小規模企業の内部監査実装ガイド～従業員30名以下のTPM上場企業が選んだクロス監査という現実解～
ご無沙汰しております、三宮です。 以前のnoteでは、TPM上場準備の全体スケジュールや実務プロセスについてお話ししました。今回は、その中でも特に「内部監査」にフォーカスして深掘りしていきます。
「内部監査って、うちみたいな会社でも必要なんですか？」
上場準備の初期段階で、社内で最も多く聞かれた質問でした。 従業員が30名にも満たないベンチャー企業にとって、「監査」という言葉はどこか他人事に感じられるものです。僕自身もCFOとして最初にこのテーマに向き合ったときは、「いまはそんな余裕はない」と正直思っていました。
でも、上場準備を進めていく中で繰り返し問われたのは、「内部監査をどう仕組みに落とし込み、継続性を持たせるか」という一点。つまり、"やっている"ではなく、"続けられる"ことが求められるのです。
とはいえ、専任の監査担当を置けるほど人手はない。そこで僕たちが選んだのが「クロス監査」という方法でした。結果的にこの仕組みが、社内の牽制機能を育てるきっかけにもなりました。
このnoteは、ナウビレッジと同程度の規模（従業員30名以下）で、これからTPM上場を目指す経営者やCFO、管理部門の責任者の方々に、少しでも参考になる情報を届けたいと思って書いています。
内部監査とは何か（外部監査との違い）
まず押さえておきたいのが、「内部監査」と「外部監査」はまったくの別物だということです。
外部監査は、監査法人が第三者の立場で財務諸表の適正性を確認するもの。それに対し、内部監査は代表取締役直轄の独立した内部組織が、業務の運用を点検し、改善につなげるプロセスです。
内部監査には大きく3つの柱があると考えています。
ひとつは「リスクの未然防止」。不正や損失が発生する前に、業務プロセスの中にあるリスクの芽を摘むこと。ふたつめは「運用の最適化」。業務がより効率的・合理的に回るよう、仕組みの改善を図ること。そして3つめが「法令遵守（コンプライアンス）の確認」です。
この3つめが、小規模企業にとっては特に重要だと感じています。会社が事業を行う上では、労働基準法、個人情報保護法、下請法、景品表示法など、守るべき法令は多岐にわたります。ただ、専任の法務担当がいない会社では、「守れているつもりだけど、客観的に確認する機会がない」というのが現実ではないでしょうか。内部監査は、法令や社内規程の遵守状況を定期的にチェックし、リスクが顕在化する前に軌道修正できる仕組みでもあるのです。
ナウビレッジの内部監査規程でも、内部監査の意義を「業務の運営並びに財産の運用及び保全が、法令・定款・諸規程等あらかじめ定められた基準に適正に準拠して効率的に実施されているかどうかを検討し、経営の合理化、業務能率の改善向上を図るもの」と定めています。堅い表現ですが、要は「法令や社内規程を含めたルール全体に照らして、ちゃんと回っているかを確認し、もっと良くしていこう」ということです。
実際にナウビレッジの監査でも、業務プロセスの確認だけでなく、法改正に伴う社内規程の更新が適切に行われているか、事業特性に応じた法令対応が日々の運用に落とし込まれているか、といった観点を含めて確認しています。
僕はこれらを社内では「会社の健康診断」だと説明していました。病気（不正）を探すのではなく、生活習慣（仕組み）を見直すようなもの。法令遵守も、「違反を見つけて罰する」のではなく、「気づかないうちにルールから外れていないかを確認し、正しい方向に戻す」ためのプロセスです。この例え話がメンバーにも伝わりやすかったようで、内部監査に対する心理的なハードルが少し下がったと感じています。
TPMは、プリンシプルベース（原則主義）の市場です。「実際に機能しているか」「改善に繋がっているか」が常に問われます。だからこそ、形式ではなく実効性をどう出すかが鍵になります。
ちなみに、TPMでは内部統制報告書の提出は任意です。一般市場（プライムやスタンダード、グロース）と比べると形式要件は緩い。でも、だからといって内部監査をやらなくていいかというと、そうではありません。J-Adviserは上場後もモニタリングを継続する仕組みになっていて、コーポレートガバナンスや内部管理体制の実効性は継続的に確認されています。「制度上は任意だけど、実務上はほぼマスト」というのが、僕の実感です。
クロス監査という現実解
内部監査の専任担当者を置くのは、僕たちの規模では現実的ではありませんでした。でも、牽制機能は持たせる必要がある。そこで採用したのが「クロス監査」です。
以前のnoteでも少し触れましたが、具体的にはコンサルティング事業部と管理部の2部署間で、互いの管掌取締役がそれぞれ相手の部門を監査する仕組みです。僕（管理部取締役CFO）がコンサルティング事業部を監査し、取締役COOが管理部を監査する。お互いが「する側」と「される側」を入れ替えることで、相互牽制を仕組みとして機能させています。
この方式のいいところは、自部門のことをよく分かっているからこそ、他部門を見る目が鋭くなること。逆に、自分の部門が他者の目で見られることで、「当たり前」だと思っていた運用の改善点に気づけることです。
初年度は手探りでした。監査チェックリストも完璧ではなく、「とにかくやってみよう」の精神で動かしました。最初から100点を目指さず、70点で動かして改善する。これは上場準備全体を通じて大切にしてきたスタンスですが、内部監査においてもまさにそうでした。
社内では「これ、何を確認すればいいの？」という声もありました。形式的なチェックにならないよう、「なぜこの項目を確認するのか」という目的を共有しながら進めたことで、少しずつ"監査が自分ごと"になっていきました。
内部監査の年間サイクル
内部監査は「一度やって終わり」ではなく、年単位で回す仕組みにすることが大切です。ナウビレッジでは、内部監査規程に基づいて以下のフローで1年間のサイクルを回しています。
まず「計画フェーズ」。期首に、監査の方針・対象部門・目的・項目・方法・日程・監査人を記載した「内部監査計画書」を作成し、代表取締役社長の承認を得ます。管理部とコンサルティング事業部それぞれの計画書を別々に作成しました。前回の監査結果や、経営環境の変化、法令の改正状況を踏まえて、重点的に確認する項目を決めるのがポイントです。
次に「通知・準備フェーズ」。監査の対象・日程・監査人などを記載した「内部監査実施通知書」を被監査部門に送付します。事前に通知することで、必要な書類や資料を準備してもらいます。
そして「監査実施フェーズ」。現場確認、書類閲覧、ヒアリングを中心に進めます。ナウビレッジでは、部門責任者への業務状況ヒアリングから始まり、人事・労務、経理・支払、契約管理、情報セキュリティといった各領域について、関係書類の閲覧と運用状況の確認を網羅的に行いました。
監査後は「報告フェーズ」。「内部監査報告書」を作成し、監査結果の要約、総合所見、指摘事項、再発防止策をまとめて代表取締役社長に報告します。改善が必要な事項があれば、「改善指示書」を被監査部門の責任者に送付します。
続いて「改善フェーズ」。被監査部門が「改善計画書兼報告書」を作成し、具体的な改善スケジュールと対応策を示します。
最後に「確認・フォローアップフェーズ」。改善が実際に運用されているかを確認し、「改善状況の確認報告」として代表取締役社長に報告します。さらにナウビレッジでは、毎回「フォローアップ監査」も実施しています。部門監査の後、一定期間を置いてから業務運用の継続性をあらためて確認するもので、年間スケジュールに正式に組み込んでいます。
計画書 → 通知書 → 監査実施 → 報告書 → 改善指示書 → 改善計画書 → 改善状況の確認 → フォローアップ監査。この一連のプロセスで1年間のサイクルが完結します。
正直、最初にこのフローを見たときは「こんなに書類を作るのか…」と思いました。でも、実際に回してみると、一つひとつに意味があることがよく分かります。とくに、改善指示から改善計画、改善確認、フォローアップ監査まで一気通貫で追いかける仕組みは、「指摘して終わり」にしないために欠かせません。
1年目は正直バタバタでしたが、2年目以降は格段にスムーズに回せるようになりました。書類のフォーマットを規程の様式として整えておくと、前年をベースに改善点を反映するだけで済む。地味ですが、この準備が継続の鍵になります。
管理部の監査で見えたこと
管理部の監査では、取締役COOが監査担当となり、業務全般を網羅的に確認しました。具体的には、人事・労務管理の運用状況（勤怠管理、給与関連の証憑確認、人事関連規程の確認）、経理業務および支払フローの運用状況、情報セキュリティ（PCセキュリティ体制の確認）などについて、関係書類の閲覧とヒアリングを中心に実施しています。
結果として、取締役会の運営・議事録管理、会計処理、人事労務管理、契約管理、セキュリティ管理の各分野で、大きな問題は認められませんでした。
一方で、「もっと良くできるポイント」も見つかりました。
ひとつは、規程の周知方法の改善です。改定自体は適切に行われていたものの、改定内容を従業員に確実に届ける仕組みをもっと強化できるのではないか、という改善テーマが浮かび上がりました。これを受けて、規程変更時の周知フローを新たに構築し、規程の格納フォルダも整備しました。
もうひとつは、情報セキュリティ研修の体系化です。アクセス管理やパスワード管理の運用自体は適切でしたが、従業員全体のセキュリティ意識をさらに底上げするため、定期的な研修を仕組みとして組み込むことにしました。
いずれも「大きな問題があった」わけではなく、「今のうちに仕組みとして整えておこう」という予防的な改善です。まさに、監査が「改善のきっかけ」として機能した好例だと思っています。
コンサルティング事業部の監査で見えたこと
コンサルティング事業部の監査は、僕（CFO）が担当しました。契約書の締結から業務遂行、請求書発行に至るまでの業務プロセス全般と、関連する証憑の管理状況について網羅的に確認しています。
結果として、契約管理は適正なプロセスが維持されており、条件変更時には覚書を交わす運用も機能していました。請求管理でも上長承認のフローが確実に働いており、請求漏れや二重請求はなし。納品管理についても、納品書と発注内容の整合性が確保されていました。
改善テーマとして浮かび上がったのは、案件進捗の可視化です。案件数が増える中で、進捗状況を部門全体でリアルタイムに把握できる仕組みを整備しよう、という方向性でした。
改善計画を策定し、段階的に対応を進めました。案件管理ツールの選定・導入と運用ルール策定、担当者への利用教育、案件進捗の共有・報告体制の構築、フォローアップ研修による定着。最終的には、進捗状況を週次で事業部責任者が確認する運用が根付き、改善の実効性が確認できています。
監査をきっかけに業務フローそのものが整備・強化されたのは、想定以上の成果でした。
2年目の内部監査で感じた進化
ここまでは初年度の話が中心でしたが、2年目では1年目の経験を踏まえて内部監査そのものが確実に進化しています。この成長の過程こそ、小規模企業の内部監査の醍醐味だと思うのでご紹介します。
まず、監査項目の拡充。管理部の監査では、初年度は人事・経理・情報セキュリティの3領域が中心でしたが、2年目では「契約書および重要書類の管理状況」「情報管理および内部牽制の状況（業務の属人化リスクへの対応を含む）」が加わり、4領域に広がりました。1年目に基盤を固めたからこそ、2年目でより広い視野での監査が可能になったということです。
次に、監査目的の深化。初年度は「業務プロセスが社内規程に準拠しているか」「相互牽制が機能しているか」の2点が主でしたが、2年目では「会社全体のガバナンスおよびリスク管理の観点から、業務運営が合理的かつ適切に行われているかを把握する」という視点が加わりました。個々の規程遵守だけでなく、経営全体の中で管理業務を評価する、一段上の視座です。
そして、フォローアップ監査の正式なスケジュール化。2年目からは年間計画の中に「3月～5月：部門監査」「7月～9月：フォローアップ監査」「12月：次年度計画の整理」と明確に位置づけました。部門監査で確認した内容について半年後にあらためて運用状況を確認する。これによって「監査→改善→定着」の流れがより確実になりました。
実際、2年目の管理部監査では「直ちに是正を要する重大な不備は認められなかった」という結果に至っています。初年度に改善テーマとなった規程の周知方法やセキュリティ研修の体系化が、しっかり定着していた証拠です。
最初から完璧な監査を目指す必要はない。でも、毎年確実に進化させていく。その積み重ねが、結果的に強固なガバナンス体制を築いていく。2年間の実体験を通じて、そう実感しています。
内部統制と内部監査の関係
内部統制と内部監査は密接に関係していますが、役割は異なります。内部統制は「ルール」を定める仕組み、内部監査はそのルールが守られているかを確認する仕組みです。
小規模企業がまず整えるべきは、稟議・承認のプロセス、経費精算のルール、契約締結・管理の方法、勤怠・労務管理の仕組み、この4つの領域です。
ここで大事なのが、「運用の証跡を残す」ということ。稟議書や承認記録に「誰が・いつ・どの判断をしたか」を明示するだけで、外部から見たときの信頼性は大きく変わります。証跡がしっかり残っていれば、監査もスムーズに進みます。
さらに、規程やフォームに改定履歴やバージョン管理を加えると、作って終わりではなく運用していることを示せます。過去のnoteでも触れましたが、規程を50本以上作成・整備した経験から言えるのは、「作った規程が実際に使われているか」が何より重要だということ。
ルールを整え、監査でその運用を点検する。この二段構えが、上場準備を進める上での大切な基盤になります。
形式から入って、実質に育てる
経営側の立場から強く感じたのは、完璧を求めず、まず形にすることの大切さです。
ナウビレッジでは、内部監査規程で定めた様式（監査通知書、監査報告書、監査調書、監査結果通知書、改善状況報告書など）をまず整え、そのフォーマットに沿って1年間回すところから始めました。最初は「フォーマットを埋めること」自体が大変でしたが、2年目からは前年の書類をベースに改善点を反映するだけで回せるようになります。そして実際に、2年目には監査項目の拡充や監査目的の深化、フォローアップ監査のスケジュール化と、監査の質そのものが着実に上がっていきました。
もうひとつ意識したのが、監査報告を月次レビューに組み込むこと。報告書を提出して終わりではなく、経営陣が定期的に結果を確認し、改善をフォローする。この経営が関与し続ける運用が、継続性を支えるポイントです。
内部監査を始める前は「負担が増えるのでは」と懸念していました。しかし実際には、業務の可視化が進み、判断スピードが上がりました。規程の周知方法が改善され、案件管理の仕組みが整備された。どちらも「監査がなければ後回しにしていたかもしれない改善」です。
監査＝監視ではなく、監査＝改善の仕組み。これは僕にとっても大きな気づきでした。
まとめ
最後に、このnoteでお伝えしたかったことを整理します。
内部監査は「完璧な仕組み」より「実行できる仕組み」が大事です。小規模企業でも「クロス監査」で相互牽制を仕組み化できる。監査は「チェック」ではなく「改善のきっかけ」。計画書からフォローアップ監査まで、1年間のサイクルを回しきること。そして毎年、少しずつ監査そのものの質を上げていくこと。経営陣が関与し続けることで、継続性と信頼性が生まれます。
内部監査は「やらされるもの」ではなく、「会社を守る仕組み」です。不完全でもまず始めてみる。その一歩が、上場後のガバナンスを支える基盤になります。
このnoteが、これからTPM上場を目指す企業の背中を少しでも押せれば幸いです。もし具体的な質問があれば、お気軽にご連絡ください！
※本記事はナウビレッジ株式会社の実体験に基づく個人の見解であり、上場準備や経営に関する専門的助言を目的としたものではありません。内部監査・内部統制の整備内容は企業の規模や業種によって異なります。個別の判断については、J-Adviserや監査法人等の専門家にご相談ください。