解説

ISMS（情報セキュリティマネジメントシステム）における内部監査は、JIS Q 27001（ISO/IEC 27001）の要求事項への適合性を確認する重要なプロセスです。内部監査の特徴として、①審査基準はJIS Q 27001の要求事項と組織自身が規定した要求事項の両方（二重基準）②ISMSの活動が組織に対して「有効に機能しているか」という有効性の評価も含む③前回監査の結果を考慮してプログラムを策定する（継続改善の観点）④計画的に実施するのが原則（不定期・抜き打ちが原則ではない）という点が重要です。

なぜ他の選択肢は違うのか

選択肢 イ

「JIS Q 27001の要求事項ではなく、組織自体が規定した要求事項のみを監査基準とする」は誤りです。内部監査ではJIS Q 27001の要求事項と組織が規定した要求事項の「両方」を基準とします。国際標準の要求事項を無視することはISMS認証の維持においても問題があります。

選択肢 ウ

「前回の内部監査の結果は考慮しない」は誤りです。PDCA（計画・実施・確認・改善）サイクルに基づくISMSでは、前回の監査で発見された問題・改善事項を次回の監査プログラムに反映させることが求められます。継続的改善の観点から前回結果の考慮は必須です。

選択肢 エ

「不定期かつ抜き打ちでの実施を原則とする」は誤りです。内部監査は事前に計画（監査プログラム）を策定し、計画的・定期的に実施することが原則です。ただし特定の状況（重大インシデント発生後など）では臨時監査を実施することもあります。

解くときのポイント

ISMS内部監査のポイント：①基準＝JIS Q 27001の要求事項＋組織規定の両方②有効性の評価も含む③前回結果を考慮④計画的実施（不定期・抜き打ちは原則でない）。「適合性だけでなく有効性も評価」という点が重要。