ISMSの認証審査は、1次審査（文書審査）と2次審査（実地審査）の2段階で行われます。初めて受ける組織にとって、この1次審査は情報が少なく、不安の大きい場面です。「規程は全部作った。でも、何を見られるのだろう」という状態で当日を迎える担当者は珍しくありません。
結論から書くと、1次審査で見られるのは文書が揃っているかどうかではありません。 ファイル一覧を突き合わせて「ある／ない」を確認するだけの場ではないのです。審査員が確かめるのは、リスクアセスメントの結果と、適用宣言書（SoA）と、個々の規程が、論理的につながっているかです。
この記事では、1次審査の目的、当日の進み方、よく指摘される点、そして指摘が出たあと2次審査までに何をするかを整理します。続く2次審査については 2次審査（実地審査）で見られること をご覧ください。
免責：本記事は一般的な情報提供です。審査の進め方・日数・指摘の取扱いは審査機関により異なり、各機関の公表資料および審査計画書が正本です。実際の対応はそれらに基づいて行ってください。
1次審査とは何を確かめる場か
1次審査の目的は、ひとことで言えば**「2次審査に進める状態にあるか」の確認**です。ここで確かめられるのは、おおむね次の3点です。
- ISMSが設計として成立しているか — 適用範囲が明確で、リスクの評価から対応の決定までが一貫しているか
- 必要な文書化した情報が整っているか — 規格が要求する文書とその内容が、自組織の実態に合わせて作られているか
- 2次審査を実施できる準備があるか — 内部監査とマネジメントレビューの実施状況、拠点の状況、審査に必要な体制
重要なのは、1次審査が**「合格・不合格を出す試験」ではない**という点です。2次審査に向けて、何を整えておく必要があるかを確定させる場だと捉えるほうが実態に近いです。指摘が出ること自体は想定内であり、出たからといって取得できなくなるわけではありません。
日数は、小規模組織で1〜2日が一般的な目安です。適用範囲の広さや拠点数によって変動します。実施形態は、現地で行う場合とリモートで行う場合があり、審査機関や状況によって異なります。
見られるのは「揃っているか」ではなく「つながっているか」
ここが1次審査の核心です。規程の冊数が多いことも、テンプレートが立派なことも、評価の対象ではありません。見られるのは論理のつながりです。
具体的には、次の連鎖が成立しているかを確かめられます。
組織の状況・利害関係者の要求
↓
適用範囲の決定
↓
情報資産の把握
↓
リスクアセスメント（リスクの特定・分析・評価）
↓
リスク対応の決定
↓
適用宣言書（SoA）— 採用する管理策／除外する管理策と、その理由
↓
個々の規程・手順 — 採用した管理策を実際にどう運用するか
↓
記録 — そのとおりに運用した証跡
審査員は、この流れのどこかを起点にして前後をたどります。たとえば、SoAで「採用する」とした管理策を一つ選び、それに対応する規程があるか、その規程はリスクアセスメントのどのリスクに紐づくのかを追いかけます。逆に、リスクアセスメント表で高リスクと評価された項目について、SoAと規程でどう手当てされているかを確認することもあります。
このとき、次のような食い違いがあると指摘になります。
| 食い違いのパターン | 具体例 |
|---|---|
| SoAと規程の不一致 | SoAで「採用」としているが、対応する規程・手順が存在しない |
| リスクアセスメントとSoAの不一致 | 高リスクと評価した項目に対し、関連する管理策が理由の説明なく除外されている |
| 除外理由が説明になっていない | 「該当なし」とだけ書かれ、なぜ該当しないのかが読み取れない |
| 規程と実態の不一致 | 規程が一般的な文言のままで、自社に存在しない部署名・システム名が書かれている |
| 適用範囲と文書の不一致 | 適用範囲に含めた業務が、規程のどこにも登場しない |
最後の2つは、ひな形をそのまま使ったときに起きやすいパターンです。規程は自社の言葉に置き換えて初めて機能します。ひな形の自社化については 規程のひな形を自社化するコツ を参照してください。
適用宣言書そのものの書き方は 適用宣言書（SoA）の書き方、リスクアセスメントの進め方は リスクアセスメントの進め方｜評価基準の設計 にまとめています。
当日の進み方
1次審査の流れは、おおむね次のように進みます。時間配分は審査機関と適用範囲によって変わります。
| 場面 | 内容 | 出席者 |
|---|---|---|
| オープニングミーティング | 審査計画の確認、審査員の紹介、当日の進め方の説明 | ISMS責任者、担当者。経営層が同席することもある |
| 適用範囲・組織の確認 | 事業内容、組織構成、適用範囲の妥当性 | ISMS責任者 |
| 文書のレビュー | 方針、リスクアセスメント表、SoA、各規程を順に確認 | ISMS責任者、担当者 |
| 整備状況の確認 | 内部監査・マネジメントレビューの実施状況、2次審査に向けた準備状況 | ISMS責任者 |
| 拠点・環境の確認 | 拠点の所在、執務環境、リモートワークの状況（概況レベル） | 担当者 |
| 審査員の整理時間 | 審査員が所見をまとめる | — |
| クロージングミーティング | 所見の説明、2次審査までに対応すべき事項の確認、日程の調整 | ISMS責任者、担当者、経営層 |
文書は事前に提出を求められることが多いです。審査機関によっては、当日より前に主要文書を送付し、審査員が目を通したうえで当日を迎える形を取ります。この場合、当日は「読む」よりも「聞く」時間が中心になります。
当日の受け答えで大切なのは、作った理由を説明できることです。「なぜこの適用範囲にしたのか」「なぜこの管理策を除外したのか」「なぜこの評価基準なのか」。文書に書いてあるかどうかより、組織として判断した経緯を語れるかが問われます。逆に言えば、外部に作ってもらった文書の中身を誰も説明できない状態は、そこで露見します。
よく指摘される点
1次審査で繰り返し出てくる指摘には、いくつか型があります。事前に潰しておけるものばかりです。
1. 適用範囲の記述があいまい
適用範囲は、対象となる組織・業務・拠点・情報システムが読み手に明確に伝わる粒度で書く必要があります。「当社の情報セキュリティに関わる業務」のような書き方では、何が含まれ何が含まれないのかが判別できません。
2. リスクアセスメントの基準が説明できない
評価基準（影響度・起こりやすさの尺度、リスク受容の水準）を、なぜその設定にしたのかが説明できないケースです。基準そのものに正解はありませんが、組織として決めた理由は必要です。
3. SoAの除外理由が薄い
93の管理策すべてを実施する義務はなく、除外は正当な選択です。ただし理由が説明になっていることが条件になります。「該当なし」の一言では、なぜ該当しないのかが伝わりません。
4. 内部監査・マネジメントレビューが未実施
認証を受けるには、内部監査とマネジメントレビューを実際に1周実施した記録が必要です。1次審査の時点で未実施であれば、2次審査までに必ず完了させる必要があります。ここは逆算を誤ると日程が後ろにずれる最大の要因です。進め方は 内部監査の進め方｜計画・チェックリスト・報告 と マネジメントレビューの進め方と議事録 を参照してください。
5. 文書管理のルールが機能していない
版数・承認・改訂履歴が管理されていない、最新版がどれか分からない、というパターンです。文書管理は地味ですが、審査の場では真っ先に目に入る部分です。
6. 教育記録が揃っていない
従業者への教育を実施した記録（受講者、内容、日付）が必要です。実施はしたが記録が残っていない、という状態は指摘になります。従業者教育の設計｜受講率100%の運用 にまとめています。
指摘が出たあと — 2次審査までの動き方
1次審査の所見は、不適合として扱われるものと、観察事項・改善の機会として示されるものに分かれます。呼称や区分は審査機関によって異なるため、クロージングミーティングでどの扱いなのか、いつまでに何を提出するのかを必ず確認してください。
対応の流れは、おおむね次のようになります。
| ステップ | やること | 目安 |
|---|---|---|
| ① 所見の整理 | 指摘事項を一覧化し、対応要否と担当者・期限を決める | 審査当日〜翌日 |
| ② 原因の特定 | 文書の不備か、運用設計の問題か、判断の未整理かを切り分ける | 数日 |
| ③ 是正の実施 | 文書の修正、運用の追加、未実施事項（内部監査等）の実施 | 数週間 |
| ④ 是正内容の提出 | 審査機関の指定する様式・期限で報告 | 指定期限まで |
| ⑤ 2次審査 | 是正結果の確認を含めて実施 | 1次審査から数週間〜1か月程度 |
1次審査と2次審査の間隔は、是正に必要な期間を見込んで設定します。 1次審査の時点で内部監査が未実施であれば、その実施期間も織り込む必要があります。間隔が短すぎると是正が間に合わず、長すぎると1次審査時点の確認内容が古くなります。日程は審査機関と相談して決めるのが通例です。
②の原因の特定は省略されがちですが、ここを飛ばして文言だけ直すと、同じ論点が2次審査で再び出ます。指摘は「文書のどこが悪いか」ではなく「判断のどこが未整理か」を示していることが多いと考えると、対応の質が上がります。是正処置の記録の残し方は 是正処置報告書の書き方 を参照してください。
1次審査に向けた準備チェックリスト
当日までに、次の状態になっているかを確認してください。
文書
- 適用範囲が、組織・業務・拠点・システムの粒度で明確に書かれている
- 情報セキュリティ方針が承認され、周知されている
- 情報資産台帳が最新化されている
- リスクアセスメント表があり、評価基準の設定理由を説明できる
- SoAがあり、採用・除外の理由がそれぞれ読んで分かる
- SoAで採用した管理策に対応する規程・手順がすべて存在する
- 規程に自社に存在しない部署名・システム名が残っていない
- 文書の版数・承認・改訂履歴が管理されている
実施記録
- 従業者教育を実施し、記録が残っている
- 内部監査を実施した（未実施なら、2次審査までの実施計画が確定している）
- マネジメントレビューを実施した（同上）
体制
- ISMS責任者・担当者が選任され、役割が文書化されている
- 当日の出席者と役割分担が決まっている
- 文書の事前提出が必要か、期限はいつかを審査機関に確認済み
このチェックリストの各項目は、そのまま2次審査の前提にもなります。1次審査は2次審査の予行演習ではなく、2次審査の土台を確定させる工程だと考えてください。
まとめ
1次審査について押さえるべき点は次のとおりです。
- 1次審査は2次審査に進める状態かを確認する場。合否を出す試験ではない
- 見られるのは文書の有無ではなく、リスクアセスメント → SoA → 規程 → 記録の論理的なつながり
- 日数は1〜2日が目安。文書を事前提出する形式を取る審査機関もある
- 当日は、作った理由を組織として説明できるかが問われる
- 頻出の指摘は、適用範囲のあいまいさ、評価基準の説明不足、SoAの除外理由の薄さ、内部監査・マネジメントレビューの未実施
- 指摘が出たら、文言の修正ではなく原因の特定から入る。2次審査までの間隔は是正期間を見込んで設定する
ポテックは、ISMS認証取得支援のなかで文書の整備から審査機関とのやり取り、1次審査への対応までを主導します。審査当日の立会もオプションでご用意しています。御社には「決めること」と「説明すること」に集中していただけます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。ISMSの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド、医療機関側が求められる水準は 3省2ガイドラインとは｜医療情報システムの安全管理 にまとめています。
参考・出典
※審査の進め方、日数、所見の区分と取扱いは審査機関により異なり、改定されることがあります。実際の対応は審査機関の公表資料および審査計画書でご確認ください。