IT監査・内部統制コンサルのフリーランス案件で求められるスキルと経験

IT監査・内部統制コンサルの案件で問われるのは、IT全般統制、IT業務処理統制、外部委託先の評価、システム監査・内部監査のうち、どの分野をどの深さで担えるかです。どの分野にも共通して、アクセス権の一覧や変更の記録といった証跡を読み解く力と、見つけた不備の重さを評価し、相手が直せる形で伝える力が見られます。

同じ分野でも、経験の段階によって期待される中身が変わります。この記事では、分野ごとに「担当者」「リード」「全体設計」の3段階で求められることを整理します。報酬への表れ方はIT監査・内部統制コンサルの報酬の記事で解説しています。

スキルの全体像

改訂後の内部統制の実施基準（2024年4月1日以後に開始する事業年度から適用）では、ITに対する統制活動は全般統制と業務処理統制の二つからなるとされています。全般統制は業務処理統制が有効に機能する環境を保証するための統制で、全般統制が有効でも、それだけで業務処理統制も有効とは言えないことも示されています（2026年10月時点、金融庁の公表資料で確認）。

IT全般統制

J-SOXのIT案件で、もっとも多く求められる分野です。実施基準では、全般統制は通常、ハードウェア、ソフトウェア、ネットワークなどのIT基盤を単位として構築するとされています。どの基盤の上でどのシステムが動いているかを把握する力が出発点になります。

改訂後の基準では、ITを利用した内部統制の評価を一定の頻度で行うことについて、経営者がITの環境の変化を踏まえて慎重に判断し、必要に応じて監査人と協議して行うべきで、特定の年数を機械的に当てはめるものではないことが明確にされています。全体設計の段階では、この判断を支える資料を作れるかが問われます。

技術の面では、ERPの権限の仕組み、データベースやOSの特権IDの管理、クラウドのアカウントの管理など、対象の仕組みごとに証跡の出し方が違います。設定の画面やログの形式を見て、何を確かめればよいかが分かると、立ち上がりが早くなります。

IT業務処理統制

業務を管理するシステムの中で、承認された取引がすべて正確に処理・記録されることを確かめる統制です。

• 担当者：入力のチェック、計算、照合などの自動化された統制について、設定の確認と処理の結果の確認を行う
• リード：業務プロセスの文書から、システムに組み込まれた統制と手作業の統制を切り分け、どれを評価の対象とするかを整理する
• 全体設計：システムの入れ替えや改修の計画の段階から、統制の組み込み方と評価の方法を提案する

システムから出力した帳票を手作業の統制で使っている場合、その帳票が正しく作られているかも確かめる必要があります。経理の担当者と話が通じる程度の会計の理解があると、業務の側の人との会話が進めやすくなります。決算の手順に組み込まれた統制は財務・経理コンサルの専門分野と重なるため、境目は財務・経理コンサルタントのスキルの記事も参考にしてください。

外部委託先の評価

実施基準では、情報システムの開発・運用・保守などITに関する業務を外部に委託している場合も、委託業務に係る内部統制は評価の範囲に含まれるとされています。評価の方法として、委託業務の結果の一部を社内で検証する方法や、受託会社から内部統制の評価結果を記載した報告書などを入手して評価の代わりにする方法が示されており、後者の場合は、その報告書が十分な証拠を提供しているかを検討する必要があるとされています。

システム監査・内部監査

J-SOXの範囲にとどまらず、セキュリティ、開発の管理、事業継続などを対象に、内部監査部門の立場で監査を行う分野です。IPAはシステム監査技術者の業務と役割として、情報システムに係るリスクを分析して必要なコントロールを検証・評価すること、監査計画を立てて監査を実施し、結果を経営層などに報告して改善を確かめることなどを挙げています（2026年10月時点のIPAの案内による）。

• 担当者：監査の手続書に沿って、聞き取り、資料の閲覧、設定の確認を行い、事実を記録する
• リード：リスクの大きさから監査の重点を決め、手続書を作る。発見事項を整理し、報告書の案を書く
• 全体設計：年間の監査計画を立て、経営層や監査役等に報告する。改善の進み具合を確かめる仕組みを作る

改訂後の基準では、内部監査人について、熟達した専門的能力と専門職としての正当な注意をもって職責を全うすることや、取締役会と監査役等への報告の経路も確保することの重要性が記載されています。内部監査部門を補う案件では、この立場を理解して振る舞えるかも見られます。

どの分野にも共通する力

証跡を読み解く力

権限の一覧、変更の申請と承認の記録、ジョブの実行の記録など、受け取った証跡が「何を示していて、何を示していないか」を判断できることが土台です。抽出の条件が正しいか、期間がそろっているかを確かめる習慣が求められます。

調書に残す力

評価の結果は、後から別の人が読んで同じ結論にたどり着けるように記録します。何を見て、どう判断したかを過不足なく書く力は、外部の監査人に評価の結果を利用してもらう場面でも生きます。

関係者と日程を回す力

評価は、IT部門、業務部門、内部監査部門、外部の監査人と、多くの関係者の予定に左右されます。証跡の依頼の期限を決め、遅れそうなものを早めに知らせて調整の材料を渡せる人は、リードの段階で特に評価されます。

不備を評価して伝える力

不備を見つけたら、その影響の大きさ、ほかの統制で補えているか、いつから起きているかを整理し、改善の道筋と一緒に伝えます。指摘の正しさだけでなく、現場が受け入れて直せる伝え方ができるかが、継続の判断に影響します。

資格と面談での伝え方

資格は、評価の進め方を体系的に学んでいる裏付けになります。CISAは、ISACAが情報システムの監査、モニタリング、評価の資格として案内しており、試験の領域は監査のプロセスから情報資産の保護まで広がっています。国内の試験ではシステム監査技術者試験の記事、国際的な資格はCISAの記事で解説しています。面談では、資格の名前より、分野と段階の組み合わせで経験を話すほうが伝わります。

よくある質問

プログラミングの経験は必要ですか？

必須ではない案件が多くあります。ただ、データを抽出する条件や、自動化された統制の設定を確かめる場面では、システムの仕組みが分かるほうが評価を早く進められます。SQLでデータを確かめられる程度の力があると、使える場面が増えます。

会計の知識はどのくらい必要ですか？

IT全般統制が中心の案件では、仕訳の細かい知識までは求められないことが多くあります。業務処理統制や評価の範囲を決める工程に関わる場合は、勘定科目と業務の流れのつながりを説明できる程度の理解が必要になります。

金融機関の監査では何が違いますか？

業界の監督指針や安全対策の基準に沿った確認が加わり、確かめる項目が増える傾向があります。業界ごとの規制は銀行業界の規制の記事などで扱っています。