ISMS審査機関の選び方｜実際「国内の認証マーク（ISMS-AC）」と「海外の認証マーク」は何が違うの？

ISMSの審査機関をお探しのご担当者のみなさんの中には、こんな疑問を持たれる方が多いようです。

「ISMS（ISO 27001）の審査機関を探しているが、費用感に幅があって最適な基準が分からない」
「国内の推奨リスト（ISMS-AC）で見かけない海外の認証マークを掲げる機関を見つけたが、本当に使っても大丈夫なのか？」

当社もそういった質問をお客様からよくいただきます。
結論から言うと、日本の認定シンボルでも、アメリカなど海外の認定シンボルでも、お取引先への証明パワーや官公庁の入札における有効性は100%同じです。この記事では、その明確な理由と失敗しない審査機関の選定基準を、当社（ジーサーティ・ジャパン）の仕組みを交えて分かりやすく解説します。

ISMS審査機関を比較する「実務面の3つのポイント」

ISMS審査機関を比較する際には、実務面のポイントがあります。以下の3つです。

それぞれについて解説します。

2年目以降の維持審査費も含めた「トータルコスト」

まず1点目はトータルコストです。初回取得時だけでなく、2年目以降の維持審査費も含めて考える必要があります。
イニシャルコストとランニングコストの両方の金額・内訳を確認しましょう。
複数社から相見積もりを取り、トータルコストを抑えてコスパを高められるか比較することが大切です。

取引先から急かされている時ほど重要な「スピード感（タイムパフォーマンス）」

2点目は、スピード感／タイムパフォーマンスです。手早く、なおかつ適切に審査を行う審査機関かどうかを確認する必要があります。審査機関によってスピード感は大きく異なるためです。

取引先から期限を提示されている場合、その期限に間に合わせなくてはビジネスチャンスや信頼を失うことになります。入札の条件になっている場合も、入札に間に合うように認証を取得しなくてはなりません。
このような状況では、認証までのスピード感が重要になります。審査の準備と審査にかかる期間、そして審査完了から認証発効までにかかる期間の合計を確認する必要があります。

信頼性に関わる、国際的に認められた「正規の認定シンボル」かどうか

3点目は、正規の認定シンボルかどうかです。認定を取得すると、次の2つのシンボル・マークを使用できるようになります。

●審査を行った審査機関の「認証マーク」
●審査機関を監査している認定機関の「認定シンボル」

この認定機関の認定シンボルは、信頼できる審査機関が審査をしていることを示すおおもとの証です。そのため、認定シンボルが国際的に認められた正規のシンボルかどうかを確認しましょう。

「国内の認定シンボル」と「海外の認定シンボル」の仕組み

「認定シンボル」は、国内の認定機関のシンボルと海外の認定会社のシンボルとに分かれます。ここでは両者の違いについて、順を追って解説します。

そもそもISMS-ACとは？審査機関を監査している「おおもとの組織（認定機関）」の役割

「ISMS-AC（一般社団法人情報マネジメントシステム認定センター）」は、日本国内にある認定機関です。認定機関とはすでに軽く述べた通り、企業の審査を行う認証機関に対して、適切な審査を行っているか監査する機関です。2つの機関と企業の関係を整理すると、以下のようになります。

認定機関→認証機関→企業

認定機関が認証機関を監査し、認証機関が企業を審査するという関係です。ISMS-ACは、日本で認証機関を監査している機関ということになります。

日本のおおもとが「ISMS-AC」、アメリカのおおもとが「IAS」

ISMS-ACは、日本国内の認証機関の監査を行っている日本のおおもと（認定機関）です。
さらにアメリカの認定機関にはIASがあり、アメリカ国内の認証機関のおおもととして数多くの認証機関の監査を行っています。
ISMS-ACの認定を受けた認証機関はISMS-ACの認定シンボルを、IASの認定を受けた認証機関はIASの認定シンボルを使用しています。

世界共通ルール「どちらの認定シンボルであっても、価値は同じ」と決まっている（IAF多国間相互承認）

「IAF多国間相互承認」というルールにより、「どの認定シンボルであっても、価値は同じ」と世界共通で決められています。IAF（国際認定フォーラム）とは、世界各国のISOなどの認定機関が加盟する国際組織です。当社（ジーサーティ・ジャパン）が受けている米国認定（IAS）は日本のISMS-ACと同じIAFのメンバーであり、お互いに同等の価値があると認め合っています。
このように、IASの認定シンボルは日本をはじめとしたアメリカ以外の国々でも同等の価値を持っています。

【実務検証】海外の認定シンボルは官公庁の入札や大手取引で不利になるのか？

続いて、海外の認定シンボルは官公庁の入札や大手取引で不利になるのか、本当のところはどうなのか検証してみましょう。

政府調達・入札条件における実際の記載ルール

まず政府調達・入札条件における実際の記載ルールについて見ると、ISMS-ACなど特定の国の認定シンボルのロゴを限定することは原則ありません。
国際調達基準に準拠しているため、一般的な入札要件は「ISO/IEC 27001（ISMS）の取得」です。つまり海外の認定シンボルが不利になることはありません。

もし取引先の担当者から「この海外の認定のロゴは何？」と聞かれたら？

仮に取引先の担当者から「この海外の認定のロゴは何？」と聞かれた場合も、「世界共通のルールに基づいた、米国の正規認定（IAS）を受けた認定ロゴです」とお伝えいただければ何ら問題ありません。
すでに述べたように、IASの認定のロゴもISMS-ACの認定のロゴも同等の価値を持っています。

「ISMS-ACのリストに載っていない＝怪しい？」という評判に対する真実

「ISMS-ACのリストに載っていない＝怪しい？」と思われていた方も少なくないかもしれませんが、これまで見てきたようにその考えには誤解がふくまれています。
ISMS-ACのリストは、日本国内で認可されている審査機関をまとめたものではありません。複数ある認定機関の一つであるISMS-ACが直接認定した審査機関だけのリストです。米国認定（IAS）をベースとする当社（ジーサーティ・ジャパン）が載らないのは当然だということになります。
このように、ISMS-ACのリストにないからと言って無認可だということでは絶対にありません。同等の価値を持つ海外の認定機関の認可を受けていることがほとんどです。ただしすでに述べたように、IASのような国際的に認められた「正規の認定シンボル」であるかは確認する必要があります。

結局、自社はどこを選べばいいの？タイプ別診断

国内・海外の認定シンボルが同じ価値を持つなら、結局自社はどこを選べばいいのかと疑問に思われるかもしれません。タイプ別に解説します。

「とにかく日本国内での伝統的な知名度や安心感を最優先したい」という企業

日本国内での伝統的な知名度や安心感を最優先したいなら、JQAなど国内認定（ISMS-AC）を持つ伝統的な審査機関が選択肢となります。

「中身も効力も同じなら、無駄を省いた効率性と高いコストパフォーマンスを最優先したい」という企業

効率性と高いコストパフォーマンスを最優先したいなら、当社（ジーサーティ・ジャパン）のように、海外認定（IAS）をベースに、効率的なプロセスを追求する審査機関が最有力候補になります。

当社が費用とサービス品質を両立できているのは、決して「審査の手を抜いている」からではありません。Web審査の積極的な活用や、徹底したペーパーレス化による「審査プロセスの効率化（DX）」を突き詰めた結果、高いコストパフォーマンスとスピーディーな対応を実現しています。これらの点が評価され、合理的な運用を求めるベンチャーや中小企業様に選ばれています。

まとめ

ISMSの審査会社選びは、会社の「ブランド」で選ぶか、「実利（高いコストパフォーマンス）」で選ぶかです。
「海外の認定シンボルだから使えない」というのは完全にただの誤解です。視野を広げて見積もりを比較してみるのが、スマートな選び方です。