令和4年度秋期 プロジェクトマネージャ 午前Ⅰ 問21

監査判断を整理する一つの視点

監査で得た情報を、要求事項との関係、確認できた事実、判断の根拠に分けて整理し、印象や推測ではなく一貫した基準で検討することに意識を向けます。

この問題で問われていること

判断に迷うときは、対象となる要求や合意事項に照らして、何が確認済みの事実で、何が解釈や推測なのかを区別する一点に集中して考えてください。

視点

監査上の判断では、証拠の内容と適用する基準の対応関係を整理し、記録された事実から無理なく導ける範囲だけを扱うことが重要です。

確認ポイント

• 判断の根拠となる要求事項や基準を確認する
• 確認済みの事実と解釈・推測を分けて整理する
• 同じ情報から誰が見ても同じ判断に至れるかを考える

正解

エ

解説

ISMS内部監査の指摘事項は、規定された手順や要求事項に反する状態、または管理プロセスの実施順序に問題がある状態を示します。リスクアセスメントとリスク受容基準の決定順序に着目すると判断できる。

理由

リスク受容基準は、リスクアセスメントを実施する前に、評価結果を判断するための基準として定めておく必要がある。したがって、アセスメント後に基準を決める状況は、ISMSの手順や要求事項に反するため、指摘事項に該当する。

比較

アはUSBメモリの使用を定められた手順に従って許可しており、イは個人情報の事故を規定どおり報告している。ウもマルウェア検知後に駆除できており、いずれも管理活動が適切に実施された状況です。

選択肢ア

これは不正解だよ。USBメモリの使用を無条件に認めたのではなく、組織が定めた手順に従って許可している。規定された管理方法に沿った運用であるため、この記述だけでは監査上の指摘事項にはならない。

選択肢イ

これは不正解だよ。個人情報の誤廃棄事故が発生していても、主務官庁などへの報告を規定されたとおりに実施している。必要な対応を手順に沿って行った状況なので、記述された事実は不適合を示していない。

選択肢ウ

これは不正解だよ。マルウェアスキャンでスパイウェアが検知された後、駆除まで行われている。検知という事象だけで直ちに指摘事項となるのではなく、定められた対策が実施されているかが重要であり、この状況は対応済みである。

選択肢エ（正解）

これは正解だよ。リスクアセスメントの結果を評価するには、あらかじめリスク受容基準を定めておく必要がある。アセスメントを実施した後に基準を決めると、評価時の判断基準が先に存在せず、ISMSのリスク管理手順に不備があるため指摘事項となる。

学習のポイント

ISMSのリスクマネジメント手順と内部監査における不適合の見分け方を学ぶ。