Pマーク（プライバシーマーク）の審査とは？基本的な流れを紹介 

デジタル時代において、プライバシーの保護は極めて重要な課題です。このような時代において、Pマーク（プライバシーマーク）は、企業や団体が個人情報を適切に管理していることを示す重要な証明になります。この記事では、Pマーク審査の基本的な流れを紹介します。

Pマーク（プライバシーマーク）の審査とは

Pマークの審査は、個人情報の保護に適切に取り組む組織や事業者が、その取り組みが基準に適合していることを外部に証明するための手続きです。Pマークを取得する場合、必ず審査を受ける必要があり、「書類審査」と「現地審査」の2つの審査を通過する必要があります。

Pマーク（プライバシーマーク）の審査基準と審査内容

Pマークの審査基準は、「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」に基づいて実施されます。企業が個人情報を適切に管理・保護する体制を整えているかを確認するため、申請書類の形式、内部規定、実際の現場での運用状況が主な審査内容となります。なお、審査機関によって審査の質や付与までの期間に若干の違いが生じる場合があります。

【関連記事】Pマーク（プライバシーマーク）審査機関とは？選定のポイントや料金相場を紹介

Pマーク（プライバシーマーク）審査の基本的な流れ

ここからは、Pマーク取得のための審査の基本的な流れを紹介します。

【関連記事】Pマーク(プライバシーマーク)取得の方法・流れを紹介

審査機関の選定

まずは、審査を依頼する審査機関の選定を行います。事業内容によっては特定の審査機関でしか対応していない場合もありますので、注意してください。その例を紹介します。

• 保健・医療・福祉分野の事業者→MEDIS（医療情報システム開発センター）

MEDISは、保険・医療・福祉分野の事業者がPマークの審査を受ける際の申請先です。
ただし、審査の対象となるのはMEDISの会員になっている事業者のみとなっています。

• 情報サービス関連の事業者→JUAS（日本情報システム・ユーザー協会）・JISA(情報サービス産業協会)

JUASに審査をしてもらうには、 入会金3万円、年会費1万円（※正会員Cの場合）を支払い、正会員になる必要があります。​ JUAS会員区分にはA～Cの3種類があり、正会員Cになれば、Pマーク審査を受けられます。

JISAも、正会員だけが審査を受けることができます。年会費は、事業者の規模により段階別に設定され（基本会費10段階と付加会費15段階）、入会金は年会費の半額に設定されています。 

地方に本社がある事業者は、JIPDECが地域ごとに指定したプライバシーマーク指定審査機関（例：関西情報センター、中部産業連盟など）を利用し、審査を受けることが可能です。

上記以外の事業者は、プライバシーマークそのもの提供・運営組織であるJIPDEC(日本情報経済社会推進協会)の審査・認証を受けることができます。 

Pマーク基本方針の策定

審査を受ける前に、組織はPマーク基本方針を策定します。これは個人情報の取り扱いに関する基本的な方針であり、組織がどのように個人情報を取り扱っていくかを示すものです。

その後、JIS Q 15001の要求事項に沿ったPMS（個人情報保護マネジメントシステム）を構築・運用します。

JIS Q 15001については、こちらの記事でまとめています。
JIS Q 15001とは？プライバシーマーク制度（ P マーク）や ISO/IEC 27001との違いを解説

リスクアセスメントの実施

 個人情報保護に関するリスクアセスメントを行い、組織にとっての重要なリスクを特定します。

規定・ルールの整備

個人情報保護に関する規定とルールを策定し、従業員に対してこれを周知徹底させます。

トレーニングと教育

関係者に対して個人情報保護に関するトレーニングと教育を提供します。これにより、組織全体での個人情報保護への理解と意識を向上させます。

公表・通知文書の整備

Pマーク取得にあたり、社外に公表する文書の整備も行います。

内部監査の実施

組織は内部で監査を実施し、Pマークに必要な要件を満たしていることを確認します。これは、個人情報の適切な取り扱いや情報セキュリティ対策の評価を含みます。

申請

審査に必要な書類を準備した後、審査機関へ送付し、文書審査を受けます。

審査に必要な書類の例を挙げます。

• 基本方針書：組織の個人情報の取り扱いに関する基本的な方針をまとめた文書です。組織の意向やコミットメントを示すものとなります。

• 個人情報保護マネジメントシステム文書の一覧：組織が策定・遵守している個人情報保護マネジメントシステムに関する文書の一覧です。

• 内部監査報告書：組織が実施した内部監査の結果や、その改善策についてまとめた報告書です。

• 個人情報保護関連規程や規定：組織が策定・遵守している個人情報保護に関する規程や規定を含む文書です。

• 教育・内部監査・マネジメントレビュー実施サマリー：組織内で実施されている個人情報保護に関する教育、内部監査、およびマネジメントレビューの実施結果の概要です。

審査員による現地審査

審査員が組織を訪れ、基本方針や内部監査の結果を確認します。審査員はJIS Q 15001の基準に基づき組織の実態を確認し、認定審査が適合とみなした場合、組織はPマークの認定を受けることができます。これにより、組織が個人情報の適切な管理を行っていることが外部に示されます。

現地審査の内容は、主に以下の通りです。

• トップインタビュー：トップマネジメントに対して、業務内容、従業員数、Pマーク取得のきっかけなどをインタビューする。

• PMSの運用状況の確認：各担当者にPMSに関するヒアリングや記録類の確認をします。

• 現場での実施状況の確認：各現場において定めたルール通り、業務や個人情報の保護対策が実施されているかの確認をします。

Pマークの審査は定期的に行われ（Pマークの有効期限である2年ごとに更新審査を受ける必要あり）、組織は継続的に個人情報の保護に努めることが求められます。

【関連記事】Pマーク(プライバシーマーク)の更新審査の流れ、必要書類や費用を紹介

申請から審査終了までにかかる期間

申請から審査終了までにかかる期間は、各段階の進行状況によって異なります。一般的に、書類を提出してから申請が受理されるまでに約1ヶ月かかります。

その後、受理から文書審査が終了するまでに約1.5ヶ月を要します。文書審査の結果が通知されてから現地審査が行われるまでは約1ヶ月が目安となります。

【関連記事】Pマーク（プライバシーマーク）の有効期間、取得にかかる平均期間を紹介

審査後の対応と指摘事項の改善

現地審査が終了すると、指摘事項が記載された文書が審査機関から発行されます。審査中に指摘された事項については、改善内容をまとめた書類を作成し、審査機関へ提出する必要があります。

改善報告書の1回目の提出期限は、指摘事項文書発行日より6ヶ月以内と定められています。すべての指摘事項に対して適切に対応を完了させることで、Pマークの付与へと進みます。

Pマーク現地審査（初回認証取得時）のスケジュール

では、Pマークの現地審査のスケジュールをご紹介します。質問内容も含め、概ねこのようなスケジュールを想定しておくとよいでしょう。

■初回認証取得審査：現地審査

※あくまでも一般的な参考事例です。企業規模によって各審査項目に必要な時間は変動します。

Pマーク（プライバシーマーク）の審査で不合格になる場合はある？

Pマークの審査で不合格になるケースはほとんどありません。ただし、以下のような場合、不適合とされてしまう可能性があります。

• 審査費用の未払い

• 書類に虚偽の内容が含まれている

• 適切なPMS（個人情報保護マネジメントシステム）の構築・運用ができていない場合

不合格と見なされた場合、審査が打ち切られ。場合によっては一時的にPマーク取得の申請ができなくなるとなることもあります（3カ月〜1年程度）。

しかし不合格になっても、指摘事項について期限内に対応することで、通過できる見込みがあります。

Pマーク（プライバシーマーク）の審査に必要な費用・審査料

Pマークを取得または更新する際には、審査料金などの費用が発生します。具体的に必要な費用は、「申請料」「審査料」「付与登録料」の3種類です。

これらの金額は、企業の従業員数や資本金に基づく事業者規模（小規模・中規模・大規模）によって異なり、新規取得か更新審査かによっても設定されている料金が変わります。事前に自社の規模を確認し、必要な予算を把握しておきましょう。

Pマーク（プライバシーマーク）の取得はメリットが多い

Pマークを取得することは、企業などの組織がプライバシー保護に対して真剣に取り組んでいることを外部に示す効果的な手段です。適切な施策を実践し、Pマーク審査を通過することで、企業や団体は信頼性を高めることができます。

その他、Pマークを取得するメリットについては、こちらの記事で解説しています。ぜひご覧ください。
Pマーク(プライバシーマーク制度)とは？取得のメリットや費用、具体的な取得方法を解説

SecureNaviのオートメーション機能ならISMS認証やPマークの取得・維持がカンタンに！

SecureNaviは、従来のExcelやWordを中心としたアナログな運用を排除し、セキュリティ体制の構築から運用までをクラウド上で一元化・自動化します。

初めての担当者でも迷わず作業を進められる仕組みと手厚いサポートで、形骸化しない自社に最適な体制を最小限の工数で構築することが可能です。

ここからは、SecureNaviが選ばれる3つの理由をご紹介します。

クラウド一元管理による業務効率化

SecureNaviは、Pマークの取得からその後の運用までを、一貫して自動化・効率化できるクラウドサービスです。これまで必須とされていた数十種類の規程や台帳をデータとしてクラウド上で一括管理できます。登録した情報を更新するだけで審査に必要な文書にも自動反映される仕組みになっており、文書の更新漏れを防ぎます。

これにより、大量のExcelやWordを用いた煩雑なファイル作成や管理の手間を大幅に削減でき、担当者の業務負担を減らしながら、最小限の工数とリソースでスムーズなPマーク取得が可能になります。

ガイドに沿って進めるだけで初心者でも簡単

SecureNaviのシステムでは、わかりにくく複雑なPマーク取得に向けた取り組みを、約30のステップに体系化して提供しています。各ステップごとに案内される必要な入力や選択を行っていくだけで、審査に向けた準備が自然と完了する仕組みです。

画面上には取得までのロードマップと現在の進捗率が可視化されており、次に取り組むべき課題が一目でわかります。そのため、専門的な知識がない初心者の方でも「今何をすれば良いのか分からない」という状態に陥ることなく、迷わず着実に作業を進めることができます。

充実したサポート体制で運用を支援

システムを提供するだけでなく、困ったときにいつでもコンサルタントに直接相談できるチャットサポートや、導入時のキックオフMTGなど、手厚い支援体制を整えています。専門知識に自信がなくても、実践的なマニュアルや具体例を交えた解説動画などの豊富なヘルプコンテンツを活用することで、理解を深めながら着実に運用を進められます。

さらに、コンサルタントとの定期的な打ち合わせを通じて、自社の状況に合わせた個別の支援を受けることも可能です。途中で挫折することなく運用体制を構築できます。

SecureNaviの導入事例

実際にSecureNaviを活用して、少ないリソースでPマークの取得や運用の効率化を実現した企業様の事例をご紹介します。専門的な知識がない状態からでも、システムとサポートを活用することで自社主導での体制構築を成功させています。

シルタス株式会社様：未経験かつ兼務でPマークを取得

従業員数50名以下の同社では、Pマーク取得を専任で担当する人材を置くことが難しく、効率の良い取得方法を模索していました。コンサルティングサービスの利用も検討しましたが、会社に知識や資産が残らない点を懸念し、ツールに従って自走できるSecureNaviの導入を決定しました。

未経験かつメイン業務と兼務しながらも、ガイドに沿って作業を進め、チャットサポートを活用することでスムーズにPマークを取得できました。

【事例記事】クラウドツールを活用し、最小コストでPマークを取得！未経験かつ兼務でも、一から個人情報保護の知識を習得し社内の頼れる相談役に。

株式会社マーケティングアプリケーションズ：運用ルールを一から再構築

Pマーク取得から17年目を迎えた同社は、長年利用してきた文書の数が増え、各文書の関係性が複雑になり更新作業にムダを感じていました。「今の自社にとって最適なマネジメントシステムを再構築する」という目的でSecureNaviを導入しました。

ツールに用意されたプリセットに沿って情報を整理することで、標準的な運用を学び直し、規格の要求事項に適合させる形で運用体制を見直すことに成功しました。

【事例記事】Pマーク取得17年目・ISMS認証取得13年目にして、運用を一から再構築できた理由とは？複雑でムダの多い手作業を一掃し、効率的な運用を実現。