プロセスベース審査

審査に出かける前に、訪問先の部署の概要を把握することは、多くの場合、ＷＥＢサイトから容易に出来る。その特徴を踏まえて、予めどの管理策についてチェックするかプランを用意することは、初心者には有効。内部監査の場合は、事務局が用意することが多いが、主体的取り組みを是とするなら、監査員自らも準備してみることは有益。もっとも、事務局が想定していない質問が出て関係部署には迷惑掛けるかもしれない。

＜会議室またはテーブル＞
「部署名」
「責任者」
「ミッション」～「業務概要」
「組織構成」～「上位・全体組織」・「取引先」
「重要資産」～「重要資産のプロセスフロー」
「管理体系」～「現場で利用している・認識している管理標準」
「重要資産に対する管理策※」
「インシデント・内部監査等指摘事項対応」

＜現場＞
「テーブル審査で現場確認したもの」
「物理的」～「施設・ゾーニング・ケーブル・鍵管理など」
「資産識別」～「ファイリング、メディア管理」
「人的管理」～「スキル、周知、個人の役割実施状況」・「誓約書など人事」・「インタビュー」

重要資産に対する管理策※

３桁レベル（A.x.x.x)で優先度を付けて１０個程度*用意する。前半で確認できなかったものは現場から引き上げてから確認する。審査記録用紙の冒頭に予め記載しておいても不都合は無い。

但し、想定外の重要資産の存在が判明した場合は、その重要度を図って適切に組み替える。特に部門に固有の資産の場合は（他所で聞けないから）、優先してチェックする。この臨機応変な対応が大切。

１０個程度*

１０個には根拠は無い。あまり多いと現場とのやり取りからより正しい姿を引き出すことが難しくなる。会話が大事。少ないと網羅性が確保しづらくなる。１０個は事前準備の量的な目安。現場対応が真の姿。