audit-sampling-methods

プライバシー監査のサンプリング手法

概要

監査サンプリングとは、母集団全体について結論を導くために、母集団内の項目の100％未満に監査手続きを適用することです。プライバシー監査では、すべての個別記録を調査することなく、処理活動、DSARへの対応、同意記録、ベンダー契約、その他のプライバシー管理策への準拠を検証するためにサンプリングを使用します。

ISA 530（国際監査基準―監査サンプリング）およびIIA実務勧告2320-3（監査サンプリング）は、権威ある枠組みを示しています。プライバシー監査では、サンプリングにおいて、個人データ処理に対する規制当局の厳しい監視と、個々の不適合記録が重大な損害をもたらす可能性を考慮する必要があります。

サンプリングのアプローチ

アプローチ	説明	使用する場面
統計的サンプリング	確率論を用いてサンプルを選定し、結果を評価します。サンプリングリスクの定量化が可能です	監査結論を規制当局に対して裏付ける必要がある場合、大規模な母集団、結果を外挿する必要がある場合
非統計的（判断的）サンプリング	監査人が専門的判断に基づいて項目を選定します	母集団が小さい場合、既知のリスク領域を対象とした検証、統計的サンプリングの補完

統計的サンプリング手法

属性サンプリング

母集団における逸脱（不適合）の割合を推定するために使用します。

パラメーター	説明	プライバシー監査での一般的な値
母集団の規模	監査対象の母集団に含まれる項目の合計数	例：DSAR 1,000件、ベンダー契約500件
信頼水準	サンプル結果が母集団を反映している確率	90％（標準）、95％（規制当局向け）
許容逸脱率	許容できる不適合率の上限	5％（標準）、2％（重要な管理策）
予想逸脱率	実際の不適合率の推定値	過去の監査またはリスク評価に基づく
サンプルサイズ	検証する項目数	上記のパラメーターから算出

サンプルサイズの参考表（属性サンプリング）

母集団	信頼水準90％／許容逸脱率5％	信頼水準95％／許容逸脱率5％	信頼水準95％／許容逸脱率2％
100	38	45	64
250	42	50	100
500	44	54	131
1,000	45	57	154
5,000	46	59	176
10,000以上	46	59	181

層化サンプリング

母集団をサブグループ（層）に分け、それぞれから比例または非比例にサンプルを抽出します。

層化要因	層の例	根拠
事業部門	EU、US、APAC	管轄区域ごとに規制要件が異なる
データの機微性	標準、機微、特別カテゴリ	リスクの高いデータカテゴリでは、より多くの検証が必要
処理目的	マーケティング、人事、カスタマーサービス	目的ごとに準拠要件が異なる
期間	第1四半期、第2四半期、第3四半期、第4四半期	季節的な傾向や悪化を検出
ベンダーの階層	Tier 1（取扱量が多い）、Tier 2、Tier 3	リスクが最も高いベンダーにサンプリングを重点化

非統計的サンプリング手法

手法	説明	適用例
無作為選択	偏りを避けながら、構造化された方法を用いずに項目を選定します	迅速な予備検証
ブロック選択	特定の期間または場所にあるすべての項目を選定します	特定の期間を検証する場合（例：3月のDSARすべて）
判断的選択	監査人がリスク要因に基づいて項目を選定します	価値の高い項目、既知の例外、または異常の対象化

プライバシーに関するサンプリング上の考慮事項

考慮事項	ガイダンス
個人への被害のしきい値	適合していない記録が1件だけでも重大な被害につながる可能性があります。監査担当者は、孤立した所見を軽視してはなりません
規制当局の期待	監督当局は、重要な管理策（侵害通知、同意）について、より高い信頼水準を求める場合があります
特別カテゴリデータ	第9条に基づく特別カテゴリデータの処理には、許容逸脱率をより低く設定します（2％）
自動処理	完全自動化されたプロセスでは、エッジケース全体でアルゴリズムの一貫性を確認するため、サンプル数を増やします
国境を越える移転	移転先の国ごとに層別化し、各移転経路の十分性／保護措置の仕組みを確認します

サンプル結果の評価

シナリオ	サンプルの逸脱率	結論
率が許容逸脱率を下回る	例：観測値2％、許容値5％	母集団はおそらく適合しています。重要な所見はありません
率が許容逸脱率と等しい	例：観測値5％、許容値5％	境界的な結果です。サンプルの拡大、または中程度の所見としての指摘を検討します
率が許容逸脱率を上回る	例：観測値12％、許容値5％	重大な不適合です。正式な所見が必要です
逸脱が見つからない	観測値0％	適合を示す強い証拠です（ただし、100％を保証するものではありません）

外挿

サンプル結果に逸脱が見られる場合、監査担当者は所見を母集団全体に投影する必要があります。

項目	計算
点推定値	（発見された逸脱数／サンプルサイズ）× 母集団のサイズ
逸脱の上限	選択した信頼水準に基づき、統計表を使用して計算します
金銭的影響の予測値	点推定値 × 逸脱1件あたりの平均影響額