監査規程
1.0 版

1

監査規程
１趣旨 ............................................................................................................................ 3２対象者 ........................................................................................................................ 3３対象システム ............................................................................................................. 3４遵守事項..................................................................................................................... 3４．１ 共通事項 ............................................................................................................ 3４．２

監査の計画 ...................................................................................................... 4４．３

監査の実施 ...................................................................................................... 5４．４

監査結果の報告 ............................................................................................... 5４．５

是正措置 .......................................................................................................... 6５

運用確認事項 ............................................................................................................. 6６例外事項..................................................................................................................... 6７罰則事項..................................................................................................................... 6８公開事項..................................................................................................................... 7９改訂 ............................................................................................................................ 72

監査規程
１趣旨
本規程は、マネジメントシステムの内部監査手続きが遵守事項に従って、有効且つ適正に行われることを目的とする。

２

対象者
当社の情報資産を扱うすべての人を対象とする。
なお、権限および責務は以下のグループによって区別される。
・情報セキュリティ委員会およびその構成メンバー
・情報セキュリティ委員会から任命された監査組織、およびその監査人
・被監査組織および被監査人

３対象システム本規程は監査に関するものであり、情報システムや情報機器を対象としない。

４遵守事項
監査にあたっては、以下を遵守しなければならない。

４．１ 共通事項（１）情報セキュリティ委員会は、監査組織を構成し、定期的に監査を実施しなければならない。監査の実施は定期的に年１回とする。監査の周期を変更する際には、情報セキュリティ委員会での承認を得なければならない。
（２）監査組織は、監査の対象、目的について、被監査組織（人）および被監査人と協議した上で合意しなければならない。監査組織は、合意した内容が監査の目的に合致しているかについて責任をもつ。
（３）監査組織は、合意された内容に基づいて監査を実施し、その結果を情報セキュリティ委員会へ報告しなければならない。情報セキュリティ委員会は、監査の結果を受けて、必要に応じて適切な是正措置を行わなければならない。
（４）監査組織は、被監査組織、および被監査人に対して独立していなければならない。もし独立した監査組織を構成できない場合には、相互監査体制をとりできる限り独立性を維持しなければならない。監査組織は、客観的に監査を行わなければならない。

3

（５）監査組織は、監査の実施にあたり専門の知識や技能を必要とする場合、専門家の協力を得ることができる。監査組織は、監査の目的について専門家に説明し、専門家による作業の結果について最終的な判断を下すことができなければならない。
（６）監査組織は、監査の過程において知りえた情報を、監査目的以外に公開してはならない。
（７）被監査組織および被監査人は、監査の円滑な実施のために、スケジュール調整、資料の提示、監査立会い等、監査組織の活動に協力しなければならない。

４．２

監査の計画

（１）監査組織は、合意された監査内容に基づいて、監査の計画を立てなければならない。監査組織は、監査の目的として以下を含めなければならない。
・内部統制が正しく規定されているか・規定された内容にしたがって組織が効率的に実行しているか（２）監査組織は、監査の計画にあたり以下の内容を検討または実施しなければならない。
・内部統制として実施されている活動内容
・資産およびそれらへのリスク分析
・情報セキュリティ方針や関連規程等の分析・組織を取り巻く環境の変化
・内部統制を理解するためのヒアリングや観察（３）監査組織は、監査項目に以下の内容を含めなければならない。
・セキュリティ方針および関連規程
・情報セキュリティ委員会の構成および実行・情報資産を含む財産の管理・社員、契約社員等の扱い
・物理的セキュリティ
・通信および運用
・アクセス制御・システム開発
・事業継続計画・法律、規制等への準拠

4（４）監査組織は、計画した監査項目のそれぞれについて、問題点が内在する可能性について検討し、予測される内部統制リスクを判断した上で、実施手続きや監査のサンプリング密度を決定しなければならない。
（５）監査組織は、監査の実施手順および項目について、主要な内容を文書化しておかなければならない。

４．３

監査の実施

（１）監査組織は、各監査人に対して監査の実施を指示しなければならない。
（２）監査人は、あらかじめ決められた手続きに基づいて監査を実施しなければならない。監査手続きには必要に応じ、以下の内容を含めなければならない。
・インタビュー
・行動の観察・証拠等の検閲・監査人による作業手順の実施（３）監査人は、組織内で提供されているサービスの可用性を考慮しなければならない。
（４）監査人は、システム監査ツールを使用するとき、システムへの影響に細心の注意を払わなければならない。監査時には、一般へのサービスは停止していることが望ましい。
（５）監査人は、情報セキュリティ方針と、実際のマネジメント活動を比較して、有効性についての判断をしなければならない。判断する観点としては以下を含めなければならない。
・組織の存在意義と情報セキュリティ方針との整合性
・情報セキュリティ方針と関連規程の整合性
・PDCA サイクルの適切な実施（６）監査人は、監査結果を裏付けるために、監査によって得られた情報を記録しなければならない。
（７）監査人は、監査によって得られた情報を元に、内部統制リスクが予測範囲内であるかを評価し、実施手続きの妥当性を判断しなければならない。
（８）監査組織は、監査人からの報告を受けて、発見された問題の量や質が予測範囲を超えており、実施した手続きが妥当でないと判断した場合には、再度監査計画を立案して実行しなければならない。

４．４

監査結果の報告（１）監査組織は、監査結果を元に監査報告書を作成し、情報セキュリティ委員会へ報告しなければならない。監査組織は、被監査人の不在、機密情報に関する閲覧5

の拒絶など、さまざまな理由によって実施できなかった監査項目を監査報告書に含めなければならない。
（２）監査組織は、監査結果の裏付けとなる十分な根拠を提示できなければならない。
（３）監査組織は、問題点の指摘事項を報告する場合、問題点の重大性に応じて分類しなければならない。監査組織は、問題点を解決するための改善策について、可能な限り監査報告書に含めることが望ましい。
（４）監査報告書は、開示範囲を被監査組織、被監査人、情報セキュリティ委員会、および社長のみとしなければならない。

４．５

是正措置

（１）情報セキュリティ委員会は、監査組織からの報告を受けて、是正措置の計画立案をし、実行の判断をしなければならない。
（２）情報セキュリティ委員会は、実行可能となった是正措置について、緊急性、および重要性を考慮して、適切な時期に行なわなければならない。
（３）是正措置の指示を受けた被監査組織または被監査人は、速やかに是正措置を行い、実施した是正内容および時期を情報セキュリティ委員会に報告しなければならない。

５

運用確認事項（１）監査組織は被監査組織、被監査人と監査の対象、目的について協議し、実施された監査結果を受けて、被監査組織、被監査人が必要に応じて適切な是正措置を行っているか確認すること。
（２）監査組織は被監査組織および被監査人に対して独立していること。
（３）監査組織は、合意された監査内容に基づき、予測される内部統制リスクを判断した上で実施手続きやサンプリング密度を決定し、監査人に定期的に年 1 回の監査の実施を指示していること。
（４）監査人は監査結果から内部統制リスクが予測範囲内であるかを評価し、実施手続きの妥当性を評価していること。

６

例外事項
業務都合等により本規程の遵守事項を守れない状況が発生した場合は、情報セキュリテ

ィ委員会に報告し、例外の適用承認を受けなければならない。

７

罰則事項
本規程の遵守事項に違反した者は、その違反内容によっては罰則を課せられる場合がある。罰則の適用については『人的管理規程』に従わなければならない。
6

８

公開事項
本規程は対象者にのみ公開するものとする。

９

改訂
・本規程は、平成ｘｘ年ｘｘ月ｘｘ日に情報セキュリティ委員会によって承認され、平成ｘｘ年ｘｘ月ｘｘ日より施行する。
・本規程の変更を求める者は、情報セキュリティ委員会に申請しなければならない。情報セキュリティ委員会は申請内容を審議し、変更が必要であると認められた場合には速やかに変更し、その変更内容をすべての対象者に通知しなければならない。
・本規程は、定期的（年１回）に内容の適切性を審議し、変更が必要であると認められた場合には速やかに変更し、その変更内容をすべての対象者に通知しなければならない。

7