改善勧告とフォローアップ

改善勧告とフォローアップは、システム監査人が監査報告書で示した改善提案を、監査対象部門が実際の改善につなげるまでの一連の手続である。システム監査人は改善の必要な事項を勧告し、その実施状況を把握して改善を促す役割を担う。一方、改善計画の策定と実施の責任は監査対象部門に残る。この役割分担を正しく理解することが、この単元の要点である。

勧告と指摘事項の記載基準

改善勧告は、監査人が監査証拠に基づいて改善の必要があると判断した事項を報告書に記載するものである。その判断では、改善の必要性だけでなく、その改善が現実に実現可能かも併せて考慮する必要がある。 報告書に記載する前には、調査結果に事実の誤りがないかを被監査部門に確認し、事実誤認に基づく勧告を防ぐ。この確認は勧告への同意を得る手続ではなく、判断の正確性を高めるための作業である。

ISMS内部監査のように規格への適合を確かめる監査では、指摘事項の判定が求められる。手順どおりに許可された行為や、規定どおりに行われた報告は、それだけでは不適合とはいえない。一方で、リスク受容基準をリスクアセスメントの後に定めるといった手順の順序の誤りは、規格の要求に照らして指摘事項となる。 指摘事項は、事象が発生したかどうかではなく、要求事項に対して管理が適合していないかどうかで判断する点が重要である。

フォローアップの基本的な役割

フォローアップとは、システム監査人が監査報告書に記載した改善提案について、その実施状況に関する情報を収集し、改善の進み具合をモニタリングする活動である。ここでの監査人の立場は、改善状況を把握し確認する者であり、改善を実行する者ではない。 改善提案を受けた部門がどのように対応したか、その改善状況がどうなっているかを監視することが、フォローアップの中心となる。