Feburary2014

日本システム監査人協会 会報
2014.1「個人情報保護マネジメントシステム実施ハンドブック」簡易版

第 20 章

個人情報保護監査研究会

第20章 点検

点検とは、事業者自らが構築したＰＭＳの有効性を確認するために行う重要な機能です。
点検には、２通りの手段があります。

20.1

運用の確認

個人情報保護管理者以下、全社、各部門、各階層の管理者が、自ら行う日常点検

監査

個人情報保護監査責任者が、組織から独立して第三者的な視点で行う点検

運用の確認

あらかじめ「3303 年間計画表（兼点検表）」にＰＭＳ運用の確認時期と確認項目を設定し、計画どおり実施されているかどうかを確認します。 上段に予定日、下段に実際に実施した日を記入し、進捗管理をすることになります。実施日は手書きでもかまいません。

各記録の点検は、毎月実施した日付を記入します。

開示請求、苦情などの件数も記録します。

日本システム監査人協会 会報1Feburary2014

20.2

日本システム監査人協会 会報

監査

監査は、毎年以下の２つの観点から実施します。
監査目的

監査の内容

監査対象

適合性

法令、国が定める指針その他の規範および、個人情報保護マネ 内部規程

監査ジメントシステム－要求事項（JIS Q 15001:2006）に合致し （ＰＭＳ責任者、事務局なているかどうかを監査する。

運用監査ど）

自社のＰＭＳにおいて、リスク分析の結果講じるとした対策の 全社、全部門（ＰＭＳ運運用状況の監査用、および各部門責任者など）

20.２.1

監査計画

全社を対象にした監査の時期については、大枠を「3303PMS 年間計画書（兼点検表）」に定めます。監査の実施時期は、事業の繁忙期を避ける必要があります。また定期的な全社員教育が実施され、個人情報の特定とリスク分析が実施され、運用が開始された後に行います。
監査計画書には、監査テーマ、部門ごとの実施時期、時間、監査担当者など、具体的な計画を立案します。
監査時間は業務の規模にもよりますが、被監査部門の意見を聴取する場でもあることを認識し、少なくとも２時間程度は、確保するとよいでしょう。
サンプルの監査計画書は、監査報告書を兼ねています。
監査計画書は、代表者の承認が必要です。

20.2.2

監査体制

個人情報監査責任者は、全部門の監査を実施する権限を持ちます。
代表者や個人情報保護管理者は、監査責任者を兼務することはできません。自分を監査してはならないというルールがあるからです。ただし、２名しかいない小規模事業者の場合、代表者は個人情報保護管理者を兼務し、監査責任者は他の者を指名します。

同様に、監査担当者は、自部門を監査することはできません。2 名しかいない小規模事業者では、相互に監査担当者として監査を実施してください。
なお、企業の監査役は、内部統制上の機能制限により監査責任者だけでなく、個人情報保護体制に参加することはできませんので注意してください。
日本システム監査人協会 会報2Feburary2014

20.2.3

日本システム監査人協会 会報

適合性監査

適合性監査は、規程を更新する時が最も有効な時期です。監査報告書を代表者に提出し、不適合があれば、見直しを経て規程が承認されるという手順で行ってください。
下記の「チェックリスト JISＱ15001 適合性監査」のサンプルは、各項目の指摘事項、および全体の【不適合】の概観を記入して代表者に報告する様式になっています。このハンドブックで使用するチェックリストは、すべて報告書を兼ねています。

20.2.4

運用監査

被監査部門の職場に出向き、部門長や、業務担当者に対するヒアリングや現場目視を行います。 事
業の内容や取り扱いに応じて準備した「監査チェックリスト」を用い、エビデンス（証拠書類）や実態を確認して、「監査チェックリスト」に書き込んでいきます。
運用監査チェックリストの種類

監査対象b) 「3726b_予備調査チェックリスト」

被監査部門の事前準備用

c)

【必須】

「3313c _リスク分析表（兼監査チェックリスト）」d) 「3726d_PMS体制の運用チェックリスト」

個人情報保護管理者および事務局e) 「3726e_施設・設備の安全性チェックリスト」

施設ごとの管理部門

f)

システム運用部門「3726f_情報システム運用の安全性チェックリスト」g) 「3726g_情報システム開発の安全性チェックリスト」

システムのオーナー部門h) 「3726h_部門ＣＰチェックリスト」
日本システム監査人協会 会報3Feburary2014

日本システム監査人協会 会報a)～h)のうち、c) 「3313c リスク分析表（兼監査チェックリスト）」を用いての監査は必須です。

各部門で取り扱う個人情報について、リスク分析した結果の対策＝規程について監査を実施するため、実務的で、効率的な監査を実施することができます。
他の「監査チェックリスト」は、被監査部門が抱えるリスクに応じ、追加で監査を実施してください。
※ 施設や設備は、部門にまたがるため、総務部や支部長などを対象に、「3726e_施設・設備の安全性チェックリスト」で監査します。

（以下は e）の一部）

ただし、「3313c リスク分析表（兼監査チェックリスト）」に、上記に類する監査項目が含まれている場合は、e）は、省略可能です。
※

全社の基盤としての情報システムがある場合は、f) 「3726_情報システム運用の安全性チェックリスト」によって、システム運用部門の責任者を対象に監査します。 （以下は f）の一部）

日本システム監査人協会 会報4Feburary2014※

日本システム監査人協会 会報

規程や法律違反とならないよう、また個人の権利を侵害しないために、「3726h_部門ＣＰチェックリスト」で監査します。ただし、「3313c リスク分析表（兼監査チェックリスト）」に、下記に類する監査項目が含まれている場合は、h）は、省略可能です。

※

サンプルのチェックリストは、事業者の取り扱う個人情報に応じて選択し、社会情勢や事故事例などを参考に適宜、削除、追加して使用します。

20.2.5

運用監査の評価

監査担当者は、ヒアリングや目視した事実に基づき、チェックリストに以下の評価を記入します。
評価

記述状況

是正処置a) 適合○

問題なし

不要b) 観察事項○’

直ちに改善され、再発はしないと評価できる状況

不要c)

×

是正しなければ、本人の権利を侵害し、企業の存続に係わ必要不適合るリスクとなる状況
確認結果欄には、確認した記録（エビデンス）の名称、目視したモノやヒアリング内容を明記し、不適合があれば、 “～を実施していない”、“～を記録していない” など、具体的に記入します。
準備した監査項目のすべてについて、監査結果を記入した後、チェックリストの 1 ページ目の「【不適合】の概観」欄に、被監査部門ごとに特徴的な問題点や事情について記述し、代表者が一見してその部門の状況が理解できるようにします。
監査の終了時に「講評会」を実施し、被監査部門に不適合について納得が得られるよう説明し、確認印もしくはサインを得ます。

20.2.6

監査報告

監査責任者は、監査担当者から各部門の監査結果について「チェックリスト」によって報告を受け、結果のサマリーとして「3721 監査計画書（兼報告書）」を作成します。
「3721 監査計画書（兼報告書）」には、監査責任者が，ＰＭＳに対して改善すべき提言が盛り込まれている必要があります。

20.2.7

是正処置

監査において発見した不適合については、「3801 是正・予防処置報告書」を用いて、是正処置を実施します。監査責任者の責務は、不適合の報告迄で、是正処置の責任者は個人情報保護管理者となります。
■

次回は、「第 21 章 是正処置及び予防処置」をご紹介します。＞目次へ

個人情報保護監査研究会 http://www.saaj.or.jp/shibu/kojin.html

日本システム監査人協会 会報

以上5