管理システムの監査および認証を提供する機関の要件を規定する ISO/IEC 17021-1:2015 によると、条項 9.4.9 では、認証機関は監査中に取得した情報およびその他の関連情報に基づいて認証の決定を下す必要があります1。認証機関は、監査中に特定された不適合に対処するために被監査者が行った是正措置の有効性も考慮する必要があります1。したがって、監査プログラム マネージャーに推奨を行う際、ISMS 監査人は不適合の性質と重大性、および提案された是正措置を考慮する必要があります。
上記のシナリオに基づいて、監査人は、提案された是正措置計画を承認した後、認証を推奨し、1 年後の監視監査で発見事項を解決できることを推奨する必要があります。監査人は、推奨の根拠として次のものを提供する必要があります。
* 根拠: この推奨は、被監査者に軽微な不適合が 2 件、改善の機会が 1 件あるのみであり、ISMS の重大なまたは体系的な失敗を示すものではないという事実を反映しているため適切です。軽微な不適合とは、ISO/IEC 27001:2022 の 1 つ以上の要件を達成できなかったこと、または ISMS プロセスが意図した出力を達成できるかどうかについて重大な疑問が生じるものの、全体的な有効性や適合性には影響しない状況と定義されます2。改善の機会とは、ISO/IEC 27001:2022 で要求されている以上の改善の提案と定義されます2。したがって、これらの発見事項は、適切な是正措置によって合理的な時間枠内に対処される限り、認証を妨げたり排除したりすることはありません。監査人は、認証を推奨する前に、提案された是正措置計画を承認し、それが現実的で、達成可能で、効果的であることを確認する必要があります。監査人はまた、是正措置が実施され、意図したとおりに機能していることを確認するために、1 年後の監視監査で発見事項を終了できることを推奨する必要があります。
その他のオプションは、特定のシナリオに対して緩すぎるか厳しすぎるため、監査プログラム マネージャーにとって有効な推奨事項ではありません。例:
* 直ちに認証を推奨する: このオプションは、監査人が不適合を無視または受け入れることを意味し、ISOの監査原則と目的に反するため無効です。
19011:20182 は、管理システムの監査に関するガイドラインを提供しています。また、これは、認証機関が認証の決定を行う前に、被監査者が行った是正措置の有効性を考慮することを要求する ISO/IEC 17021-1:20151 の要件にも矛盾しています。
* 6か月以内に全範囲の再監査が必要であることを推奨する：このオプションは、監査人が不適合に対して過剰反応したり誇張したりすることを示唆しており、ISO 19011:20182の監査原則と目的に反しているため無効です。また、ISO/IECの要件にも反しています。
17021-1:20151 では、認証機関が不適合の性質と範囲、およびその他の関連要因に基づいて再監査が必要かどうかを判断することが求められています。フルスコープの再監査は通常、ISMS の深刻または広範囲にわたる不適合を示す重大な不適合または複数の軽微な不適合に対して行われます。
* 予告なしの監査を将来実施することを推奨する: このオプションは、監査人が被監査者の是正措置を実施する取り組みまたは能力を信用していない、または疑って​​いることを示唆しており、ISO 19011:20182 の監査原則および目的に反しているため無効です。また、これは ISO/IEC 17021-1:20151 の要件にも反しています。この要件では、ISMS に重大な問題の兆候がある場合や、セクター固有のスキームによって要求される場合など、特定の条件下でのみ認証機関が予告なしの監査を実施することが求められています。
* 3 か月以内に部分監査が必要であることを推奨する: このオプションは、監査人が是正処置の検証に特定の時間枠または範囲を課すか規定することを意味しており、ISO 19011:20182 の監査原則および目的に反しているため無効です。また、これは、不適合の性質と範囲、およびその他の関連要因に基づいて部分監査が必要かどうかを判断することを認証機関に要求する ISO/IEC 17021-1:20151 の要件にも反します。軽微な不適合には部分監査が適切である可能性がありますが、時間枠と範囲は、提案された是正処置計画に基づいて、監査対象者と合意する必要があります。
参照: ISO/IEC 17021-1:2015 - 適合性評価 - マネジメントシステムの監査および認証を提供する機関に対する要求事項 - パート 1: 要求事項、ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン

マネジメントシステムの監査に関するガイドラインを提供する ISO 19011:2018 によれば、監査プログラムとは、特定の期間に計画され、特定の目的に向けた 1 つ以上の監査のセットです1。監査プログラムを管理する個人は、組織のポリシーと目標に従って監査プログラムを確立、実装、維持する責任があります1。これには、戦略的方向性、リスク、機会に基づいて監査プログラムの範囲を定義すること、目的、範囲、基準を定義して監査プログラムを確立すること、監査プログラムに必要なリソースを決定すること、有能な監査人を選定し、適切な監査に割り当てること、個々の監査の目的、範囲、基準を定義すること、個々の監査の計画を定義すること、監査結果の文書化された情報を保持すること、監査プログラムのパフォーマンスをレビューして改善することが含まれます1。したがって、これら 6 つのアクションは、監査プログラムを管理する個人の責任の一部です。もう 1 つのオプション、つまり監査中に監査対象者とコミュニケーションをとることは、監査プログラムを管理する個人の責任ではなく、監査チーム リーダーの責任です1。参照: ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン

管理システム監査のガイドラインである ISO 19011:2018 によれば、サンプリング計画とは、定義された母集団から監査証拠の代表的なサブセットを選択する方法です1。サンプリング計画には、主要なプロセス、活動、およびコントロールを網羅することで ISMS を適切に理解できる、時間とリソースの使用を最適化することで監査計画を効率的に実施できる、サンプルが十分で信頼性が高く偏りがないことを保証することで監査結果に信頼性があるなど、監査にとっていくつかの利点があります1。したがって、これら 3 つのオプションは、監査にサンプリング計画を使用する利点の例です。その他のオプションは利点ではなく、サンプリング計画を使用することの欠点またはリスクです。たとえば、監査人の直感を無視すると、サンプリング計画でカバーされていない重要な証拠や問題を見逃す可能性があります。連続した監査で同じ計画を使用すると、監査結果の有効性と妥当性が低下する可能性があります。また、不十分または不適切なサンプリング計画が原因で重要な問題が見逃される可能性があります1。参照: ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン

PDCA サイクルのチェック段階では、プロセスのパフォーマンスを監視および測定し、計画された目的および基準と比較します。内部監査プログラムの管理の文脈では、この段階では、内部監査プログラムがその目的、範囲、および基準を満たしているかどうか、および ISO 19011 ガイドライン 1 に従って実装されているかどうかを評価することにより、内部監査プログラムの有効性を検証することが含まれます。また、監査結果、不適合、是正措置、改善の機会、顧客フィードバック 1 など、監査から収集されたデータを分析することにより、内部監査結果の傾向を確認することも含まれます。参照: ISO 19011:2018 - 管理システム監査のガイドライン

説明
監査結果を決定するには、監査証拠を監査基準に照らして評価する必要があります。
* 監査証拠とは、監査人が監査プロセス中に入手した情報であり、監査意見または結論を形成するための基礎として使用されます12。監査証拠には、記録、文書、声明、観察、インタビュー、またはテスト結果が含まれます12。
* 監査基準とは、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、規制、または要件です12。監査基準は、ISO 標準、業界のベスト プラクティス、法的義務などの内部または外部の情報源から導き出される可能性があります12。
* 監査結果とは、監査証拠を評価し、それを監査基準13と比較するプロセスの結果です。監査結果では、監査基準が満たされている (適合) か、満たされていない (不適合) かが示されます。また、ベスト プラクティスや改善の機会を特定することもできます13。
参考文献 :
* ISO 19011:2022 監査管理システムのガイドライン
* ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件
* 監査結果の構成要素 - 内部監査人協会