外部取締役が責任者に就くことはOKとあるが、結局、監査員は居なくてOKか？

ご質問の「外部取締役が監査責任者になればその方が全部見れるから監査員は不必要でしょうか？」に関してですが、ご指摘のとおり監査責任者が監査員を兼務し内部監査を行うことができるため、外部取締役が監査責任者になれば、その者が内部監査の業務を実施できます。

しかし、監査の客観性及び公平性を確保するためには、監査員は監査対象部署に所属していない社員から選出する必要があるため、監査員は最低でも2名以上必要とされています。

監査責任者（個人情報保護監査責任者）1人でも監査の実施が可能な理由

JIS Q 15001の「5.3.2 役割責任及び権限の割当て」では、以下のように「個人情報保護監査責任者」が「監査員を選定及び監査の実施における客観性と公平性の確保すること」と要求されているため、監査責任者（JIS Q 15001の「個人情報保護監査責任者」と同じ。以下、同様。）のほかに、監査員が必要と考えてしまうかもしれません。

しかし、JIS Q 15001では、「個人情報保護監査責任者」を以下のように「監査の実施」に責任と権限を持つと定義されているため、監査責任者自身も、監査員として、内部監査の実施を行うことが可能です。

ご質問の「監査責任者になればその方が全部見れる」とは、監査員の選定だけでなく、内部監査に関する全ての実施及び報告に関する責任と権限を有することを意味しているかと思います。

監査責任者（個人情報保護監査責任者）以外にも監査員が必要な理由

しかし、JIS Q 15001では、「個人情報保護監査責任者は、監査員に、自己の所属する部署の内部監査をさせてはならない。」となっています。

よって、監査責任者が監査員として実施した場合、監査責任者が所属する部署の内部監査はできないということになります。

これは、監査の客観性及び公平性を保つためにも、監査対象部門との独立性した者を確保することが必要ということで、監査責任者以外にも最低1名は必要だということにもなります。

外部取締役が監査責任者（個人情報保護監査責任者）となった場合

JIPDECホームページのよくある質問の中で、登記上の役員を含む最低限従業者2名がいれば、プライバシーマークの申請は可能となっています。

外部取締役でも、組織の社会保険もしくは労働保険に加入しており登記上の役員であれば、「個人情報保護監査責任者」となれます。

なお、先述したとおり、監査責任者以外にも監査員を設けるとなると、プライバシーマークの申請が2名でも可能ということから、もう1名は社内の者が監査員をするということも考えられますが、事業の代表者及び個人情報保護管理者は、「個人情報保護監査責任者」になれません。

事業の代表者は個人情報保護管理者になれますが、個人情報保護管理者は「個人情報保護監査責任者」になれませんので、結局、事業の代表者（個人情報保護管理者）と個人情報保護監査責任者、そしてもう1名の監査員が必要ということになります。

よって、どうしても社内の者だけで客観性の確保が難しい場合は、内部監査を外部委託も可能とされています。
この場合、社内から監査責任者のみを選任し、外部機関へ内部監査をお願いすることで、別途、内部で監査員を確保する必要もないため、結果として、個人情報保護監査責任者が1名でも問題ないということも可能です。

以上、ご参考ください。