指摘事項として監査報告書に記載すべきもの｜情報セキュリティマネジメント 令和7年 公開問題 問8
出典：令和7年度 公開問題 科目A 問8
分野：システム監査（中分類） ／ システム監査（小分類）
情報セキュリティ違反を犯した従業員に対する懲戒手続を規定した就業規則を含む社内規程の内容について，情報セキュリティ管理基準（平成28年）に基づき監査を実施した。監査人が，指摘事項として監査報告書に記載すべきものはどれか。
- ア：従業員による情報セキュリティ違反の可能性を認識したら，直ちに懲戒手続を開始することを定めていた。
- イ：懲戒手続は，情報セキュリティ違反による業務への影響度，違反を犯した従業員に対する教育の実施状況などを考慮した段階別の対応を定めていた。
- ウ：懲戒手続は，情報セキュリティ違反を犯した従業員に対する恣意性を排除した公平な取扱いを定めていた。
- エ：懲戒手続を具体化した細則を策定すること，及び従業員に周知徹底することを定めていた。
TSUNAGARU-ADVICE
まず押さえたいこと
懲戒手続は、情報セキュリティ違反の事実関係を確認した上で、公平かつ適切に実施することが重要です。違反の可能性を認識しただけで直ちに懲戒を開始すると、誤認や不十分な調査のまま処分につながるおそれがあります。
迷ったときの判断軸
懲戒では、「疑いがある段階」と「違反が確認された段階」を分けて考えましょう。業務への影響度や教育状況などを考慮した段階的な対応、恣意性を排除した公平な取扱い、手続の明文化と周知は適切な管理です。違反の可能性だけで即座に懲戒手続へ進むという記述に注意してください。
科目Bにつなげるために
科目Bでは、内部不正や規程違反が疑われる事例で、いきなり処分するのではなく、ログや関係者への確認などで事実を把握し、その後に社内規程に沿って対応する流れが重要です。証拠確認・責任分界・公平な手続を意識して事例を読むようにしましょう。
情報セキュリティ違反に対する懲戒手続では、違反の疑いが生じた段階で直ちに処分を始めるのではなく、事実関係を適切に確認したうえで、公平かつ一貫した手続によって対応することが重要です。経済産業省の情報セキュリティ管理基準でも、情報セキュリティ方針違反に対する正式な懲戒手続を定める考え方が示されています。
本問では、「情報セキュリティ違反の可能性を認識したら、直ちに懲戒手続を開始する」という点が問題です。まだ違反が事実として確認されていない段階で懲戒手続に進むと、誤認によって従業員が不利益を受けるおそれがあります。そのため、この内容は監査で指摘すべき事項となり、アが適切です。
懲戒手続では、違反の重大性や業務への影響、本人の状況などを踏まえて段階的に対応し、恣意的な処分にならないよう公平性を確保することがポイントです。
❌他選択肢が誤りの理由イ：懲戒手続は，情報セキュリティ違反による業務への影響度，違反を犯した従業員に対する教育の実施状況などを考慮した段階別の対応を定めていた。
⇒違反の影響や状況に応じて処分や対応の程度を変えることは、適切な懲戒手続の考え方に沿っています。一律に同じ処分を科すのではなく、事情を考慮して段階的に対応することは合理的です。
ウ：懲戒手続は，情報セキュリティ違反を犯した従業員に対する恣意性を排除した公平な取扱いを定めていた。
⇒懲戒手続では、担当者の個人的判断によって処分が左右されないよう、公平で一貫した取扱いを定めることが重要です。そのため、監査上の指摘事項にはなりません。
エ：懲戒手続を具体化した細則を策定すること，及び従業員に周知徹底することを定めていた。
⇒懲戒手続の具体的なルールを定め、従業員に周知しておくことは、情報セキュリティ方針を実効的に運用するために適切です。従業員が違反時の取扱いをあらかじめ理解できるため、抑止にもつながります。