内部監査の問題と解説（2） | 情報セキュリティマネジメント

正解：ウ

各選択肢の解説

ア仕組みに最も詳しい情報セキュリティ事務局の担当者が、事務局の運用も含めて全部門を監査する。
誤り。詳しさだけで選ぶと、規程を作り運用している本人が自分の仕事を監査することになります。自分の作った仕組みの不備は見落としやすく、監査の客観性が保てません。
イ各部門の部門長が自部門の対策を点検表で確かめ、その結果を内部監査の結果として報告する。
誤り。これは自己点検です。対策を運用している部門が自分で確かめても、監査対象から独立していません。自己点検は日常の確認として役立ちますが、内部監査の代わりにはなりません。
ウ監査の研修を受けた各部門の担当者が、自分の所属部門と担当業務を除いて、他部門を監査し合う。
正解。専任部署がなくても、自分の仕事を監査しない組合せにすれば客観性を保てます。研修で監査の力量も備えたうえで、部門どうしで監査し合う方法です。
エ専任部署がないので内部監査は行わず、認証機関による審査の結果を内部監査の代わりとする。
誤り。認証機関の審査は外部の第三者が行うもので、組織が自ら行う内部監査とは別物です。審査では、組織が内部監査を行っているかも確かめられます。

自分で書いた文章の誤字は、なかなか見つかりません。思い込みで読んでしまうからです。監査も同じで、仕組みを作った人や運用している人が自分の仕事を確かめても、見落としが残ります。そのため内部監査では、監査対象から独立した者が確かめることが求められます。

ISMSの規格（JIS Q 27001）は、組織が自ら内部監査を行うことを求め、監査の客観性と公平性を確保できる監査員を選ぶよう定めています。専任の監査部署を置くことまでは求めていません。

小さな会社では、次のように組み立てるのが一般的です。

部門どうしで監査し合うことで、専任部署がなくても独立性と力量を両立できます。

方法	何が問題か
研修を受けた担当者が他部門を監査し合う	（客観性と力量を両立できる）
事務局の担当者が自分の運用も含めて監査	自分の作った仕組みを自分で監査している
部門長が自部門を点検して報告	自己点検で、監査対象から独立していない
認証機関の審査で代える	外部の審査は、組織が自ら行う内部監査の代わりにならない

内部監査かどうかは、社内か社外かではなく、監査対象から独立しているかで見分けます。