「ISMSの審査費用はいくらですか」という問いに一般論で答えるのは、実は難しいことです。審査費用は定価表のある商品ではなく、組織の条件から算出される見積りだからです。同じ50名の会社でも、拠点が1つか3つか、開発を内製しているか外注しているかで金額は変わります。
一方で、算出の構造は共通しています。審査費用の中心は「審査人日 × 単価」であり、人日は限られた要素で決まります。この構造を理解していれば、届いた見積りが妥当かどうか、どこを調整すれば下がるのかを自分で判断できます。
もう一つ押さえておきたいのが、審査費用と支援会社（コンサル）の費用は別物だということです。この2つを混ぜて「ISMSはいくら」と考えると、見積り比較で必ず混乱します。
本記事では、審査費用を動かす要因、初年度と2年目以降の違い、3年総額での見方、そして相見積で確認すべき費目を整理します。費用全体の構造は ISMS取得費用の全体像｜コンサル費・審査費・社内工数、制度の全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。審査費用は審査機関・組織規模・適用範囲により大きく変動します。本記事に記載した金額水準は解説として流通しているもので、要一次確認です。実際の金額は必ず審査機関からの見積りでご確認ください。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。
審査費用は「人日」で決まる
審査費用の主要部分は、審査員が何人日その組織を審査するかで決まります。
審査費用 ≒ 審査人日 × 審査員単価 ＋ 旅費 ＋ 各種手数料
このうち組織側が影響を与えられるのは、実質的に人日です。単価は審査機関ごとにほぼ決まっており、交渉余地は限られます。したがって「費用を下げたい」という話は、ほとんどの場合「人日を減らせるか」という話になります。
人日は誰が決めるのか
審査人日は審査機関が自由に決めているわけではなく、認定機関の定めるルールに沿って算定されます。国内の認定機関は ISMS-AC（情報マネジメントシステム認定センター） で、海外認定（UKAS、ANABなど）の場合も同様の国際的な枠組みに基づきます。認定機関の違いについては ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方 を参照してください。
この算定ルールがあるため、同じ条件を提示すれば、審査機関ごとの人日は極端には離れません。相見積を取ったときに人日が大きく違う場合は、前提条件（要員数の数え方、拠点の扱い、適用範囲の解釈）がずれている可能性を疑ってください。
費用を動かす5つの変数
| 変数 | 影響 | 実務上の論点 |
|---|---|---|
| ① 適用範囲内の要員数 | 最も大きい。人日算定の基礎 | 誰を数えるかが争点。正社員だけでなく、契約社員・派遣・常駐する業務委託者を含めるかは実態で判断される。在宅勤務者の扱いも確認が必要 |
| ② 拠点数 | 拠点が増えるほど人日と旅費が増える | 複数拠点はサンプリング（一部拠点のみ訪問）が認められる場合がある。条件は審査機関に確認する |
| ③ 事業の複雑さ | 活動の種類が多いほど増える | 開発・運用・データセンター運営・24時間サポートなど、性質の違う活動が多いと確認箇所が増える。逆に業務が単一なら軽くなる |
| ④ 既存認証との統合 | 統合審査で全体の人日が減ることがある | Pマーク、ISO 9001、ISO 27017等を同時または同一機関で受ける場合、重複部分の削減が見込める |
| ⑤ 適用範囲の広さ | 全社か一部事業かで大きく変わる | 取引先が求めている範囲を先に確認する。必要以上に広く取ると毎年の費用に効いてくる |
①の数え方は見積り比較で最も差が出るところです。 「50名の会社」と言っても、業務委託者を含めると70名になる場合、人日の算定が変わります。相見積を取るときは、要員数の定義と内訳を各機関に同じ形で提示することが公平な比較の前提です。
⑤は唯一、構築段階で大きく調整できる変数です。 適用範囲を絞れば審査人日も文書量も減ります。ただし、取引先が「全社での認証」を求めているのに一部事業で取得しても意味がありません。範囲の決め方は ISMS適用範囲の決め方、ヘルスケア固有の考え方は ヘルスケア企業のISMS適用範囲設計 で扱っています。
金額の水準について
解説として流通している水準としては、数名規模で60万円前後、100名規模で100万円前後という記述が見られます（要一次確認）。ただし、これは初年度の審査費用のおおよその目安として語られるもので、審査機関・拠点数・事業内容によって上下します。この数字を前提に予算を確定させるのは危険です。
確実なのは、複数の審査機関から、同じ前提条件を提示して見積りを取ることだけです。審査機関の選定については 審査機関の選び方｜相見積で見るべき点 にまとめています。
初年度と2年目以降の違い
審査費用は年によって性質が変わります。
| 年次 | 審査 | 人日の傾向 | その他の費用 |
|---|---|---|---|
| 1年目 | 1次審査（文書審査）＋2次審査（実地審査） | 最も大きい。小規模組織で1次1〜2日、2次2〜3日というのが一般的な目安 | 申請料・登録料が発生 |
| 2年目 | サーベイランス審査 | 初回審査より少ないのが通例 | 年間維持料 |
| 3年目 | サーベイランス審査 | 2年目と同程度 | 年間維持料 |
| 更新時 | 更新審査（再認証審査） | サーベイランスより大きく、初回審査に近づく | 年間維持料。範囲変更があれば再算定 |
1年目が重いのは、1次審査と2次審査という2回の審査があるためです。1次審査は主に文書と準備状況を確認し、2次審査で実際の運用を見ます（1次審査（文書審査）で見られること、2次審査（実地審査）で見られること）。
2年目・3年目のサーベイランス審査は範囲が絞られるため人日が減ります。ただしゼロにはなりませんし、年間維持料は毎年発生します。「取得すれば終わり」という前提で予算を組むと、2年目に想定外の支出が出ます。維持審査の実務は サーベイランス審査（維持審査）の準備、更新審査は 更新審査（3年目）の準備 をご覧ください。
年の途中で条件が変わった場合
人員が大きく増えた、拠点が増えた、適用範囲を広げた——こうした変化があると、次回審査の人日が再算定され、費用が上がります。逆に事業を縮小して範囲を狭めた場合は下がる可能性があります。
いずれの場合も、変更は適時に審査機関へ報告する必要があります。報告せずに審査当日に発覚すると、費用の問題以前に「適用範囲と実態の不一致」という指摘につながります。
審査機関へ支払う費目の全体像
見積書を読むときは、次の費目が含まれているか・別建てかを確認してください。初回提示額に含まれていない費目があると、3年総額で差が出ます。
| 費目 | 内容 | 確認したい点 |
|---|---|---|
| 申請料・登録料 | 初回申請時、認証登録時の事務手数料 | 初年度のみか、更新時にも発生するか |
| 審査費用（1次・2次） | 審査人日に応じた費用 | 人日の内訳と、その算定根拠となる前提条件 |
| 旅費交通費 | 審査員の移動・宿泊 | 見積りに含まれるか実費精算か。地方拠点がある場合の想定 |
| 年間維持料 | 認証維持のための年額費用（名称は機関により異なる） | 毎年発生するか。金額は固定か変動か |
| サーベイランス審査費用 | 2年目・3年目の審査 | 3年分が見積りに含まれているか |
| 更新審査費用 | 3年ごとの再認証 | 見積り時点で概算が示されるか |
| 再審査・追加審査 | 重大な不適合が出た場合の追加確認 | 発生条件と費用の考え方 |
| 範囲変更に伴う審査 | 拠点追加・事業追加時の追加確認 | 手続きと費用の目安 |
| リモート審査の可否 | オンラインでの実施 | 可能な範囲。旅費削減につながる場合がある |
とくに 旅費・年間維持料・サーベイランス費用 は初回の提示額に含まれないことがあります。「安い」と思った見積りが3年で見ると高い、という逆転はここで起きます。
3年総額で比較する
ISMSの費用は初年度に集中しますが、認証は3年サイクルで運用されるため、初年度だけの比較は誤りです。次の形で並べてから判断してください。
| 費目 | 1年目 | 2年目 | 3年目 | 更新時 |
|---|---|---|---|---|
| 審査機関への支払い | 申請料・登録料＋1次審査＋2次審査＋年間維持料 | サーベイランス審査＋年間維持料 | サーベイランス審査＋年間維持料 | 更新審査＋年間維持料 |
| 支援会社への支払い | 新規取得支援 | 運用支援（契約する場合） | 運用支援（契約する場合） | 運用支援＋更新対応 |
| 社内工数 | 最も重い | 内部監査・レビュー・更新作業 | 同左 | 3年分の整理が加わる |
支援会社への費用を2年目以降ゼロにできるかどうかは、初年度に社内へ運用ノウハウが残るかどうかで決まります。 文書を作ってもらっただけの状態では、2年目の内部監査とリスクアセスメント更新で止まり、結局追加の支出が発生します。ここは見積り金額よりも、何が社内に残る契約なのかを見るべきところです。
ポテックの料金との関係
参考として当社の場合を示すと、支援料金は次のとおりです（いずれも税抜、最大50名ほどまでの組織規模、当社提供の雛形通りのドキュメントでの実施を想定）。
| 区分 | 内容 | 料金 |
|---|---|---|
| ISMS新規取得支援 | はじめての認証取得。全体設計、文書整備、リスクアセスメント、教育、審査機関対応、内部監査 | 120万円／年〜 |
| ISMS運用支援（2年目以降） | 役割・適用範囲の見直し、リスクアセスメント更新、内部監査、維持審査・更新審査への対応 | 80万円／年〜 |
この料金に審査機関への支払い（審査費用）は含まれません。 当社では相見積を取得してご案内する形を取っています。1次審査・2次審査の立会はオプション（それぞれ10万円・20万円）、3省2ガイドライン対応は150万円〜です。料金の全体は ISMS認証取得支援サービス に掲載しています。
相見積で確認すべきこと
複数の審査機関から見積りを取る際、次を揃えてから比較してください。
前提条件を揃える
- 適用範囲内の要員数の定義（正社員・契約社員・派遣・常駐委託者・在宅勤務者の扱い）
- 適用範囲に含める拠点とその所在地
- 適用範囲に含める事業・サービス・部門
- 事業活動の種類（開発、運用、サポート、データセンター運営など）
- 既存の認証（Pマーク、ISO 9001等）と統合審査を希望するか
見積書で確認する
- 審査人日の内訳（1次・2次それぞれ何人日か、審査員は何名か）
- 人日算定の根拠となった前提条件が、提示した条件と一致しているか
- 旅費が含まれるか、実費精算か
- 年間維持料の有無と金額
- 2年目・3年目のサーベイランス審査費用が示されているか
- 更新審査の概算が示されているか
- リモート審査の可否と、可能な範囲
- 重大な不適合が出た場合の追加審査の費用と条件
費用以外で比較する
- ヘルスケア・医療情報分野の審査実績があるか
- 希望する時期に審査員を確保できるか（繁忙期は日程が取りにくい）
- 審査報告書の記載レベル（指摘の具体性、改善の示唆の有無）
- 異議申立ての手続きが明示されているか
最後の項目群は金額に表れませんが、3年以上の付き合いになる相手を選ぶという観点では重要です。とくにヘルスケア領域では、医療情報の取扱いや3省2ガイドラインとの関係を理解している審査員に当たるかどうかで、審査の質が変わります（3省2ガイドラインとは｜医療情報システムの安全管理）。主要機関の特徴は 主要審査機関の比較｜BSI・JQA・BV・SGS・DQS で扱っています。
まとめ
- 審査費用の中心は 審査人日 × 単価。組織側が動かせるのは実質的に人日
- 人日は認定機関の算定ルールに沿って決まるため、同じ条件を提示すれば機関ごとに極端には離れない。大きく違うときは前提条件のずれを疑う
- 人日を動かす主な変数は適用範囲内の要員数・拠点数・事業の複雑さ・統合審査の有無・適用範囲の広さ。最も調整余地があるのは適用範囲
- 一般に流通する水準（数名規模で60万円前後、100名規模で100万円前後）は要一次確認。これを前提に予算を確定させない
- 初年度は1次・2次の2回があり最も重い。2年目以降はサーベイランスで軽くなるが、年間維持料は毎年発生する
- 旅費・年間維持料・サーベイランス費用が初回提示に含まれないことがある。3年総額で並べて比較する
- 審査費用と支援会社の費用は別物。ポテックの支援料金にも審査機関への支払いは含まれない
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。審査機関の相見積取得と比較もご支援の範囲に含まれます。新規取得支援は120万円／年〜、2年目以降の運用支援は80万円／年〜（いずれも税抜）で、審査機関への支払いは含まれません。
支援内容と料金の詳細は ISMS認証取得支援サービス をご覧ください。見積りの妥当性を判断しかねているといった段階でも、お問い合わせ からご相談いただけます。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 17021-1 Conformity assessment — Requirements for bodies providing audit and certification of management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※本記事に記載した相場水準は解説として流通しているものであり、一次情報での確認が必要です。審査費用は審査機関・組織規模・適用範囲・拠点数により大きく変動します。人日の算定ルール、費目の名称と構成、リモート審査の可否は審査機関ごとに異なります。規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。