ITパスポート 2025年 問59

ISMSにおける内部監査に関する記述のうち、適切なものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文で求められているのは「内部監査に関する適切な記述」を選ぶこと。まず内部監査の目的を思い出します。
2. 内部監査の目的は「規格や組織のルールに従っているか（適合性）」と「管理システムが期待どおりに機能しているか（有効性）」を評価すること。
3. 各選択肢をこの基準で当てはめ、該当する記述を選びます。適合性のみを扱う、あるいは前回結果を無視する、または不定期・抜き打ちを原則とする記述は基準に反します。
4. 最終的に、適合性と有効性の両方を評価すると書いてある ア を正答と判断します。

選択肢別の誤答解説

• ア：正しい。内部監査は JIS Q 27001 の要求事項および組織が定めた要求事項への適合性を確認します。さらに、ISMS の活動が実際に目的を達成しているか（有効性）も評価します。
• イ：誤り。内部監査の監査基準は「組織自らが規定した要求事項のみ」ではありません。JIS Q 27001 の要求事項（または該当する規格要件）も監査基準に含まれます。規格に対する適合性の確認が重要だからです。
• ウ：誤り。内部監査の実施プログラム（いつ、誰が、どの範囲で監査するか）は作成時に、前回の内部監査の結果や是正処置の状況を考慮して計画します。前回の問題点や改善状況は、次回の監査で重点的に確認する重要な情報です。
• エ：誤り。内部監査は組織の意思決定やマネジメントレビューに役立つよう、計画的かつ定期的に実施することが原則です。「不定期かつ抜き打ちでの実施を原則とする」は誤りで、抜き打ち監査は場合によって行われることはありますが原則ではありません。

よくある誤解

1. 「監査は単にルール違反を見つけるだけ」と考える誤解
   → 監査は違反の発見だけでなく、仕組みの有効性（目標達成状況やリスク低減の実効性）を評価し、改善につなげることが目的です。
2. 「内部監査はいつでも抜き打ちで行うべき」と考える誤解
   → 抜き打ち監査は実施されることがありますが、基本は監査プログラムに基づいて計画的に行います。計画性がなければ継続的な改善が難しくなります。
3. 「前回の監査結果は関係ない」と考える誤解
   → 前回の結果や是正措置の状況は、次回監査の重点項目になります。過去の問題が放置されていないか確認するためです。

補足コラム

• 内部監査を行う人は「監査対象の部署から独立した立場で、かつ監査に必要な知識と能力を持つこと」が求められます。これは客観的な評価を確保するためです。
• 内部監査は PDCA（Plan：計画、Do：実行、Check：評価、Act：改善）サイクルの「Check」に相当します。監査で見つかった不備は是正・改善（Act）につなげ、次の計画に反映します。
• JIS Q 27001 は ISO/IEC 27001 に対応する規格です。規格の要求事項を知ることは、ISMS を正しく運用するうえで重要です。

FAQ