内部監査とは？

内部監査の意味

組織内部の要員が、自組織のISMSがJIS Q 27001の要求事項や自組織の規程どおりに運用されているかを、独立した立場で検証する活動。監査対象の業務から独立した者が実施することが求められる。

内部監査の具体例

情報システム部門の運用状況を、当該部門に所属しない社内の監査担当者が確認し、規程との不一致があれば指摘事項として報告する。

内部監査は試験でどう引っ掛けられる？

内部監査人は監査対象となる業務や部門から独立している必要があり、自分が担当する業務を自分で監査することは認められない。

内部監査と関連する用語

• マネジメントレビュー
• 変更要求（是正処置・予防処置・欠陥修正）
• システム監査

内部監査が出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…

  正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。

  要点：リスク受容基準はアセスメントより先に定めておく

  リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。

  出典：令和4年度 秋期 高度共通_午前I試験 am1 問21（IPA）