問1 個人情報保護の監査

令和4年4月の改正個人情報保護法の施行によって,個人情報の保護に関する国際的動向及び情報通信技術の進展を踏まえ,個人情報を活用した新たな産業の創出及び発展への対応が図られることになった。事業者は,法改正による恩恵を受ける一方で,法改正への適切な対応が必要となる。 本問では,システム監査人に必要な,個人情報の活用に伴って発生するリスクの知識,リスクの程度に応じたコントロールを識別する能力,それらのコントロールの有効性を検証するために必要な監査手続と監査証拠を選択する能力を問う。

問1では,個人情報保護の監査を題材に,法改正による個人情報の活用に伴って生じるリスク,法改正への適切な対応としてのコントロールの識別,コントロールの適切性を確認するための監査手続及び必要な監査証拠について出題した。全体として正答率は平均的であった。 設問1(i)は,正答率がやや低かった。消去すべき短期保存データが漏れなく消去されていることを確認するためには,消去済みの短期保存データのリストのほかに,消去対象の全短期保存データのリストがあれば十分であり,全保有個人データのリストは不要であることを理解してほしい。 設問2は,“確認事項”について正答率が低かった。入手すべき“監査証拠”は理解できていると思われるので,指摘事項を導くためには,監査証拠を用いてどのような観点で確認すべきかを理解してほしい。 設問4(ii)は,正答率が平均的であった。短期保存データと開示データを混同していると思われる解答が散見された。本文中の各データの定義と利用目的を正確に把握してほしい。