「ISMS認証の取得までどのくらいかかりますか」という質問に対する標準的な答えは約6か月です。ただし、この6か月がどう組み立てられているかを理解していないと、スケジュールは簡単に崩れます。
多くの人は、ISMS取得を「文書を作る作業」だと捉えます。その前提だと、文書を急いで作れば早く取れるように思えてしまう。ところが実際には、文書が完成してから審査を受けるまでに、どうしても圧縮できない期間が存在します。認証を受けるには、作ったルールが実際に運用された記録が必要であり、とくに内部監査とマネジメントレビューを1周実施した記録が求められるからです。
本記事では、6か月スケジュールを段階ごとに分解し、それぞれの作業と社内負荷の分布を示します。そのうえで、審査日から逆算する組み方と、期間が伸びる典型的な原因を整理します。制度全体の構造は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。必要な記録の範囲や審査の進め方は審査機関により異なるため、実際の日程は審査機関と調整してください。
6か月スケジュールの全体像
標準的な進め方は次のとおりです（組織規模や現状の整備状況により前後します）。
| 段階 | 期間の目安 | 主な作業 | 社内負荷 |
|---|---|---|---|
| ① 目的の整理・計画 | 約2週間 | 適用範囲・体制・年間計画の決定、審査機関の選定着手 | 経営層に集中 |
| ② リスク分析 | 約1か月 | 情報資産の洗い出し、リスクアセスメント、対応方針の決定 | 全部門に広く発生 |
| ③ ルール整備 | 約4か月 | 方針・目標、各種規程、適用宣言書、インシデント報告フロー | ISMS責任者に集中 |
| ④ 対策実施・社員教育 | ③と並行 | 技術的・運用的対策の実施、教材配信と受講 | 情シス＋全従業員 |
| ⑤ 内部監査・是正 | 約2週間 | 内部監査、不適合の是正、マネジメントレビュー | 各部門＋経営層 |
| ⑥ 審査（1次・2次） | 約1か月 | 1次審査（1〜2日）→ 2次審査（2〜3日）→ 認証取得 | ISMS責任者＋関係部門 |
③と④が並行するため、カレンダー上は①②③⑤⑥の直列で約6か月になります。ここで最も誤解されやすいのが、⑤に必要な「時間」が2週間の作業時間ではないという点です。詳しくは後述します。
段階ごとに何をするのか
① 目的の整理・計画（約2週間）
最初に決めるのは、なぜ取るのかとどこまでを対象にするのかです。
- 取得の目的：取引先の要求に応えるためか、社内統制の確立が主目的か。目的が適用範囲の広さを決めます
- 適用範囲：全社か、特定の事業・拠点・サービスに限定するか。範囲は審査工数と文書量に直結します
- 体制：ISMS責任者・担当者の選任、経営層の関与の仕方
- 審査機関の選定着手：ここで着手するのが早すぎるということはありません（理由は後述）
適用範囲は後から広げることもできますが、着手後に変更すると資産洗い出しとリスクアセスメントをやり直すことになります。 ここは時間をかけて決める価値があります。詳しくは ISMS適用範囲の決め方 と、ヘルスケア固有の論点を扱った ヘルスケア企業のISMS適用範囲設計 をご覧ください。
② リスク分析（約1か月）
情報資産を洗い出し、リスクを評価し、どう対応するかを決めます。部門横断のヒアリングが発生するため、実務上ここが最初の関門になります。
- どこに、どんな情報が、どんな形（紙・ファイル・DB・SaaS）で存在するか
- 誰がアクセスできるか、どこに持ち出され得るか
- 各資産について、機密性・完全性・可用性が損なわれたときの影響
- 評価結果に基づく対応方針（低減・回避・移転・受容）
遅れる原因は規格の難しさではなく、各部門からの回答が返ってこないことです。依頼の粒度を細かくし、回答フォーマットを用意し、期限を切って追いかける。ここは進行管理の質がそのまま期間に効きます。手順は 情報資産の洗い出しと台帳の作り方 と リスクアセスメントの進め方｜評価基準の設計 にまとめています。
③ ルール整備（約4か月）
方針・目的、各種規程、適用宣言書（SoA）、インシデント報告フローなどを整備します。期間としては最長ですが、ひな形があるかどうかで負荷がまったく変わるのがこの段階です。
重要なのは、理想的な運用を書かないことです。規程に書いたことは審査で「そのとおり運用できているか」を確認されます。実態より厳しいルールを書くと、そのまま不適合の原因になります。現在できていることを正確に書き、足りない部分はリスクアセスメントで受容するか、期限を切って改善計画に載せる。これが結果的に最短です。
考え方は ISMS文書体系｜何をどこまで作るか、ひな形の自社化は 規程のひな形を自社化するコツ、SoAの書き方は 適用宣言書（SoA）の書き方 を参照してください。
④ 対策実施・社員教育（③と並行）
決めたことを実際に行う段階です。アクセス権の見直し、ログ取得の設定、端末管理、バックアップ、委託先の確認。あわせて全従業員への教育を実施します。
教育で見落とされやすいのは、受講率100%を達成するまでの追いかけです。人数が増えるほど、未受講者が数名残ります。審査で確認されるのは「教育を実施したか」だけでなく「対象者が受講した記録があるか」です。設計の考え方は 従業者教育の設計｜受講率100%の運用 をご覧ください。
⑤ 内部監査・是正、マネジメントレビュー（約2週間）
ここが6か月スケジュールの心臓部です。 次章で詳しく扱います。
⑥ 審査（約1か月）
**1次審査（文書審査）**で文書体系と適用範囲の妥当性が確認され、**2次審査（実地審査）**で実際の運用が確認されます。小規模組織では1次が1〜2日、2次が2〜3日というのが一般的な目安です。1次と2次の間には、1次での指摘に対応する期間が必要になるため、通常は数週間の間隔が空きます。
2次審査で不適合が指摘された場合、是正処置を提出して確認を受けるまで認証登録は行われません。見られる観点は 1次審査（文書審査）で見られること と 2次審査（実地審査）で見られること、よくある指摘は 審査でよくある不適合と対策 にまとめています。
逆算の勘所 ― 内部監査とマネジメントレビュー
スケジュールが崩れる最大の理由は、この制約を最後に知ることです。
認証を受けるには、ISMSが「動いている」ことを示す必要があります。 文書が揃っているだけでは足りません。具体的には、規格が求めるパフォーマンス評価と改善のサイクル——内部監査を実施し、その結果を含めてマネジメントレビューを行い、必要な是正処置を講じたという一連の記録が必要になります。
ここから導かれる制約は明確です。
| 必要なこと | なぜ圧縮できないか |
|---|---|
| 規程に基づく運用の実績 | ルールを作った直後に監査しても、点検対象となる記録が存在しない |
| 内部監査の実施 | 監査は運用実績を対象にする。計画→実施→報告に日数がかかる |
| 不適合の是正 | 指摘された内容を実際に直し、直した記録を残す必要がある |
| マネジメントレビュー | 経営層の会議体。日程調整が必要で、内部監査結果を入力にする |
つまり、2次審査日から逆算すると次のようになります。
- 2次審査日
- ← その前に：マネジメントレビュー実施済み
- ← その前に：内部監査の実施と是正処置の完了
- ← その前に：規程に基づく運用がある程度回っている期間
- ← その前に：規程の確定・教育の完了
4の「運用が回っている期間」をどれだけ確保できるかが、審査での説明のしやすさを左右します。運用開始直後に審査を受けると、提示できる記録が薄くなり、指摘を受けやすくなります。短期取得を狙う場合でも、この部分だけは削れません。
もう一つ、逆算に効く要素が審査機関の空き日程です。審査員のアサインは数か月前から埋まることがあり、「準備はできたので来月審査を受けたい」が通らない場合があります。だからこそ、①の段階で審査機関の選定に着手します。日程を先に押さえ、そこから逆算して全工程を引くのが崩れにくい組み方です。
なお、マネジメントレビューは経営層が実施するものであり、代行できません。内部監査は「自らの業務を自分で監査しない」ことが求められるため、小規模組織では社内だけで成立させにくい領域です。進め方は 内部監査の進め方｜計画・チェックリスト・報告 と マネジメントレビューの進め方と議事録 をご覧ください。
期間が伸びる典型的な原因
遅延は、ほぼ決まったパターンで起きます。
| 原因 | 何が起きるか | 予防策 |
|---|---|---|
| 適用範囲を着手後に変更する | 資産洗い出しとリスクアセスメントをやり直し | ①で取引先の要求を確認し、範囲を確定させる |
| 各部門からの回答が返らない | ②で1〜2か月止まる | 回答フォーマットと期限を用意し、経営層から依頼を出す |
| 担当者に権限がない | 部門間の調整が進まない | ISMS責任者に経営層からの明確な権限委譲を行う |
| 実態より厳しい規程を書く | 運用できず、審査で不適合になる | 現状を正確に書き、不足はリスク受容か改善計画に載せる |
| 教育の未受講者が残る | 審査直前に追いかけることになる | 期限を分割し、部門長に受講状況を可視化する |
| 内部監査の日程を後回しにする | ⑤が圧縮できず審査日が後ろへ | ①で審査日を仮押さえし、逆算で監査日を先に決める |
| 審査機関の空き日程が埋まっている | 準備完了後に数か月待つ | ①で選定に着手し、早期に日程を仮押さえする |
| 経営層の日程が確保できない | マネジメントレビューが実施できない | 期初に年間の会議体として日程を確定させておく |
| 技術的対策に想定外の工数が出る | ④が長期化する | ②のリスク評価後、早い段階で実装難度を見積もる |
このうち実務で最も多いのは、**上から2つ目（部門からの回答遅れ）と下から2つ目（経営層の日程）**です。いずれも規格の難易度とは関係がなく、社内の段取りの問題です。裏を返せば、ここを設計できていれば6か月は十分に現実的な目標になります。
短縮できる場合・できない場合
短縮の余地があるところ
- 適用範囲を絞る：文書量も審査工数も減ります
- ひな形を使う：③の負荷が大きく下がります
- 既存の取り組みを流用する：すでに規程・台帳・ログ管理がある場合、①②③が軽くなります
- 進行管理を外部に出す：部門への依頼・追いかけ・文書レビューを外部が担うと、社内は意思決定に集中できます
- 内部監査を外部が担う：計画から実施・報告までの日数が短縮され、独立性の要件も満たしやすくなります
短縮できないところ
- 規程に基づく運用実績の蓄積期間
- 内部監査→是正→マネジメントレビューの一巡
- 1次審査と2次審査の間隔（1次の指摘への対応期間）
- 審査機関の日程（先に押さえるしかない）
「3か月で取りたい」という要望は珍しくありませんが、上の4つがある以上、圧縮できるのは準備側だけです。短期取得を目指す場合は、範囲を絞り、ひな形を使い、進行管理と内部監査を外部に出し、そして最初に審査日程を押さえる。この4点をセットで行う必要があります。
認証取得後のスケジュール
取得は終点ではありません。認証は3年サイクルで運用されます。
| 時期 | 実施すること |
|---|---|
| 毎年 | 内部監査、マネジメントレビュー、リスクアセスメントの見直し、教育 |
| 2年目・3年目 | サーベイランス審査（維持審査） |
| 4年目 | 更新審査（再認証） |
初年度の構築で「1年の運用サイクルをどう回すか」を設計しておくと、2年目以降が安定します。逆に、審査を通すことだけを目的に進めると、2年目の内部監査で行き詰まります。維持のポイントは サーベイランス審査（維持審査）の準備 を、費用面の続き方は ISMS取得費用の全体像｜コンサル費・審査費・社内工数 をご覧ください。
ヘルスケア事業者の場合、医療機関への導入時に3省2ガイドラインへの対応を求められることがあります。ISMSの年間サイクルと別建てで運用すると負担が二重になるため、当初から統合を前提に設計するのが有効です。考え方は ISMS文書と3省2ガイドライン対応文書の統合、ガイドラインそのものは 3省2ガイドラインとは｜医療情報システムの安全管理 にまとめています。
まとめ
- 新規取得の標準期間は約6か月。計画2週間・リスク分析1か月・ルール整備4か月（対策と教育は並行）・内部監査と是正2週間・審査1か月という構成
- 期間を決めているのは文書作成量ではなく、内部監査とマネジメントレビューを1周実施した記録が必要という制約
- スケジュールは2次審査日から逆算して引く。レビュー → 内部監査と是正 → 運用実績の蓄積 → 規程確定、の順に遡る
- 審査機関の日程は早期に埋まり得るため、最初の2週間で選定に着手し日程を仮押さえする
- 遅延の主因は規格の難しさではなく、部門からの回答遅れと経営層の日程確保。いずれも段取りで防げる
- 短縮できるのは準備側（範囲・ひな形・進行管理・内部監査の外部化）。運用実績と監査の一巡、審査間隔は圧縮できない
ポテックは、着手から約6か月での新規取得を基本に支援しています。規程・台帳・教材のひな形を提供し、部門への依頼や審査機関との日程調整を含む進行管理を当社が主導するため、御社には意思決定と受講に集中いただけます。内部監査責任者・内部監査員も当社が担えるため、⑤の工程を圧縮しやすくなります。通常より短い期間での取得をご希望の場合はオプションで対応しています。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。取得希望時期からの逆算のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- 情報セキュリティ対策｜独立行政法人情報処理推進機構（IPA）
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※必要な記録の範囲、審査の進め方、日程の取り方は審査機関により異なります。期間の目安は組織規模・適用範囲・現状の整備状況により変動します。制度や解釈は改定により変わり得ます。