内部監査とは？

内部監査の意味

SMSが自組織の要求事項と規格の要求事項に適合しているか、有効に実施され維持されているかを、組織自らが確かめる活動。監査プログラムを計画し、監査基準と範囲を定め、客観性と公平性を確保できる監査員を選定して実施する。

内部監査の具体例

変更管理プロセスについて、直近半年の変更記録を抽出し、承認記録と後退計画の有無を規程と突き合わせて確認する。

内部監査は試験でどう引っ掛けられる？

監査員は自らの仕事を監査してはならない（客観性の確保）。また監査の結果はマネジメントレビューへのインプットとなる。

内部監査と関連する用語

• マネジメントレビュー
• システム監査基準

内部監査が出た過去問

• 株式会社の内部監査におけるシステム監査を，システム監査基準（平成16年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。

  正解：あるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。

  要点：システム監査人には外観も含めた独立性が求められる

  システム監査では監査人の独立性と客観性が求められ、外観上も疑いを持たれないことが重要である。過去に在籍していた部門を監査する場合は、自らが関与した業務を評価することになりかねないため、一定の期間を置いてから従事させるのが適切とされる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）

• プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものは…

  正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

  要点：個人情報管理台帳は定期と随時の見直しで実態と合わせる

  個人情報管理台帳は、保有する個人情報の実態を正確に映していなければ、リスク分析も保管期限の管理も機能しない。取得時だけ更新する運用では、利用目的の変更、提供先の追加、廃棄や保管期限の到来といった変化が反映されず、台帳と実態が乖離する。少なくとも定期的な見直しと、重要な変更が生じた都度の更新が必要であり、この状態は指摘対象となる。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問25（IPA）

• JIS Q 20000-1:2020（サービスマネジメントシステム要求事項）を適用している組織において、サービスマネジメントシステム（SMS）が次の要求事項に適…

  正解：内部監査

  要点：規格と自組織の要求への適合を定期に確かめるのは内部監査

  組織自身が定めた要求事項と規格の要求事項の双方に適合しているかを、あらかじめ定めた間隔で組織が自ら確かめる活動が内部監査である。監査結果は経営層に報告され、不適合があれば是正処置につなげる。マネジメントレビューは経営層が内部監査の結果などを受けて有効性や改善の方向を判断する場であり、適合状況を調べる活動そのものではない。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問24（IPA）