情報セキュリティマネジメント 平成28年度 秋期 午前 問37

✓ これが正解エ 監査プログラムには前回までの監査結果を考慮しなければならない。

解説

監査プログラムでは前回までの監査結果を考慮することが求められます。

内部監査は、決めたとおりにISMSが運用され、ねらいどおりに働いているかどうかを、組織が自分の手で確かめる活動です。いつ、どこを、どのような方法で監査するかをまとめた計画が監査プログラムで、設問が引くJIS Q 27001にもとづく運用では、この計画を立てるときに前回までの監査の結果を踏まえることが、順守すべき要求事項として問われています。以前に指摘した点が直っているか、同じところで問題を繰り返していないかを見ないままでは、毎回同じ手順をなぞるだけの形だけの監査になってしまうからです。

限られた時間と人手をどこに割り当てるかを、これまでに分かったことから決めるという考え方だと押さえておくと、残りの三つと切り分けられます。

ほかの選択肢の解説

• ア 監査員にはISMS認証機関が認定する研修の修了者を含まなければならない。：監査員に特定の研修の修了者を含めることを求める定めは置かれていません。監査する人について問われるのは、対象から独立して客観的に見られる立場かどうかです。
• イ 監査責任者は代表取締役が任命しなければならない。：監査責任者を誰が任命するかを代表取締役に限る、という定めもありません。任命する人を一律に決めることではなく、監査を公正に行える体制が整えられているかどうかが問われます。
• ウ 監査範囲はJIS Q 27001に規定された管理策に限定しなければならない。：監査で見る範囲を管理策だけに絞らなければならない、という決まりも置かれていません。運用の手順や記録まで含めて、仕組み全体が計画どおりに働いているかを確かめるのが内部監査の役目です。