監査法人からの「外注管理」質問に渡す資料セット— 渡しすぎない準備

1. 資料セットの骨格

1-1. 1案件1フォルダ

1案件1フォルダの型は発注と支払の監査リンクがそのまま使えます。
フォルダ名は発注番号、中に書面PDF・検収記録・支払証憑・台帳行のスナップショットを置きます。

1-2. マスター一覧CSV

提出CSVの列は発注台帳CSVの監査向け整備で揃えておくと質問が短くなります。
最低限: 発注番号、取引先、契約日、受領日、支払期日、支払日、金額、適用判定メモ、書面保管パス。

1-3. ポリシー文書

「外注管理方針」「権限マトリクス」「例外承認の流れ」を各2〜3ページに圧縮したPDFをセットの先頭に置きます。
長い社内規程全文は求められたら出す、が原則です。
要約版の版番号と承認日を表紙に書き、監査期間中に規程が更新されたら差分1枚を追加提出します。

2. 書面・保存・記載の突合

2-1. 5条保存の形式

5条保存の形式は5条書面の保存形式に合わせてフォルダを切ると説明が楽です。
電子／紙の別、保存年限、改ざん防止の運用を1枚の説明書にまとめます。

2-2. 書面交付の痕跡

書面交付の痕跡は発注書面の3条の記事と突合します。
サンプルは「典型1件＋例外1件」で足りることが多く、全件PDFの一括提出は求められてからにします。

2-3. 記載事項テンプレ

監査側が「何を書いているか」を聞くときは、記載事項テンプレートを見せ、実書面の該当箇所にハイライトを付けます。
テンプレと実物の差分がある場合は、差分理由を短文で添えます。

3. サンプリングの進め方

3-1. 母集団の定義

監査対象期間の「業務委託・外注」全件を母集団とし、金額上位・新規取引先・例外承認あり、の層化が一般的です。
母集団の抽出条件（会計科目・発注区分）をCSVヘッダコメントか別紙で明示します。

3-2. サンプル件数の目安

先にサンプルを渡し、追加要求に応じて広げる方が、初回の過大提出を防げます。

3-3. 自己点検との接続

監査前の社内洗い出しは自己点検チェックリストで穴を先に塞ぎます。
既知の不備は「発見・是正状況」シートにまとめ、監査人に先出しすると信頼が上がります。

4. 渡さない・マスクするもの

4-1. 過度な開示の典型

個人の機微情報、未公開のM&A資料、値下げ交渉の内部チャット全文、他社の見積比較の生データは原則マスクまたは除外します。
「統制の説明に必要な範囲」に切り詰めます。

4-2. マスキング手順

氏名・口座・電話は黒塗り、社外秘の単価根拠は要約表に置換します。
マスク前後の対応表は社内のみ保持し、監査提出物には載せません。

4-3. 質問への返し方

「全チャットをください」には、統制上のポイントが分かる抜粋と、必要なら追加抽出の条件を返します。
拒否ではなく範囲交渉です。
交渉の記録（いつ・誰が・どの範囲で合意したか）も提出ログに残すと、後日の食い違いが減ります。

5. 提出前チェックリスト

• 母集団定義とCSV列が監査人の質問票と対応しているか
• サンプルフォルダに書面・検収・支払が揃っているか
• 保存方針・権限説明の1枚ものがあるか
• 既知不備の是正状況が別紙にあるか
• 個人情報・交渉秘匿のマスクが完了しているか
• 提出ログに版番号と件数を書いたか

6. 質問票への回答マッピング例

6-1. 「外注の選定はどう管理しているか」

回答は方針PDFの選定基準ページ＋新規取引先のサンプル1件（見積比較の要約表）で足ります。
生の競合見積PDFを全部出す必要はなく、選定理由が追える要約と承認ログがあれば統制説明になります。

6-2. 「発注から支払まで追跡できるか」

サンプル案件フォルダで、書面→検収→請求→支払の日付がつながることを示します。
CSVの発注番号が各証憑ファイル名に含まれると、監査人の突合時間が短くなります。
途中欠落がある案件は「既知不備」シートに載せ、是正状況を添えます。
欠落理由が「担当退職」など人的要因の場合も、再現防止の仕組みまで一言書きます。

6-3. 「例外承認は誰がどう残すか」

例外承認のフロー図と、例外が起きたサンプル1件（承認者・日付・理由の要約）をセットにします。
Slackの長文スレッド全文ではなく、承認結果が分かる抜粋またはワークフロー画面の出力が適切です。

7. 提出パッケージのフォルダ構成例

7-1. ルート直下

「00_方針要約」「01_母集団CSV」「02_サンプル案件」「03_既知不備と是正」「99_マスク説明」の5階層が扱いやすいです。
監査人が最初に開く順番を番号で誘導し、質問のたびに迷子にならない構成にします。

7-2. サンプル案件の中身

各案件フォルダに「a_書面」「b_検収」「c_請求支払」「d_台帳行スナップショット」を置き、欠落時は空フォルダではなく「欠落理由.txt」を入れます。
空フォルダは「未提出」と誤解されやすいためです。

7-3. バージョンと提出ログ

提出日・提出者・ハッシュまたはファイル件数を「提出ログ.txt」に残し、追加提出のたびに版番号を上げます。
「どれが最新か」が曖昧だと、監査側の質問が増え、社内も再送作業に追われます。

8. 監査週間のタイムボックス

質問票受領日をDay0とし、Day2までに母集団CSVと方針要約、Day5までにサンプル案件、Day7までに既知不備シート、を目安にします。
現場への証憑依頼は一括で出し、個別チャットで散発依頼しないと抜け漏れが増えます。
監査人からの追加質問は受付窓口を1名に固定し、回答ドラフトはコンプラがレビューしてから提出します。
「急ぎなので現場が直接送る」は、マスク漏れと版割れの温床です。
追加提出が発生したら、提出ログに追記し、旧版フォルダは読み取り専用に落とします。

9. マスクと範囲交渉の実務メモ

9-1. 渡してよい／渡さないの境界例

渡してよい例: 発注番号、取引先名（法人）、契約類型、受領日、支払期日、支払実績、書面交付日のログ。
渡さない／マスク例: 個人の連絡先、ハラスメント相談本文、価格交渉の社内メモ、未公開のM&A関連外注、従業員の評価コメント。
グレーなものは「要旨1行＋原本は社内保管」と答え、全文を送らない方針を質問票回答の冒頭に書きます。

9-2. サンプル件数の増やし方

初回は層化サンプル10〜15件で始め、指摘が出た層だけ追加抽出します。
いきなり全件フォルダを渡すと、準備工数と機微漏洩のリスクが同時に跳ねます。
追加抽出の条件（金額帯・新規取引先・海外送金など）を事前に監査人と合意しておくと、後から揉めません。

よくある質問

Q. クラウドURLを共有してよいですか

閲覧期限・ダウンロード制限付きの専用フォルダが望ましいです。
本番の編集権限付きドライブは渡さない。

Q. フリーランス個人事業主も含めますか

外注管理の母集団定義に含めるなら含めます。
含めない場合は定義書に除外理由を書きます。

Q. 英語資料が必要ですか

監査チームの指定に従います。
日本語正本＋要旨の英語1枚で足りるケースもあります。

Q. 過去年度分はどこまで出しますか

質問票の対象期間が正です。
比較目的で前期を求められたら、同列定義のCSVだけ追加します。
列定義が年度で変わっている場合は、マッピング表を添えないと監査人側で再集計できず、追加質問が増えます。

Q. SaaSの画面録画は必要ですか

必須ではありません。
権限設定と監査ログの説明資料、または限定デモで足りることが多いです。
録画を出す場合も、個人情報や他案件が映り込まない検証環境で撮り、提出版に編集履歴を残します。

まとめ

• ポリシー要約＋母集団CSV＋サンプル案件フォルダが基本セット
• 書面・5条保存・記載事項はテンプレと実物を突合する
• サンプリングは層化して初回件数を抑え、追加に備える
• 機微・交渉秘匿はマスクし、範囲交渉で渡しすぎを防ぐ

注意

監査対応の一般的な準備メモであり、トリカク（torikaku） の機能紹介を含みますが、法的助言ではありません。
監査契約・守秘義務・開示範囲の最終判断は、監査担当者および顧問専門家とすり合わせてください。