科目A-2（多肢選択式）
BCP(事業継続計画)に基づく訓練を実施した結果、目標復旧時間(RTO)内に基幹システムを復旧できなかった。この結果を受けて監査人が報告書に記載すべき内容として最も適切なものはどれか。
- A訓練で目標を達成できなかった事実のみを記録し、原因分析は経営者の判断に委ねるため記載しない
- B訓練自体を無効とし、BCP文書を全面的に破棄するよう提案する
- CRTOの設定値を訓練の実績値に合わせて引き下げるよう指示する
- ✓目標未達の事実、想定される原因、及び復旧手順やリソース配分の見直しに向けた改善の必要性を指摘事項として記載する
解説
訓練でRTOを達成できなかった場合、単に事実を記録するだけでなく、想定される原因を分析し、復旧手順や体制、リソース配分の見直しなど具体的な改善の必要性を指摘事項として報告することが監査人の役割である。
根拠事業継続計画(BCP)と可用性の監査（訓練結果の評価）