不適合とは？

不適合の意味

規格や自組織で定めた規程などの要求事項が満たされていない状態のこと。監査や日常の点検で見つかった場合は、その場をしのぐ処置だけでなく、なぜ起きたのかという原因を掘り下げ、同じことが再び起きないようにする手当てまで行うことが求められる。

不適合の具体例

内部監査で、退職者のアカウントが3件残っていることが見つかった。ただちに削除するのは応急の処置であり、人事の退職連絡が情報システム部門に届く仕組みがなかったという原因まで直して初めて手当てが完了する。

不適合は試験でどう引っ掛けられる？

見つかった状態を元に戻すことと、原因を取り除くことは別である。前者だけで報告を終えると同じ指摘が翌年も繰り返される。また、不適合は必ずしも重大な事故を意味しない点にも注意する。

不適合と関連する用語

• 是正処置
• 内部監査・外部監査・監査役監査
• 継続的改善

不適合が出た過去問

• 不適合への対応のうち，JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）の“是正処置”の定義はどれか。

  正解：不適合の原因を除去し，再発を防止するための処置

  要点：是正処置は原因を除去して再発を防ぐ処置

  JIS Q 27000における是正処置は、不適合の原因を除去して再発を防止するための処置と定義される。単に不適合そのものを取り除く「修正」とは区別され、原因分析を経て根本原因に手を打つ点が要点である。ISMSではPDCAのA（改善）に位置付けられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• JIS Q 20000-1:2020（サービスマネジメントシステム要求事項）を適用している組織において、サービスマネジメントシステム（SMS）が次の要求事項に適…

  正解：内部監査

  要点：規格と自組織の要求への適合を定期に確かめるのは内部監査

  組織自身が定めた要求事項と規格の要求事項の双方に適合しているかを、あらかじめ定めた間隔で組織が自ら確かめる活動が内部監査である。監査結果は経営層に報告され、不適合があれば是正処置につなげる。マネジメントレビューは経営層が内部監査の結果などを受けて有効性や改善の方向を判断する場であり、適合状況を調べる活動そのものではない。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問24（IPA）