解説：金融庁　金融機関の内部監査の高度化に関する懇談会　「報告書（2025）」を公表

金融庁は、2025年1月から、「金融機関の内部監査高度化に関する懇談会」を5回にわたり開催し、金融業界団体や日本内部監査協会、コンサルファームの意見を聴取し、6月20日に、「報告書（2025）」（以下、「本報告書」）を公表しました。これは、金融機関の内部監査の高度化を促すために金融庁が公表した、以下の３つのレポートの続きです。

• 2019年6月「金融機関の内部監査の高度化に向けた現状と課題」（以下、「現状と課題」）
• 2023年10月「『金融機関の内部監査の高度化』に向けたプログレスレポート（中間報告）」（以下、「中間報告2023」）
• 2024年9月「金融機関の内部監査の高度化に向けたモニタリングレポート（2024）」  （以下、「モニタリングレポート2024」）

この間、内部監査人協会（以下、「IIA」）は監査品質を向上しガバナンスに資する内部監査を実現することを目標に基準の大幅な改訂作業を進め、2024年1月に「グローバル内部監査基準」（以下、「GIAS」）を公表し、2025年1月に施行しました。GIASは内部監査の実効性を向上させる仕組みを全編にわたり、盛り込んでいます。

本報告書では、I.で金融庁のこれまでの取組やGIASを紹介し、II.で懇談会での主な意見・議論をまとめ、III.で金融機関の内部監査高度化の取組推進に向けた考え方（再定義・明確化）を提示し、IV.で今後の方針を説明しています。金融庁はGIASとの整合性も念頭に置き、本報告書の随所でGIASを参照するとともに、巻末の「用語集」にてGIASや3線管理などの重要な用語について解説しています。また、本報告書が広く一般事業会社においても参照され、我が国における内部監査の底上げにつながること、海外金融当局においても参考となることを期待している、としています。

本稿では、本報告書III.の各項目に沿って高度化に向けたポイントをまとめ、本報告書をふまえ、金融機関が何をすべきかを解説します。

1. 段階別評価の再定義及び「３つの論点」と取組事例との関連性等

(1) 段階別評価の位置づけ

まず、「現状と課題」の段階別評価により、内部監査高度化を促してきた際の考慮事項を解説し、次に、内部監査の目的を「ドメインⅠ^[1]」とし、「ドメインⅡ～Ⅴ」の各基準の達成が「ドメインⅠ」の達成に向けられているGIASの構成を紹介しています。

その上で、段階別評価は「形式的・定量的な評価目線ではなく、内部監査の目的の実現と機能の発揮の方向性・考え方を示したもので、上位段階への発展自体が目的化されるものではない」と整理することができる、と述べています。

(2) 各段階の定義・水準感

各段階は下表のとおりです。「段階」にカッコ内の文言を追記し、「定義」に内部監査の用語による補足をすることで、「現状と課題」による段階別評価が、明確化されました。

各段階について、より詳細な説明や、金融庁の期待が示されています。例えば、第三段階では、深度ある真因分析とその結果に基づく改善提言やIT技術を活用した監査精度の向上、経営陣の姿勢を重要視しています。第四段階では、脚注15で、IIAの「品質評価マニュアル」の「内部監査部門の成熟度レベル」の最上位である「Optimizing（最適化）」と比較し、GIASとの整合性の観点から、最上位は第四段階で合理的である、とした点も注目されます^[2] 。

(3) 各段階相互の関係（「卒業方式」ではなく「加算方式」）

段階の進展は直線的なものではなく、重層的なもの、厚みを増していくものという、いわゆる「加算方式」と理解すべきである、と明記し、営業拠点監査の位置づけを例にとり、準拠性検証機能の重要性に言及しています。

(4) 「３つの論点」との関係

「３つの論点」は内部監査高度化の「取組」であるのに対し、段階別評価は「内部監査の目的の実現や機能の発揮の成熟度合い」を示しており、「3つの論点」に則した「取組」の結果が内部監査の目的の実現や機能の発揮に結びついて、はじめて段階別評価が進展すると捉えるべき、と説明しています。

加えて、【図表５】モニタリングレポート2024掲載の主な事例と段階別評価との関係にて「３つの論点」ごとに両者の相関関係を図示しています。

2. 金融機関の目指すべき段階と必要な態勢等

(1) 経営陣に求められる姿勢等

内部監査のステップアップには「経営陣の認識の変革」が不可欠との業界団体からの意見・要望等を踏まえ、本報告書は、金融機関の経営陣に求められる姿勢等として、

[1] 内部監査に求めることの明確化

[2] 内部監査部門への負託事項及び目指すべき段階の明確化

[3] 経営陣等の内部監査高度化への支援の必要性

の３点を挙げ、詳述しています。

[1]では、経営陣において「自分たちの目となり耳となって組織の業務運営状況を検証し報告させるに当たり、何をどこまで実施させるか」（いわゆるビジョン）は、経営陣の判断事項である、と述べています。[2]では、[1]を受け、負託事項（GIASが導入した仕組みのひとつ。内部監査部門の権限、役割及び責任を意味する）を明確化すれば、内部監査の目指すべき段階が明確になろう、と述べています。[3]では、目指すべき段階に合わせて経営陣等が内部監査高度化を支援することが必要で、特に内部監査部門の実質的な独立性の確保や3線管理体制の整備に向けた支援に言及しています。

(2) 内部監査部門への要求事項

内部監査部門に欠かせないことは、あり得る改善を建設的に提言し、実際に組織運営・業務プロセスに良い影響を及ぼし、組織内の成果（実績）に繋がることとした上で、金融機関におけるさまざまな取組を評価し、データやITの利活用を一層進めていくことも重要である、と述べています。

加えて、今後は各種の取組を進めるにあたり、経営陣からの負託事項に即したパフォーマンスを達成できているかを意識すべき、としています。この内部監査部門のパフォーマンスの目標の設定や測定、監督も、GIASが導入した仕組みです。

3. 組織規模・業務特性に応じた留意点（小規模金融機関の高度化対応の方向性）

懇談会では、組織体制が小規模な金融機関が多い業界団体の意見や悩みを聴取し、本報告書で全般的に配慮しています。他方、資金移動業や暗号資産等取引業を中心に業容が大きな金融機関では、リスクが顕在化し、自身及びステークホルダーに多大な影響が生じる懸念も否定できないため、取引規模・業務特性に応じた内部監査態勢の整備が求められるとしています。

その上で、新規に人的リソースを確保することは難しいかもしれないが、創意工夫の余地は大いにある、とGIASの活用を含むいくつかの案を示し、こうした小規模金融機関の取組事例も収集・検討し、必要な情報を還元していく方針に言及しています。

4. 本報告書をふまえ、今、何をすべきか

• まず、【図表５】モニタリングレポート2024掲載の主な事例と段階別評価との関係の３つの論点と主な事例ほか本報告書に則し、内部監査部門の現状の段階を評価した結果を経営陣に説明します。
• この際、段階別評価とGIASはともに内部監査機能が提供する価値の向上を目指していることを伝え、内部監査機能の価値について協議します。
• 経営陣等が求めることや負託事項、目指すべき段階を確認した上で、論点１～３と主な事例に則した対応策と必要な支援を経営陣に説明します。
• この際、１線や２線も含めての関係構築や公式・非公式のコミュニケーション、連携と依拠、ITやデータの活用等、GIASが重要視する仕組みも考慮します（プロティビティの解説：金融庁「金融機関の内部監査の高度化に向けたモニタリングレポート（2024）」を公表もご参照ください）。
• 内部監査部門長は、経営陣からの支援を確認してパフォーマンス目標を策定し、定期的に進捗を報告し、経営陣等による支援と監督を受けます。

IIAは「品質評価マニュアル」の和訳の販売を7月上旬に開始しました。適合性評価の新たな仕組みや内部監査の成熟度の枠組みを示すとともに、GIASの内容を詳細に補足しています。このマニュアルを活用して、内部評価手法を整備運用するとともに、次の外部評価に向けた論点を把握検討するとよいでしょう。

併せて、IIAが提供する内部監査基本規程の雛形やドメインII「倫理と専門職としての気質」に関する同意書、パフォーマンス測定や基準9.5（連携と依拠）、リスク・マトリクスやヒート・マップの作成、サステナビリティへの取組等に関するツールを参照することも一案です。

金融庁の公表物やGIASに関する解説については、以下のリンクをご参照ください。

＜金融庁＞

「金融機関の内部監査高度化に関する懇談会報告書（2025）の公表について」はこちら

「金融機関の内部監査の高度化に向けたモニタリングレポート（2024）」公表ページはこちら

「「金融機関の内部監査の高度化」に向けたプログレスレポート（中間報告）」公表ページはこちら

「金融機関の内部監査の高度化に向けた現状と課題」公表ページはこちら

＜プロティビティLLC＞

グローバル内部監査基準を理解する（3回シリーズの第1回） 内部監査のステークホルダーを巻き込んで適用に向けた基盤を構築する

グローバル内部監査基準を理解する（3回シリーズ）第2回：影響のある領域に焦点を当てる

グローバル内部監査基準を理解する（3回シリーズ）第3回：適合からパフォーマンスへ

[1]「ドメイン」とは主要な領域（分野）のことです。GIASは、I内部監査の目的、II倫理と専門職としての気質、III内部監査部門に対するガバナンス、IV内部監査部門の管理、V内部監査業務の実施、の５つのドメインで構成されています。

[2] IIAが2024年9月に公表した「品質評価マニュアル」では、「内部監査部門の成熟度レベル」を「初期的 (Initial)」、「基盤がある (Infrastructure)」、「統合された (Integrated)」、「管理された (Managed)」、「最適化 (Optimizing)」の5段階で定義しています。