問8 懲戒手続の規程で指摘すべき点

情報セキュリティマネジメント試験令和7年度公開問題、全15問のうちの問8。

情報セキュリティ違反を犯した従業員に対する懲戒手続を規定した就業規則を含む社内規程の内容について，情報セキュリティ管理基準（平成 2⁠8 年）に基づき監査を実施した。監査人が，指摘事項として監査報告書に記載すべきものはどれか。

ア従業員による情報セキュリティ違反の可能性を認識したら，直ちに懲戒手続を開始することを定めていた。
イ懲戒手続は，情報セキュリティ違反による業務への影響度，違反を犯した従業員に対する教育の実施状況などを考慮した段階別の対応を定めていた。
ウ懲戒手続は，情報セキュリティ違反を犯した従業員に対する恣意性を排除した公平な取扱いを定めていた。
エ懲戒手続を具体化した細則を策定すること，及び従業員に周知徹底することを定めていた。

答えと解説を開く

正解はアです。

情報セキュリティ管理基準では、懲戒手続は、情報セキュリティ違反が発生したことを確認してから開始することが求められています。違反の可能性があるだけで懲戒を始めると、違反していない従業員が処分されるおそれがあり、公正さを欠きます。アの規程はこの点で不備があるので、監査人は指摘事項として書きます。ほかの 3 つは、管理基準に沿った適切な定めです。正解はアです。

ほかの選択肢が違う理由

イ業務への影響の大きさや教育の状況などを考えて段階的に対応するのは、管理基準に沿った適切な定めです。
ウ恣意的にならず公平に扱うことは、懲戒手続に求められる適切な定めです。
エ細則を作り、従業員に周知するのは、規程を実際に働かせるための適切な定めです。

仕組み

懲戒手続は「事実の確認」「公平な扱い」「影響に応じた段階的な対応」がそろって適切になります。

懲戒の決まりを周知しておくことには、違反を思いとどまらせる効果もあります。