ISMS取得の準備を進めていくと、必ず「どの審査機関に申し込むか」を決める場面が来ます。ここで手が止まる担当者は多いはずです。審査機関の名前を並べてみても、ウェブサイトに書かれていることはどこも似ていて、価格表も公開されていません。結局は知り合いに紹介された1社にそのまま申し込む、という決め方になりがちです。
しかし審査機関の選定は、初年度の費用だけでなく、その後3年間の日程・工数・当日の進みやすさまでを決める判断です。しかも比較の材料は、こちらが条件を揃えて依頼しない限り出てきません。同じ会社の同じ適用範囲でも、伝え方が違えば見積りの前提が変わり、金額の比較が意味をなさなくなります。
この記事では、審査機関の見積りが何で決まるのか、相見積を取る前に何を確定させておくべきか、そして金額以外に何を見るべきかを、実務の順番で整理します。個別の機関の特徴は 主要審査機関の比較｜BSI・JQA・BV・SGS・DQS にまとめています。
免責：本記事は一般的な情報提供です。審査の工数算定、費用、認定の取扱いは審査機関および認定機関によって異なり、各機関の公表資料・見積書が正本です。実際の選定はそれらに基づいて行ってください。
審査機関はどこが違い、どこが同じなのか
まず前提を整理します。認定機関から認定を受けた審査機関であれば、発行される認証の効力は同じです。「A社の認証よりB社の認証のほうが格上」ということはありません。取引先に提出したときの通用度も、認定を受けた機関であれば基本的に変わりません。
国内のISMS認証の認定機関は ISMS-AC（情報マネジメントシステム認定センター） です。海外の認定機関では英国の UKAS、米国の ANAB などがあり、審査機関によっては複数の認定を併せ持っています。この違いが効いてくるのは、海外の取引先に認証を示す場面です。詳しくは ISMS-AC・UKAS・ANAB｜認定機関の違いと選び方 を参照してください。
では何が違うのか。実務上の差は次の3つに集約されます。
| 差が出るところ | 具体的には | 影響 |
|---|---|---|
| 費用と工数の算定 | 審査人日の数え方、人日単価、旅費・年間維持料の扱い | 初年度費用と3年総額 |
| 日程の運び方 | 審査日の確保しやすさ、短期取得への対応、リモート審査の可否 | 取得完了時期。取引の締切に間に合うか |
| 審査員の背景 | どの業界・技術領域の経験を持つ審査員が割り当てられるか | 当日の説明コスト、指摘の実用性 |
言い換えると、「証明書の価値」では差がつかず、「そこに至るまでの過程」で差がつくということです。ここを理解しておくと、比較の焦点が定まります。
見積りは何で決まるのか — 審査人日という単位
審査費用の中心は審査工数（審査員の人日数）です。人日が決まれば、あとは単価を掛けるだけという構造になっています。したがって、見積りを比較するとは、実質的に「人日の算定」と「単価と付随費目」を比較することです。
人日を左右するのは、おおむね次の要素です。
- 適用範囲内の要員数 — 最も影響が大きい要素。単純な従業員数ではなく、適用範囲に含まれる人数で数えます。契約社員・派遣・業務委託の常駐者をどう扱うかで人数が変わるため、ここは必ず事前に整理します
- 適用範囲に含める拠点数 — 拠点が増えるほど、現地確認と移動の分だけ工数が積み上がります。サンプリングが認められる場合もありますが、扱いは機関により異なります
- 事業活動の複雑性 — 開発・運用・データセンター運営・受託業務など、活動の種類が多いほど確認対象が増えます
- 他の認証との統合審査の有無 — ISO 9001やPマークと同時に受ける場合、調整によって全体の工数が変わることがあります
- 在宅勤務・リモート環境の広がり — 物理的な現地確認の比重が変わるため、審査の組み立てに影響します
そして、人日だけを見ていると比較を誤ります。見積書には人日以外の費目が別建てで載ることがあるためです。
| 費目 | 見落としやすい点 |
|---|---|
| 申請料・登録料 | 初回のみの事務手数料。提示金額に含まれない場合がある |
| 審査費用（1次・2次） | 初年度は1次審査と2次審査の2回。合算表示か個別表示かを確認する |
| 旅費交通費 | 審査員の移動・宿泊。地方拠点があると差が大きい。実費精算か定額かも機関により異なる |
| 年間維持料 | 認証を維持するための年額。名称が機関ごとに違うため見落としやすい |
| 再審査・追加審査 | 重大な不適合が出た場合に発生。単価だけでも聞いておく |
費用そのものの構造は ISMS取得費用の全体像｜コンサル費・審査費・社内工数、相場の考え方は 審査費用の相場と変動要因 で扱っています。
相見積の前に揃えておく前提条件
ここが実務上いちばん重要です。前提を揃えずに複数機関へ問い合わせると、返ってくる見積りは比較できません。 各機関が異なる仮定を置いて計算するため、安く見えた機関が実は少ない人数で見積もっていた、という事態が普通に起きます。
依頼前に、次の項目を1枚の資料にまとめてください。全機関に同じ資料を渡すのが原則です。
① 適用範囲
- 対象とする組織単位（全社か、特定事業部か）
- 対象とする事業・サービス（提供しているサービス名と概要）
- 対象拠点の一覧（本社・開発拠点・データセンター等、所在地付き）
- 在宅勤務の有無と比率
② 人数
- 適用範囲内の要員数（正社員・契約社員・派遣・常駐委託を区分して）
- 拠点ごとの内訳
- 今後1年の増員見込み（大きく増える予定があれば伝える）
③ 事業の性質
- 自社開発か受託開発か、運用保守の有無
- 利用しているクラウド・データセンターの構成概要
- 医療情報・個人情報の取扱いの有無と種類
④ 希望条件
- 希望する認証取得時期（取引の締切がある場合はその日付）
- 既に取得している他の認証（ISO 9001、Pマーク等）
- リモート審査の希望有無
⑤ 現在の整備状況
- ISMS構築の進捗（未着手／文書整備中／内部監査済み）
- 支援会社の有無
適用範囲の決め方そのものに迷いがある場合は、見積りより先にそこを固めてください。範囲が動くと人数が動き、人数が動くと人日が動きます。ISMS適用範囲の決め方 と、医療情報を扱う場合の考え方は ヘルスケア企業のISMS適用範囲設計 にまとめています。
金額以外で比較すべき5つの観点
前提を揃えた見積りが出揃ったら、金額と並べて次の5点を比較します。この5点は見積書には書かれていないため、問い合わせのときに一緒に聞いておくのが効率的です。
1. 認定機関
ISMS-ACのみか、UKASやANABを併せ持つか。国内取引が中心であればISMS-ACで十分ですが、海外の取引先や親会社に提示する可能性があるなら、海外の認定を併せ持つ機関を選んでおくと説明が楽になります。
2. 日程の柔軟性
意外に差が出るのがここです。確認すべきは次の点です。
- 申込みから1次審査までの最短リードタイム
- 1次審査と2次審査の間隔をどの程度まで詰められるか
- 審査日程の変更が必要になった場合の扱い（違約金の有無を含む）
- リモート審査に対応しているか、どの部分をリモートにできるか
取引の締切から逆算して取得日を決めている場合、金額差より日程の確実性のほうが重要になることがあります。
3. 審査員の業界知見
審査員が自社の事業領域や技術スタックをどの程度理解しているかは、当日の負担に直結します。前提の説明に時間を取られずに済み、指摘も実態に即したものになります。医療情報を扱う事業者であれば、ヘルスケア領域や3省2ガイドラインの文脈を理解している審査員が割り当てられるかは確認する価値があります。
ただし、特定の審査員を指名できるとは限りません。 「そうした背景の審査員が在籍しているか」「割当ての希望を伝えられるか」という聞き方が現実的です。
4. 3年間の総額
初年度の審査費用だけで比べると判断を誤ります。2年目・3年目のサーベイランス審査（維持審査）と、4年目の更新審査までを含めた総額で並べてください。年間維持料の有無と金額も、この総額に入れます。
5. コミュニケーションの取りやすさ
見積り依頼への返答速度と、質問への回答の具体性は、そのまま審査期間中のやり取りのしやすさを示します。相見積の過程は、その機関との仕事のしやすさを測る機会でもあります。
相見積を取る手順
実務上は、次の順序で進めるとスムーズです。
| ステップ | やること | 目安 |
|---|---|---|
| ① 前提条件の整理 | 適用範囲・人数・拠点・希望時期を1枚にまとめる | 1〜2日 |
| ② 候補の選定 | 3社程度を選ぶ。認定機関の組み合わせが異なる機関を混ぜる | 1日 |
| ③ 見積依頼 | 全社に同じ資料を送り、同じ質問項目を添える | — |
| ④ 追加ヒアリング対応 | 各機関から人数・活動内容の確認が入る。回答内容は社内で統一する | 1〜2週間 |
| ⑤ 見積受領・比較 | 金額・人日・付随費目・日程・認定を一覧化する | 1週間 |
| ⑥ 決定・申込み | 申込後に審査日程を仮押さえする | — |
着手のタイミングは、文書整備が完成する前で構いません。 むしろ早めに動くほうが安全です。審査日程は先着で埋まっていくため、文書が整ってから探し始めると、希望時期に審査を受けられないことがあります。全体スケジュールとの兼ね合いは ISMS取得にかかる期間｜6か月スケジュールの実際 を参照してください。
④のヒアリングでは、機関ごとに担当者が変わるため、社内の回答を統一しておくことが重要です。人数の数え方が機関ごとにぶれると、見積りの比較可能性が失われます。
選定でよくあるつまずき
金額の内訳を確認せずに比較する
最安の見積りが、実は旅費と年間維持料を含んでいなかった、というのは典型的なパターンです。費目の粒度は機関によって違うため、同じ表に並べ直してから比較するひと手間が必要です。
人数を少なく伝えてしまう
見積りを安くしたい心理が働きますが、実際の人数と食い違えば審査時に工数が再算定され、追加費用が発生します。適用範囲内の要員は正確に伝えるのが結果的に安全です。
日程を確認しないまま申し込む
申込みは受け付けられたが、希望していた月の審査枠が埋まっていた、ということがあります。申込みと日程の仮押さえはセットで進めてください。
「一度決めたら変えられない」と思い込む
審査機関の変更は可能です。更新審査のタイミングで移管する選択肢もあります。ただし移管には前提条件と手続きがあるため、最初から3年は付き合う想定で選んでおくほうが無駄がありません。
まとめ
審査機関の選定で押さえるべき点は次のとおりです。
- 認定を受けた機関であれば認証の効力は同じ。差がつくのは費用・日程・審査員の背景という「過程」の部分
- 審査費用の中心は審査人日。人数・拠点数・事業の複雑性で決まり、申請料・旅費・年間維持料が別建てになることがある
- 相見積の前に、適用範囲・人数・拠点・希望時期を1枚に揃える。前提が揃っていない見積りは比較できない
- 金額以外に比較すべきは、認定機関・日程の柔軟性・審査員の業界知見・3年総額・やり取りのしやすさの5点
- 審査日程は先着で埋まるため、文書整備の完成を待たずに動き始める
- 3社程度に同じ資料で依頼し、受領後は同じ表に並べ直してから判断する
ポテックは、ISMS認証取得支援のなかで複数の審査機関から相見積を取得し、御社の規模・方針・希望時期に合った機関選びをご支援しています。前提条件の整理から各機関とのやり取り、審査日程の調整まで当社が主導するため、御社には比較検討と意思決定に集中していただけます。
支援の範囲と料金は ISMS認証取得支援サービス をご覧ください。審査機関の選定だけのご相談も お問い合わせ から承ります。なお、ISMSの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にまとめています。医療機関側がどのような水準を求められているかは 3省2ガイドラインとは｜医療情報システムの安全管理 を参照してください。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- UKAS（United Kingdom Accreditation Service）
- ANAB（ANSI National Accreditation Board）
※審査工数の算定方法、費目の構成、認定の取扱いは審査機関・認定機関により異なり、改定されることがあります。最新の条件は各機関の公表資料および見積書でご確認ください。