ISMSの内部監査とは？目的や進め方、チェックリストの活用方法を紹介

ISMS（情報セキュリティマネジメントシステム）認証の取得・維持には、組織・企業での内部監査が必須となります。

しかし、ISMSを取得したことがない組織・企業は、内部監査でどのようなことをすれば良いのか迷ってしまうのではないでしょうか。

あるいは、すでにISMS認証を取得している組織・企業の場合、内部監査の本来の目的が見失われ、単なるルールの1つとして形だけ行っているというケースも少なくありません。

そこで本記事では ISMSの内部監査とは何か、基本的な進め方や、適切な内部監査を行うための注意点などをまとめました。

ISMSの内部監査とは？

ISMSの内部監査とは、社内のルールや扱っている文書などが ISO/IEC 27001の要求事項を満たしており、決められたルールに沿って従業員たちが仕事ができているかをチェックすることです。ISMSを運用するPDCAサイクルの「C(Check)」に該当します。

内部監査の結果と組織トップによるマネジメントレビューによってISMSに改善すべき課題があると判断された場合は、是正措置を計画します。

内部監査はISMS認証取得および認証の維持に必要な工程です。

【関連記事】ISMSの内部監査とは？目的や進め方、注意点を紹介 

ISMSの内部監査で作成が義務付けられている書類

ISMSの内部監査で作成が義務付けられている書類としては、下記のものがあります。

• 内部監査計画

• 内部監査記録

• 内部監査報告書

これらの書類を作成し、記録を残すことは、ISMSが適切に運用され、継続的に改善されていることを証明するために不可欠です。

関連記事：【無料】ISMS構築に使える文書・記録のテンプレート！42種類のサンプル

ISMSの内部監査を行う理由・目的

なぜ ISMSの内部監査を行う必要があるのでしょうか。目的として、以下の2つがあります。

• 適合性の判定（監査基準＝規格に適合しているか）

• 有効性の判定（自社で定めたISMSのルールに則した取り組みができているか）

ISMSを構築して日が浅いうちは、従業員たちがルールを理解し、遵守しながら仕事ができているかを重視して判断します。運用に慣れてきたら、設けられた社内のルールや使っている文書の内容が適切か、その有効性を判断していきます。

このように内部監査を適合性・有効性の両面から実施することで、ISMSの目的が見失われ、ただルールだけが残っている状態になることを防げるでしょう。

【関連記事】ISO 27001（ISO/IEC 27001）の審査とは？受審までの流れや必要な記録・費用相場など

ISMSの内部監査の進め方

ISMSの内部監査は、一般的に以下の流れで進めていきます。

1.内部監査員の決定

まずは内部監査員の担当者を決めます。監査の公正さや客観性の観点から、原則として監査対象となる部門に所属している人を内部監査員にすることはできません。

2.内部監査の計画立案

内部監査員決定後は、監査計画では、下記項目に関して計画を立案します。

• 監査基準（どの規格や法・ガイドラインに準拠していることを確認するか）

• 対象範囲

• 日付

• 担当者

3.監査チェックリストの作成

内部監査員がチェックリストの作成を行います。チェックリストをあらかじめ用意しておけば、どのような点を見れば良いのかがすぐに分かるため、監査の効率化ができます。また文書として残しておくことも可能です。チェックするべき項目は組織や部門によって異なります。チェックリストのサンプルを配布しているサイトもあるので、参考にしながら自社に沿った項目に修正しながら作成しましょう。

参照：ISOマネジメント研究所

4.内部監査の実施

計画に沿ってチェックリストを使いながら監査を行います。

5.監査報告書の作成

監査が終わったら、結果を監査報告書としてまとめましょう。監査報告書は企業・組織のトップに運用状況を報告する「マネジメントレビュー」に使われ、ISMSの最適化をするための判断材料になります。

【関連記事】ISMSの内部監査員とは？決めるときのポイントや注意点

ISMSの内部監査チェックリストの活用方法

ISMSの内部監査を実施する方法は様々ありますが、一般的な方法としてチェックリストを用いた監査があります。チェックする項目の一覧リストを作り、それを元にISMSの運用状況を確認したり、ISMSの担当者や監査対象の人に質問をしたりする方法です。

チェックリストを活用することによって、

• 監査するべき範囲やポイントが明確になる

• チェックの抜け漏れを減らせる

• 内部監査員ごとの偏った評価を防止できる

• 内部監査を行った文書記録になる

のようなメリットがあります。一方、デメリットとしては、監査員の知見や力量に応じた柔軟な監査ができないことなどがあります。

【関連記事】ISMS内部監査のチェックリストを作る際の注意点は？リストを使うメリット・デメリットも紹介

ISMSの適切な内部監査を行う際の注意点

例えば、ISMS認証を維持するためだけに内部監査を行っていると、ただルールだけが残ってしまい、ISMSの問題点を見つけ、適切な運用ができるよう改善していくという目的が見失われがちです。

そこで、ここではISMSの内部監査を行うに当たっての主な注意点を紹介します。

ISMSの内部監査を行う際に注意すべき点は企業・組織の特性によって異なりますが、共通している部分はあります。

ルールが適切かを確認する

ルールに沿ってISMSを運用できているかだけではなく、ルールそのものが適切なのかを判断することも重要です。適切なルールを設定できていれば、従業員からのISMSに対する理解を得やすくなります。

ISMSに指摘事項があった場合、一概にルールを守れなかった従業者が悪いとは言い切れません。指摘事項をきっかけに周知不足やルールの難解さ、遵守困難なルールであること、業務非効率などの問題発見にもつながります。

内部監査の責任者と監査対象となる部門の責任者を同格にする

内部監査の責任者と監査対象となる部門のISMS担当者が同格になるよう調整しましょう。

例えば、内部監査の責任者より対象部門のISMS担当者の方が優位の立場にある場合、改善点を見つけたとしても立場の違いから指摘が難しくなってしまう可能性があります。

このような力関係によって適切な内部監査ができない状態を避けるために、各責任者は同格になるよう調整することをおすすめします。

監査対象の部門と接点の無い人を内部監査員にする

監査対象となる部門と普段から接点が多い人を内部監査員にすると、改善点を指摘したことから関係性が悪化し、通常業務に支障が出ることを恐れて適切な監査ができなくなる場合が考えられます。

普段から接点がなく、監査対象部門と利害関係に無い人を内部監査員としましょう。

ISMSおよび内部監査の重要性を周知させる

ISMSおよび内部監査の重要性を従業員が理解していないと、形だけのルール・監査になってしまいがち。ISMSの重要性を周知させ、全従業員が ISMS の運用に協力的な雰囲気づくりを行いましょう。

その際に有効な方法としては、定期的にISMSに関する研修を行うことや「外部監査（審査機関による監査のほか、取引先や顧客を監査員として実施。取引先や顧客が自社にどのようなレベルを求めているのかが明らかになり、従業者としてはその要求を達成する＝事業目的の達成という理解が促進される）が挙げられます。

SecureNaviを活用して、ISMS認証の取得や運用を効率化しましょう！

ISMSの内部監査とは何か、基本的な進め方や、適切な内部監査を行うための注意点などを紹介しました。ISMSの内部監査は、ISMS認証の取得・維持に必須の工程です。これから認証取得をお考えの組織・企業の皆様は、本記事を参考に流れをご確認いただければと思います。
既にISMS認証を取得されている組織・企業の皆様も、この機会に現在の内部監査が有効に機能しているか、改めて見直す良い機会としていただけると幸いです。

『SecureNavi』は 内製でのISMSの運用を効率化するクラウドサービスです。ISMSの運用における非効率な活動を効率化するだけでなく、不明点をサポート担当に相談できる他、ISMSに関する様々な文書や情報をツールに集約して一元管理できることなどから、多くの企業で導入いただいております。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得や運用にご活用いただけそうかご確認ください。