情報セキュリティ監査報告書には何を書く？証拠・指摘・是正の欄

1．配布書式と公的資料で報告内容の軸を確かめる

テンプレートBANKには、情報セキュリティ監査報告書のひな形が掲載されています。

総務省の自治体向けガイドラインでは、必要に応じて被監査部門に監査結果の事実誤認を確認するとしています。同じガイドラインは、監査報告書を監査調書に基づいて作成し、被監査部門に対する指摘事項や改善案を含めるとしています。その記載事項の例には、監査目的、監査範囲、監査方法、適用基準、監査結果、指摘事項、改善勧告などの項目が挙がっています。

この公的資料は地方公共団体向けの手順です。報告書の項目と、報告に使う事実を対象部署と照合する考え方の参考として読み、会社の書式の決まりとしては扱いません。

2．対象範囲と基準の参照先を先にそろえる

ここからは当社の整理です。

書式を作るときは、最初に「何について、何と照らして確認した報告か」を決めます。対象欄には部署名だけでなく、業務、情報の置き場、確認した期間や時点を記入できる余白を設けるとよいです。対象外の業務や、資料不足で結論を出せなかった範囲も区別して残します。

基準の欄には、照合に使った社内規程や手順書の名称、版、該当箇所を記入します。「社内ルールを参照」とだけ書く形より、後で同じ箇所を開ける形を目指します。監査の途中で文書が更新されたことも、どの版を確認したかという記録と併せて整理します。

監査の対象期間と、聞き取りや資料確認を行った日は別の欄にします。対象期間の運用を調べたのか、確認した時点の状態を見たのかで、報告書から読み取れる範囲が変わるためです。総括にも、実際に確かめた対象と範囲が伝わる文章を置きます。

ここで扱うのは、内部で行った確認を報告し、改善につなげるための書式です。認証審査や法令への適合判定、自社診断票の作り方は扱いません。

3．証拠・指摘・是正を追える欄に分ける

報告書の大きな構成を決めた後に、下の欄を配置します。これは会社の内部報告用に整理した案です。

証拠の欄には、報告書から監査調書へたどれる参照を付けます。詳細を別紙にまとめる形でも、どの指摘と対応する資料かが分かるようにします。総括には主な課題と対応の方向を置き、個々の証拠は明細側から追える構成が考えられます。

「確認した事実」「その事実への評価」「改善案」は分けて書きます。記録を確認できなかった状態と、対象の操作が行われていないという判断は区別します。資料不足は確認範囲の制約として残し、結論に影響する点を整理するとよいです。

4．記入例では事実と改善案の境目を見せる

利用権限を確認した場面の短い記入例です。

対象：社内共有フォルダの利用権限
基準参照：社内手順書の利用継続を確認する箇所
確認証拠：利用者一覧、継続確認の記録、監査調書の該当欄
確認した事実：利用継続の要否を確認した記録が見当たりませんでした。
指摘事項：社内手順と照合できる確認記録が残っていません。
改善案：利用継続の要否を確認し、その結果を記録に残します。
対応方針：担当部署で検討中
是正担当：情報管理担当
対応期限：関係部署との調整後に記入
再確認：更新した一覧と継続確認の記録を照合
状態：対応内容の検討中

この例では、記録が見当たらないという事実を、利用権限が不正だったという結論に広げていません。担当部署による事実確認を経て、指摘の表現と対応方針を整える流れを想定しています。

改善案が書かれている段階と、担当部署が対応を決めた段階も分けています。期限の未調整や対応内容の検討中という状態をそのまま残すと、報告後に誰が何を決めるかを追いやすくなります。

5．報告後の照合相手と保管・更新を決める

事実確認と対応方針の回答先を分ける

報告前は、監査した担当者が証拠と記述の対応を確認し、対象部署には事実関係の照合を依頼します。指摘を受けた部署の回答は、確認した事実への補足なのか、対応方針への回答なのかを分けて記録します。報告書を取りまとめる責任者と、改善を進める責任者も識別できる形がよいです。

報告書と証拠を対応付けて保管する

保管先は、報告書、添付資料、監査調書を対応付けて決めます。閲覧できる人、更新できる人、保管を管理する担当も社内で整理します。本文に必要な説明と、閲覧範囲を絞る詳細資料を分け、証拠の参照先は保管後も追えるようにします。

保存期間は、社内の文書管理方針と今回の報告目的を踏まえて決める事項として扱います。

対応の連絡と再確認の結果を分けて残す

報告後の進捗は、指摘事項と結び付けて更新します。対応したという連絡、確認に使った証拠、再確認した人、その結果をそれぞれ記録するとよいです。対応内容の変更や期限の見直しも追記し、当初の報告内容が後から分からなくなる上書きを避けます。

未対応の事項は次の確認へ引き継げる状態にします。報告時点の版を残しつつ、対応状況の記録を更新する形にすると、監査時点の結果と、その後の改善を読み分けられます。

6．確認表

公開・共有の前に、この表で確かめます。

7．自社の事務の手順まで形にしたいとき

ここまでの確認を、自社の事務の手順書や、AIの結果を確かめる検査まで形にしたい場合は、当社のように、手順と検査の設計まで行う相談先が選択肢になります。オンラインは全国から対応しています。

自社の事務のどこから確認を入れるかを相談したい場合は、初回無料相談をご利用ください。法律・税務・労務の判断や、効果の約束は行いません。