JIS Q 27001:2014（情報セキュリティマネジメントシステム−要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
正答4
解説
正解はエ。
JIS Q 27001（ISMS）では，リスクを受容できるかどうかの基準（リスク受容基準）をあらかじめ定めた上でリスクアセスメントを実施すべきところ，リスクアセスメントの実施後にリスク受容基準を決めていたのは手順が逆であり，規格の要求事項に適合しないため監査人は指摘事項として報告書に記載すべきである。
他の選択肢はいずれも規定どおり適切に運用されている状況である。