IT監査・内部統制コンサルの参画初月にやること｜現場で信頼される進め方

IT監査・内部統制コンサルの参画初月のゴールは、評価の全体像と前年の結果をつかみ、証跡の依頼の流れと報告の型を決め、月末に評価計画（またはその月の作業計画）の見立てを出すことです。初月から多くのテストをこなすより、関係者と証跡の流れを押さえたほうが、2か月目以降の評価が速く、正確に進みます。

この記事では、週ごとの進め方、案件の型による重心の違い、初月に避けたい動き、月末の振り返りを整理します。参画前の準備の全般は参画前の準備の記事、参画初期の一般的な動き方は参画初期の記事で扱っているので、ここではこの職種ならではの点に絞ります。

初月のゴールを3つに分ける

1週目：資料と人から現状を集める

最初に読む資料

まず、次の資料を読みます。どれも発注元の弱点にあたる情報を含むため、閲覧の環境と持ち出しの可否を先に確かめてください。

• 評価範囲の資料：対象の事業拠点、業務プロセス、システムとIT基盤の一覧
• 前年の調書と結論：テストの手続、サンプルの選び方、不備とその改善の状況
• 統制の記述書やリスクと統制の対応表：どの統制がどのリスクに対応しているか
• 規程と手順書：アクセス管理、変更管理、運用、外部委託の管理に関わるもの
• 委託先の一覧と報告書：受託会社の内部統制の評価結果を記載した報告書があれば、その対象の期間とサービスの範囲

改訂後の基準では、評価範囲に含まれない期間の長さを適切に考慮することや、開示すべき重要な不備が識別された場合はその時点を含む会計期間の評価範囲に含めることが適切であることが明確にされています。ITを利用した内部統制の評価の頻度も、ITの環境の変化を踏まえて判断するもので、特定の年数を機械的に当てはめるものではないとされています（2026年10月時点、金融庁の公表資料で確認）。前年の範囲と頻度の考え方がどう記録されているかを、初月のうちに読んでおくと、計画の見立てが立てやすくなります。

関係者と短く話す

内部統制の責任者、IT部門の窓口、主な業務部門の担当者、内部監査部門（評価を担う部署と別の場合）と、15〜30分ほど話します。聞くのは、前年の評価で困ったこと、今年変わる仕組みや体制、証跡を出すときの決まりです。システムの入れ替えやクラウドへの移行の予定は、評価の範囲に直接関わるため、早めに把握しておきます。

2週目：証跡の流れと報告の型を決める

証跡の依頼の一覧を作る

証跡の依頼は、依頼日、依頼先、対象の統制、期限、受領日、確認の結果を一覧にし、窓口と同じものを見ながら進めます。前年の依頼の記録があれば、それを下敷きにすると、相手も何を出せばよいか分かりやすくなります。

対象の仕組みの証跡の出し方を見せてもらう

ERP、データベース、OS、クラウドのアカウントなど、対象の仕組みごとに、権限の一覧や変更の記録をどの画面・どの機能から出すのかを担当者に見せてもらいます。画面共有でもかまいません。抽出の条件と期間を、このときに一緒に確かめておくと、後で網羅性を確かめる手間が減ります。分野ごとに求められる力はIT監査・内部統制コンサルのスキルの記事で整理しています。

報告の型を責任者と合わせる

週次の報告で何を伝えるか（進み具合、遅れている証跡、気になる点）、不備の候補をどの段取りで上げるかを、内部統制の責任者と決めます。不備の重さの判断は会社の側に委ね、自分は事実と根拠をそろえて案を出す、という役割の分け方も、この時点で言葉にしておきます。

3〜4週目：見立てを出し、計画に合意を取る

気になる点を一覧にする

前年の調書、今年の変更、関係者の話から、気になる点を一覧にします。たとえば、新しく入ったシステムが評価の範囲に入っているか、前年の不備の改善がどこまで進んだか、委託先の報告書の対象の期間が自社の会計期間と合っているか、といった点です。

計画の案は選択肢で出す

評価の手続やサンプルの数を変えたほうがよいと感じても、初月に一方的に変えるのは避けます。前年どおりにした場合と、変えた場合の理由と影響を並べ、責任者に選んでもらう形で出します。監査人との協議が必要になりそうな点は、その旨を添えておきます。

次の1〜2か月の予定を引く

証跡の依頼の時期、テストの順番、報告の日程を、監査人の予定と業務部門の繁忙期を踏まえて引きます。決算期の前後は業務部門が忙しくなるため、依頼が重ならないようにします。

案件の型によって初月の重心は変わる

評価支援の案件

前年の調書と手続を読み込み、証跡の流れを整えることが中心です。初月のうちに、いくつかの統制で整備状況の確認を始められると、2か月目以降の運用評価に入りやすくなります。

整備支援（文書化・統制の設計）の案件

業務部門やIT部門への聞き取りが中心になります。今の業務の流れを正確に書き起こし、統制の候補と足りない部分を一覧にすることを初月のゴールにします。いきなり理想の統制を提案するより、今の運用で実施できる形を先に確かめます。

内部監査・システム監査の支援の案件

監査のテーマと範囲、報告の相手（経営層、監査役等）を最初に確かめます。改訂後の基準では、内部監査人について、取締役会と監査役等への報告の経路も確保することの重要性が記載されています。報告の筋道がどうなっているかを初月に把握しておくと、報告書の書き方を合わせやすくなります。

外部委託先の評価の案件

委託先の一覧、委託の範囲、受託会社の報告書の有無を整理し、報告書がない委託先の評価の方法を考えることが初月の中心です。報告書が求める委託者の側の統制を洗い出しておくと、後の評価が進めやすくなります。

初月に避けたい動き

• 前年の手続を初月に大きく変える：監査人との合意や前年との比較が崩れることがある
• 担当者の前でいきなり不備と伝える：事実の確認と、補う統制の有無を聞いてから、段取りに沿って上げる
• 証跡をメールで散らして依頼する：何が届いていないかが分からなくなる
• 資料を私物の端末や個人のクラウドに置く：守秘の取り決めに反するおそれがある
• 範囲の外の依頼を黙って引き受ける：規程の改訂や追加の評価は、作業量を示して相談する。考え方は業務範囲が変わったときの記事をご覧ください

1か月の終わりに振り返ること

月末には、次の点を自分で確かめ、責任者と短く振り返ります。

1. 評価の範囲と対象の仕組みを、一覧で説明できるか
2. 証跡の依頼の一覧を、窓口と同じものを見ながら運用できているか
3. 報告の型と、不備の候補を上げる段取りが決まっているか
4. 今年の評価で重点を置くところを、理由とあわせて言えるか
5. 業務の範囲と契約の中身に食い違いがないか

食い違いがあれば、早めに窓口や紹介を受けたエージェントに相談します。つまずきやすい場面と対策はIT監査・内部統制コンサルのつまずきの記事で整理しています。

よくある質問

前年の調書がほとんど残っていません。何から始めればよいですか？

評価範囲の資料と統制の記述書から、対象の統制を一覧にすることから始めます。そのうえで、前年の結論が何だったかを責任者に確かめ、分かる範囲で手続を組み立てます。前年の情報が足りないことは、早めに責任者と共有しておきましょう。

参画初月から不備の判断を求められたら、どうすればよいですか？

事実と根拠をそろえて案を出すところまでが自分の役割であることを、言葉にして確かめます。そのうえで、影響の大きさ、補っている統制の有無、いつから起きているかを整理して示せば、初月でも判断の材料として十分に役立ちます。

リモート中心の案件で、関係者と関係を作るには？

1週目の短い面談を画面越しでも実施し、証跡の出し方を画面共有で見せてもらうと、相手との距離が縮まります。リモートの進め方はIT監査・内部統制コンサルのリモート案件の記事で整理しています。