IT監査・内部統制コンサルのフリーランス案件の仕事内容｜案件の種類と働き方

フリーランスのIT監査・内部統制コンサルの仕事は、統制の仕組みを文書と証跡で確かめ、足りない点を見つけ、相手が直せる形で伝えることの繰り返しです。ただし、統制を作る側を支えるのか、評価する側を支えるのか、内部監査として見るのか、委託先を見るのかで、1日の過ごし方も、向き合う相手も、手元に残る成果物も変わります。

この記事では、案件を4つの種類に分け、それぞれの1日と1年の流れ、関わる相手、成果物を整理します。必要な経験はIT監査・内部統制コンサルがフリーランスになるには、求められる知識はスキルの記事で扱っているので、ここでは「参画したら実際に何をしているか」に絞ります。

仕事の中身は「誰の側で、何を見るか」で決まる

フリーランスが関わるIT監査・内部統制の案件は、多くが会社の側の仕事です。財務報告に係る内部統制の評価は経営者が行うもので、外部の監査人の監査とは役割が分かれています。そのうえで、仕事の中身は次の2つで決まります。

• 立つ側：統制を整える部署（IT部門・経理・内部統制の推進部署）か、評価する部署（内部監査部門・評価の担当部署）か
• 見る対象：J-SOXの範囲のIT統制か、J-SOXの外のセキュリティや開発の管理か、社外の委託先か

この2つを組み合わせると、案件はおおむね次の4種類に分けられます。

改訂後の実施基準（2024年4月1日以後に開始する事業年度から適用）では、ITに対する統制活動は全般統制と業務処理統制の二つからなり、全般統制の具体例として、システムの開発・保守に係る管理、システムの運用・管理、アクセス管理などシステムの安全性の確保、外部委託に関する契約の管理が挙げられています（2026年10月時点、金融庁の公表資料で確認）。どの種類の案件でも、この枠組みが仕事の土台になります。

以下では、それぞれの流れを典型的な例として紹介します。時間の配分は会社の決算期や体制で変わるため、目安として読んでください。

IT統制の整備支援の仕事

1日の流れ（例）

午前は、IT部門の担当者に聞き取りをして、アカウントの登録や削除、プログラムの変更、バッチの監視などが実際にどう回っているかを確かめます。午後は、聞き取りの内容をもとに、業務記述書やリスクと統制の対応表を更新します。文書と実際の手順がずれている場合は、どちらに合わせるか、証跡をどう残すかの案を作り、担当者と相談します。

自分でテストをするより、統制を「回せる形」と「確かめられる形」に整えるのが中心です。

1年の流れ（例）

• 年度の初め：前年度の評価の結果と、システムや組織の変更点を集める
• 年度の前半：新しいシステムや変更のあった手順について、統制を設計し、文書を更新する
• 年度の半ば以降：評価を担う部署に文書を引き渡し、質問に答える。不備が出た統制の改善を支える

成果物

業務記述書、フローチャート、リスクと統制の対応表、規程や手順書の改訂案、証跡の様式などです。システムの入れ替えが進む会社では、移行の前後で統制がどう変わるかの整理も求められます。

IT統制の評価支援の仕事

1日の流れ（例）

朝は、依頼した証跡の届き具合を一覧で確かめ、遅れているものを担当者に知らせます。届いた証跡は、母集団の抽出条件や期間が正しいかを見たうえでサンプルを選び、承認の記録や権限の見直しの記録を一件ずつ確かめて調書に残します。夕方はチームのリードとレビューの打ち合わせを持ち、気になる結果を共有します。

PMのような調整より、証跡を読み解き、判断の根拠を記録に残す時間が長くなります。

1年の流れ（例）

• 評価の計画：評価の範囲と日程を決め、テストの手続を前年から見直す
• 整備状況の確認：処理を一件たどり、文書どおりに統制が置かれているかを確かめる
• 期中の運用評価：サンプルで運用状況をテストする。不備が見つかれば影響を整理する
• 期末に向けて：期中から期末までの変化を確かめ、評価の結果をまとめる。外部の監査人との打ち合わせに同席することもある

改訂後の実施基準では、IT全般統制の一部の項目について、前年度の評価結果を継続して利用できる扱いが示される一方、その判断はITの環境の変化を踏まえて慎重に行い、特定の年数を機械的に当てはめるものではないとされています。評価の計画の段階では、こうした判断の材料をそろえる仕事も入ります。

成果物

評価計画書、テスト手続書、サンプルの一覧、テストの調書、不備の一覧と評価の案、評価の結果の報告資料などです。調書は後から外部の監査人が見ることもあるため、誰が読んでも同じ結論にたどり着ける書き方が求められます。

内部監査・システム監査の支援の仕事

1日・1か月の流れ（例）

J-SOXの範囲にとどまらず、情報セキュリティ、システムの開発の管理、事業継続、クラウドの利用などをテーマに、内部監査部門の一員として監査を行います。1つの監査は、予備調査、監査の手続書づくり、聞き取りと資料の確認、発見事項の整理、報告と、数週間から数か月の単位で進みます。

1日の中では、監査の対象の部門への聞き取り、規程と実際の運用の照合、設定の画面やログの確認、調書の記録が中心です。監査の終盤には、発見事項を対象の部門と事実確認し、改善の計画を出してもらう段取りに時間を使います。

成果物

年間の監査計画の案、個別の監査計画書、手続書、調書、監査報告書の案、改善の計画の進み具合の確認の記録などです。報告書は、経営層や監査役等が判断に使うものなので、事実・リスク・改善の方向を短くまとめる力が問われます。

外部委託先の評価の仕事

1日・1か月の流れ（例）

ITの運用やクラウドサービス、給与計算などを外部に委託している会社で、委託先の統制を確かめます。実施基準では、委託業務に係る内部統制も評価の範囲に含まれるとされ、委託業務の結果の一部を社内で検証する方法や、受託会社から評価結果を記載した報告書などを入手して評価の代わりにする方法が示されています。報告書を使う場合は、それが十分な証拠を提供しているかを検討する必要があるとされています。

そのため、日々の仕事は、報告書の対象期間とサービスの範囲が自社の使い方と合っているかの確認、報告書が求める「委託する会社の側の統制」の洗い出し、報告書がない委託先への質問票の作成と回答の確認が中心になります。委託先を訪問して確かめる場面が出ることもあります。

成果物

委託先の一覧と評価の方法の整理、報告書の検討の記録、質問票と回答の評価、委託する会社の側の統制の確認結果などです。

どの案件にも共通する仕事

種類が違っても、次の仕事はほぼすべての案件にあります。

1. 証跡の依頼と回収の管理：誰に何をいつまでに依頼したかを一覧にし、遅れを早めに知らせる
2. 聞き取り：担当者の説明と文書・証跡を照らし合わせ、ずれを見つける
3. 記録：何を見て、どう判断したかを、後から別の人が追える形で残す
4. 不備の伝え方：事実を担当者と確かめてから、影響と改善の道筋をそろえて責任者に伝える

フリーランスならではの仕事として、自分の稼働の記録と報告もあります。評価の時期によって作業量が大きく変わるため、日々の稼働を記録し、精算の幅と照らしておくことが大切です。精算の仕組みは精算幅の記事をご覧ください。

関わる相手と、その相手に出すもの

働く場所は、文書化やテスト、報告書づくりはリモートで進めやすい一方、評価の立ち上げや報告の場では出社を求められやすくなります。詳しくはリモート案件の記事をご覧ください。決算の手順に組み込まれた統制は財務・経理の領域と重なるため、財務・経理コンサルタントの仕事内容もあわせて読むと、境目が分かりやすくなります。

よくある質問

1年中同じ忙しさで働けますか？

評価の案件は、計画、期中の運用評価、期末の取りまとめと、時期で作業量が変わります。忙しい時期と落ち着く時期の差を前提に、契約期間と稼働の見込みを確かめておくと、無理のない働き方を選べます。

技術の作業はどのくらいありますか？

設定の画面やログ、権限の一覧を読む場面は多くありますが、自分でシステムを作ったり直したりすることはほとんどありません。データの抽出条件を確かめるために、簡単なSQLを読める程度の力があると役立ちます。

参画して最初の1か月は何をすることが多いですか？

前年度の調書と評価の結果を読み、関係者と日程、証跡の置き場所を確かめることから始めるのが一般的です。初月の進め方は参画初月にやることで詳しく解説します。