独立したレビューとは？

独立したレビューとは？

独立とは何が何に対して独立か。ＩＳＭＳを推進している人（組織）に対して客観性を維持できる人・組織あるいは場の意味で独立していること。

普通に考えればマネジメントレビューが一番近い。この時に重要なのは内部監査責任者の立ち位置である。

マネジメントレビューでは情報セキュリティ管理責任者が経営者に報告し指示を受ける訳だが、情報セキュリティ管理責任者の一方的な言い分・報告をベースにしていたのでは客観性は維持されないくい。内部監査責任者が情報セキュリティ管理責任者と対等なスタンスでカウンター報告が同時にされなければいけない。

内部監査責任者が情報セキュリティ管理責任者の配下のものであってはならない。

繰り返すことになるが、マネジメントレビューの場で、内部監査結果報告が情報セキュリティ管理責任者からなされてはいけない。

マネジメントレビューの前に、内部監査責任者は監査計画および監査結果についての承認を経営者から得ることが望ましい。内部監査責任者は経営者に成り代わってＩＳＭＳを点検しなければいけない。

.*.

初期段階、規模の小さな組織では、ＩＳＭＳの事務局の人間が内部監査まで担当している。開発製造担当が品質保証も兼務しているようなもの。

工程能力の関係で止むを得ない状況だが、こういう場合もどのようにして客観性を確保するかが工夫のしどころです。

.*.