USCPA AUD内部統制の頻出論点7つ|出題の型を実務目線で

この記事でわかること

• AUDの内部統制がどこで出題されるか(Area IIリスク評価25〜35%・Area
  III手続き30〜40%の中核)と、配点上の重み
• 頻出論点7つ(COSOの5要素・統制の種類と職務分掌・内部統制の理解と評価の手順・運用評価と実証手続きの関係・不備の3段階と報告・上場会社の統合監査・受託会社のSOC報告書)の出題の型
• 各論点で「誤りの選択肢」が作られるパターン(経営者の責任と監査人の責任の入れ替え・整備と運用の混同・依拠の条件の言い過ぎ)
• 監査実務3年で見た内部統制評価の現場(ウォークスルー・サンプル抽出・不備の判定会議)と、それを試験問題に読み替える方法
• 内部統制のTBSで問われる「統制→リスク→手続き」の対応表と、筆者が実務で最初に覚えた職務分掌の型

著者情報:しわすゆう|USCPA(米国公認会計士)。大学在学時にアビタスのUSCPA講座を受講しUSCPAを取得。新卒でBIG4監査法人に就職し会計監査を3年経験。現在はコンサル会社に勤務。

最終更新日:2026年8月29日

「AUDの内部統制は範囲が広くて、どこを押さえればいいか分からない」「COSOは覚えたのに問題が解けない」という方に向けた記事です。

結論から言うと、AUDの内部統制は「COSOの5要素を暗記する科目」ではなく、「監査人が内部統制を理解し、評価し、依拠するかどうかを判断する流れ」を問う領域で、頻出論点は7つに絞れます。

筆者は監査法人で3年間、内部統制の評価(ウォークスルー・運用評価・不備の判定)を担当しました。

受験時に「なぜこの手続きをするのか」が分からず覚えていた論点の多くは、実務で「監査人は統制に依拠して実証手続きを減らしたい。そのために統制が有効かを確かめる」という一本の流れで理解できるものでした。

この記事では、AICPAのブループリントと監査基準(AU-C・PCAOB
AS)を一次情報として、頻出論点7つの出題の型と誤りの選択肢のパターンを整理し、実務の現場を試験問題に読み替える方法を解説します。

AUDの出題範囲は「USCPAのAUDとは|出題範囲・形式・難易度を監査経験者が解説」、点が伸びないときの対処は「USCPA AUD沼の脱出法|点が伸びない5つの原因と対策」で扱っているので、本記事は「内部統制の論点」に絞ります。

AUDで内部統制はどこに出るか|配点の中核を占める理由

AUDの内部統制は、Area
II「リスク評価と計画」(配点25〜35%)の「内部統制の理解と評価」と、Area
III「手続きと証拠」(30〜40%)の「運用評価手続き」の両方にまたがり、合わせて配点の3〜4割に関わる。MCでは「監査人の次の手続き」「統制の目的」「不備の判定」が、TBSでは「統制の識別→リスク→手続きの対応」が問われる。

まず、内部統制がブループリントのどこに位置するかを整理します。

Area	配点	内部統制に関わる内容	出題の型
I 倫理・職業上の責任	15〜25%	経営者の責任(内部統制の整備・運用)と監査人の責任の区別	「誰の責任か」のMC
II リスク評価と計画	25〜35%	内部統制の理解(5要素)、統制リスクの評価、ITの理解、受託会社の利用、統制の整備状況の評価	「理解の手順」「依拠するかの判断」のMC・TBS
III 手続きと証拠	30〜40%	運用評価手続き(テスト・オブ・コントロール)、サンプリング、実証手続きとの関係	「手続きの選択」「統制と実証の組み合わせ」のTBS
IV 結論と報告	10〜20%	不備の報告(監査役等への伝達)、上場会社の内部統制監査報告	「不備の3段階と報告先」のMC

出典:AICPA「Uniform CPA Examination
Blueprints」(2026年版、2026年8月29日確認)

内部統制は4つのAreaすべてに顔を出し、Area
II・IIIの中核を占めます。

「内部統制」という独立した章として覚えるより、「監査の流れの中で内部統制がどう使われるか」で押さえる方が、出題の型に合います。

内部統制を貫く一本の流れ

筆者が実務で最初に理解したのは、次の流れです。

段階	監査人がすること	目的
① 理解する	内部統制の5要素を、質問・観察・閲覧・ウォークスルーで理解する	重要な虚偽表示リスクを識別する。すべての監査で必須
② 整備状況を評価する	統制が「設計として」リスクを防げるか、実際に導入されているかを評価する	依拠できそうな統制を絞る
③ 依拠するか決める	統制に依拠して実証手続きを減らすか、依拠せずに実証手続きだけで対応するかを決める	監査の効率と有効性
④ 運用評価する	依拠する場合のみ、統制が期間を通じて有効に運用されているかをテストする	依拠の根拠を得る。依拠しない場合は不要
⑤ 不備を評価・報告する	発見した不備を3段階(不備・重要な不備・重大な欠陥)に判定し、監査役等・経営者に伝達する	報告義務

「理解は必須、運用評価は依拠する場合のみ」が、内部統制の問題の半分を解く鍵です。

この流れを頭に置いて、7つの頻出論点を見ていきます。

頻出論点①〜③|COSOの5要素・統制の種類・理解と評価の手順

論点①COSOの5要素は「統制環境・リスク評価・統制活動・情報と伝達・モニタリング」の内容と、各要素の具体例を問う。論点②統制の種類は「予防的・発見的」「手作業・自動化」「職務分掌(承認・記録・保管・照合の分離)」を問う。論点③理解と評価の手順は「質問だけでは不十分」「ウォークスルーで整備状況を確認」「理解はすべての監査で必須」を問う。

論点①:COSOの5要素

要素	内容	出題される具体例	誤りの選択肢のパターン
統制環境(Control Environment)	組織の統制に対する姿勢。誠実性と倫理、取締役会・監査役の監督、組織構造、人事方針	「経営者の姿勢(tone at the top)」「監査委員会の独立性」「採用・研修の方針」	統制環境の具体例を統制活動として書く
リスク評価(Risk Assessment)	企業自身が財務報告のリスクを識別・分析するプロセス	「新規事業・システム変更・人事異動によるリスクの識別」	企業のリスク評価と監査人のリスク評価を混同させる
統制活動(Control Activities)	リスクに対応する方針と手続き。承認、照合、職務分掌、物理的管理、IT統制	「支払の承認」「銀行残高の照合」「棚卸資産の物理的管理」	統制活動を統制環境の例として書く
情報と伝達(Information and Communication)	財務報告に必要な情報を識別し、組織内外に伝えるシステム	「会計システム」「内部通報制度」「取引の記録から報告までの流れ」	情報システムをモニタリングとして書く
モニタリング(Monitoring)	内部統制が機能しているかを継続的・個別に評価する活動	「内部監査」「経営者による定期的なレビュー」	内部監査を統制活動として書く

5要素の出題の型は「この具体例はどの要素か」です。

覚え方として、要素の頭文字「CRIME(Control environment・Risk
assessment・Information and communication・Monitoring・Existing control
activities)」が有名ですが、試験で問われるのは頭文字ではなく「具体例の分類」です。

実務では、統制環境は「経営者インタビューと取締役会議事録の閲覧」、統制活動は「業務プロセスのウォークスルー」、モニタリングは「内部監査部門へのヒアリング」で理解します。

論点②:統制の種類と職務分掌

分類軸	種類	例	出題の型
タイミング	予防的統制(preventive)	承認、職務分掌、アクセス制限	「虚偽表示を未然に防ぐ統制はどれか」
	発見的統制(detective)	照合、棚卸、レビュー	「発生後に発見する統制はどれか」
手段	手作業統制(manual)	上長の承認印、目視のレビュー	「人による判断が必要な統制」
	自動化統制(automated / IT application control)	システムによる入力チェック、自動照合	「IT全般統制が有効なら、自動化統制は少ないサンプルで評価できる」
範囲	全社的統制(entity-level)	経営者の姿勢、監査委員会、内部監査	「業務プロセス統制の評価に影響する」
	業務プロセス統制(process-level / transaction-level)	売上・購買・給与などの各プロセスの統制	「特定のアサーションに対応する」

職務分掌(segregation of
duties)は、内部統制で最も頻出の論点です。

分離すべき職務	内容	兼務した場合のリスク
承認(Authorization)	取引を承認する	承認と記録を兼務→架空取引を記録できる
記録(Recording)	取引を帳簿に記録する	記録と保管を兼務→資産を持ち出して記録を改ざんできる
保管(Custody)	資産を物理的に管理する	保管と照合を兼務→横領を隠せる
照合(Reconciliation)	記録と実在を照合する	照合を独立した者が行わないと発見的統制が機能しない

出題の型は「次のうち職務分掌として適切でない組み合わせはどれか」で、「同じ人が承認・記録・保管のうち2つ以上を担う」選択肢が誤りです。

筆者が実務で最初に覚えたのもこの型で、ウォークスルーでは「この伝票を承認した人・入力した人・現金を扱う人・照合した人は誰か」を必ず確認しました。

小規模企業で職務分掌が不十分な場合、「経営者による直接の監督(オーナーによるレビュー)」が補完統制になる、という論点もセットで出ます。

論点③:内部統制の理解と評価の手順

手順	内容	出題される「正しい」記述	誤りの選択肢のパターン
理解	5要素を質問・観察・閲覧・ウォークスルーで理解する	「理解はすべての監査で必要」「質問だけでは不十分」	「小規模企業では理解を省略できる」「依拠しない場合は理解が不要」
文書化	フローチャート、質問書(ICQ)、ナラティブ(文章)で文書化する	「文書化の形式は監査人が選ぶ」	「フローチャートが必須」
整備状況の評価	統制が設計としてリスクを防げるか、導入されているかを評価する	「ウォークスルー(取引を1件、最初から最後まで追う)で確認する」	「整備状況の評価で運用の有効性が分かる」(整備と運用の混同)
統制リスクの評価	統制が虚偽表示を防止・発見できないリスクを評価する	「統制リスクを最大(依拠しない)と評価すれば運用評価は不要」	「統制リスクを低く評価するには運用評価が不要」

「整備(design)」と「運用(operating
effectiveness)」の混同が、最も多い誤りのパターンです。

整備状況の評価は「統制があるか・設計として有効か」、運用評価は「期間を通じて実際に機能していたか」で、整備状況の評価だけでは統制に依拠できません。

頻出論点④〜⑤|運用評価と実証手続きの関係・不備の3段階

論点④運用評価は「依拠する場合のみ行う」「質問だけでは不十分で、観察・閲覧・再実施を組み合わせる」「統制の頻度でサンプル数が決まる」「不備が見つかれば統制リスクを引き上げ、実証手続きを拡大する」を問う。論点⑤不備は「不備・重要な不備(significant
deficiency)・重大な欠陥(material
weakness)」の3段階の定義と、監査役等への書面での伝達を問う。

論点④:運用評価と実証手続きの関係

項目	内容	出題される「正しい」記述
運用評価を行う条件	統制に依拠して実証手続きを減らす場合。または実証手続きだけでは十分な証拠が得られない場合(自動処理が多い取引等)	「依拠しないなら運用評価は不要」「実証手続きだけで対応できない場合は運用評価が必須」
運用評価の手続き	質問+観察・閲覧・再実施。質問だけでは不十分	「承認印の閲覧と、承認者への質問を組み合わせる」
サンプル数	統制の頻度で決まる(日次→多い、月次→12件、四半期→4件、年次→1件)	「月次の統制は12件程度」
期中と期末	期中に運用評価した統制は、残存期間についてロールフォワード(追加手続き)が必要	「期中評価後の残存期間を補う手続きを行う」
逸脱(deviation)を発見した場合	統制リスクを引き上げ、実証手続きの性質・時期・範囲を拡大する。または補完統制を評価する	「逸脱があれば実証手続きを増やす」
前年の評価の利用	3年に1回は運用評価が必要(不正リスクに対応する統制は毎年)	「前年の結果を無条件に使える」は誤り

運用評価と実証手続きは「トレードオフ」です。

統制リスクの評価	運用評価	実証手続き
低い(統制に依拠)	行う	減らせる(性質を分析的手続き中心に、時期を期中に、範囲を小さく)
最大(依拠しない)	行わない	すべてのアサーションを実証手続きだけでカバー(期末・詳細テスト中心)

出題の型は「統制の運用評価で逸脱が見つかった。監査人が次に行うべきことは?」で、答えは「実証手続きの範囲を拡大する(または補完統制を評価する)」です。

「監査意見を限定する」「監査を中止する」は言い過ぎの誤りです。

論点⑤:不備の3段階と報告

段階	定義	報告先	報告の形式
不備(deficiency)	統制の整備・運用が、虚偽表示を適時に防止・発見できない状態	経営者(適切な階層)	口頭または書面
重要な不備(significant deficiency)	重大な欠陥ほどではないが、監査役等の注意に値する不備(またはその組み合わせ)	監査役等(those charged with governance)と経営者	書面(監査報告書日から60日以内が望ましい)
重大な欠陥(material weakness)	重要な虚偽表示が適時に防止・発見されない「合理的な可能性(reasonable possibility)」がある不備	監査役等と経営者	書面。上場会社では内部統制監査報告書で「不適正意見」

出典:AU-C 265、PCAOB AS 2201・AS 1305(2026年8月29日確認)

出題の型は次の3つです。

型	例	答えの軸
判定	「経理部長が仕訳の承認と入力を兼務している。この不備の段階は?」	「重要な虚偽表示が起きる合理的な可能性があるか(可能性)」と「その虚偽表示は重要か(金額)」の2軸で判定
報告先	「重要な不備を発見した。誰に、どの形式で報告するか?」	監査役等と経営者に書面
監査意見への影響	「重大な欠陥があると、財務諸表監査の意見はどうなるか?」	財務諸表監査の意見には直接影響しない(実証手続きで虚偽表示が発見・修正されれば無限定)。上場会社の内部統制監査では不適正意見

「重大な欠陥=財務諸表監査の意見が限定される」は誤りで、最も引っかかりやすい選択肢です。

内部統制の不備と財務諸表の虚偽表示は別物で、不備があっても実証手続きで虚偽表示を発見・修正できれば、財務諸表監査の意見は無限定です。

筆者が実務で経験した不備の判定会議は「不備の判定は誰がどう決めるか」の項で書きます。

頻出論点⑥〜⑦|上場会社の統合監査・受託会社のSOC報告書

論点⑥統合監査は、米国の上場会社(issuer)ではSOX法404条に基づき財務諸表監査と内部統制監査を統合して行い、PCAOB基準(AS
2201)でトップダウン・アプローチ、重大な欠陥があれば内部統制に不適正意見を出すことを問う。論点⑦受託会社は、給与計算等を外部委託している場合に、受託会社監査人のSOC1報告書(Type
1=整備、Type 2=整備+運用)を利用できる条件を問う。

論点⑥:上場会社の統合監査(SOX
404・PCAOB AS 2201)

項目	内容	出題される「正しい」記述
対象	米国の上場会社(issuer)。SOX法404条(b)により、監査人が内部統制の有効性について意見を表明する	「非上場会社は財務諸表監査のみ(内部統制監査は任意)」
基準	PCAOB AS 2201。財務諸表監査と統合して行う	「AICPAの基準(AU-C)ではなくPCAOB基準」
アプローチ	トップダウン:財務諸表全体のリスク→全社的統制→重要な勘定・開示→関連するアサーション→統制の識別	「重要な勘定から統制を絞り込む」
評価の基準日	期末日時点の有効性(財務諸表監査の運用評価が期間全体であるのと異なる)	「内部統制の意見は期末日時点」
意見	重大な欠陥が1つでもあれば「不適正意見(adverse)」。範囲の制約があれば意見不表明または辞任	「内部統制監査に限定意見はない」
経営者の責任	経営者が内部統制の有効性を評価し、報告書(404条(a))を作成する	「経営者の評価がないと監査人は意見を表明できない」

「内部統制監査に限定意見はない(重大な欠陥があれば不適正)」は頻出です。

財務諸表監査の意見(無限定・限定・否定・意見不表明)と、内部統制監査の意見(無限定・不適正・意見不表明)の違いを表で押さえてください。

論点⑦:受託会社のSOC報告書

項目	内容	出題される「正しい」記述
状況	給与計算・データ処理等を外部の受託会社(service organization)に委託している場合、委託会社の監査人(user auditor)は受託会社の統制を理解する必要がある	「委託先の統制も、委託会社の内部統制の一部として理解する」
SOC1 Type 1	特定日時点の統制の「整備状況」について、受託会社監査人(service auditor)が報告	「Type 1では運用の有効性は分からない」→統制に依拠する根拠にならない
SOC1 Type 2	一定期間の統制の「整備状況と運用の有効性」について報告	「Type 2があれば、委託会社の監査人は統制に依拠する根拠にできる」
利用の条件	報告書の期間が監査対象期間と重なっているか、受託会社監査人の能力と独立性、補完的な委託会社側の統制(CUEC)が有効か	「報告書の期間と監査期間のずれを検討する」
監査報告書での言及	委託会社の監査人は、監査報告書で受託会社監査人の報告書を参照(言及)しない	「SOC報告書を利用した旨を監査報告書に記載する」は誤り

出題の型は「Type 1とType 2の違い」「Type
2を依拠の根拠にできるか」「監査報告書で言及するか(しない)」の3つです。

SOC報告書は、選択科目ISCでも「受託会社監査人の側」から出題されます。

ISCの範囲は「USCPAのISCとは|出題範囲・難易度・勉強法を実例つきで解説」で解説しています。

監査実務3年で見た内部統制評価の現場と試験への読み替え

筆者が監査法人で担当した内部統制評価は、①期中のウォークスルー(取引を1件追い、統制の整備状況を確認)
②運用評価のサンプル抽出(月次統制は12件、日次統制は25〜40件)
③不備の判定会議(発見した逸脱を不備・重要な不備・重大な欠陥に分類)の3つで、AUDの問題の多くはこの3場面に対応していた。

ここからは筆者の実体験です。

①ウォークスルー:整備状況の評価はこう行う

入所1年目に最初に任されたのが、売上プロセスのウォークスルーでした。

やったこと	試験の論点
受注から請求・入金までの流れを、担当者への質問と伝票の閲覧で追う。取引を1件選び、受注伝票→出荷伝票→請求書→入金消込の順に証憑を確認	「ウォークスルーは質問・観察・閲覧を組み合わせて整備状況を確認する手続き」
各段階で「誰が承認したか」「承認した人は入力した人と別か」を確認	職務分掌(承認・記録・保管・照合の分離)
「この統制がなかったら、どの虚偽表示が起きるか」を統制ごとに書く	「統制はリスク(アサーション)に対応する」
フローチャートとナラティブで文書化	「文書化の形式は監査人が選ぶ」

ウォークスルーで分かるのは「統制が設計として存在し、導入されているか」までで、「期間を通じて機能していたか」は分かりません。

これが「整備と運用の混同」を防ぐ実感です。

②運用評価:サンプル数は統制の頻度で決まる

統制の頻度	実務でのサンプル数(筆者の法人の目安)	手続き
年次(年度予算の承認等)	1件	承認の証跡を閲覧
四半期	2〜4件	同上
月次(月次の勘定残高照合等)	12件(全月)	照合表の閲覧+照合者への質問
週次	5〜15件	同上
日次・取引ごと(支払承認等)	25〜40件	承認印の閲覧+承認者の権限確認+一部を再実施

サンプル抽出で逸脱(承認印がない、承認者に権限がない等)が1件出ると、その統制に依拠できるかの検討が始まります。

試験の「逸脱が見つかった場合、監査人は?」の答え(統制リスクを引き上げ、実証手続きを拡大する)は、実務では「実証手続きのサンプル数を増やす」「補完統制を探す」の2択で議論していました。

③不備の判定会議:誰がどう決めるか

3年目に参加した不備の判定会議では、次の2軸で判定していました。

軸	内容	例
可能性(likelihood)	この不備によって虚偽表示が起きる「合理的な可能性」があるか	承認と入力の兼務→架空仕訳の可能性は「合理的にある」
金額(magnitude)	起きた場合の虚偽表示は重要か	兼務者が扱う仕訳の金額が重要性の基準値を超えるか

判定	可能性	金額
重大な欠陥	合理的な可能性あり	重要
重要な不備	合理的な可能性あり	重要未満だが監査役等の注意に値する
不備	上記以外	−

この2軸で判定するのは、試験の「不備の段階を判定せよ」のMCと同じです。

実務では、「この不備があっても、実証手続きで虚偽表示は見つかっている」ことを理由に、財務諸表監査の意見は無限定のまま、不備は監査役に書面で伝達する、という結論が多く、「重大な欠陥=意見の限定」ではないことを体感しました。

監査法人での実務は「USCPAで監査法人に入る方法|採用要件・4つの入り方・選考対策」で書いています。

内部統制のTBSで問われる「統制→リスク→手続き」の対応表

内部統制のTBSは、「業務プロセスの説明を読み、統制の不備を識別する」「統制ごとに対応するアサーションと運用評価の手続きを選ぶ」「不備の段階と報告先を判定する」の3型が中心。解く鍵は「統制→防ぐリスク(アサーション)→運用評価の手続き」の対応表を自分で持っておくことである。

統制の例	防ぐリスク(アサーション)	運用評価の手続き	不備があった場合の実証手続き
出荷伝票と請求書の照合	売上の網羅性・発生	照合の証跡を閲覧、照合者に質問、一部を再実施	出荷伝票から請求書への突合(網羅性)、請求書から出荷伝票への突合(発生)を拡大
支払の上長承認	購買の発生・正確性	承認印の閲覧、承認者の権限確認	支払のサンプルテスト(証憑突合)を拡大
月次の銀行残高照合	現金の存在性・網羅性	照合表の閲覧、未達項目の検討	期末の銀行確認状、未達項目の追跡
与信限度額のシステム設定	売掛金の評価	ITアプリケーション統制の再実施(限度額超過で受注が止まるか)	売掛金の年齢調べ、貸倒引当金の再計算
棚卸資産の入出庫記録とカウント	棚卸資産の存在性・網羅性	循環棚卸の記録を閲覧、カウントを観察	期末の棚卸立会、サンプルカウントを拡大
給与マスタの変更承認	給与の発生・正確性	変更申請書の承認閲覧、人事記録との照合	給与計算の再計算、退職者の給与支給の有無を確認

この表の「統制→アサーション→手続き→不備時の実証」の4列を、主要な業務プロセス(売上・購買・現金・棚卸・給与・固定資産)ごとに自分で作ると、TBSの型が固まります。

TBSの解き方は「TBS(総合問題)の解き方」、AUD全体の手続きと証拠の対応は「USCPA AUD沼の脱出法|点が伸びない5つの原因と対策」のステップ④で解説しています。

自分の対応表が試験の出題範囲を網羅しているかを確認したい方は、アビタスの無料資料請求でAUDのカリキュラムとTBS対策教材の構成を取り寄せておくと、この記事の7論点を教材の章立てに対応づけられます。

内部統制は「監査人が依拠するかを決める流れ」で覚える

AUDの内部統制は、COSOの5要素を暗記する領域ではなく、「監査人が内部統制を理解し、整備状況を評価し、依拠するかを決め、依拠するなら運用評価し、不備を報告する」という一本の流れで理解する領域です。

頻出論点7つ(COSOの5要素・統制の種類と職務分掌・理解と評価の手順・運用評価と実証手続きの関係・不備の3段階・統合監査・SOC報告書)は、すべてこの流れのどこかに位置づけられます。

誤りの選択肢は、「整備と運用の混同」「経営者と監査人の責任の入れ替え」「重大な欠陥=意見の限定という言い過ぎ」の3パターンで作られます。

まず今日、この記事の「内部統制を貫く一本の流れ」の表を自分の言葉で書き直し、7つの論点をその流れの上に置くところから始めてみてください。

よくある質問(FAQ)

Q1.
AUDで内部統制はどのくらい出題されますか?

Area II「リスク評価と計画」(25〜35%)の中核と、Area
III「手続きと証拠」(30〜40%)の運用評価手続きにまたがり、合わせて配点の3〜4割に関わります。

Area I(経営者と監査人の責任の区別)、Area
IV(不備の報告・内部統制監査報告)にも出るため、4つのAreaすべてに顔を出す領域です。

独立した章として覚えるより、「監査の流れの中で内部統制がどう使われるか」で押さえてください。

Q2.
COSOの5要素は覚えるだけで解けますか?

解けません。

試験で問われるのは「この具体例はどの要素か」の分類です。

「経営者の姿勢」は統制環境、「支払の承認」は統制活動、「内部監査」はモニタリング、というように、具体例と要素の対応を押さえてください。

誤りの選択肢は、統制活動の例を統制環境として書く、内部監査を統制活動として書く、といった要素の入れ替えで作られます。

Q3.
整備状況の評価と運用評価は何が違いますか?

整備状況(design)の評価は「統制が設計として有効か、実際に導入されているか」を、運用評価(operating
effectiveness)は「期間を通じて実際に機能していたか」を確かめます。

整備状況はウォークスルーで確認し、すべての監査で必要です。

運用評価は統制に依拠する場合のみ行い、質問だけでは不十分で、観察・閲覧・再実施を組み合わせます。

「整備状況の評価だけで統制に依拠できる」は誤りです。

Q4.
運用評価で逸脱が見つかったら監査人はどうしますか?

統制リスクの評価を引き上げ、実証手続きの性質・時期・範囲を拡大します。

または、同じリスクに対応する補完統制があれば、その運用を評価します。

「監査意見を限定する」「監査を中止する」は言い過ぎの誤りです。

実務では、実証手続きのサンプル数を増やすか、補完統制を探すかの2択で議論するのが一般的です。

Q5.
重大な欠陥があると監査意見はどうなりますか?

財務諸表監査の意見には直接影響しません。

内部統制の不備と財務諸表の虚偽表示は別物で、実証手続きで虚偽表示を発見・修正できれば、財務諸表監査の意見は無限定です。

重大な欠陥は監査役等と経営者に書面で伝達します。

米国の上場会社の内部統制監査(SOX 404・PCAOB AS
2201)では、重大な欠陥が1つでもあれば内部統制について不適正意見になります。

Q6. SOC1のType 1とType
2の違いは何ですか?

Type 1は特定日時点の統制の「整備状況」について、Type
2は一定期間の「整備状況と運用の有効性」について、受託会社監査人が報告するものです。

委託会社の監査人が受託会社の統制に依拠する根拠にできるのはType
2で、Type 1では運用の有効性が分からないため依拠できません。

利用する際は、報告書の期間と監査期間の重なり、受託会社監査人の能力と独立性、委託会社側の補完的統制を検討します。

監査報告書で受託会社監査人の報告書に言及はしません。

Q7.
監査の実務経験がないと内部統制の問題は不利ですか?

不利になりやすいですが、補えます。

実務経験者は「監査人は統制に依拠して実証手続きを減らしたい。そのために統制が有効かを確かめる」という流れを体感しているため、問題の状況判断が速いです。

実務経験がない人は、この記事の「一本の流れ」と「統制→アサーション→手続き→不備時の実証」の対応表を自分で作り、問題を解くたびに「今は流れのどこか」を確認してください。

まとめ:AUD内部統制の頻出論点7つは「依拠するかを決める流れ」の上に置く

この記事の要点を再掲します。

• AUDの内部統制はArea
  II・IIIの中核で配点の3〜4割に関わる。独立した章ではなく「理解→整備評価→依拠の判断→運用評価→不備の報告」の一本の流れで押さえる
• 頻出論点は①COSOの5要素(具体例の分類)
  ②統制の種類と職務分掌(承認・記録・保管・照合の分離)
  ③理解と評価の手順(理解は必須・質問だけでは不十分)
  ④運用評価と実証手続きのトレードオフ(依拠する場合のみ・逸脱なら実証拡大)
  ⑤不備の3段階(可能性×金額で判定・重要な不備以上は書面で監査役等へ)
  ⑥統合監査(PCAOB AS 2201・重大な欠陥は不適正) ⑦SOC報告書(Type
  2のみ依拠の根拠・報告書で言及しない)の7つ
• 誤りの選択肢は「整備と運用の混同」「経営者と監査人の責任の入れ替え」「重大な欠陥=意見の限定という言い過ぎ」の3パターン
• 実務ではウォークスルー(整備)→サンプル抽出(運用・頻度で件数が決まる)→不備の判定会議(可能性×金額)の3場面で、試験問題はこの3場面に対応する
• TBSは「統制→アサーション→運用評価の手続き→不備時の実証手続き」の対応表を業務プロセスごとに作って解く

内部統制は、監査人が「この統制を信じて手続きを減らしていいか」を決めるための領域です。

まず「一本の流れ」の表を自分の言葉で書き直し、7つの論点をその上に置くところから始めてみてください。