正しい 4 つのステートメントは次のとおりです。
*重大な不適合については、現地でのフォローアップの対象となる場合があります
*重大な不適合に対処するために講じられる措置は、軽微な不適合に対処するために講じられる措置よりも一般的にはより重大である。
*いくつかの軽微な不適合は、重大な不適合にまとめられることがある
*不適合は、その重要性を示すために等級分けされる場合があります
ISO 19011:2018 によれば、不適合とは要件を満たしていないことです1。不適合は、監査プログラムまたは監査クライアントによって確立された基準に基づいて、その重要性を示すために等級分けされる場合があります2。不適合の等級分けでは、監査の性質と状況に応じて、メジャー、マイナー、クリティカルなどの異なる用語やレベルが使用される場合があります3。ただし、メジャーおよびマイナーな不適合の一般的な定義は次のとおりです。
*重大な不適合とは、管理システムが意図した結果を達成する能力に影響を及ぼす不適合、または管理システムの重大な機能不全を示す不適合です4。重大な不適合は、即時の是正措置と、その是正を確認するための監査人による現地フォローアップが必要になる場合があります5。
*軽微な不適合とは、マネジメント システムが意図した結果を達成する能力に影響を与えない不適合、またはマネジメント システムの単独の欠陥を表す不適合です4。軽微な不適合は、指定された時間枠内での是正措置と、その解決を確認するための監査人によるオフサイト検証が必要になる場合があります5。
不適合に対処するために講じられる措置は、不適合の重大性と影響、および再発またはエスカレーションのリスクによって異なります。通常、重大な不適合に対処するために講じられる措置は、問題の根本原因の特定と排除、予防措置の実施、および解決策の有効性の監視を伴う可能性があるため、軽微な不適合に対処するために講じられる措置よりも実質的なものになります。
複数の軽微な不適合が同じ要件、プロセス、または領域に関連し、体系的な障害または管理システムに対する重大なリスクを示している場合は、それらを 1 つの重大な不適合にグループ化できます。監査人は、専門的な判断と証拠に基づくアプローチを使用して、不適合をグループ化するか個別に報告するかを決定する必要があります。
その他の記述は、ISO 19011:2018 のガイダンスに基づくと誤りです。例:
*オプション B は誤りです。監査プログラムまたは監査クライアントによって確立された基準に応じて、不適合は異なる用語またはレベルを使用して等級分けされる可能性があるからです2。「メジャー」および「マイナー」という用語は必須または普遍的ではなく、むしろ可能な等級分けレベルの例です3。
*オプション D は誤りです。非常に軽微な不適合は、依然として要件 1 を満たしていないことを示しているため、改善の機会として再評価するのではなく、不適合として報告する必要があります。改善の機会は、管理システムのパフォーマンスまたは有効性を向上させるための提案ですが、不適合または要件ではありません。
*オプション F は誤りです。不適合の等級分けは、初回会議で被監査者に説明される必要はなく、監査の所見と結論が提示され議論される最終会議で説明される必要があるからです。初回会議は、監査の目的、範囲、基準、方法の概要を示し、監査の手配とロジスティクスを確認することを目的としています。
*オプション G は誤りです。なぜなら、不適合の等級付けの基準を決定する責任は、必ずしも被監査者ではなく、むしろ監査プログラムまたは監査クライアントが被監査者とその他の関連当事者と協議して決定するからです2。被監査者は、不適合に対処するための是正措置を講じ、その完了と有効性の証拠を提供する責任があります。
参照: 1: ISO 19011:2018、3.13; 2: ISO 19011:2018、6.6.2; 3: ISO 19011:2018、6.6.3; 4: ISO 監査結果:不適合 - AUVA 認証1; 5: 付録 III: 不適合等級 - FSSC2; : ISO
27001 認証 - 重大な不適合と軽微な不適合 - Advisera3; : 不適合への対処と解消に関するガイダンス - SADCAS4; : ISO 19011:2018、6.2; : ISO 19011:2018、3.14; :
ISO 19011:2018、6.7; : ISO 19011:2018、6.4; : ISO 19011:2018、6.7.2; : ISO 19011:2018; : ISO 19011:2018; :
ISO 19011:2018; : ISO 19011:2018; : ISO 19011:2018; : [ISO 19011:2018]; : [ISO 19011:2018]; : [ISO
19011:2018]; : [ISO 19011:2018]; : [ISO 19011:2018]; : [ISO 19011:2018]; : [ISO 19011:2018]

Explanation:
この文を最もよく完成させる単語は「assess」と「recommendation」です。文は次のようになります。
「監査計画とは、認証承認の推奨を決定する目的で、会社のすべての領域を評価する監査チームの意図を表明したものです。」 説明: 私の定義済みツールの Web 検索結果によると、サードパーティ監査計画とは、組織の ISMS が ISO 27001 規格に準拠しているかどうかを確認するために独立した認証機関が実施する外部監査の範囲、目的、基準、および方法論を説明する文書です12。監査計画には、監査スケジュール、監査チーム、監査場所、および監査成果物も含まれます23。サードパーティ監査の主な成果物の 1 つは、監査結果、監査結論、および監査推奨事項をまとめた監査レポートです34。監査推奨事項は、組織の ISMS が認証要件を満たしているかどうか、および認証を付与、維持、一時停止、または取り消す必要があるかどうかに関する監査チームの意見です45。
したがって、監査計画の目的は、監査チームが会社のすべての領域を評価する意図を述べること、つまり ISMS のパフォーマンスと有効性を評価し、認証承認の推奨を決定すること、つまり ISMS の認証ステータスに関する判断を下すことです。 選択肢にある他の単語、たとえば評決、許可、報告、検査、質問などは、監査計画の意味を正確に反映していません。 評決は、監査チームではなく、裁判官または陪審員によってなされる正式な決定です。 許可は、何かを行うための法的承認であり、適合の証明ではありません。 報告書は、監査結果を提示する文書であり、監査の意図ではありません。 検査は、何かの目視検査であり、ISMS の包括的な評価ではありません。 質問は、情報の要求であり、推奨事項の決定ではありません。

説明
12の総合的な能力:
* 監査範囲と基準: 監査範囲は、監査の対象となる場所、プロセス、機能、期間など、監査の範囲と境界を定義します。監査基準は、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、または要件です。
監査の範囲と基準によって監査の複雑さと範囲が決まり、監査の関連するすべての側面をカバーするために必要な監査人の数と専門知識に影響します。
* 監査目的を達成するために必要な監査チームの総合的な能力: 監査チームは、監査を効果的かつ効率的に実施し、信頼性と信頼性のある監査結果を提供するために、適切な知識、スキル、経験を備えている必要があります。監査チームの能力には、次の要素が含まれる必要があります12。
* 一般的な能力: 監査の計画、実施、報告、フォローアップなどの監査の原則と方法を適用する能力、および倫理的行動、公正な提示、専門家としての配慮、独立性、公平性などの監査人の個人的な行動と特性。
* 分野およびセクター固有の能力: 情報セキュリティ管理システム (ISMS) の要件、情報セキュリティのリスクと管理、法的および規制上の義務、組織の状況と文化、プロセスと活動、製品とサービスなど、監査基準と監査対象組織の関連する技術的または業界的側面を理解し、適用する能力。
* 監査チームリーダーの能力: 監査活動の調整、監査プログラムマネージャーおよび監査対象者とのコミュニケーション、監査関連の問題の解決、監査作業および監査レポートの品質と一貫性の確保など、監査チームと監査プロセスを管理する能力。
監査プログラムの管理責任者は、特定の監査の監査チームの規模と構成を決定する際に、以下の要素を考慮に入れるべきではありません。これらの要素は監査プロセスには無関係または不適切だからです12。
* 顧客関係: 監査チームは、監査対象者やその他の利害関係者との個人的または職業上の関係に影響されてはなりません。監査の客観性と公平性が損なわれる可能性があります。監査チームは、監査結果や監査決定に影響を与える可能性のある利益相反や自己利益を避ける必要があります。
* 監査チームリーダーの年功序列: 監査チームリーダーは能力に基づいて選出されるべきである
* 組織内または監査プログラム内での勤続年数や地位ではなく、経験に基づいて決定されます。監査チーム リーダーは、勤続年数や地位に関係なく、監査チームと監査プロセスを管理する権限と責任を持つ必要があります。
* 監査のコスト: 監査のコストは、監査チームの規模と構成を決定する主な要因ではありません。監査の品質と有効性が損なわれる可能性があるためです。監査チームには、監査の目的、範囲、基準に従って監査を実施し、正確で信頼性の高い監査結果と推奨事項を提供するために十分なリソースと時間が必要です。
* 監査対象者が希望する期間: 監査の期間は、監査の目的、範囲、基準、および監査対象者の都合や都合ではなく、監査対象者の都合と協力に基づいて決定する必要があります。監査チームには、監査を徹底的かつ体系的に実施し、十分かつ関連性のある監査証拠を収集して評価するのに十分な時間が必要です。
参考文献:
* ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
* PECB候補者ハンドブック ISO 27001主任審査員、19-20ページ

説明

監査対象とは、監査の対象となる組織またはその一部です。監査対象は、監査クライアントの内部または外部である可能性があります。監査対象は、監査チームと協力し、関連する情報、文書、記録、人員、および施設へのアクセスを提供する必要があります。
監査クライアントとは、監査を依頼する組織または個人のことです。監査クライアントは、監査対象者の内部または外部の場合があります。監査クライアントは、監査の目的、範囲、基準、プログラムを定義し、監査チーム リーダーを任命する必要があります。
技術専門家とは、監査対象となる組織、活動、プロセス、製品、サービス、または分野に関連する特定の知識または専門知識を提供する人物です。技術専門家は、監査チームの内部または外部の人物である可能性があります。技術専門家は、監査証拠の収集と評価において監査チームをサポートする必要がありますが、監査人として行動してはなりません。
オブザーバーは、監査チームに同行するが監査人として行動しない人物です。オブザーバーは、監査チームの内部または外部の人物である可能性があります。オブザーバーは、監査チームリーダーと監査対象者の間で別途合意されない限り、監査活動を妨害したり影響を与えたりすることなく、監査活動を観察する必要があります。
参考文献 :
[ISO 19011:2022 マネジメントシステム監査ガイドライン]
[ISO/IEC 17021-1:2022 適合性評価 - マネジメントシステムの監査および認証を提供する機関に対する要求事項 - パート 1: 要求事項]

ISO 27001:2022 の条項 9.1.2 によれば、組織は計画された間隔で内部監査を実施し、情報セキュリティ管理システムが組織自身の要件、ISO 27001:2022 の要件に準拠しているかどうか、また効果的に実装および維持されているかどうかに関する情報を提供しなければなりません。12 ISO 27001:2022 の条項 10.1 によれば、組織は不適合に対応し、必要に応じてそれらを制御および修正し、結果に対処するための措置を講じなければなりません。組織はまた、再発や発生を防ぐために、不適合の原因を排除するための措置の必要性を評価しなければなりません。
組織は、必要な措置を実施し、講じた是正措置の有効性をレビューし、必要に応じて情報セキュリティ管理システムに変更を加えなければならない12。フォローアップ監査は、前回の監査後に実施される内部監査の一種であり、不適合および是正措置が対処され解決されたかどうか、および情報セキュリティ管理システムが改善されたかどうかを検証するものである12。したがって、フォローアップ監査計画を準備する場合、次のことが当てはまります。
検証では、実施された措置が完了しているかどうかに重点を置く必要があります。つまり、監査人は、組織が不適合を修正および防止するために計画されたすべての措置を実施したかどうか、および措置が要求どおりに文書化され伝達されたかどうかを確認する必要があります。12 検証では、実施された措置が効果的に実施されたかどうかに重点を置く必要があります。つまり、監査人は、組織が措置の意図した結果と目的を達成したかどうか、および措置によって不適合とその原因と結果が排除または軽減されたかどうかを確認する必要があります。12 フォローアップ監査計画の作成に関して、次の記述は誤りです。
検証では、講じられた措置が効率的に講じられたかどうかに焦点を当てる必要があります。これは誤りです。なぜなら、効率は、不適合および是正処置に対処するために講じられた措置を検証するための基準ではないからです。効率とは、望ましい結果を達成するためのリソースの最適な使用を指しますが、ISO 27001:2022 の要件ではありません。監査員は、効率ではなく、措置の有効性と完全性に焦点を当てる必要があります。12 最初に修正を検証し、次に是正処置、最後に改善の機会を検証する必要があります。これは誤りです。なぜなら、修正、是正処置、改善の機会を検証するための規定の順序はないからです。監査員は、順序や優先順位に関係なく、組織が講じたすべての措置を検証する必要があります。監査員は、関連性、重要性、または影響に基づいて措置を検証することを選択できますが、これは必須の要件ではありません。12 最初に改善の機会を検証し、次に修正、最後に是正処置を検証する必要があります。これは誤りです。改善、修正、および是正措置の機会を検証する順序は規定されていません。監査人は、その順序や優先順位に関係なく、組織が講じたすべての措置を検証する必要があります。監査人は、その関連性、重要性、または影響に基づいて措置を検証することを選択できますが、これは必須の要件ではありません12 最初に是正措置をレビューし、次に修正、最後に改善の機会をレビューする必要があります。これは誤りです。是正措置、修正、および改善の機会をレビューする順序は規定されていません。監査人は、その順序や優先順位に関係なく、組織が講じたすべての措置をレビューする必要があります。監査人は、その関連性、重要性、または影響に基づいて措置をレビューすることを選択できますが、これは必須の要件ではありません12 参考文献:
1: CQIおよびIRCA認定トレーニングによるISO/IEC 27001:2022主任審査員（情報セキュリティ管理システム）コース1 2: PECBによるISO/IEC 27001主任審査員トレーニングコース2