Explanation:

ISO 27001:2013の5.2項によれば、組織の最高経営陣は、組織の目的に適した情報セキュリティ方針を策定、実施、維持し、情報セキュリティ目標を設定するための枠組みを提供しなければなりません。情報セキュリティ方針には、適用される法令、規制、契約上の要件、および組織が遵守するその他の要件を遵守するというコミットメントも含まれていなければなりません。したがって、規制遵守を維持することは、マネジメントシステム方針を履行し、その有効性と適切性を確保することの一部です。参考文献：
* ISO/IEC 27001:2013、情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項、5.2項
* PECB候補者ハンドブック ISO 27001主任審査員、10ページ
* ISO 27001ポリシー：ISO 27001に準拠したポリシーの書き方

監査における重要性とは、法令遵守や契約遵守に関するものを含め、どの程度の不適合や不備が監査結果に影響を与えるほど重大なものとなるかを評価することを指します。
これらの問題に関連する費用は、重要性を判断する際に考慮される。
参考文献：ISO 19011:2018、マネジメントシステムの監査に関する指針

ISO/IEC 27001 主任審査員向け PECB 候補者ハンドブックによると、監査報告書は、監査証拠の収集と分析を担当する監査チームリーダーが監査チームからの意見を取り入れて作成する必要があります1。監査報告書には、監査の目的、範囲、基準、および方法論の基礎となる監査計画を含めるか、または参照する必要があります2。さらに、監査報告書は、監査プログラム管理の一部であり、監査結果のタイムリーな伝達を保証するため、合意された期間内に作成する必要があります3。加えて、監査報告書は常にクライアントによってレビューされ、日付が記入され、「承認済み」として署名される必要があります。これは、監査の完了と監査結果および結論に関する正式な合意を確認するためです4。
他の記述が誤りである理由は以下のとおりです。
監査報告書は、その内容が組織の経営陣にとって都合の悪いものになる可能性があるため、最初に経営陣に送付すべきではありません。これは監査の公平性と機密性を損なうことになります。監査報告書は、監査プログラムの手順と監査計画に従って配布されるべきです。
監査報告書は、機密扱いと明記されていない限り、一般に公開すべきではありません。これは、監査の機密保持義務および個人情報保護の原則に違反するからです。監査報告書は機密文書として扱い、権限のある関係者のみに開示する必要があります。
監査報告書は、不適合事項のみを記載するべきではない。なぜなら、それでは監査の範囲と価値が限定されてしまうからである。監査報告書は、適合性、改善の機会、優良事例、および監査上の所見も記載すべきである。
不要になった監査報告書は、組織の一般廃棄物として廃棄してはなりません。これは、監査の機密性および情報セキュリティにリスクをもたらすためです。監査報告書は、監査プログラムの手順および適用される法的要件に従って、保管、廃棄、または破棄する必要があります。

監査目的とは、監査依頼者と監査人によって定義された監査の目的と範囲のことです。ISO/IEC 27001 規格によれば、ISMS 監査の監査目的には、ISMS が監査基準にどの程度適合しているかを判断すること、組織が情報セキュリティ目標を達成していることを保証する ISMS の能力を評価すること、ISMS の改善の可能性のある領域を特定することなどが含まれます。12. 参照: = 1: PECB 候補者ハンドブック - ISO/IEC 27001 主任監査人、19 ページ 2: ISO/IEC 27007:2011 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム監査のガイドライン、条項 4.2.1。