プロセスベース審査

管理策の当て方：

・主プレイヤー（主）はルールを作る。機能別管理をする。
・客プレイヤー（客）はルールを受け入れて実施する。

Ａ.5：（主）経営者、事務局。（客）一般従業員。取引先。
Ａ.6：（主）経営者、事務局。（客）部門の長。
Ａ.7：（主）事務局。（客）一般従業員。一般部門。
Ａ.8：（主）事務局、人事・教育部門。（客）一般部門。一般従業員。
Ａ.9：（主）事務局。総務部門。情報部門。（客）情報部門。一般部門。
Ａ.10：（主）情報部門。（客）情報部門。一部一般部門もあり得るがこの管理策では見ない。
Ａ.11：（主）事務局。情報部門。一般部門。（客）情報部門。一般部門。一般従業員。
Ａ.12：（主）情報部門。（客）情報部門。
Ａ.13：（主）事務局。（客）情報部門。一般部門。
Ａ.14：（主）事務局。（客）事務局。情報部門。一般部門。
Ａ.15：（主）事務局。法務部門。（客）一般従業員。一般部門。情報部門。

部門へ行って（あるいは来て貰って）、業務概要・適用範囲・重要資産を最初に聞くときに、上記のどの管理策のチェックが重要か判断する。情報部門以外でも情報処理設備を有するときは情報部門に準じたチェックを行う。

その部門に固有の内容を優先してチェック。赤色にした部門。

質問は、直接（いきなり）規格から引き出さないで、規格要求を踏まえたルールの存在から確認する。有れば、それに沿ったチェック。無ければ無くても構わない理由、あるいはそれに関連するリスクアセスメント状況を確認する。結果が妥当ならパス（ＯＫ）。ルール上あるいは実施上の問題を認識・合意できれば指摘事項・観察事項としてあげる。

確認する手順としては、管理策に入る前に、これまでの審査・監査での指摘事項の有無、改善状況の確認を行う。改善プロセス（ＰＤＣＡ）が回っているかどうかの確認で最も重要な作業の１つ。

会議室テーブル上での文書と口頭説明による確認と現場の実態・状況の確認は、時間的には半々とする。ＵＫＡＳは現場に出ることを多くするよう指導しているから、会議室は４割程度が望ましい。ただ、その場合の問題が審査記録（メモ・エビデンス）の存在。これの充実を強要すると自然と現場に出づらくなる。審査機関によっては形式化したエビデンスの意味を見直している。

１部門９０分とした場合、３０分以内に全容確認・文書ベース確認、３０分は現場で状況・実態確認。残り３０分は全体のまとめ・記録の整理に当てる。必要なら現場チェックの補充を行う。