このアプローチはISO/IEC 27001:2022に準拠しています。なぜなら、同規格では、ISMSの効果的な運用（パフォーマンス報告を含む）に関して、経営陣が責任と権限を割り当てることを明示的に認めているからです。ISO/IEC 27001の5.3項では、経営陣は情報セキュリティに関連する役割、責任、権限が組織内で割り当てられ、周知されていることを確認する必要があると規定されています。
ISMSに対する最終的な責任は経営陣にありますが、規格では経営陣が自らデータを収集したり、報告書を作成したり、運用監視活動を実施したりすることを義務付けていません。実際には、これらの作業はISMSマネージャー、セキュリティチーム、またはパフォーマンスデータの収集と分析に適したその他の担当者に委任されることがよくあります。重要なのは、経営陣がガバナンス責任を果たすことができるよう、情報がタイムリーかつ正確に経営陣に届くことです。
選択肢Bは、説明責任と責任を誤解しているため誤りです。経営陣はISMSのパフォーマンスに対して責任を負いますが、関連するすべてのタスクを自ら実行する必要はありません。選択肢Cは、ISO/IEC 27001では最高情報セキュリティ責任者（CISO）が報告権限者でなければならないとは規定されていないため誤りです。組織は、その構造、規模、状況に基づいて役割を自由に定義できます。
したがって、ISMSのパフォーマンスについて報告する担当者を個別に割り当てることは、ISO/IECの基準に完全に合致している。
27001の要件。

知識とは、特定の主題または分野に関連する事実、概念、原則、理論、および実践に関する理解のことです。スキルとは、知識を応用し、ノウハウを使用してタスクを完了し、問題を解決する能力のことです。ISO 19011:2018によると、監査員の知識とスキルには次のものが含まれます。
* Knowledge of audit principles, procedures and methods
* Knowledge of management system standards and reference documents
* Knowledge of the organization's context, scope, processes and objectives
* Knowledge of relevant legal, regulatory and contractual requirements
* Knowledge of applicable industry, sector or technical disciplines
* Knowledge of risk management and risk-based thinking
* Skill in collecting and verifying information
* Skill in evaluating conformity and effectiveness of management systems
* Skill in reporting and communicating audit results
* Skill in managing audit activities and teams
Based on this, the activities that are predominately related to knowledge are designing a checklist and determining what evidence to gather, as they require the auditor to understand the audit criteria, scope, objectives and methods, as well as the organization's context, processes and risks. The other activities are more related to skills, as they involve applying knowledge and using know-how to perform tasks and solve problems during the audit.
References:
ISO 19011:2018, Guidelines for auditing management systems, clauses 7.2.1, 7.2.2 and 7.2.3 PECB Candidate Handbook - ISO 27001 Lead Auditor, pages 9-10 and 16-17 ISO 9001 Auditing Practices Group Guidance on: Auditing Competence, pages 2-3 and 8

ISO/IEC 27001は、CIAトライアドの中核となる原則に焦点を当てています。
*機密保持：情報へのアクセスは、権限のある個人のみに限定する。
*完全性：情報の正確性と完全性を維持し、不正な改ざんから保護すること。
*可用性：情報は、必要なときに権限のあるユーザーがアクセスできる必要があります（これも重要ですが、この特定の質問の選択肢には含まれていません）。
参考文献：
*ISO/IEC 27001:2022、セクション4.2（利害関係者のニーズと期待の理解）：このセクションでは、機密性、完全性、可用性への対応を含む、情報セキュリティに関連する利害関係者とその要求を特定することの重要性を強調しています。
*PECB候補者ハンドブック、ISO/IEC 27001主任監査員：このハンドブックでは、効果的な情報セキュリティマネジメントシステム（ISMS）におけるCIAトライアドの基礎的な役割がしばしば強調されています。

直接的な結果として認証が停止されるため、選択肢Aが正解となります。ISO/IEC 17021-1では、認証を受けた組織は、規格への継続的な適合性を検証するために、定期的なサーベイランス監査を受け入れなければならないと明確に規定されています。サーベイランス監査は必須であり、3年間の認証サイクルの一部を構成します。
監視監査の実施を拒否または怠ると、認証機関はISMSが有効かつ法令遵守していることを確認できなくなります。これにより、認証の有効性に対する信頼が失われます。そのため、認証機関は監査が実施され、適合性が再確立されるまで認証を一時停止する必要があります。
Option B is incorrect because certification validity is conditional upon ongoing surveillance. Certification does not remain valid if mandatory audits are refused. Option C is incorrect because transferring certification does not remove the obligation to undergo surveillance audits; a transfer would still require evidence of conformity and audit continuity.
Suspension is a protective mechanism to ensure that ISO/IEC 27001 certificates remain credible and trustworthy. If the organization later agrees to the audit and resolves issues, the certification may be reinstated. Therefore, refusal to undergo a surveillance audit leads to immediate suspension.