ISMS COLUMNISO規格の知識コラム（ISMS）
ISMS コラム
ISMSを取得しようとする場合、取得だけではなく運用・維持していくことも考えなくてはなりません。自社の運用体制はもちろんですが、審査機関選びも同様です。ISMS審査機関の選定は、初回審査だけでなく維持/更新審査のこともよく踏まえるべきと言えます。
この記事では、ISMSを維持するための審査について費用や内容について解説します。ISMSの維持審査についてご確認中の企業ご担当者様は参考にしてみてください。
目次
ISO・ISMS取得に関して
お悩みはありませんか？
ISO認証機関ジーサーティに
お任せください！
ISO認証取得をもっと早く、負担ゼロに。
IISMSの審査機関は「取得後」まで考えて選ぶことが大切です。ISMSは初回審査に合格して終了ではなく、認証取得後も維持審査と更新審査が続きます。原則3年間の認証サイクルを繰り返すため、審査機関とは取得後も継続的な関係になります。
初回審査費用だけでなく、維持・更新時の費用、審査体制、自社事業への対応力、将来の認証計画まで含めて選びましょう。複数社から見積もりを取るだけでなく、その前に自社がISMSをどう維持・活用するかによって問い合わせ先を絞ることで判断の精度が高まります。
ISMS認証を維持するために初回認証後も定期的な審査があり、認証取得から3年単位のサイクルで審査が繰り返されます。つまり認証を維持する限り、定期的に審査を受け続けることになります。
維持のための審査は「維持審査」「更新審査」の2種類です。1・2年目に行われる維持審査ではISMSの継続運用を確認し、3年ごとに実施される更新審査では認証継続の可否を改めて判断します。
本記事では両者をまとめて「取得後もISMS認証を維持するため継続して受ける審査」として捉えます。
初回審査と維持に必要な審査とではどのような点が異なるか、解説していきます。以下の点に分けてまとめます。
・審査する内容・範囲の違い
・審査工数の違い
・費用の違い
順に見ていきましょう。
審査する内容・範囲に違いがあり、具体的には審査ごとに以下のようになっています。
・初回審査：構築したISMSが規格要求事項を満たし、実際に運用されているかを段階的に確認する
・維持審査：毎回すべてを同じ深さで見るのではなく、継続運用の状況を重点的に確認する
・更新審査：認証継続の可否を判断するため、維持審査より広い範囲の運用実績を確認する
維持のための2つの審査は、更新審査よりは軽めの内容になります。
審査工数にも違いがあります。初回審査は一次審査・二次審査と二段階で行われますが、維持・更新では同じ二段階方式を繰り返すわけではありません。ただし組織やISMSなどに重要な変更があった場合、一次審査が必要になることがあります。
維持審査は確認対象が絞られるため、初回・更新審査より審査規模が小さくなり工数も少ないのが一般的です。
審査費用は審査規模や工数と関係するため、初回・維持・更新で同じ金額になるとは限りません。
維持審査は初回審査・更新審査より審査規模が小さいため、費用も低くなるケースが一般的です。更新審査も初回審査より費用が低くなるケースが多くあります。
取得時には初回費用だけでなく、最初の更新までに発生する継続的な審査費用も確認しておくとよいでしょう。
なおISMSの維持負担には、内部監査やマネジメントレビューなど、ISMSそのものを維持する社内業務の費用もかかります。そういった社内業務にかかる費用も把握しておくことが不可欠です。以下、具体的に見ていきます。
まず運用にかかわるタスクがあります。
認証取得後もリスクや組織の状況を見直し、必要に応じて管理策や運用内容を更新することが不可欠です。また内部監査を実施し、ISMSが定めた仕組みに沿って運用され有効に機能しているかを社内で確認しなくてはなりません。そのほか、経営層によるマネジメントレビューを行い、ISMSの適切性や有効性、改善の必要性を確認することも含まれます。
上記のような作業負担があり、作業には一定の時間がかかる以上、作業時間に応じた人件費もかかることになります。
さらに審査時の対応も維持のために欠かせません。
定期審査に向けた事前準備としては、前回審査後のISMS運用状況や内部監査、マネジメントレビューなどの記録を整理します。審査当日は責任者や各部門へのヒアリング、現場確認などがあるため、関係者の時間確保も必要です。審査後に不適合を指摘された場合は、原因の確認と是正処置を行って結果を認証機関へ示す必要があります。
コンサルタントに依頼すれば作業の時間や労力を抑えることは可能ですが、外注費がかかります。内製の場合は時間・労力、人件費のすべてが必要です。
従業員や拠点・対象業務が増えれば、ISMSの適用範囲や審査工数に影響する可能性があります。複数サイトを一つの認証範囲に含める場合には、マルチサイトを前提とした審査上のルールも存在します。つまり、これらのケースでは自社の負担が増える可能性があるということです。
将来の拠点増加や事業拡大を予定している企業は、現在の組織だけを前提に審査機関を選ばないよう注意が必要です。作業をまとめられるような、負担軽減ができる審査機関か確認しておくとよいでしょう。
審査費用は審査を受ける側の条件に影響されます。つまり自社側の条件によっても審査費用が変わってきます。
たとえば、ISMSの対象となる要員数によって必要となる審査工数が変わります。サイト数、部門数、認証範囲、業務・利用技術の複雑性なども審査工数に影響する要因です。審査工程が増えれば、それに応じて費用も高くなる可能性が高まります。
このように同じ審査機関でも、自社の規模やISMSの状況が変化すれば維持・更新時の費用が変わる可能性があります。
また審査費用は審査機関によっても異なります。以下の理由が挙げられます。
大きな理由は、審査員の単価が審査機関ごとに異なることです。そのため、提示する条件をそろえても見積額に差が生じることがあります。ただし審査工数には一定の算定ルールがあります。
また審査機関によって審査員の確保・運用体制は異なり、ほとんどの機関は外部契約審査員を活用しています。審査員の体制が費用に影響するケースもあります。
審査料金とは別に交通費・宿泊費などが発生する場合もあり、料金体系や実費の扱いも含めた総額で比較することが必要です。
「安い／高い」だけでなく自社が取得後に何を重視するかで候補を絞ることが、審査機関選びの効率・判断の精度アップのために有効です。ISMS認証に対応する認証機関を確認したうえで、自社の目的に合う機関を選びましょう。
そのためには、相見積もりそのものではなく「相見積もりを取る相手をどう絞るか」がポイントとなります。自社が重視するポイント別の絞り方を以下で解説します。
維持コストを重視する場合は、初回審査だけでなく維持・更新までの料金や工数を事前に提示してもらえる審査機関を候補にするとよいでしょう。審査料だけでなく、登録関連費用や交通・宿泊費など、別途発生する費用の扱いまで確認してください。
最初の更新までを1つの期間として総額を比較すれば、初回だけの安さに左右されにくくなります。
自社の業界・事業への理解を重視する場合は、自社と近い業種・事業の認証実績を確認してその分野を審査できる要員を確保できるか問い合わせるとよいでしょう。認証機関には、審査対象組織の専門性を踏まえて必要な力量を備えた審査チームを編成することが求められるためです。
そのほか、認証取得組織の公開情報から自社に近い事業領域を審査している認証機関を探す方法もあります。過去に実績があれば理解度も高いことが期待できます。
審査を認証維持だけでなくISMSを見直す機会として活用したいなら、改善機会の提供に関する認証機関の方針を確認してみてください。
認証審査では個々の会社に具体的な改善方法を指導することはできません。しかし審査で把握した改善機会を示すことは認められています。Webサイトや審査方針・審査規則などで改善機会への考え方を確認し、不明なら見積もり・相談時に質問してみるとよいでしょう。
将来的に審査の範囲が広がる予定がある場合は、ケースごとに見るべき点が異なります。
複数拠点への展開予定があるなら、マルチサイト認証への対応実績や体制を持つ審査機関か確認します。ISO 9001やISO 14001なども取得予定なら、複数規格をまとめた統合審査への対応可否も比較材料になるでしょう。またクラウド関連など追加認証を予定している場合は、その認証にも対応する機関を選ぶと将来の選択肢を持ちやすくなります。
自社の予定に適した審査機関をチェックしてみてください。
ISMS維持審査の費用や体制は、審査機関選びの際に重要となります。自社がどのようにISMSを活用していきたいかによって選ぶべき審査機関の特徴が異なるため、確認すべきポイントも変わります。
この記事を参考に、ISMSの維持審査を確認してみてください。
SNSでシェアする
株式会社GCERTI-JAPANは
ISO審査機関です。
コラムの内容やISOに関することでお困りの際はお気軽にご相談ください。
ISO審査員がお答えします。
日々の審査を通じ、 知識の拡大に奮闘しております。 前職で培った丁寧さを持ち前に、お客様に寄り添う審査員として活動していきたいと思っております。
お問い合わせはこちら
06-6233-7878
