内部監査の進め方｜計画・チェックリスト・報告

内部監査は、ISMSの中で最も「形だけ」になりやすい活動です。年1回、監査員がチェックリストを持って各部門を回り、「特に問題ありません」という報告書が出て終わる。所要半日。記録としては成立していますが、この監査は何も見つけていません。

審査員はここを見ます。内部監査で不適合が1件も出ていないのに、審査では複数の指摘が出る——という状態は、内部監査そのものの有効性に疑問符が付きます。逆に、内部監査で自ら不適合を出し、是正して記録が残っている組織は、マネジメントシステムが機能していることの証明になります。内部監査の価値は、何件見つけたかではなく、見つけられる設計になっているかです。

本記事は、監査プログラムの作り方から報告書まで、内部監査の実務を手順化します。あわせて、少人数組織で最大の障壁になる独立性の確保と、外部要員を使うときの注意点を扱います。要求の位置づけは 箇条9 パフォーマンス評価｜監視・測定・内部監査、規格全体は ISMS（ISO/IEC 27001）とは をご覧ください。

免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の対応はそれらに基づいて行ってください。

なぜここでつまずくのか

独立性の意味を狭く取っている

規格は、監査の実施にあたって客観性と公平性を確保すること、そして監査員が自らの業務を監査しないことを求めています。この「自らの業務」には、直接の担当だけでなく、その活動に責任を負っている立場が含まれます。

つまり、ISMS事務局の担当者が文書体系を整備し、その担当者が文書管理の運用を監査するのは、独立性の観点で問題になります。同様に、システム管理者がアクセス権管理を監査する、開発リーダーが変更管理を監査する、といった構成も避けます。

一方で、監査員が組織外である必要はありません。別部門の人が監査する、部門間で相互に監査する、といった設計で十分です。独立性は「別会社」ではなく「その活動の責任を負っていない」ことで確保します。

チェックリストが規格条文のコピーになっている

「7.2 力量：必要な力量を決定しているか → はい」という形式のチェックリストをよく見かけます。これは文書の有無を確認しているだけで、運用の実態には届きません。監査で使えるチェックリストは、規格条文ではなく自社の規程と記録に対する具体的な質問で構成されます。

監査が文書の確認だけで終わっている

会議室で文書を見せてもらい、揃っていることを確認して終了。実態は現場にあります。現場を見る、実際の操作を見せてもらう、ランダムに選んだ記録をさかのぼる——この3つがないと、文書と実態の乖離は発見できません。

不適合を出したくない心理が働く

監査員も被監査部門も同じ会社の人間なので、「指摘して関係を悪くしたくない」という力が働きます。これを緩和するには、不適合を出すことが評価される仕組みにする必要があります。マネジメントレビューで「内部監査で◯件の不適合を検出し、うち◯件を是正完了」と報告する文化を作ると、検出が肯定的に扱われます。

不適合と観察事項の区別が曖昧

「ちょっと気になった」程度のことを不適合にすると是正処置の負荷が過大になり、逆に明確な逸脱を観察事項に留めると監査の意味がなくなります。線引きの定義を先に決めておく必要があります。

何を決めるのか

1. 監査プログラム（年間計画）

規格は、監査の頻度・方法・責任・計画・報告を含むプログラムを確立することを求めています。プログラムには、対象プロセスの重要性と、前回の監査結果を考慮します。全部門を毎回同じ深さで見る必要はありません。

年度内に、ISMSの全範囲が少なくとも1回はカバーされるように組みます。1回の監査で全部を見るか、四半期ごとに分割するかは組織の規模次第です。

2. 監査の範囲・基準・方法

• 範囲：対象部門、対象プロセス、対象期間（通常は前回監査以降）
• 基準：規格の要求事項、自社の規程、法令・契約上の要求
• 方法：文書レビュー、インタビュー、記録のサンプリング、現場観察、必要ならシステム画面の確認

基準に自社の規程を含めることが重要です。規格の要求だけを基準にすると、「自社で定めたルールを守っていない」という最も発見価値の高い逸脱が拾えません。

3. 監査員の力量と独立性の確保

監査員には、規格の理解、監査手法、証拠の取り方についての力量が必要です。外部研修の修了証が最も示しやすい証拠ですが、社内教育でも構いません。力量の記録の残し方は 従業者教育の設計｜受講率100%の運用 にまとめています。

独立性は、監査員と被監査領域の対応表を作って担保します。誰がどこを監査するかを計画時に決め、自部門・自担当が割り当てられていないことを確認します。

4. 不適合・観察事項・改善の機会の定義

「要求事項」には自社規程が含まれます。 規程に「四半期ごと」と書いてあるのに年2回しかやっていなければ、規格違反ではなくても不適合です。不適合の扱いは 箇条10 改善｜不適合と是正処置 と 是正処置報告書の書き方 をご覧ください。

実務の手順

ステップ1：監査計画を作成し、事前に通知する

対象、日時、監査員、被監査者、基準、方法を記載した計画書を、実施の1〜2週間前に通知します。抜き打ちである必要はありません。準備してもらったほうが、記録の所在で時間を浪費せずに済みます。

ステップ2：チェックリストを作る

ここが監査の質を決めます。規格条文の転記ではなく、自社の規程と記録に対する質問を書きます。質問の型は次の4つです。

「逆方向をたどる」質問が最も発見力が高いのが実務上の経験則です。申請から結果を追うと、申請されたものは正しく処理されています。しかし、申請なしに付与された権限は、結果側から遡らないと見つかりません。

チェックリストには、確認した証拠（記録の名称、日付、サンプル番号）を書く欄を設けます。これがないと、後から「何を見て判断したか」が残りません。

ステップ3：初回会議で目的と進め方を共有する

15分で構いません。監査の目的は評価ではなく改善であること、不適合が出ても個人の責任を問うものではないことを伝えます。これを省くと、被監査者が防御的になり、情報が出てきません。

ステップ4：証拠を集める

インタビュー、記録のサンプリング、現場観察を組み合わせます。原則は証拠に基づくことです。「たぶん大丈夫です」という回答は証拠ではありません。記録を見せてもらうか、実際に操作してもらいます。

サンプリングの件数に決まりはありませんが、母集団の規模と重要度に応じて3〜10件が実務上の目安です。選び方（ランダム、期間の端、金額や権限の大きいもの）を記録に残します。

ステップ5：判定し、最終会議で伝える

その場で口頭でも伝えます。報告書が届いてから初めて不適合を知る、という進め方は被監査部門との関係を損ないます。不適合については、該当する要求事項（規格の条項または自社規程の条番号）と、確認した客観的事実を明確にします。「不十分である」という評価ではなく、「規程第◯条は四半期ごとの実施を定めているが、2026年度の実施記録は2件であった」という事実の記述にします。

ステップ6：報告書をまとめる

報告書に含めるのは次の項目です。

• 監査の目的、範囲、基準、実施日、監査員、被監査者
• 監査の方法（インタビュー、文書レビュー、現場観察の別）
• 検出事項の一覧（区分・該当要求事項・客観的事実・証拠）
• 良好な点（あれば記載する。監査を敵対的にしないために有効）
• 前回監査の指摘事項のフォロー結果
• 全体所見と、ISMSの有効性についての監査員の意見

「前回のフォロー」を必ず入れます。 前年の不適合が是正されたかの確認は、審査でも見られる観点です。

ステップ7：是正処置をフォローし、マネジメントレビューに報告する

不適合ごとに、是正の責任者と期限を設定し、完了を確認します。完了の確認まで行って、はじめて監査が閉じます。 結果はマネジメントレビューの必須インプットです。マネジメントレビューの進め方と議事録 の議題設計とあわせて運用します。

よくある失敗

監査結果が毎年「不適合0件」

前述のとおり、審査で有効性を疑われる典型です。完璧な組織だからではなく、見つけられない監査設計になっていることがほとんどです。チェックリストを「逆方向をたどる」質問に書き換えるだけで、検出数は変わります。

ISMS責任者が全部門を1人で監査している

少人数組織で起きがちですが、ISMS責任者は文書体系とリスクアセスメントに責任を負っているため、それらのプロセスについては独立性が確保できません。少なくとも管理プロセス（文書管理、リスクアセスメント、教育、是正処置）は別の人が監査する必要があります。少人数での設計は 少人数組織のISMS をご覧ください。

チェックリストの回答が「○」だけ

証拠の記載がないチェックリストは、監査を実施した証拠としては弱く、翌年の監査でも使えません。確認した記録の名称と日付を書く習慣をつけます。

不適合の記述が評価になっている

「委託先管理が不十分」という書き方では、何を直せば閉じるのかが分かりません。事実と、該当する要求事項を書くことで、是正の範囲が確定します。

観察事項が大量に出て、追跡されない

観察事項を10件出して、翌年その扱いが記録に残っていない。観察事項も一覧にして、次回監査でフォローします。追跡しないなら、最初から出さないほうが整合します。

監査記録に監査員の署名・日付がない

誰がいつ判定したかが不明な報告書は、証拠としての価値が下がります。様式に署名欄を設けます。

是正処置の期限が守られず、放置される

不適合を検出したのに是正が完了しないまま次の審査を迎える、というパターンです。期限超過の是正処置を、マネジメントレビューの定例議題にしておくと、経営層の目に触れて動きます。

外部の要員に任せきりにする

内部監査を外部に委託することは可能ですが、監査の責任は組織に残ります。委託した場合も、監査プログラムの承認、監査結果の受領と判断、是正の決定は組織が行います。また、文書作成を支援した要員がそのまま同じ領域を監査する場合は、担当者を分けるか、組織側で監査結果の妥当性を確認するといった配慮が必要です。この点は審査で確認されることがあります。

ヘルスケア企業の例

医療SaaS事業者

内部監査で必ず対象にすべきなのが、本番環境の患者データへのアクセス統制です。監査の質問は「逆方向」で組みます。「直近3か月に本番データベースへアクセスしたアカウントの一覧を出してください。それぞれについて、申請と承認の記録はどこにありますか」。申請側から追うと、申請されたものしか見えません。

もう一つはテナント分離に関わる変更のレビューです。「データ分離ロジックに触れた変更を抽出してください」という要求に、その場で答えられるかどうか自体が発見事項になります。リスクの詳細は 医療SaaSのISMS｜マルチテナントのリスク評価 をご覧ください。

PHR事業者

同意の撤回から利用停止までの実装を監査対象にします。「直近で同意を撤回した利用者を3名抽出してください。撤回日と、データ利用が停止された日を突き合わせさせてください」。ここは個人情報保護法の要請とも重なり、監査で見つかれば法令リスクの低減にも直結します。詳細は PHR事業者のISMS｜個人情報保護法との関係 をご覧ください。

SaMDを開発する企業

QMS（ISO 13485）の内部監査がすでに実施されているため、同じ監査の中でISMSの要求もあわせて確認する設計が効率的です。監査計画に「対応する要求（ISMS／QMS）」の列を設け、報告書を両方の審査で使えるようにします。ただし、リスクマネジメントについては目的が異なるため、確認の観点は分けます。関係の整理は SaMDとISMS・QMS（ISO 13485）の関係 にあります。

医療機関向けの開発・保守を受託する企業

リモート保守の作業記録を監査対象にします。「先月の保守接続ログを出してください。それぞれについて、医療機関からの依頼と作業記録が揃っていますか」。ここが揃っていないと、医療機関側のガイドライン対応にも影響します。責任分界の考え方は AI電子カルテのセキュリティ設計｜責任共有モデル、ガイドラインの全体像は 3省2ガイドラインとは をご覧ください。

まとめ

1. 独立性は**「別会社であること」ではなく「その活動に責任を負っていないこと」**。部門間の相互監査で確保できるが、ISMS責任者が管理プロセスを自ら監査する構成は避ける
2. 監査プログラムは、プロセスの重要性と前回結果を考慮して組む。全領域を年度内に1回はカバーする
3. 監査の基準に自社の規程を含める。規格違反でなくても、自社ルールからの逸脱は不適合になる
4. チェックリストは規格条文の転記ではなく、記録をさかのぼる・逆方向をたどる・例外を探す・実演してもらうの4つの型で書く。とくに逆方向が発見力が高い
5. 不適合と観察事項の線引きを先に定義し、不適合は評価ではなく該当要求事項と客観的事実で記述する
6. 少人数組織で外部要員を使う場合も、監査プログラムの承認・結果の判断・是正の決定は組織が行う。文書作成の支援者が同じ領域を監査するときは担当を分ける

ポテックは、ヘルスケア領域に特化してISMSの運用を支援しており、内部監査の設計と実施も支援範囲に含まれます。内部監査は、ヘルスケア固有のリスク領域に踏み込んだ質問を組めるかどうかで、発見できる事項が大きく変わります。支援内容と料金は ISMS認証取得支援サービス、個別のご相談は お問い合わせ から承ります。

参考・出典

• 情報マネジメントシステム認定センター（ISMS-AC）
• ISO/IEC 27001 Information security management systems｜ISO
• ISO 19011 Guidelines for auditing management systems｜ISO
• 日本産業標準調査会（JISC）
• 医療情報システムの安全管理に関するガイドライン｜厚生労働省

※規格の要求事項の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。改定や運用の見直しにより取扱いが変わる場合があります。