ISMS認証を取得した組織が次に直面するのが、**翌年のサーベイランス審査（維持審査）**です。認証は取って終わりではなく、3年の認証期間中、毎年この審査を受けることで有効性が維持されます。
ところが、2年目の準備は初年度より難しいことがあります。理由は単純で、初年度は支援会社が伴走し、締切が明確で、全社が「認証を取る」という目的で動いていたからです。認証が取れた後、その推進力は自然に消えます。通常業務に戻った組織が、1年間ISMSを回し続けられていたかが問われるのがサーベイランス審査です。
もう一点、誤解されやすいのが審査の性質です。サーベイランス審査は初回審査の縮小版ではありますが、確認される深さは浅くありません。範囲は絞られるかわりに、絞られた範囲について「本当に運用されているか」が具体的な記録で問われます。
本記事では、初回審査との違い、問われる1年分の記録、変更の報告、そして年間スケジュールの組み方を整理します。認証全体の流れは ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド を、初回審査の内容は 1次審査（文書審査）で見られること と 2次審査（実地審査）で見られること をご覧ください。
免責：本記事は一般的な情報提供です。サーベイランス審査の実施時期・工数・確認範囲は審査機関により運用が異なります。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。個別の日程・要件は担当審査機関にご確認ください。
3年サイクルの中の位置づけ
ISMS認証は3年を1サイクルとして運用されます。全体像は次のとおりです。
| 年次 | 審査 | 主な目的 | 工数の傾向 |
|---|---|---|---|
| 1年目 | 1次審査＋2次審査 | ISMSが規格要求を満たして確立されているかの確認 | 最も大きい |
| 2年目 | サーベイランス審査（第1回） | 運用の継続と有効性の維持を確認 | 初回より少ない |
| 3年目 | サーベイランス審査（第2回） | 同上。範囲は前回と重複しないよう配分される | 2年目と同程度 |
| 4年目 | 更新審査（再認証審査） | ISMS全体の有効性を改めて評価 | サーベイランスより大きい |
重要なのは、サーベイランス審査が**「前回の続き」として設計されている**点です。審査機関は3年サイクル全体で規格要求と適用範囲を網羅するよう計画を立てるため、初回審査で深く見なかった領域が2年目に、2年目に見なかった領域が3年目に回されることがあります。「去年は聞かれなかったから今年も大丈夫」という読みは成立しません。
サーベイランス審査を受けなかった場合や、重大な不適合が是正されない場合には、認証の一時停止・取消しに至ることがあります。日程調整を先延ばしにしないことが実務上いちばん大事な予防策です。更新審査については 更新審査（3年目）の準備 で扱います。
初回審査との違い
サーベイランス審査は初回審査の縮小版ですが、「何が縮小されるのか」を理解しておくと準備の焦点が定まります。
| 観点 | 初回審査（1次・2次） | サーベイランス審査 |
|---|---|---|
| 目的 | ISMSが確立されていることの確認 | ISMSが維持され、機能し続けていることの確認 |
| 範囲 | 規格要求の全体と適用範囲の全体 | 一部に絞られる。ただし必須確認項目がある |
| 審査工数 | 最も大きい（1次1〜2日＋2次2〜3日が小規模組織の目安） | 初回より少ないのが通例 |
| 主な確認対象 | 文書体系、リスクアセスメント、SoA、実装状況 | 1年間の運用記録、前回指摘の是正、変更点 |
| 文書審査 | 独立した段階として実施 | 実地審査の中で必要な範囲を確認 |
| 不適合の扱い | 認証判定に直結 | 是正されなければ認証の維持に影響する |
範囲が絞られるとはいえ、毎回必ず確認される項目があります。一般に次の要素は、サーベイランス審査のたびに見られると考えてください。
- 内部監査の実施記録と指摘・是正
- マネジメントレビューの実施記録
- 前回審査の不適合・観察事項への対応状況
- 苦情・インシデントの発生と対応の記録
- 認証・ロゴの使用状況（自社サイトや資料での表示が規定どおりか）
- 適用範囲・組織・システムの変更の有無
この6つは、準備の起点として押さえておけばまず外しません。
「1年間の運用記録」として問われるもの
サーベイランス審査の核心はここです。文書が整っているかではなく、決めたとおりに1年間動いたかが記録で確認されます。
| 領域 | 求められる記録 | 抜けやすいところ |
|---|---|---|
| 内部監査 | 監査計画、チェックリスト、監査報告書、指摘と是正の記録 | 全部門を1サイクルで網羅できていない。監査員の独立性が担保されていない |
| マネジメントレビュー | 議事録、決定事項、資源配分の判断 | 規格が求める入力項目（監査結果、目的の達成度、リスクの変化、利害関係者の要求など）が揃っていない |
| 教育・力量 | 受講記録、理解度確認、中途入社者への実施 | 期中入社者・業務委託者が対象から漏れる |
| リスクアセスメント | 更新の実施記録、変更した箇所とその理由 | 初年度の表がそのまま。「変更なし」の判断も記録が要る |
| 情報資産台帳 | 追加・廃棄・移管の反映 | 退職者の端末、解約したSaaS、廃止したサーバが残っている |
| アクセス権限 | 棚卸の記録、退職・異動時の削除記録 | 棚卸を「やった」としか書いていない。差分と対応が残っていない |
| インシデント | 発生記録、対応、再発防止 | 「1件も発生しなかった」を記録していない。ヒヤリハットを拾えていない |
| 委託先管理 | 委託先一覧、評価の実施記録、契約更新 | 年次評価が未実施。再委託の把握ができていない |
| 目的・KPI | 測定結果、未達の場合の対応 | 目標を立てただけで測定していない |
| 事業継続・訓練 | 訓練の実施記録、結果と改善 | 計画だけで実施していない |
とくに指摘につながりやすいのが、「実施したが記録がない」と「判断したが根拠を残していない」の2つです。ISMSの審査は記録で確認するため、実際にやっていても記録がなければ「やっていない」と同じ扱いになります。逆に、「検討した結果、変更しないと判断した」も立派な記録です。リスクアセスメントを見直して変更がなかったのなら、その旨と判断日を残しておけば十分です。
典型的な不適合パターンは 審査でよくある不適合と対策 に整理しています。
前回の指摘にどう答えるか
サーベイランス審査では、前回審査で出た不適合と観察事項が必ず確認されます。ここでの答え方は、次の3点が揃っていることが要点です。
- 何をしたか（是正処置の内容）
- なぜ再発しないと言えるか（原因分析と、仕組みのどこを変えたか）
- 変えた後、実際に機能しているか（1年間の運用記録）
3つ目が抜けると、「対応はしたが有効性は未確認」という評価になり、同じ指摘が繰り返される可能性があります。是正処置報告書を提出した時点で終わりではなく、その後1年間の記録が有効性の証拠になると考えてください。
観察事項（改善の機会）についても同様です。規格違反ではないため対応は任意ですが、何もしていない状態で翌年を迎えると、同じ点が不適合として起票されることがあります。対応しないと決めた場合でも、「検討したうえで現状維持と判断した理由」を残しておくと説明できます。
是正処置の書き方は 是正処置報告書の書き方、改善の要求事項は 箇条10 改善｜不適合と是正処置 をご覧ください。
変更の報告 ― 組織・システム・適用範囲
1年の間に組織は変わります。変更を審査機関に適時報告することは、認証を維持するための義務的な手続きです。報告が遅れると、審査当日に「適用範囲と実態が合っていない」という重い指摘につながります。
| 変更の種類 | 例 | 報告・対応の考え方 |
|---|---|---|
| 適用範囲の変更 | 拠点の追加・廃止、対象事業の追加、対象部門の変更 | 事前に審査機関へ相談する。工数や審査計画に影響するため、確定前の段階で連絡するのが安全 |
| 組織体制の変更 | ISMS責任者の交代、経営層の交代、大幅な人員増減 | 速やかに報告。責任者交代時は引継ぎ記録と、新任者の力量の裏づけを用意する |
| システムの重要な変更 | 基幹システムの刷新、クラウド移行、データセンター変更、新サービスの開始 | リスクアセスメントの更新とセットで扱う。変更管理の記録が問われる |
| 重大インシデントの発生 | 情報漏えい、ランサムウェア被害、長時間のサービス停止 | 審査機関への報告要否を契約・規定で確認する。対応記録は必ず残す |
| 法令・契約要求の変化 | 取引先からの新たなセキュリティ要求、ガイドライン改定への対応 | 利害関係者の要求事項の見直しとして記録する |
ヘルスケア事業者の場合、3省2ガイドラインの改定や、医療機関との契約で求められる要件の変化も、この「変化」に含まれます。ガイドラインの改定に伴って自社の対応を見直した記録は、サーベイランス審査でも有力な説明材料になります（3省2ガイドラインとは｜医療情報システムの安全管理、責任分界点の決め方）。
人員が大きく増えた場合は、審査工数の再算定によって審査費用が変わることがあります。費用の考え方は 審査費用の相場と変動要因 で扱っています。なお、審査機関との相性や報告書の質に不満がある場合でも、認証期間の途中での移管には所定の手続きが必要です。検討するなら早い段階で情報を集めてください（審査機関の選び方｜相見積で見るべき点）。
年間スケジュールの組み方
サーベイランス審査でつまずく組織の大半は、内部監査とマネジメントレビューを審査直前に慌てて実施しようとして間に合わないというパターンです。審査日から逆算した年間計画を最初に固めてしまうのが最も確実です。
| 時期（審査日基準） | やること |
|---|---|
| 審査の6か月前 | 年間計画の確認。教育の実施時期、内部監査の時期を確定させる |
| 4〜5か月前 | 従業者教育の実施。受講率の追いかけ |
| 3か月前 | リスクアセスメントの見直し、情報資産台帳・アクセス権限の棚卸 |
| 2〜3か月前 | 内部監査の実施。指摘の起票 |
| 2か月前 | 内部監査で出た指摘の是正。審査機関との日程確定 |
| 1〜2か月前 | マネジメントレビューの実施。変更事項の審査機関への報告 |
| 1か月前 | 記録の最終確認（自己点検）。審査当日の出席者と場所の調整 |
| 審査当日 | 前回指摘の是正状況、1年間の運用記録の説明 |
内部監査とマネジメントレビューの順序は入れ替えられません。 マネジメントレビューは内部監査の結果を入力として扱うため、監査を先に済ませておく必要があります。ここを逆にすると、レビューの入力項目が欠けているという指摘を受けます。
準備の実務は 内部監査の進め方｜計画・チェックリスト・報告 と マネジメントレビューの進め方と議事録 に分けて書いています。
準備チェックリスト
審査の1か月前に、次を確認してください。
必ず見られる項目
- 内部監査を実施し、報告書がある。日付は審査日より前
- 内部監査の指摘が是正され、記録がある
- マネジメントレビューを実施し、議事録がある。規格が求める入力項目が揃っている
- 前回審査の不適合・観察事項への対応が完了し、有効性の証拠がある
- インシデント・苦情の記録がある（発生がない場合もその旨を記録）
- 認証マーク・ロゴの使用が審査機関の規定どおり
1年間の運用記録
- 教育の受講記録が在籍者全員分そろっている（期中入社者・業務委託者を含む）
- リスクアセスメントを見直した記録がある（変更なしの判断も含む）
- 情報資産台帳が現状と一致している
- アクセス権限の棚卸記録がある。退職者・異動者のアカウントが残っていない
- 委託先の評価を実施し、記録がある
- 情報セキュリティ目的の測定結果があり、未達の場合の対応が記録されている
変更の反映
- 組織変更・システム変更・適用範囲の変更を審査機関に報告済み
- 変更に伴うリスクアセスメントの更新が済んでいる
- 規程・体制図・適用範囲記述が現状と一致している
まとめ
- サーベイランス審査は3年サイクルの2年目・3年目に毎年受ける審査。受けない、あるいは重大な不適合を是正しないと認証の維持に影響する
- 初回審査との違いは目的。確立されているかではなく、維持され機能し続けているかを1年間の記録で確認する
- 範囲は絞られるが、内部監査・マネジメントレビュー・前回指摘・インシデント・ロゴ使用・変更の有無は毎回見られると考えてよい
- 記録がなければ実施していないのと同じ扱いになる。「検討して変更なしと判断した」も記録として有効
- 前回の指摘には「何をしたか」「なぜ再発しないか」「実際に機能しているか」の3点で答える
- 組織・システム・適用範囲の変更は適時に審査機関へ報告する。とくに適用範囲の変更は確定前の相談が安全
- 内部監査 → マネジメントレビュー → 審査の順序は動かせない。審査日から逆算した年間計画を最初に固める
ポテックは、認証取得後の運用支援も提供しています。役割・適用範囲の見直し、リスクアセスメントの更新、内部監査の実施、維持審査・更新審査への対応を継続的に支援する形で、ISMS運用支援は80万円／年〜（税抜、最大50名ほどの組織規模を想定）です。なお審査機関への支払い（審査費用）はこの料金に含まれません。
支援内容と料金の詳細は ISMS認証取得支援サービス をご覧ください。2年目以降の運用が社内だけでは回らないという段階でのご相談も お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- ISO/IEC 17021-1 Conformity assessment — Requirements for bodies providing audit and certification of management systems｜ISO
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※サーベイランス審査の実施時期・工数・確認範囲、認証の一時停止や取消しの条件は審査機関ごとに運用が異なります。規格の要求事項・管理策の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。制度・ガイドラインは改定されるため、最新版をご確認ください。