監査所見

監査所見は、集めた監査証拠を監査基準と比べた結果です。所見には、適合、不適合のほか、改善の機会（いまは要求を満たしているが、よりよくできる点）を書くこともあります。

不適合の書き方

不適合は、誰が読んでも同じことがわかるように書きます。そろえるのは3つです。
- 基準 … どの要求事項・社内の決まりに合っていないか
- 事実 … 何が起きているか（人を責める書き方にしない）
- 証拠 … 何を見て確かめたか（記録の名前、日付、件数）

不適合の重さの分け方（重大・軽微など）は、組織や認証機関の決まりによって違います。社内の決まりに合わせます。

修正と是正処置

ISO/IEC 27001 の箇条10.2は、不適合が起きたら、まず対処し（修正）、原因を調べ、再発しないように処置する（是正処置）ことを求めています。
- 修正 … いま起きている不適合をなくす。例: 消し忘れたアカウントを削除する
- 是正処置 … 原因を取り除き、くり返さないようにする。例: 退職の連絡が届く仕組みを作る

根本原因を探す

「担当者がうっかりした」で止めずに、「なぜうっかりが起きる仕組みだったのか」まで掘り下げます。是正処置の後は、それが効いたかを確かめ、その記録を残します。

• 監査所見（適合・不適合・改善の機会）
• 基準・事実・証拠をそろえた不適合の書き方
• 修正と是正処置の違い
• 根本原因の探し方と、有効性の確認