情報処理安全確保支援士 2023年 秋期 午前2 問24
問題文
JIS Q 20000-1:2020（サービスマネジメントシステム要求事項）を適用している組織において、サービスマネジメントシステム（SMS）が次の要求事項に適合している状況にあるか否かに関する情報を提供するために、あらかじめ定めた間隔で組織が実施するものはどれか。
〔要求事項〕
・SMSに関して、組織自体が規定した要求事項
・JIS Q 20000-1:2020の要求事項
選択肢
ア：監視、測定、分析及び評価
イ：サービスの報告
ウ：内部監査（正解）
エ：マネジメントレビュー
🔒 解説は解答すると表示されます
内部監査【午前2解説】
正解の理由
JIS Q 20000-1:2020では、内部監査について「SMSが、SMSに関して組織自体が規定した要求事項と、この規格の要求事項に適合しているか否かに関する情報を提供するために、組織は、あらかじめ定めた間隔で内部監査を実施しなければならない」と定めています（箇条9.2）。問題文の「サービスマネジメントシステム（SMS）が次の要求事項に適合している状況にあるか否かに関する情報を提供するために、あらかじめ定めた間隔で組織が実施するもの」は、この内部監査の要求事項そのものです。したがって正解はウの「内部監査」です。
解法ステップ
- 問題文のキーワード「要求事項に適合しているか否か」「あらかじめ定めた間隔」を確認する。
- 〔要求事項〕として「組織自体が規定した要求事項」と「規格の要求事項」の二つが挙げられている点に注目する。
- 二つの要求事項への適合性を、計画した間隔で確かめる活動は内部監査であると判断する。
選択肢別の誤答解説
- ア：監視、測定、分析及び評価は、SMSやサービスのパフォーマンス・有効性を評価するための活動です。要求事項への適合性を確認する活動ではありません。
- イ：サービスの報告は、サービスの成果やSLAの達成状況などを、決めた頻度で関係者に報告する活動です。SMSの要求事項への適合性に関する情報を提供するものではありません。
- ウ：内部監査は、SMSが組織自体の要求事項と規格の要求事項に適合しているか、また有効に実施・維持されているかの情報を得るために、あらかじめ定めた間隔で行う活動です。問題文と一致します。
- エ：マネジメントレビューは、トップマネジメントがSMSの継続的な適切性、妥当性及び有効性を確実にするために、あらかじめ定めた間隔で行うレビューです。内部監査の結果などを入力として判断する活動であり、適合性の情報を提供する活動そのものではありません。
よくある誤解
「あらかじめ定めた間隔で実施する」という表現は、マネジメントレビューやサービスの報告にも当てはまるため、間隔だけで判断すると迷います。決め手は「要求事項に適合しているか否かに関する情報を提供する」という目的で、これは内部監査の定義に固有の表現です。
補足コラム
JIS Q 20000-1やJIS Q 27001などのマネジメントシステム規格では、箇条9「パフォーマンス評価」に、監視・測定・分析及び評価（9.1）、内部監査（9.2）、マネジメントレビュー（9.3）が共通の構成で並んでいます。内部監査で適合性と有効性を確かめ、その結果をマネジメントレビューの入力にして、トップマネジメントが改善の方向を決めるという流れになっています。
FAQ
Q: 内部監査は誰が行いますか？
A: 組織内の監査員が行いますが、監査の客観性と公平性を確保するため、監査員は自らの仕事を監査しないように選定します。
Q: 内部監査とマネジメントレビューの違いは何ですか？
A: 内部監査は要求事項への適合性と有効性を確認する活動、マネジメントレビューはトップマネジメントがSMS全体を見直し、改善などを決定する活動です。
関連キーワード: 内部監査、JIS Q 20000-1、サービスマネジメントシステム、マネジメントレビュー、パフォーマンス評価
\ せっかくなら /
情報処理安全確保支援士を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！