ISMS更新審査を控えているものの、「何を準備すればよいのか」「不適合が出たら認証はどうなるのか」と不安に感じていませんか。ISMSは取得して終わりではなく、認証後も情報セキュリティの仕組みを継続的に運用し、見直しと改善を続ける必要があります。

更新審査（再認証審査）は3年ごとに行われ、認証取得時の状態ではなく、その後3年間の運用状況が確認されます。不適合になりやすい原因は、日常的な運用記録の抜け漏れ、内部監査の実施不足、リスク評価と管理策の未更新、前回指摘事項の未対応、組織変更や規格改訂への未反映です。準備では、リスクアセスメント記録、内部監査報告書、マネジメントレビュー記録、教育記録、是正処置の記録をそろえ、文書と実際の運用が一致しているかを確認します。社内だけで進めることが難しい場合は、ISMS更新支援のコンサルティングサービスを利用する方法もあります。

この記事では、ISMS更新審査で不適合になる原因、更新前にそろえる書類と記録、見直したい運用の実態、外部支援を検討すべきケースを解説します。

おすすめサービスはこちら

ISMS更新審査とは

ISMS更新審査は、認証の有効期間が終わる前に、情報セキュリティマネジメントシステムが継続して運用されているかを確認する審査です。公式には再認証審査と呼ばれます。取得時の状態だけでなく、その後の運用、見直し、改善の流れが確認されます。

ISMSの審査サイクル

ISMS認証は、取得後も定期的な審査を受けながら維持します。

更新審査は、認証の継続可否に関わる節目の審査です。維持審査よりも確認範囲が広くなるため、直近の記録だけでなく、前回の更新審査以降の活動をまとめて確認しておく必要があります。

参考：ISMS/ITSMS/BCMS/AIMS認証を取得するには（JIPDEC）

更新審査で確認される範囲

更新審査では、ISMSの適用範囲、リスクアセスメント、情報セキュリティ目的、内部監査、マネジメントレビュー、教育記録、是正処置などが確認されます。

規程や手順書が整っていても、実際の運用記録が不足していれば不適合につながります。

不適合と観察事項の違い

審査での指摘は、大きく不適合と観察事項に分かれます。

不適合は、規格の要求事項や自社で定めたルールを満たしていない状態です。是正処置を行い、認証機関の確認を受ける必要があります。不適合には重大度の区分があり、重大なものは認証の継続に影響します。区分の名称や扱いは認証機関によって異なるため、指摘を受けた際は、どの区分に該当し、いつまでに何を提出するのかを認証機関に確認してください。

観察事項は、現時点で不適合とまでは言えないものの、改善が望ましい点として示されるものです。是正処置の提出までは求められないことが一般的です。ただし放置してよいわけではありません。次回以降の審査で同じ状態が続いていれば、不適合として扱われる可能性があります。

審査から認証更新までの日程

更新審査は、審査を受けた当日にすべてが完了するわけではありません。審査結果の確認、不適合や指摘事項への対応、是正処置の提出、認証機関による確認を経て、認証更新の判断が行われます。

指摘事項が出た場合は対応期間が必要です。有効期限の直前に受審すると、是正の時間が確保できません。審査日だけでなく、審査後の対応まで含めて日程を組んでください。

ISMS更新審査で不適合になる原因

不適合の背景にあるのは、文書そのものの不足だけではありません。日常運用の記録漏れと、組織変更後の見直し不足です。取得時に整えた仕組みが残っていても、現在の業務に合っていなければ指摘を受けます。

日常的な運用記録の抜け漏れ

ISMSでは、日々の運用が記録として残っていることが重要です。アクセス権限の見直し、委託先の確認、教育の実施、インシデント対応、バックアップ確認などは、実施した事実を示せる状態にしておく必要があります。

口頭で「実施している」と説明できても、記録がなければ審査では確認できません。更新審査前には、運用そのものだけでなく、証跡が残っているかまで確認してください。

内部監査の実施不足

内部監査は、ISMSがルールどおりに運用されているかを社内で確認する活動です。更新審査前に内部監査が実施されていない、監査範囲が限定的すぎる、指摘後の是正処置が記録されていない場合、不適合につながります。

内部監査は形式的に行うだけでは不十分です。監査計画、監査結果、指摘事項、是正処置の状況までを一連の流れとして残してください。

リスク評価と管理策の未更新

情報セキュリティのリスクは、事業内容、利用システム、働き方の変化によって変わります。クラウドサービスの追加、リモートワークの拡大、委託先の変更があったにもかかわらず、リスク評価や管理策が見直されていなければ、現在の実態とISMS文書にずれが生じます。

前回のリスク評価をそのまま使わず、業務の変化を反映しているかを見直しましょう。

前回指摘事項の未対応

前回の審査で指摘された内容が未対応のまま残っていると、更新審査で大きな問題になります。軽微な指摘や観察事項であっても、改善計画を立てたまま実施していなければ、ISMSの改善活動が止まっていると判断されます。

審査前には、前回の審査報告書を確認し、指摘内容、対応方針、実施結果、再発防止策まで整理してください。

教育内容や対象者の見直し不足

ISMSでは、従業員が情報セキュリティのルールを理解し、日常業務で実践できる状態が求められます。毎年同じ資料を配布するだけでは、現在のリスクや業務に合わなくなります。

新入社員、異動者、委託先担当者など、教育対象者が変わっている場合も注意が必要です。教育内容、受講対象、実施日、受講記録、理解度確認の有無を見直し、必要な人に必要な教育が届いている状態にしましょう。

組織変更や規格改訂の未反映

部署の新設、拠点の移転、利用システムの変更、外部委託の追加があった場合、ISMSの適用範囲、体制図、責任者、関連文書の見直しが必要になります。実際の業務は変わっているのに文書が古いままだと、審査で整合性を確認された際に説明できません。

見落としやすいのが、規格そのものの改訂です。ISMSの認証基準であるJIS Q 27001は、2023年版に対して追補1（JIS Q 27001:2025）が発行されています。JIS Q 27001:2025は追補のみの内容であるため、JIS Q 27001:2023と併せて適用する必要があります。

自社のISMSが最新の認証基準に対応しているかは、認証機関へ確認してください。更新審査前には、組織図、業務フロー、システム一覧、委託先一覧を見直し、現在の状態と文書の内容を合わせておきましょう。

参考：ISMS適合性評価制度の概要（ISMS-AC）

ISMS更新審査前にそろえる書類と記録

更新審査では、ISMSをどのように運用し、改善してきたかを示す書類と記録が必要です。すべてを直前に集めようとすると、抜け漏れの確認に時間がかかります。必要な記録を種類ごとに分け、どこに保管されているか、誰が説明できるかまで整理しておきましょう。

活動目的と目標の管理記録

ISMSでは、情報セキュリティの目的や目標を設定し、その達成状況を管理する必要があります。設定した目標が現在の事業内容やリスクに合っているか、達成状況を記録しているかを確認してください。

目標を掲げたまま評価していない場合、運用が形だけになっていると判断されます。未達成の目標がある場合も、理由と改善方針が整理されていれば説明できます。

リスクアセスメントとリスク対応の記録

リスクアセスメントの記録では、どの情報資産にどのようなリスクがあり、どのような対応を選んだのかが確認されます。更新審査で重要なのは、取得時のリスク評価ではなく、その後の変化に応じて見直しているかです。

新しいシステムや外部サービスを導入した場合、リスク対応に反映されているか確認しましょう。リスク対応計画と管理策の実施状況も整理しておくと、審査時の説明がスムーズになります。

内部監査報告書と是正処置記録

内部監査報告書は、ISMSの運用状況を社内で確認した証跡です。監査計画、監査範囲、監査結果、指摘事項、是正処置の記録をそろえてください。

指摘事項がある場合は、対応した事実だけでなく、原因の確認と再発防止策まで残します。是正処置が未完了のままだと、更新審査で追加確認を受けます。完了日と確認者も記録しておきましょう。

マネジメントレビュー記録

マネジメントレビューは、経営層がISMSの運用状況と改善点を確認する場です。更新審査では、内部監査の結果、リスクの変化、目標の達成状況、インシデントの有無、改善の必要性が経営層に報告されているかを見られます。

会議を実施しただけでは不十分です。議題、決定事項、今後の対応方針を記録してください。経営層の関与が確認できる記録があれば、ISMSが組織全体で運用されていることを示せます。

教育記録と周知状況の記録

教育記録では、誰に、いつ、どのような内容を教育したかが確認されます。全社員向けの情報セキュリティ教育だけでなく、新入社員、中途入社者、異動者への教育状況も整理しておきましょう。

規程を改定した場合は、改定内容を関係者に周知した記録も必要です。受講者リスト、教材、実施日、理解度確認の結果をそろえてください。

過去3年分の記録の整理方法

更新審査は3年ごとに行われ、認証期間中の運用状況が確認されます。過去3年分を目安に、主要な記録を提示できる状態にしておきましょう。

年度別、活動別、審査別など、探しやすい単位でフォルダを分けると、審査当日の対応がしやすくなります。電子データで管理する場合は、最新版と過去版が混在しないよう、ファイル名と保管場所を統一してください。

担当者だけが保管場所を把握している状態は避けます。複数人で確認できる管理方法にしておけば、担当者が不在でも対応できます。

更新審査前に見直したい運用の実態

書類や記録が整っていても、実際の運用が現在のルールと合っていなければ指摘を受けます。特に、アクセス権限、委託先管理、インシデント対応、法令や契約要件は、業務の変化によって見直しが必要になりやすい項目です。

アクセス権限の棚卸し状況

アクセス権限は、情報資産を守るうえで重要な管理項目です。退職者や異動者の権限が残っていないか、必要以上の権限が付与されていないかを確認しましょう。権限の申請、承認、変更、削除の記録が残っているかも見られます。

クラウドサービスや社内システムを複数利用している場合、システムごとに管理方法がばらつきます。棚卸しの実施日と確認結果を記録し、必要な修正を済ませておいてください。

委託先の評価と管理の実施状況

個人情報や機密情報を扱う業務を外部に委託している場合、委託先の評価と管理状況も確認対象です。契約時の確認だけでなく、継続的に管理しているかが問われます。

委託先一覧、評価記録、契約書、秘密保持に関する取り決め、定期確認の結果を整理しましょう。新しい委託先を追加した場合や、委託内容が変わった場合は、リスク評価と管理策にも反映しておく必要があります。

インシデント対応の運用状況

情報漏えいや不正アクセスなどのインシデントが発生した場合、対応手順に沿って記録を残しているかが確認されます。大きな事故がなくても、ヒヤリハット、誤送信、端末紛失の未遂をどのように扱っているかは重要です。

発生日時、影響範囲、対応内容、再発防止策を記録し、必要に応じて教育やルールの見直しにつなげましょう。記録がなければ、対応の実態を審査で説明できません。

法令や契約要件の反映状況

ISMSでは、情報セキュリティに関係する法令や取引先との契約要件を把握し、必要な管理策に反映することが求められます。

個人情報保護法、業界ごとのガイドライン、取引先から求められるセキュリティ要件に変更があった場合は、社内ルールと運用に反映しているかを確認しましょう。法令や契約要件の一覧を作るだけでなく、定期的に見直した記録を残しておいてください。

ISMS更新審査の準備の進め方と相談先

更新審査の準備は、書類をそろえるだけでは終わりません。関係部署から記録を集め、現在の運用との差分を確認し、必要に応じて是正や文書改定を行います。

更新期限から逆算した段取り

まず認証の有効期限と審査予定日を確認し、そこから必要な作業を逆算します。

1. 1.認証の有効期限と審査予定日を確認する
2. 2.前回審査の指摘事項の対応状況を確認する
3. 3.内部監査とマネジメントレビューを実施する
4. 4.必要な記録と証跡を整理する
5. 5.未対応事項を是正し、審査当日の準備を行う

作業を一覧化し、担当者と期限を決めて進めましょう。どの部署に確認が必要か、どの記録が不足しているかを把握できます。

審査当日の進行と対応者

審査当日は、経営層、ISMS責任者、各部署の担当者が質問に対応します。審査員から確認されるのは、文書の有無だけではありません。実際にどのように運用しているかという点にまで及びます。

担当者だけが説明できる状態では対応できません。関係者が自分の担当範囲を理解していることが必要です。事前に、誰がどの資料を説明するのかを決め、想定される質問に備えておきましょう。

自社対応が難しくなるケース

自社対応が難しくなるのは、担当者が退職した場合や、ISMSの運用が特定の人に依存していた場合です。前回審査の指摘事項が未整理、内部監査が未実施、記録の保管場所が不明、文書と実態が合っていないといった状態も注意が必要です。

更新期限が迫っている場合、社内だけで確認すると見落としが増えます。早めに外部の専門家へ相談すれば、優先順位を付けて準備を進められます。

支援会社に相談できる範囲

支援会社には、更新審査前の現状確認、必要書類の整理、内部監査の支援、リスクアセスメントの見直し、前回指摘事項への対応、審査当日の準備を相談できます。

自社でできる作業と外部に任せる作業を分ければ、負担を抑えながら準備を進められます。担当者不在や更新期限が近い場合は、最初に不足している項目を洗い出してもらうと、対応の優先順位を付けやすくなります。

ただし、審査で回答する主体は組織です。実際の運用状況は社内で把握しておく必要があります。

情報セキュリティコンサルティング コーチマモル（Coach MAMORU）

コーチマモル（Coach MAMORU）は、株式会社日本パープルが提供する情報セキュリティコンサルティングサービスです。ISMS取得・更新支援、プライバシーマーク取得・更新支援、情報セキュリティ教育を提供しています。

ISMS支援では、更新審査前の状況確認、必要な記録の整理、内部監査やマネジメントレビューの準備、文書と運用実態の確認を相談できます。会社の実態に合わせた無理のない支援を行い、運用時の具体的な業務までサポートします。

社内に専任担当者がいない場合や、前任者からの引き継ぎに不安がある場合にも活用できます。ISMS更新支援の事例もあります（マーブルデザイン株式会社の導入事例はこちら）。

ISMS更新審査に関するよくある質問

ISMS更新審査では、不適合が出た場合の扱い、費用、認証範囲の変更について疑問が生じやすいものです。ISMS更新審査に関するよくある質問と回答を紹介します。

更新審査で不適合が出ると認証は失効しますか？

不適合が出ても、すぐに認証が失効するとは限りません。多くの場合、指摘内容に対して是正処置を行い、認証機関の確認を受けます。ただし、不適合の内容が重大な場合や、期限内に是正できない場合は、認証の継続に影響します。審査後の対応期限と提出物は認証機関によって異なるため、指摘を受けたら早めに対応方針を確認してください。

観察事項は放置してもよいですか？

放置してはいけません。観察事項は、現時点で不適合とまでは言えないものの、改善が望ましい点として示されるものです。次回以降の審査で同じ状態が続いていれば、不適合として扱われる可能性があります。審査後は、不適合だけでなく観察事項も管理対象に含め、対応方針と実施結果を記録しましょう。

ISMS更新審査の費用はどのくらいかかりますか？

費用は、組織の規模、拠点数、適用範囲、従業員数、審査工数によって変わります。ISMSには統一された料金表がなく、認証機関ごとに異なるため、個別に見積もりを取る必要があります。認証機関へ支払う審査費用のほか、社内準備にかかる工数と、外部支援を利用する場合の費用も考慮してください。

認証範囲の変更も更新審査で対応できますか？

対象部署の追加、拠点の変更、業務内容の変更がある場合は、早めに認証機関へ確認してください。範囲変更には、適用範囲の見直し、リスクアセスメント、関連文書の修正、運用記録の準備が必要になります。直前の変更は対応が難しくなるため、計画段階で認証機関に相談しておきましょう。

まとめ｜ISMS更新審査は、3年分の運用記録がすべて

ISMS更新審査（再認証審査）は3年ごとに行われ、取得時に整えた文書ではなく、認証後3年間の運用記録と改善状況が確認されます。

不適合になりやすいのは、日常的な運用記録の抜け漏れ、内部監査の実施不足、リスク評価と管理策の未更新、前回指摘事項の未対応、教育の見直し不足、組織変更や規格改訂の未反映です。いずれも、直前に気づいても対応が間に合いません。

リスクアセスメント記録、内部監査報告書、マネジメントレビュー記録、教育記録、是正処置の記録を早めに整理し、文書と実際の運用が一致しているかを確認しましょう。

担当者の退職や組織変更により準備が進まない場合は、社内だけで抱え込まず、外部支援の活用も検討してください。情報セキュリティコンサルティング コーチマモル（Coach MAMORU）では、ISMS更新審査に向けた準備と運用の見直しを支援しています。

おすすめサービスはこちら