規格上、不適合の書き方について明確な定めはありませんが、少なくとも以下のような情報が含まれていることが望ましいです。
- 適合していないことが確認された要求事項
- 不適合の裏付けとなる客観的証拠
- 不適合の理由(不備の内容)
以下は、不適合の記述例です。
「JIS Q 27001:2023 A.5.18では、～と定められており、xxマニュアル x章において年次で業務利用サービスのアクセス権をレビューすることが規定されていますが、xxシステムのアクセス権のレビュー実施状況を確認したところ、x月の定期レビューが行われておらず、組織の規定を満たしていませんでした。」