マネジメントレビューの進め方と議事録

マネジメントレビューは、ISMSの中でもっとも短時間で終わり、もっとも多く形骸化するプロセスです。年に一度、事務局が作った資料を役員会で30分読み上げ、「特に意見なし」と議事録に書いて終わる。文書としては成立していますが、規格が求めているのはそこではありません。

規格がトップマネジメントに求めているのは、ISMSが引き続き適切で、妥当で、有効であるかをレビューし、必要なら変える判断をすることです。つまり、この場は報告を受ける場ではなく、資源配分・範囲・方針・リスク受容について決める場です。何も決まっていない議事録は、それ自体が「有効性がレビューされていない」という証跡になります。

本記事では、マネジメントレビューのインプットをどう揃えるか、経営層が実際に何を決めるのか、議事録にどの粒度で残すか、そして年1回で足りるのかという論点を扱います。前提となる箇条5の要求は箇条5 リーダーシップ｜トップマネジメントの責任、レビューが属する箇条9の全体像は箇条9 パフォーマンス評価｜監視・測定・内部監査、規格全体は ISMS（ISO/IEC 27001）とはをご覧ください。

免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の対応はそれらに基づいて行ってください。

なぜここでつまずくのか

マネジメントレビューが形骸化する原因は、ほぼ3つに集約されます。

1つめは、インプットが「実績の羅列」になっていること。 内部監査で不適合が3件、インシデントが5件、教育受講率98%——数字が並んでいても、それが良いのか悪いのか、何を変えるべきなのかが資料から読み取れなければ、経営層は判断のしようがありません。数字には必ず判断材料としての文脈（目標値との差、前期との比較、事務局の見立て）が必要です。

2つめは、決めるべき論点が事前に設定されていないこと。 「ご報告します」で始まる資料には、決議事項がありません。経営層が使える時間は限られているため、「この3点について判断をお願いします」と先に提示する構成にしないと、議論は起きません。

3つめは、事務局が経営層の代わりに決めてしまっていること。 予算が足りないので対策を来期に送る、この残留リスクは受容する——こうした判断をISMS事務局が独断で行い、レビューでは事後報告だけする。審査では「トップマネジメントが決定したという証跡がない」という形で指摘されます。

この3つは、いずれも準備の設計で解決できる問題です。会議の長さの問題ではありません。

何を決めるのか

規格が求めるインプット

箇条9.3は、レビューで考慮すべき事項を具体的に列挙しています。逐語ではなく要旨で整理すると、次のとおりです。

インプット項目	実務で用意するもの	準備の担当
前回レビューの決定事項の対応状況	前回議事録の決議一覧と、各項目の完了／未完了と理由	ISMS事務局
外部・内部の課題の変化	法規制の改定、事業の変化、組織改編、新サービスの追加	事務局＋事業部門
利害関係者のニーズ・期待の変化	顧客のセキュリティ要求の変化、監督官庁・業界の動向	営業／法務
不適合と是正処置の状況	内部監査・外部審査・日常運用で出た不適合の一覧と進捗	事務局
監視・測定の結果	KPIの実績値、目標値との差	各指標の責任者
監査結果	内部監査報告書、前回の審査報告書	内部監査責任者
情報セキュリティ目的の達成状況	目的ごとの達成／未達成と、未達成の理由	各目的の責任者
利害関係者からのフィードバック	顧客からの指摘・チェックシート対応で判明した不足	営業／事務局
リスクアセスメントの結果とリスク対応計画の状況	新規リスク、リスクレベルの変化、対応計画の進捗	事務局＋リスク所有者
継続的改善の機会	事務局からの改善提案（判断を求めるもの）	事務局

このうち、抜けやすいのは「利害関係者のニーズ・期待の変化」です。 2022年版で明示的に位置づけられた項目ですが、実務では資料に入っていないことが少なくありません。ヘルスケア企業の場合、顧客医療機関から求められるセキュリティ要件の変化（3省2ガイドラインの改定、調達仕様の厳格化、個人情報保護法の運用の変化）がここに入ります。

経営層が実際に決めること

アウトプットとして求められるのは、継続的改善の機会に関する決定と、ISMSの変更の必要性に関する決定です。これを実務の言葉に置き換えると、次の4種類になります。

決定の種類	具体例
資源の配分	来期のセキュリティ予算、人員の増員、外部支援の利用、ツールの導入可否
適用範囲・体制の変更	新拠点や新サービスをISMSの範囲に含めるか、責任者の変更、部門の再編
方針・目的の見直し	情報セキュリティ方針の改定、次期の目的とKPIの設定、目標値の変更
リスクの受容	対応しきれない残留リスクを受け入れるか、対応期限を延ばすか

この4つのうち1つも決まっていない議事録は、レビューが機能していない徴候です。 逆に言えば、事務局は準備段階で「この会で決めてもらう項目」をこの4分類に沿って用意しておけば、会議は自然に判断の場になります。

目的とKPIの設計は情報セキュリティ目的とKPIの立て方、リスク受容の考え方はリスク対応計画とリスク受容の判断で詳しく扱っています。

実務の手順

1. 年間スケジュールに組み込む（開催の2〜3か月前）

マネジメントレビューは単独では成立しません。内部監査 → 是正処置の起票 → マネジメントレビュー → 次期計画 という順序で並べる必要があります。内部監査の結果が出ていない状態でレビューを開いても、主要なインプットが欠けます。

典型的な年間の並べ方は次のとおりです。

時期	実施事項
期末3か月前	内部監査の実施
期末2か月前	不適合の是正処置起票、KPI実績の集計
期末1か月前	マネジメントレビュー
期初	次期の目的・KPI・リスク対応計画の確定
期中	サーベイランス審査（審査機関のスケジュールによる）

内部監査の進め方は内部監査の進め方｜計画・チェックリスト・報告、サーベイランス審査の準備はサーベイランス審査（維持審査）の準備をご覧ください。

2. インプット資料を作る（開催の2週間前）

資料は1項目1ページ以内に収め、各ページに「事務局の見立て」を1〜2行で入れます。数字だけのページは作りません。

悪い例と良い例を並べると差が明確になります。

悪い例	良い例
内部監査：不適合3件、観察事項5件	内部監査：不適合3件。うち2件は委託先評価の記録欠落で、原因は評価の期日管理が個人任せであること。是正には評価の仕組み化（工数10人日相当）が必要
教育受講率 98%	教育受講率 98%（目標100%）。未受講2名は長期休職者。運用ルールとして復職時受講を追加するか判断が必要
インシデント 5件	インシデント5件（前期7件）。うち4件は誤送信で、全件が同一部門。宛先確認の仕組み（送信前確認機能の導入）を検討すべき

3. 決議事項を先に提示する（開催の1週間前）

資料の冒頭に**「本日ご判断いただく事項」**として3〜5項目を列挙し、事前に配布します。各項目には、事務局案・必要資源・判断しない場合のリスクを添えます。

例：

次期セキュリティ予算 ◯◯万円の承認（事務局案：承認。内訳は委託先評価の仕組み化と多要素認証の全社展開）
新規SaaSサービスをISMS適用範囲に含めるか（事務局案：含める。顧客医療機関からの要求があるため）
委託先Aの再委託先に関する残留リスクの受容可否（事務局案：条件付き受容。年1回の実地確認を条件とする）

4. 開催する

議事は決議事項を先に扱い、報告事項を後に回すのが実務的です。時間切れで判断が先送りになる事態を避けられます。

出席者は、トップマネジメント（代表取締役または相当する意思決定者）が必須です。代理出席のみで開催した記録は、審査で問われやすい構造です。やむを得ず欠席する場合でも、決議に対する承認の証跡（署名、電子承認、メールでの明示的承認）を残します。

5. 議事録を書く

議事録の粒度が、この記事でもっとも実務的な論点です。次節で詳しく扱います。

6. 決定事項を計画に落とす（開催後2週間以内）

決議を、担当者・期限・完了判定条件を持つタスクに変換します。これをやらないと、次回のレビューで「前回の決定事項の対応状況」が書けません。是正処置として扱うべきものは是正処置報告書の書き方の様式に落とします。

議事録に残す粒度

議事録は、後から読んだ第三者（審査員、新任の担当者、顧客の監査担当）が、何が議論され何が決まったかを再構成できることが条件です。

残すべき要素は次のとおりです。

要素	書き方
日時・場所・出席者	役職名を明記。トップマネジメントの出席を明示
インプット項目	9.3の項目立てに沿った見出しで、各項目に何が報告されたかを記載
議論の要旨	誰がどの論点を指摘し、どう検討されたか。異論があった場合はその内容も
決定事項	何を決めたか。承認／否認／条件付き承認／継続審議の別
決定の理由	なぜそう決めたか。特に「対応しない」判断には理由が必須
担当・期限	決定事項ごとの実行責任者と完了期限
次回開催予定	時期と、そこで扱う予定の論点

避けるべき書き方は次のとおりです。

「特に意見なし」「異議なし」だけで議論の実質が残らない
決定が「承認された」とだけ書かれ、何を承認したのかが特定できない
資料を添付するだけで、議事録本文に決定が書かれていない
「検討する」で終わり、誰がいつまでに検討するかがない

特に重要なのは「対応しない」という判断の記録です。 指摘された改善提案を採用しない、残留リスクを受け入れる、対策を次期に送る——これらは正当な経営判断ですが、理由が書かれていないと「認識していなかった」ことと区別できません。インシデントが起きた後に、この記録の有無が大きな差になります。

なお、議事録に具体的な脆弱性の詳細や攻撃手法を書き込みすぎない配慮も必要です。議事録は顧客監査や取引先へ開示を求められることがあります。詳細は別の管理文書に置き、議事録では参照にとどめる設計が安全です。

よくある失敗

年1回で足りるのか問題

規格は「あらかじめ定めた間隔で」実施することを求めており、頻度を年1回と定めているわけではありません。年1回が原則として成立するのは、事業環境とリスクが安定している場合です。次のいずれかに該当する組織では、年1回では判断が遅れます。

状況	推奨される進め方
新サービスの立ち上げ・大規模なシステム移行がある	変更の計画段階で臨時レビューを開く
重大インシデントが発生した	発生後に臨時レビュー（是正の承認と資源配分）
M&A・拠点追加・大幅な組織改編	適用範囲の変更判断のため臨時レビュー
法規制・ガイドラインの改定があった	影響評価の結果を持って臨時レビュー
成長期で人員・システムの変化が速い	年2回（半期ごと）を定例化

実務的に扱いやすいのは、年1回の本レビュー＋四半期の簡易レビューという二層構成です。本レビューで9.3の全項目を扱い、四半期では「前回決定事項の進捗」「KPIの実績」「新規リスク」の3点に絞ります。この場合、手順書に両者の位置づけを明記しておくことが必要です。簡易レビューをマネジメントレビューと称しながら全項目を扱っていないと、指摘の対象になります。

内部監査とレビューが同じ日に行われている

時間効率を優先して同日に実施すると、監査結果を消化する時間がありません。不適合の原因分析が済んでいない状態では、資源配分の判断ができません。最低でも2週間、できれば1か月空けるのが実務的です。

事務局が資料を作り、事務局が議事録を書き、事務局が決めている

この構造は審査で見抜かれます。議事録に事業部門の発言が一つも出てこない、決定事項がすべて事務局案どおり、という状態が続くと、「トップマネジメントの関与」が疑問視されます。役員からの質問や指示を意識的に記録に残すことが対策になります。

前回の決定事項が追跡されていない

次回レビューのインプット第1項目が「前回レビューの決定事項の対応状況」であるにもかかわらず、これが空欄の議事録は珍しくありません。決議一覧を1枚のシートで管理し、毎回冒頭で確認する運用にすれば構造的に防げます。

KPIの未達が説明されずに流れる

「目標100%に対し実績85%」とだけ書かれ、理由も対策も議論されないまま次の項目に進む。これは、箇条9の監視・測定が箇条10の改善につながっていないことを意味します。未達の目的については、原因と次期の扱い（目標値を維持するか、計画を変えるか）を必ず決議事項にする設計にします。

議事録に署名・承認の記録がない

作成者だけが記名され、トップマネジメントの承認が確認できない議事録は、決定の証跡として弱くなります。電子承認・回覧記録・メールでの承認など、形式は問わないが承認の事実が追えるようにします。

ヘルスケア企業の例

医療SaaS事業者の場合

レビューで扱うべき固有の論点は、顧客医療機関からのセキュリティ要求の変化です。3省2ガイドラインの改定や、病院の調達仕様の厳格化は、そのまま自社の対応コストとして跳ね返ります。これを「利害関係者のニーズ・期待の変化」のインプットとして営業部門から上げる仕組みを作ると、レビューが受注機会の議論とつながります。ガイドライン側の経営層の責任範囲は経営管理編の要点｜経営層が負う責任、事業者側の位置づけは既存記事の 3省2ガイドラインとはをご覧ください。

もう一つは、本番環境の患者データへのアクセス実績です。障害対応でどれだけ本番データを参照したか、申請と承認が漏れなく残っているか。これは月次のログ点検で追い、レビューには傾向と例外事象だけを上げる形が現実的です。

PHR事業者の場合

同意の取得・撤回の状況と、データ利用範囲の整合性がレビュー項目になります。新機能の追加によって、既存の同意範囲を超えるデータ利用が生じていないか。これは事業判断とセキュリティ判断が重なる領域で、まさにマネジメントレビューで扱うべき論点です。詳細は PHR事業者のISMS｜個人情報保護法との関係をご覧ください。

治験・臨床研究システムを扱う企業の場合

監査証跡の完全性に関する指標を定常的にレビューに上げます。ログの欠落、時刻同期のずれ、バックアップからの復元テスト結果。これらは可用性・完全性の観点であり、機密性中心のKPIだけを見ていると抜け落ちます。

SaMDを開発する企業の場合

ISMSのマネジメントレビューと、QMS（ISO 13485）のマネジメントレビューを同じ会議体で開催するか分けるかが実務上の論点になります。どちらでも構いませんが、同一開催とする場合は、議事録上でISMSの9.3項目が漏れなく扱われたことが判別できる構成にする必要があります。項目立てを混在させると、どちらの審査でも「該当項目の議論が確認できない」と言われやすくなります。関係の整理は SaMDとISMS・QMS（ISO 13485）の関係で扱います。

少人数の組織の場合

経営層と事務局の人員が重なるケースでは、「自分が報告して自分が承認する」構造になりがちです。この場合でも、役割としての分離を議事録上で明示し、報告と決定を別項目として記載することで、証跡としての意味は保てます。組織規模に応じた考え方は少人数組織のISMS｜50名以下で取得するときの考え方をご覧ください。

まとめ

マネジメントレビューは報告会ではなく、資源・範囲・方針・リスク受容の4種類を決める場である
インプットは数字の羅列にせず、目標との差・前期比較・事務局の見立てを必ず添える
議事録には議論の要旨・決定内容・決定の理由を残す。特に「対応しない」判断の理由は必須
規格は頻度を年1回と定めていない。変化の速い組織は年2回、または年1回＋四半期の簡易レビューが現実的
内部監査とレビューは2週間〜1か月空ける。監査結果を消化する時間がないと判断ができない
決議は担当者・期限・完了判定条件を持つタスクに変換し、次回冒頭で追跡する

マネジメントレビューで出た改善の決定は、箇条10 改善｜不適合と是正処置のプロセスに乗せ、是正処置報告書の書き方の様式で追跡します。レビューの結果として範囲を変える場合は ISMS適用範囲の決め方、体制を変える場合は箇条5 リーダーシップの要求に戻って確認してください。

ポテックは、ヘルスケア領域に特化してISMS認証取得と運用を支援しています。マネジメントレビューの議題設計と議事録の様式は、初回の運用でつまずきやすく、かつ審査で必ず見られる領域です。支援内容と料金は ISMS認証取得支援サービス、個別のご相談はお問い合わせから承ります。

参考・出典

※規格の要求事項の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。改定や運用の見直しにより取扱いが変わる場合があります。