内部監査部門は誰の味方か — 三線防衛モデルが機能しない3つの罠

塩川 晃平

多くの企業が、いわゆる三線防衛モデルを「守りのアーキテクチャ」として採用している。第1線に現場、第2線に管理機能、第3線に内部監査を据える、あの構図である。日本の上場企業でも、これはもはや珍しい体制ではない。

ところが、形式的に3線を設けてもなお、不正や不祥事は内部監査を素通りして後から発覚する。規程は整い、監査計画は回り、報告ラインも引かれている。それでも肝心の兆候は拾われない。ここで湧いてくるのが、「内部監査はいったい誰の味方なのか」という問いである。経営の味方なのか、現場の味方なのか、それとも株主の味方なのか。そのどれでもあろうとして、結局どこにも深く食い込めていないのではないか。

筆者は以前、本コラムで監査役等がなぜ沈黙するのかを論じた（なぜ監査役は沈黙するのか）。そこで述べたのは、機能不全は個人の資質よりも構造に根がある、という見方だった。同じ構図が、今度は内部監査部門の側にも横たわっている。本稿は、内部監査人の能力を問う議論ではない。三線防衛モデルが日本企業の現場で空回りしてしまうのは、個人の資質ではなく仕組みに原因がある。本稿はそれを解き明かす。

形は整っているのに空回りする

内部監査部門の整備状況と、その実効性のあいだには、無視できない乖離がある。監査規程があり、年度の監査計画があり、被監査部門へのヒアリングと往査があり、報告書が取締役会へ上がっていく。手続きとしては申し分ない。それでも、被監査部門が自らのリスクを「自分ごと」として引き受けているか、指摘が真因の分析にまで届いているかと問えば、心もとない。多くの場合、監査は「事務不備の確認」に着地しがちで、組織を本当に揺らしている問題の手前で止まってしまう。

この乖離が偶然でないことは、監督当局の議論の繰り返しが示している。金融庁は、2019年の「金融機関の内部監査の高度化に向けた現状と課題」を皮切りに、2023年のプログレスレポート、2024年のモニタリングレポート、2025年の懇談会報告書を通じて、内部監査の高度化を一貫して促してきた。事務不備の確認から、リスクに基づく監査へ、経営に資する監査へ、そして「信頼されるアドバイザー」へ――内部監査の成熟度を段階的に描いてきた。これは金融機関を対象とした文脈ではあるが、2025年の懇談会報告書は、その知見を一般事業会社も活用できる目線として提供することを掲げている。内部監査を形式から実質へ移す難しさは、業種を問わず多くの企業に通じる課題なのだ。

IIA（内部監査人協会）は2020年に、従来の「3つのディフェンスライン（Three Lines of Defense）」を「3ラインモデル」へと改訂した。防御的なリスク管理にとどまらず、価値の創造と保全、組織目的への貢献を強調する整理である。そのIIAが、第3線の独立性を強調する一方で掲げるのが、「独立性は孤立を意味しない」という原則だ。だが、その孤立を防ぐための具体的な仕組みは、結局のところ各社の運用に委ねられている。ここに難所がある。なぜ「実質」への移行は、これほどまでに難しいのか。

三すくみを解剖する3つの罠

内部監査が実効的であるためには、少なくとも三つの条件が要る。経営に直結する独立性、現場の実態を掴む理解力、そして異常を見抜く専門性である。問題は、この三つが仲良く両立しないことだ。一つを強めようとすると、別の一つが削れる。三者は互いに引っ張り合う「三すくみ」の関係にある。これから解剖する三つの罠は、どれも、合理的な対策がそのまま裏返って生じる必然だという点に注意してほしい。

第一の罠: 経営直結化が現場を遠ざける

独立性を確保するための定石は、最高監査責任者（CAE）を取締役会や社長に直属させ、執行ラインの圧力から切り離すことである。報告先が高ければ高いほど、監査は執行から自由になり、忖度なく物を言える。理屈の上では正しい。

しかし、経営の高い位置に接続するほど、内部監査は日々の現場から物理的にも心理的にも遠ざかる。取引の具体的な手触り、会議室の空気、担当者がふと漏らす違和感――不正の端緒は、たいていそうした一次情報のなかにあるだろう。ところが経営直結化が進むほど、現場の生の情報は、経営を経由した二次情報へと加工されてから届きがちになる。前稿で論じた、監査役等が「報告を待つ姿勢」に陥る危うさは、内部監査部門にも口を開けている。独立性のために高みに上がるほど、足元が見えなくなる。これが第一の罠である。

第二の罠: 現場に近づくほど独立性が溶ける

では逆に、現場の実態を掴むことを優先すればよいか。実態把握のために事業部門の出身者を内部監査に登用し、現場とのローテーションで土地勘を持たせる。被監査部門の言語と力学を知る者ほど、表面の体裁の裏にある不自然さを嗅ぎ分けられる。これもまた合理的な対策である。

だが距離が縮むほど、今度は客観性の維持が揺らぎ始める。かつての同僚を監査することへの躊躇、数年後に戻るかもしれない部門への遠慮。貸し借りや人間関係が、指摘の鋭さを少しずつ鈍らせる。前稿で論じたように、正当化の心理は不正の実行者だけでなく監視する側にも作用する。「これは業界慣行の範囲ではないか」「自分の見方が厳しすぎるのではないか」――現場に近い監査人ほど、こうした心理に絡め取られやすい。実態に近づこうとした努力が、そのまま独立性を溶かしていく。

第三の罠: 専門性を極めるほど経営から孤立する

第三に、専門性の高度化という道がある。高度化の要請に応えて、データ分析やフォレンジック、統計的な異常検知といった技術を内部監査部門に積み上げていく。膨大なデータから人手では見えない兆候を拾えるようになれば、監査の解像度は確かに上がる。

専門性の高度化そのものは、避けて通れない。問題は、突き詰めた専門性が「監査の専門家」のタコツボに閉じ、経営の言語へ翻訳されないまま埋もれてしまう場合である。技術の言語と経営の言語が噛み合わず、せっかくの分析結果が経営のアジェンダに乗らない。精緻な分析レポートが経営会議で「専門部署の報告」として処理され、意思決定のテーブルに乗ることなく記録の棚に収まる光景は珍しくないだろう。当局が掲げる「信頼されるアドバイザー」とは、本来、経営の意思決定に食い込む存在のはずだが、専門性に閉じこもった監査はむしろそこから遠ざかってしまう。独立性は孤立を意味しない、というIIAの原則は、この専門性の罠においてこそ逆説的に試される。独立を孤立へと転化させる、第三の経路である。

経営に直結すれば現場が遠のき、現場に近づけば独立性が溶け、専門性を極めれば経営から孤立する。三つの罠は、一つを埋めようとすれば別の穴が開くトレードオフとして連環しており、一つの制度設計だけで同時には解けない。これが、形は整っているのに空回りする、その正体である。

英雄に頼らず、仕組みで補う

三すくみが設計上の必然であるなら、発想を切り替えるほかない。すなわち、三つすべてを一人の優秀な内部監査人に背負わせるのをやめることだ。この三つを一人で兼ね備えた英雄的な人材を前提にしたガバナンスは、再現性に乏しく、有事に脆い。だからこそ、複数の経路と役割分担で罠を相互に補い合う構造を、制度として実装する必要がある。

第一・第二の罠、すなわち独立性と現場接続のトレードオフには、報告ラインの複線化が効く。CAEが取締役会や監査役会へ直接報告する経路（機能的報告）と、日常業務を経営へ報告する経路（管理的報告）を併せ持つ、いわゆるデュアル・レポーティングラインである。コーポレートガバナンス・コード補充原則4-13③も、取締役会・監査役会との連携確保の一環として、内部監査部門がこれらに直接報告を行う仕組みに言及している。直接報告はあくまで連携確保の手段の一つだが、独立した報告先を制度で確保しつつ、現場に近い業務報告のルートも閉ざさない。あわせて、現場出身者の登用には、定期的なローテーションと、出身部門の監査から一定期間離す独立性保護を組み合わせる。近さの利点を取りながら、近さの害を制度で抑える発想である。

第三の罠、専門性と経営接続のあいだには、第2線との連携強化が橋を架けるだろう。管理機能である第2線が現場から吸い上げる情報を第3線が活用すれば、自ら現場に深入りせずとも実態に近づける。ただし第3線は、第2線の評価をうのみにせず、独立した立場から検証する一線を残さなければならない。連携しても、独立性は手放さない。前稿で論じた、縦のラインが詰まったときに機能する「斜めのライン」――監査役等や通報窓口を経由する経路――も、ここに接続する。内部通報制度だけに依存する設計の危うさについては以前論じたとおりだが（内部通報制度だけでは足りない）、第3線が複数の情報源を束ねてはじめて、「独立性は孤立を意味しない」という理念は運用に落ちる。

専門性の孤立を避けるうえでは、テクノロジーの位置づけも問われる。第三の罠の核心は、拾った兆候を経営の言葉に翻訳できないことにあった。メールやチャットといった業務上のやり取りを横断的に分析し、通常とは異なる調整や不自然な兆候を早期に拾う技術は、その翻訳を支える有力な補助線になりうる。この技術は、内部監査の専門性を高めるだけでなく、拾い上げた兆候を「初動の優先順位」という経営が扱える形に落とし込む役割も担う。当社NaLaLysでも、こうした考え方を前提にしている。分析はあくまで見落としを防ぐための補助線であり、最終的な評価は人が担うものだ。専門性を経営の言語に翻訳し、現場の文脈と接続する役割までは、技術には肩代わりできない。

内部監査を構造で支える

冒頭の問いに戻ろう。内部監査は誰の味方か。答えは、特定の誰の味方でもない、である。経営の手先でも、現場の代弁者でも、株主だけの代理人でもなく、組織の健全性と、ステークホルダーへの説明責任を支えるための仕組みであるべきだ。そして健全性を守る装置は、優れた個人の有無に左右されてはならない。

三すくみは取り除くべき欠陥ではなく、設計の前提として受け入れるべき条件である。その必然を直視し、複線的な報告ラインや第2線との連携、独立性を守る運用で罠を相互に補い合うと決めたとき、制度設計ははじめて現実に向き合える。独立性は孤立を意味しない。その原則が個人の気合いではなく構造の中にはじめて宿るとき、内部監査は誰の味方でもなく、健全性の味方になれる。罠を罠と知って組み上げられた構造こそが、監査役等や第2線とともに、いざというときに組織を支える確かな命綱になる。

---

ニュースレーターの配信を行っています。
最新情報のご希望の方はこちらからご登録ください。