情報処理安全確保支援士試験 令和5年度 秋期 午前II 問24

【正解】ウ

内部監査は、サービスマネジメントシステムが、組織自身の定めた要求事項とJIS Q 20000-1の要求事項の両方に適合し、有効に実施・維持されているかについて情報を得るため、あらかじめ定めた間隔で実施する活動です。監査では、監査基準と範囲を定め、客観性と公平性を確保できる監査員が証拠を収集して評価します。要求事項への適合状況を計画的に確認する活動なので、ウが正解です。

アの監視、測定、分析及び評価は誤りです。これは、サービスやSMSの実績を指標などで把握し、収集したデータを分析して、その有効性や傾向を評価する活動です。監査証拠に基づく適合性の判定そのものではありません。

イのサービスの報告は誤りです。これは、サービスの実績、達成状況、傾向などをまとめ、利害関係者の意思決定やコミュニケーションに役立てる活動です。

エのマネジメントレビューは誤りです。これは、トップマネジメントがSMSの継続的な適切性、妥当性、有効性などを確認する活動です。内部監査の結果は、その重要な入力情報の一つになります。

【ポイント】 内部監査は「要求事項に適合しているか」を客観的に確認し、マネジメントレビューはその結果などを基に経営層がSMS全体を評価します。 両者はいずれも計画した間隔で行われますが、実施主体と目的を区別して覚えましょう。