ISMS認証には有効期限があります。認証の有効期間は3年で、期限が切れる前に**更新審査（再認証審査）**を受けることで次の3年に更新されます。
サーベイランス審査を2回無事に通過してきた組織ほど、更新審査を「3回目のサーベイランス」と捉えがちです。これは準備の方向を誤らせます。サーベイランス審査が部分を抜き取って運用状況を見るのに対し、更新審査はISMSが組織にとって有効に機能しているかを全体として評価し直す審査だからです。工数も確認範囲も一段大きくなります。
もうひとつ、更新審査に固有の論点があります。それは期限です。認証の有効期限までに審査と是正、そして認証判定が完了していないと、認証が失効する可能性があります。サーベイランス審査なら多少の日程変更は吸収できますが、更新審査は逆算が効かないと取り返しがつきません。
本記事では、サーベイランス審査との違い、3年分の改善をどう示すか、適用範囲を見直すタイミング、そして逆算スケジュールを扱います。毎年の維持審査は サーベイランス審査（維持審査）の準備、認証全体の流れは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。更新審査の実施時期・工数・確認範囲、認証の失効に関する取扱いは審査機関により運用が異なります。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。個別の日程・要件は担当審査機関にご確認ください。
3年周期のどこに位置するのか
認証取得後の流れは次のように進みます。年次の数え方は審査機関や社内の呼称で「3年目の審査」「4年目の審査」と異なることがありますが、**実質は「初回認証から2回のサーベイランスを経た後、有効期限までに受ける審査」**です。
| 段階 | 審査 | 何を見るか |
|---|---|---|
| 初回認証 | 1次審査＋2次審査 | ISMSが確立されているか |
| 1回目の維持 | サーベイランス審査 | 1年間運用され続けているか |
| 2回目の維持 | サーベイランス審査 | 同上（前回と重複しない範囲に配分） |
| 更新 | 更新審査（再認証審査） | ISMS全体が有効に機能しているか。次の3年に更新してよいか |
更新審査は、確認の広さという意味で初回認証時の審査に近づきます。そのとき何を見られたかを思い出しておくと準備の目安になります（1次審査（文書審査）で見られること、2次審査（実地審査）で見られること）。ただし更新審査では、文書が揃っているかではなく3年間どう運用してきたかが軸になります。
重要なのは、審査機関が3年サイクル全体で規格要求と適用範囲を網羅するよう審査計画を立てている点です。更新審査はその総決算にあたるため、「サーベイランスで見られなかった領域」が集中的に確認されることがあります。3年間の審査報告書を並べて、どの要求事項・どの部門が薄くしか見られていないかを洗い出しておくと、準備の優先順位が決まります。
サーベイランス審査との違い
| 観点 | サーベイランス審査 | 更新審査 |
|---|---|---|
| 目的 | 運用の継続と維持の確認 | ISMS全体の有効性の再評価と、次の3年への更新可否の判断 |
| 範囲 | 一部に絞られる（3年で網羅する配分の一部） | 規格要求と適用範囲の全体をあらためて確認 |
| 審査工数 | 初回審査より少ない | サーベイランスより大きい（初回審査に近づく） |
| 見る期間 | 直近1年 | 3年間の推移 |
| 主な論点 | 決めたとおりに回っているか | 決めたこと自体が今の組織に合っているか。改善されてきたか |
| 適用範囲 | 変更の報告と反映 | 見直しの妥当性を含めて評価される |
| 不適合の影響 | 認証の維持に影響 | 有効期限内に解消できないと失効のおそれ |
言い換えると、サーベイランス審査が「約束を守ったか」を見るのに対し、更新審査は**「約束の中身が今も妥当か」まで踏み込む**ということです。
たとえばリスクアセスメント。サーベイランスでは「更新した記録があるか」が中心ですが、更新審査では3年前の評価基準が今の事業に合っているか、リスクの分布が事業の変化を反映しているか、といった問いが出ます。情報セキュリティ目的（KPI）も同様で、3年間ずっと同じ目標を掲げて毎年達成していれば、それは「目標が低すぎる」という指摘の材料になり得ます。
3年分の改善の積み上げをどう示すか
更新審査の準備でいちばん差がつくのがここです。審査当日に3年分の記録を箱ごと出しても評価されません。「この3年でISMSがどう良くなったか」を説明する資料を自分で作るのが実務です。
次の5つの軸で整理すると、説明が組み立てられます。
| 軸 | 示すもの | 具体的な材料 |
|---|---|---|
| ① 指摘の推移 | 審査・内部監査の指摘が減ったか、質が変わったか | 3年分の不適合・観察事項の一覧と、それぞれの是正結果 |
| ② リスクの変化 | リスクアセスメントがどう更新されてきたか | 各年の更新箇所と理由。新規サービス・新システムの反映 |
| ③ 目的の達成 | KPIの推移と、未達時に何をしたか | 年度別の測定結果、目標の見直し履歴 |
| ④ インシデント | 発生と対応、そこから何を変えたか | インシデント一覧と、規程・手順に反映した箇所 |
| ⑤ 体制と力量 | 人が入れ替わってもISMSが回る構造になったか | 責任者交代の引継ぎ記録、教育の内容更新、内部監査員の育成 |
①の「指摘がゼロ」は必ずしも良い材料ではありません。 3年間まったく指摘が出ていない場合、内部監査が機能していないのではないかという疑いを招きます。むしろ、指摘が出て是正され、その結果として同種の指摘が再発していない——という流れのほうが、マネジメントシステムが機能している証拠として強く働きます。
③については、目標の見直し履歴が効きます。 達成したから翌年は水準を上げた、事業構造が変わったので指標自体を入れ替えた、という履歴があれば、継続的改善が実体を伴っていることを示せます。情報セキュリティ目的の設計は 情報セキュリティ目的とKPIの立て方 を参照してください。
⑤は見落とされがちですが、更新審査で問われる本質に近い論点です。ISMSが特定の担当者の記憶で回っている状態は、3年という時間軸で見ると必ず破綻します。責任者が交代しても同じ水準で運用できることを、引継ぎ記録と教育記録で示せる状態を目指してください。
適用範囲を見直すなら更新審査のタイミング
適用範囲（スコープ）の変更は、いつでもできる手続きではあります。ただし更新審査は、範囲を見直すのに最も自然なタイミングです。理由は3つあります。
- どのみち適用範囲の妥当性が全体として評価される
- 審査計画・審査工数の再算定が、更新審査に合わせて行われる
- 3年の運用を経て、「範囲が狭すぎた／広すぎた」という判断材料が揃っている
見直しを検討すべき典型的な状況は次のとおりです。
| 状況 | 検討すること |
|---|---|
| 取引先から、認証範囲に含まれていない事業・拠点の証明を求められた | 範囲の拡大。取引要件として具体的に何が求められているかを先に確認する |
| 認証取得後に新サービス・新プロダクトを立ち上げた | 新サービスを範囲に含めるか。含めないなら、その境界を文書で説明できるか |
| 拠点が増えた／リモートワークが常態化して拠点の意味が変わった | 物理的境界の定義の見直し。リモート環境の扱いを明確にする |
| 範囲を広く取りすぎて運用負荷が重い | 範囲の縮小。ただし縮小は取引先への説明が必要になるため、影響を先に確認する |
| M&A・組織再編で法人格や事業構成が変わった | 認証の主体そのものの整理。早期に審査機関へ相談する |
範囲の変更は審査工数と審査費用に直結します。 拠点数や適用範囲内の要員数が変われば、更新審査の工数が再算定されます。変更の意向は、更新審査の日程を決める段階より前に審査機関へ伝えるのが安全です。費用の決まり方は 審査費用の相場と変動要因、範囲設計の考え方は ISMS適用範囲の決め方 で扱っています。
ヘルスケア事業者の場合、医療情報の取扱いをどこまで範囲に含めるかが固有の論点になります。医療機関との契約で求められる水準、3省2ガイドラインへの対応範囲、責任分界の定義と整合させる必要があります（責任分界点の決め方、3省2ガイドラインとは｜医療情報システムの安全管理）。
逆算スケジュールと、失効を避ける実務
更新審査で最も避けるべきは認証の失効です。有効期限までに、審査・不適合の是正・認証判定のすべてが完了している必要があります。不適合が出た場合の是正期間を織り込むと、有効期限から3〜4か月は前倒しで審査を受けるのが現実的です。
| 時期（有効期限基準） | やること |
|---|---|
| 12か月前 | 3年分の審査報告書・内部監査報告書を通読。薄く見られている領域を特定する |
| 9〜10か月前 | 適用範囲の見直し要否を判断。変更の意向を審査機関へ相談 |
| 8か月前 | 更新審査の日程を審査機関と仮押さえ。工数・費用の見積りを確認 |
| 6か月前 | リスクアセスメントの本格的な見直し。評価基準そのものの妥当性を検討 |
| 5か月前 | 規程・SoAの棚卸。3年前の文書で実態と合わなくなった箇所を洗い出す |
| 4か月前 | 従業者教育の実施（内容も3年前のままにしない） |
| 3か月前 | 内部監査の実施。更新審査を意識して、全部門・全要求を網羅する計画にする |
| 2か月前 | 内部監査指摘の是正。3年分の改善サマリー資料の作成 |
| 1〜2か月前 | マネジメントレビューの実施。次の3年の方針と資源配分を決議する |
| 1か月前 | 自己点検。出席者・場所・オンライン審査の可否を確定 |
| 有効期限の3〜4か月前 | 更新審査の実施 |
| 審査後 | 不適合の是正、報告、認証判定 |
更新審査前のマネジメントレビューは、通常年より重要です。 次の3年に向けた方針・目的・資源配分を経営層が決議した記録は、「ISMSが組織に統合されている」ことの最も直接的な証拠になります。形式的な議事録で済ませないでください。
日程を押さえる相手である審査機関との関係も、この時期に見直す機会があります。認証期間の切れ目は審査機関を変更できるタイミングでもありますが、移管には所定の手続きと期間が必要です。検討するなら早い段階で情報を集めてください（審査機関の選び方｜相見積で見るべき点）。
準備チェックリスト
全体の再評価に備える
- 3年分の審査報告書・内部監査報告書を読み直し、薄い領域を特定した
- 3年間の不適合・観察事項の一覧と是正結果を1枚にまとめた
- リスクアセスメントの評価基準そのものが現在の事業に合っているか検討した
- 情報セキュリティ目的の推移と見直し履歴を整理した
- 3年間のインシデントと、そこから変更した規程・手順を紐づけた
文書の鮮度
- 規程類の最終改定日を確認し、3年間未改定のものを点検した
- SoAの適用・除外の判断が、現在のリスクアセスメント結果と整合している
- 適用範囲の記述が、現在の組織図・拠点・サービスと一致している
- 教育教材の内容が更新されている（脅威動向・自社の変化を反映）
運用の記録
- 直近のサーベイランス以降の内部監査・マネジメントレビューが実施済み
- 前回サーベイランスの指摘が完結し、有効性の証拠がある
- 委託先一覧・情報資産台帳・アクセス権限が現状と一致している
- ISMS責任者や内部監査員が交代した場合、引継ぎと力量の記録がある
日程と手続き
- 有効期限を起点に、是正期間を含めた逆算スケジュールを引いた
- 適用範囲の変更意向を審査機関へ伝え、工数・費用への影響を確認した
- 更新審査の日程を確定した
まとめ
- 認証の有効期間は3年。期限までに更新審査と是正、認証判定を完了させる必要がある
- サーベイランス審査との違いは評価の単位。部分の運用確認ではなく、ISMS全体の有効性の再評価
- 3年前に決めたリスク評価基準・目的・規程が今の組織に合っているかまで問われる
- 示すべきは記録の量ではなく改善の積み上げ。指摘の推移、リスクの変化、KPIの見直し履歴、インシデントからの反映、体制の継承性の5軸で整理する
- 指摘ゼロは必ずしも良い材料ではない。出て、直って、再発していない流れのほうが強い
- 適用範囲の見直しは更新審査が最も自然なタイミング。ただし工数と費用に直結するため、日程確定より前に審査機関へ相談する
- 失効を避けるため、有効期限の3〜4か月前には審査を受ける逆算で動く
ポテックは、認証取得後の運用支援として、役割・適用範囲の見直し、リスクアセスメントの更新、内部監査の実施、維持審査・更新審査への対応を継続的に支援しています。ISMS運用支援は80万円／年〜（税抜、最大50名ほどの組織規模を想定）です。審査機関への支払い（審査費用）はこの料金に含まれません。
支援内容と料金の詳細は ISMS認証取得支援サービス をご覧ください。更新審査を前に適用範囲を見直したい、3年分の整理に手が回らないといったご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 17021-1 Conformity assessment — Requirements for bodies providing audit and certification of management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※更新審査の実施時期・工数・確認範囲、認証の失効および審査機関の移管に関する取扱いは審査機関ごとに運用が異なります。規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。制度・ガイドラインは改定されるため、最新版をご確認ください。