経営者による説明とは、監査用語において、監査人が入手した監査証拠の一部として、経営者が特定の質問に応じて、または財務諸表を通じて行った陳述を指す。経営者による説明は口頭または書面による場合があるが、監査人は通常、監査人に提供された財務諸表およびその他の情報の正確性と完全性を証明する書簡の形で、経営者から書面による説明を取得する。経営者による説明書は、CEO や CFO などの上級経営陣によって署名され、監査作業完了日と同じ日付が記入される。経営者による説明書は、監査中に監査人に対して明示的または黙示的に行われた説明を確認または文書化し、そのような説明が引き続き適切であることを示し、説明の対象となっている事項に関する誤解の可能性を減らすものである12。
経営者代理とは、監査において経営幹部を代表する個人またはグループではありません（A）。これは、経営陣が監査プロセスに直接関与していない、または責任を負っていないことを意味するためです。経営者代理とは、組織構造を表すメカニズムではありません（B）。これは、経営者代理が組織内の階層構造や関係性を示すための図式的または図表的なツールであることを意味するためです。経営者代理とは、プロジェクトの主要段階における経営陣の関与を示すプロジェクトマネジメント手法ではありません（C）。これは、経営者代理がプロジェクトの進捗状況や成果を監視または報告するための方法または慣行であることを意味するためです。

説明
クラウドリスク管理プログラムと従来のリスク管理プログラムの最大の違いは、責任共有モデルです。責任共有モデルとは、クラウドサービスモデルの種類（IaaS、PaaS、SaaS）に応じて、クラウドサービスプロバイダーとクラウドサービス利用者の間でセキュリティとコンプライアンスの責任を分担するものです。責任共有モデルでは、クラウドサービスが必要なセキュリティとコンプライアンスのレベルを満たしていることを保証し、クラウド環境から生じる可能性のあるリスクを特定して軽減するために、両者が協力し、調整する必要があることを意味します123。
ITランドスケープの仮想化（A）は、クラウドリスク管理プログラムと従来のリスク管理プログラムの違いの一つですが、最も重要な違いではありません。ITランドスケープの仮想化とは、サーバー、ストレージ、ネットワーク、アプリケーションなどの物理的なITリソースを、インターネット経由でアクセス・管理可能な仮想リソースに抽象化することを指します。ITランドスケープの仮想化により、クラウドサービスプロバイダーは、クラウドサービス顧客に拡張性、柔軟性、効率性に優れたクラウドサービスを提供できるようになります。しかし、ITランドスケープの仮想化は、データ漏洩、不正アクセス、構成ミス、パフォーマンス低下といった新たなリスクももたらします123。
クラウド サービス プロバイダーが採用するリスク管理プラクティスは、クラウド リスク管理プログラムと従来のリスク管理プログラムの違いですが、最も重要な違いではありません。
クラウドサービスプロバイダーが採用するリスク管理プラクティスとは、クラウドサービスに影響を与えるリスクを特定、評価、対応、監視、報告するためにクラウドサービスプロバイダーが用いる手法または技術を指します。クラウドサービスプロバイダーが採用するリスク管理プラクティスには、セキュリティとコンプライアンスの姿勢を示すポリシー、標準、手順、管理、監査、認証、または証明が含まれる場合があります。しかし、クラウドサービスプロバイダーが採用するリスク管理プラクティスは、クラウドセキュリティとコンプライアンスのあらゆる側面を網羅していない可能性があり、また、クラウドサービス顧客の期待や要件と一致していない可能性があるため、それだけでは十分ではなく、信頼できるものでもありません123。
クラウド環境での機密情報のホスティング（D）は、クラウドリスク管理プログラムと従来のリスク管理プログラムの違いの一つですが、最も重要な違いではありません。クラウド環境での機密情報のホスティングとは、クラウドサービスプロバイダーが所有・運営するクラウドインフラストラクチャまたはプラットフォームにおいて、機密情報、個人情報、または貴重なデータを保存または処理することを指します。
機密情報をクラウド環境にホストすることで、コスト削減、アクセス性、可用性、バックアップなどのメリットが得られます。しかし、機密情報をクラウド環境にホストすることは、データ漏洩、プライバシー侵害、コンプライアンス違反、法的紛争などのリスクも伴います123。参考文献：クラウドリスク管理 - ISACA クラウドリスク管理：セキュリティ専門家のための入門書 - Infosec ...
クラウド リスク管理: セキュリティ専門家のための入門書 - Infosec ...

クラウドサービスプロバイダーのSLAを監査する監査人は、サービス運用に重要な運用上の事項が契約から除外されているかどうかを最も懸念すべきです。これは、プロバイダーの透明性、説明責任、品質保証の欠如を示す可能性があるためです。運用上の事項とは、クラウドサービスの機能性、パフォーマンス、可用性、信頼性、セキュリティ、コンプライアンスに影響を与える側面です。運用上の事項の例としては、サービスの範囲、役割と責任、サービスレベルと指標、監視と報告の仕組み、インシデントと問題の管理、変更管理、バックアップとリカバリ、データ保護とプライバシー、解約条項などが挙げられます12。これらの事項は、サービス目標の達成とクラウド顧客の期待に重大な影響を与える場合、サービス運用にとって重要です。監査人は、SLAが関連するすべての重要な運用上の事項を明確かつ包括的にカバーしていること、およびプロバイダーがSLAの条件を遵守していることを確認する必要があります。
その他の選択肢は、監査担当者にとってそれほど懸念されるものではありません。選択肢AはSLAの望ましい要素ですが、欠落していても問題にはなりません。選択肢Bは、SLAの達成には調達や財務上の事項が不可欠であるため、SLAに期待する内容としては非現実的です。選択肢Cは、サービス運用に重要な運用上の事項の具体的な例ですが、SLAに含めるべき唯一の事項ではありません。参考：
クラウドサービスのデューデリジェンスチェックリスト
クラウドコンピューティング：効果的なパフォーマンスを確保するために、政府機関は重要なプラクティスを取り入れる必要がある