審査機関を選ぶ段になると、まず「どこが候補になるのか」を知りたくなります。国内でISMS認証の審査を行う機関は複数あり、それぞれに得意な規模や審査のスタイルがあります。ただし各社のウェブサイトを見比べても、判断の役に立つ差異はなかなか見えてきません。
この記事では、ISMS認証の審査機関としてよく候補に挙がる5機関の認定機関と特徴を一覧にし、そのうえで自社の条件からどう絞り込むかを整理します。価格の具体額は扱いません。 審査費用は適用範囲内の人数・拠点数・事業の複雑性で決まるため、「この機関は安い／高い」という一般化が成立しないからです。金額は必ず相見積で確認してください。
選定の手順そのものは 審査機関の選び方｜相見積で見るべき点 に、費用の構造は ISMS取得費用の全体像｜コンサル費・審査費・社内工数 にまとめています。
免責：本記事は一般的な情報提供です。各機関の認定状況・サービス内容・費用は変更されることがあり、各機関および認定機関の公表資料が正本です。実際の選定はそれらに基づいて行ってください。
比較の前提 — 認定を受けていれば認証の効力は同じ
最初に押さえるべき前提です。認定機関から認定を受けた審査機関であれば、発行される認証の効力に差はありません。 取引先に提出したときに「この機関の認証では不足」と言われることは、原則としてありません。
国内のISMS認証の認定機関は ISMS-AC（情報マネジメントシステム認定センター） です。審査機関によっては、これに加えて英国の UKAS、米国の ANAB といった海外の認定を併せ持っています。認定機関の違いが効くのは、主に海外の取引先や親会社に認証を示す場面です。この論点は ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方 で詳しく扱っています。
したがって、以下の比較は「どこが優れているか」ではなく、「自社の条件にどこが合うか」を見るためのものです。
主要5機関の一覧
| 審査機関 | 認定機関 | 特徴 |
|---|---|---|
| BSIグループジャパン | ISMS-AC ＆ ANAB | 世界最古の国家規格協会。ISO 27001原案の策定元で実績豊富 |
| 日本品質保証機構（JQA） | ISMS-AC ＆ UKAS | 国内大手。100名以下の組織の登録が7割超でスタートアップに知見 |
| ビューローベリタスジャパン | ISMS-AC | 紹介企業に特別価格。短期間取得・日程調整に柔軟 |
| SGSジャパン | ISMS-AC | 約140年の歴史。スタートアップ中心に規模を問わず実績 |
| DQSジャパン | ISMS-AC | 現役ITエンジニア審査員。現場の流れを重視した審査 |
この5機関は、ポテックがISMS認証取得支援のなかで相見積を取得している機関です。ここに挙げていない機関にも有力な選択肢があります（後述）。
各機関の特徴をどう読むか
一覧の「特徴」欄は短い記述ですが、選定の観点としてはそれぞれ意味が異なります。順に見ていきます。
BSIグループジャパン（認定：ISMS-AC ＆ ANAB）
世界最古の国家規格協会であり、ISO 27001の原案の策定元という背景を持ちます。規格そのものの成り立ちに関わってきた組織であるという点は、規格解釈が論点になる場面での安心材料になります。
認定は ISMS-ACとANAB の組み合わせです。ANABは米国の認定機関であるため、米国企業との取引や米国向けの事業展開がある場合に説明がしやすくなります。海外取引の比重が高い事業者にとっては、この組み合わせが選定理由になり得ます。
日本品質保証機構（JQA）（認定：ISMS-AC ＆ UKAS）
国内大手の審査機関です。特徴として挙がるのは、登録組織のうち100名以下の組織が7割を超えるという構成です。つまり、小規模組織の審査が例外ではなく主流であり、スタートアップや少人数組織の事情に対する知見が蓄積されていると考えられます。
「人数が少なくて役割の兼任が多い」「専任のセキュリティ担当を置けない」といった条件は、小規模組織では当たり前のことです。それを前提として理解している審査機関であれば、当日の説明コストは下がります。少人数組織の考え方は 少人数組織のISMS｜50名以下で取得するときの考え方 を参照してください。
認定は ISMS-ACとUKAS の組み合わせで、UKASは英国の認定機関です。欧州の取引先がある場合に効いてきます。
ビューローベリタスジャパン（認定：ISMS-AC）
特徴として挙がるのは、短期間での取得や日程調整への柔軟性です。審査日程は先着で埋まっていくため、「取引の締切から逆算して取得時期が決まっている」というケースでは、日程の融通が利くかどうかが実質的な選定基準になります。
また、紹介企業に対する特別価格の設定があります。支援会社経由で申し込む場合に条件が変わり得るということなので、相見積を取る際には紹介の有無を含めて確認する価値があります。
SGSジャパン（認定：ISMS-AC）
約140年の歴史を持つ機関で、スタートアップを中心に規模を問わない実績があるとされます。小規模組織から一定規模まで幅広く対応しているということは、事業の成長に伴って適用範囲や人数が増えていく場合に、同じ機関で継続しやすいという意味を持ちます。
ISMSは3年サイクルで更新していくものなので、3年後・6年後の自社の規模を想定したときに、その規模帯の審査経験があるかは確認しておくとよい観点です。
DQSジャパン（認定：ISMS-AC）
特徴は審査員の構成で、現役のITエンジニアが審査員を務め、現場の流れを重視した審査を行うとされます。
これは、開発組織を適用範囲に含める事業者にとって意味のある違いです。CI/CDパイプライン、クラウド上の権限設計、ログの取り方といった技術的な運用は、文書の記述だけでは実態が伝わりにくい領域です。技術的な背景を持つ審査員であれば、前提の説明に時間を取られず、指摘も実装可能な粒度で返ってきやすくなります。技術的管理策の整理は 技術的管理策34項目の読み方 にまとめています。
ここに挙げた以外の機関
上記5機関は一例です。国内でISMS認証の審査を行う機関は他にもあり、日科技連（日本科学技術連盟）、JSA-SOL、ICMS などからも見積りを取得・比較できます。
候補を5社に限定する必要はありません。むしろ、次のような事情があるなら候補を広げる価値があります。
- 特定の業界・技術領域に強い機関を探している
- 拠点の所在地の関係で、旅費を抑えられる機関を探したい
- 既存の他認証（ISO 9001等）と同じ機関に寄せたい
- 希望時期に審査枠が確保できる機関を優先したい
実務上は、認定機関の組み合わせが異なる機関を混ぜて3社程度に依頼するのが扱いやすい規模です。
自社の条件からどう絞るか
機関の特徴と自社の条件を突き合わせると、優先順位はおおむね次のように整理できます。
| 自社の条件 | 重視すべき観点 |
|---|---|
| 海外（米国）の取引先・親会社に認証を示す | ANABなど米国の認定を併せ持つか |
| 欧州の取引先がある | UKASなど欧州の認定を併せ持つか |
| 国内取引のみ | ISMS-ACで十分。他の観点を優先してよい |
| 50名以下の少人数組織 | 小規模組織の審査実績、兼任前提への理解 |
| 取得時期が取引の締切で決まっている | 審査日程の確保しやすさ、短期対応の可否 |
| 開発組織を適用範囲に含める | 審査員の技術的背景 |
| 数年で人数・拠点が大きく増える見込み | 規模拡大後も対応できる実績の幅 |
| 医療情報を取り扱う | ヘルスケア領域・3省2ガイドラインの文脈の理解 |
最後の行はヘルスケア事業者に固有の観点です。医療機関との取引では、ISMSの認証に加えて3省2ガイドラインへの対応状況を問われることがあり、審査の場でも医療情報の取扱いが論点になります。文書の統合については ISMS文書と3省2ガイドライン対応文書の統合、医療機関側が負っている要請については 3省2ガイドラインとは｜医療情報システムの安全管理 を参照してください。
なお、この表のすべてを満たす機関を探す必要はありません。 自社にとって上位2つの条件が満たせていれば、あとは費用と日程で決めて差し支えありません。
費用について — なぜ具体額を書けないのか
「結局どこが安いのか」は誰もが知りたい点ですが、一般化した金額を示すことはできません。 審査費用は次の要素で決まるためです。
- 適用範囲内の要員数
- 適用範囲に含める拠点数
- 事業活動の複雑性（開発・運用・データセンター運営など）
- 他認証との統合審査の有無
同じ機関でも、30名・1拠点の会社と200名・3拠点の会社では金額が桁違いになります。逆に、条件を揃えて複数機関に依頼すれば、その条件における各機関の水準は明確に比較できます。つまり、費用は「調べるもの」ではなく「見積もってもらうもの」です。
加えて、審査費用のほかに申請料・登録料、旅費交通費、年間維持料が別建てになることがあります。この点を含めた見積りの読み方は 審査機関の選び方｜相見積で見るべき点、相場の考え方は 審査費用の相場と変動要因 で扱っています。
まとめ
主要審査機関を比較するうえで押さえるべき点は次のとおりです。
- 認定を受けた機関であれば認証の効力は同じ。比較は優劣ではなく適合性を見るためのもの
- 認定機関の組み合わせは ISMS-AC単独か、UKAS・ANABを併せ持つか。海外取引の有無で意味が変わる
- 5機関の特徴は、規格策定の背景（BSI）／小規模組織の知見（JQA）／日程の柔軟性（BV）／規模を問わない実績（SGS）／技術的背景を持つ審査員（DQS） と整理できる
- 日科技連・JSA-SOL・ICMSなど他の機関も候補になる。5社に限定する必要はない
- 絞り込みは、海外取引の有無・組織規模・取得時期の制約・開発組織の有無という自社側の条件から行う
- 費用の具体額は相見積でしか分からない。条件を揃えて3社程度に依頼する
ポテックは、ISMS認証取得支援のなかで上記の機関から相見積を取得し、御社の規模・方針に合った機関選びをご支援しています（費用は人数等に応じて変動します）。日科技連、JSA-SOL、ICMSなど他機関からの見積取得・比較も可能です。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。ISMSの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にまとめています。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- UKAS（United Kingdom Accreditation Service）
- ANAB（ANSI National Accreditation Board）
※各審査機関の認定状況・サービス内容は変更されることがあります。最新の情報は各機関および認定機関の公表資料でご確認ください。費用は組織規模・適用範囲・審査機関により大きく変動します。