J.6 パフォーマンス評価

計画・実施・報告・記録の責任と権限を、内部規程で決めます。監査は少なくとも年1回、必要に応じて行い、規程が指針に合っているか、仕組みが有効に実施・維持されているかを見ます。個人情報保護監査責任者が計画を立て、客観的で公平な監査員を選びます。結果は監査報告書にまとめ、報告します。監査範囲は、個人情報を扱う全業務・全従業者・情報システムなどを含め、監査員は自分の所属部署の監査をしません。
たとえば、全部署を対象にチェックリストを作り、現場を見たり、記録を確認したり、担当者に話を聞いたりします。見つかったずれは、そのままにせず、是正処置につなげましょう。小さな会社でも、公平に確認できる体制を考えることが大切です。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.6.2を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。