると判断された統制が静かに省かれ、誰も無効化したつもりがないまま、いつの間にか統制だけが抜け落ちていくという感覚は、形骸化期の組織でこそ露わになると感じています。
ここまで書いてきて、私の中に残るのはシンプルな問いです。3段階のどこかで、誰かが手を抜いたわけではない。皆、誠実に仕事に向き合っていました。ただひとつ、「今期のリスクは、本当に去年と同じか」。その問い直しだけが、気づけば薄れていたように感じています。
では、なぜ止まったのか。制度がそもそも現場に合っていなかったのか。それとも、現場の運用が形式に流れていったのか。この問いに、私はまだ答えを持てていません。
「制度の問題」か「運用の問題」か：どちらでもなく、どちらでもある
「なぜ止まったのか」。このJ-SOXの形骸化を論じるとき、専門家の意見は大きく二つに分かれます。「制度設計がそもそも日本に合っていない」とする立場と、「制度は問題ない、運用が悪い」とする立場です。
前者の「制度と風土のミスマッチ」を指摘する見方は、私の中に長く残ってきました。全社統制の質問項目に「経営者から達成困難な非現実的な目標を与えられているか」という設問があります。和や人間関係を重んじる日本の組織風土で、事業部長が「はい」と答えることは実質的に不可能だと感じます。
こうした指摘に触れたとき、私は自分が現場で何度も感じていた「あの質問項目に対する違和感」を、背後から言い当てられた気がしました。US-SOXをそのまま輸入したことによる風土ミスマッチであり、現場の運用者の努力ではカバーできない、という主張です。
一方、後者の立場は、制度の趣旨を正しく理解せず、評価作業自体が自己目的化している現場の運用こそが問題だ、と指摘します。結論ありきで進む「開示すべき重要な不備はありませんでした」型の運用が形骸化の真因である、という見方です。
こうした現場の形骸化を戒める議論に触れながら、私は自分の評価手続き業務に関わり始めた頃に書いた評価調書の最終ページを思い出していました。「不備なし」をあたかもゴールのように捉えて、そこに向かって手続きを並べていたあの感触。あるべき論として後者の側に立ちながら、一人の実務家として前者の側にも片足を残している自分がいました。
私はこの2つの論点のどちらにも、立場を決めることができませんでした。前者は説得力がある一方で、「では風土を変えるのか、制度を変えるのか」という出口が遠く感じられました。後者は実務的な処方箋として有効に見える一方で、「運用を改善すれば本当に止まるのか」という確信が私には持てませんでした。この二項対立は私の机の隅に置かれたままでした。
これらの論点を整理するきっかけとなったのはオンラインMBAでリーダーシップ関連の科目を取ったときです。ある自己診断ツールを使い、7特性の自他比較をしました。私の「曖昧さ耐性」の数値は、最適範囲22〜26に対して14以下と、自他の評価がともに低い値で一致していたのです。
正直、あの数字を見たとき、痛いところを突かれたなという感じでした。内部監査人として致命的な弱点を、客観的な数値として突きつけられた瞬間でした。同時に、もうひとつのことに気づいてしまいました。「制度か、運用か」のどちらか一方に答えを求めようとしていた当時の私は、二者択一でない答えを持つことに耐えられず、無意識にどちらかを選ぼうとしていたのです。
この論点の見え方が変わったとき、見えてきたのは論争ではなく、自分の物事の捉え方の弱さでした。
数字を見たあと、私の中で立論の置き場が変わりました。「制度」でも「運用」でもなく、その間にある「運用設計」というレイヤーが見えてきたのです。制度は所与として動かしにくいものです。運用は人が手を動かす作業の集合体です。両者をつなぐ「変化するリスクに合わせて、どこを重点的に、どれくらいの頻度でチェックするかを見直す」という設計の層が、私の見てきた範囲では脱落しているように感じられます。
制度設計に欠陥があり、運用は手続化していく。変化するリスクに合わせて、毎期意思を持ってチェックの重点や頻度を見直している現場は、私の経験ではそう多くはないというのが実感です。端的に言えば、運用設計の部分が脱落している、ということなのかもしれません。
そして、これが「形骸化は構造の問題だ」と感じた、あの違和感の正体だったのだと思います。形骸化が構造的だというのは、制度のせいでも個人のせいでもなく、制度と運用のあいだにある「運用設計」という層が、誰の持ち場でもないまま脱落している、その構造を指しています。制度そのものは所与で動かしにくくても、この運用設計の層だけは、現場の意思で動かせる構造です。だから私は、ここに手をかける意味があると感じています。
形骸化を再構築する6つの観点：統制環境からITへの対応まで
「運用設計を立て直す」と言っても、どこから手をつければよいかが見えなければ、現場はなかなか動けないものです。そこで、日本の内部統制基準における6要素を下敷きにしつつ、私がこれまでの経験から「ここを動かせば現場が変わるのではないか」と感じてきた6つの観点について、順に整理してみたいと思います。
1点目は、統制環境です。教科書などでは「Tone at the Top（トップの姿勢）」と一言で表されますが、現場の感覚としては「悪い数字を報告したときに、詰問から始まるような風土かどうか」という、観察可能な事象に翻訳できるような気がしています。
近年多発している大規模な不祥事を「企業風土型不正」と指摘する専門家も少なくありませんが、現場が悪い情報を上げにくい組織では、J-SOXの運用評価がどれほど精緻に行われていたとしても、経営者や現場責任者によって内部統制が「無効化」されてしまう危険性が、どうしても残り続けます。
統制環境を監査するということは、単なる規程の有無を確かめることではなく、実際の会議などで「悪い数字を最初に出した人」がその後どのように扱われるかを観察することに近いのではないか、と私は受け止めています。
2点目は、リスクの評価と対応です。ここは2024年適用の改訂基準が最も深く踏み込んだ領域でもありました。
売上高などの「おおむね3分の2」という数値基準を機械的に適用することは、今回の改訂で明確に戒められています。経験的に言っても、3分の2基準だけで評価範囲を決めている現場では、特に海外子会社が抱える質的リスクや、新規事業特有のプロセスリスクからは構造的に漏れ落ちてしまうことが多いように感じます。
改訂基準が求めているのは、金額的重要性に加えて、発生可能性と質的影響の双方を勘案する、本来の意味でのリスクアプローチです。
言葉にするのは簡単ですが、毎期ごとに「なぜこの評価範囲にしたのか」という決定根拠を1ページにまとめ直す作業を、しっかりと毎期、制度化し運用することはなかなかハードルが高いというのが実感です。
ここまでの2つは、評価の「入り口」を整えるお話でした。ここから先は、評価そのものの中身に手を入れるフェーズとなります。
3点目は、統制活動です。藤井氏は著書『監査報告書の指摘事項と改善提案』のなかで、内部監査の改善提案をA・B・Cの3種類に分類しています。
A提案は「あるべき統制がない場合の整備提案（新設）」、B提案は「デザインに問題がある場合の見直し提案」、C提案は「整備されている統制が運用されていない場合の確実な運用提案（徹底）」です。
お恥ずかしい話ですが、自分のことを振り返ると、このC提案に偏っていたように思います。書きやすく、明確で現場との摩擦も少ないからです。
3年経ってある同じ部署を再監査したときを振り返ると、かつてC提案で出した指摘は、改善計画書に沿って確かに実行されていました。現場は言われた通りに「運用の徹底」を頑張ってくれていたのです。
ところが、業務の実態に合わないルールを現場の気合と注意深さだけでカバーさせた結果、現場が疲弊し、今度はそれに付随する新たなエラーや別の課題がモグラ叩きのように発生している現実に直面しました。
根本的なルールの見直し（B提案）や新しい統制の構築（A提案）に踏み込まず、現場の努力に依存する「C提案」ばかりを連発することは、結果的に形骸化と現場の疲弊を加速させてしまうという構図がそこにあったのです。A・B・Cの提案は、どれが多すぎても少なすぎても、運用設計を歪めてしまうのかもしれないという学びを得ました。
4つ目は、情報と伝達です。本来、内部統制における「情報と伝達」とは、現場の必要な情報が正しく把握され、組織内外に適切に伝えられることを指します。しかし、形骸化期の組織では、このパイプが最も深刻な機能不全に陥ります。
冒頭に触れたサンプリングのお話に少しだけ戻らせてください。あの朝、机に並べた3年分の調書から見えてきたのは、現場の業務実態が変化しているにもかかわらず、前年踏襲の「形だけの記録」がそのまま監査部門に上がり、私たちもそれを疑わずに外部の監査法人へ横流ししているという、完全な「情報の目詰まり」でした。
私がまず始めようと思ったことは、サンプル件数を機械的に増減させることではなく、「生きた情報の把握と伝達」のパイプをゼロから組み立て直すことでした。
業務フローを上流から下流まで改めて図示し、他部署のスタッフにヒアリングを行って、隠れていたボトルネックや現場のリアルな実態（生きた情報）を正しく識別・把握する。そのうえで監査基準の解釈を再検証し、事実をもって外部の監査法人と真正面から交渉（外部伝達）を重ねました。
これまで個々の取引種類ベースで細分化して評価していたものを、生きた情報に基づいて共通の主なリスクを洗い出し、横断的にカバーできる評価体制へと再構築したのです。その結果、実務の負荷においてもサンプリング件数を1割強削減でき、部下の年間残業時間も一人あたり数時間規模の削減という成果に落ち着きました。
数字だけを見れば、ごく小さな改善だったかもしれません。しかし、あの一連の作業を通じて私の頭に強く残ったのは、削減幅の大きさではなく、「3年間、現場の生きた情報が更新されないまま、監査法人との対話も深まらず、ただ前年踏襲という『形だけの記録』が引き継がれてしまっていた」という事実に対する気づきの方でした。
情報と伝達のパイプが死んでしまえば、毎期、新しいリスクが発生していないか洗い出すという運用設計は、途端に止まってしまうことを実体験で感じました。
5つ目は、モニタリング（監視活動）です。2024年の基準改訂では、内部監査が経営陣に対してだけでなく、取締役会や監査役等への直接的な報告経路を確保する「デュアル・レポーティング」の重要性が明記されました。
いわゆる3ラインモデルで言えば、第3線（内部監査部門）が第1線・第2線と並列に機能しつつ、独立した経路で取締役会等へ情報が届く構造をつくるということです。
ただ、ここで現場の実感として感じることは、レポーティングラインを増やすこと自体が目的化してしまうと、現場の「監査疲れ」をさらに進行させてしまうリスクがあるという点です。
実際に私の見聞きしてきた範囲でも、法定監査に加えて、第2線（管理部門）による各種モニタリングや、第3線（内部監査部門）による監査、さらにはJ-SOXの定期的な評価など、何層ものチェック機能が現場で複雑に交錯し、過度な重複が生じている組織は多く存在します。
重複を整理しないまま、単純にレポーティングラインだけを増やしてしまうと、被監査部門は何度も同じ説明を求められることになり、本来の現業に時間を割けなくなってしまいます。
まずはCSA（統制自己評価）などの手法をうまく組み込みながら、第1線・第2線・第3線の役割分担をあらためて再定義することが、モニタリングの実効性を高めるうえでの「最初の手当て」になるのではないかと私は感じています。
6つ目は、日本の基準において独立した要素となっている、IT（情報技術）への対応についてです。『月刊監査研究』2025年6月号に掲載された「J-SOXにおけるIT統制の見直しに関するアンケート調査」によると、38%（104名のうち39社）の企業がサイバーリスクに関する評価項目の追加を検討していると報告されています。アンケートの数字としては妥当な結果に見えます。
ただ、実際には「検討している」段階にとどまっており、具体的な実装にまで至っていない企業が大半を占めているのではないか、という印象も感じます。
システム環境のクラウド化やアジャイル開発が急速に進むなかで、旧来のオンプレミスやウォーターフォール開発を前提としたIT全般統制（ITGC）がそのまま温存されている現場も少なくないと思われます。
そうした状況下では、いくら評価項目だけを追加したとしても、評価する側の専門性が追いつかず、結局は「追認」に近い運用が続いてしまうおそれがあるように感じられます。
結局のところ、自社を含むグループ会社や外注業者などで、実際にサイバーセキュリティのインシデントが発生してはじめて身近な「自分ごと」として受け止められ、経営陣の号令によって半ば強制的に具体的なアクションへと進むというのが、多くの組織の現実なのかもしれません。
ここで挙げた6つの観点は、決して目新しいものではありません。どれも基本として教科書に書かれていることですし、専門誌でも繰り返し論じられているテーマです。
それでもなお、「毎期、確かな意思を持ってこの6つの観点を現場に配置し直しているか」と問われれば、そう胸を張れる組織は決して多くはないと思われます。
そして、まさにその一点にこそ、内部統制が形骸化してしまう構造的な原因が潜んでいるように感じます。
それでも残る死角：組織風土とTone at the Top
ここまで6つの観点をまとめてみて感じたことは、安堵感ではなく、なんだか別の重たい感覚でした。「この6つの観点で運用設計を組み直せば、形骸化は本当に止まるのか？」現場感覚として私の率直な実感は、「半分は防げるかもしれない。でも、もう半分はどうしても届かない領域がある」というものです。今回は、その「届かない領域」について、少しだけ本音を書いてみたいと思います。
いまも忘れられない、ある拠点監査でのことです。私は、業務プロセスに明らかな課題を見つけました。担当者は、以前のプロジェクトで一緒に汗を流した、よく知る相手でした。ヒアリングの終盤、彼から暗にこう言われました。「いま現場で対処中の事案だから、経営層向けの報告からは外してもらえないか」と。
添えられた理由も、執行側に長くいた私にとっては痛いほどよくわかる内容でした。「影響額もまだざっくりしているし、今現場で改善計画を作っているところだ。このタイミングで経営層に報告を上げると、かえって現場の動きが止まってしまう」。どれも、表面的にはもっともらしい理屈に聞こえました。
あのとき、私の中で「都合のいい理屈づけ（確証バイアス）」が動き出すのを感じました。専門家も指摘していますが、内部監査には、相手がかつての仲間や顔なじみだと、独立性や客観性が吹き飛び、途端に評価が甘くなってしまうリスクが常に潜んでいます。本当は報告すべきなのに、関係性や相手の事情を言い訳にして「相応の理由付けをして見送ろう」と自分を納得させようとする傾向です。
私はこの傾向を、自分自身の致命的な弱みとして自覚しています。「対処中だから」「まだ確定していないから」「現場で頑張っているから」これらはどれも、本当は自分の判断を先送りするための言い訳だった気がします。お世話になった先輩格の相手から丁寧にお願いされると、私の中では「先送りするための言葉」がすぐ口を出てきそうになります。
単なる能力不足という見方もできますが、現場と誠実に向き合おうとすればするほど発火しやすい、人間としての避けがたい「性（さが）」のようなものでもあるというのが、今の私の理解です。
最終的には監査基準に立ち戻り、組織や人を熟知した上長の協力も得て、現場責任者と共に論点を整理し、私のチームは適切な指摘と開示を行いました。「短期的な波風を避ける」ことよりも、「プロフェッショナルとしての長期的な信頼（客観性を保つこと）」のほうが重いと判断した結果です。
けれども、あのとき判断の過程で私の中に生じた心の揺れである「報告から外してもいい理屈を、いくらでも作れてしまう自分」という存在は、先ほどの「6つの観点」といった運用設計のレイヤーだけでは、どうしても捕まえきれない問題だと今でも感じています。
組織の風土や「Tone at the Top（経営陣の姿勢）」を本気で変えるには、内部監査人一人の努力では届かない領域が必ずあります。経営陣との本質的な対話や、場合によっては役員報酬決定プロセスの透明性まで含めた、もっと大きな枠組みでの「設計」が必要になると考えます。
先ほどの6つの観点が「動かせる構造」だとすれば、組織風土やTone at the Topは、そのさらに奥にある「動かしにくい構造」なのだと思います。同じ構造の問題でも、層によって手の届き方がまるで違う。この記事で示した6つの観点で届くのは、あくまで手前の層までだということは、正直に書いておきたいと思います。
このブログをお読みいただいている皆様の組織では、「現場の情に流されそうになる自分」という内部監査人特有のバイアスについて、チーム内で率直に議論する機会はあるでしょうか？ルール化が難しい人間臭い揺らぎだからこそ、評価のブレを防ぐための定期的な目線合わせや、客観性を維持するための行動基準が、皆さんの現場の実務ガイドラインの中に組み込まれているでしょうか？
次回の監査に向けて、評価計画書のどこを書き直すか
問いを開いたままにしておくと、私自身、次のアクションにつなげづらいため、これまでの学びと葛藤の中から得たことを整理し、具体的なアクションとしてここに置いておきたいと思います。
かつて「監査結果を報告しても変化を起こせている実感がない」という焦燥感に駆られていた私が、評価計画書にたった1行を書き加えるとしたらどこか。振り返ってみて、以下の「3つのポイント」にまとめました。
1つ目は、評価範囲決定の根拠を1ページに言語化してみることです。これは観点2のリスク評価に対応します。売上の3分の2基準だけで機械的に決めていないか、海外子会社や新規事業の質的リスクをどう加味したか、前年からの変更点とその理由は何か。この「1ページの再構築」を少なくとも年に1回更新する取組みを始めることで、気がつけば評価範囲が「前年踏襲」という引力から少しずつ離れていくのを感じます。
また、客観的に言語化するプロセスを経ることで、組織の姿勢の片鱗であったり、内部監査部門が組織とどう向き合おうとしているのか、監査のスタンスそのものを再確認できると思います。
2つ目は、過去の監査報告書を取り出して、藤井氏のA提案（統制の新設）、B提案（デザインの見直し）、C提案（運用の徹底）で分類してみることです。観点3の統制活動に対応します。分類してみて初めて、自分の調書がいかに「C提案（運用の徹底）」に偏っているかという現実に直面することになるかもしれません。
この作業は、自分の監査の「癖」と、運用徹底ばかりを求める指摘で年次サイクルを回してしまっていたことに気づかされる、身につまされる思いがする反面、価値のある作業になるはずです。
3つ目は、サンプル抽出とデータ分析（全量検証）の境界を1ページに書き出してみることです。これは、観点4「情報と伝達」で触れた「サンプリングの再構築」と、観点6の「ITへの対応」を繋ぐアクションになろうかと思います。
今後、監査の世界でもAI活用が徐々に進むであろう中で、現場の生きた情報を把握するために、どの統制を従来のアナログなサンプリングで見て、どれをCAATなどのデータ分析を用いて網羅的に検証するのか。その境界の根拠は何か。基準改訂やシステム投資によって、その境界線はどう移動していくのか。
これを言語化する作業は少し骨が折れるかもしれませんが、一度書き残しておくだけで、来年の自分が無自覚に「前年とまったく同じ手続」を繰り返してしまう罠から、確実に救ってくれるはずです。
もちろん、それぞれの内部監査部門のリソースの制約もあり、いきなり全部を同時に始めることは難しいかもしれません。ただし、この3つのポイントを意識し、できるところから実践してみる。この小さな一歩こそが、来年の自分に対する確かな「申し送り」になるのだと、一連の学びを通じて気づくことができました。
まとめ：正解のない「問い」を抱えながら
ここまで書いてきて、私が一番お伝えしたかったのは、内部統制の形骸化を「現場の個人の怠慢」や「制度自体の限界」のせいにして片付けないでほしい、という思いでした。
毎期、新たなリスクの洗い出しに意思を持って取り組む。その現場の取組みが止まったとき、組織は少しずつ硬直化し、静かに「形骸化」の時期に入っていくような気がしています。私たちが動かすべきは、個人の精神論でも大規模な制度改正でもなく、その中間にある「運用設計」という構造のレイヤーなのではないでしょうか。
今回、6つの観点を提示させていただきましたが、これが完成形だとは、私自身も思っていません。本稿の途中でも触れたように、経営陣の姿勢（Tone at the Top）や組織風土といった「目に見えない要素」を、いかにして具体的な運用設計の中に落とし込んでいくかについては、私の中でもいまだに明確な答えを出せずにいる「問い」のままです。
内部監査の現場で積み重ねてきた経験というのは、どこでも通用する「絶対的な正解」というよりも、これから先、不確実な環境の中でそれぞれの組織に最適な答えを探り当てるための「手がかり」や「道しるべ」のようなものなのかもしれません。
冒頭で挙げた80%という数字、訂正報告書提出後に日経平均を下回った95社中76社というデータに、もう一度戻ってみます。あの80%は、あくまで訂正報告書が出た「後」の結果にすぎません。しかし、訂正報告書が出る前の数年間、その会社は疑いなく「有効」と評価されていたはずです。
書類上は「有効」と判断した監査の現場と、その後株価下落で損を被る投資家の現実との間には、埋めがたい認識のギャップがありました。そのギャップをどうすれば完全に埋められるのか、私にはまだ明確な答えが出せていません。
それでも、さきにあげた3つのポイントを次回監査に加味するといった、今の私たちにできる地道なアプローチは確実に残されています。80%という厳しい数字になって表れる前に、現場で気づき、変えられる余地は必ずあるはずです。私も、引き続き自分の現場の課題に実直に向き合っていこうと思います。皆さんの組織の評価計画書は、次に向けてどこから手を入れることができそうでしょうか。
主要参考文献
- 吉田健一郎「法規範に裏打ちされた内部監査の発展」『月刊監査研究』（日本内部監査協会）2022年2月号、pp. 72-73.
- 堀江正之「改訂内部統制基準と内部監査に期待される役割」『月刊監査研究』2023年12月号（日本内部監査協会）2022年2月号、pp. 1-17.
- 研究会No.g5「J-SOXにおけるIT統制の見直しに関するアンケート調査」『月刊監査研究』（日本内部監査協会）2025年6月号、p. 67.
- 藤井範彰『監査報告書の指摘事項と改善提案』（第2版）、同文舘出版、2019年.
※本稿は上記を含む複数の文献・実務経験をもとに執筆しています。
