ISMSの内部監査とは？　目的や具体的な進め方、必要書類を解説

1.監査員の選定

ISMSの内部監査で最初に行うのが、監査員の選定です。監査の信頼性を確保するためには、監査対象となる部門と利害関係のない中立的な立場の人物を選ぶ必要があります。監査の客観性・公平性が損なわれると、正しい判断ができず、ISMS全体の改善につながらない可能性もあるため、適切な人物の選定が不可欠です。

監査員には、ISMSやISO/IEC 27001の規格に関する知識はもちろん、監査技法やヒアリングスキル、報告書作成能力などの実務的なスキルも求められます。候補者のスキルに不安がある場合は、必要に応じて、外部研修の受講や関連資格の取得を検討すると良いでしょう。

2.監査計画の立案

監査員を選定したら、次に行うのが監査計画の立案です。監査を効果的に実施するためには、重点的に調査すべきリスク領域を明確にし、無理のないスケジュールと体制で監査を進めることが重要です。情報漏洩やセキュリティインシデントのリスクが高い業務、部署を優先的に監査対象とすることで、実効性の高い監査が可能になります。

監査計画では、監査の目的や対象部門、スケジュールなどを盛り込んだ監査計画書を作成します。計画書は監査対象部門と共有し、業務への影響を最小限に抑えながら、円滑に監査が実施できるよう調整することも必要です。

関係者全員に監査の目的や流れを事前に周知し、共通認識を持つことが、スムーズな監査実施と現場の協力を得るためのカギとなります。

3.監査の実施

監査計画を策定したら、計画に基づいて監査を実施します。一般的な監査の流れは、下記の通りです。

ISMSの内部監査を実施する際の流れ

• 1.チェックリストの事前配布
• 2.監査対象部門へのヒアリング
• 3.現場の確認（業務状況の観察、文書のレビュー）
• 4.指摘事項の記録・整理

まず、監査対象部門には、事前にチェックリストを配布しておくことで、当日の監査をスムーズに進めることができます。その後、ヒアリングや現場確認を通じて、実際の運用が規定通りに行われているか、改善が必要な点がないかを確認します。

監査では、ヒアリングに加えて業務状況の観察や文書のレビューも組み合わせて評価を行い、適合している事項と不適合事項の両方について、証拠を客観的に収集・記録することが必要です。

また、監査を成功させるポイントは、監査対象部門との円滑なコミュニケーションです。一方的にチェックする場として実施するのではなく、業務改善のための対話の場ととらえ、協力的な関係を築くことが求められます。

4.監査報告書の作成

監査が終了したら、その結果を取りまとめた監査報告書を作成します。報告書には、監査で確認された適合事項や不適合事項、改善点、良好な点などを客観的に記載し、経営層や関係部門と共有することが重要です。

監査報告書は、マネジメントレビューや改善活動の起点となる資料であり、ISMSの運用改善に直結する重要なドキュメントです。不適合が見つかった場合には、不適合報告書を別途作成し、具体的な不適合内容と改善案、是正措置の期限などを明確に記載します。

また、報告書では指摘事項だけでなく、監査対象部門の良好な点にも言及することで、監査員や監査を行う部署との信頼関係の構築にもつながります。

報告書の作成後は、関係者へのフィードバックや、是正措置のフォローアップを含めたアクションプランを検討・実行し、PDCAサイクルの「Action（改善）」へとつなげていくことも必要です。

内部監査計画書の記載項目

内部監査計画書は、監査をどのように進めるかの全体像を示す文書で、監査の透明性と効率性を確保するために重要な役割を担います。計画書には、下記のような項目を記載するのが一般的です。

内部監査計画書の記載項目の例

• 監査の目的や方針
• 監査対象部門
• 監査の範囲
• 監査の実施者（監査員）
• 監査項目
• 監査の日時

これらの項目を明確にすることで、関係者間での認識のずれを防ぎ、スムーズな監査実施につながります。

なお、計画を立てる際には、過去の内部監査報告書やISMSの基本方針、リスクアセスメント結果などを参考にすることで、より実効性の高い監査を計画できます。

内部監査報告書の記載項目

内部監査報告書は、監査の実施結果をまとめ、改善活動につなげるための基礎資料です。報告書には、一般的に以下のような項目を記載することが求められます。

内部監査報告書の記載項目の例

• 監査対象部門
• 監査の実施者（監査員）
• 監査の日時
• 監査の内容（チェック項目ごとの確認結果）
• 監査結果（適合、不適合など）

報告書の目的は、個人の責任を追及することではなく、マネジメント上の課題を明らかにし、改善を促すことにあります。そのため、表現は冷静かつ客観的に記述し、監査対象部門と建設的な関係を維持できる内容にすることが重要です。

不適合や重大な課題が発見された場合は、不適合報告書を別途作成します。不適合報告書の記載項目の例は、下記の通りです。

不適合報告書の記載項目の例

• 不適合の具体的な内容と発生要因
• 改善案や是正措置の内容
• 是正措置の期限と責任者の氏名

これらの記載を基に、フォローアップや再監査が実施され、ISMSの継続的な改善につながっていきます。

監査員の独立性と専門性を確保する

監査員は、必ず監査対象から独立した立場の人を選定しましょう。内部監査の信頼性は、監査員の独立性と専門性に大きく依存します。監査対象部門と利害関係がある人物が監査を行うと、客観性が損なわれるリスクがあります。

加えて、情報セキュリティやISMSの知識、監査技法を備えていることも重要です。社内研修や外部資格を通じてスキル強化を図ることが、内部監査の質を高めるカギとなります。

監査対象部門と内部監査の責任者は同じ役職クラスにする

監査対象部門の責任者が、内部監査の責任者よりも上位の役職にある場合、不適合事項の指摘や改善案の提案がしづらくなる傾向があります。反対に、内部監査の責任者のほうが上位の場合、一方的に指摘事項を押し付けるような監査にもなりかねません。

指摘事項が受け入れられなかったり、あるいは軽視されたりする事態を避けるためにも、監査の実行責任者は同格または対等な立場の人材を選ぶことが理想的です。

従業員に内部監査の重要性を理解してもらう

内部監査が形骸化しないためには、その重要性を現場の従業員に理解してもらい、協力を得ることが欠かせません。内部監査が組織全体の安全性の向上に寄与することを明確に伝え、単なるチェックのための監査ではなく、改善のための活動であるという認識を持ってもらうことが重要です。

適切なコミュニケーションと信頼関係の構築を心掛ける

内部監査では、監査対象部門との適切なコミュニケーションと信頼関係の構築を心掛けましょう。監査対象部門に対しては、事前・事後の説明を丁寧に行い、監査中もコミュニケーションを重視することで、現場の実態を把握できる効果的なヒアリングが期待できます。そうした取り組みで信頼関係を構築できれば、内部監査を単に不備を探す場ではなく、改善のきっかけをつくるプロセスにすることが可能です。

例えば、報告書に指摘だけでなく「良好な点」も明記することは、現場の内部監査対応へのモチベーション維持にもつながる良い方法です。

ルールが適切かどうかも判断する

内部監査では、「ルールを守っているか」に加え、「そのルールが現実的で妥当かどうか」も評価対象に含めることが重要です。

例えば、ルールが複雑すぎて現場で運用できていなかった場合、ルールを守れなかった従業員に非があるわけではなく、ルール設計自体に課題があると考えられます。監査を通じてルールの改善につなげることで、従業員のISMSへの理解と協力も得やすくなります。