「ISMSの取得はいくらかかりますか」という問いには、そのままでは答えられません。支払先も、発生タイミングも、金額の決まり方も異なる3種類のコストが混ざっているからです。
手元に届く見積りが「200万円」と「320万円」だったとして、この2つを比較するのは意味がありません。片方は審査費用を含み、片方は含まない。片方は内部監査の実施まで担い、片方は文書のひな形提供までである。片方は初年度のみ、片方は運用支援を含む。同じ土俵に載っていない数字を並べても、判断材料にはなりません。
本記事では、ISMS取得費用を「審査費用」「コンサル費用」「社内工数」の3層に分解し、それぞれが何で決まるのかを説明します。そのうえで、3年総額で見るという考え方と、見積り比較で確認すべき項目のチェックリストを提示します。制度の全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。費用は組織規模・適用範囲・審査機関により大きく変動するため、実際の金額は個別の見積りでご確認ください。
費用は3層に分かれている
まず全体の構造を押さえます。
| 層 | 支払先 | 金額の決まり方 | 発生タイミング |
|---|---|---|---|
| ① 審査費用 | 審査機関（認証機関） | 審査工数（人日）× 単価。工数は要員数と適用範囲で決まる | 1年目に2回、以降は毎年 |
| ② コンサル費用 | 支援会社 | 支援範囲と期間。何をどこまで代行するかで大きく変動 | 契約期間中（年額・一括など） |
| ③ 社内工数 | 自社（人件費） | 担当者の関与時間 × 人件費単価 | 構築期間中に集中、以降も継続 |
この3層は性質がまったく違います。①は外部に支払う固定的な費用で値切りにくく、②は買い方によって大きく変わり、③は請求書が来ないため意識されにくい。費用を下げようとして②を削ると、③が増えるだけということも頻繁に起こります。
以下、それぞれを詳しく見ます。
① 審査費用 ― 減らせないが、比較はできる
審査費用は、第三者の審査機関（認証機関）に支払う費用です。これは支援会社の料金には通常含まれません。
何で決まるのか
審査費用の中心は**審査工数（審査員の人日数）**です。工数は概ね次の要素で決まります。
- 適用範囲内の要員数（最も影響が大きい。契約社員・派遣・常駐者の扱いに注意）
- 適用範囲に含める拠点数（複数拠点は移動と現地確認の分だけ増える）
- 事業の複雑性（開発・運用・データセンター運営など、活動の種類が多いほど増える）
- 既存認証との統合審査の有無（Pマーク、ISO 9001等と同時に受ける場合の調整）
1年目は**1次審査（文書審査）と2次審査（実地審査）**の2回が発生します。1次審査は1〜2日、2次審査は2〜3日というのが小規模組織での一般的な目安です。2年目・3年目のサーベイランス審査は、初回審査よりも少ない工数で実施されるのが通例です。
金額の水準については、数名規模で60万円前後、100名規模で100万円前後という解説が見られます（要一次確認）。ただし審査機関ごとに単価も工数の算定も異なるため、この数字を前提に予算を組むのは危険です。複数機関から相見積を取ることが唯一の確実な方法です。
審査費用以外に審査機関へ支払うもの
見積書を読むときは、次の費目が別建てになっていないかを確認してください。
| 費目 | 内容 |
|---|---|
| 申請料・登録料 | 初回申請時、および認証登録時の事務手数料 |
| 審査費用（1次・2次） | 審査員の人日に応じた費用 |
| 旅費交通費 | 審査員の移動・宿泊。地方拠点があると増える |
| 年間維持料 | 認証を維持するための年額費用（機関により名称が異なる） |
| 再審査・追加審査 | 重大な不適合が出た場合の再確認に伴う費用 |
とくに旅費と年間維持料は初回の提示金額に含まれないことがあり、3年総額で見ると差が出ます。審査機関の選び方は 審査機関の選び方｜相見積で見るべき点、主要機関の特徴は 主要審査機関の比較｜BSI・JQA・BV・SGS・DQS で扱っています。
② コンサル費用 ― 「何を買っているのか」で全然違う
支援会社の料金差は、値付けの差というより提供範囲の差であることがほとんどです。同じ「ISMS取得支援」という名前でも、実際に含まれるものはこれだけ幅があります。
| 支援範囲 | 含まれるもの | 社内に残る作業 |
|---|---|---|
| ひな形提供型 | 規程・台帳のテンプレート、質問対応 | 自社化、資産洗い出し、教育、内部監査、審査対応のすべて |
| 文書整備支援型 | ひな形＋ヒアリングに基づく文書の作成支援 | 資産洗い出しの実務、教育、内部監査、審査対応 |
| 伴走型 | 上記＋進行管理、審査機関との調整、審査対応 | 意思決定、資産情報の提供、受講 |
| 内部監査まで含む型 | 上記＋内部監査責任者・内部監査員の役割を外部が担う | 意思決定、資産情報の提供、受講、監査結果の承認 |
安い見積りが悪いわけではありません。社内に経験者がいて、ひな形さえあれば回せる組織なら、ひな形提供型が最も合理的です。問題は、社内に回せる人がいないのに安い契約を選び、結果として取得が1年遅れるケースです。
費用に影響する変数
- 短期取得を求めるか（通常より短い期間での取得は、支援側の稼働が集中するため加算される）
- ひな形をどこまで改変するか（提供テンプレートをほぼそのまま使うか、既存の社内規程体系に合わせ込むか）
- 既存の取り組みがどれだけあるか（すでに規程や資産台帳がある場合、流用できる分だけ軽くなる）
- 業界固有の対応を含むか（ヘルスケアでは3省2ガイドライン対応が別途論点になる）
- 技術的対策の実装支援を含むか（文書整備と、製品への設計・実装支援は別物）
ポテックの料金体系
参考として、当社の場合の考え方を示します（いずれも税抜、最大50名ほどまでの組織規模、当社提供の雛形通りのドキュメントでの実施を想定）。
| 区分 | 内容 | 料金 |
|---|---|---|
| ISMS新規取得支援 | はじめての認証取得。全体設計、文書整備、リスクアセスメント、教育、審査機関対応、内部監査 | 120万円／年〜 |
| ISMS運用支援（2年目以降） | 役割・適用範囲の見直し、リスクアセスメント更新、内部監査、維持審査・更新審査への対応 | 80万円／年〜 |
| （オプション）1次審査 立会 | 1次審査1日分の終日同席 | 10万円 |
| （オプション）2次審査 立会 | 2次審査2日分の終日同席 | 20万円 |
| （オプション）3省2ガイドライン対応 | ISMS文書と3省2ガイドライン対応文書の統合 | 150万円〜 |
| （オプション）短期対応 | 通常より短い期間での取得を希望する場合 | 30万円 |
| （オプション）セキュリティに考慮したPM支援 | プロジェクトマネジメントのプロセス支援 | 40万円 |
| （オプション）品質管理プロセス構築支援 | 品質管理プロセスの構築を併せて実施 | 40万円 |
| （オプション）技術的対応支援 | 製品への設計・開発を含めた技術面の支援 | 要相談 |
審査機関への支払い（審査費用）はこの料金に含まれません。 相見積を取得してご案内する形になります。従業者教育の教材作成は料金に含まれ、内部監査責任者・内部監査員の役割も当社が担えます。
③ 社内工数 ― 請求書が来ないコスト
3層のうち、予算書に載らないのに最も取得可否を左右するのがこれです。
どこに時間がかかるのか
| 作業 | 主な担い手 | 重さの理由 |
|---|---|---|
| 適用範囲の決定 | 経営層＋ISMS責任者 | 事業の切り方の意思決定。後戻りコストが大きい |
| 情報資産の洗い出し | 各部門 | 部門横断のヒアリング。回答が返ってこないと止まる |
| リスク評価と受容判断 | ISMS責任者＋経営層 | 「ここは受け入れる」を決められるのは自社だけ |
| 規程内容の確認・承認 | 各部門責任者 | 実態と合っているかの確認は代行できない |
| 教育の受講 | 全従業員 | 人数×受講時間。受講率100%まで追いかける運用が要る |
| マネジメントレビュー | 経営層 | 規格が経営層の実施を求める。委任できない |
| 内部監査の是正対応 | 指摘を受けた部門 | 指摘件数に比例。初年度は多くなりがち |
支援会社に依頼しても、意思決定・自社情報の提供・受講の3つは必ず社内に残ります。 逆に言えば、外部に出せるのはそれ以外の部分です。
見積り方の目安
正確な予測は難しいものの、稟議の説明としては次のような形で置くと議論が進みます。
- ISMS責任者：構築期間中、通常業務の一定割合を継続的に割く前提で計画する
- 各部門担当者：資産洗い出しと規程確認の時期にスポットで集中的に発生する
- 全従業員：教育受講の時間×人数
- 経営層：方針承認・マネジメントレビュー・審査への同席
重要なのは時間数の精度ではなく、「誰が、いつ、通常業務を止めて関与するか」を事前に合意しておくことです。ここが曖昧なまま着手した組織は、ほぼ例外なく遅れます。工程ごとの負荷の分布は ISMS取得にかかる期間｜6か月スケジュールの実際 で扱っています。
3年総額で見る
ISMSの費用は初年度に集中しますが、初年度だけを比較するのは誤りです。 認証は3年サイクルで運用されるためです。
| 費目 | 1年目 | 2年目 | 3年目 |
|---|---|---|---|
| 審査費用 | 1次審査＋2次審査 | サーベイランス審査 | サーベイランス審査 |
| 年間維持料 | 発生 | 発生 | 発生 |
| コンサル費用 | 新規取得支援 | 運用支援（契約する場合） | 運用支援（契約する場合） |
| 社内工数 | 最も重い | 内部監査・レビュー・更新作業 | 同左 |
| その他 | 申請料・登録料 | — | 4年目の更新審査に向けた見直し |
4年目には**更新審査（再認証）**があり、初回審査に近い規模の確認が行われます。したがって実務上は「3年でいくらか」を見て、そのうえで4年目の山を織り込むのが妥当です。
2年目以降のコンサル費用をゼロにできるかどうかは、初年度に社内へ運用ノウハウが残るかどうかで決まります。ここは支援会社を選ぶときの重要な観点です。文書を作ってもらっただけの状態では、2年目の内部監査とリスクアセスメント更新で止まります。維持審査の実務は サーベイランス審査（維持審査）の準備、更新審査は 更新審査（3年目）の準備 をご覧ください。
見積り比較のチェックリスト
複数社から見積りを取ったとき、次の項目を揃えてから比較してください。これを埋めずに金額だけを並べると、ほぼ確実に判断を誤ります。
支援範囲について
- 審査機関への支払い（審査費用・旅費・年間維持料）は含まれるか、別か
- 規程・台帳・適用宣言書は「ひな形提供」か「作成支援」か「作成代行」か
- 情報資産の洗い出しは、どこまで支援に含まれるか
- リスクアセスメント表の作成は誰が行うのか
- 従業者教育の教材作成費は含まれるか（別料金のことがある）
- 内部監査は「支援」か、内部監査責任者・監査員の役割を担ってもらえるのか
- 審査当日の立会は含まれるか、オプションか
- 不適合が出た場合の是正支援は含まれるか
期間と体制について
- 想定期間は何か月か。短期化を求めた場合の加算はあるか
- 想定している組織規模（人数）は何名までか。超えた場合どうなるか
- 支援の打ち合わせ頻度と、1回あたりの想定時間
- 社内に求められる工数の見込み（提示がない会社は要確認）
2年目以降について
- 運用支援の年額はいくらか
- 運用支援を契約しない場合、社内で回すために何が必要か
- 更新審査（4年目）に向けた支援は別料金か
ヘルスケア固有の論点について
- 3省2ガイドライン対応を同時に行う場合の追加費用
- 医療情報の取扱いを適用範囲に含める場合の考え方
- 製品側の技術的対策（設計・実装）の支援可否
最後の項目群はヘルスケア事業者に固有です。ISMSと3省2ガイドラインを別々に対応すると文書管理が二重になり、運用コストが継続的に膨らみます。統合の考え方は ISMS文書と3省2ガイドライン対応文書の統合、医療機関側が求められている内容は 3省2ガイドラインとは｜医療情報システムの安全管理 にまとめています。
費用を下げる方法・下げてはいけない場所
下げられる余地があるところ
- 適用範囲を絞る：全社ではなく特定の事業・拠点に限定すれば、審査工数も文書量も減ります。取引先が求めている範囲を確認したうえで決めるのが定石です。範囲の決め方は ISMS適用範囲の決め方 を参照してください
- 審査機関を相見積で選ぶ：単価も工数算定も機関ごとに異なります
- 既存の取り組みを棚卸ししてから相談する：すでにある規程・台帳・ログ管理の実態を整理して提示できると、支援範囲を絞れます
下げると高くつくところ
- 教育を省略する：受講記録は審査の確認対象です。後から追いかけるほうが高くつきます
- 内部監査を形式化する：指摘ゼロの監査は審査で疑問視されます。是正の記録こそが仕組みが動いている証拠です
- ひな形をそのまま提出する：実態と合わない規程は不適合の温床になり、再審査のコストにつながります
- 社内工数をゼロと見積もる：外部にすべてを出すことはできません。最初から見込んでおくほうが安全です
まとめ
- ISMS取得費用は審査費用・コンサル費用・社内工数の3層。支払先も決まり方も違うため、合算した1つの数字で比較しない
- 審査費用は審査工数（人日）で決まり、要員数と適用範囲がその主因。相見積が唯一の確実な比較方法
- コンサル費用の差は値付けではなく提供範囲の差。ひな形提供／文書整備支援／伴走／内部監査まで、で別物
- 最も見落とされるのは社内工数。意思決定・自社情報の提供・受講は外部に出せない
- 比較は3年総額で行う。4年目の更新審査も織り込む。2年目以降の自走可否は初年度の進め方で決まる
- 削ってよいのは適用範囲と審査機関の選定。教育・内部監査・実態に合った規程は削ると高くつく
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。新規取得支援は120万円／年〜、2年目以降の運用支援は80万円／年〜（いずれも税抜・最大50名規模想定）。審査機関の相見積取得もお引き受けし、教材作成は料金に含まれ、内部監査責任者・内部監査員も当社が担えます。
料金の詳細と支援範囲は ISMS認証取得支援サービス をご覧ください。御社の規模・適用範囲に応じたお見積りは お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISMS認証取得組織の検索｜ISMS-AC
- ISO/IEC 27001 Information security management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※本記事に記載した一般的な費用水準は解説記事等に見られる目安であり、一次情報での確認が必要です。審査費用・工数の算定方法は審査機関により異なります。当社料金は掲載時点のものであり、改定される場合があります。