ISMS審査合格率100%

0120-068-268
お電話受付：平日9:30〜17:00

ISMS（ISO27001） 認証･更新

ISMS（ISO27001）認証お役立ちコラム

ISMS（ISO27001）の内部監査とは？進め方は？

スタッフ写真
スタッフ写真

2023年11月13日

ISMS（ISO27001）の内部監査とは？進め方は？

ISMS（ISO27001）の内部監査では、決められた通りにできているかの適合性チェックと、今のルールや文書が有効かどうかという有効性チェックがあります。
ISMSの内部監査を実施する際は、内部監査計画・内部監査チェックリスト・内部監査報告書の3つの記録が必要です。

目次

１．ISMS（ISO27001）の内部監査とは

ISMS（ISO27001）の内部監査とは、自社のルールや文書が要求事項（規格要求事項や法的要求事項など）を満たしているかどうか、自社のルールや文書通りに仕事ができているかどうかをチェックすることです。
また、内部監査をする際は、

①決められた通りにできているか（＝適合性）
②今のルールや文書が有効かどうか（＝有効性）

の2つの視点でみることが必要です。

内部監査はISMS（ISO27001）を運用するPDCAサイクルのC（Check）の部分にあたります。
計画を立てた通りに実施できているかチェックすることです。

 

２．内部監査の進め方

まず注意すべき点は、自分の部署は監査できないという点です。
自分が所属する部署を監査するのは禁止されています。
総務部の従業員が総務部の内部監査をすることはできない、といった感じです。そのため、内部監査するメンバー（内部監査員と呼びます）は２名以上で構成する必要があります。

では、実際にどのように進めるのか？大きく3つのフェーズに分かれます。

１）内部監査の計画を立てる
２）内部監査の実施
３）内部監査後のまとめ対応

ISMS（ISO27001）取得の流れとスケジュールについてはこちらの記事で詳しく説明しております。

（１）内部監査の計画を立てる

「どの部署の・誰に・いつ・何をチェックしにいくか」を事前に段取りしておきましょう。
「3月30日の13時～15時に総務部○○さんに、経理部の○○さんが、●●チェックリストの内容を見に行く」といった形です。
また、チェックリストの内容も今回特に重点にしていることや、前回と変わった点を盛り込んだ内容にしておくとより良い内部監査になります。

（２）内部監査の実施

計画したとおりに内部監査を実施しましょう。
特に、チェックリストに基づいた監査証拠を集めるようにしましょう。

この監査では適合も不適合も両方証拠を残していくようにしましょう。

（３）内部監査後のまとめ対応

実施できたら、監査の結果をとりまとめましょう。
マネジメントレビューとしてトップへの報告も必要になります。
不適合がある場合などは、各部署に是正してもらうよう伝える必要が出てきます。

手間なく・楽に運用できるISMS運用手法

手間なく・楽に運用できるISMS運用手法

３．内部監査で必要になる３つの記録

内部監査では、以下の3点が必要になります。

（１）内部監査計画
（２）内部監査チェックリスト
（３）内部監査報告書

場合によっては不適合の発生もあるので、不適合報告や是正処置に関わる記録も監査のタイミングで準備することもあります。

（１）内部監査計画

ISMSの内部監査は抜き打ちではなく、計画を立てて実施します。
実施時期、実施者、対象部門、監査範囲を事前に決める必要があります。

（２）内部監査チェックリスト

内部監査チェックリストは、内部監査の際に内部監査員が使用します。
このチェックリストがISMSの内部監査を行った文書記録となります。
チェックリストを用いることで、監査すべき内容が明確になり、効率良く内部監査を実施することができます。

（３）内部監査報告書

内部監査報告はISMSの内部監査の結果をまとめた文書記録です。
この報告書には、監査の実施結果、発見された問題点、提案された改善策、およびその他の重要な情報を記録します。

 

４． 良い内部監査と悪い内部監査の違いとは？

良い内部監査は、「しっかりと自社の課題を見つけられている内部監査」です。
一方、悪い内部監査では、ISMS（ISO27001）で求められているから単に実施しただけとなっており、改善すべき点や課題の指摘がない状態です。

内部監査はPDCAサイクルのC（Check）の機能ですので、Action＝改善につながるチェックができたら良い内部監査と言えます。

 

５．良い内部監査を行うためのポイント

ISMS（ISO27001）を維持するためだけに内部監査を行うのではなく、ISMSを運用する上で効果的な問題点を見つけ、改善していく必要があります。
維持するためだけに実施すると、無駄なルールばかりになってしまい運用が非効率になります。
ISMSの運用がルール通りにできているかチェックするだけでなく、ルール自体が適切なのかをチェックすることもポイントです。

 

まとめ

いかがでしたでしょうか？
ISMS（ISO27001）の内部監査についてお分かりいただけましたでしょうか。
ISMS（ISO27001）の内部監査とは、自社のルールや文書がISMSの要求事項を満たしているか、そしてルール通りに実施できているかを自社内でチェックすることです。

ISMS（ISO27001）の内部監査は、PDCAサイクルのC（Check）の部分にあたります。
計画を立てた通りに実施できているか、改善点はないかをチェックします。
単にISMS（ISO27001）で求められているから実施するのではなく、自社の改善点を見つけるつもりで実施し、内容の濃い内部監査にできることが望ましいです。

内部監査とセットとも言えるマネジメントレビューについてはこちらもご覧ください。

ISO・Pマークについてのお悩みはありませんか？
プロのコンサルタントにお気軽にご相談ください。
コンサルタント写真
ISO・Pマークについてのお悩みはありませんか?
プロのコンサルタントにお気軽にご相談ください。
コンサルタント写真

　　← 記事の内容をまとめた動画はこちら!!

＼ フォローしてね ／

認証パートナーの
Youtubeチャンネル

\あわせて読みたい記事/

  • 最近よく聞くクラウド認証とは？認証するメリットデメリットも解説

    2023年11月22日

    最近よく聞くクラウド認証とは？認証するメリットデメリットも解説

    クラウド認証とは、クラウドサービスにおける情報セキュリティ管理が適切に行われている組織であることを、第三者の視点で証明する認証のことです。
    取得企業数が一番多くメジャーなものは、ISOのクラウドセキュリティ認証(ISO27017)です。

  • ISMS（ISO27001)とは？規格の概要やメリットを簡単に解説

    2024年4月4日

    ISMS（ISO27001)とは？規格の概要やメリットを簡単に解説

    ISMS（アイエスエムエス）とは、情報マネジメントシステム（Information Security Management System ）の略称です。ISMSとは、組織が情報資産を適切に保護し、情報セキュリティを維持するための一連の手段やプロセスを指します。

  • 初心者のためのISO27017の要求事項と管理策

    2023年11月24日

    初心者のためのISO27017の要求事項と管理策

    ISO27017の要求事項は、情報セキュリティ管理システム（ISMS）の国際標準であるISO27001に基づいています。ISO27001の基本的なフレームワークを理解していることが、ISO27017の要求事項を理解する上で非常に重要です。

一覧へ戻る

ISO・Pマーク（プライバシーマーク）に関することなら
何でもお気軽にご相談ください

認証パートナーロゴ

0120-068-268
お電話受付：平日9:30〜17:00

認証パートナーのサービスご説明資料

新規認証や運用･更新にあたって
当社が請け負うことをわかりやすくまとめました。
ぜひご検討の参考にしてください。

資料の内容

  • ・当社のサポート内容
  • ・規格の概要
  • ・取得までに必要な審査費用
役立つ資料をお届け
資料請求する

ISMS（ISO27001）認証パートナー
サービスのご案内

認証パートナーロゴ

認証パートナーの専門コンサルタントが御社の一員となって事務局業務を行います。
お客様の作業は審査機関との窓口役だけ。それ以外はすべてお任せください。