審査機関から見積りを取ると、提案書に「ISMS-AC認定」「UKAS認定」といった表記が並びます。ここで多くの担当者が引っかかります。認定と認証は何が違うのか。認定機関が違うと、取得できる認証も違うものになるのか。
結論から言えば、規格そのものは同じ ISO/IEC 27001 です。違うのは、その審査機関の力量を誰が保証しているかです。そしてこの違いは、取引先が認証書を見たときの受け止め方に影響します。
本記事では、認定機関と審査機関の階層構造、主要な認定機関の違い、認定が何を担保するのか、そして自社の取引先構成に応じた選び方を整理します。ISMS全体の位置づけは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。認定および認証の取扱い、各機関の認定範囲は、各認定機関・審査機関の公表資料が正本です。最新の認定状況は必ず一次情報でご確認ください。
認定機関と審査機関 — 誰が誰を保証しているのか
ISMS認証の仕組みは、三層構造になっています。
| 層 | 呼び方 | 役割 | 例 |
|---|---|---|---|
| 1 | 認定機関（accreditation body） | 審査機関の力量を審査し、認定を与える。自ら組織の認証審査は行わない | ISMS-AC（日本）、UKAS（英国）、ANAB（米国）など |
| 2 | 審査機関／認証機関（certification body） | 組織のISMSを審査し、認証を発行する | BSI、JQA、ビューローベリタス、SGS、DQS など |
| 3 | 認証を受ける組織 | ISMSを構築・運用する | 御社 |
自社が契約するのは審査機関です。認定機関と直接やり取りすることはありません。 認定機関は、審査機関がきちんと審査を行っているかを見る立場にあります。
この構造が重要なのは、「審査機関が自分で自分の審査品質を名乗っている」状態を防ぐためです。認定のない審査機関が発行した認証書も物理的には存在し得ますが、その審査の妥当性を保証する第三者がいません。取引先から見ると、認定のない認証は、確認のしようがないものになります。
なお、認定機関同士も孤立しているわけではありません。国際的な相互承認の枠組み（IAF：国際認定フォーラム）があり、そこに参加する認定機関の認定は、相互に同等と扱われる建前になっています。ISMS-AC も UKAS も ANAB も、この枠組みの中にあります。
主要な認定機関の違い
実務で名前を見るのは主に次の3つです。
| 認定機関 | 所在 | 特徴 | 見られやすい場面 |
|---|---|---|---|
| ISMS-AC（情報マネジメントシステム認定センター） | 日本 | 国内のISMS適合性評価制度を運営。認証取得組織の一覧を公開しており、日本語で第三者が検索・確認できる | 国内の医療機関・製薬企業・自治体の調達 |
| UKAS（United Kingdom Accreditation Service） | 英国 | 英国の国家認定機関。欧州・英連邦圏での認知度が高い | 欧州の取引先、グローバルSaaSの調達審査 |
| ANAB（ANSI National Accreditation Board） | 米国 | 米国の認定機関。北米での認知度が高い | 米国企業との取引、米国投資家のデューデリジェンス |
規格の要求事項はどれも同じ ISO/IEC 27001 です。 審査で見られる内容が認定機関ごとに大きく変わるわけではありません。違いが出るのは、次の2点です。
- 認証取得組織の公開・検索性。ISMS-AC は国内向けに日本語で認証組織を公開しており、取引先が裏取りしやすい
- 相手が見慣れているマーク。英国・欧州の担当者にとって UKAS のマークは説明不要ですが、ISMS-AC は説明が要ります。逆もまた同じです
つまり選択の基準は、規格の中身ではなく 「誰が認証書を読むか」 になります。
審査機関そのものの選び方は 審査機関の選び方｜相見積で見るべき点 と 主要審査機関の比較 で扱っています。
認定の有無が何を担保するか
「認定なしの認証でも安く取れるなら、それでいいのでは」という問いは当然出てきます。認定が担保しているものを具体化しておきます。
- 審査員の力量要件。認定を受けた審査機関は、審査員の資格・経験・継続教育について外部の点検を受けます
- 審査工数の妥当性。組織規模・適用範囲に対して必要な審査人日の考え方が、認定の枠組みで整理されています。極端に短い審査は成立しにくくなります
- 審査機関自身の独立性。コンサルティングと認証審査を同じ主体が行わないといった、利益相反を避ける要求があります
- 不服申立ての経路。審査結果に納得できない場合、審査機関の上に認定機関という審級が存在します
実務で効いてくるのは4番目より2番目です。 認定のない審査で、通常より大幅に短い工数の認証書を取った場合、取引先のセキュリティ審査でその点を突かれることがあります。認証書の「審査工数」や「適用範囲」の記載は、読む側が見るポイントです。
そして見落とされやすいのが、認証書に書かれた適用範囲です。認定機関がどこであれ、適用範囲が実態と乖離していれば取引先には通用しません。「全社」と書いてあるのか、特定サービスに限定されているのか。ここを取引先は読みます。適用範囲の設計は ISMS適用範囲の決め方 をご覧ください。
自社の取引先構成から選ぶ
判断はシンプルにできます。認証書を読む相手を数えてください。
| 取引先の構成 | 推奨 | 理由 |
|---|---|---|
| 国内の医療機関・製薬・自治体が中心 | ISMS-AC認定の審査機関 | 調達側が確認しやすく、公開情報で裏が取れる。国内調達で最も通りがよい |
| 国内中心だが、海外展開の計画がある | ISMS-AC を主に、海外認定の併記が可能な審査機関を選ぶ | 後から審査機関を変えるのは負担が大きい。将来を見て選ぶ |
| 欧州の取引先が実在する | UKAS認定の併記 | 欧州の調達担当者に説明が不要になる |
| 米国企業との取引・米国投資家がいる | ANAB認定の併記 | 北米のデューデリジェンスで通りやすい |
「併記」という言い方をしているのは、国際的に事業を展開する審査機関が、複数の認定を保有している場合があるためです。 どの認定に基づく認証書を発行できるかは審査機関によって異なるので、見積りの段階で確認してください。これは相見積で必ず聞くべき項目です。
また、海外展開を視野に入れている場合は、そもそも ISMS ではなく SOC 2 を求められる場面もあります。両者の使い分けは ISMSとSOC 2の違い｜海外取引・SaaS事業者の選択 で扱っています。クラウド向けの追加認証（ISO 27017・27018）やプライバシー向けの拡張（ISO 27701）を将来取る予定があるなら、その付加認証に対応できる審査機関かどうかも選定条件に入れておくと、後戻りを避けられます。
医療機関側が委託先の認証をどう見ているかは、ベンダーへのセキュリティチェックシート と 3省2ガイドラインとは｜医療情報システムの安全管理 が参考になります。
まとめ
- ISMS認証は 認定機関 → 審査機関 → 認証を受ける組織 の三層構造。契約するのは審査機関
- ISMS-AC・UKAS・ANAB のいずれでも、規格の要求事項は同じ ISO/IEC 27001。違いは認知度と検索性
- 認定が担保するのは、審査員の力量・審査工数の妥当性・独立性・不服申立ての経路
- 取引先が読むのは認定機関名だけではなく、認証書に書かれた適用範囲。ここが実態と合っていることが前提
- 選び方の基準は「誰が認証書を読むか」。国内中心なら ISMS-AC、欧州なら UKAS、北米なら ANAB の併記
- 相見積では、発行可能な認定の種類と、将来の付加認証（27017/27018/27701）への対応可否を必ず確認する
ポテックはヘルスケア領域に特化してISMS認証取得を支援しています。審査機関の選定では、日科技連・JSA-SOL・ICMS なども含めた相見積の取得と比較をご案内し、適用範囲の設計から審査対応まで進行を主導します。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- United Kingdom Accreditation Service（UKAS）
- ANSI National Accreditation Board（ANAB）
- International Accreditation Forum（IAF）
- ISO/IEC 27001 Information security management systems｜ISO
※各機関の認定範囲・制度運用は変更されることがあります。審査機関が発行できる認証の種類は、必ず当該審査機関の公表資料と見積書でご確認ください。