ISMSの審査で「不適合」という言葉を初めて聞くと、多くの担当者は身構えます。認証が取れなくなるのではないか、これまでの準備が無駄になるのではないか——。
実際には、不適合が出ること自体は珍しくありません。問題は、どの種類の不適合が、どの程度出たかです。軽微な不適合であれば期限内に是正すれば認証は取得できますし、審査機関との関係が悪くなるわけでもありません。逆に、重大な不適合が出ると認証判定そのものが止まり、日程が大きく後ろにずれます。
そして厄介なことに、よく出る不適合のパターンはほぼ決まっています。規格の難解な条項ではなく、「運用が回っていない」という同じ構造の指摘が繰り返されます。裏を返せば、パターンを知っていれば審査前に自分で潰せるということです。
本記事では、不適合の区分と典型的なパターンを整理し、それぞれの予防策と、指摘を受けた後の是正処置の進め方を扱います。審査そのものの内容は 1次審査（文書審査）で見られること と 2次審査（実地審査）で見られること をご覧ください。制度の全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド にまとめています。
免責：本記事は一般的な情報提供です。不適合の判定基準・区分の名称・是正処置の期限の取扱いは審査機関により異なります。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。個別の判断はそれらと担当審査機関の説明に基づいて行ってください。
審査の指摘は一段階ではない
審査報告書に載る指摘は、一般に次の3段階に分かれます。名称は審査機関によって差がありますが、構造は共通しています。
| 区分 | 意味 | 認証への影響 | 対応 |
|---|---|---|---|
| 重大な不適合（Major） | マネジメントシステムの一部が機能していない、または規格要求を満たす仕組みが存在しない | 是正が確認されるまで認証判定が進まない | 原因分析と是正処置、多くの場合は追加の確認（再審査・追加審査）が必要 |
| 軽微な不適合（Minor） | 仕組みはあるが、単発の逸脱や記録の不備がある | 期限内の是正計画提出・実施で判定は進む | 是正処置報告書の提出。次回審査で有効性を確認 |
| 観察事項・改善の機会（OFI） | 規格違反ではないが、改善が望ましい点 | 影響なし | 対応は任意。ただし放置すると次回に不適合へ昇格することがある |
実務上いちばん誤解されているのは観察事項です。「不適合ではない」と聞いて何もしないまま翌年を迎えると、同じ状態が続いていることを理由に軽微な不適合として起票されることがあります。観察事項は「今回は見逃すが、次は見る」という予告だと受け取るのが安全です。
重大と軽微を分けるもの
両者を分けるのは、**指摘の重さではなく「仕組みが存在するかどうか」**です。
- 教育記録が1名分だけ欠けている → 仕組みはあり、運用の抜けが単発 → 軽微
- 教育を計画も実施もしていない → 要求を満たす仕組みが存在しない → 重大
- 内部監査を実施したが一部の部門を漏らした → 軽微
- 内部監査を一度も実施していない → 重大
複数の軽微な不適合が同じ原因から出ている場合、それらをまとめて「システムが機能していない」と判断され、重大な不適合になることもあります。同種の指摘が散らばっている状態は危険信号です。
典型的な不適合のパターン
以下は、ISMSの審査で典型的に起こりやすい指摘です。特定の組織の事例ではなく、規格の要求と現場の運用がずれやすい構造から生じる一般的なパターンとして整理しています。
| # | パターン | 起きる理由 | 予防策 |
|---|---|---|---|
| 1 | 内部監査が形式的 | 監査チェックリストに「○」が並ぶだけで、証拠の確認過程が残っていない。被監査部門の自己申告をそのまま記載している | 監査記録に「何を見て判断したか」（画面・台帳・ログ・現物）を書く。指摘ゼロの監査報告は逆に疑われる前提で設計する |
| 2 | 教育記録の欠落 | 中途入社者・休職復帰者・業務委託者が受講対象から漏れる。受講率の管理を年度末にまとめて行っている | 受講対象者リストを人事情報と紐づけ、入社時と異動時に自動で対象化する。受講率は月次で見る |
| 3 | リスクアセスメントの更新漏れ | 初年度に作った表がそのまま。新サービス・新システム・組織変更が反映されていない | 更新のトリガーを規程に明記する（年次／新規システム導入時／重大インシデント発生時／適用範囲変更時）。トリガーに該当した記録を残す |
| 4 | 委託先管理の未実施 | 契約書は交わしているが、定期的な評価・再確認をしていない。再委託の把握ができていない | 委託先一覧を台帳化し、評価の頻度と方法を決める。契約に再委託の事前承認条項を入れ、実態を年次で確認する |
| 5 | 記録と実態の乖離 | 規程には「四半期ごとにログを点検する」とあるが、実際は年1回。規程が現場より厳しすぎる | 規程を実態に合わせて書き直す。守れないルールは削るか緩める。規程は理想ではなく約束 |
| 6 | SoAと規程の不整合 | 適用宣言書で「適用する」とした管理策に対応する手順が文書にない。あるいは除外理由が「該当なし」の一言 | SoAの各行から、対応する規程・記録へのリンクを張る。除外理由はリスクアセスメント結果を根拠に書く |
| 7 | 是正処置が「再発防止の宣言」で終わっている | 原因分析がなく、「周知徹底する」「注意する」で報告書が締められている | なぜその事象が起きたのかを工程に遡って書く。人の注意力に依存しない対策を1つ以上入れる |
| 8 | マネジメントレビューの入力不足 | 議事録に規格が求める検討事項（監査結果、目的の達成度、リスクの変化など）が揃っていない | レビューのアジェンダを規格の入力項目に対応させたテンプレートで固定する |
このうち 1・3・5 は、初年度の認証取得直後より、2年目以降のサーベイランス審査で顕在化しやすい傾向があります。構築時は支援会社が伴走していても、運用フェーズに入ると社内だけで回すことになり、点検と更新が止まるためです。維持審査の準備は サーベイランス審査（維持審査）の準備 を、3年目の更新審査は 更新審査（3年目）の準備 をご覧ください。
ヘルスケア事業者で追加的に問われやすい点
医療情報を扱う事業者の場合、一般的なIT企業と同じ準備では足りない領域があります。審査員が医療分野の背景を持っている場合はもちろん、そうでない場合でも、適用範囲に医療情報の取扱いを含めていれば相応の確認が入ります。
- 医療機関との責任分界が文書で説明できるか。契約書・SLA・運用手順のどこに書いてあるかを即座に示せる状態にしておく（責任分界点の決め方）
- 3省2ガイドラインへの対応とISMS文書の関係。両者を別建てで管理していると、更新のたびに片方だけが古くなる（3省2ガイドラインとは｜医療情報システムの安全管理）
- 本番データの取扱い。開発・検証環境に実データを持ち込んでいないか、持ち込む場合の承認と削除の記録があるか
- アクセスログの保存期間と点検頻度が、顧客との契約や業界の要請と整合しているか
これらは規格の条文からは直接読み取れないため、自社で論点として立てておかないと準備が抜けます。
不適合が出た後の流れ
指摘を受けてからのプロセスは、おおむね次のように進みます。期限や様式は審査機関の指定に従ってください。
| 段階 | 内容 | よくあるつまずき |
|---|---|---|
| ① 事実の確認 | 指摘内容と対象の要求事項を審査員と確認する | その場で反論しようとして論点がずれる。まず「何を根拠に不適合と判断したか」を確認する |
| ② 応急処置 | 目の前の逸脱を直す（欠けていた記録を作る等） | ここで終わってしまい、原因分析に進まない |
| ③ 原因分析 | なぜその状態が生じたのかを工程に遡って特定する | 「担当者の失念」で止める。仕組みのどこが検知できなかったのかまで下げる |
| ④ 是正処置の決定と実施 | 再発を防ぐ仕組みの変更 | 手順書に一文足すだけで、運用上のチェックポイントが増えていない |
| ⑤ 報告と有効性の確認 | 是正処置報告書の提出、審査機関による確認 | 実施したことの証拠（更新後の文書・記録）を添えていない |
重大な不適合の場合は、④まで完了した証拠が求められます。 軽微な不適合では是正計画の提出で判定が進み、有効性は次回審査で確認されるのが通例ですが、これも機関によって運用が異なります。是正処置報告書の書き方は 是正処置報告書の書き方、規格側の要求は 箇条10 改善｜不適合と是正処置 で扱っています。
「反論してよいか」について
審査員の指摘が事実誤認に基づくと考えられる場合、その場で根拠を示して確認を求めることは正当な手続きです。感情的に押し返すのではなく、該当する記録を提示して事実関係を整理するという形を取ってください。指摘が取り下げられなかった場合でも、審査機関には異議申立ての手続きが定められています。審査機関を選ぶ段階で、この手続きの説明を受けておくとよいでしょう（審査機関の選び方｜相見積で見るべき点）。
審査前に自分で潰すための点検
審査の1〜2か月前に、次の観点で自己点検を行うと、典型的な指摘の多くは事前に解消できます。内部監査とは別に、「審査員の目で見る」時間を確保するのが要点です。
記録の存在と日付
- 内部監査、マネジメントレビューを実際に1周実施した記録があるか。日付は審査日より前か
- 教育の受講記録が、在籍者全員分そろっているか（中途入社者・業務委託者を含む）
- リスクアセスメント表の最終更新日が、直近の組織変更・システム変更より後か
- 是正処置報告書が、前回指摘の分まで完結しているか
文書間の整合
- SoAで「適用する」とした管理策に、対応する規程・手順が存在するか
- SoAで除外した管理策の理由が、リスクアセスメント結果と矛盾していないか
- 規程に書かれた頻度（点検・見直し・報告）が、実際の記録の頻度と一致しているか
- 適用範囲の記述が、現在の組織図・拠点・サービスと一致しているか
実態の確認
- 入退室記録、アクセス権限一覧、資産台帳が現物と合っているか
- 退職者・異動者のアカウントが残っていないか
- 委託先一覧が最新か。評価の記録があるか
- 現場の担当者が、自部門のルールを自分の言葉で説明できるか
最後の項目は軽視されがちですが、実地審査では担当者へのインタビューで運用の実態が確認されます。文書に書いてあることを担当者が知らない状態は、そのまま「運用されていない」という判断につながります。
まとめ
- 指摘は重大な不適合・軽微な不適合・観察事項の3段階。分かれ目は指摘の重さではなく、仕組みが存在するかどうか
- 観察事項は「次回は見る」という予告。放置すると翌年に不適合へ昇格し得る
- 典型的なパターンは限られている。内部監査の形式化、教育記録の欠落、リスクアセスメントの更新漏れ、委託先管理の未実施、記録と実態の乖離、SoAと規程の不整合
- 記録と実態の乖離は、規程を実態に合わせて書き直すことで解消できる。守れないルールを掲げ続けないこと
- 是正処置は応急処置で終わらせない。原因を工程に遡って特定し、人の注意力に依存しない対策を入れる
- 審査の1〜2か月前に、内部監査とは別枠で「審査員の目」の自己点検を行うと、典型的な指摘の多くは事前に潰せる
ポテックは、ヘルスケア領域に特化してISMSの構築と運用を支援しています。審査前の想定問答の整理、内部監査の実施、不適合が出た場合の原因分析と是正処置報告書の作成まで、実務として担えます。内部監査責任者・内部監査員の役割を当社が引き受けることも可能です。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。すでに指摘を受けていて対応を急ぐ場合も、お問い合わせ からご相談ください。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 17021-1 Conformity assessment — Requirements for bodies providing audit and certification of management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※不適合の区分名称、是正処置の提出期限、再審査の要否は審査機関ごとに運用が異なります。規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。制度・ガイドラインは改定されるため、最新版をご確認ください。