説明
マネジメントシステムの監査に関するガイドラインを規定する ISO 19011:2018 によると、第 6.6 項では、監査チームのリーダーに対し、監査の終了時に被監査者の代表者との最終会議を開催し、監査の結論と結果を提示することを義務付けています1。最終会議では、被監査者が質問し、問題を明確にし、調査結果を認め、監査プロセスについてコメントする機会も提供する必要があります1。したがって、ISMS 監査人は、最終会議の準備をする際に、次のアクションを考慮する必要があります。
* 私は被監査者に、最終会議の目的は監査チームが私たちの調査結果を伝えることであるとアドバイスします。被監査者がこれらに異議を唱える機会ではありません。この措置は、監査人が監査証拠を収集および評価し、監査の結論に達するために体系的かつ一貫したアプローチに従っているという事実を反映しているため、適切です。監査人は被監査者に対し、最終会議の目的は監査チームが客観的な証拠と専門的判断に基づいた調査結果を伝えることであることを通知する必要があります。また、監査人は、これらの所見は監査中にすでに議論され確認されているため、被監査者が異議を唱える機会ではないことも説明する必要があります。ただし、監査人は被監査者に質問をし、問題を明確にし、調査結果を認め、監査プロセスについてコメントするよう促す必要もあります1。
* 私は、被監査者の代表者との最終会議を予定し、そこで監査の結論が提示されます。この措置は、監査人が計画され合意された監査プログラムおよびスケジュールに従っているという事実を反映しているため、適切です。監査人は、条項に従って、監査の結論が提示される被監査者の代表者との最終会議をスケジュールする必要があります。
ISO 19011:20181 の 6.6。また、監査人は、最終会議に ISMS の管理または実装の責任者およびその他の関係者が出席することを確認する必要があります1。
* 必要なフォローアップについては監査チームと話し合う予定です。監査人がフォローアップの決定と報告に関してリスクベースのアプローチに従っているという事実を反映しているため、この措置は適切です。
* 被監査者または認証機関によって要求される措置。監査人は、不適合に対する是正措置の検証やその後の監査の実施など、必要なフォローアップについて監査チームと話し合う必要があります1。監査人は、その後のアクションも監査報告書に文書化する必要があります1。
* 私は、チームの監査結論を検討し、必要に応じて承認します。この措置は、監査人が監査結論に達し、報告するために厳密かつ専門的なプロセスに従っているという事実を反映しているため、適切です。監査人は、客観的な証拠と専門的判断に基づいたチームの監査結果を検討し、必要に応じて承認する必要があります。監査人はまた、チームの監査結果が監査の目的および範囲と一致しており、全体的なパフォーマンスと ISMS1 の適合性を反映していることを確認する必要があります。

知識とは、特定の主題や分野に関連する事実、概念、原則、理論、実践を理解することです。スキルとは、知識を適用し、ノウハウを使用してタスクを完了し、問題を解決する能力です。ISO 19011:2018 によれば、審査員の知識とスキルには次のものが含まれます。
監査の原則、手順、方法に関する知識
マネジメントシステム規格および参考文書に関する知識
組織の状況、範囲、プロセス、および目的に関する知識 関連する法律、規制、および契約上の要件に関する知識 該当する業界、分野、または技術分野に関する知識 リスク管理およびリスクベースの考え方に関する知識 情報の収集と検証のスキル 適合性と有効性の評価のスキル管理システムの管理 監査結果の報告と伝達のスキル 監査活動とチームの管理のスキル これに基づいて、主に知識に関連する活動は、監査人が監査基準を理解する必要があるため、チェックリストを作成し、収集する証拠を決定することです。 、範囲、目的、方法、および組織の状況、プロセス、リスク。他のアクティビティは、知識を適用し、ノウハウを使用してタスクを実行し、監査中に問題を解決することを含むため、よりスキルに関連しています。
参考文献:
ISO 19011:2018、マネジメント システム監査のガイドライン、第 7.2.1 項、7.2.2 項、および 7.2.3 項 PECB 候補者ハンドブック - ISO 27001 主任監査人、9 ～ 10 ページおよび 16 ～ 17 ページ ISO 9001 監査実践グループのガイダンス: 監査能力、2～3ページおよび8ページ

監査の有効な結論となる 2 つのステートメントは次のとおりです。
*ISMS ポリシーが組織に効果的に伝達されている
*組織の ISMS 目標は ISO/IEC 27001:2022 の要件を満たしています ISO 19011:2018 によれば、監査結論は監査の結果であり、監査チームが監査目標とすべての監査結果を考慮した上で提供されます1。監査の結論は、監査基準が満たされているかどうかに応じて肯定的または否定的になる可能性があります。監査の結論には、改善のための推奨事項やグッドプラクティスの認識を含めることもできます。
ステートメント D および E は、監査基準と所見に基づいた監査の結果を表現しているため、有効な監査結論となります。例えば：
*ステートメント D は、組織が ISO/IEC 27001:2022 の第 5.2.2 項の要件を満たしていることを示すため、監査の肯定的な結論です。この要件では、ISMS ポリシーは組織内および関係する利害関係者に伝達される必要があると規定されています2。監査チームは、コミュニケーション、啓発活動、フィードバックなどの記録など、この結論を裏付ける十分かつ適切な監査証拠を入手していなければなりません。
*ステートメント E は、監査の肯定的な結論です。これは、組織が ISO/IEC 27001:2022 の第 6.2 項の要件を満たしていることを示しているためです。この要件には、組織は ISMS ポリシーと一致し、ISMS 目標に関連する ISMS 目標を確立する必要があると記載されています。情報セキュリティリスク3. 監査チームは、目標設定、リスク評価、ポリシーとの整合性などの記録など、この結論を裏付ける十分かつ適切な監査証拠を入手している必要があります。
他の記述は、監査基準および所見に基づく監査の結果を表現していないため、有効な監査結論ではありません。これらはむしろ監査所見の例であり、収集された監査証拠を監査基準に照らして評価した結果です4。監査結果は、監査基準への適合または不適合、または改善の機会を示す場合があります。例えば：
*ステートメント A は、条項の要件への不適合を示すため、否定的な監査結果です。
ISO/IEC 27001:2022 の 7.2.2 には、組織がその管理下にある人々に情報セキュリティ意識の教育とトレーニングを提供しなければならないと記載されています5。監査チームはこの不適合を特定して文書化し、被監査者に報告しなければなりません。
*ステートメント B は、条項の要件への不適合を示すため、否定的な監査結果です。
ISO/IEC 27001:2022 の 6.1.2 では、組織は計画された間隔で、または重大な変更が発生した場合に情報セキュリティ リスク評価を維持およびレビューする必要があると規定されています6。監査チームはこの不適合を特定して文書化し、被監査者に報告しなければなりません。
*ステートメント C は、条項の要件への不適合を示すため、否定的な監査結果です。
ISO/IEC 27001:2022 の 10.1 では、組織は不適合の原因を排除し、再発を防止するための措置を講じなければならないと規定されています7。監査チームはこの不適合を特定して文書化し、被監査者に報告しなければなりません。
*ステートメント F は、条項の要件への不適合を示すため、否定的な監査結果です。
ISO/IEC 27001:2022 の 6.1.3 では、組織はリスク処理計画を実施するために必要な管理を決定し、それを適用性の声明に文書化する必要があると規定されています8。監査チームはこの不適合を特定して文書化し、被監査者に報告しなければなりません。
参考文献: 1: ISO 19011:2018、3.15; 2: ISO/IEC 27001:2022、5.2.2; 3: ISO/IEC 27001:2022、6.2; 4: ISO
19011:2018、3.14; 5: ISO/IEC 27001:2022、7.2.2; 6: ISO/IEC 27001:2022、6.1.2; 7: ISO/IEC 27001:2022、
10.1; 8: ISO/IEC 27001:2022、6.1.3; : ISO 19011:2018; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO
19011:2018; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022

Explanation:
監査チームの能力と認証機関による決定 マネジメントシステムの監査と認証を提供する機関の要件を規定する ISO/IEC 17021-1 によれば、認定された認証とは、認証機関が認定機関によって評価されていることを意味します。認められた基準に照らして、その能力、公平性、パフォーマンス能力を実証します1。したがって、認定された認証は、ISO 19011 および ISO/IEC 27001:2022 に従って監査を実施する監査チームの能力と、監査の証拠と結果に基づいて認証を付与または維持する認証機関によって行われた決定を保証します2。 。参考文献: ISO/IEC
17021-1:2015 - 適合性評価 - マネジメント システムの監査と認証を行う機関の要件 - パート 1: 要件、ISO/IEC 27001:2022 主任監査人 (情報セキュリティ マネジメント システム) | CQI | IRCA