プライバシーマークのPDCAサイクル最新ガイド：2023年版JIS改訂対応

「プライバシーマークの運用でPDCAを回すって具体的に何をすればいいの？審査で何を見られるの？」
このような疑問をお持ちではないでしょうか。

個人情報保護の重要性が高まるなか、プライバシーマーク（Pマーク）を取得・維持する企業は増えています。しかし、PDCAサイクルの位置付けや、Plan（計画）・Do（実行）・Check（点検）・Act（改善）それぞれの実務ポイントを理解せずに形だけ回そうとすると、形骸化してしまい、審査で厳しく指摘されるリスクがあります。

この記事では、PマークにおけるPDCAの全体像から、計画の立て方、日々の運用で必要な証跡管理、内部監査の注目ポイント、改善の具体的プロセスまで体系的に解説します。さらに、よくある失敗例や2023年版JIS Q 15001改訂による審査視点の変化、継続的にPDCAを回すためのツール・テンプレートも紹介します。

最後までお読みいただくことで、プライバシーマークのPDCAを「形骸化しない仕組み」として運用し、審査で高評価を得られる実践的な知識が身につきます。自社の個人情報保護体制を強化し、信頼性を高める第一歩を踏み出してください。

1.プライバシーマークにおけるPDCAの全体像と運用レベル

(1)PDCAは「PMS運用そのもの」かつ「スパイラルアップの無限ループ」

プライバシーマークにおけるPDCAは、単なる管理手法として位置付けられているのではなく、個人情報保護マネジメントシステム（PMS）の骨格そのものを成しています。

つまり、PDCAを一度回して終わりにするのではなく、継続的改善、いわゆるスパイラルアップを前提とした無限ループとして運用することが求められます。JIS Q 15001では、Plan（計画）、Do（実行）、Check（点検）、Act（改善）のそれぞれに対応する条項が設けられており、組織の成熟度はこのPDCAがどれだけ効果的に回っているかによって判断されます。

(2)PDCAとJIS Q 15001の対応関係

(3)JIS Q 15001が求める運用レベル

①実務に適した運用

• 規程が机上の空論でなく、現場で実際に使われているか。
• 例：教育記録が毎年同じ資料 → 「実施したこと」しか見ていないと評価される。

②証跡（Evidence）の一貫性

• 記録・台帳・内部監査報告・見直し結果が一気通貫で繋がっているか。
• 悪例：Plan（計画）でリスクを特定しているのに、Do（実行）で管理策が未実施。

③改善がサイクルになっているか

• 前年の課題が次年度の改善に反映されているか。
• 審査員は「前年とどこが変わったのか」を必ず確認。

④自浄作用の有無

• 完璧なセキュリティではなく、自社のリスクに見合った対策を計画し、運用し、ミスを自ら発見・修正できるかが重視される。
• 特に近年は「CheckとActが機能しているか」が審査の焦点。

2.Plan（計画）：リスク評価・管理策の設定で押さえるべき要点

(1)個人情報の特定とリスク分析のポイント

個人情報の特定とリスク分析において最も重要なのは、まず抜け漏れのない棚卸、すなわち台帳作成を確実に行うことです。ここで漏れが生じると、その後のすべてのプロセスが無効化されてしまいます。

さらに、個人情報のライフサイクル全体を視点に入れることが求められます。具体的には、取得、入力、移送、利用、加工、保管、バックアップ、消去、廃棄といった各局面を網羅的に把握し、リスク分析に反映させることが必要です。

【審査で深掘りされる典型的ポイント】

• Webフォーム（問い合わせ・応募フォーム）
• 委託フロー（RPA・チャットボット含む）
• スマホ端末の持ち出し
• 在宅勤務での閲覧リスク

【リスク分析の方法】

• 発生可能性 × 影響度のマトリクス
• 「資産価値 × 脅威 × 脆弱性」で評価
• 実際の事例を考慮して重みづけ（例：メール誤送信が年1件 → 発生可能性は「中」に修正）
• すべての資産に最高レベルの対策は非現実的 → 残留リスクを許容範囲に収める発想が重要

(2)2023年版で強化された観点

(3)無理のない計画を立てるコツ

①部署ごとにリスクに応じて調整

• 全社一律のルールではなく、業務特性に応じた柔軟な管理策を設定する。
  例：営業部門は顧客情報の持ち出しリスク、システム部門はアクセス権限やクラウド利用リスクなど、重点が異なる。

②年間実施項目を可視化

• 月別・担当者別に割り振り、スケジュールとして明確化する。
• 計画を「見える化」することで、進捗管理が容易になり、監査時にも説明しやすい。

③最低ラインを決めて確実に運用

• 「理想的なセキュリティ」よりも、必ず守れる最低限のルールを設定する。
• 実行可能性が高い計画こそ評価される。

④守れるルールを作ることが鉄則

• 過度に厳しい規程は形骸化の原因。
  例：毎月パスワード変更や「机上に一切書類を置かない」など非現実的なルール。
• 現場で実際に守れるルールを策定することが重要。

⑤完璧より「実行できる計画」

• 審査員が見るのは「理想論」ではなく、現場で運用されているかどうか。
• 計画が実際に実行され、改善サイクルにつながっていることが高評価のポイント。

まとめると

• 部署ごとに調整する柔軟性
• 年間計画の可視化による実効性
• 最低ラインを守る確実性
• 守れるルールを作る現実性
• 完璧より「実行できる」ことを重視

この5点を押さえることで、プライバシーマーク審査において「実効性のあるPlan」として高評価につながります。

3.Do（実行）：日々の運用で必要なアクションと記録

(1)教育・委託先管理・入退室管理の実務

Do（実行）フェーズは計画を実際の業務に落とし込み、証跡（エビデンス）を残すことが最重要です。審査員は「やっています」という説明ではなく、客観的な記録を基に判断します。

(2)抜け漏れが起こりやすい箇所

• イベント時の臨時スタッフへの誓約書取得漏れ
• データ持ち出しや例外操作を口頭やチャットで承認し、申請書が残っていないケース
• 委託先評価シートが前年コピーのまま
• 教育の受講漏れ者が未フォロー
• ID・アカウントの棚卸ミス
• PC持ち出し記録の未運用

これらは審査で指摘されやすいため、定期的な自動リマインド機能の導入が有効です。

(3)記録の残し方と頻度

• 記録は「誰が／何を／いつ／どうした」が追える状態で残すこと。
• 紙でなくても、ワークフローシステムやログデータで問題なし。
• 改ざん防止と検索性が担保されていることが必須。
• エクセル台帳は更新履歴を残す。
• 写真（画面キャプチャ）を活用すると審査時に強い証跡になる。
• 記録の頻度は「都度」残すものと「毎月／四半期」でまとめるものを明確に区分する。

Do（実行）フェーズは、証跡の質がそのまま企業のレベルを表すため、「実務に根差した記録」と「抜け漏れ防止の仕組み」が審査での評価を左右します。

4.Check（点検）：内部監査で見られる審査注目ポイントの統合

(1)審査が重視する「内部監査の機能性」

内部監査は、運用の成熟度を測る最重要ポイントです。「不適合なし」だけの報告は、むしろ疑念を招きます。一年間の運用でヒヤリハットや軽微な不備が一切ない、という前提は現実的ではなく、問題の「発見・記録・是正」が回っているかどうかが見られます。

監査証跡はヒアリングのみでなく、現場の実地確認と具体的なエビデンス（設定画面、ログ、写真、台帳更新履歴）まで揃っていることが必須です。

(2)よく指摘される不備（実務で起こりがちな盲点）

JIS項番との非対応

監査チェックリストがJIS Q 15001の条項と紐付いておらず、要求事項の網羅性が担保できていない。

証跡の不足

記録が「聞き取りのみ」で、ログ・画面キャプチャ・現物確認の写真などの裏付けがない。

同じ指摘の反復

指摘内容が毎年同じで是正・再発防止が機能していないため、形骸化と判断されやすい。

代表者関与の欠如

監査が現場で完結し、最終レビューに代表者が不在。是正の優先順位付けが組織意思決定に反映されない。

実地確認の欠落

利用端末設定、クラウドの権限、委託先の実作業手順までの踏み込みがない監査は厳しく指摘される。

(3)形骸化が起こるパターン

チェックリストの儀式化

前年のリストをコピーし、日付だけ更新。確認深度が年々浅くなる。

なれ合い監査

同部署同士で「指摘を立てない」暗黙の了解が生まれる。

知識ギャップ

監査担当のIT理解が不足し、クラウド設定・アクセス権限・ログ運用の「要点」を掴めない。

ルーティン固定化

監査日・対象部署が毎年同じで、実態変化（新システム導入、在宅拡大）に監査が追随できていない。

古い基準の継続

10年前のチェック項目を更新せず、新たなリスク（API連携、SaaS、再委託の実態）に未対応。

(4)改善につなげる監査の視点（CheckからActへ）

根因分析の徹底

不備を「現象」で止めず、なぜ起きたかを最低3層（人・プロセス・技術）で掘り下げる。例：付箋にパスワード → ルール過剰・運用負荷・代替手段の不備（パスワードマネージャ不導入）を特定。

横展開の設計

一部署の指摘を他部署に展開可能か必ず検討し、是正の適用範囲と期日を明記する。

JIS要求事項との整合

指摘はJIS条項と紐付け、要求のどこに不適合かを明示。是正後の再監査項目も条項対応で管理。

代表者レビューの組み込み

監査終了は「報告提出」ではなく、代表者のレビュー・承認・資源配分の決定まで含めて完了と定義する。

(5)監査品質を高めるためのエビデンス設計

5.Act（改善）：是正措置・改善の具体的プロセス

(1)マネジメントレビューで求められる判断

Act（改善）フェーズにおけるマネジメントレビューは、PDCAのアンカーとして位置付けられます。

ここで経営者・代表者が判断すべきは、以下の3点です。

• リスク状況が変化していないか
• 管理策の見直しが必要か
• リソース（予算・人員）が不足していないか

さらに、内部監査の結果や社会情勢の変化を踏まえ、来期のリソース配分や基本方針の変更を指示することが求められます。単なる「承認しました」という議事録ではなく、前年との比較や具体的な指示事項を明記することで、実効性のあるレビューと評価されます。

(2)改善内容の粒度と決め方

Pマーク審査では特に「是正処置」が論理的かつ具体的であるかが重視されます。

(3)翌年の運用に反映させる方法

改善の成果は必ず次年度のPlan（計画）に落とし込み、年間運用計画に反映させる必要があります。

• 改善内容をPlan（計画）に組み込み、担当者と実施月を決定
• Do（実行）で実施し、証跡（Evidence）を蓄積
• Check（点検）で改善効果を再評価
• Act（改善）で再度見直しを行い、次年度に繋げる

この一連の流れがトレーサビリティとして確認できることが、審査で最大のアピールポイントとなり、「PDCAが回っている」と評価されます。

6.【ケース別】PマークPDCAの運用事例

(1)事例①：入退室管理で不備が発生したケース

来客者の入館証返却漏れや従業員の共連れ入室など、入退室管理に関する不備が発生した場合のPDCA運用例です。

(2)事例②：委託先管理の見直しが必要になったケース

委託先が無断で再委託を行ったり、クラウド事業者が大規模障害を起こした場合のPDCA運用例です。

このように、入退室管理や委託先管理の不備は、Plan（計画）でリスクを再評価し、Do（実行）で具体的な運用改善を行い、Check（点検）で実地確認やログ分析を通じて不備を抽出し、Act（改善）で是正処置を次期計画に反映させることで、PDCAが実効的に回る事例となります。

7.よくある失敗例と改善アプローチ（形骸化を防ぐ）

(1)P（計画）が過剰になるケース

計画段階でリスク評価を細かくしすぎると、現場が運用できず形骸化につながります。

例えば「USBメモリの利用は一切禁止」としたものの、業務上不可避でなし崩し的に使われてしまうケースです。改善策としては、最低限守るべきリスク管理に絞り、現実に即したルールへ適正化することが重要です。

例：原則禁止としつつ、許可制かつ暗号化機能付き貸与品のみ利用可能とする。

(2)C（点検）が形式的になるケース

点検が単なるチェック（✓）だけで証跡が残っていない、あるいは「去年と同じ指摘」が続く場合、監査が形骸化していると判断されます。監査員が知識不足で「マニュアル通りですか？」としか聞けないケースも典型例です。

改善策としては、実地確認と証拠取得を必須化し、監査員に外部研修を受けさせる、または重要部署の監査に外部コンサルタントを同席させるなど、監査の質を高めることが有効です。

(3)改善につなげるための実務ポイント

これらを実務に組み込むことで、PDCAの「Act（改善）」が初めて機能し、形骸化を防ぐことができます。

8.JIS Q 15001：2023版とPDCA運用の関係

(1)改訂で強化されたPDCA項目

2023年版のJIS Q 15001では、従来以上にトップマネジメントのリーダーシップが強調され、経営者がPMS（個人情報保護マネジメントシステム）の有効性にどう関与しているかが、特にAct（改善）フェーズで問われるようになりました。これまで実務担当者任せになりがちだったPDCAに対し、経営層の関与が必須となっています。

さらに、リスクベースアプローチの徹底、外部委託の明文化、クラウド利用のガバナンス、安全管理策のライフサイクル管理などが改訂で強化され、Plan（計画）からAct（改善）まで全てのフェーズに影響を与えています。

(2)審査で重視される部分の変化

審査の視点は「手順書があるか」という形式的な確認から、「そのプロセスで意図した結果が出ているか」という成果重視へとシフトしています。

つまり、PDCAを回した結果として何が改善されたのかを説明できることが求められます。審査員は個人情報の流れ全体に注目し、管理策の有効性、クラウドサービスの選定や設定の証跡、廃棄や削除のプロセスまでを確認します。質問傾向も形式的なものから実務寄りへと変化しており、パフォーマンス評価が中心となっています。

(3)改訂ポイントと審査視点の整理

9.PDCAを継続的に回すためのツール・テンプレート集

(1)管理台帳

PDCAを継続的に運用するためには、各種台帳の整備が欠かせません。個人情報台帳、委託先管理台帳、アカウント管理台帳などを作成し、更新履歴を明記することで監査時の信頼性が高まります。Excelでの管理が一般的ですが、バージョン管理ミス（先祖返り）が起きやすいため、Googleスプレッドシートや専用のSaaSツールを活用し、常に最新版が共有される環境を整えることが推奨されます。

(2)教育記録

教育の実施状況を証跡として残すことが重要です。受講者一覧、テスト結果、未受講者のフォロー記録を管理し、教育の実効性を示す必要があります。

(3)内部監査チェックリスト

内部監査では、JIS項番に対応したチェックリストを用い、実地確認欄や証跡添付欄を設けることで、形式的な監査を防ぎます。監査の質を高めるためには、チェックリストの更新と証跡の充実が不可欠です。

(4)年間運用計画

年間計画を作成することで、PDCAの「Check（点検）」「Act（改善）」につなげやすくなります。繁忙期を避けてイベントを分散させることで、担当者の負担を軽減し、形骸化を防ぐ効果があります。

【年間運用計画：4月～はじめる場合】

(5)形骸化しない運用を支えるツール

SlackやTeamsなどのチャットツールと連携し、入退室エラーや持ち出し申請の承認を自動通知する仕組みを導入すると、Do（実行）とCheck（点検）が日常業務に自然に組み込まれ、形骸化を防ぐことができます。

10.まとめ

本記事では「プライバシーマーク（Pマーク）のPDCAサイクル」について詳しく解説しました。

要点を整理しておきましょう。

PDCAの全体像

• PDCAは単なる管理手法ではなく、PMS（個人情報保護マネジメントシステム）の骨格そのもの。
• 一度回して終わりではなく、継続的改善（スパイラルアップ）を前提とした無限ループ。
• JIS Q 15001では、Plan（計画）・Do（実行）・Check（点検）・Act（改善）それぞれに条項が対応し、成熟度は「PDCAの回り具合」で判断される。

Plan（計画）

• 個人情報の棚卸とリスク分析を抜け漏れなく実施することが出発点。
• 2023年版では、ライフサイクル全体管理、クラウド利用リスク、外部連携、廃棄プロセスが強化。
• 部署ごとにリスクに応じた計画を立て、守れるルールを作ることが評価される。

Do（実行）

• 教育（全社員・派遣・アルバイト含む）、委託先管理、入退室管理が審査で厳しく見られる。
• 証跡（エビデンス）が必須で、口頭説明だけでは不可。
• 記録は「誰が／何を／いつ／どうした」が追える形で残し、改ざん防止と検索性を担保する。

Check（点検）

• 内部監査は「不適合なし」だけでは逆に疑念を招く。
• チェックリストの儀式化やなれ合い監査は形骸化の典型。
• 不備の根因を掘り下げ、他部署への展開やJIS条項との整合を確認することが重要。

Act（改善）

• マネジメントレビューで経営者がリスク状況、管理策の妥当性、リソース配分を判断。
• 改善は「修正（処置）」と「是正処置」を区別し、再発防止策を具体化する。
• 翌年のPlanに改善内容を落とし込み、トレーサビリティを確保することが審査のポイント。

ケース事例

• 入退室管理：入館証返却漏れや共連れ入室を契機に、チェック欄追加・ゲート設定変更・教育強化へ。
• 委託先管理：無断再委託やクラウド障害を契機に、契約条項見直し・選定基準強化・サービス移行へ。

よくある失敗と改善アプローチ

• 計画が過剰で現場が守れない → 現実的なルールへ適正化。
• 点検が形式的で証跡不足 → 実地確認＋証拠取得を必須化。
• 改善は「指摘ゼロ」を目指すのではなく、ヒヤリハットを積極報告した部門を評価する仕組みが有効。

JIS Q 15001：2023版との関係

• トップマネジメントの関与が強調され、成果重視へシフト。
• リスクベースアプローチ、外部委託、クラウドガバナンス、ライフサイクル管理が強化。
• 「PDCAを回した結果、何が改善されたか」を説明できることが審査で問われる。

継続的運用を支えるツール

• 管理台帳（個人情報・委託先・アカウント）、教育記録、内部監査チェックリストを最新版で共有。
• 年間運用計画を月別に分散し、繁忙期を避けることで形骸化を防止。
• SlackやTeamsと連携した自動通知で、Do（実行）とCheck（点検）を日常業務に溶け込ませる。

本記事を参考に、プライバシーマークのPDCAサイクルを「形骸化しない仕組み」として継続的に運用し、組織の成熟度を高めていただければ幸いです。