According to the PECB Candidate Handbook for ISO/IEC 27001 Lead Auditor, audit methods can be classified into two categories: with or without interaction with individuals representing the auditee (page 12).
Audit methods with interaction include reviewing checklists with auditee and conducting interviews, as they involve direct communication and feedback from the auditee. Audit methods without interaction include sampling (e.g. products), observing work performed via live video streaming, checking legal compliance with local authorities, and analysing documents provided in advance of the audit, as they do not require any dialogue or exchange with the auditee. References: PECB Candidate Handbook for ISO/IEC 27001 Lead Auditor, page 12.

A management system audit is a systematic, independent and documented process for obtaining objective evidence and evaluating it objectively to determine the extent to which the audit criteria are fulfilled. The audit criteria are a set of requirements that may include policies, procedures, standards, regulations, etc. The purpose of a management system audit is to evaluate the performance of an organisation's management system in terms of its effectiveness, efficiency, compliance, and improvement. A management system audit can also identify strengths, weaknesses, opportunities, and risks of the management system and provide recommendations for improvement.

情報セキュリティマネジメントシステム（ISMS）の確立、実施、維持、継続的改善に関する要求事項を規定するISO/IEC 27001:2022によると、6.2項では、組織は関連する機能およびレベルで情報セキュリティ目標を設定する必要があると規定されています1。目標は、情報セキュリティポリシーと整合していること、測定可能であること（可能な場合）、評価可能であること、監視されていること、伝達されていること、必要に応じて更新されていること1が求められます。したがって、ISMS監査員は、組織の情報セキュリティ目標を監査する際に、監査基準に従ってこれらの側面を検証する必要があります。
ISO/IEC 27001:2022への適合性に関して懸念が生じるISMS監査員研修生からの回答は以下の3つです。
経営陣が今年度の情報セキュリティ目標を決定したかどうかを確認します。決定していない場合は、このタスクが完了するように計画されているかどうかを確認します。この回答は、研修中の監査員が、経営幹部レベルだけでなく、関連する機能やレベルにおいても情報セキュリティ目標を設定する必要があることを認識していないことを示唆しているため、懸念を生じさせます。また、研修中の監査員が情報セキュリティ目標の決定の遅延や延期を容認する意思があることを示唆しており、これはISMSのパフォーマンスと有効性に影響を与える可能性があります。
情報セキュリティの目標が紙に書き出されているか確認し、達成すべきこと、その達成方法、達成期限を全員が明確に理解できるようにします。この回答は、研修中の監査担当者が、情報セキュリティの目標は紙に書き出すだけでなく、測定可能（可能であれば）または評価可能なものにする必要があることを認識していないことを示唆しているため、懸念を生じさせます。また、研修中の監査担当者が、電子記録やデジタル記録、ポスター、ニュースレターなど、情報セキュリティの目標を文書化および伝達するためのさまざまなメディアや形式の柔軟性と適合性を認識していないことも示唆しています。
各目標に完了日が設定されていること、および「達成期限」が設定されていない目標がないことを確認します。この回答は、研修中の監査担当者が、特定の期日までに完了するだけでなく、監視される情報セキュリティ目標を設定する必要があることを認識していないことを示唆しているため、懸念を生じさせます。また、研修中の監査担当者が、組織の内部または外部の状況に変化が生じた場合、あるいは新たなリスクや機会が生じた場合など、必要に応じて情報セキュリティ目標を更新する可能性と必要性​​を認識していないことも示唆しています。
ISMS監査員研修生からのその他の回答は許容範囲内であり、ISO/IEC 27001:2022への適合性に関して懸念事項はありません。例えば、各情報セキュリティ目標が、目標達成のためにその目標を認識する必要のある人々にどのように伝達されているかを確認することは、条項6.2の伝達面の検証に関連しています。情報セキュリティ目標を定期的に見直し、必要に応じて修正または取り消すためのプロセスが整備されていることを確認することは、条項6.2の更新面の検証に関連しています。各目標を達成するために必要な予算、人員、資材が決定されていることを確認することは、条項6.2の計画面の検証に関連しています。すべての情報セキュリティ目標が測定可能であることを確認すること。測定可能でない場合、組織は目標に対する進捗状況を追跡することができません。これは、条項6.2の測定可能性面の検証に関連しています。参照：ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項

監査目的とは、顧客または認証機関が監査を通じて達成しようとする具体的な目標または目的のことです。監査目的とは、監査が何を達成しようとするかを明確にし、監査の計画と実施の基礎となるものです。監査目的は、監査の種類、範囲、基準によって異なる場合がありますが、明確で、測定可能で、達成可能なものでなければなりません。
第三者機関によるISMS監査の監査目的の例としては、以下のようなものがあります。
* ISO/IEC 27001の要求事項への適合性を評価する：この目的は、組織のISMSが、情報セキュリティマネジメントシステムの確立、実装、維持、および改善に関するベストプラクティスを規定するISO/IEC 27001規格の要求事項を満たしていることを監査が検証することを意味します。監査では、組織のISMSの文書、プロセス、管理策、およびパフォーマンスを、規格の条項および附属書Aの管理策に照らして評価します。
* ISMS運用拠点の確認：この目的は、組織のISMSが、組織が事業を運営またはサービスを提供しているすべての関連拠点または場所を網羅していることを確認することです。監査では、ISMSの適用範囲が正確であり、組織の状況、目的、およびリスクと整合していることを検証します。
その他のフレーズは監査目的ではなく、むしろ次のとおりです。
* 顧客のプロセスと機能を評価する：これは監査の目的ではなく、組織のプロセスと機能が満たすべき監査基準または要件です。監査基準とは、監査証拠を比較して適合性または不適合性を判断するための基準です。監査基準には、ISO/IEC 27001の要求事項、顧客の要求事項、またはその他の適用可能な規格や規制が含まれる場合があります。
監査計画の実施：これは監査の目的ではなく、監査人が監査中に実行するタスクまたは活動です。監査計画とは、目的、範囲、基準、スケジュール、役割、責任など、監査の取り決めや詳細を記述した文書です。監査人は、監査が効果的かつ効率的に実施されるよう、監査計画に従って実行する必要があります。
* ISMSの適用範囲を決定する：これは監査の目的ではなく、監査を実施するための前提条件またはインプットです。ISMSの適用範囲とは、組織内の情報セキュリティ管理システムの範囲と境界のことです。ISMSに含まれる、または除外されるプロセス、活動、場所、資産、および利害関係者を定義します。ISMSの適用範囲は、認証を申請する前、または監査を受ける前に組織によって決定される必要があります。
組織効率の見直し：これは監査の目的ではなく、監査を実施することで得られる可能性のある結果です。組織効率とは、組織が目標達成のためにリソースをどれだけ効果的に活用しているかを示す指標です。監査は、情報セキュリティ管理システムの強み、弱み、機会、脅威を特定することで、組織効率の見直しと改善に役立つ可能性があります。
参考文献：
* ISO/IEC 27001:2022 リードオーディター（情報セキュリティマネジメントシステム）の目的と内容は、Quality.orgおよびPECBによるものです。
* ISO 19011:2018 マネジメントシステムの監査に関する指針 [第5.3.1項]