ISMSの登録審査・維持審査・更新審査の流れ｜維持審査は毎回8つを見る

第34回で、内部監査とマネジメントレビューの回し方を読みました。仕組みが一周したら、次は外から確かめてもらう段です。今回は教科書14章の最後の節、登録審査と維持審査・更新審査を読みます。連載の本編は、この回で最後になります。

審査の制度、つまり誰が誰を認めるのかは第2回で書きました。審査が27001の要求事項ではないことは、第28回で読んでいます。今回は、申し込みから3年後の更新まで、受ける側が順にたどる流れを追います。

---

ISMSの審査の流れとは——ひとことで言うと

初回の審査は二段階です。第一段階で「第二段階に進めるか」を、第二段階で「決めたとおりに動いて、効いているか」を見ます。登録の後は毎年の維持審査で続いているかを確かめ、3年目の更新審査で次の3年に進めるかを決めます。

受ける側として押さえておきたいのは、この流れがどこに書いてあるかです。27001をいくら読んでも、第一段階で何を見られるかは出てきません。審査の進め方は、審査する側の規格に書かれています。照らす基準は27001で、進め方が相手の規格にある、という分担です。

規格・文書	誰に掛かるか	書いてあること
ISO/IEC 27001	認証を受ける組織	ISMSの要求事項（箇条4〜10と附属書A）
ISO/IEC 17021-1	認証機関（分野を問わない）	申し込み、二段階の初回審査、判定、維持、更新の進め方
ISO/IEC 27006-1:2024	ISMSの認証機関	17021-1に足す、ISMSの審査に固有の要求事項
JIP-ISAC100（ISMS-AC）	ISMS-ACの認定を受ける認証機関	27006-1:2024をそのまま適用する、と定めた認定基準（2024年5月31日の版）

この記事で示す17021-1の箇条番号は、米国の認定機関IASが公開している解説資料で確かめたものです。規格の本文は読んでいません。ISMSに固有の追加を定めた27006-1も、本文は読めていません。

正直、連載を始めた頃は、受ける側にとって一番大事な流れが相手の規格に書いてある、とは考えていませんでした。

申し込みで伝えること（17021-1 9.1.1）

申し込みでは、認証機関の様式に沿って組織の情報を伝えます。17021-1が申し込みの段で求めている情報を、何に使われるかと並べてみました。

伝えること（9.1.1）	申し込みのレビューや審査の計画での主な使い道（筆者の整理）
認証を受けたい範囲	審査の対象と、登録証に載る範囲
事業所の名称と所在地、プロセスと業務、人と技術の資源、機能と関係、法的な義務	審査員の組み方、審査にかける時間、現地で回る場所
要求事項への適合に影響する、外部委託のプロセス	範囲の境目と、外との接点（4.3 c)）
認証を受ける規格	審査の基準
ISMSづくりでコンサルティングを受けたか、誰から受けたか	審査の公平性の確認

教科書も、申込書に書く情報の例として、希望時期や組織図、適用宣言書などを挙げていました。

人数を書く欄にも、理由があると考えています。旧版のISO/IEC 27006（2015年版）では、組織の管理下で働く人の総数を、審査にかける時間を決める出発点にしていました。2024年版の算定方法は、本文を読めていないので確かめていません。

コンサルティングの有無を聞かれるのは、少し意外でした。申し込みのレビューでは、公平性を脅かすものがないかも確かめることになっています（9.1.2.1）。ISMSづくりを手伝った側と審査する側の関係を、最初に見ておく項目だと読んでいます。

第一段階は「第二段階に進めるか」を見る（17021-1 9.3.1.2）

第一段階の目的は7つあります。見出しの「進めるか」はまとめた言い方で、文書のレビューや範囲に関する情報集めも目的に入っています。

第一段階の目的（9.3.1.2.2）	近い回
a) 文書化されたマネジメントシステムのレビュー	第11回、第32回
b) 第二段階への準備状況の評価	第28回
c) 規格の要求事項に対する状況と理解の確認	—
d) 範囲に関する情報の入手（事業所、プロセスと設備、管理の程度、適用される法令・規制）	第5回、第29回、第19回
e) 第二段階の割り振りの確認	—
f) 第二段階の計画の焦点を定める	—
g) 内部監査とマネジメントレビューが計画・実施されているかの評価	第14回、第34回

「近い回」は筆者の対応づけです。以下の表も同じです。

d) に法令・規制が入っている点は、見落としやすいと思います。範囲に関わる法令・規制の情報を集めて、第二段階の計画に役立てる、という位置づけです。

第一段階の結論として、第二段階で不適合になり得る懸念点が示されます。第一段階と第二段階の間隔は、組織がその懸念点に対応する時間などを考えて決めるものです。準備が整っていなければ、第一段階の全部か一部をやり直すこともあります。

g) の内部監査とマネジメントレビューは、前述の通り第28回でも触れました。初回の審査に臨む時点で、計画されていて、実施もされていることが見られます。

第二段階は「動いていて、効いているか」を見る（17021-1 9.3.1.3）

第二段階は、組織の事業所で行うものとされています。目的は、仕組みの実施状況を、有効性を含めて評価することです。電子的な手段を使う審査も考慮できる、という注記もありました（9.4.1）。

第二段階で見るもの（9.3.1.3）	近い回
a) 要求事項への適合に関する情報と証拠	第34回（証拠の4種）
b) 主要な目的・目標に対する監視・測定・報告・レビュー	第9回、第13回
c) 法令・規制・契約上の要求事項を満たす力と、その実績	第19回
d) プロセスの運用管理	第12回、第33回
e) 内部監査とマネジメントレビュー	第14回、第34回
f) 方針に対する経営層の責任	第6回、第30回

内部監査とマネジメントレビューは、ここにも入っています。第一段階では計画・実施されているかが、第二段階では2つそのものが審査の対象として挙がっています。

c) には補足が要ります。17021-1は、マネジメントシステムの認証審査は法令遵守の監査ではない、という注記を置いていました（9.2.1.2）。見るのは法令を守れる仕組みの力と実績で、法令違反が無いことを保証するものではありません。

面談の相手は、責任者だけではありません。教科書は、各部門の担当者も面談の対象になると書いていました。7.3の認識は、組織の管理下で働く人々の全体に求められる要求です（第33回）。担当者への面談は、その認識を確かめる場にもなります。

17021-1も、情報を集める方法として、面談、プロセスや活動の観察、文書と記録のレビューを挙げています（9.4.4.2）。第34回で書いた内部監査の確かめ方と同じ形です。

不適合の扱い——重大と軽微で、登録までにやることが違う（17021-1 9.4.9〜9.5）

不適合は、重大と軽微に分かれます。重大は、仕組みが意図した結果を出す力に影響するものです。軽微は、そこまでは影響しないものを指します。

どちらに当たるかは、影響の有無だけで機械的に決まるわけではありません。17021-1の注記は、重大になり得る場面として2つを挙げていました。プロセスの管理が効いているかに重大な疑いがある場合と、同じ要求事項に関わる軽微な不適合がいくつもある場合です。1つずつは小さくても、並び方で重さが変わります。

	重大な不適合	軽微な不適合
判定の前に要るもの（9.4.10・9.5.2）	修正と是正処置を認証機関が確認し、実施を検証して、解決済みになっていること	是正処置の計画を、認証機関が確認し、受け入れていること
期限	第二段階の最終日から6か月以内に、認証機関が実施を検証できなければ、第二段階をやり直す（9.5.3.2）	認証機関が決めた期間内に、原因と処置を示す（9.4.9）
判定の後	—	計画の実施と効果は、その後の審査や提出された記録で確かめられる（9.4.10、9.6.2.2 b)）

教科書は、指摘があれば期日までに「是正処置計画または実施記録」を出す、と書いていました。重大なら実施の記録まで、軽微なら計画まで、という違いに対応すると読めます（筆者の読み）。

ここで使われるのは、組織が10.2で持っている是正処置の仕組みです。原因を調べ、同じことが起きないように手を打ち、効いたかを確かめる。第14回で読んだ流れが、そのまま審査の後の手続きになります。

登録を決めるのは、審査した人とは別の人です（9.5.1.1）。教科書では、認証機関の中の判定の会議として描かれていました。

維持審査は毎年、8つを確かめる（17021-1 9.1.3.3・9.6.2.2）

維持審査（サーベイランス）は、更新の年を除いて、暦年に少なくとも1回です。1月から12月の各年に1回以上、という意味になります。登録後の最初の維持審査は、認証の判定日から12か月以内と決まっています。最初の3年のサイクルも、判定の日から始まります（9.1.3.2）。

教科書は、維持審査の周期を「1年または6か月ごと」とし、組織が選ぶと書いていました。17021-1が決めているのは下限なので、矛盾ではありません。6か月ごとは、頻度を上げる選択です。

維持審査の中心は、現地での審査です。ほかに、認証機関からの問い合わせや、資料の提出の依頼といった活動もあります（9.6.2.1.2）。現地の審査では、毎回すべてを見るとは限りません。そのかわり、毎回必ず含める項目が8つ決まっています。

毎回含めるもの（9.6.2.2）	近い回
a) 内部監査とマネジメントレビュー	第14回、第34回
b) 前回の審査で見つかった不適合への処置	第14回
c) 苦情の扱い	第4回、第34回
d) 目的と意図した成果の達成に対する有効性	第9回、第13回
e) 継続的改善のために計画した活動の進み	第14回、第34回
f) 運用管理の継続	第12回、第33回
g) 変更のレビュー	第9回
h) 認証マークや、認証への言及の使い方	第2回

a) の内部監査とマネジメントレビューは、第一段階・第二段階に続いて、ここにも入っています。登録の前から毎年の維持審査まで、外されない項目です。第34回で書いたチェックリストや議事録は、審査のたびに読まれ得る記録になります。

b) と e) は、前回の審査からの続きを見る項目です。第14回で「3つとも前回を見に戻る」と書きましたが、審査の側にも同じ形が組み込まれていました。

h) は少し毛色が違います。認証を取ったことを、名刺やウェブサイトでどう表示しているか、という点です。第2回で、登録証には範囲が書かれ、取得の事実は公開されると書きました。範囲の外まで認証を取ったように見せていないかも、見られるということです。

更新審査は3年分を通して見る（17021-1 9.6.3）

更新審査は、有効期限の前に更新を終えられるよう計画します。過去の維持審査の報告書も、レビューの対象です。仕組みや法令に大きな変更があれば、更新のときに第一段階が要ることもあります。

現地の審査で見るのは、次の3つです。範囲全体での有効性、有効性を保ち改善していくことへの関与、そして目的と意図した成果の達成。

場面	どうなるか（9.6.3.2）
重大な不適合が出た	有効期限の前に、修正と是正処置を終える
期限の前に更新の手続きが終わった	新しい有効期限は、これまでの期限を基準にできる。新しい認証の発行日は、更新の決定日以降になる
期限までに終わらなかった	認証は更新されない
期限切れの後	6か月以内なら、残りの手続きを終えたうえで、認証機関が認証を戻すことができる。過ぎたら、少なくとも第二段階を受け直す

前述の通り、更新審査では過去の維持審査の報告書もレビューされます。毎年の審査は、それぞれ独立した行事というより、3年分で1つの記録になっていく、と考えたほうがよさそうです。

［現場］ワークフロー・異動・委託先との接点を、審査の流れに当てる

ここから現場の話です。

筆者の常駐先はISMSを取得しておらず、予定もありません。筆者自身も、監査人と向き合う側に立った機会はまだありません。以下は、もし審査の流れに乗せたらどう見えるかを、3つの場面で考えたものです。

第二段階で最初に見せるなら、ワークフローの履歴

審査員に「作業が決まりどおりに行われていることを、何で見せられますか」と聞かれたら。筆者が最初に開くのは、グループウェアのワークフローの履歴です。

第11回で書いたとおり、ワークフローに乗せた文書には、起案者・日付・件名・承認者が残ります。1件の中に、決まり（承認を経ること）と、実施した日と、判断した人がそろっている。判断の経路を示す証拠としては、かなり強い形だと思います。ただ、それだけで作業の実施や結果まで示せるわけではありません。

もう1つの強みは、審査のために作った記録ではないことです。仕事を回すと、その副産物として残ります。審査の前にまとめて作った記録とは、信頼のされ方が違うはずです。

審査員の目で見ると、次に聞かれそうなことも浮かびます。1つは、ワークフローの1件と現物の突き合わせです。承認された変更が、実際の設定や機器にそのとおり反映されているか。第34回で書いた「記録と現物を突き合わせて、初めて動いていると言える」場面です。

もう1つは、ワークフローに乗らない作業の示し方です。手順のメモや下書きは乗らない、と第11回で書きました。急ぎの変更では、記録を後から整えることもあります（第27回）。乗らないものを何で示すかまで言えると、答えが厚くなります。

承認の中身を誰がどう確かめたかも、別に聞かれることがあります。

毎年の「変化」で一番多いのは、職員の異動

維持審査は、毎年g)の変更を見ます。筆者の担当範囲で、1年のうちに起きる変化として一番多いのは、職員の異動です。版上げや機器の入れ替えよりも、人が替わるほうが多いという実感があります。

筆者の範囲で判断を持っているのは職員です（第6回）。つまり一番よく変わるのは、技術ではなく「判断する人」ということになります。

役割そのものは、事務分掌で職に割り当てられています。人が替わっても、役が空くことはありません。ワークフローの承認の経路も、人ではなく職でたどる形なら、異動で途切れにくいはずです。

維持審査の目で見ると、問われるのは役の側ではなく、人の側だと思います。新しく着任した人が、方針と自分の役割を知っているか（7.3）。判断に要る力量を備えているか（7.2）。前任者のアクセス権が見直されているか（A.5.18、第17回）。第33回で書いた「聞かれたら教える」も、ここで効いてくる経路の1つです。

審査を受ける組織として考えると、時期の置き方にも関わります。面談の相手が、着任して日の浅い人ばかりになる時期に維持審査を置くと、組織の実力より低く見えやすいと思います。最初の維持審査は判定日から12か月以内なので、初回の審査の時期が、その後の毎年の時期にも響いてきます（筆者の読み）。

ただ、時期をずらすのは手当ての一部にすぎません。本筋は、異動の後も方針と役割の認識、要る力量を保てる仕組みのほうだと考えています。

第一段階で一番手間がかかりそうなのは、範囲と外との接点

最後は、連載を35回書いてきた目で考えた問いです。もし常駐先の仕組みをISMSの審査に乗せるとしたら、第一段階で説明に一番時間がかかりそうなのはどこか。筆者は、範囲と外との接点だと考えています。

範囲の線そのものは、法令と事務分掌で先に引かれています（第28回）。自分で線を引かないぶん、線はぶれにくい。時間がかかりそうなのは、線の上にある接点のほうです。

申し込みの段で、要求事項への適合に影響する外部委託のプロセスを、特定して伝えることになっていました。第一段階の目的 d) も、範囲に関する情報を集めることです。筆者の範囲では、外との接点がとても多くあります。脅威情報の見立て、アラートの判断、証明書の期限、故障の予兆の記録。附属書Aの回で、委託先が担っている部分に何度も触れてきました（第16回、第22回、第25回、第26回）。

委託先の内側は、筆者の位置からは歩けません（番外編）。見えるのは、渡したものと戻ってきたものです。それでも、接点ごとに何が渡り、何が戻り、どの契約で見ているかは、言葉にできるはずです。材料は、契約と仕様書の側に既にあります（第12回）。手間は、散らばった材料を範囲の文書の1か所に集める作業だと思います。

これは弱みの話ではない、と考えています。委託を使う組織なら、どこでも同じ作業が要るはずです。ただ、申し込みの段から求められる情報なので、審査の日程より前に終わっている必要があります。

よくある落とし穴／審査で指摘されやすい点

審査の事例を集めたものではありません。ここまでの内容から、つまずきやすいと考える点を挙げます。

第一段階の懸念点を、第二段階まで持ち越す

懸念点は、第二段階で不適合になり得るものとして示されます。「第二段階で見せればよい」と構えると、間隔の中で直す時間を使い切ってしまいがちです。懸念点ごとに、誰がいつまでに何を直すかを決めておきます。第34回の「決定に担当と期限」と同じ形です。

維持審査の前に、1年分の記録をまとめて作る

維持審査が毎回見る8つは、どれも期間を通した記録です。審査の前にまとめて作った記録は、日付と中身の並びに不自然さが出やすいと思います。ワークフローのように、仕事の副産物として残る形に寄せておくのが近道です。

更新審査を、有効期限の直前に置く

前述の通り、重大な不適合は有効期限の前に直し終える必要があります。期限の直前に審査を置くと、直す時間が残りません。期限切れの後に戻す道はあっても、その間は認証が切れた状態です。

認証の範囲を、範囲の外まで名乗る

前述の通り、維持審査では認証への言及の使い方も見られます。一部の部門で取った認証を、組織全体のように見せる表示は避けます。認証機関は、組織の広告やウェブサイトの記載を確かめることもあります（9.6.2.1.2）。

まとめ

• 審査の進め方は、27001ではなく認証機関に掛かる17021-1と、ISMSに固有の27006-1に書かれています。ISMS-ACの認定基準（JIP-ISAC100-5.0）は、27006-1:2024をそのまま適用すると定めています
• 申し込みでは、範囲・事業所・人と技術の資源・適合に影響する外部委託のプロセス・コンサルティングの有無などを伝えます。筆者の整理では、外部委託は範囲の境目を、コンサルティングの有無は公平性を確かめる材料になります
• 第一段階は第二段階に進めるかを、第二段階は動いていて効いているかを見ます。内部監査とマネジメントレビューは、第一段階・第二段階・毎年の維持審査のすべてに入っています
• 重大な不適合は判定の前に是正の実施まで、軽微な不適合は判定の前に計画まで確かめられます。軽微な不適合の実施と効果は、その後に確かめられます。重大な不適合の実施を、認証機関が第二段階の最終日から6か月以内に検証できなければ、第二段階のやり直しです
• 維持審査は暦年に1回以上で、毎回8つの点を見ます。更新審査は、過去の維持審査の報告書を含めて3年分を通して見ます
• 筆者の現場に当てると、最初に見せる記録はワークフローの履歴、毎年の変化で一番多いのは職員の異動、第一段階で手間がかかりそうなのは委託先との接点でした。どれも、既にある仕組みや材料が出発点になると考えています

連載の本編は、ここで終わりです。規格の側から現場を照らす、という書き方で35回を重ねてきました。最後にたどり着いたのが審査する側の規格だったのは、連載の名前を思えば自然な順番だったのかもしれません。審査員の区分と要件は、第2回で予告したとおり、本編の後の番外編で書きました。

連載の入口は第1回です。

引っかかった点

17021-1の箇条番号と中身は、IASの解説資料で確かめました。資料は規格の要約で、文言そのものではありません。日本語の言い回し（懸念点、暦年など）も筆者の訳で、JIS Q 17021-1の用語とは違う可能性があります。

ISO/IEC 27006-1:2024は、ISMSの認証に固有の要求事項を定めた規格です。本文を読めていないので、第一段階・第二段階・維持審査ごとの個別の追加は、この記事では扱っていません。教科書の第一段階の13項目には、インシデントのプロセスが入っていました。17021-1の第一段階の目的には見当たらず、27006-1の追加なのか教科書の整理なのかは分かっていません。

人数と審査時間の関係は、欧州認定協力機構のFAQ（2018年）に引用された文言で確かめました。当時の現行版は旧版のISO/IEC 27006:2015です。27006は、2015年版、その追補（2020年）を経て、27006-1:2024に置き換わっています（ISMS-ACの認定基準の改版履歴で確認）。2024年版の算定方法は確かめていません。

維持審査の周期は、教科書（1年または6か月ごと）と17021-1（暦年に1回以上）で書き方が違います。記事では、17021-1が下限を決めていて、6か月ごとはその上の選択、と読みました。

「是正処置計画または実施記録」を重大と軽微の違いに対応させたのは、筆者の読みです。表の「近い回」の列と、申し込みの表の「何に使われるか」の列も、筆者の整理です。

参考にした一次資料

• IAS「17021-1 Course Materials」 … 米国の認定機関IASが公開している、ISO/IEC 17021-1:2015の解説資料です。Section 3（3.12・3.13 重大・軽微な不適合）と Section 9（9.1.1 申し込み、9.1.2.1 申し込みのレビュー、9.1.3.2〜9.1.3.3 審査プログラムと維持審査の頻度、9.2.1.2 審査の目的と法令遵守の注記、9.3.1.2〜9.3.1.3 第一段階・第二段階、9.4.1 電子的な手段の注記、9.4.4.2 情報を集める方法、9.4.9〜9.5.3 不適合と判定、9.6.2〜9.6.3 維持審査と更新）を読みました
• ISMS-AC「基準・ガイド」 … JIP-ISAC100-5.0「ISMS認証機関認定基準及び指針」（2024年5月31日）を読みました。ISO/IEC 27006-1:2024をそのまま適用する、と定めています
• European Accreditation「FAQ」 … Question 35.3（ISMSの審査時間の計算）です。27006の附属書の文言の引用を読みました
• 岡田敏靖『ISO27001:2022の規格と審査がしっかりわかる教科書 改訂2版』（技術評論社） … 連載で使っている教科書です。14章45節（登録審査と維持審査・更新審査）を読みました