プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• ア個人情報管理台帳に、概数でしかつかめない個人情報の保有件数は概数だけで記載している。
• イ個人情報管理台帳に、ほかの項目に加えて、個人情報の保管場所、保管方法、保管期限を記載している。
• ウ個人情報管理台帳の機密性を守るための保護措置を講じている。
• エ個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

正解と解説

正解：エ 個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

個人情報管理台帳は、保有する個人情報の実態を正確に映していなければ、リスク分析も保管期限の管理も機能しない。取得時だけ更新する運用では、利用目的の変更、提供先の追加、廃棄や保管期限の到来といった変化が反映されず、台帳と実態が乖離する。少なくとも定期的な見直しと、重要な変更が生じた都度の更新が必要であり、この状態は指摘対象となる。

選択肢ごとの解説

• ア件数を正確に数えられない性質の情報について概数で記載すること自体は、直ちに不適切とは言えない。
• イ保管場所・方法・期限を記載しているのは台帳として適切な運用である。
• ウ台帳自体に保護措置を講じているのは望ましい。
• エ正しい。取得時にしか見直さないと変更や廃棄が反映されず、台帳が実態と合わなくなる。

同じ分野の他の問題

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前II 問25
• アクセス管理に関する内部統制のうち,金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”におけるI…2024年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとし…2024年度 春期 午前II 問25
• データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケ…2023年度 秋期 午前II 問25