監査で指摘された事項の
フォローアップ実務

監査で指摘された事項のフォローアップとは、監査報告書に記載された指摘事項、改善提案、内部統制上の不備、法令遵守上の課題、情報セキュリティ上の弱点、労務管理上の問題などについて、会社がどのような是正措置・改善措置を講じたかを継続的に確認し、必要に応じて有効性を検証し、未解決リスクを経営層や取締役会等へ報告する一連の実務です。

この実務は、単なる宿題管理ではありません。企業法務の観点では、役員の善管注意義務、内部統制システムの整備・運用、開示規制、労務、個人情報、独禁法、下請法、贈収賄防止、反社会的勢力排除など、多くの法的リスクとつながります。内部監査の観点では、監査の価値を最終的に実現する工程です。

次の重要ポイントは、このページ全体で扱う内容を要約したものです。読者にとって重要なのは、指摘事項を一度直したように見せることではなく、リスク低減が実際に働いているかを説明できる状態にすることです。まず、誰が何を確認し、どこへ報告するかという骨格を読み取ってください。

次の一覧は、監査で指摘された事項のフォローアップが接続する主要なリスク領域を表しています。読者にとって重要なのは、会計監査だけの問題に限定せず、法務・労務・IT・個人情報・子会社管理まで横断して見ることです。各項目から、どの部門を早期に巻き込むべきかを読み取ってください。

監査で指摘された事項のフォローアップを怠ると、同じ不備が再発し、損害額や社会的信用の毀損が拡大する可能性があります。また、会社は問題を知っていたのに放置したと評価され、役員責任、当局対応、訴訟対応で不利になることがあります。

次の一覧は、指摘事項を放置した場合に企業法務上問題になりやすい論点を表しています。読者にとって重要なのは、法令違反そのものだけでなく、知っていたリスクを管理できなかったという統治上の問題にも発展し得る点です。各項目から、どの説明責任が問われるかを読み取ってください。

会社法上の内部統制システムとの関係

会社法は、取締役会設置会社において、取締役の職務執行が法令・定款に適合することを確保する体制や、企業集団の業務の適正を確保する体制について、取締役会が決定すべき事項を定めています。大会社である取締役会設置会社では、これらの体制に関する決定が義務になります。

会社法施行規則は、情報の保存・管理、損失危険の管理、効率的職務執行、使用人の法令・定款適合、企業集団管理、監査役監査を支える体制などを定めています。監査で指摘された事項のフォローアップは、こうした内部統制システムの運用部分にあたります。

役員責任との関係

重大な指摘事項が出た場合、経営陣は知らなかっただけでは説明が難しい場合があります。特に、反復的な不正、重大な個人情報漏えい、独禁法違反、贈収賄、過労死・重大労災、粉飾決算、子会社不祥事などでは、過去の監査・通報・会議体資料・是正計画・未完了ステータスが、監督義務の履行状況を示す重要資料になります。

次の一覧は、役員責任との関係で残すべき記録を整理しています。読者にとって重要なのは、結論だけでなく、当時の合理的な意思決定過程を説明できることです。誰が、いつ、どのリスクを認識し、どの措置を選んだかを読み取れる形で管理する必要があります。

J-SOX・ガバナンスとの関係

上場会社等では、金融商品取引法に基づく内部統制報告制度、いわゆるJ-SOXとの関係が重要です。財務報告に関係する指摘事項では、いつ発見されたか、いつ是正されたか、是正後の運用有効性をどう確認したか、内部統制報告書提出日までにどう記載するかが問題になります。

コーポレートガバナンス・コードとの関係では、監査で指摘された事項のフォローアップは、取締役会の機能発揮、情報開示、内部統制の実質化という文脈で重要です。重大指摘、期限超過、リスク受容を取締役会・監査役等が監督できる形で報告する必要があります。

標準的なプロセスは、監査報告書を受け取ってから、指摘事項を分解し、重要度を評価し、根本原因を分析し、是正計画を作り、進捗を追跡し、実施確認と有効性確認を経て、完了承認または追加対応へ進む流れです。

次の時系列は、監査で指摘された事項のフォローアップを進める順番を表しています。読者にとって重要なのは、前半で指摘事項を管理可能な単位に分け、後半で証跡と有効性を確認し、最後に経営報告や監査計画へ反映することです。順番ごとの目的を読み取ってください。

初期分析と指摘事項の分解

監査報告書を受け取ったら、指摘事項が事実認定、評価、提案に分けられているかを確認します。根拠となる法令、規程、契約、基準、社内ルール、会社の認識との齟齬、全社・グループ横断性、直ちに停止・回収・訂正・届出・開示・通報・顧客対応が必要な事項、秘密情報や個人情報の取扱いも確認します。

例えば、営業部門において取引先審査、反社チェック、与信限度額承認、契約書保管、売上計上証跡に不備があるという指摘は、少なくとも5項目に分解します。分解しないまま営業管理体制を改善するとだけ登録すると、責任者、期限、証跡、有効性確認が曖昧になります。

次の比較表は、重要度と対応期限を決めるときの評価要素を表しています。読者にとって重要なのは、期限を監査人に言われた日だけで決めず、残存リスクの大きさから逆算することです。各行で、金額、発生可能性、法的重大性、検出困難性、経営関与、外部影響を総合して読む必要があります。

是正計画を具体化します

是正計画は、関係部署と協議し適切に対応するという表現では足りません。誰が、いつまでに、どの規程・契約・台帳・システム・研修・検証を行い、どの証跡で完了を確認するかまで書きます。

次の比較表は、是正計画に入れるべき項目を表しています。読者にとって重要なのは、計画が実行可能な内容になっているだけでなく、完了基準と有効性確認方法まで事前に定義されていることです。各項目を台帳と報告資料へ連動させる前提で読み取ってください。

進捗、期限超過、有効性を管理します

進捗追跡では、Excelでも専用監査管理システムでもよいですが、未着手、実施中、証跡提出待ち、実施確認中、有効性確認待ち、完了、期限超過、延期承認済み、リスク受容、追加対応など、状態が分かるステータスが必要です。

次の比較表は、進捗管理で使う代表的なステータスを表しています。読者にとって重要なのは、完了と主張された段階と、独立確認が終わった段階を分けることです。期限超過やリスク受容の行は、経営報告や承認が必要になる可能性が高いものとして読んでください。

有効性確認では、文書閲覧、システム確認、サンプルテスト、再実施、インタビュー、現場観察、データ分析、事故・通報・苦情データ確認を組み合わせます。アクセス権棚卸の不備であれば、棚卸手続を作成しただけでなく、次回棚卸が実際に行われ、不要権限が削除され、例外が承認されていることを確認します。

重大な監査指摘が出た場合、関係資料を不用意に削除・上書きしてはいけません。メール、チャット、稟議、契約書、ログ、会議資料、経費精算、勤怠記録、アクセス権、録音録画、監視カメラ、教育記録、通報記録などが後日の重要証拠になります。

次の一覧は、フォローアップ時に法務部門が確認しやすい注意点を表しています。読者にとって重要なのは、是正措置を急ぐあまり、証拠保全、秘密管理、個人情報保護、労務上の配慮、当局・開示対応を崩さないことです。各項目から、初期段階で整えるべき管理を読み取ってください。

監査で指摘された事項のフォローアップでは、台帳が品質を左右します。台帳は単なる一覧表ではなく、経営判断資料です。指摘タイトルが抽象的すぎる、重要度の基準が人によって違う、期限延長履歴が残らない、完了証跡のリンクが切れる、対象部署が組織変更で不明になる、といった状態では機能しません。

次の比較表は、フォローアップ台帳に最低限入れる項目を表しています。読者にとって重要なのは、指摘内容だけでなく、根本原因、暫定措置、証跡、有効性確認、残余リスク、報告先まで一つの管理単位にすることです。各項目が、後日の説明責任を支える情報だと読み取ってください。

次の一覧は、台帳のデータ品質で起こりやすい問題を表しています。読者にとって重要なのは、台帳が古くなると、経営層が未解決リスクを把握できなくなる点です。どの情報が欠けると判断ができなくなるかを読み取ってください。

システム化の考え方

会社規模が小さい場合はスプレッドシートでも開始できます。ただし、上場会社、金融機関、グローバル企業、複数拠点・子会社を持つ企業では、監査管理システム、GRCツール、承認管理システムの利用を検討する価値があります。

次の一覧は、システム化で重視すべき機能を表しています。読者にとって重要なのは、ツール導入そのものではなく、期限超過、証跡、承認、重要度別集計、アクセス権、監査ログが管理できることです。自社のリスク量に対して、どこまで仕組み化するかを読み取ってください。

監査で指摘された事項のフォローアップでは、是正計画、完了承認、期限延長、リスク受容を文書化しておくと、後日の説明が安定します。重要なのは、ひな形を埋めることではなく、意思決定の理由、証跡、残余リスク、報告先を明確にすることです。

次の一覧は、4種類の文書ひな形で押さえる項目を表しています。読者にとって重要なのは、通常の完了処理だけでなく、遅延やリスク受容のような難しい判断ほど記録を厚くする点です。どの場面でどの文書を使うかを読み取ってください。

よくある失敗と対策

次の一覧は、監査で指摘された事項のフォローアップで起こりやすい失敗と対策を表しています。読者にとって重要なのは、完了基準、根本原因、期限超過、内部監査の独立性、横展開、法務連携、リスク受容の管理が弱いと、再発や説明責任の問題につながる点です。自社の運用で同じ兆候がないかを読み取ってください。

Q1. 監査で指摘された事項のフォローアップは誰の責任ですか。

一般的には、指摘事項の対象となった業務を所管する経営管理者・部門責任者が一次的な実施責任を負うとされています。内部監査部門は、改善措置の実施状況を追跡し、有効性を確認し、必要な報告を行います。ただし、会社の組織設計、指摘内容、リスクの重大性によって責任分担は変わる可能性があります。具体的な体制設計は、社内規程や専門家の助言を踏まえて確認する必要があります。

Q2. 監査人の指摘に納得できない場合はどう考えればよいですか。

一般的には、事実認定、評価基準、影響度、改善提案を分けて確認する方法が有効とされています。事実誤認がある場合は証拠を示して協議し、評価基準に争いがある場合は法務、会計、労務、IT等の専門家を交えて整理します。ただし、納得できないという理由だけでリスクを放置すると、後日の説明が難しくなる可能性があります。具体的には、代替措置、リスク受容、経営層報告を明確にする必要があります。

Q3. すべての指摘事項で有効性確認が必要ですか。

一般的には、すべてを同じ水準で確認する必要まではないとされています。低リスク事項は証跡確認で足りる場合があります。一方、重大・高リスク事項、法令違反、反復不備、財務報告上の重要統制、個人情報・労務・安全・当局対応に関係する事項では、一定期間の運用を見た有効性確認が必要になる可能性があります。

Q4. 期限までに是正できない場合はどう整理しますか。

一般的には、遅延理由、暫定措置、残余リスク、新期限、追加資源の要否を記録し、適切な権限者の承認を得る形が望ましいとされています。高リスク事項では、経営層・監査役等への報告が必要になる可能性があります。期限延長を繰り返す場合は、対応能力、予算、組織的抵抗、経営判断の遅れが原因でないかを確認する必要があります。

Q5. 外部監査人からの指摘と内部監査の指摘は同じ台帳で管理しますか。

一般的には、会社全体のリスク管理として一元的に把握できる状態が望ましいとされています。ただし、監査法人とのコミュニケーション、監査役監査、内部監査、業法監査、ISO監査では秘匿性や報告先が異なる場合があります。具体的な運用では、アクセス権、分類、報告経路を設計する必要があります。

Q6. 監査指摘が法令違反に当たるか分からない場合はどうしますか。

一般的には、早期に法務部門または外部弁護士へ相談し、事実関係、影響範囲、関係者、資料保全の必要性を整理することが重要とされています。初期対応を誤ると、証拠保全、当局対応、被害者対応、開示、労務対応で問題が広がる可能性があります。個別の法的評価は、具体的な資料を基に専門家へ相談する必要があります。

Q7. 経営会議に出す頻度はどの程度ですか。

一般的には、会社規模・業種・リスクによって変わります。重大・高リスク事項は月次、全体状況は四半期、低リスク事項は半期でも足りる場合があります。金融機関、上場会社、規制業種、重大不祥事後の会社では、より頻繁な報告が必要になる可能性があります。

Q8. フォローアップを怠ると役員責任になりますか。

一般的には、常に直ちに役員責任につながるわけではありません。ただし、重大な指摘事項を認識しながら合理的な対応をしなかった場合、取締役の監督義務、内部統制システムの整備・運用、善管注意義務との関係で問題になる可能性があります。重要なのは、リスクに応じた対応、報告、記録、合理的な意思決定を残すことです。

Q9. 中小企業でもフォローアップ台帳は必要ですか。

一般的には、簡易な形式でも台帳化することが有効とされています。指摘事項、責任者、期限、対応状況、証跡、完了日を一覧化しないと、対応漏れが起きやすくなります。中小企業ほど属人的な管理になりやすいため、スプレッドシート等で最低限の管理を行うことが実務上有用です。

Q10. 社内でフォローアップの要点を共有するときは何を重視しますか。

一般的には、定義、法的意味、プロセス、役割分担、台帳例、ひな形、分野別事例、FAQを含めると理解しやすいとされています。関係者は、何をすればよいか、誰へ相談すべきか、放置すると何が起きるかを把握する必要があるため、導入・結論・チェック項目に主要論点を自然に配置することが重要です。

法令・公的資料

• e-Gov法令検索「会社法」
• e-Gov法令検索「会社法施行規則」
• e-Gov法令検索「金融商品取引法」
• 金融庁・企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について」
• 金融庁「内部統制報告制度に関するQ&A等の改訂について」
• 日本取引所グループ「コーポレート・ガバナンス」
• 日本取引所グループ「コーポレートガバナンス・コード改訂案」

監査・内部統制の基準資料

• The Institute of Internal Auditors「Global Internal Audit Standards」
• 日本内部監査協会「内部監査基準」
• The Institute of Internal Auditors「The IIA's Three Lines Model」
• COSO「Internal Control - Integrated Framework」
• ISO「ISO 19011 Guidelines for auditing management systems」
• ISACA Journal「Enhancing the Audit Follow-up Process Using COBIT 5」
• ISACA Now Blog「Follow-Up Audits and Follow-Up Process」