平成26年度春期 システム監査技術者 午前Ⅱ 問8

要求事項と証拠の対応を見る

個人情報を扱う場面の監査では、規格上の要求事項と、実際の運用を示す記録・手順・承認の対応関係に注目し、主張だけでなく確認可能な根拠がそろっているかを整理します。

この問題で問われていること

一つの観点に絞るなら、要求事項、運用実態、監査で確認できる証拠が同じ対象を指しているかを追跡します。文言の印象ではなく、対応関係の明確さを比較してください。

視点

監査では、規格の要求をそのまま暗記するより、要求事項がどの業務や記録に結び付き、どの証拠で確認できるかという対応関係を整理すると、判断の軸を保ちやすくなります。

確認ポイント

• 要求事項と確認対象の対応が明確か
• 運用を裏付ける証拠を特定できるか
• 主張と証拠の間に未確認の部分がないか

正解

ア

解説

個人情報を本人から直接取得する場合、書面や電子的方法では取得前に利用目的を明示する必要がある。注文受付完了後の表示は遅く、指摘事項に該当する。

理由

Web注文のように書面または電子的方法で個人情報を直接取得する場合、本人が情報を入力・送信する前に利用目的を明示する必要がある。注文受付完了画面で初めて表示する方法は、取得後の明示となるため要求事項に適合しない。

比較

口頭や電話による取得では、注文を受ける際に利用目的を口頭で伝えればよい。また、アンケートはがきにあらかじめ利用目的を記載しておく方法も、情報を記入して返送する前に本人へ示す形になる。

選択肢ア（正解）

これは正解だよ。Webサイトで注文情報を直接取得する場合、利用者が個人情報を入力して送信する前に、利用目的を表示しておく必要がある。注文申込みボタンを押して注文受付完了画面が表示された時点では、すでに情報を取得した後なので、明示の時期が遅く、指摘事項に該当する。

選択肢イ

これは不正解だよ。営業担当者が顧客から口頭で注文を受ける場合は、書面や電子的方法による取得とは異なり、注文を受ける際に口頭で利用目的を伝える方法が設問の要求に沿っている。顧客が情報を伝える場面で目的を知らせており、取得後の通知にはなっていない。

選択肢ウ

これは不正解だよ。アンケートはがきに個人情報の利用目的を記載しておけば、購入者は回答内容や連絡先を記入して返送する前に、その情報が何のために使われるかを確認できる。取得に先立って目的を示しているため、設問の指摘事項には該当しない。

選択肢エ

これは不正解だよ。通信販売コールセンタで電話注文を受ける際、オペレータが電話を通して利用目的を伝える方法は、顧客が注文情報を伝える場面での口頭による明示に当たる。個人情報を取得する際に目的を知らせているため、注文受付完了後の表示とは異なる。

学習のポイント

直接取得における利用目的の明示時期と取得方法の関係を学ぶ。