内部監査

組織が自らの業務やマネジメントシステムを対象として、監査対象から独立した組織内の監査人に行わせる監査。ISMSでは、規格や自組織の要求事項に適合しているか、有効に実施・維持されているかを、あらかじめ定めた間隔で確かめる。

サービスマネジメントシステムが規格要求事項に適合し、効果的に実施・維持されているかを定期的に評価する活動。パフォーマンス評価の一環として行われ、改善の機会を特定する。

組織内部の監査員が、SMSが計画通りに運用され、ISO/IEC 20000の要求事項に適合しているかを体系的に評価する活動。定期的な実施が求められ、改善の機会を特定する。

組織内部の独立した監査部門が、自組織の業務活動やシステムを対象として実施する監査。経営目標の達成に向けて、内部統制やリスク管理の有効性を評価・改善することを目的とする。

組織自らが、ISMSの要求事項及び組織の情報セキュリティ要求事項への適合状況を定期的に検証する活動。ISO/IEC 27001ではISMSの継続的改善のために内部監査の実施が要求されている。

組織自らが、ISMSの要求事項及び組織の情報セキュリティ要求事項への適合状況を定期的に検証する活動。ISO/IEC 27001ではISMSの継続的改善のために内部監査の実施が要求されている。

組織が自ら、又は組織に代わって独立した立場の者が、マネジメントシステムや業務が規定や基準に適合し、有効に運用されているかを評価する監査。ISMSでは、あらかじめ定めた間隔で実施し、監査員の客観性と公平性を確保すること、結果を関連する管理層に報告することが求められる。

組織外の第三者が実施する監査。独立性と客観性が高く、監査結果を取引先や株主など対外的な保証として示せる。会計監査のように法令で義務づけられる法定監査と、任意監査がある。

組織の情報セキュリティ対策が基準や規程に沿って整備・運用されているかを、独立した立場で検証・評価する監査。適合を対外的に示す保証型と、改善を助言する助言型に分けられる。

監査人が被監査部門から身分上も精神上も独立し、客観的に判断できる状態。自らが設計や運用に関与したシステムを監査すると独立性が損なわれるため、担当を分けるなどの措置が求められる。

本調査に先立ち、被監査部門の業務やシステムの概要、関連規程、過去の指摘事項などを把握する段階。ここでリスクの所在を見極め、重点的に検証する項目と監査手続を具体化する。

個別監査計画と監査手続に従い、実際に監査証拠を収集して評価する段階。文書の閲覧、インタビュー、現地調査、テストなどを実施し、その経過と結果を監査調書として記録する。

監査目的に照らして十分かつ適切な監査証拠を入手するために、監査人が実施する具体的な手順。何をどの方法で確かめるかをあらかじめ定めておくことで、監査の網羅性と再現性を担保する。