内部監査部門に情報セキュリティ機能のレビューに必要なIT専門知識が不足している場合、最高監査責任者（CAE）は必要な経験を持つ外部サービスプロバイダーと契約する必要があります。これにより、監査が効果的に実施され、内部監査員が業務を遂行するために必要なスキルを有するか、または習得することが求められる基準に準拠していることが保証されます。
IIA リファレンス:
IIA規格1210「熟達度」では、内部監査員が職務を遂行するために必要な知識、スキル、その他の能力を備えていることが求められています。内部監査部門内で必要な専門知識が得られない場合、CAEは外部専門家との契約、または監査のアウトソーシングを通じて、適切な助言と支援を得なければなりません。
外部サービス プロバイダーの雇用に関する実務ガイドでは、専門的なスキルが必要な場合、監査の品質と有効性を確保するために、外部サービス プロバイダーを雇用することが実用的な解決策であると示されています。

監査対象範囲を決定する際に、CAEは組織の戦略計画の構成要素（オプション1）、経営陣および取締役会からの意見（オプション2）、退職者との退職面談の結果（オプション4）を考慮する必要があります。これらの要素は、組織の目標、リスク、そして注目すべき領域を包括的に理解するのに役立ちます。競合他社や取引先の見解（オプション3）は、監査対象範囲を決定する際に直接考慮されることはありません。監査対象範囲は主に内部要因とステークホルダーからの直接的な意見に重点が置かれるためです。
参照：
IIA 標準 2010: 計画。
監査計画の策定に関する IIA 実務ガイド。

保証業務の範囲に含めるべき特定のプロセスを特定する際に、内部監査員にとって最も有用な情報は、生産性指標に対する直近の領域パフォーマンス指標です。このデータは、監査員が潜在的なリスクや非効率性があり、さらなる調査が必要となる領域を特定するのに役立ちます。
詳細な説明:
IIA規格2200 - エンゲージメント計画:
この基準では、監査人は監査対象領域を徹底的に理解した上で、各監査業務について、目的と範囲を含む計画を策定することが求められています。パフォーマンス指標は、生産性や効率性の目標が達成されていない可能性のある領域に関する貴重な洞察を提供します。
パフォーマンス指標の使用:
パフォーマンス指標を用いることで、監査人はパフォーマンスが不十分なプロセスや、期待される成果から大きく乖離している可能性のあるプロセスを特定することができます。これにより、改善の可能性やリスクが最も高い領域に監査を集中させることができます。
IIA実務アドバイス2201-2:
この勧告では、監査人が監査活動の重点領域を決定する際に、生産性指標などのパフォーマンスデータを活用することを検討すべきであると提言しています。このデータ主導のアプローチにより、監査の関連性と付加価値が確保されます。
他の選択肢はなぜないのか?
オプション A (表彰賞): 表彰では、監査の注意が必要となる可能性のあるリスクやパフォーマンスの低さについての洞察は得られません。
オプション B (最終監査のタイミング): 有用ではありますが、タイミングだけでは現在のリスクや問題を示すことはできません。
オプション C (経営陣のプレゼンテーション): これにより、ある程度の洞察が得られる可能性がありますが、パフォーマンス指標よりも物語的であり、データ主導ではないことがよくあります。
結論: オプション D が正解です。生産性指標に対する最近のパフォーマンス指標は、保証業務の範囲に含めるプロセスを特定するための最も関連性の高い情報を提供し、IIA 標準に沿って、監査が重大なリスクまたは改善の機会のある領域に重点を置くことを保証します。