「内部監査は警察」ではない——値打ちは摘発でなく診断・予防・助言にある。有効性は能力・独立性・経営の支持・関係性で決まり、儀式化すれば安心を作るだけになる

内部監査は社内の警察だ——不正を探し犯人を取り締まる役だと受け取られがちだ。だが、そのイメージは狭すぎる。内部監査のほんとうの値打ちは、犯人を摘発することより、悪くなる前に不具合を見つけて直す診断・予防・助言にある。警察ではなく医師だ。よく効いている会社では、摘発の件数はむしろ少ないかもしれない。悪いことが起きる前に、静かに防いでいるからだ。ただし、監査が形を整えるだけの儀式に堕せば、ほんとうの安全ではなく安心を生産するだけになる。

内部監査を活かす——「内部監査は警察」ではない。値打ちは摘発ではなく、診断・予防・助言にある

前の単位では、権限規程を扱った。紙の権限と実際の権限はずれるのだった。ここでは、その決裁や統制が本当に働いているかを、組織の内側から確かめる仕組み——内部監査を扱う。

用語をほどく。内部監査とは、組織の中に置かれながら、業務や統制が適切に働いているかを、当事者から独立した立場で調べ、報告する機能のことだ。よく持たれるのは「内部監査は社内の警察だ」というイメージである。不正を探し出し、犯人を見つけて取り締まる——そういう、摘発の役割として受け取られがちだ。

この単位が示すのは、そのイメージが狭すぎる、ということだ。内部監査のほんとうの値打ちは、犯人を摘発することよりも、悪くなる前に不具合を見つけて直す「診断・予防・助言」にある。言うなれば、警察ではなく医師だ。医師は、病人を罰するために来るのではない。悪くなる前に体を診て、手当てを助けるために来る。順に見ていく。

内部監査が効くかどうかは、多くの要因で決まる

まず、内部監査が「効く」とはどういうことかを、実証で押さえる。Lenz と Hahn が2015年に、内部監査の有効性についてのそれまでの研究をまとめて整理したところ、有効性は、たった一つの取り締まり機能では説明できず、複数の要因の組み合わせで決まることが見えてきた。

具体的には、監査する人の能力、経営陣からの独立性、そして経営トップがその機能を本気で支えているか、監査する側とされる側の関係性——こうしたものが、内部監査が実際に役に立つかどうかを左右していた。「置けば効く」のではない。とりわけ、経営の支持と、独立した立場の確保がなければ、内部監査は、見つけたことを言えない、あるいは言っても動かない、無力な部署になってしまう。効き目は、取り締まる強さではなく、こうした条件が整っているかにかかっている。

この「独立性」と「経営の支持」は、一見すると矛盾するように見えるが、両方が要る。独立性とは、監査する側が、監査される部門や経営陣に忖度せず、見たままを言える立場のことだ。だが、いくら独立していても、経営トップが監査の指摘を面倒がって握りつぶすなら、指摘は宙に浮く。逆に、経営の支持が厚くても、監査する側が現場と癒着していれば、都合の悪いことは初めから見ないふりをされる。だから、内部監査を活かすとは、この二つ——言える立場と、言ったことが動く後ろ盾——を、同時に用意することにほかならない。片方だけでは、監査は空回りする。小さな組織で、代表自身がチェック役を兼ねる場合にも、この問いは効く。自分は、都合の悪い事実から目をそらしていないか。気づいたことを、面倒がらずに手当てにつなげているか。

値打ちは「摘発」ではなく「予防」に表れる

では、内部監査は、実際に何の役に立っているのか。ここで大事なのは、その効果が、犯人を捕まえた件数ではなく、悪いことが起きにくくなる、という予防の形で表れる、ということだ。Prawitt たちが2009年に示したのは、内部監査の質が高い会社ほど、財務報告の数字がゆがめられにくい、という関係だった。

これは、摘発の話ではない。しっかりした内部監査があること自体が、不適切なことをやりにくくさせ、結果として数字の質を保つ——予防としての効果だ。DeFond と Zhang が2014年に、監査研究全体を見渡して整理したのも、監査の価値が、悪者を捕まえる派手さではなく、「この数字や仕事は信頼してよい」という保証（アシュアランス）の質に宿る、ということだった。つまり、内部監査がよく効いている会社では、目に見える手柄——摘発した不正の件数——はむしろ少ないかもしれない。悪いことが起きる前に、静かに防いでいるからだ。医師の仕事が、大手術の回数ではなく、大事に至らせない日々の診察に表れるのと同じである。

ここに、内部監査を評価するときの、やっかいな逆説がある。予防がうまくいくほど、目に見える成果は減る、ということだ。摘発した不正の件数や、指摘して直させた重大な問題の数——こうした「分かりやすい手柄」は、内部監査がよく効いていれば効いているほど、少なくなっていく。すると、成果が見えないという理由で、内部監査への投資が削られ、機能がやせ細り、やがて本当に問題が起き始める、という皮肉な悪循環が起こりうる。火事が減ったからといって消防を減らせば、いずれ火事は増える。内部監査を活かしたいなら、この逆説を知っておくことが要る。件数の少なさを、働いていない証拠と取り違えないこと。むしろ、静かな平穏こそが、予防が効いているしるしかもしれないのだ。

役割は「保証」から「助言」へ——ただし儀式化には注意

内部監査の役割は、時代とともに広がってきた。Roussy と Perron が2018年に整理したように、内部監査は、「これは大丈夫だと確かめる（保証）」だけでなく、「どう直せばよいかを一緒に考える（助言）」へと、その仕事を広げている。まさに、取り締まる警察から、診て手当てを助ける医師への広がりだ。

ただし、二つの但し書きがある。一つは、独立性の緊張だ。Stewart と Subramaniam が2010年に論じたように、内部監査は、組織の中にいながら組織を客観的に見なければならないという、構造的な難しさを抱えている（前の段の三線でも、この独立性の置きどころに触れた。ここでは内部監査そのものが抱える緊張として見る）。助言に寄りすぎて仲良くなれば、独立した目が鈍る。もう一つは、儀式化のリスクだ。Power が著書『The Audit Society』（1997年）で鳴らした警鐘は、監査が、実質を確かめる営みから、「確かめました」という形を整えるだけの儀式に堕し、ほんとうの安全ではなく「安心」を生産するだけになりうる、というものだった。チェックリストに印がついていることと、実際に安全であることは、別だ。内部監査を活かすとは、この儀式化を避け、診断と予防と助言が実際に働くようにすることにほかならない。

儀式化は、悪意から起きるのではない。むしろ、真面目に手続きを守ろうとするほど、忍び寄ってくる。決められた項目を一つずつ確認し、すべてに印をつけ、報告書を期日どおりに出す——その一連の作業をこなすこと自体が目的になったとき、監査は、実質を確かめる営みから、形をそろえる作業へと、静かにすり替わる。印がそろった報告書は、誰も責められないという安心を配ってくれる。だが、その安心は、実際の安全とは別物だ。だからこそ、内部監査を活かしたい人が定期的に自問すべきなのは、「この確認は、何かを本当に確かめているか、それとも、確かめたという記録を作っているだけか」である。この問いを忘れると、どんなに立派な監査の体制も、時間とともに、安心を配るだけの装置に変わっていく。

時間・変化：内部監査の研究が積み上げてきた向き

順に置く。1997年、Power が、監査が儀式化し「安心」を生産しうると警鐘を鳴らす。2009年、Prawitt たちが、内部監査の質が財務報告の質を高める（予防効果）と示す。2010年、Stewart と Subramaniam が、内部監査の独立性・客観性の構造的な緊張を論じる。2014年、DeFond と Zhang が、監査の価値は保証の質に依存すると整理し、2015年、Lenz と Hahn が有効性は多要因だと統合し、2018年、Roussy と Perron が、役割が保証から助言へ広がると整理した。

この流れで確からしくなったのは、「内部監査は警察」ではない。確からしくなったのは、内部監査の値打ちは摘発ではなく診断・予防・助言にあり、有効性は能力・独立性・経営の支持・関係性という多要因で決まる——ただし儀式化すれば安心を作るだけになる、という向きのほうである。六本の研究と一冊の古典が、警察という一枚の絵を、診断・予防・助言という奥行きのある像へと、少しずつ描き替えてきたのだ。

妨げるもの、助けるもの、最初の一歩

妨げるものの筆頭は、「監査＝あら探し」という受け止めだ。監査を摘発の場と見なすと、現場は問題を隠し、監査する側も手柄のためにあらを探す——診断も予防も助言も、そこでは働かない。もうひとつの妨げは、逆に「うちには監査部門がないから関係ない」と切り離すこと——当事者以外の目で、業務が回っているかを定期的に確かめる、という機能そのものは、部門がなくても、代表自身や別の担当が担える。

助けになるのは、社内のチェックを「見つけて罰するため」ではなく、「悪くなる前に直すため」の診察として設計することだ。問題を報告した人が不利にならず、見つかった不具合が、処罰ではなく改善につながる。この設計であれば、人は隠さず、監査は予防として働く。

最初の一歩は10分。自分の組織にある「確かめる仕組み」——定例の点検、上長のチェック、外部の目、なんでもよい——を一つ思い出し、「それは、見つけたら罰する場になっているか、それとも直すために使える場になっているか」「問題を見つけた人は、隠したくなるか、言いやすいか」を書き出し、罰の場に寄っていたら、直すための場に近づける工夫を一言添える。誰かを摘発する材料を集める必要はない——自分の組織のチェックが、警察寄りか医師寄りかを見立てるメモとして完結する。通報者や当事者の個人情報を材料にする必要はない。

次の単位では、そうした確かめる仕組みのもう一つの柱——現場の声が上に届く通報の仕組みを、最新の法改正もふまえて扱う。これで体制の緑の段の締めとなる。

皮肉なのは、いちばん熱心に「あら探し」をする監査ほど、組織を安全から遠ざけることがある、ということだ。摘発の手柄を競えば、現場は問題を隠し、都合の悪い事実は監査の目の届かない場所へ押しやられる。見つかった件数は増えても、隠された件数はもっと増える。内部監査のほんとうの値打ちは、何件捕まえたかではなく、悪くなる前に、どれだけ静かに直せたかにある。だから、社内のチェックを設計するとき問うべきは、これは罰する場か、直す場か、である。問題を見つけた人が隠したくなる仕組みなら、それは警察に寄りすぎている。言いやすく、直すために使えるなら、それは医師に近い。次は、その診察を支えるもう一つの仕組み——現場の声が上に届く通報の仕組みへ進む。