はじめに、内部監査の基本解説を行い、その後JISQ15001:1999規格の重要ポイントを解説しました。

まず、受講者の皆様に「セキュリティ」とは何か、について考えていただきました。「セキュリティ」とは、個人情報や機密情報などを守ることです。トップ・マネジメントの役割は「情報」＝「お金」になるということを認識し、パートやアルバイトを含めた従業員全員で情報を保護しなければならなりません。個人情報保護対策を内部に浸透させるまでは時間もかかり、面倒な部分もありますが、これを「習慣」にしてしまうと、苦痛は取り除けます。何より、全従業員のセキュリティ意識向上につながるでしょう。

『個人情報保護対策を「習慣」にしよう』

また、内部監査員を悩ますのは規格要求事項や文書・記録類といった膨大な資料だと思います。監査員自身が監査内容（規格要求事項やCP(*1)文書、被監査部門の業務等）を知っていなければ効果的な監査ができません。しかし、それらに関しては、丸覚えする必要はありません。ただ、どこにキーワードが書いてあるかは覚えておく必要がありますので、必ずその「キーワード」と書いてある「場所」を確認しておくことが大切です。

『「キーワード」と記載されてある「場所」をチェックしよう』

内部監査の目的は「改善」です。重箱の隅を突くような監査では意味がありません。被監査部門には「あなたの部門をより良くするために行っている」ということを理解してもらうことが大切です。なぜなら内部監査員の皆様は専門教育を受けられ、監査の目的などを理解していますが、監査される側はそれを知らない可能性があります。

『被監査部門が協力してくれるような監査を心がけましょう。』

そのためには、いくつか身に付けておくべき技法があります。1つ目は「質問力」です。内部監査員の役目は「事実を聴き出す」ことです。そのためには監査される側から上手に引き出さなければなりません。コーチングの考えの中で次のような言葉があります。

『答えも解決策も相手が持っている』

つまり、被監査部門がマネジメント・システム改善への解決策を持っているのです。あとは、内部監査員の聴き方次第です。どのように聴けばよいかと言うと、5W1Hを使い、具体的な質問をしましょう。できるだけ「はい」「いいえ」で答えられる質問は省き、適合性(*2)だけでなく、有効性監査(*3)を心がけることが大切です。

『5W1Hを使い、具体的な質問をしましょう』

また、質問の優先順位を決め、重要な質問は先に行うようにしましょう。そうでない質問は時間の余った時の調整に廻すようにすれば良いでしょう。

『質問の優先順位を決めよう。』

チェックリスト作成後、実際に現地に赴き、模擬監査とヒアリングを行いました。（株）つばめ急便の内部監査員の皆様は、上の写真でもお分かりいただけるように、非常に熱心に現地監査に取り組まれ、マネジメント・システム改善への高い意欲を感じました。

監査で大切なことは、雰囲気や質問は優しく、指摘は厳しくチェックし、被監査部門の自覚向上を促すことです。チェックリストは効率的な監査を進めるために重要な役割を果たしますが、頼りすぎることは禁物です。時と場合において、柔軟な対応を心がけましょう。

『監査の雰囲気と質問は優しく、指摘は厳しくチェックしよう』

また、監査を始めるときは、「○○さんにお聞きします」とはじめ、誰に対する質問かを決めておき、主語と述語を的確に伝えるよう努力しましょう。そして、不適合項目・改善項目に関しては、監査に参加していない人が見ても状況がよく分かるように記録しておくことが大切です。

『質問するときは主語と述語を明確に』

実際の現地監査では、機密書類が入っているキャビネットに鍵がかかっているかどうか（施錠）、ごみ箱に個人情報を含んだ手紙や書類が捨てられていないか（廃棄処理）、フロッピーディスクやUSBなどの端末記憶媒体の抜き忘れがないか（情報漏洩）、ＰＣにパスワード付きのスクリーンセーバ設定がされているかどうか（情報漏洩）などのヒアリング＆監査を行いました。今後、マネジメント・システムとして確立するために場合別の「対応策一覧表」を作成することも一手段です。つまり、個人情報保護のみならず、情報セキュリティの視点からもリスク対策を検討する必要があります。

『個人情報保護＋αリスク対策を検討しよう』

監査で行うオープニング・ミーティング＆クロージング・ミーティングは実際の審査でも行われます。したがって、監査で慣れておき、イメージをつかんでおきましょう。

被監査側のモチベーション向上や協力意識を高めるために、誉めることが大切です。実際の監査では、意識しないと指摘事項や問題点を探そうとしがちになります。したがって、意識して誉める、good pointを探すことが重要になってきます。

『必ず１つは良いところを探し、誉めよう』

また、良かった点は個人名を挙げても構いません。ただ、気をつけていただきたいことは、悪い点に関しては個人名を挙げない、非難しないことです。個人に責任を押し付けるのではなく、その背後にあるシステムに目を向け、改善していくことが大切なのです。

『個人非難ではなく、背後にある「システム」を改善することが重要』