懲戒手続の規程監査で指摘事項になるのはどの規定か
情報セキュリティマネジメント試験 令和7年度 問8 ／ システム監査 › システム監査
過去問にチャレンジ
情報セキュリティ違反を犯した従業員に対する懲戒手続を規定した就業規則を含む社内規程の内容について，情報セキュリティ管理基準(平成28年)に基づき監査を実施した。監査人が，指摘事項として監査報告書に記載すべきものはどれか。
- ア
従業員による情報セキュリティ違反の可能性を認識したら，直ちに懲戒手続を開始することを定めていた。
- イ
懲戒手続は，情報セキュリティ違反による業務への影響度，違反を犯した従業員に対する教育の実施状況などを考慮した段階別の対応を定めていた。
- ウ
懲戒手続は，情報セキュリティ違反を犯した従業員に対する恣意性を排除した公平な取扱いを定めていた。
- エ
懲戒手続を具体化した細則を策定すること，及び従業員に周知徹底することを定めていた。
会話形式の解説
講師今回は、情報セキュリティ違反をした従業員への懲戒手続を定めた社内規程を監査する問題です。問われているのは「指摘事項として書くべきもの」、つまり規程の中の不備です。情報セキュリティ管理基準（平成28年）の考え方から外れている規定を一つ探してください。
受験者選択肢を読むと、どれもまじめな規定に見えて迷います。直ちに懲戒手続を始めるという規定も、対応が早くて良いことのように感じました。
講師そこが引っかけになりやすいところです。管理基準の考え方では、懲戒手続は違反の発生を確認してから始めます。その規定の開始条件をもう一度見てみましょう。
受験者「違反の可能性を認識したら」となっています。違反があったと確認できていない段階で、懲戒手続に入ってしまうということですね。
講師そのとおりです。確認しないまま懲戒手続を始める規定になっているので、管理基準の考え方に合いません。これが指摘事項として監査報告書に書くべきもので、正解になります。
受験者影響度や教育の実施状況を考慮して段階別に対応する規定はどうでしょうか。違反した人によって扱いが変わるのは不公平な気もしました。
講師違反の程度に応じて懲戒を段階化するのは、管理基準の考え方に合っています。業務への影響や教育の実施状況、違反を繰り返しているかどうかなどを考慮して段階を決めます。同じ基準で程度を判断するので、不公平とは違います。
受験者では、恣意性を排除した公平な取扱いを定めた規定は、懲戒手続に求められる要件そのものなので、適切ということですね。
講師はい。恣意性とは、担当者の気分や好みで判断が変わることです。違反をした従業員だけでなく、違反の疑いを受けた従業員も公平に扱う必要があるとされています。
受験者残りの、細則を策定して従業員に周知徹底する規定も、手続を具体的にして知らせるものなので問題なさそうです。
講師そうです。実施方法がはっきりしますし、手続が知られていれば違反を抑止する効果も期待できます。適切な規定なので指摘は要りません。
受験者整理すると、懲戒手続は違反を確認してから始め、公平に扱い、程度に応じて段階的に対応し、細則にして周知する、ということですね。不備はこの開始条件の規定だけでした。
講師よくまとまっています。監査の問題では「直ちに」「迅速に」といった言葉が良いことのように見えますが、何をきっかけに始めるのかという条件まで読むことが大切です。なお、管理基準は出題後の令和5年に改訂版が公表されていますが、懲戒手続の考え方の大筋は変わっていないので、この判断はそのまま参考になります。
まとめ
情報セキュリティ違反をした従業員への懲戒手続を定めた社内規程を、情報セキュリティ管理基準（平成28年）に照らして監査し、不備を指摘する問題です。違反の「可能性を認識したら」直ちに懲戒手続を始めるという規定は、違反の発生を確認しないまま手続に入ることになるため、指摘事項に当たります。影響度や教育の実施状況を考慮した段階別の対応、恣意性を排除した公平な取扱い、細則の策定と周知は、いずれも管理基準の考え方に合った適切な規定です。「直ちに」という言葉に惑わされず、手続の開始条件を確認することが判断のポイントです。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティ違反をした従業員への懲戒手続を定めた社内規程を、情報セキュリティ管理基準（平成28年）に照らして監査する問題です。規程の中から、監査報告書に指摘事項として書くべき不備を見つけます。
解き方の考え方
「指摘事項として記載すべきもの」が問われているので、管理基準の考え方から外れている規定を一つ探します。懲戒手続は、違反の発生を確認したうえで始め、従業員を公平に扱い、違反の程度に応じて段階的に対応するものです。選択肢ごとにこの三つの観点と照らし合わせ、合っていれば適切な規定として除外します。残った一つが正解です。
選択肢ごとの解説
- ○ア 従業員による情報セキュリティ違反の可能性を認識したら，直ちに懲戒手続を開始することを定めていた。違反の「可能性を認識したら」懲戒手続を始めるという規定は、違反の発生を確認しないまま手続に入ることになります。懲戒手続は違反が確認されてから始めるべきなので、この規定は管理基準の考え方に合わず、指摘事項になります。
- ×イ 懲戒手続は，情報セキュリティ違反による業務への影響度，違反を犯した従業員に対する教育の実施状況などを考慮した段階別の対応を定めていた。業務への影響度や教育の実施状況などを考慮して段階別に対応するという規定は、違反の程度に応じて懲戒を段階化する考え方に合っています。違反を繰り返しているかどうかも、段階を決めるときの考慮要素になります。不備ではないので指摘事項には当たりません。
- ×ウ 懲戒手続は，情報セキュリティ違反を犯した従業員に対する恣意性を排除した公平な取扱いを定めていた。恣意性を排除した公平な取扱いの規定は、懲戒手続に求められる要件そのものです。違反の疑いを受けた従業員に対しても公平な取扱いが必要とされています。適切な規定なので指摘する必要はありません。
- ×エ 懲戒手続を具体化した細則を策定すること，及び従業員に周知徹底することを定めていた。懲戒手続を具体化する細則を策定し、従業員に周知徹底するという規定は、実施方法を明確にして従業員に知らせるもので適切です。手続が知られていれば、違反を抑止する効果も期待できます。
補足
アの規定では「可能性を認識したら」という開始条件に注目します。違反の発生を確認してから懲戒手続を開始する規定になっているかが判断のポイントです。
※情報セキュリティ管理基準は、出題後の令和5年に改訂版が公表されています。改訂後も懲戒手続の考え方の大筋は変わらないため、本問の判断はそのまま参考になります。
POINT
- 懲戒手続は、情報セキュリティ違反の発生を確認してから開始します。
- 懲戒手続では、違反をした従業員も違反の疑いを受けた従業員も公平に扱い、恣意的な扱いを排除します。
- 懲戒への対応は、業務への影響、教育の実施状況、違反の反復の有無などを考慮して段階的に定めます。
- 懲戒手続を細則で具体化し、従業員に周知することで、違反を抑止する役割も果たします。