ISMSの審査で落ちる可能性は？【落ちるケース・不適合になりやすいポイントを解説】

ISMSの審査を前に、「もし落ちたらどうしよう」と不安を感じている担当者の方もいるのではないでしょうか。
結論から言えば、重大な問題を放置していない限り、ISMS認証が受けられないケースは多くありません。

ただし、審査の過程で不適合を指摘され、再審査となることは十分にあり得ます。
この記事では、ISMS審査で落ちる可能性や不適合となりやすいポイント、適切な対処方法についてわかりやすく解説します。

ISMS審査に落ちて認証が受けられないことはほとんどない

ISMS審査に対して「落ちるのでは」と不安に感じる方は少なくありません。しかし実際には、認証が受けられないケースは非常に限定的であり、重大な問題を放置している場合を除けば過度に心配する必要はありません。もし“重大な不適合”によって再審査となった場合でも、適切に是正すれば認証に至るケースがほとんどです。

とはいえ、例外的に認証に至らないケースも存在します。主なケースは以下の通りです。

それぞれの詳しい内容について、順に見ていきましょう。

ISMSの構築・運用が不十分

ISMSの審査で認証に至らない大きな要因の一つが、そもそも仕組みの構築や運用が十分でないケースです。例えば、情報セキュリティ方針が明確に定められていない、必要な規程類が整備されていないといった場合は、ISMSの“土台そのもの”に問題があると判断されます。

また、ルールを定めていても、記録や台帳に不備がある、内容が更新されていない、リスク評価が実施されていないなど、実際の運用が伴っていなければ不適合につながります。いずれも、根本的な見直しと改善を行ったうえで再審査となるのが一般的です。

是正処理が不十分

一度不適合を指摘された後の是正処置の内容も重要な評価ポイントとなります。
具体例として、問題の根本原因を把握できていないまま表面的な対応にとどまっている場合や、対処内容が不十分・曖昧な場合は、「是正処理が不十分」と判断されます。

このようなケースでは、再度是正対応を求められたうえで再審査を受けることになりますが、対応には期限が設けられているため注意が必要です。

審査に非協力的

審査中に質問へ回答しない、正当な理由なく不適切な対応を取るなど、“非協力的な姿勢”は大きな問題となります。

現場の状況によってすぐに対応できないことは珍しくありませんが、組織全体が協力的であることが前提です。非協力的な社員が多いと正確な審査ができず、評価にも影響します。もちろん、審査を妨害するような行為は論外です。

大きな情報セキュリティインシデントが発生

まれなケースですが、審査中に重大な情報セキュリティインシデントが発生した場合、認証に影響する可能性があります。また、過去に大きなトラブルが繰り返し発生している場合も、ISMSが適切に運用されていないと評価されることがあります。

ただし、過去にインシデントがあっても、原因を特定して是正処置を行い、その後再発していない場合は、認証に至るケースが一般的です。

費用の未払い

審査費用が支払われていない場合、そもそも審査や認証を行うことができなくなります。支払いに関する連絡や確認があっても対応しなかった場合は、認証に至らないと考えてよいでしょう。

これはある意味当然のことであり、基本的な契約や社会的ルールを守れていない状態は、組織としての信頼性を大きく損なう要因となります。

ただし不適合で再審査になることはある

最終的に認証に至らないケースはまれですが、「不適合」を指摘されて再審査に進むことは決して珍しくありません。不適合とは、規格で求められている要求事項を満たしていない状態を指します。

ただし、不適合を過度に恐れる必要はなく、“改善のための指摘”と捉えることが大切です。適切に対応すれば、認証取得に大きく影響するものではありません。

なお、不適合の原因を根本から解消するための対処は「是正処置」と呼ばれます。

是正処置については、以下の記事でも詳しく解説しています。
ISOで求められる是正処置とは？

軽微な不適合と重大な不適合

不適合は大きく「軽微な不適合」と「重大な不適合」に分けられます。再審査が必要となるのは、主に重大な不適合を指摘された場合です。

ISMS審査の全体像については、以下の記事でも詳しく解説しています。
ISMSの審査の全体像を把握したい！概要をISO審査員が解説します

ISMSの審査で不適合になりやすいポイント

基本的な仕組みが整っていても、運用面での不備によって不適合を指摘されるケースが見られます。特に以下のようなポイントは見落とされやすいため注意が必要です。

それぞれのポイントについて、順に詳しく見ていきましょう。

運用・ルールの形骸化

ISMSではルールを定めるだけでなく、実際に運用されていることが重要です。しかし、現場ではルールが守られていなかったり、更新すべき内容が放置されていたりするケースが少なくありません。

このような状態は不適合につながりやすいため注意しましょう。

アクセス権限の定期レビューの不備

情報資産へのアクセス権限は、定期的にレビューを行うことが求められます。また、社内の異動や退職などのタイミングでも、不要な権限の削除や変更が必要です。これらが適切に実施されていない場合、不正アクセスや情報の改ざん、持ち出しといったリスクが高まります。

形式的に権限を付与するだけでなく、継続的に管理・見直しが行われているかがポイントです。

教育・訓練の記録不足

教育や訓練を実施していても、その内容が記録として残されていなければ、不適合と判断されることがあります。例えば、受講者・実施日時・教育内容が記録されていない、教育結果の評価が行われていないといったケースです。

また、そもそも教育自体が実施されていない場合は当然ながら不適合となります。全従業員への教育が網羅されていない、新入社員への教育が未実施といった状態は避けましょう。

不適合になった場合は是正処置を取る

もし不適合を指摘された場合は、単なるミスとして片付けるのではなく、改善するためのよい機会と捉えて適切に是正処置を行うことが大切です。

スピードと対応の質の両方が求められるため、計画的に是正処置を進めるようにしましょう。

まとめ

ISMS取得期間は「最短4ヶ月、一般的には6ヶ月～1年」が目安です。
また、最短取得を狙う場合は、「早いコンサル会社×早い認証機関」を選ぶことがもっとも効果的で、準備期間・審査期間のどちらもムダなく進められます。

ただし、自力取得の場合は、担当者の経験やツールの活用度、社内の協力体制によって期間が大きく変わるので、内部の整備をどれだけ進められるかがカギになります。

ISMS取得は「時間戦略」で差がつく──。つまり、最短ルートを知ることが、取得成功への第一歩です。