内部監査・法務監査で
企業法務リスクを可視化する

内部監査・法務監査は、企業が法令を守っているかを点検するだけの作業ではありません。経営判断、契約、労務、個人情報、知的財産、独占禁止法、取引適正化、M&A、グループ管理、危機対応、サイバーセキュリティ、AI、サステナビリティ開示まで、企業活動に潜む法的リスクを体系的に把握し、統制の設計と運用が実効的かを検証する経営管理の仕組みです。

内部監査は、ガバナンス、リスク管理、統制の妥当性と有効性について、独立した立場から保証と助言を提供する機能として理解されています。IIAの2024年版グローバル内部監査基準は、内部監査機能の質を評価・向上させる原則ベースの基準であり、2025年1月9日から適用されています。

法務監査は日本法上の明確な法定用語ではないため、このページでは「企業の法的リスク管理、契約管理、コンプライアンス、紛争予防、法令対応、証跡管理の設計・運用状況を、監査の方法で検証する活動」と整理します。

次のポイント一覧は、内部監査・法務監査がどの部門のための活動かを表します。単独部門の作業ではなく、経営、監査機関、法務、内部監査、IT、人事、知財、外部専門家が専門性を持ち寄る点が重要です。

企業法務に関する問題は、法務部だけで完結しません。契約条件は営業活動に、個人情報はマーケティング・人事・ITに、労務問題は現場管理職に、取引適正化は購買・調達・経理に、知的財産は研究開発・デザイン・広報に関係します。

次の項目一覧は、内部監査・法務監査の必要性が高まる主な背景を表します。制度や社会的関心が変化すると、従来は現場任せで済んでいた運用が重大な統制不備として扱われる可能性があります。

J-SOXは主に財務報告の信頼性を対象としますが、法務監査と無関係ではありません。2023年4月に改訂が公表された内部統制基準と実施基準は、2024年4月1日以後開始する事業年度から適用されています。法務監査では、財務報告に影響する契約・訴訟・不正・関連当事者取引を、会計・内部統制の観点ともつなげて確認します。

法務監査の対象は広く、業種、規模、上場の有無、海外展開、規制業種該当性、個人情報取扱量、M&A頻度、サプライチェーンの複雑性によって変わります。すべてを同じ深さで見るのではなく、リスクベースで重点領域を決めます。

契約法務

契約は法務監査の中心領域です。契約書は権利義務の証拠であり、売上、費用、損害賠償、知的財産、秘密保持、個人情報、解除、反社会的勢力排除、準拠法、裁判管轄など、企業リスクを集約する文書です。

次の表は、契約法務監査で確認する項目を表します。契約書の文言だけでなく、承認、締結、保管、更新管理まで見ないと、実際の統制不備を見落としやすくなります。

会社法・内部通報・個人情報

商事法務では、株主総会、取締役会、監査役会、監査等委員会、監査委員会、議事録、決議事項、利益相反取引、関連当事者取引、登記などを確認します。会社法上の内部統制システムに関する決定、情報保存管理体制、損失危険管理体制も監査対象です。

次の表は、内部通報と個人情報の監査で特に重視する確認点をまとめたものです。通報窓口やプライバシーポリシーの存在だけでなく、運用実態と証跡があるかを読み取ります。

労務・取引規制・知財・IT・AI・開示

労務領域では、労働時間、残業代、管理監督者、裁量労働制、フレックスタイム、就業規則、懲戒、解雇、ハラスメント、メンタルヘルス、副業、業務委託との区別を確認します。独占禁止法・取引適正化では、購買・外注・委託取引の分類、発注書、検収、支払期日、価格交渉記録、買いたたき、受領拒否、返品、支払遅延、不当な利益提供要請を確認します。

次の表は、専門領域ごとに監査で何を見るかを横断的に整理したものです。各領域は単独ではなく、契約、開示、内部統制、証跡管理とつながっている点を読み取ります。

監査目的が曖昧だと、監査は単なる資料収集になります。「契約管理を監査する」では広すぎるため、「高リスク契約について、契約審査、承認、締結、保管、更新、解約の統制が設計どおり運用されているかを評価する」のように、目的を具体化します。

次の時系列は、法務監査の実施順序を表します。各段階で何を確定するかを読み取ることで、報告書の指摘が客観的で改善可能な内容になります。

次の表は、監査報告書で指摘を組み立てるための6要素です。事実だけ、意見だけ、改善案だけにならないように、基準から改善案まで一続きで整理します。

高リスクサンプルには、金額が大きい契約、標準雛形を使っていない契約、責任制限条項がない契約、個人情報や秘密情報を大量に扱う契約、自動更新条項がある契約、海外企業との契約、新規事業・AI・データ利活用に関する契約、例外承認が多い部署の契約、通報後の処理期間が長い案件などが含まれます。

内部監査・法務監査の成果物は監査報告書です。報告書は、単に問題を列挙する文書ではなく、経営判断を支援する文書として、重要指摘、原因、影響、改善計画、フォローアップをつなげます。

次の表は、監査報告書の基本構成を表します。読み手が経営陣や取締役会である場合、最初に総合評価と重要指摘を把握できる構成にすることが重要です。

指摘事項の書き方

良い指摘事項は、客観的で、再現可能で、改善可能です。たとえば、高リスク契約における例外承認の証跡不足を指摘する場合、契約審査規程、抽出した20件のうち5件の逸脱、3件の承認記録未確認、差分検知機能や最終版確認手順の欠如、無制限責任の可能性、例外承認ワークフローの導入までを一体で整理します。

次の表は、評価ランクの読み方を表します。ランク付けでは、法的リスクだけでなく、統制不備の広がり、発生可能性、経営への影響を総合評価します。

内部監査・法務監査は、大企業だけのものではありません。中小企業や非上場企業でも、契約、労務、個人情報、取引適正化、知財、許認可、資金調達、事業承継、M&A、ハラスメント、SNS炎上などのリスクは存在します。ただし、人員が限られるため、大企業型の内部監査部門をそのまま導入する必要はありません。

次の表は、中小企業・非上場企業が段階的に内部監査・法務監査を始めるための簡易モデルです。まず基盤資料を整え、年1回の重点確認から始める読み方が現実的です。

KPIとKRI

KPIは業務遂行指標であり、契約審査の平均処理日数、研修受講率、通報対応完了率などを指します。KRIはリスク指標であり、高リスク契約の例外承認率、未締結取引の件数、個人情報インシデント件数、通報後の報復疑義件数などを指します。

次の表は、KPIとKRIの違いを分野別に整理したものです。速さや処理件数だけを見るのではなく、統制の品質とリスクの兆候を並べて読むことが重要です。

よくある失敗

次の失敗要因の一覧は、内部監査・法務監査が形式的になりやすい場面を表します。何を避けるべきかを先に把握すると、チェックリスト偏重や報告経路の不備を防ぎやすくなります。

Q1. 法務監査は弁護士だけができるのですか

一般的には、弁護士だけが行うものではないとされています。監査手続、証拠評価、内部統制評価は内部監査の専門性であり、法令解釈、契約解釈、訴訟リスク評価は弁護士の専門性です。ただし、対象領域や重要性によって必要な関与は変わります。具体的な体制設計は、社内の責任者と弁護士等の専門家に相談する必要があります。

Q2. 法務部門が小さい会社でも必要ですか

一般的には、小規模な会社でも契約、労務、個人情報、許認可、取引条件が属人化しやすいため、簡易的な法務監査から始める価値があります。ただし、必要な範囲や頻度は会社の規模、業種、上場準備、海外展開、規制業種該当性によって変わります。具体的な進め方は、資料を整理したうえで専門家へ相談する必要があります。

Q3. 法務監査を行うと現場の業務が遅くなりませんか

一般的には、設計次第で業務効率の改善にもつながるとされています。監査は現場を止めるためではなく、問題発生後の大きな損失を防ぐために行います。無駄な承認や重複手続が見つかる場合もあります。ただし、業務負荷は監査範囲、サンプル数、資料依頼方法によって変わるため、具体的な計画は関係部門と調整する必要があります。

Q4. 監査で法令違反の可能性が見つかった場合はどう考えればよいですか

一般的には、まず事実関係と証拠の保全を慎重に行い、重大性に応じて法務、コンプライアンス、経営、監査役等、外部弁護士へ報告する体制を確認するとされています。ただし、行政報告、本人通知、取引先通知、適時開示、懲戒、再発防止の要否は事案ごとに変わります。具体的な判断は、関係資料を整理したうえで弁護士等の専門家に相談する必要があります。

Q5. 内部監査と監査役監査は何が違いますか

一般的には、内部監査は会社内部の監査機能として業務改善と保証を目的に広く業務を評価するものとされています。一方、監査役監査は会社法上の機関として取締役の職務執行を監査するものです。両者は役割が異なりますが、相互連携が重要です。具体的な連携方法は、会社の機関設計や規程に応じて専門家へ確認する必要があります。

Q6. 法務監査の結果は社外に開示する必要がありますか

一般的には、個別の法務監査報告書をそのまま社外開示するものではないと考えられます。ただし、上場会社では、有価証券報告書、コーポレートガバナンス報告書、内部統制報告書、サステナビリティ開示等において、内部監査の体制やリスク管理の実効性が問われる場合があります。開示内容と実態の整合性については、個別事情に応じて専門家に確認する必要があります。

内部監査・内部統制

• The Institute of Internal Auditors, Global Internal Audit Standards / IPPF Framework
• The Institute of Internal Auditors, Complete Global Internal Audit Standards
• The Institute of Internal Auditors, The IIA's Three Lines Model
• Committee of Sponsoring Organizations of the Treadway Commission, Internal Control - Integrated Framework
• 金融庁・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について」

ガバナンス・会社法・開示

• 東京証券取引所「コーポレートガバナンス・コード」
• e-Gov法令検索「会社法」
• e-Gov法令検索「会社法施行規則」
• 金融庁「有価証券報告書の作成・提出に際しての留意すべき事項等」
• 日本監査役協会「監査役監査基準」

企業法務リスク領域

• 消費者庁「公益通報者保護法と制度の概要」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 公正取引委員会「中小受託取引適正化法関係」
• 経済産業省「営業秘密を守り活用する」
• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」
• 経済産業省「AI事業者ガイドライン」
• 金融庁「サステナビリティ開示基準の適用開始に向けた開示府令改正」
• 経済産業省「責任あるサプライチェーン等における人権尊重のためのガイドライン」