VI.監査報告書の作成

 検出事項及び改善提言等を取りまとめた後、監査報告書を作成し、監査依頼者に提出することになります。草案を監査対象組織と監査人との間で確認し、内容に異論がなければ正式な報告書となります。また、この章では、監査報告書記載上の留意点も記載しています。

1. 監査報告書草案の作成

(1) 監査報告書の記載事項
(2) 草案を示す表示
(3) 監査報告書が外部へ開示される可能性がある場合の留意点
(4) 監査対象から除かれた範囲
(5) 保証の付与と紛らわしい表現
(6) 検出事項の記載上の留意点
(7) 改善提言の記載上の留意点
(8) 助言型監査報告書の雛型

2. 草案の確認

(1) 品質管理者による確認
(2) 監査依頼者及び監査対象組織の責任者への最終確認

3. 監査報告書の発行

4. 監査報告会の開催

5. 監査報告書の保管保存

(1) 監査目的の達成が困難と判断された場合の対応
(2) 法令違反等の疑いのある行為を発見した場合の対応
(3) 緊急の対応が必要と思われる事象を発見した場合の対応
(4) その他、監査対象範囲外の重要な問題を発見した場合の対応

 次に、この章における重要なポイントについて解説していきます。


・保証の付与と紛らわしい表現の禁止

 助言型監査の監査報告書においては、保証の付与と紛らわしい表現を用いてはなりません。保証の付与と紛らわしい表現の例としては、次のような表現があります。

  • 以下の検出事項があるものの、当面、緊急かつ重要な影響は予想されない。
  • 以下の検出事項を除いて、重要な問題はない。
  • 総括、総合所見、総合意見として、「重要な問題は発見されなかった」等の表現を用いること

・検出事項の記載上の留意点

 監査報告書に記載する検出事項は、文書及び記録等に基づく客観的な証拠によるものでなければなりません。また、監査報告書に検出事項の重要性等の監査人の判断を参考情報として記載する場合は以下のことを監査報告書に記載することになります。

  • 重要性等の判断は監査人の参考情報である旨
  • 監査人が重要性等を保証するものではない旨

 検出事項について、監査責任者と被監査対象組織の責任者の間で見解の相違があり、それが解消されていない場合は、監査報告書に監査人の意見と監査対象組織の責任者の意見の両論を併記することになります。


・改善提言の記載上の留意点

 改善提言は、監査人が監査を実施したことにより発見された事実のみに基づく、監査人の参考意見であるため、改善提言の記載に当たっては、監査依頼者、監査対象組織の責任者に対して、その実施を強要するような表現にならないように配慮しなければなりません。例えば、改善勧告と称し、「~については、~のように改善しなければならない。」という表現は、監査依頼者、監査対象組織の責任者に改善を強要しているかのような誤解を招くため、使用すべきではありません。

◆        ◆        ◆

 以上、JASAの技術部会で作成した、助言型監査ガイドについての説明をしました。今回説明できなかったことも多く記載されています。ぜひ一度目を通していただきたいと思います(現在は正式版以前のバージョンである「助言型監査マニュアル」がWebでJASAのセミナー資料として公開されている)。情報セキュリティ監査は今後ますます、発展していくものと思われます。多くの監査人の知見が蓄積されていくことにより、本ガイドも見直しが必要となると思われます。適時見直しをすることにより、よりよいガイドとなればよいと思います。

筆者紹介 NPO 日本ネットワークセキュリティ協会
セキュリティ監査ワーキンググループ
2002年に経済産業省が主宰する「情報セキュリティ監査制度」策定のための委員会に、JNSAとしての意見、研究成果を報告した。これらの成果は「情報セキュリティ監査制度」に反映され、2003年4月に施行開始となった。2003年はJNSAとして独自の電子自治体情報セキュリティ管理基準を策定し、公開。コラム執筆は大溝裕則(ジェイエムシー)、河野省二(ディアイティ)、夏目雅好(ネットマークス)、丸山満彦(監査法人トーマツ)、吉田裕美(ジェイエムシー)が担当。