ISOの不適合とは？具体例や審査で指摘された場合の対応を解説

ISO審査で「不適合」を指摘されると、「認証を取得・維持できないのでは」と不安を覚える方もいるのではないでしょうか。しかし、不適合は要求事項を満たしていない状態を示すもので、指摘された時点で認証不可になるわけではありません。重要なのは、なぜ不適合と判断されたのかを認識し、適切に対処することです。

この記事では、ISO9001・ISO14001・ISO/IEC 27001の具体例を交えて、不適合の種類から指摘後の対応、再発を防ぐポイントまで幅広く解説します。

ISOにおける「不適合」とは

ISOにおける「不適合」とは、基本的に“要求事項を満たしていない状態”を指します。ここでいう要求事項は、ISO規格の条文だけではありません。自社に適用される法令や規制、自社内で定めた規程・作業手順などが守られていない場合も、不適合に該当します。

また、不適合は認証機関による審査で指摘されるものとは限りません。日常業務での点検や記録の確認、内部監査などを通じて発見されるケースもあります。

ISOで不適合となる具体例

規格を問わず見られる不適合には、次のようなものがあります。

このほか、規格の目的や要求事項によって不適合の現れ方は異なります。
ここからは規格ごとの具体例を見ていきましょう。

ISO9001における不適合の例

ISO9001では、顧客要求を満たす製品・サービスを安定して提供できる仕組みが求められます。不適合の例としては、次のようなものがあります。

いずれも、要求どおりの製品を提供するための管理が適切に機能していない状態です。

ISO14001における不適合の例

ISO14001では、事業活動が環境へ与える影響を把握し、法令順守や緊急事態への備えを適切に管理することが求められます。不適合の例としては、次のようなものがあります。

これらは、環境リスクを把握し、継続的に管理する仕組みが十分に機能していない状態です。

ISO/IEC 27001における不適合の例

ISO/IEC 27001では、情報セキュリティリスクを評価し、必要な対策を継続的に運用することが求められます。不適合の例としては、次のようなものがあります。

いずれの場合も、リスク評価やルールが形骸化し、情報セキュリティ対策の実効性を確保できていない状態です。

重大な不適合と軽微な不適合の違い

不適合は、マネジメントシステムが意図した結果を達成する能力にどの程度影響するかによって、「重大」と「軽微」に区分されます。

なお、「観察事項」「改善の機会」などの名称や位置づけ、運用方法は認証機関によって異なります。

ISO審査で不適合を指摘されるとどうなる？

ISO審査で不適合を指摘されても、それだけで直ちに認証を取得・維持できなくなるわけではありません。軽微な不適合の場合は、原因を分析したうえで、修正内容や再発防止に向けた是正処置の計画を認証機関へ提出し、確認を受けることがあります。

一方、重大な不適合では、是正処置の実施状況について、追加の書類審査や再訪問による確認が必要になる場合もあります。認証の判定や取得時期への影響も大きくなるため、指摘内容を正確に把握し、期限内に対応することが求められます。

ISOの不適合を指摘された場合の対応

不適合を指摘された際は、目の前にある問題を修正するだけでなく、原因を明らかにし、再発を防ぐところまで対応する必要があります。

基本的な流れは、「内容の確認→修正→原因分析→是正処置→有効性確認」の5段階です。
ここからは、各段階で取り組むべきことを順に解説します。

不適合の内容を確認する

まず、審査報告書をもとに、どの要求事項を満たしていないと判断されたのかを確認します。
次に、審査員が確認した事実や対象となった記録、発生した部署・時期などの客観的証拠を整理し、指摘内容との認識にずれがないかを確かめましょう。

このとき、表面化したミスや記録不足だけを見るのでは不十分です。どの業務プロセスや管理の仕組みに問題があるのかまで把握することが、その後の原因分析と適切な是正処置につながります。

不適合を修正する

内容を確認したら、不適合がこれ以上影響を広げないよう管理し、必要に応じて速やかに修正します。「修正」とは、検出された不適合そのものを取り除くための処置です。

ただし、修正するだけでは同じ問題が再発する可能性があります。不適合が生じた“原因そのもの”を取り除き、再発を防ぐ「是正処置」とは区別して考えることが重要です。

不適合の原因を分析する

修正後は、なぜ不適合が生じたのかを掘り下げ、根本的な原因を明らかにします。「担当者が忘れた」「確認が漏れた」といった個人の行動だけを原因として終わらせると、同じ問題が再発しかねません。手順が分かりにくかった、教育が不足していた、責任者や確認方法が決まっていなかったなど、仕組みの面から分析することが重要です。

また、同様の原因による不適合がほかの部門や業務にも存在しないか、対象範囲を広げて確認するようにしましょう。

是正処置を実施する

原因が明らかになったら、その原因を取り除き、同じ不適合の再発を防ぐための是正処置を決定・実施します。例えば、手順が曖昧であれば手順書を改訂し、知識不足が原因であれば教育を行うなど、原因に直接対応する方法を選ぶことがポイントです。単に「注意する」「周知する」で終わらせず、担当者や実施期限、確認方法まで具体化しましょう。

また、同じ仕組みを使う他部門や類似業務にも問題が生じるリスクがある場合は、是正処置を横展開します。

是正処置の有効性を確認する

是正処置は、実施しただけで完了ではありません。一定期間の運用後に、同じ不適合が再発していないかを確認し、処置が有効に機能しているかを評価します。

想定した効果が得られていない場合は、原因分析が適切だったか、処置内容が有効だったのかを再検討し、必要な追加対応を実施しましょう。確認結果を記録として残すことも重要です。

内部監査で不適合が見つかった場合も対応が必要

内部監査では、ISO規格の要求事項や自社の規程・手順と、実際の業務運用や記録が一致しているかを確認します。その結果、要求事項を満たしていない客観的な事実が確認された場合は、不適合として扱い、原因分析や是正処置を行う必要があります。

“指摘して終わり”ではなく、処置の実施状況や有効性を継続してフォローすることも大切です。内部監査で問題を早期に発見・改善することで、外部審査での指摘を減らし、マネジメントシステムの改善につなげられます。

ISO9001の「不適合な製品・サービス」と審査の不適合は同じ？

同じ「不適合」という言葉ですが、意味も対象もまったく異なります。一言で言えば、前者は「できたモノ・サービスの欠陥（日常のNG）」であり、後者は「組織のルールや運用の欠陥（仕組みのNG）」です。それぞれの違いを整理すると以下のようになります。

この2つを混同すると、日常の不良品が出るたびに大がかりなルール変更をすることになり、現場の仕事が余計に増えてしまいます。だからこそ、モノの不具合（日常のNG）と、仕組みの不具合（審査のNG）は、明確に区別して対応する必要があります。

ISOの不適合を減らすためのポイント

ISOの不適合を減らすには、審査直前だけ書類を整えるのではなく、日常的に運用とのずれを確認することが重要です。内部監査を活用し、規格や自社ルールの要求事項と、現場の手順・記録が一致しているかを定期的にチェックしましょう。

また、過去の不適合と是正処置を振り返り、同じ問題が再発していないかも確認します。指摘箇所だけを直すのではなく、共通する仕組みを使う他部門や類似業務にも確認と対策を水平展開することで、再発や見落としを防ぎやすくなります。

まとめ

ISOにおける不適合とは、規格や法令、自社ルールなどの要求事項を満たしていない状態です。

審査で指摘されても、直ちに認証不可となるわけではありません。大切なのは、表面的な問題を修正するだけで終わらせず、原因を分析し、再発防止のための是正処置と有効性確認まで着実に進めることです。内部監査や過去の事例も活用すれば、不適合は“組織の弱点に気づく貴重な機会”になります。

指摘を前向きな改善につなげ、より信頼されるマネジメントシステムへ育てていきましょう。