審査員に直接インタビュー！ISMS認証取得審査の失敗しない審査機関選びと審査準備のポイント

ISMS認証審査の不安や疑問を現役審査員にインタビュー

近年、スタートアップから中小企業まで、取引の拡大や信頼性向上のために「ISMS（情報セキュリティマネジメントシステム）認証」の取得を検討する企業が増えています。しかし、いざ担当者に指名されると、「何から始めればいいの？」「審査ってどれくらい厳しいの？」と不安ばかりが先行してしまう方も多いのではないでしょうか。

この記事では、これからISMS認証の取得を目指す担当者や経営者のみなさまに代わり、株式会社GCERTI-JAPANの審査員にISMS認証取得審査の気になることについて、直接インタビューいたしました。

株式会社GCERTI-JAPAN（ジーサーティジャパン）は、設立7年目で国内トップクラスの成長率を誇る審査機関（2026年5月現在）。営業部兼審査員部課長である小林 卓慈 氏に「ISMS認証取得審査の基本」から「後悔しない審査機関選びのコツ」「審査準備や審査対応のポイント」について伺いました。

お話をお伺いしたゲストをご紹介
株式会社GCERTI-JAPAN　小林 卓慈様
営業部兼審査員部 課長

大学卒業後、食品メーカーの営業職として勤務し、ISO22000審査対応にも従事。取得経験を通じて信頼獲得に貢献する一方、審査準備の負担も実感。現在は審査機関にて、企業が本業に専念できる環境づくりを目指す。審査員資格を活かし、営業と審査の両面から課題解決を支援。営業実績1,000社以上、ISO審査実績100社以上。

株式会社GCERTI-JAPAN 公式WEBサイト
http://gcerti.jp/

※本記事は、2026年5月に開催されたオンラインセミナーの内容から抜粋しております。

そもそもISMS認証の審査とは？基本の流れと認証の価値

申し込みから認証発行までのスケジュール

―― まずは基本的なところから教えてください。ISMS認証を取得する際、審査はどのような流れで進み、どれくらいの期間がかかるのでしょうか？

小林様： はい。ISMS認証の審査は、お客様の情報セキュリティの仕組みがISO 27001の規格に沿って正しく構築されているかというのを、私たちのような第三者機関が審査するというもので、大きく分けて「一次審査」と「二次審査」の2段階で行われます。

• 一次審査（文書審査）： 作成したセキュリティルールやマニュアル（文書）が、国際規格（ISO/IEC 27001）の基準を満たしているかをチェックします。

• 二次審査（実務・現地審査）： 一次審査で確認した文書通りに、実際の現場で業務が行われているか（適合性と有効性）をチェックします。

スケジュール感としては、まず弊社のような審査機関にお申し込みをいただき、ご契約を締結します。その後、一次審査までに必要な文書類をご準備いただきます。

一次審査を終えたら、だいたい2週間から1ヶ月ほどの期間をあけて二次審査を実施します。二次審査で問題がなければ、そこから約1ヶ月〜1ヶ月半後に認証書が発行される、という流れです。

―― なるほど。取得のスケジュール感としては、1次審査からトータルで約3ヶ月程度の期間を見ておくと良いということですね。

小林様： そうですね。審査機関のスケジュール感や空き状況にも寄りますので、審査機関の比較検討をされる際にご確認いただくことをおすすめします。

審査機関が変わってもISMS認証の価値は変わらない

―― よくお客様から「審査会社によってISMS認証の価値や効力は変わるの？」「大手の入札で不利になったりしない？」というご質問をいただきます。このあたりはいかがでしょうか。

小林様： 結論から申し上げますと、どこの審査機関から取得しても、ISMS認証としての価値や効力は全く変わりません。

ここで、皆様によくお話しする「認定機関」と「審査機関」の関係性について簡単にご説明します。

私たちGCERTI-JAPANは、図でいう青色の「審査会社（審査機関）」にあたります。そして、審査会社を監督・認可する上級組織として「認定機関」が存在します。日本でよく聞く「ISMS-AC」は日本の認定機関ですし、イギリスの「UKAS」、アメリカの「IAS」や「ANAB」など、国ごとに様々な認定機関があります。弊社はアメリカの「IAS」という認定機関から認可を受けています。

「日本のISMS-ACじゃないと国内の取引で不利になるの？」と質問されることが非常に多いのですが、これら各国の認定機関の上には、世界大元の「IAF（国際認定機関フォーラム）」という組織があります。ここに参加している認定機関同士は、相互認証を取り合っているため、国際的な価値はすべて同じです。

―― つまり、アメリカの認定機関（IAS）のロゴが入った認証書であっても、日本の官公庁の入札や大企業との取引でNGと言われることはない、ということですね。

小林様： その通りです。私もこれまで数千社のお客様と接してきましたが、ロゴマークにこだわるお客様はあまりいらっしゃいませんでした。ですから、「どこの認定機関か」を気にするのではなく、審査費用や審査内容（審査の質や自社への負担など）にこだわっていただければと思います。

失敗例から学ぶ！自社に合った審査機関を選ぶ3つの基準

選定の鍵となるのは費用・スピード・審査時の負担

―― では、具体的に「自社に合った審査機関」を選ぶには、どのような観点を持てば失敗がないでしょうか。

小林様： 現場でいつもおすすめしている選定ポイントは、次の3つです。

1. 審査費用（適正な価格か）

2. 認証取得までのスピード（自社の希望時期に合わせられるか）

3. 審査時の負担（現場に無駄な労力を強いないか）

費用の違いというのは、主に審査員の雇用形態、認定機関にお支払いするブランド力（認定機関による認証の価値は同じ）などに起因します。審査にかかるコスト以外もこの辺りが費用に含まれているとご認識ください。

費用やスピードは見積もりを見ればイメージが湧きやすいと思いますが、実は一番重要でありながら見落とされがちなのが、3つ目の「審査時の負担」です。

これは「審査員の経歴や質」に大きく左右されます。たとえば、大企業出身のベテラン審査員が担当になった場合、ご自身の過去の経験から、社員数十名規模のスタートアップ企業に対して、何千人規模の大企業向けの厳格な文書作成や管理、ルールを要求してくるケースが少なくありません。これでは、企業の実態に見合わない、非常に負担の重い審査になってしまいます。

―― ありがとうございます。審査員の過去の経歴や業界理解、審査で求めるレベル感やその考え方などを確認していきながら、自社にあった取り組みになるかを見極めることが大切ということですね。

小林様：そうですね。最近、SecureNaviさんのようなツールを使って取得する企業さまも増えてきましたので、そういったツールを活用して審査対応がスムーズにできるか？という点も確認しておきましょう。

【よくある失敗】見積もり金額だけで選ぶと、当日大苦戦することも……

―― 審査機関選びにおいて、こういった観点で選んでしまうと失敗するというケースはありますでしょうか？

小林様： はい、失敗されるケースの多くは、見積書の金額だけで選んでしまった企業様です。

見積書に書かれているのはあくまで基本の審査費用だけです。しかし、いざ審査当日になって、ISOの規格要求事項（国際規格が定めたルール）に載っていないような過剰な書類の提出を次々と求められ、指摘が30個も出てしまった…という事例が実際にあります。

その結果、審査を通過できず、修正のための追加審査費用が発生してしまい、最終的に高くついてしまうこともあります。

――  審査の実質的な負担を見極める必要があるのですね。事前の商談段階で、そうした失敗を防ぐための良い確認方法はありますか？

小林様： 問い合わせた際に、「実際に自社の審査を担当する可能性のある審査員（または現場を熟知した担当者）から直接話を聞くこと」をおすすめします。

営業担当者が審査員資格を持っていない場合、現場のリアルな審査基準や、どれくらい準備すればいいのかという具体的な話を引き出すのが難しいためです。

商談の段階で「どんな視点で審査をされるのか」「重箱の隅をつつくような過剰な書類要求はないか」を直接確認できれば、大きな誤解や失敗を防げます。

スムーズに合格するための審査準備と当日の対応

審査をスムーズに進めるための準備やのコツは？

――  次に、審査に向けた「準備」について伺います。審査が初めての方は色々と不安も多いかと思いますし、できるだけ滞りなく審査を終えたいというお気持ちがあるかと思います。小林さんから「こういった点に気をつけるとスムーズに進みます」というポイントはありますでしょうか？

小林様：はい、私は以下の4点に気をつけていただくことをおすすめします。

• スケジュール変更があれば早めに連絡

• 規格書が求める文書だけでなく、関連する社内文書も合わせて準備

• どの書類がどこにあるかを整理・把握する

• 1次審査前に内部監査・マネジメントレビューの実施

弊社の場合、審査の1ヶ月前に「この時間には経営者インタビューをさせていただきます」「この時間にはこの部署にヒアリングさせていただきます」といった審査のスケジュールが送付されます。その際に、スケジュール変更が必要であれば、早めにご連絡いただくことをおすすめします。早くご連絡いただければ、その分最短の別日をご提案できますが、ギリギリになってしまうと審査日がかなり先になってしまい、取得期日に間に合わないということもあります。

審査までに最低限準備しておくべき「3つのこと」

―― 審査では、具体的に何をどこまで用意すればいいのでしょうか？

小林様： 審査までに準備いただくことは、大きく分けて次の3つです。

• 【ルール（文書）の作成】：ISO規格が要求しているセキュリティルールを決める

• 【ルールの運用】：決めたルールに沿って、実際に日々の業務を行う

• 【記録の保管】：運用した結果を、証拠（記録）として残しておく

一次審査では、文書メインの審査になりまして、どのようなルールがあるのか、どのような文書があるのかを画面共有（現地共有でも）いただければ大丈夫です。

二次審査は現地となりまして、ご共有いただいた文書通りに実務が行われているのか、活動が有効であるのかを確認いたします。

基本的には、窓口となる方にヒアリングを行いますが、一部、部署の責任者様や経営者様など、現場で活動される方へのヒアリングもさせていただき、その活動が適合しているか、有効であるかを審査いたします。

―― 小林様のご経験から「さすがにこの審査はどうしようもなかった」という事例はありますか？

小林様：そうですね。コンサルティング会社さま（SecureNavi含む）とご契約されずに進められた企業さまによくある事例ですが、お客様の実態に全く合っていないものになっているというケースですね。建設業のお客様なのに、製造業のマニュアルを作成されているというテンプレ通りのケースがありますので、その場合はその場で審査打ち切り、不適合が出る事がありますので、ご注意いただきたいですね。

1次審査前に内部監査・マネジメントレビューが未実施という場合も、その場で審査打ち切りとなりますので、審査前に完了させなければならないというご認識でお願いします。

SecureNaviユーザー様であれば、ツール内に「構築・運用・評価・改善」というステップ沿ったタスクが用意されていると思いますので、各社さまの実態に合わせて、期日までにタスクをすべて完了の状態にしておいていただければ、大丈夫です。（ツール審査に対応していない、慣れていないという審査機関もありますので、必ず審査機関にご相談ください）

―― デジタルで作成した文書は、印刷して準備しておく事が必要なのでしょうか？それとも画面を見せれば問題ないのでしょうか？

小林様：弊社の場合は、SecureNaviのツール内やGoogleドライブの中に格納された状態で問題ありません。必要な方が必要な時に確認できるという環境であることが確認できれば問題ありません。

運用の期間実績に縛りはある？

―― よく「ルールを作ってから、何ヶ月間の運用実績がないと審査を受けられない」という噂を耳にするのですが、実際のところどうなのですか？

小林様： これも審査会社によってルールが異なり、3ヶ月以上や半年以上の運用実績を必須とする会社様もあります。

しかし、弊社の場合は、期間の縛りを一切設けていません。 極端な話、運用期間が1週間や2週間といった短い実績であっても、ルールが作られていて、それが1回でも実施され、結果として記録が1つでも残っていれば審査は可能です。

そのため、他社様で「実績期間が足りない」と言われて取得を急がれている企業様が、弊社に切り替えて短い運用期間で審査を受け、早期取得を実現されたケースが数多くあります。

審査当日は何を聞かれる？役割別のインタビュー内容

経営層・事務局・一般従業員への質問内容と対策

―― 準備が整ったら、いよいよ審査当日です。当日のインタビューでは、具体的に誰が、どのようなことを聞かれるのでしょうか？

小林様： 審査当日のインタビュー対象者は、大きく分けて「トップマネジメント（経営層・社長様）」「ISMS事務局（担当者様）」「一般従業員（現場の皆様）」の3つの役割に分かれます。

――  一般従業員へのインタビューは、当日にランダムで数名がピックアップされる形ですよね。現場の社員が緊張してうまく答えられなかった場合、すぐに不合格（不適合）になってしまうのでしょうか？

小林様： いえ、答えられなかったからといって、すぐに不適合になることは絶対にありませんのでご安心ください。

たとえば、緊急時の連絡先を質問されて、緊張のあまり名前がパッと出てこなかったとしても、「じゃあ、それって社内のどこを見ればマニュアルが載っていますか？」とヒントを出します。そこで従業員の方が「SecureNaviの画面を見れば載っています」「社内チャットのここにピン留めされています」というように、確認する方法（手段）さえ分かっていれば、ルールが周知されていると判断します。 ルールを丸暗記する必要は一切ありませんので、リラックスして受けていただきたいですね。

リモートワーク・バーチャルオフィスでの審査対応ルール

――  最近はスタートアップを中心に、フルリモートワークやバーチャルオフィス、シェアオフィスを活用する企業が増えています。物理的なオフィスを持たない企業の審査対応はどうなっていますか？

小林様：審査機関によって対応の可否は異なりますが、 弊社では、バーチャルオフィス（物理的実態が全くない住所）のみでの審査は不可としています。認証書に登録する住所に、実際に審査員が赴いて確認する必要があるためです。

ただ、登記していなくても、レンタルオフィスやシェアオフィスの会議室を借りていただき、ホームページや名刺にその住所が掲載されている、あるいは賃貸契約書などで「そこで実質的に業務を行っているエビデンス」が確認できれば、その場所を現地として審査することが可能です。

また、一次審査は完全オンライン（リモート）での審査が可能ですが、二次審査は原則として現地にお伺いします。その際も、全社員が出社する必要はありません。「サイトツアー（機密エリアや物理的環境の確認）」をご案内いただく窓口担当者様が1人だけ出社していれば、他の部署や現場社員へのヒアリングは、現地とオンライン（Zoomなど）を繋いで実施することができます。

さらに、「全員が完全フルリモートでオフィスに誰も出社していない」「すべての情報資産がクラウド上で管理されている」などの一定条件を満たしている場合、二次審査も完全リモートで完結できるケースがあります。

審査後の不適合・改善の対応はどこまで必要？

――  審査を終えて、審査員さんから不適合や改善の機会といったフィードバックをいただくと思うのですが、どこまで対応が必要なのかを教えていただけますでしょうか。

小林様：はい、弊社の場合以下の3つの指摘をさせていただきます。

• 重大な不適合：必要なものが準備/実施されていない

• 軽微な不適合：要求事項が一部満たされてない

• 観察事項（改善の機会）：対応の検討をくださいという内容

重大な不適合の場合は、その場で審査を打ち切り、再審査となります。軽微な不適合の場合は、審査後に是正対応を実施いただき、是正処置報告書を提出いただければ問題ありません。これら2つは必須事項とご認識ください。

観察事項（改善の機会）については、より良くするためのアドバイスになりますので、対応必須ではなく、社内でご検討いただき、対応しないという判断でも全く問題ありません。

――  観察事項（改善の機会）をいただくと、維持・更新審査の度にルールやタスクが増え、認証運用業務の負荷が重くなってしまったというケースをよく聞くのですが、小林さんとしてやるやらないをどのように判断すべきだと思いますか？

小林様：審査員としては、セキュリティ向上のために良かれと思いご提案していますが、ISOの審査員は、業界や社内の事情の専門家ではないので、お客様ご自身で必要性や運用の現実性（運用を回し切れるか）でご判断いただくことをおすすめします。

観察事項（改善の機会）に対応しなかったという場合、翌年の審査で対応しなかった理由を確認しますので、そこでご説明できる状態になっていれば全く問題ありません。

――  観察事項（改善の機会）は、対応必須ではないものの、必ず担当者が自社の運用に必要なのか？をしっかりと考え、判断することが大切ということですね。

リアルな疑問に審査員が回答

本公開インタビュー中に、参加者様からいただいた質問をいくつかご紹介していきます。

Q. 優しい審査機関と厳しい審査機関の違いは何ですか？

小林様： 結論から言うと、私は「優しい審査機関＝無駄のない審査機関」、「厳しい審査機関＝規格外の過剰な文書を求める審査機関」だと定義しています。

ISOの国際規格が求めている本来のルール（規格要求事項）以上に、ワードやエクセルで余計なマニュアル作成を要求してくるのが、いわゆる「厳しい審査機関」です。

ただ、お客様側にはそこまで深いISOの知識がないため、審査員から指摘されると「それ規格書に載っていませんよね？」と反論できず、言われるがままに無駄な書類を増やして運用が重くなってしまうケースが非常に多いのです。

また、「去年と今年で審査員が変わり、指摘されるポイントがガラッと変わって混乱した」というお悩みもよく聞きます。これは審査員の過去の経歴によるブレが原因であり、ISO業界全体の大きな課題でもあります。

これを解決するため、弊社では審査員のほとんどを正社員として雇用し、内製化しています。全員に対して定期的な教育（技術指針の共有）を行っているため、どの審査員がお伺いしても見るポイントが統一されており、振れ幅の少ない、実態に即した「無駄のない審査」を提供できる体制を整えています。さらに、SecureNaviのツールの仕様もしっかり教育しているので、審査当日も画面を見ながらスムーズに無駄なく指摘を出すことができます。

そういった観点でも、自社にあった審査機関とは何か？をご検討いただくことをおすすめします。

Q. 適用範囲を全社ではなく特定のサービスに限定するメリット・ポイントは？

小林様： 適用範囲を絞る最大のメリットは、資産の洗い出しや内部監査の対象が狭くなるため、「早く、安く、取り組みやすく」取得できる点にあります。基本の審査費用は「適用範囲内の人数」で算出されるため、コストを抑えたい場合にも有効です。

「範囲を限定すると指摘を受けやすくなるのでは？」という心配をされる方もいますが、審査基準自体は変わらないので、指摘の受けやすさは変わりません。むしろ、対象が狭まる分、指摘の絶対数は少なくなる傾向にあります。

限定取得のポイントとしては、そのサービスや情報資産にアクセス・管理している部署（例：情報システム部など）は、必ず適用範囲に含める必要があります。

対外的なアピールとして、全社取得と言えないデメリットはありますが、まずは特定の重要なサービスだけでスピーディーに取得し、翌年以降に徐々に全社へ適用範囲を広げていくというアプローチは、非常に賢くおすすめの方法です。

Q. 「重大な不適合」で審査が即日中止になることは本当にある？

小林様： はい、実は年間で10社弱（弊社が担当する約2,000社中）のペースで、審査がその場で即日中止（打ち切り・再審査）になる事例が発生しています。

「重大な不適合」とは、ISMSの仕組み自体が全く機能していない状態を指します。具体的には、規格で必須とされている「内部監査」や、経営層が運用状況を振り返る「マネジメントレビュー」が全く実施されていない場合などです。

驚かれるかもしれませんが、これは新規取得の企業よりも、2年目以降の「継続審査（維持審査）」を迎えた企業での発生率が高いのです。1年目はコンサルタント会社がついていたから言われるがままに実施できたものの、2年目にコンサルを解約した後、担当者様が内部監査やマネジメントレビューの実施をすっかり忘れてしまい、審査当日に「何もやっていません」となり、即日中止・再審査になってしまう…というパターンです。

SecureNaviをご利用の企業様であれば、ツールのタスクに沿って進めていれば忘れることはまずありませんが、継続運用時こそ、これらの必須タスクを忘れないよう強く注意喚起をさせていただいています。

自社に合った審査機関を選び、企業に貢献するISMS運用を

――  たくさんの質問にご回答いただきありがとうございました。最後に、これからISMS認証の取得・運用を目指す担当者や経営者の皆様へ、メッセージをお願いいたします。

小林様： 私たちGCERTI-JAPANは、平均年齢30代前半という業界内でも非常に若い審査機関です。若いからこそ、昔ながらの重たい書類文化に囚われず、お客様の規模や実態に合わせた柔軟な審査を行うことで、本業に集中できる環境づくりを全力でサポートしています。

ISMS認証は、取って終わりではなく、継続的な運用を通じて、会社をより良くするためのものです。ぜひ実態に即した構築運用や審査、運用の効率性を考え、無理がなく持続可能な情報セキュリティ体制を構築していってください。ご相談があれば、いつでもお気軽にお問い合わせください。

――  小林様、なかなか聞くことのできない貴重なお話をありがとうございました。

今回インタビューさせていただきましたISMS認証の審査機関である株式会社GCERTI-JAPANさまへのご相談やお問い合わせはこちら

株式会社GCERTI-JAPAN 公式WEBサイト
http://gcerti.jp/