監査計画とは？

監査計画の意味

監査の目的・対象・範囲・時期・体制・手続をあらかじめ定めた計画。年間を見通す基本計画と、個別テーマごとの個別計画がある。リスクの大きい領域に資源を重点配分し、状況の変化に応じて適宜見直すことが求められる。

監査計画の具体例

内部監査室が期初に「今年度は在宅勤務のPC持ち出し統制を重点対象にする」と基本計画で決め、実施2か月前に対象部署・往査日程・確認項目を個別計画としてまとめる。

監査計画は試験でどう引っ掛けられる？

一度作ったら変更しないもの、と誤解しやすい。重大なインシデントの発生など前提が変われば、監査計画は期中でも見直してよい。むしろ見直さないほうが問題とされる。

監査計画と関連する用語

• 予備調査・本調査
• システム監査
• リスクアセスメント（リスク特定・分析・評価）

監査計画が出た過去問

• JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。

  正解：監査プログラムには前回までの監査結果を考慮しなければならない。

  要点：内部監査は前回結果を考慮して監査計画を立てる

  JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれ…

  正解：監査プログラムは前回までの監査結果を考慮しなければならない。

  要点：内部監査計画は前回の監査結果を踏まえて立てる

  JIS Q 27001の箇条9.2では、内部監査のプログラムを計画・確立する際に、対象プロセスの重要性および前回までの監査結果を考慮しなければならないと定めている。監査員の資格要件や任命者を特定の形で限定する規定はなく、監査範囲も規格の管理策に限らずISMS全体の要求事項が対象となる。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）

• システム監査において，監査証拠となるものはどれか。

  正解：システム監査チームが被監査部門から入手したシステム運用記録

  要点：監査証拠は結論の裏付けとなる客観的な事実の記録

  監査証拠は、監査人の意見や結論の裏付けとなる客観的な事実の記録であり、被監査部門から入手した運用記録などがこれに当たる。一方、監査計画書や監査チーム内の議事録、報告書に記した指摘事項は、監査人自身が作成した文書であって証拠そのものではない（一部は監査調書に位置付けられる）。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”において，経営者がリーダシップを発揮し自ら行…

  正解：b, c, d

  要点：経営者の役割は方針策定・見直し・脅威動向の把握

  ガイドラインでは、経営者自らが行うべき取組みとして、方針の明示（c）、対策の定期的な見直し（b）、新たな脅威に関する最新動向の収集（d）が挙げられている。いずれも組織の方向付けと資源配分に関わる判断であり、経営者のリーダシップが不可欠だからである。一方、監査計画の立案（a）は実務担当者や監査人が行う作業であり、経営者が自ら行うべき取組みには含まれない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）