COLUMN

ISMSの審査員をめざすには、研修を受講し試験を受けて合格する必要があります。しかしそもそも試験問題がどのようなものなのか気になるものではないでしょうか。なお審査員補は審査員になるための手前の段階です。試験に合格しなければ審査員補になれませんが、審査員補になってもすぐに一人で審査ができるようになるわけではありません。

この記事では、ISMSの審査員補の試験問題について解説します。ISMSの審査員・審査員補になろうか検討中の方は参考にしてみてください。

ISMS審査員補の試験ではどのような問題が出る？

具体的な問題は試験によって異なるものの、審査員には「ISO27001についての知識」と「それを使って審査するための知識・技能」の両方が求められます。以下では試験ごとの個別の出題傾向ではなく、複数の審査員研修・試験に関係する主要な学習領域を説明します。

一つずつ見ていきましょう。

ISO27001の要求事項に関する問題

ISMS審査では、組織のISMSがISO27001の要求事項に適合しているかを評価するため、同規格を理解していることが基本になります。審査員向け研修でも、ISO27001の要求事項を審査の観点から理解することが主要な学習内容となっています。

そのため、試験対策では条文や箇条番号だけを覚えるのではなく、各要求事項が「組織に何を求めているのか」「審査では何を確認するのか」まで理解しておくが重要です。

附属書Aの情報セキュリティ管理策に関する知識

審査員は、附属書Aの管理策を単独で暗記するというより、リスクアセスメント・リスク対応・適用宣言書と附属書Aにある管理策との関係を理解することが重要です。ISO27001では、組織が情報セキュリティリスク対応に必要な管理策を決定する際、附属書Aと比較し、必要な管理策を見落としていないか確認することが求められるためです。

管理策を理解する際には、情報セキュリティ管理策の指針を示す規格ISO/IEC 27002がガイダンスとして役立ちます。なおISO/IEC 27002は認証を受ける規格ではありません。

審査の進め方や審査員の行動に関する知識

ISMS審査員は、ISO27001を知っているだけでなく、審査をどのように計画・実施し、証拠を収集して結論につなげるかという知識・技能も必要となります。

マネジメントシステム監査について「どのように審査するか」の指針は、規格ISO19011で示されています。ISO19011もまたISO/IEC 27002と同じく認証を受ける規格ではありません。

そのためISMS審査員研修ではISO27001の要求事項に加え、ISO19011に沿った監査の計画・実施・報告など審査員として必要となる審査方法についても学ぶことが一般的です。

なお、すでにQMSやEMSなど他のマネジメントシステムの審査員研修でISO19011を修了している場合には、ISMSへの拡張研修としてISO19011を含まずISO27001を中心に学ぶコースもあります。

不適合の判断など審査実務に関する問題

ISMSの審査員をめざす場合、規格の文章を覚えるだけでなく、具体的な事例から「何が事実か」「どの要求事項に関係するか」「どのような証拠を確認すべきか」を考える力が求められます。審査では、確認した事実を審査基準と比較し、適合しているか、不適合として扱うべきかを判断する必要があるためです。

ISO27001審査員研修では、講義だけでなく判断力を習得するためロールプレイやグループワークなどを取り入れている例もあります。試験対策でも、研修で扱ったケーススタディや演習を使って、判断の根拠を説明できるようにしておくことが大切です。

ISMS審査員補の試験問題はどこでも同じ？

すべてのISMS審査員向け試験で同じ問題が出るわけではありません。確かにISO27001やISO19011など共通して参照される国際規格はあります。しかしISOが世界共通の審査員筆記試験を実施しているわけではありません。

「研修会社ごとに自由に試験を作っている」でも「ISMS審査員試験はすべて共通」でもなく、「採用している登録・研修制度によって異なる」のが実態です。

例を挙げると、同じBSI（英国規格協会）が提供するISO27001審査員研修にも「JRCA承認」と「CQI and IRCA認定」があり、それぞれ異なる制度に対応しています。逆に同一制度内では研修会社が別でも共通試験となるケースもあり、たとえばJRCAではJRCA自身が筆記試験の問題作成・採点・評価を行います。

ISMS審査員補の試験形式・試験時間・合格基準

「ISMS審査員補試験は○時間・○点で合格」と一律には説明できません。以下のケースに分けて解説します。

一つずつ見ていきましょう。

JRCAの筆記試験

JRCAでは、JRCA自身が試験問題を作成し、採点・評価する筆記試験を実施しています。

ISMS筆記試験は「選択的設問」「空欄補充設問」「小記述設問」「総合記述設問」で構成されています。単純な選択式だけではありません。

CQI and IRCA認定研修の試験

CQI and IRCAにもISO27001審査員向けの認定研修があり、JRCAとは異なる研修・試験制度となっています。

問題は、多肢選択、複数回答、空欄補充、組み合わせ、並べ替えなどの形式で出題されます。後半には、実際の審査を想定した状況設定型の問題も含まれます。

出題内容は、①マネジメントシステム規格・システムの概念と原則、②監査の概念・監査員の責任、③監査の計画、④監査の実施、⑤監査の報告・クロージングの5分野です。

研修によって独自の試験を実施する場合もある

JRCAやCQI and IRCA以外の研修では、それぞれの仕組みに基づいて筆記試験・評価を実施している場合もあります。すでに述べたように、試験時間・合格基準までISOによって世界共通に定められているわけではないためです。

たとえば私どもGCERTIのISO27001主任審査員研修では、筆記試験を現地で実施し、「1規格60分・100点満点で70点以上」を合格基準としています。

自分が受験する研修について、試験方式・時間・合格基準・受験場所などを事前に確認することが必要です。

ISMS審査員補の過去問やサンプル問題は公開されている？

過去問・サンプル問題の公開状況も、試験実施主体によって異なります。「ISMS審査員補の公式過去問がある／ない」と一括りにはできません。

JRCAの場合、公式情報では、実際の過去の試験問題一式が「過去問」として公開されていることはありません。しかしISMS筆記試験の問題構成と出題範囲を公開しているため、何を学習すべきかは確認できます。

CQI and IRCAなど別の試験を受ける場合は、その試験実施主体や認定研修機関が案内する試験情報を確認することが必要です。

インターネット上で見つけた問題を自分が受験する制度の「過去問」と思い込まず、まず試験実施主体の公式情報で出題範囲・形式を確認するようにしましょう。

ISMS審査員補の試験は難しい？

「ISMS審査員補試験の合格率は○％」「難易度は○○」と一律には評価できません。

共通するのは、ISO27001の要求事項を覚えるだけではなく、要求事項を審査の場面でどのように適用するかという理解も求められる点です。初めてISO27001を学ぶ人にとっては専門用語や規格構造が難しく感じられるかもしれません。しかし一方で研修の内容以外も勉強するよりも、受講する研修の内容を理解し、演習を復習するだけで基本的な試験対策になります。

ISMS審査員補の試験に向けた勉強・対策方法

「過去問を暗記する」という方向ではなく、ISO27001を理解する→ 審査の進め方を理解する→ 事例に適用するという3段階で整理することが大切です。

順に見ていきましょう。

ISO27001の要求事項を理解する

最初にISO27001の規格構造を把握し、箇条4～10の各要求事項が組織に何を求めているのかを理解するようにしましょう。

要求事項の文言を覚えるだけでなく、どのような仕組み・記録・活動を確認すれば要求事項への適合性を評価できるかという観点を持つことが求められます。

附属書Aについても、管理策だけを独立して暗記するのではなく、リスクアセスメント、リスク対応、適用宣言書との関係を整理しておきましょう。

審査の流れとISO19011を理解する

ISO27001が「何を審査するか」に関係するのに対し、ISO19011はマネジメントシステムを「どのように監査するか」を理解するうえで重要な指針となります。

ISO19011:2026では、監査の原則、監査プログラムの管理、監査の実施、監査員の力量・評価などについて指針を提供しています。

審査計画→情報収集→証拠の評価→監査所見→監査結論・報告といった一連の流れを理解し、各場面で審査員が何をするのか整理しておきましょう。

研修の演習・ケーススタディを復習する

審査員には規格知識を具体的な審査場面に適用する力が必要なため、研修で行った演習・ケーススタディを重点的に復習しておくことが大切です。

事例について「確認できた事実」「関係する要求事項」「追加で確認すべき証拠」「不適合と判断する根拠」を整理する練習を行いましょう。

試験形式にかかわらず、なぜその判断になるのかを規格・証拠と結び付けて説明できる状態をめざしてください。

試験合格だけでISMS審査員補になれるわけではない

研修や筆記試験への合格と、審査員資格への登録、認証機関で実際に審査を担当することは分けて考える必要があります。

たとえばJRCAでは筆記試験の合格は審査員補登録の条件の一つであり、試験に合格しただけで登録手続きのすべてが完了するわけではありません。

CQI and IRCA認定研修についても、研修の合格証はIRCA審査員登録に必要な登録要求事項の「一部」について有効とされています。

さらに、第三者認証を行う認証機関にも審査員の力量を管理する仕組みがあります。

まとめ｜ISMS審査員補の試験は規格の理解と審査での判断力がポイント

これまで見てきたように、ISMS審査員補の試験は規格の理解と審査での判断力がポイントとなります。文言を丸暗記する勉強法ではなく、全体を理解して審査で判断に必要となる内容を自力で選び取れる状態をめざしましょう。

どの研修を受けるか選ぶ際にはさまざまな視点がありますが、試験問題や試験後の流れなども重要なポイントです。この記事を参考にして自分が納得できる研修を選んでみてください。