ISMS内部監査のチェックリストを作る際の注意点は？リストを使うメリット・デメリットも紹介

ISMS（情報セキュリティマネジメントシステム）の国際規格であるISO/IEC 27001の要求事項に沿ったISMSを構築・運用する上で、内部監査は必須のフローです。ISMSを維持・改善するPDCAサイクルのC（Check）に該当するフローで、ISMS認証を取得する上でも必ず行わなければなりません。

ISMSの内部監査を実施する方法はさまざまですが、一般的な方法としてチェックリストを用いた監査があります。チェックする項目の一覧リストを作り、それを元にISMSの運用状況を確認したり、ISMSの担当者や適用範囲の人に質問をしたりする方法です。

本記事では、ISMS内部監査用チェックリストを作るときの注意点や、メリット・デメリットなどを紹介します。

ISMSの内部監査の流れや注意すべき点などについては、こちらの記事でまとめています。
ISMSの内部監査とは？目的や進め方、注意点を紹介 

ISMS内部監査用チェックリスト作成時の注意点

チェックリストを作成する際は、監査のテーマ・目的ごとに詳細なチェック項目を作っていきます。監査チェック事項の有効性が確認できる項目になるよう考えましょう。

チェック項目ができたら、それぞれに優先順位をつけ、特に重視するべきポイントを決めます。

チェックリストができたら、実際に内部監査を行う「内部監査員」や、監査対象となる部署などの業務・ルールを把握している人などにレビューをもらいましょう。より精度の高いチェックリストになります。

チェックリストのサンプルを活用するのがおすすめ

ISMSの内部監査用チェックリストのサンプルをダウンロードできるサイトがあります（ダウンロードは有料の場合が多いようです）。初めてチェックリストを作る場合は、このようなサンプルをダウンロードし、自社に合わせてチェック項目を修正していくのがおすすめです。
参考：ISO27001の内部監査チェックリスト（サンプル）

以下の観点で、具体的なチェックリストを作成します。

• 規格要求事項に沿ったISMSになっているか

• 構築したISMSに沿った業務が行われているか

• 客観的・公平に監査できるか

ISMSの内部監査でチェックリストを使うメリット

ISMSの内部監査でチェックリストを使うことには、どのようなメリットがあるのでしょうか。ここでは、4つのメリットを紹介します。

• 監査するべき範囲やポイントが明確になる

• チェックの抜け漏れを減らせる

• 内部監査員ごとの偏った評価を防止できる

• 内部監査を行った文書記録になる

監査するべきポイントが明確になる

チェックリストを作成することで、内部監査でチェックするべきポイントが明確になります。ISMSの適用範囲は部署・部門に限らず、全社を範囲にすることが可能です。全社的に監査を行うとなるとチェック項目も非常に多くなる可能性があるので、リストを作成することで確認すべき部分を整理することができます。

また、内部監査は監査対象となる部署・部門に所属していない人を選びます。その一方で、対象となる部署・部門の業務内容やルールを把握できていないと、適切に監査することは難しいでしょう。監査対象の部署・部門に関係ない人がより正確にチェックするためにも、チェックリストで確認すべき項目をまとめておくのは効果的な方法です。

チェックの抜け漏れを減らせる

チェックするべきポイントを明確化することで、抜け漏れを減らすことが可能です。内部監査の際はチェックリストにある項目以外でも、気になる点があれば情報セキュリティ担当者に確認・質問する柔軟性も必要ですが、ある程度どの点を確認するか把握できていないと、チェックすべきポイントを見逃してしまう可能性もあります。

そういった抜け漏れを防ぎ、適切な内部監査をする上で、あらかじめチェックリストを用意しておくことが役立つでしょう。特に内部監査の経験が浅い人が内部監査員を務める場合、チェックリストがガイドライン的な役割も果たすはずです。

内部監査員ごとの偏った評価を防止できる

チェックリストは、統一されたフォーマットとして使用できるため、内部監査員ごとに偏った評価をしてしまう状況の防止につながります。

内部監査員の監査に対する認識や考え方が、ISO/IEC 27001の要求事項から大きく乖離していたり、複数の内部監査員がそれぞれ異なる価値観で監査したりすると、評価が偏りがちです。チェックリストがあり、それに沿った監査を徹底することで、内部監査員ごとの評価の偏りを減らすことができるでしょう。

内部監査を行った文書記録になる

チェックリストは、そのまま内部監査を行った文書記録になります。ISMSの構築・運用をする際は、さまざまな記録を文書として残す必要があり、内部監査記録もその1つに含まれます。

チェックリストを作り、回答をリストに記載していれば、 ISMS認証を取得する際の審査時に監査を行った証拠として提出が可能です。

もし、あらかじめチェックリストにないことを確認・質問した場合は、監査終了後にその質問項目をリストに追加し、答えや詳細を追記しておいてください。追加した内容も、今後のISMSの改善や次回の監査に役立てます。

ISMSの内部監査でチェックリストを使うデメリット

メリットの多いチェックリストを使ったISMSの内部監査ですが、注意するべきデメリットもあります。

• 柔軟な監査ができなくなる可能性がある

• ISMSの実効性を評価するのが難しい

柔軟な監査ができなくなる可能性がある

実際に内部監査をしてみると、チェックリストにまとめた項目以外に情報セキュリティ担当者に確認・質問したりするべき点が見つかることがあります。

内部監査員はチェックリストの項目だけでは監査として不十分な可能性を考え、さらに深掘りした質問などをする必要があることを考えると、リストの項目に限定されず柔軟に監査する姿勢が求められるでしょう。

チェックリストの内容に囚われてしまうと監査の柔軟性が失われ、本来チェックするべきポイントを見逃してしまうケースが考えられます。

ISMSの実効性を評価するのが難しい

チェックリストでは、ISMSが適切に運用・改善されているか（適用性）を判断することはできても、どの程度情報セキュリティ対策に効果があるかという実効性を測るのが難しい傾向があります。

チェックリストの項目としては問題なく、 ISMSが適用できているとしても、実際の情報セキュリティインシデントが起きているかどうかや、その頻度などもあわせてチェックしなければ、実効性のあるISMSが運用できているとは判断できないでしょう。

SecureNaviを活用して、ISMSの運用を効率化しましょう

今回は、ISMS内部監査のチェックリストを作る際の注意点や、リストを使うメリット・デメリットなどを紹介しました。チェックリストを使ったISMSの内部監査は、監査するべき範囲やポイントが明確になったり、チェックの抜け漏れを減らせたり、内部監査員ごとの偏った評価を防止したりといった効果が期待できます。
また、チェックリストはそのまま内部監査を行った文書記録になるので、内部監査の方法としておすすめです。まずはサンプルを公開しているサイトからダウンロードし、自社向けにリストをカスタマイズすることから始めてみましょう。

『SecureNavi』は 内製でのISMSの構築・運用を効率化をサポートするクラウドサービスです。ISMSに関する様々な規程や文書をツールの中で一元管理し、内部監査において書類を探す時間を短縮する他、日頃の運用でも様々な業務の効率化を支援しています。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の運用にご活用いただけそうかご確認ください。