ISMSの必要書類とは？必要となるタイミングと注意点を解説

取引先からISMS認証の取得を求められたものの、「どのような書類を、いつ準備すればよいのかわからない」と戸惑う担当者も多いのではないでしょうか。

ISMSでは、見積もり時、審査前・申請時、一次審査、二次審査と、段階ごとに求められる書類が異なります。また、作成前には認証範囲や取得目的を明確にし、各文書の内容を整合させることも重要です。

この記事では、段階別の必要書類や自力・コンサル・ツールによる作成方法、記載漏れや不整合が起こりやすい書類、審査機関による書類の違いまで幅広く解説します。

【段階別】必要書類

ISMS認証の取得では、すべての書類を最初から一度に提出するわけではありません。見積もり、審査前・申請時、一次審査、二次審査の各段階で、準備・提出する書類は異なります。

まずは、タイミングごとに何が必要になるのかを確認しましょう。

見積もりの段階

見積もり段階では、審査費用や日数を算出するため、企業規模や認証範囲がわかる資料を提出します。主な必要書類は以下のとおりです。

申告内容は見積額や審査日数に影響するため、実際の認証範囲とズレがないように確認しましょう。

審査前・申請時

審査を正式に申し込む段階では、契約書類に加え、構築したISMSの基本方針やルールを示す文書を提出します。主な必要書類は以下のとおりです。

それぞれの書類間で認証範囲や管理策の内容に矛盾がないように注意しましょう。

一次審査

一次審査では、構築したISMSのルールや文書が規格の要求事項に適合しているかを確認します。主な必要書類は以下のとおりです。

各書類の対象範囲や内容に食い違いがないか、提出前のチェックが重要です。

二次審査

二次審査では、一次審査で確認されたルールが、実際の業務で適切に運用されているかを確認します。そのため、文書を作成するだけでなく、実施状況を示す記録を残し、審査当日に必要な資料をすぐ提示できる状態にしておくことが大切です。主な書類は以下のとおりです。

記載漏れや更新忘れがあると、ルールを継続的に運用していることを十分に示せません。記録の保管場所や管理担当者を決め、日常業務のなかで“確実に記録を残せる仕組み”を整えておくのがベストです。

必要書類を準備する前に決めておくべきこと

ISMSの書類作成を始める前に、認証取得の前提となる事項を整理しておきましょう。事前の方針が曖昧だと、作成途中で文書の修正や追加が必要になることがあります。

これらは必要書類の内容や運用レベルに影響するため、経営層や関係部署と認識を合わせておくことがポイントです。

書類の作成方法と難易度

ISMSの必要書類は、自社で一から作成するほか、コンサルタントに依頼したり、専用ツールを活用する方法もあります。費用や作業負担、専門知識の必要度が異なるため、自社に最適な方法を選ぶことが求められます。

▼以下の記事でも詳しく解説しています。
ISMS（ISO27001）取得の難易度は高い？難点をクリアする方法も解説
ISMS（ISO27001）の取得方法とは？流れも解説

自力での作成

ISMSに関する知見を持つ社員がいない場合、必要書類をすべて自力で作成する難易度は高いといえます。規格の要求事項を理解するだけでなく、自社の業務や組織体制などに置き換えて文書化する必要があるためです。

また、知見のある社員がいても、通常業務との兼任では作業時間を確保しにくく、書類作成や社内調整が遅れるケースが考えられます。専任で取り組める体制がなければ、認証取得までの期間が長引く点にも注意が必要です。

コンサルに依頼

コンサルタントに依頼すれば、経験豊富な専門家から、書類作成や運用体制について具体的なアドバイスを受けられます。サービスによっては、テンプレートの提供に加え、書類作成そのものを代行してもらえる場合もあります。

自社で規格を読み解き、一から文書を整備する負担を大きく減らせるため、担当者が通常業務と兼任している企業にも適しています。実際に多くの企業がコンサルタントを活用しています。

ツールの利用

ISMS対応ツールのなかには、画面に表示される項目を入力することで、必要書類を作成できるものがあります。テンプレートを活用して作業を進められるため、一から文書を作る負担を軽減できる点がメリットです。

ただし、作成できる書類や機能、サポート範囲はツールごとに異なるため、導入前の比較検討が欠かせません。また、ツールは新規取得時の文書作成よりも、取得後の記録管理や更新、継続的な運用を得意とする傾向があります。

作成時に注意が必要な書類

ISMSの書類のなかでも特に注意したいのが、リスクアセスメント、適用宣言書、各種の運用記録です。

特にリスクアセスメントと適用宣言書はルールの整合性、運用記録は記載漏れに注意しましょう。

審査機関による書類の違い

ISMS認証で必要となる書類は、基本的にどの審査機関でも共通しています。ただし、指定される書式や提出時期、提出方法は異なるため、依頼先の案内を事前にチェックしましょう。

契約前後に必要書類の一覧や期限を確認しておくことで、提出漏れや手続きの遅れを防ぐことにつながります。

まとめ

ISMSの必要書類は、見積もり、申請、一次審査、二次審査と、段階ごとに異なります。まずは取得目的や認証範囲、対象となる情報資産を整理し、自社にマッチした体制で準備を進めましょう。特に、リスクアセスメントと適用宣言書の整合性、そして運用記録を漏れなく残すことです。

必要な書類と提出時期を早めに把握しておけば、準備の抜け漏れを防ぎ、初めてのISMS取得にも自信を持って臨めます。