１．ISMS（ISO27001）の内部監査とは

ISMS（ISO27001）の内部監査とは、自社のルールや文書が要求事項（規格要求事項や法的要求事項など）を満たしているかどうか、自社のルールや文書通りに仕事ができているかどうかをチェックすることです。
また、内部監査をする際は、

①決められた通りにできているか（＝適合性）
②今のルールや文書が有効かどうか（＝有効性）

の2つの視点でみることが必要です。

内部監査はISMS（ISO27001）を運用するPDCAサイクルのC（Check）の部分にあたります。
計画を立てた通りに実施できているかチェックすることです。

２．内部監査の進め方

まず注意すべき点は、自分の部署は監査できないという点です。
自分が所属する部署を監査するのは禁止されています。
総務部の従業員が総務部の内部監査をすることはできない、といった感じです。そのため、内部監査するメンバー（内部監査員と呼びます）は２名以上で構成する必要があります。

では、実際にどのように進めるのか？大きく3つのフェーズに分かれます。

１）内部監査の計画を立てる
２）内部監査の実施
３）内部監査後のまとめ対応

ISMS（ISO27001）取得の流れとスケジュールについてはこちらの記事で詳しく説明しております。

あわせて読みたい記事

ISMS取得の流れガイド｜審査の内容やPマークとの違いも解説

１．ISMSとは [images_50][/images_50] ISMS（ISO27001）とは、「情報セキュリティマネジメントシステム」を指します。 簡単にまとめると、企業・組織として情報を管理し…

（１）内部監査の計画を立てる

「どの部署の・誰に・いつ・何をチェックしにいくか」を事前に段取りしておきましょう。
「3月30日の13時～15時に総務部○○さんに、経理部の○○さんが、●●チェックリストの内容を見に行く」といった形です。
また、チェックリストの内容も今回特に重点にしていることや、前回と変わった点を盛り込んだ内容にしておくとより良い内部監査になります。

（２）内部監査の実施

計画したとおりに内部監査を実施しましょう。
特に、チェックリストに基づいた監査証拠を集めるようにしましょう。

この監査では適合も不適合も両方証拠を残していくようにしましょう。

（３）内部監査後のまとめ対応

実施できたら、監査の結果をとりまとめましょう。
マネジメントレビューとしてトップへの報告も必要になります。
不適合がある場合などは、各部署に是正してもらうよう伝える必要が出てきます。

３．内部監査で必要になる３つの記録

内部監査では、以下の3点が必要になります。

（１）内部監査計画
（２）内部監査チェックリスト
（３）内部監査報告書

場合によっては不適合の発生もあるので、不適合報告や是正処置に関わる記録も監査のタイミングで準備することもあります。

（１）内部監査計画

ISMSの内部監査は抜き打ちではなく、計画を立てて実施します。
実施時期、実施者、対象部門、監査範囲を事前に決める必要があります。

（２）内部監査チェックリスト

内部監査チェックリストは、内部監査の際に内部監査員が使用します。
このチェックリストがISMSの内部監査を行った文書記録となります。
チェックリストを用いることで、監査すべき内容が明確になり、効率良く内部監査を実施することができます。

（３）内部監査報告書

内部監査報告はISMSの内部監査の結果をまとめた文書記録です。
この報告書には、監査の実施結果、発見された問題点、提案された改善策、およびその他の重要な情報を記録します。

４． 良い内部監査と悪い内部監査の違いとは？

良い内部監査は、「しっかりと自社の課題を見つけられている内部監査」です。
一方、悪い内部監査では、ISMS（ISO27001）で求められているから単に実施しただけとなっており、改善すべき点や課題の指摘がない状態です。

内部監査はPDCAサイクルのC（Check）の機能ですので、Action＝改善につながるチェックができたら良い内部監査と言えます。

５．良い内部監査を行うためのポイント

ISMS（ISO27001）を維持するためだけに内部監査を行うのではなく、ISMSを運用する上で効果的な問題点を見つけ、改善していく必要があります。
維持するためだけに実施すると、無駄なルールばかりになってしまい運用が非効率になります。
ISMSの運用がルール通りにできているかチェックするだけでなく、ルール自体が適切なのかをチェックすることもポイントです。

まとめ

いかがでしたでしょうか？
ISMS（ISO27001）の内部監査についてお分かりいただけましたでしょうか。
ISMS（ISO27001）の内部監査とは、自社のルールや文書がISMSの要求事項を満たしているか、そしてルール通りに実施できているかを自社内でチェックすることです。

ISMS（ISO27001）の内部監査は、PDCAサイクルのC（Check）の部分にあたります。
計画を立てた通りに実施できているか、改善点はないかをチェックします。
単にISMS（ISO27001）で求められているから実施するのではなく、自社の改善点を見つけるつもりで実施し、内容の濃い内部監査にできることが望ましいです。

内部監査とセットとも言えるマネジメントレビューについてはこちらもご覧ください。

ISO・Pマーク認証更新でお悩みの方へ

認証パートナーは、8000社を超える企業様に認証率100%で支援してきた実績と経験豊富なコンサルタントの知見を活かし、お客様の目標達成を全力でサポートいたします。
アドバイスや取り次ぎだけでなく、書類作成や監督に向けての準備、年々変化するルールへの対応まで、お客様のパートナーとして共に歩んでまいります。
認証取得したいけれど、何をすれば良いか分からない方も、まずはお気軽にご相談ください。

• 無料相談はこちら▶️
• 見積もり依頼はこちら▶️