ISMSの内部監査とマネジメントレビューのやり方（9.2・9.3）｜チェックリストは証拠から作る

第33回で、時期の決まった活動を年間の実施表に載せる話を書きました。その表には「内部監査」と「マネジメントレビュー」の2行が入っています。今回は、その2行をどう回すかの回です。

規格が何を求めているかは、第14回で読みました。内部監査で確認する3つのこと、監査員の客観性と公平性、レビューのインプット7つ。今回は教科書の14章43節と44節を、どう作るかという実務の側から読みます。

---

内部監査とマネジメントレビューの実施とは——ひとことで言うと

内部監査は、決めたとおりに動いて効いているかを、証拠で確かめる作業です。マネジメントレビューは、監査の結果を含む前回からの材料を見て、トップが「何を変えるか」を決める場です。

前者は事実を集める仕事で、後者は決める仕事。監査の結果は、レビューで考える材料の1つになります。

どちらも、仕組みが回り始めてからでないとできない作業です。正直、構築の段では一番後回しにされやすい2つだと思います。

9.2 内部監査は4つの段で準備する

監査は、当日より準備のほうが長い作業です。決める順に並べると、次の4段になります。

段	決めること	残るもの（例）	根拠
手順	計画・実施・報告・記録の責任と進め方	内部監査の規定	管理基準 4.6.2.7（手順書という文書名は規格の指定ではない）
監査プログラム	頻度・方法・責任・報告、監査基準と範囲	年間の監査計画	9.2.2、9.2.2 a)
1回ごとの計画	時期・場所・担当する監査員・手法	実施計画	管理基準 4.6.2.2 b)
チェックリスト	問いと、証拠として見るもの	チェックリスト	規格の要求ではなく、実務上の道具

監査プログラムは、1回ごとの監査ではなく、期間を通した監査の組み立てです。9.2.2は、プログラムを作るときに、関連するプロセスの重要性と、前回までの監査の結果を考慮するよう求めています。どこを厚く見るかを、毎回ここで決め直すわけです。

管理基準は、プログラムに日程だけでなく、監査の基準・範囲・頻度・方法まで含めると書いていました。年間の予定表1枚では、プログラムの半分にしかならないということです。

管理基準は、計画と結果を基本計画・実施計画・報告書の3つで管理する、とも書いています。予定どおり実施されたことを証明するためにも、報告書を作る、と。3つの名前は管理基準の書き方で、規格がこの文書名を求めているわけではありません。それでも、第33回の「計画どおり」と同じ考え方が監査そのものにも当てはまるのは、面白いところです。

監査員は、部署を入れ替えて組む

監査員の選び方の軸は、監査の客観性と公平性です。管理基準が添えている「自らが従事している業務は自身で監査しない」の読み方は、前述の通り第14回で書きました。

実務で迷うのは、小さな組織です。JIPDECのISMSユーザーズガイドは、監査員の独立性そのものが求められているわけではない、と説明しています。そのうえで、監査の指針であるJIS Q 19011の独立性の考え方を、参考として引いていました。小規模な組織では完全な独立が難しい場合もあり、偏りをなくす努力を求める、という内容です。

部署が2つ以上あるなら、互いの部署を入れ替えて監査する組み方が現実的だと思います。人が足りなければ、外の力を借りる手もあります。同じガイドは、専門家に内部監査を依頼することも考えられる、と書いていました。

監査員に要る力量も、先に決めておきます。ガイドが挙げる例は、規格と監査の指針の理解、関係する法令の理解、組織の文書と業務の理解、業務経験、コミュニケーション能力などです。第33回の層の表でいえば、「役割ごと」の層に内部監査員の行を置くことになります。

9.2 チェックリストは「見せてもらうもの」の列から埋める

チェックリストの出発点は、規格や規程の文を問いに置き換えることです。ただ、問いだけを並べると、答えは「やっています」で返ってきます。それを聞いて丸を付けるだけなら、監査にはなりません。

先に埋めたいのは、その問いに対して何を見せてもらえば判断できるか、の列です。例を3つ作ってみました。

照らす基準	問い	証拠として見るもの
8.2 あらかじめ定めた間隔でリスクアセスメントを行う	前回はいつで、次はいつの予定ですか	年間の実施表の該当行と、前回の結果の記録の日付
A.5.18 アクセス権を見直す	直近の見直しの記録を見せてください	見直しの記録と、異動した人のアカウントの今の状態（何件か抜き出して）
A.6.8 事象を報告する	おかしいと気づいたら、どこへ知らせますか	本人の説明と、報告の窓口が書かれた場所

表の例は筆者が作ったもので、教科書の例ではありません。

証拠になるものは、大きく4つに分けられます。書いてあるもの（文書）、残っているもの（記録）、人の説明、そして目で見たこと（現場の観察）。文書だけでは、書いてあるとおりに動いているかが分かりません。記録や現物と突き合わせて、初めて「動いている」と言えます。

全件を見るか、何件か抜き出して確かめるかは、対象の件数やリスク、監査の目的に応じて決めるものです。抜き出すなら、どの範囲から何を選び、何を見たかを、チェックリストに残しておきます。

第14回で、自己点検の取りまとめは監査と同じものとは読めない、と書きました。違いは、証拠と照らし合わせるかどうかでした。実務では、この3列目がその違いを作っています。

所見は「基準・事実・差」で書く

監査で見つけたことを、所見と呼びます。教科書は、所見を適合・不適合・観察・その他（提案や良い点）に分けていました。観察は、不適合とまでは言い切れないものの、直したほうがよい点を拾う区分です。

ここは注意が要ります。9.2は、所見をこうした決まった区分に分けるよう求めているわけではありません。管理基準の9.2に当たる項にも、区分の定めは見当たりませんでした。規格の側で扱いが決まっているのは不適合で、10.2の是正処置につながります。

観察や良い点は、27001の要求事項の用語ではありません。認証審査の実務で「観察事項」という言葉が使われることはあり、JIPDECのガイドにも出てきます。区分を置くなら、それぞれの意味と、その後の扱い（誰に渡り、何をするか）を規定に書いておきます。

書き方で筆者が大事だと考えるのは、3点をそろえることです。何に照らしたか（基準）、何を見たか（事実）、どこがずれていたか（差）。「管理が不十分」とだけ書かれた所見では、受けた側は原因を調べ始められません。

是正処置の流れと、有効性のレビューが別の工程であることは、前述の通り第14回で書きました。実務で先に決めておきたいのは、人の割り当てです。是正の計画を誰が確認し、効いたかを誰がいつ確かめるか。規定の段で決めておかないと、報告書の「完了」が誰の判断だったのか、後から追えなくなります。

9.3 マネジメントレビューは、前回からの記録を仕分けて持ち込む

マネジメントレビューの報告書は、新しく書き起こすものではないと考えています。9.3.2のインプット7つに、前回のレビューから今回までの記録を仕分ける作業に近い。間隔は組織が決めるもので、年1回なら1年分が材料になります。インプットと、持ち込む材料の例を並べてみました。

#	インプット（9.3.2）	持ち込む材料の例	連載の回
1	前回までのレビューで決めた処置の状況	前回の議事録の決定事項と、その進み	第14回
2	外部及び内部の課題の変化	4.1で作った課題の一覧の見直し	第4回
3	利害関係者のニーズ及び期待の変化	4.2で作った一覧の見直し	第4回
4	情報セキュリティパフォーマンスに関するフィードバック（傾向を含む。不適合と是正処置／監視・測定の結果／監査結果／目的の達成）	是正処置の記録、9.1の結果、内部監査の報告書、目的の進み	第13回、第9回
5	利害関係者からのフィードバック	顧客・取引先・職員などからの意見、評価、苦情、指摘	—
6	リスクアセスメントの結果とリスク対応計画の状況	8.2・8.3の記録	第31回
7	継続的改善の機会	監査の観察や提案、現場からの改善案	—

右の2列は筆者の整理です。9.3.2の項目は、第14回と同じく記号を振らずに番号で並べました。3番目は、2022年版で加わった項目です（第14回）。

並べてみて気づくのは、材料がすぐ出てくる行と、そうでない行があることです。5番目の利害関係者からのフィードバックと、7番目の改善の機会は、決まった記録から自然には集まりません。期間の途中で受け皿を作っておかないと、レビューの直前に記憶で埋めることになります。関係者からの意見や指摘を書き留める一覧と、改善案を置いておく場所の2つです。

時期の組み方にも気をつけたいところです。4番目には監査結果が入るので、実務上は、監査の結果をレビューに持ち込めるよう年間の計画を組むと進めやすくなります。是正処置が終わっている必要はありません。未完了の対応があれば、その状況も含めてトップが検討できるようにします。規格が順番を決めているわけではなく、第33回の年間の実施表で組む側の工夫です。

管理基準は、レビューについても基本計画・実施計画・実施報告を文書にする、と書いていました。これも管理基準の書き方で、文書の名前は組織が決めてかまいません。

議事録には、決めたことを担当と期限つきで

レビューの結果（アウトプット）は2つです。継続的改善の機会と、ISMSの変更の必要性に関する決定。報告を聞いた記録だけでは次回の1番目のインプットが作れない、という話は、前述の通り第14回で書きました。

実務では、決定の1行ごとに担当と期限を付けておくと扱いやすくなります。そのまま次回の「前回の処置の状況」の表になり、第33回の年間の実施表にも行として落とせるからです。

管理基準は、レビューの結果を改善に反映する活動の例も挙げていました。有効性の改善、リスクアセスメントと対応計画の更新、手順と管理策の修正、必要な資源の特定、測定方法の改善です。JIPDECのガイドも、改善に要る資源の提供をトップが確約する必要がある、と書いています。決定に資源の裏付けがないと、担当と期限だけが残って動かない、ということになりかねません。

［現場］選択式の点検と、外から求められる振り返りを、9.2と9.3から見る

ここから現場の話です。

筆者の常駐先はISMSを取得しておらず、予定もありません。筆者自身も、監査人と向き合う側に立った機会はまだありません。以下は、受ける側に回る前の目で、2つの仕組みを9.2と9.3に当てた話です。

各課の自己点検は、選択式のアンケート

各課が対策の実施状況を点検する仕組みは、第14回で書いたとおり、オンラインのフォームで回答し、情報部門が取りまとめる形です。設問は選択式で、情報部門から各課へアンケートとして出されていました。

選択式には、はっきりした強みがあります。全課を同じ物差しで並べられ、集計の結果がぶれません。全体の状況を一度に棚卸しするという目的には、合った形だと思います。

9.2の目で見ると、選択式の設問は、チェックリストの「問い」の列にあたります。「証拠として見るもの」の列は、この仕組みの目的に入っていません。第14回で監査と同じものとは読めないと書いたのは、この列の有無でした。

ただ、選択式の回答は、監査の入口として使えると考えています。9.2.2は、プロセスの重要性と前回までの結果を考慮して、プログラムを作るよう求めていました。「できていない」と答えた項目や、重要な業務を持つ課の回答は、どこを見に行くかを選ぶ材料そのものです。全課が同じ答えを選んだ項目を、いくつか証拠で確かめてみるのもよさそうです。物差しそのものの点検にもなります。

点検をやめて監査に置き換える話ではありません。点検で全体を広く浅く見て、監査でいくつかを深く見る。2つは、役割の違う道具として並べられます。

1年の振り返りの資料は、外から求められたときに作られる

1年分の出来事や数字をまとめる場面が、筆者の位置から見えるのは、外から求められたときです。それ以外の場面は見えていません。

読み方は2通りあると思います。1つは、職員の側の経路で振り返りが行われていて、筆者には回ってこない。もう1つは、外からの求めが、実質的な振り返りの機会になっている。どちらなのかは、筆者の位置からは判別できません。

外からの求めは、少なくとも1年分を見直すきっかけになります。9.3のインプットでいえば、2番目や3番目の「変化」として扱えるものでもあります。外から来ること自体は、問題ではありません。

9.3の目で見ると、残る問いは2つです。1つ目は、間隔を誰が決めているか。9.3は、トップがあらかじめ定めた間隔でレビューすることを求めています。外から求められて作る資料は、作る時期を外の側が決めています。それとは別に、組織が自分で定めた間隔でレビューしているかどうかは、筆者の位置からは見えません。2つ目は、資料の後ろに決定が付いているか。作った資料が、その後どこで何を決めるのに使われたのかは、筆者からは見えません。

第9回の6.2で書いた形と同じだと感じています。外から来たものを、自分の間隔と自分の決定に持ち直す一手があるかどうか。違いが出るのはそこです。

手当ては大きくなくてよいと思います。外から求められて作った資料を、7つのインプットの箱に仕分けて残しておく。次に外から求められたときも、自分たちでレビューを開くときも、同じ箱から材料を出せます。

よくある落とし穴／審査で指摘されやすい点

審査の事例を集めたものではありません。ここまでの内容から、つまずきやすいと考える点を挙げます。

チェックリストに、証拠の列がない

規格の文を疑問形にしただけのチェックリストは、「はい」で埋まってしまいがちです。各問いに、何を見れば判断できるかが書いてあるかを確かめます。抜き出した件数と、見たものの名前まで残っていると、後から追えます。

所見が「不十分」で終わっている

基準・事実・差のどれかが欠けた所見では、受けた側が原因を調べられません。是正処置が「注意を呼びかけた」で終わる原因にもなりがちです。

監査の結果が、レビューに間に合っていない

4番目のインプットに監査結果を入れるには、時期の組み方が要ります。年間の実施表で、監査の結果をレビューに持ち込める位置にあるかを見ます。是正が途中なら、途中であること自体が材料です。

決定に担当と期限がない

「〜を検討する」で終わった決定は、次回の1番目のインプットで状況を書けません。決定ごとに、誰がいつまでに、を付けます。

まとめ

• 内部監査は、手順・年間のプログラム・1回ごとの計画・チェックリストの4段で準備します。プログラムには日程だけでなく、基準・範囲・頻度・方法まで含めます
• 監査員は客観性と公平性で選びます。小さな組織では、部署を入れ替えて組む、外の専門家に頼む、といった組み方が考えられます
• チェックリストは、問いより先に「証拠として見るもの」の列を埋めます。点検の取りまとめと監査の違いは、この列にあります
• 所見は基準・事実・差の3点で書きます。9.2は所見の区分を決めていません。観察や良い点の区分を置くなら、意味とその後の扱いを規定に書きます
• マネジメントレビューの報告書は、前回のレビューからの記録を7つのインプットに仕分けて作れます（年1回なら1年分）。材料が自然に集まらない行は、期間の途中で受け皿を作っておきます。決定には担当と期限を付けます
• 筆者の現場では、点検は選択式で、1年の振り返りは外から求められたときに見えていました。点検の回答を監査の入口に使い、外向けの資料を7つの箱に仕分けて残すことが、ISMSに乗せるときの最初の一歩になると考えています

次回は、教科書14章の最後の節、登録審査と維持審査・更新審査を読みます。

連載の入口は第1回です。

引っかかった点

「観察」という区分は、教科書と認証審査の実務で使われる言葉です。27001の要求事項の用語ではない、と書きましたが、規格本文は手元にないので、管理基準とJIPDECのガイドの範囲で確かめました。

基本計画・実施計画・報告書（レビューでは実施報告）の3つは、管理基準の書き方です。規格の文言ではありません。

監査員の独立性について、JIPDECのガイドはJIS Q 19011の監査の原則を引用しています。19011そのものは読んでいません。記事ではガイドの引用の範囲で書きました。

9.3.2の項目は、管理基準が記号を振っていないため、番号（1〜7）で並べました。教科書はレビューへの報告事項の7番目を「改善提案」としていましたが、記事では管理基準の「継続的改善の機会」に合わせています。

チェックリストの例、レビューの材料の列、所見の「基準・事実・差」は筆者の整理です。教科書の例や様式は再現していません。

監査の結果をレビューに持ち込める時期に監査を置く、という順番は、実務の組み方として書きました。規格が監査とレビューの順番や、是正処置の完了をレビューの前提にしているわけではありません。

参考にした一次資料

• 経済産業省「情報セキュリティ管理基準（令和7年改正版）」 … 4.6.2（9.2 内部監査。基本計画・実施計画・報告書、プログラムに含める内容、監査員の選定）と4.6.3（9.3 マネジメントレビュー。インプット、結果を改善に反映する活動、記録）を読みました。JIS Q 27001:2023とJIS Q 27002:2024をもとにした版です。本文は意見公募時に公開されていた版から読んでいます
• ISMSユーザーズガイド（JIPDEC／2025年3月31日） … JIS Q 27001:2023（ISO/IEC 27001:2022）対応版です。9.2（監査員の独立性と力量、専門家への依頼）と9.3（インプットとアウトプット、資源の確約）の解説を読みました
• 岡田敏靖『ISO27001:2022の規格と審査がしっかりわかる教科書 改訂2版』（技術評論社） … 連載で使っている教科書です。14章43節（内部監査の実施）と44節（マネジメントレビューの実施）を読みました