令和4年度秋期 システム監査技術者 午前Ⅱ 問6

監査指摘を整理する視点入門

個人情報を扱う内部監査では、事実・影響・管理上の論点を混同せず、記録から確認できる範囲で指摘の意味を整理することが重要です。根拠の種類と関係者への影響を切り分け、表現の妥当性を見直しましょう。

この問題で問われていること

監査で得た証拠が何を示し、どの管理目的に関係し、影響の見立てがどこまで妥当かを、問題文の条件と照らして考えてください。結論を急がず、確認できた事実と評価を分けて捉えましょう。

視点

監査指摘を読むときは、観察された事実、そこから考えられるリスク、管理上の評価を分けて整理し、それぞれの根拠が十分かを確認します。

確認ポイント

• 記録に基づく事実と評価を分けているか
• 影響の範囲や対象を過大に捉えていないか
• 指摘の表現が根拠の強さと釣り合っているか

正解

エ

解説

個人情報管理台帳は，新たな取得時だけでなく，既存情報の内容や保管状況などに変化が生じた場合にも見直せるように管理する必要がある。したがって，見直しを新規取得時だけに限定しているエが指摘事項となる。

理由

台帳の見直しを新たな個人情報の取得時だけに限定すると，既存の個人情報について内容，利用範囲，保管場所，保管方法，保管期限などが変わった場合に，台帳へ反映できない。管理状況を適切に維持するには，必要な変化を捉えて見直せる仕組みが必要です。

比較

アのように，件数を概数でしか把握できない場合に概数で記載することは，把握できる範囲を示した記録といえる。イは個人情報の名称や内容などに加えて保管場所，保管方法，保管期限を記載しており，管理に必要な情報を整理している。ウも台帳の機密性を守る適切な保護措置です。

選択肢ア

これは不正解だよ。個人情報の保有件数を正確に把握できず概数でしかつかめない場合，その状況に合わせて概数を記載すること自体は，判明している情報を台帳に反映する対応である。台帳の更新条件を不十分にしている状況とは異なる。

選択肢イ

これは不正解だよ。個人情報の名称や内容，利用範囲だけでなく，保管場所，保管方法，保管期限まで記載しているので，管理対象を具体的に把握するための情報が整理されている。記載項目を充実させている状況であり，指摘事項には当たらない。

選択肢ウ

これは不正解だよ。個人情報管理台帳の機密性を守るために保護措置を講じていることは，台帳に含まれる管理情報を適切に保護する対応である。保護措置を実施している状況は，監査で是正を求める事項ではなく，適切な管理の一例である。

選択肢エ（正解）

これは正解だよ。見直しを新たな個人情報の取得時にだけ限定すると，既存情報の内容や利用範囲，保管場所，保管方法，保管期限などに変更があっても台帳へ反映できない。台帳を最新の管理状況に保つ仕組みとして不十分なので，指摘事項となる。

学習のポイント

個人情報管理台帳では，記載項目の妥当性と更新方法の十分性を分けて確認する。