ISMSの内部監査員とは？決めるときのポイントや注意点 

ISMS(情報セキュリティマネジメントシステム)認証を取得するまでのフローに「内部監査」が含まれます。

内部監査とは、自社や部署ごとに決めたルールがきちんと守られ、適切な ISMS運用ができているかを判断する工程のことです。この内部監査を行う人を「内部監査員」と呼びます。

本記事では、内部監査員を決めるときのポイントを中心に紹介します。

ISMSの内部監査については、こちらの記事で流れをまとめています。
ISMSの内部監査とは？目的や進め方、注意点を紹介 

ISMSの内部監査員とは？

ISMSの内部監査員とは、社内のルールを従業員たちが理解・遵守しているかをチェックし、結果をトップマネジメント（経営層）に報告する人のことです。

ISMSはPDCAサイクルに沿って運用・改善していきます。PDCAサイクルの内、C(Check) が内部監査にあたり、この内部監査を担当し、ISMSや社内ルールが適切に運用・守られているかを確認するのが、ISMS内部監査員の主な役割となります。

ISMS認証取得をお考えですか？SecureNaviなら簡単に認証取得を目指せます！
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviの資料を見てみる

内部監査員を決めるときのポイント

内部監査員を決めるときは、どのような基準で選出すればいいのでしょうか。

以下のポイントに当てはまる人が、内部監査員として適任でしょう。

• ISO/IEC 27001の内容を理解している人

• ISMSの内部監査に関する知識を持っている人

• 社内（ISMS適用範囲にあたる部署など）のルールを把握している人

• 監査対象となる部署（日常業務で連携することの多い部署）以外の人

• 監査対象となる部署の業務内容を把握している人

ISO/IEC 27001の内容を理解している人か

ISMS認証を取得するための審査では、ISMSの国際規格である ISO/IEC 27001の規定に沿った ISMSを構築・運用できているかが審査されます。内部監査の段階で ISO/IEC 27001に基づいた ISMSが構築・運用できているかチェックするためにも、内部監査員は ISO/IEC 27001 の内容を理解している人であることが理想的です。

ISMS の内部監査に関する知識を持っている人か

可能であれば、ISMS の内部監査員の経験がある人や、 ISMS 認証の取得業務を行ったことがあり、内部監査の知識を持っている人を選ぶと良いでしょう。すでにノウハウがある人であれば、比較的スムーズかつ適切に内部監査を行えると考えられます。

社内（ ISMS 適用範囲にあたる部署など）のルールを把握している人か

社内や ISMS 適用範囲にあたる部署などのルールをしっかり把握している人が、内部監査員として適任です。ルールを把握している人であれば、従業員がルールを守れているか判断しやすいと考えられます。まだ入社したばかりで社内ルールを把握できていない人が内部監査員を務めるのは難しいでしょう。

監査対象となる部署（日常業務で連携することの多い部署）以外の人か

内部監査員は、監査対象となる部署に所属していない人、または日常業務で連携することが少ない部署の人にしましょう。監査対象の部署や関連部署の人だと、ルールがあることで日常の業務が滞る可能性を考えて、適切な監査をしない可能性があります。関連しない部署の人であれば、フラットな視点で監査が行えるでしょう。

監査対象となる部署の業務内容を把握している人か

内部監査員は監査対象となる部署に所属していない人が適任ですが、一方でその部署の業務内容を把握している人であることが理想です。業務内容を踏まえて ISMS の運用が適切にできているか判断を下すことができるでしょう。

社内で内部監査員に最適な人材が見つからない場合は？

ここまでに紹介した「内部監査員を決めるときのポイント」に該当する人材が見つからないケースも考えられます。

その際は、以下の対策を取りましょう。

内部監査員の研修を行う

必ずしも社内に ISMS の内部監査に適した人がいるとは限りません。そこで、既存の従業員に研修を受けてもらい、内部監査員を育てるという方法があります。

研修を受けて育成するというフローは時間がかかるかもしれませんが、社内に ISMS の内部監査ができる人が育てば、今後内部監査を行うときもその人に担当してもらうことで、対応できます。

内部監査員育成を目的とした研修サービスを行っている企業があるので、そちらを活用するのがおすすめです。

社外の専門家に依頼する

社外の専門家に依頼し、ISMS の内部監査を行ってもらうという方法もあります。社内の人間同士で監査をするとチェックが甘くなる可能性などを踏まえ、あえて外部の専門家に依頼する企業も少なくありません。

社内に内部監査員として適切な人材がいなかったとしても、社外の専門家を利用すれば育成の手間をかけずに、すぐ内部監査を行える点もメリットといえるでしょう。

適切な内部監査員を選定しよう

ISMS の内部監査は、ISMS の運用はもちろん ISMS 認証を取得する際にも欠かせないフローです。適切な ISMS 内部監査員を選出し、実施することが求められます。

内部監査員に見合う人材が社内で見つからないときは、研修を実施して人材を育成したり、社外の専門家に依頼するなどの方法を取りましょう。

ISMS 認証については、こちらの記事で解説しています。
ISMS （情報セキュリティマネジメントシステム）とは？基礎知識を徹底解説