作成日 : 2025年7月7日

ISMSの内部監査とは？目的、外部監査との違い、やり方などを徹底解説

ISMS（情報セキュリティマネジメントシステム）の認証取得・維持において、内部監査は避けて通れない重要なプロセスです。しかし、「内部監査って具体的に何をするの？」「何のために必要なの？」「どう進めればいいの？」といった疑問を持つ方も多いのではないでしょうか。

この記事では、ISMSの内部監査について、目的、具体的なやり方、成功させるためのポイントなどを初心者の方にもわかりやすく解説します。この記事を読めば、ISMS内部監査の全体像を理解し、自信を持って取り組めるようになるでしょう。

ISMSの内部監査とは

まず、ISMS内部監査の基本的な概念と、その重要性について理解を深めましょう。

そもそもISMSとは

ISMS（Information Security Management System）とは、組織が保有する情報資産の機密性・完全性・可用性を維持・改善するための体系的な仕組みのことです。代表的な規格として国際標準である「ISO/IEC 27001（通称：ISO27001）」があります。

ISMSを構築・運用することで、組織は情報漏洩やサイバー攻撃などのリスクに備え、事業継続性を確保し、顧客や取引先からの信頼を高めることができます。

ISMSの内部監査の定義と目的

ISMSにおける内部監査とは、構築・運用しているISMSが、①規定された要求事項（ISO27001規格や組織自身のルールなど）に適合しているか、そして②有効に実施され、維持されているかを、組織内部の視点から客観的に検証する活動です。

単にルール違反を探す「あら探し」ではなく、ISMSが計画通りに機能し、期待される成果を上げているかを確認し、継続的な改善の機会を見つけることを主な目的としています。人間で言えば、定期的な健康診断のようなものです。

ISMSの内部監査が必要な理由

内部監査は、ISO27001規格でも実施が要求されている必須事項です。その理由は以下の通りです。

ISMSの有効性評価
ルールが守られているだけでなく、そのルールが実際に情報セキュリティリスクの低減に役立っているか（有効か）を評価します。
継続的改善の促進
監査を通じて課題や改善点を発見し、ISMSをより良いものにしていくための重要なインプットとなります（PDCAサイクルの「C：Check」に該当）。
規格要求事項への適合
ISO27001認証を取得・維持するためには、規格が要求する内部監査を実施し、記録を残す必要があります。
従業員の意識向上
監査プロセスを通じて、従業員の情報セキュリティに対する意識やルールの理解度を高める効果も期待できます。
外部監査への備え
内部監査を適切に行うことで、認証機関による外部監査をスムーズに進めることができます。

内部監査と外部監査の違い

混同されやすい内部監査と外部監査（審査）の違いを理解しておきましょう。

項目	内部監査	外部監査（審査）
実施主体	組織内部の担当者（内部監査員）	認証機関（第三者機関）の審査員
目的	ISMSの適合性・有効性の確認、継続的改善	ISMSの規格適合性の確認、認証の付与・維持
視点	組織内部の視点（改善重視）	第三者の客観的な視点（適合性重視）
頻度	組織が計画（通常年1回以上）	認証機関のルールによる（維持審査は年1回、更新審査は3年ごと）
法的拘束力	なし（組織内ルール）	なし（認証維持に関わる）

内部監査は組織自身の「健康診断」、外部監査は認証機関による「適合証明」と捉えると分かりやすいでしょう。内部監査で課題を特定し改善しておくことが、スムーズな外部監査合格につながります。

ISMSの内部監査のやり方

ここでは、ISMS内部監査の具体的なやり方をステップごとに解説します。組織の規模や状況に応じて詳細は異なりますが、基本的な流れを理解しておきましょう。

監査計画の策定（Plan）

まず、「いつ」「どの部門（範囲）を」「どのような目的・基準で」「誰が」監査するのかを定めた年間監査計画や、個別の監査ごとの個別監査計画を作成します。

監査目的：今回の監査で特に何を確認したいのか
例: 新しいルールの定着度、特定のリスクへの対応状況など
監査範囲：対象となる部門、拠点、業務プロセス、情報システムなど
監査基準：SO27001規格要求事項、組織内の情報セキュリティポリシー、各種規定類など、適合性を判断するための基準
監査チーム：監査を実施する内部監査員
監査日程・場所：具体的な実施日時や場所

監査の準備

計画に基づき、監査を効率的かつ網羅的に行うための準備をします。代表的なものが監査チェックリストの作成です。インターネット上などでチェックリストのサンプルを探す方もいますが、そのまま流用するのではなく、自社の状況や今回の監査目的に合わせてカスタマイズすることが重要です。

また監査基準をもとに、「具体的に何を確認するか」「どのような証拠（記録、担当者の発言など）を得るか」をリスト化します。これにより、監査員の主観に頼らず、客観的かつ体系的に監査を進めることができます。ただし、チェックリストに縛られすぎず、状況に応じて柔軟に対応することも重要です。

監査の実施（Do）

計画とチェックリストに基づき、実際に監査を行います。主な手法は以下の通りです。

ヒアリング
担当者へのインタビューを通じて、業務プロセスやルール遵守状況、課題などを確認します。効果的なヒアリングのためには、事前に確認すべきポイントを整理し、具体的な質問例を準備しておくことも有効ですが、場の状況に応じた深掘りや、想定外の事項に関する質問も重要になります。
文書・記録の確認
規定類、手順書、各種申請書、ログ、教育記録などが適切に作成・保管・運用されているかを確認します。
現地確認
執務室、サーバールームなどの物理的なセキュリティ対策状況（施錠管理、クリアデスクなど）を実際に見て確認します。

監査中は、客観的な証拠（エビデンス）を収集することを意識します。高圧的な態度ではなく、協力的な雰囲気で進めることが、より多くの情報を引き出すコツです。

監査結果の評価と記録（Check）

収集した証拠に基づき、監査基準に照らしてISMSの適合性・有効性を評価します。

適合：監査基準を満たしている状態
不適合：監査基準を満たしていない状態。ルール違反や要求事項の未実施など。重大性に応じて「重大な不適合」「軽微な不適合」に分類することもあります。
観察事項：不適合とは言えないまでも、将来的にリスクとなり得る点や、改善が望まれる点。

評価結果は、客観的な証拠とともに正確に記録します。

監査報告書の作成

監査の目的、範囲、基準、実施内容、評価結果（適合、不適合、観察事項）、結論などをまとめた内部監査報告書を作成します。

報告書は、経営層や関連部門に提出され、ISMSの状況を共有し、改善活動につなげるための重要な文書となります。不適合事項については、具体的な内容、発見場所、関連する証拠、該当する監査基準などを明確に記載します。

是正処置とフォローアップ(Action)

監査で発見された不適合事項に対しては、原因を分析し、再発防止策を含む是正処置を計画・実施する必要があります。これは監査対象部門が主体となって行いますが、内部監査員は是正処置計画の妥当性や実施状況を確認する役割を担います。

観察事項についても、可能な範囲で改善に取り組むことが望ましいです。フォローアップにより、是正処置が確実に実施され、有効であることを確認して、一連の監査プロセスが完了します。

ISMSの内部監査を成功させるためのポイント

形骸化した監査ではなく、組織にとって本当に価値のある内部監査にするためには、いくつかの重要なポイントがあります。

適切な内部監査員の選定と育成

内部監査の質は、監査員の能力に大きく左右されます。内部監査員には以下の資質や知識が求められます。

客観性・独立性：自身の所属部署や担当業務に関する監査は避けるなど、公平な立場で監査を行えること。
ISMS・監査に関する知識：ISO27001規格、組織内のルール、監査技法（ヒアリング、文書レビューなど）に関する知識
コミュニケーション能力：監査対象者と円滑に意思疎通を図り、必要な情報を引き出す能力
倫理観：監査で知り得た情報を適切に取り扱う誠実さ

ISMSの内部監査員になるために、必ずしも特定の公的な資格が必須というわけではありません。しかし、これらの能力を体系的に身につけるためには、専門機関が提供する内部監査員養成研修などの研修を受講させることが一般的であり、計画的な育成が重要です。監査員の役割は専門性も求められるため、人によっては難易度が高いと感じる場合もありますが、適切な研修と経験によってスキルは着実に向上します。

経営層のコミットメント

経営層が内部監査の重要性を理解し、積極的に関与・支援する姿勢を示すことは不可欠です。

監査計画や結果報告に関心を持つ。
監査に必要なリソース（時間、人員、予算）を提供する。
監査結果に基づく改善活動を指示・推進する。

経営層のコミットメントがあれば、従業員の監査への協力も得やすくなり、監査の実効性が高まります。

形骸化させないための工夫

内部監査が「認証維持のためだけの儀式」にならないよう、以下の点を意識しましょう。

リスクベースのアプローチ
毎回同じ項目をチェックするのではなく、組織のリスク評価結果に基づき、リスクの高い領域や重要な管理策に重点を置く。
目的意識の共有
監査員だけでなく、監査を受ける側にも「改善のための機会」であるという目的意識を持ってもらう。
現場の実態に合わせた監査
ルールブック通りの確認だけでなく、実際の業務プロセスに即して、ルールが形骸化していないか、より良い方法はないかといった視点を持つ。
フィードバックの活用
監査対象部門からのフィードバックを収集し、監査プロセス自体の改善にもつなげる。

ISMSの内部監査でよくある疑問と解決策

最後に、ISMS内部監査に関してよく寄せられる疑問とその考え方について解説します。

ISMSの内部監査の頻度は？

ISO27001規格では「あらかじめ定めた間隔で内部監査を実施すること」と規定されており、具体的な実施頻度は定められていません。多くの組織では、年に1回、全ての要求事項と管理策を対象とする監査、あるいは複数回に分けて全部門・全要求事項を網羅する監査を実施しています。

ただし、ISMS内部監査の適切な頻度は、組織の規模、リスクの変化、前回の監査結果などを考慮して決定すべきです。より頻繁に（例: 半年に1回）実施することも有効なので、重要な変更（組織体制の変更、新規システムの導入など）があった場合は、臨時の監査も検討しましょう。

どんな視点でチェックすればいい？

チェックリストに沿って確認するだけでなく、以下の視点を持つことが重要です。

適合性
定められた手順通りに実施されているか、必要な記録は残されているか
有効性
ルールや対策によって、意図した通りに情報セキュリティリスクが低減されているか。形骸化していないか
改善の機会
現状のプロセスやルールに、非効率な点や、より安全性を高められる点はないか。

常に「なぜこのルールがあるのか？」「この活動は情報セキュリティにどう貢献しているのか？」という目的意識を持って監査に臨むことが大切です。

内部監査で不適合が見つかったらどうする？

不適合は「悪いこと」ではなく、「改善のチャンス」と捉えることが重要です。不適合が発見された場合は、以下のステップで対応します。

原因分析
なぜその不適合が発生したのか、根本的な原因を特定します。
例: 手順の不備、担当者の認識不足、ツールの問題など
是正処置計画
特定した原因を取り除き、再発を防止するための具体的な対策を計画します。担当者、期限も明確にします。
是正処置の実施
計画に沿って対策を実施します。
有効性の確認
実施した是正処置が効果を発揮し、不適合が解消され、再発していないことを確認します。

重要なのは、表面的な問題対応だけでなく、根本原因にアプローチし、再発防止策を講じることです。

ISMSの内部監査を適切に実施しましょう

ISMSの内部監査は、単なる義務や形式的な手続きではなく、組織の情報セキュリティレベルを維持・向上させ、継続的な改善を促進するための極めて重要な活動です。

内部監査の目的と具体的なやり方を正しく理解し、計画的に準備・実施し、発見された課題に対して真摯に対応していくことで、ISMSはより強固で実効性のあるものへと進化していきます。また、適切に実施された内部監査は、外部監査への自信にもつながります。この記事を参考に、ぜひ貴社のISMS内部監査をより有意義なものにしてください。

※ 掲載している情報は記事更新時点のものです。