年度計画の立案にルールはあるのか？

内部監査に従事する、特に部門の責任者や管理職の方にとって、一年間を通じてどの領域の内部監査を実施するかを決定する年度計画の立案は、最も悩ましく難しい業務の一つでしょう。公認会計士の行う会計監査であれば、考慮しなければいけない事項が山のようにあり、大手監査法人ならどこでも監査計画についての詳細なテンプレートがありますが、内部監査にはそのような便利な（遵守しなければいけないという点では面倒な）ものはありません。
一応、内部監査人協会(The Institute of Internal Auditors, Inc.)という国際団体があり、そこが発行している「内部監査の専門職的実施の国際基準」（以下、内部監査基準）を見ると、「（内部監査部門の）計画の策定　内部監査部門長は、組織体のゴールと調和するように内部監査部門の業務の優先順位を決定するために、リスク・ベースの監査計画を策定しなければならない。」と書かれており、さらに幾つか注意書きのような条文があります。要するにリスク評価をしたうえで経営陣の意見なども反映して計画を作れ、と言っています。これだけでは雲をつかむような話ですね。しかも、この「内部監査基準」、特に法律などの強制力もなく、あくまで内部監査人協会による「ぼくのかんがえたさいきょうのないぶかんさ」みたいなものなので、あまり頼りになりません。結局、これといったルールはなく、内部監査部門でそれなりに外部にも説明可能かつ実効可能な計画をなんとか作っていくという会社が大半だろうと思います。では、実務でよく見られる年度計画の立案方式にはどのようなものがあるか見ていきましょう。以下の「××方式」というのは全て私がここで名付けたもので、一般的なものではないことにご注意ください。

ローテーション方式

では、実際には会社の内部監査部門では、どのように年度計画を立案しているのでしょうか？ローテーション方式は基本的な手法の一つです。要するに、監査対象部門・会社をリストアップして、最低でも例えば5年に一度は監査に行くようにする、というスタイルです。
ローテーション方式の長所は、客観性が担保しやすいので、被監査部署や取締役、監査役などに対しての説明が容易であること、網羅性があるので、特定の部署等に対して何十年もの間内部監査がなく、その間に不正が行われるといったリスクを防ぎやすいことなどです。また、監査対象のリスト化ができてしまえば、年度計画の策定が容易です。
一方ローテーション方式の短所は、人員が不足している場合、非常に長い期間をかけないとすべての監査対象をカバーできない、リスクを考慮していないので、見に行ったけど何もなかった、という無駄打ちが増えがち、M&Aや新規ビジネスなどへの対応が難しいことなどです。

パラメータ方式

リスクを定量化することにより、的確なリスク・ベースの年度計画を立案したい場合によく採用されるのが、パラメータ方式です。これはリストアップされた監査対象部門・会社について、それぞれ定量的なデータ（売上、利益、人員数等）や、定性的な情報（過去の近い時期に懲戒処分を受けた社員がいるか、部門長があまりに長期間同じ人のままか等）を収集し、一定のスコアを付してスコアの高いほうから監査対象とする方式です。私が過去に勤務した会社はいずれもこの方式を少なくとも部分的には採用していたので、最も一般的な手法と言えるかもしれません。
パラメータ方式の長所は、多くの視点からリスクの高そうな監査対象を絞り込むことができることでしょう。一方短所としては、データを集める工数がかかること、定量的なデータの多くは年度ごとの変動は大きくないので、毎年同じような監査対象が上位に来てしまいがちなこと、スコアに対する重みづけを恣意的に操作することで、結果を容易に変更できてしまうことなどです。

ヒアリング方式

主にマネジメントや重要な部署の責任者・管理職などに幅広くインタビューを行い、その結果をもとに監査部門で判断を行い年度計画を立案する方式です。適当に決めているのか、と思われるかもしれませんが、「内部監査基準」には「組織体のゴールと調和するように内部監査部門の業務の優先順位を決定する」という記述があり、そうバカにしたものでもありません。と言っても、自部門の問題点を正直に話してくれるマネジメントばかりとも限らないので、日ごろのコミュニケーションで監査部門に対して信頼を勝ち得ておくことや、適切な質問を用意してリスクをきちんと引き出すことが求められます。
ヒアリング方式の長所は何といってもマネジメントのリスクを直接計画に反映できる点です。一方、内部監査部門の独立性という視点からはあまりこればかりに依拠するのもどうなのか、とも言えるでしょう。

結局どういう方法が良いのか？