顧客設計文書のハードコピーを廃棄する最も良い方法は、シュレッダーで細断することです。これは、細断することで文書が確実に破壊され、権限のない人物による再構築やアクセスが不可能になるためです。顧客設計文書には、漏洩した場合に顧客や組織に危害や損害を与える可能性のある機密情報が含まれている場合があります。したがって、文書を安全に廃棄するまで、その機密性と完全性を保護することが重要です。ゴミ箱に捨てたり、事務員に渡して他の目的で再利用してもらったり、書き込みに再利用したりすることは、文書を廃棄する安全な方法ではありません。不正アクセス、盗難、紛失、または損傷の危険にさらす可能性があるためです。ISO/IEC 27001:2022 では、組織が情報を含む媒体を安全に廃棄するための手順を実施することを要求しています (A.8.3.2 項を参照)。参考資料: CQI および IRCA 認定 ISO/IEC 27001:2022 主任審査員トレーニング コース、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、安全な廃棄とは?

マネジメントシステムの監査および認証を行う機関に対する要求事項を規定するISO/IEC 17021-1:2015の9.4.9項では、認証機関は監査中に得られた情報およびその他の関連情報1に基づいて認証の決定を下すことが求められています。認証機関はまた、監査中に特定された不適合に対処するために被監査者が実施した是正措置の有効性も考慮する必要があります1。したがって、ISMS監査員は、監査プログラムマネージャーに勧告を行う際に、不適合の性質と重大性、および提案された是正措置を考慮する必要があります。
上記のシナリオに基づき、監査人は提案された是正措置計画を承認した後、認証を推奨し、1年後のサーベイランス監査で指摘事項を解決できることを推奨する必要があります。監査人は、推奨の根拠として以下の点を示す必要があります。
根拠: この推奨は、被監査者に軽微な不適合が 2 件と改善の機会が 1 件あるのみであり、ISMS の重大なまたは体系的な失敗を示すものではないという事実を反映しているため適切です。軽微な不適合とは、ISO/IEC 27001:2022 の 1 つ以上の要求事項を達成できなかったこと、または ISMS プロセスが意図した出力を達成できるかどうかについて重大な疑問を抱かせるものの、全体的な有効性や適合性には影響を及ぼさない状況と定義されます2。改善の機会とは、ISO/IEC 27001:2022 で要求されている以上の改善の提案と定義されます2。したがって、これらの発見事項は、適切な是正措置によって合理的な時間枠内に対処される限り、認証を妨げたり排除したりすることはありません。監査人は、認証を推奨する前に、提案された是正措置計画が現実的で、達成可能で、効果的であることを確認するために、その計画を承認する必要があります。監査人はまた、是正措置が実施され、意図したとおりに機能していることを確認するために、1 年後の監視監査で発見事項をクローズすることを推奨する必要があります。
その他の選択肢は、与えられたシナリオに対して緩すぎるか厳しすぎるため、監査プログラムマネージャーにとって有効な推奨事項ではありません。例えば、
直ちに認証を推奨する：このオプションは、監査人が不適合を無視または受け入れることを意味するため、無効であり、これはISOの監査原則と目的に反する。
マネジメントシステムの監査に関するガイドラインを提供するISO/IEC 19011:20182は、この要件を遵守していません。また、これはISO/IEC 17021-1:20151の要件とも矛盾しています。ISO/IEC 17021-1:20151では、認証機関は認証の決定を行う前に、被認証者が実施した是正措置の有効性を考慮することが求められています。
6ヶ月以内にフルスコープの再監査を推奨する：この選択肢は、監査人が不適合に対して過剰反応したり、誇張したりすることを意味するため、有効ではありません。これはISO 19011:2018の監査原則と目的に反します。また、ISO/IECの要件にも反します。
17021-1:20151では、認証機関は不適合の性質と範囲、その他の関連要因に基づいて再監査の必要性を判断することが求められています。フルスコープ再監査は通常、ISMSの重大または広範囲にわたる欠陥を示唆する重大な不適合、または複数の軽微な不適合に対して実施されます。
予告なしの監査を将来実施することを推奨する：このオプションは、監査人が被監査者の是正措置実施へのコミットメントまたは能力を不信または疑念を抱いていると示唆し、ISO 19011:20182の監査原則および目的に反するため、有効ではありません。また、ISO/IEC 17021-1:20151の要件にも反します。ISO/IEC 17021-1:20151では、認証機関はISMSに重大な問題の兆候がある場合や、特定の業種特有のスキームで要求される場合など、特定の条件下でのみ予告なしの監査を実施することが求められています。
3ヶ月以内に部分監査を推奨する：このオプションは、監査人が是正措置の検証のために特定の期間または範囲を課す、または規定することを示唆しており、ISO 19011:20182の監査原則および目的に反するため、有効ではありません。また、これはISO/IEC 17021-1:20151の要件にも反します。ISO/IEC 17021-1:20151では、認証機関が不適合の性質と範囲、およびその他の関連要因に基づいて部分監査の必要性を判断することを求めています。軽微な不適合に対しては部分監査が適切である場合もありますが、期間と範囲は被監査者と合意し、提案された是正措置計画に基づいて決定する必要があります。
参照: ISO/IEC 17021-1:2015 - 適合性評価 - マネジメントシステムの監査および認証を行う機関に対する要求事項 - パート1: 要求事項、ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン

説明
ステージ 1 の第三者監査の主な目的は、ステージ 2 の監査の準備状況を判断することです。ステージ 1 監査は、組織の ISMS 文書、適用範囲、状況、および目的を評価し、ステージ 2 監査の前に対処する必要がある大きなギャップや不適合を特定する予備評価です。ステージ 1 監査では、監査チームをクライアントに紹介しません。これは監査計画段階で行われます。ステージ 1 監査では、組織の法令遵守は確認されません。これはステージ 2 監査中に行われます。ステージ 1 監査では、独立した監査報告書は作成されません。これはステージ 2 監査の後に行われます。参考文献: : CQI & IRCA ISO 27001:2022 主任監査員コース ハンドブック、70 ページ。 : ISO/IEC 27001 主任監査員 - PECB、23 ページ。

マネジメントシステム監査のガイドラインであるISO 19011:2018によれば、監査目的は監査依頼者によって定義され、監査対象マネジメントシステムの監査基準への適合性または不適合性の程度を判断すること、監査対象マネジメントシステムが適用される法令、規制、および契約上の要求事項を確実に満たしているかどうかを評価すること、監査対象マネジメントシステムの潜在的な改善機会を特定すること、そして監査対象マネジメントシステムの継続的な改善を促進することなどが含まれる場合があります1。したがって、これら3つのフレーズは監査に関連する目的の例です。その他の選択肢は目的ではなく、監査に影響を与える可能性のある要素または要因です。例えば、国際規格は監査基準の源泉であり、経営方針は監査対象マネジメントシステムの一部であり、監査を期限通りに完了することは効果的な監査の要件です。参考：ISO 19011:2018 - マネジメントシステム監査のガイドライン