ISACAクラウド監査知識認定試験対策ガイドによると、監査人はクラウドサービスプロバイダとそのサービスプロバイダとの関係をレビューし、監査人が適用すべき労力と分析のレベルを決定・見積もる必要があります1。監査人は、サービスプロバイダが提供するサービスの性質と範囲、契約上の義務とサービスレベル契約、セキュリティとコンプライアンスの要件、そして監視と報告の仕組みを理解する必要があります。また、サービスプロバイダに関連するリスクと統制を評価し、十分な保証を得るために追加の監査手続きが必要かどうかを判断する必要があります。
その他のオプションは、監査担当者にとって最適なアプローチではありません。オプションAは厳しすぎるため、サービスプロバイダーが提供するサービスの種類やレベルによっては、実行不可能または不要となる可能性があります。オプションCは緩すぎるため、クラウドサービスにおける重大なリスクやギャップを見落とす可能性があります。オプションDは範囲が狭すぎるため、サービスプロバイダーがクラウド顧客のビジネスコンテキストに与える影響が考慮されない可能性があります。参考：
ISACA クラウド監査知識認定試験学習ガイド、13 ～ 14 ページ。

本番環境をパブリッククラウドでホストし、バックアップをオンプレミスで保持するシナリオにおける最大のガバナンス課題は、プロバイダーと顧客の間で共有される責任を一致させることです。クラウドサービスのあらゆる側面が適切に保護され、規制要件を満たすためには、セキュリティとコンプライアンスの責任分担を明確に理解し、管理する必要があるためです。顧客はクラウド「内」（つまりデータとアプリケーション）のセキュリティに責任を負い、プロバイダーはクラウド「の」（つまりインフラストラクチャ）のセキュリティに責任を負います。この共有責任モデルの不一致は、セキュリティとコンプライアンスのギャップにつながり、ガバナンス上の重大な課題となります。
参照 = この回答は、ISACA と Cloud Security Alliance (CSA) が提供するクラウド監査知識 (CCAK) ドキュメントおよび関連リソースに記載されている情報によって検証されています。これらのドキュメントでは、責任共有モデルとそれがクラウド環境のガバナンスに与える影響について説明しています12。

情報セキュリティフレームワークのマネジメントレビューは、通常、情報セキュリティ監視の通常の範囲外で実施される活動です。このレビューは戦略的な取り組みであり、情報セキュリティプログラムの全体的な方向性、有効性、そして組織の目標やリスク許容度との整合性を評価します。これはガバナンスを重視し、セキュリティフレームワークが最新の状態を維持し、既存の脅威や新たな脅威から組織を保護できることを確保することを目的としています。これは、セキュリティ管理の日常的な監視とセキュリティイベントの検出に重点を置くセキュリティ監視の運用上の性質とは対照的です。
参考資料 = 本回答は、情報セキュリティ実務に関する一般的な知識、および戦略的管理活動と運用監視タスクの一般的な分離に基づいています。ISACAおよびクラウドセキュリティアライアンス（CSA）によるクラウド監査知識（CCAK）文書および関連リソースからの直接的な参照は、私の現在の能力では外部文書やウェブサイトの内容にアクセスしたり検証したりできないため、ここには含まれていません。ただし、戦略的管理レビューと運用監視を分離するという概念は、情報セキュリティ管理において確立された実践です。