標準化されたコントロールフレームワークを使用することで、監査人はクラウドサービスプロバイダー（CSP）が提供するサービスと顧客の要件とのギャップ分析を実施できます。標準化されたコントロールフレームワークとは、クラウドコンピューティング環境のセキュリティ、プライバシー、コンプライアンスを評価し、改善するために役立つガイドライン、ベストプラクティス、基準のセットです。標準化されたコントロールフレームワークの例としては、ISO/IEC 27001/27002/27017/27018、NIST SP 800-53、CSA Cloud Controls Matrix（CCM）、COBITなどが挙げられます。標準化されたコントロールフレームワークを使用することで、監査人はCSPのポリシー、手順、プラクティスを顧客の期待や要件と比較し、リスクや問題を引き起こす可能性のあるギャップや矛盾を特定できます。ギャップ分析は、ギャップを埋めてクラウドサービスの品質とパフォーマンスを向上させる方法について、監査人がCSPと顧客に対して推奨事項や提案を行うのに役立ちます12。
参照：
クラウド コントロール マトリックス (CCM) - CSA
クラウドコンピューティング監査プログラム - ISACA

定期的なドキュメントレビューは、特にクラウドコンピューティングにおいて、組織が管理上のギャップや欠陥を特定する上で重要なプロセスです。このプロセスでは、プロセス、管理、ポリシーに関するドキュメントを定期的に検証し、最新かつ有効であることを確認します。これにより、組織は管理が意図したとおりに運用されていることを確認し、組織の要件やクラウドサービスに固有のリスクに十分に対応できていない可能性のある領域を発見することができます。これらのレビューを実施することで、組織は関連する規制や標準へのコンプライアンスを維持し、クラウドセキュリティ体制を継続的に改善することができます。
参考資料 = 定期的なドキュメントレビューの重要性は、クラウドセキュリティアライアンス（CSA）およびクラウド監査知識認定（CCAK）プログラム12で概説されているクラウド監査およびセキュリティのベストプラクティスで強調されています。これらのリソースは、包括的なクラウドガバナンスおよびコンプライアンス戦略の一環として、定期的なレビューの重要性を強調しています。

経営者による説明とは、監査用語において、監査人が入手した監査証拠の一部として、経営者が特定の質問に応じて、または財務諸表を通じて行った陳述を指す。経営者による説明は口頭または書面による場合があるが、監査人は通常、監査人に提供された財務諸表およびその他の情報の正確性と完全性を証明する書簡の形で、経営者から書面による説明を取得する。経営者による説明書は、CEO や CFO などの上級経営陣によって署名され、監査作業完了日と同じ日付が記入される。経営者による説明書は、監査中に監査人に対して明示的または黙示的に行われた説明を確認または文書化し、そのような説明が引き続き適切であることを示し、説明の対象となっている事項に関する誤解の可能性を減らすものである12。
経営陣の代表とは、監査中に経営陣を代表する個人またはグループのことではありません (A)。これは、経営陣が監査プロセスに直接関与していない、または責任を負っていないことを意味するためです。
経営表現は、組織構造を表現する手段ではありません（B）。そう考えると、経営表現は組織内の階層構造や関係性を示すための図式的ツールであると解釈されてしまうからです。また、経営表現は、プロジェクトの主要段階における経営陣の関与を示すためのプロジェクトマネジメント手法でもありません。そう考えると、経営表現はプロジェクトの進捗状況や成果を監視または報告するための方法や実践であると解釈されてしまうからです。