2次審査（実地審査）で見られること

1次審査（文書審査）を終えると、次は2次審査（実地審査）です。ここで認証の可否が実質的に決まるため、緊張度は1次審査より高くなります。とくに担当者が気にするのは、審査員が現場の従業員に直接インタビューするという点です。「うちの社員がうまく答えられなかったらどうなるのか」という不安は、ほぼすべての組織が抱きます。

先に結論を書くと、2次審査で確かめられるのは**「決めたとおりに運用できているか」です。従業員が規格用語を暗記しているかではありません。自分の業務に関わるルールを知っていて、そのとおりに動いているかが問われます。そして、その確認は記録と実態の両面**から行われます。

この記事では、2次審査の目的、当日の進み方、インタビューで聞かれること、現場で見られること、経営層が同席する場面、そして準備として何を揃えるかを整理します。前段の1次審査については 1次審査（文書審査）で見られること をご覧ください。

免責：本記事は一般的な情報提供です。審査の進め方・日数・所見の取扱いは審査機関により異なり、各機関の公表資料および審査計画書が正本です。実際の対応はそれらに基づいて行ってください。

2次審査とは何を確かめる場か

2次審査の目的は、ISMSが有効に運用されていることの確認です。1次審査が「設計として成立しているか」を見る場だとすれば、2次審査は「その設計どおりに動いているか」を見る場です。

確かめられるのは、おおむね次の3点です。

1. 記録が存在するか — 規程で「やる」と決めたことについて、実施した証跡が残っているか
2. 記録と実態が一致しているか — 記録上そうなっているだけでなく、現場の運用もそうなっているか
3. 有効に機能しているか — 形式的に回しているだけでなく、点検・是正・改善のサイクルが働いているか

3番目が2次審査の特徴です。記録が揃っているだけでは足りず、内部監査で見つけた不備がその後どうなったか、マネジメントレビューで経営層が何を決めたかといった、改善の動きまで確認されます。

日数は、小規模組織で2〜3日が一般的な目安です。適用範囲の広さ、拠点数、要員数によって変動します。複数拠点がある場合は、拠点ごとの確認が入ることがあります。

記録と実態の一致が焦点になる

2次審査でもっとも多く時間が使われるのが、この確認です。審査員は記録から実態へ、あるいは実態から記録へという両方向のたどり方をします。

たとえば、アクセス権限の管理であれば次のような流れになります。

• 規程に「入社・異動・退職時に権限の付与と削除を行う」と書かれている
• 直近の入退社・異動の実績を確認する（記録の側）
• その人物について、実際のシステム上の権限がどうなっているかを確認する（実態の側）
• 退職者のアカウントが残っていないか、権限の棚卸しが実施されているかを見る

ここで記録上は削除済みだが実際には残っている、あるいは実際には対応したが記録がないという状態が見つかると指摘になります。前者は運用の問題、後者は記録の問題で、対応の方向がまったく違います。

確認の対象になりやすい領域を挙げると、次のとおりです。

このうち、情報資産台帳と実態の乖離はとくに起きやすい項目です。台帳を作った時点からシステムが増減しているのに更新されていない、というパターンです。台帳の作り方は 情報資産の洗い出しと台帳の作り方、委託先管理は 外部委託先管理｜チェックシートと契約条項 にまとめています。

当日の進み方

2次審査の流れは、おおむね次のように進みます。時間配分は審査機関と適用範囲によって変わります。

部門ごとの確認が2次審査の中心です。審査員は部門を回り、その部門の業務に即して「このルールをどう運用しているか」を確認していきます。適用範囲に開発組織が含まれていれば、開発プロセスやクラウド環境の設定も対象になります。この領域の整理は 技術的管理策34項目の読み方 と セキュリティ・バイ・デザインとは｜医療システム開発の実践 を参照してください。

従業員インタビューで聞かれること

不安の中心はここでしょう。実際に聞かれるのは、その人の業務に関係するルールです。規格の条文番号や管理策の名称を聞かれることはありません。

よくある質問は、たとえば次のようなものです。

• 情報セキュリティ方針があることを知っていますか。どこで見られますか
• 業務で扱う情報にはどんなものがありますか。どこに保存していますか
• パスワードの決め方や変更のルールはどうなっていますか
• 業務用のPCを社外に持ち出すことはありますか。そのときのルールは
• 不審なメールを受け取ったら、誰にどう報告しますか
• 情報セキュリティの教育を受けましたか。いつ、どんな内容でしたか
• 退職者が出たとき、アカウントの停止は誰が行いますか

答えは、その人の言葉で構いません。 「規程の第何条に」と答える必要はなく、「不審なメールが来たら情報システム担当に転送して、開かずに待つことになっています」と説明できれば十分です。むしろ、全員が同じ文言を暗唱するほうが不自然に映ります。

逆に、指摘につながりやすいのは次のような状態です。

• 方針や規程の存在を知らない
• 報告先を答えられない（インシデント報告の手順が周知されていない）
• 教育を受けた記憶がない（記録はあるのに受講実態がない）
• 実際の運用が規程と違う（「規程ではこうだが、実際はこうしている」）

最後のパターンは、規程が実態に合っていないことの表れです。この場合、直すべきは従業員の行動ではなく規程のほうであることが少なくありません。運用できないルールを書いてしまうと、こうしたずれが必ず表面化します。

事前準備としては、全社への周知と、想定問答の共有が有効です。暗記させるのではなく、「自分の業務に関わるルールがどこに書いてあり、困ったら誰に聞くか」を全員が言える状態にしておけば足ります。教育の設計は 従業者教育の設計｜受講率100%の運用 にまとめています。

現場・物理面で確認されること

2次審査では、執務環境そのものも確認の対象になります。リモート審査が併用される場合もありますが、物理的な管理は現地確認が基本です。

見られるのは、たとえば次のような点です。

• 入退室管理 — 施錠、入退室記録、来訪者の扱い、権限のない領域への立入制限
• 執務エリア — クリアデスク・クリアスクリーンの実施状況、書類の放置、離席時の画面ロック
• サーバ・機器の保管場所 — 施錠、環境（温度・電源）、権限者の限定
• 書類・媒体の管理 — 施錠保管、廃棄方法（シュレッダー・溶解等）、持ち出し記録
• 可搬媒体 — USBメモリ等の管理状況、利用制限の実装
• 端末 — 資産管理台帳との一致、暗号化やウイルス対策の適用状況

在宅勤務が中心の組織では、自宅での作業環境に関するルールと、その周知・確認の方法が論点になります。物理的に確認できない分、ルールと教育、そして技術的な統制でどう担保しているかの説明が必要になります。この領域は 物理的管理策14項目の読み方 にまとめています。

なお、審査当日だけ整えても意味がありません。 クリアデスクは普段の状態が見られます。当日だけ机を片付けても、書庫の施錠状況や廃棄の運用で実態は分かります。

経営層が同席する場面

2次審査では、経営層（トップマネジメント）が対応する場面が明確にあります。少なくとも次の2つは、担当者では代替できません。

1. 経営層へのインタビュー

規格は、トップマネジメントに対してISMSへのリーダーシップとコミットメントを求めています。したがって審査員は、経営層に直接次のようなことを確認します。

• 情報セキュリティ方針の内容と、それを定めた意図
• ISMSを事業のプロセスにどう組み込んでいるか
• 必要な資源（人・予算）をどう確保しているか
• マネジメントレビューで何を報告され、何を決めたか
• 情報セキュリティに関して、経営としてどのリスクを重く見ているか

ここで**「担当者に任せている」という答え方をすると指摘につながります。** 求められているのは詳細な技術知識ではなく、経営としての関与の実態です。マネジメントレビューを形式的に済ませていると、この場で答えに詰まります。レビューの進め方は マネジメントレビューの進め方と議事録、経営層の責任範囲は 箇条5 リーダーシップ｜トップマネジメントの責任 を参照してください。

2. オープニング／クロージングミーティング

とくにクロージングでは、所見と不適合の有無、是正の期限が示されます。是正にはリソースの判断が伴うため、経営層がその場にいることに意味があります。

経営層の関与は、審査のためだけの話ではありません。医療機関との取引では、経営層が情報セキュリティに責任を負う体制であること自体が問われます。医療機関側の文脈は 経営管理編の要点｜経営層が負う責任 にまとめています。

準備として揃えるもの

2次審査に向けて、次の状態にしておいてください。

記録（直近1周分）

• リスク対応計画に沿って実施した対策の記録
• 情報セキュリティ目的の進捗を測定した記録
• 従業者教育の実施記録（受講者・日付・内容・理解度確認）
• 内部監査の計画・チェックリスト・報告書・是正記録
• マネジメントレビューの議事録（インプットとアウトプットが分かる形で）
• インシデント・是正処置の記録（発生していなければ、その旨と手順の周知記録）
• アクセス権限の付与・削除・棚卸しの記録
• 委託先の評価・見直しの記録
• 文書の改訂履歴と最新版の管理状況

1次審査への対応

• 1次審査の所見に対する是正が完了し、証跡が揃っている
• 是正内容を審査機関の指定様式・期限で提出済み

当日の段取り

• 審査計画書を受領し、部門ごとの時間割を各部門に共有した
• 各時間帯の対応者と、その場に必要な記録・システム画面を割り当てた
• 現地確認の動線（執務エリア、保管場所、サーバ室等）を確認した
• 経営層のスケジュールを確保した
• 全社に審査日程とインタビューの可能性を周知した
• 記録の保管場所を整理し、その場ですぐ提示できる状態にした

最後の項目は地味ですが効きます。質問されてから記録を探し始めると、それ自体が「管理できていない」印象につながります。 想定される質問ごとに、どの記録をどこから出すかを一覧にしておくと当日の進行が安定します。

審査全体のスケジュール感は ISMS取得にかかる期間｜6か月スケジュールの実際、よく出る不適合の型は 審査でよくある不適合と対策 にまとめています。

2次審査のあと — 認証までの流れ

クロージングミーティングで不適合が示された場合、是正処置を実施して審査機関に報告します。是正が確認されると、審査機関内の判定プロセスを経て認証登録に至ります。クロージングから登録証の発行までには一定の期間がかかるため、取引の締切から逆算する場合はこの期間も見込んでおく必要があります。

そして、認証は取得して終わりではありません。翌年からはサーベイランス審査（維持審査）が、3年ごとに更新審査が続きます。2次審査で「記録と実態の一致」を問われた経験は、そのまま日々の運用設計に反映させるべきものです。サーベイランス審査（維持審査）の準備 と 更新審査（3年目）の準備 を参照してください。

まとめ

2次審査について押さえるべき点は次のとおりです。

1. 2次審査は決めたとおりに運用できているかを確かめる場。記録と実態の両面から確認される
2. 日数は2〜3日が目安。中心は部門ごとの確認で、業務に即した運用状況が問われる
3. 従業員インタビューで聞かれるのは自分の業務に関わるルール。規格用語の暗記は不要で、自分の言葉で説明できれば足りる
4. 「規程ではこうだが実際は違う」というずれが出たら、直すべきは規程のほうであることが多い
5. 現場確認ではクリアデスク・施錠・媒体管理・廃棄が見られる。当日だけ整えても実態は分かる
6. 経営層のインタビューは代替できない。関与の実態とマネジメントレビューでの判断が問われる
7. 準備の要は直近1周分の記録を、質問されたらすぐ出せる状態にしておくこと

ポテックは、ISMS認証取得支援のなかで記録の整備、審査計画の調整、部門ごとの想定問答の準備までを支援します。2次審査の立会もオプションでご用意しており、当日の進行と審査員とのやり取りを当社が担うことができます。内部監査責任者・内部監査員も当社が担えます。

支援内容と料金は ISMS認証取得支援サービス をご覧ください。個別のご相談は お問い合わせ から承ります。ISMSの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド、医療機関側が求められる水準は 3省2ガイドラインとは｜医療情報システムの安全管理 にまとめています。

参考・出典

• 情報マネジメントシステム認定センター（ISMS-AC）
• ISO/IEC 27001 Information security management systems｜ISO
• 医療情報システムの安全管理に関するガイドライン｜厚生労働省

※審査の進め方、日数、所見の区分と取扱いは審査機関により異なり、改定されることがあります。実際の対応は審査機関の公表資料および審査計画書でご確認ください。