文書番号：I050/SS/01

NKKKQA

審査及び認証ガイダンス
ISMS 編制定日：2008 年 1 月 1 日
改訂日：2024 年 6 月 1 日

審査及び認証ガイダンス ISMS 編

作成部：審査部
制定・改訂履歴
制定改訂
改訂条項/理由年月日
2008/03/01 JIS Q 17021 及び ISO/IEC 27006 対応見直しによる全面改訂
2009/04/01 文書レビューによる改訂
2.11 再認証審査の受審時期を変更
2009/11/10 JAB MS200:2009 発行に伴う改訂
6 認定機関による組織立会い審査に関する事項を変更
定期文書レビューによる改訂（第一段階及び第二段階審査受審条件を明2010/05/01
確にした）
2011/04/25 定期文書レビューによる改訂（JIPDEC 組織名称変更）

承認者
部長
犬貝
河合

作成者
ｸﾞﾙｰﾌﾟ長
木村
植草

河合

植草

吉田

森本

吉田

森本

2012/01/01 組織変更および見直しによる改訂

吉田森本

2012/08/06 JIS Q 17021:2011 及び ISO/IEC 27006:2011 発行に伴う見直し

吉田

森本

吉田

森本

吉田

森本

吉田

森本

吉田

森本

植草

森本

植草

森本

2016/04/01 17021-1:2015 及び 27006:2015 対応

植草森本

2016/10/01 上記対応時の漏れへの対応(①2.14 に予告なしで訪問する場合を追記)

植草森本

2017/10/01 誤記訂正

植草

森本

植草

森本

2013/05/01

改善事項の定義変更。及び、全体的なレビューによる改訂（他 MS との整合、誤字・脱字、言い回しの改善など）。

2013/08/19 上記改訂時の対応漏れ「附属書」、及び誤変換修正
2014/08/20

IAF MD11
除IMS 審査対応による改訂。及び、審査認証活動分野の限定解2014/11/05 見直しに伴う修正（誤字・引用先間違い等）
用語を含め表現を JIS Q 27001:2014 に合わせた。ISMS IUG サイトの閉鎖に伴い同提供をなくした。情報安全課を審査 3 課 ISMS 担当へ変更
審査プログラム運用開始に伴い、「今後の審査計画」を「審査プログラム」
2015/09/01に変更
2015/04/10

IAD MD2:2017「認定された MS 認証の移転のための IAF 必須文書」への対応（5.1 認証の移転 一部改訂）
2018/10/01 弊社組織図変更に伴う改訂
2018/05/01

植草森本

2018/10/18 内部監査の指摘による改訂（JIS Q 27006 9.1.3.3）

植草森本

2020/07/13 リモート審査実施による改訂（13 項追加）

植草森本

2021/06/02 リモート審査指針 20210419 改訂時の対応漏れ対応

植草

森本

2021/12/29 認証決定通知の変更、2020 年 ISMS 内部監査改善事項の対応漏れ
12.費用の負担 審査員責による損害賠償について追記。
2.12.42022/03/01
及び 2.12.5 の参照する項を修正。
登録判定委員会廃止に伴う改訂（登録判定委員会等文言を認証決定者へ
2022/09/21
変更）
2022/11/07 12.費用の負担 改訂
2023/04/01 組織改編による改訂
2023/07/01 2.10.2.2.2 b)、27001 規格改定に伴い年度を削除
2024/06/01 無効となった適合証明証の取扱いを、「返却」から「使用の中止」に修正。

植草

森本

植草

平川

1 / 19

植草
植草
鶴居
鶴居
鶴居

森本
山本
森本
森本
森本
木村

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

目1次

はじめに・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

1.1 公平性のマネジメント・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

1.2 情報の公開・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

2

審査プロセスおよび種類・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 3

2.1 審査の計画・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

2.2 審査の種類・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

2.3 審査の方式・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

2.4 審査の構成・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

2.5 審査チームの任務・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3

2.6 お問い合せ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

4

2.7 審査認証の申請・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

4

2.8 契約書・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

4

2.9 統合審査の受審・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

4

2.10 初回認証審査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

4

2.11 サーベイランス審査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

8

2.12 再認証審査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 10
2.13 拡大審査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 12
2.14 短期予告審査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 123

不適合の等級格付けおよび改善事項・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 13

4

サーベイランス審査および再認証審査の受審時期の変更について・・・・・・・・・・・・・・・・ 135

認証の移転・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 13

6

異議申立ておよび苦情・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 13

7

申請組織および被認証組織の順守事項・・・・・・・・・・・・・・・・・・・・・・・・・・・ 148

被認証組織の順守事項・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 149認証の一時停止、取消しまたは認証範囲の縮小・・・・・・・・・・・・・・・・・・・・・・・・ 15

10

要求事項の変更・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 16

11

機密保持・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 16

12

費用の負担・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 16

13

リモート審査・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 16

14

関連文書・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 1715

認証活動のプロセス・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 18

2 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

1

はじめに
このガイダンスは、日本海事検定キューエイ株式会社（以下、当社）に情報セキュリティマネジメントシ
ステムの審査を受審いただく際の手順および認証後の維持・再認証の手順について記述した文書です。これから申請される方、すでに認証されている方は必ずご一読いただき、当社の審査認証システムについてご理解いただくようお願いいたします。また、この文書は、当社の審査および認証に関する依頼者の順守事項、一時停止または取消しの条件等、審査および認証のための要求事項の一部を構成するものでもあります。
1.1 公平性のマネジメント
当社は、マネジメントシステム認証活動における公平性の重要性を理解し、利害抵触を管理し、マネジメ
ントシステム認証活動の客観性を確実にすることを方針に宣言します。方針は当社のホームページに掲載されます。
当社は、他との関係が公平性に対する容認できない脅威を引き起こす場合、認証を提供いたしません。
また、マネジメントシステムのコンサルティングの申し出および提供はいたしません。
1.2 情報の公開
当社は、当社のホームページにて、当社が提供するマネジメントシステムの種類および当ガイダンスにより、審査プロセス、認証プロセス、認証に関わる活動、情報の要請、苦情および異議申立ての処理プロセスを公開します。
また、ご希望により次の事項に関する情報を提供いたします。
a) 当社が実施する地域b) 授与した認証の情報
c) 被認証組織についての名称、認証規格、認証範囲および地理的所在地（国および市）
ただし、被認証組織のセキュリティ上の理由により、提供を制限することがございます。
なお、当社が依頼者または市場に提供する情報は、広告を含めて、正確でかつ、誤解を与えないようにします。
2 審査プロセスおよび種類
2.1 審査の計画
審査の計画（審査プログラム）には、二つの段階で実施する初回認証審査と認証の維持のために定期的（6ヶ月または 1 年に一回）に実施するサーベイランス審査、および認証の有効期限（3 年）に先立って行なう再認証審査が含まれます。これらの審査にリモート審査を適用する場合は、13 項を参照願います。
2.2 審査の種類「審査プログラム」に計画された審査以外に当社が実施する審査には、特別審査として認定範囲の拡大審査（本ガイダンス 2.13 項）、および苦情の調査、縮小、法令違反調査として実施する等の短期予告審査（本ガイダンス 2.14 項）があります。
2.3 審査の方式
当社の審査の方式には、単独審査と複合審査および統合審査があります。単独審査とは、情報セキュリティマネジメントシステム（ISMS）や品質マネジメントシステム（QMS）等、各々の規格を別々の日程（連続した日程を含む）で実施する審査です。複合審査とは、同時に二つ以上のマネジメントシステム規格の要求事項に関して行う審査で、「開始会議」から「終了会議」までを同時期に行う審査です。複合審査を実施する
条件は、｢登録範囲が全く同一でなくともよいが、共通部分があること｣です。
統合審査とは、二つ以上のマネジメントシステム規格の要求事項を単一のマネジメントシステムに統合して適用している場合に、二つ以上の規格に関して同時に行う審査です。統合審査を実施する条件およびお申込みついては、本ガイダンス 2.9 統合審査の受審をご参照ください。
なお、統合審査の場合は、マネジメントシステムの統合度合いに応じて、審査に必要な工数（時間）が削減される場合がありますが、審査認証活動のプロセス（本ガイダンス 2.4 審査の構成～15 認証活動のプロセス）は、単独審査と同様です。ただし、開始会議、終了会議、審査のまとめ、経営者への審査は、原則同じ時間に実施します。
2.4 審査の構成
いずれの審査も、「開始会議」で開始され「審査」、「終了会議」をもって終了します。なお、同一の訪問先で複数日にわたる審査の場合には、2 日目以降は審査に先立ち「開始説明」を実施します。また、終了開始以外の審査終了時には「終了説明」を実施します。
2.5 審査チームの任務
審査チームは、審査において次の事項を実施します。
a) マネジメントシステムに関連する依頼者の組織の構成、方針、プロセス、手順、記録および関連文書を調査し、検証します。
b) これらが、対象となっている認証範囲に関連する、すべての要求事項を満たしていることを検証します。
c) マネジメントシステムに対する信頼の基礎となるプロセスおよび手順が、有効に確立、実施および維持されていることを検証します。
d) 依頼者の方針、目的および目標と結果との間に不一致が見られた場合、行動を取られるよう、依頼者に伝えます。
（不適合報告／改善事項）e) 情報セキュリティに関するリスクアセスメントが ISMS の適用範囲内における ISMS の運用に関連があ
3 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

り、かつ、適切であることを実証するように依頼者に求めます。
情報セキュリティに関するリスクを特定し、調査および評価するための依頼者の手順、ならびにこの手順を実施した結果が、依頼者の方針、目的および目標と整合しているかどうかを検証します。
g) リスクアセスメントに用いられる手順が確かで、適切に導入されているか否かを検証します。
2.6 お問い合せa) 新規に認証を希望されるお客様（依頼者）に対し、次の書類一式を送付いたします。
1) 会社案内
2) 審査及び認証ガイダンス（本ガイダンス）
3) 見積り依頼書
4) マネジメントシステム審査申請書（以下、審査申請書）
5) 料金表なお、ご不明な点がございましたら当社カスタマーサービスグループまでご連絡ください。
2.7 審査認証の申請
審査のお申込みは、審査申請書に次の事項を記入のうえ、ご提出ください。必要に応じて訪問のうえ、詳
細を打合せいたします。
a) 希望する認証範囲b) 組織の一般的な特徴。これには、組織の名称および住所（複数の場合もあり）、プロセスおよび運用、人的および専門的資源、機能、関係ならびに該当する法的義務。
c) 外部委託したプロセスに関する情報。
d) 希望される規格（対象とするマネジメントシステム規格）e) 認証の対象となるマネジメントシステムに関して、コンサルティングが提供されたかどうか。また、提供された場合は、誰によって提供されたかの情報。
申請書のご提出にあわせて、次の書類もご提出願います。
a) 全社の組織図（人名・職位・役割・要員数の記述とマニュアル内の組織図を補足するもの）
b) 各サイトの製品・サービスの概要が判る資料（会社案内または製品案内）c) 審査対象の所在地図d) 適用宣言書（可能な場合）
2.7.1 申請の受理
当社は、提出いただいた審査申請書の記載内容を確認し、審査認証申請受理通知をメールまたは FAX いた
します。
ただし、次の事項に該当する場合、申請書を受理できないことがあります。
a) 審査認証希望範囲が一時的サイトのみを対象としている場合。
b) 審査認証希望範囲に入れておくべき活動の要素を認証の範囲から除外している場合。
c) 公平性に対する容認できない脅威が確認された場合。
d) 不法行為を行っていることが明らかな場合。
2.8 契約書a) 申請書が受理された後、申請者の権限をもつ代表者と当社の双方が署名して、認証審査の契約書を作成・締結いたします。
b) 契約の締結後、審査活動に着手いたします。
c) 契約の締結後に申請内容に変更が生じた場合、「マネジメントシステムの認証内容変更連絡」を速やかにご提出ください。当社は、変更内容を確認し、必要があれば審査計画の変更を検討・決定し申請者へ通知いたします。
2.9 統合審査の受審
2.9.1 統合審査の受審条件
統合審査の受審条件は次のことが条件となります。
a) 審査認証希望範囲（活動、製品またはサービスの範囲）は同一であること。認証対象サイトは、おおむね同一であること。
b) トップマネジメントが同一であること（管理責任者は同一が望ましい）。
c) 対象となるマネジメントシステムの認証サイクル（審査の種類および時期）が同一であること。
※ 現在の認証サイクルが同一でない場合は、サイクルを統一していただきます。
2.9.2 統合審査の申請
統合審査のお申込みは、統合審査申込書に必要事項を記入のうえご提出ください。受領後に申請者を訪問し、統合レベル（統合マネジメントシステムの統合度合）の調査を実施（初回認証審査と同時の場合は第一段階審査で実施）します。なお、統合レベルの調査をするまでもなく、統合レベルが低く審査工数の削減等のメリットが認められないと当社が判断した場合には、複合審査への切り替えをお願いする場合があります。
2.9.3 統合レベルの確定
当社は、統合レベルの調査結果によって、申請者の統合レベルを確定します。この統合レベルによって、審査工数の削減率等を決定します。
2.10 初回認証審査
初回認証審査は、第一段階審査と第二段階審査の二つの段階にて実施いたします。
f)

4 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

2.10.1 第一段階審査
第一段階審査は、当該マネジメントシステム文書の審査およびマネジメントシステムの構築状況ならびに第二段階審査に向けた準備状況を確認します。また、統合審査を同時に申し込みされた場合には、申請者の統合レベルの調査を実施します。第一段階審査は、申請者のサイト内で行います。
2.10.1.1 第一段階審査の受審条件
第一段階審査の受審条件は次の通りです。
a) 文書化されたマネジメントシステムが構築され、運用されていること。
b) 内部監査が計画または実施されていること。
c) マネジメントレビューが計画または実施されていること。また、マネジメントシステムの実施の程度が第二段階審査のための準備が整っていることが実証されていること。
ただし、文書審査のみを先行して受審する場合に限り、当該条件は適用いたしませんが、文書の審査以外の第一段階審査の目的を後日審査する際には、当該条件が適用となります。
2.10.1.2 第一段階審査の目的
第一段階審査では、次の事項を目的に審査を行います。
a) 文書の審査b) 所在地および事業所固有の条件の評価
c) 規格の要求事項に関する申請者の状況および理解度、ならびに第二段階審査の準備状況の確認
d) マネジメントシステムの適用範囲、マネジメントシステムの主要なパフォーマンスまたは重要な側面、プロセス、目的および運用の特定に対するレビューe) 事業所、プロセスおよび使用設備、確立された管理のレベル、適用される法令および規制要求事項を含む
マネジメントシステムの適用範囲に関する情報f) 第二段階審査を計画するうえでの焦点・考慮事項（資源の割当てを含む）※ 資源の割当てとは、審査員の担当割当て、工数の見直しなど
g) 内部監査およびマネジメントレビューの実施状況
h) 組織の ISMS の設計に対する理解（リスクアセスメントおよび対応（管理策）、情報セキュリティ方針および目的）i) 統合審査の場合、統合レベルの確認
2.10.1.3 第一段階審査の実施手順a) 審査計画
1) 当社カスタマーサービスグループ（以下 CS グループ）は審査日程の立案を行い、申請者の確認を得ます。
2) 審査日程確定後、当社 CS グループは必要な力量を持つ審査チームを編成し、「審査チームのご通知」を送付いたします。申請者は、特定の審査員または技術専門家の指名に異議を唱えることができます。
当社は、異議が正当と認められた場合は審査チームを再編します。なお、統合審査の場合、同一のチームが審査を担当します。
3) 「審査チームのご通知」によりご同意を確認後（7 日以内に連絡がない場合は、同意いただいたものとします。
）、具体的な審査活動に着手いたします。
b) 関連文書等の提出審査に必要な次の文書および資料の最新版を非管理扱いでご提出ください。また、当社が審査準備のために必要と判断する他の資料を送付していただく場合があります。
1) 提出書類（ただし、規格が要求する記録は含みません）① ISMS およびその対象となる活動にかかわる一般情報・サイトにおけるプロセスの説明、周辺およびサイト内設備配置図、など
・部門別規格条項対比表② 規格で要求される ISMS 文書および関連文書一式【以下の情報が含まれていることが必要です】
・情報セキュリティ方針（規格 5.2）
・情報セキュリティ目的に関する文書化した情報（規格 6.2）
・ISMS の適用範囲（規格 4.3）
・ISMS を支えている手順および管理策（統合マネジメントシステムの場合、統合マニュアルを含む）
・リスクアセスメントのプロセスの記述（規格 6.1.2）
・リスクアセスメントの結果（規格 8.2）
・リスク対応計画（規格 8.3）
・組織が必要とする文書化した手順（規格 7.5.1 b）
・適用宣言書（規格 6.1.3 d）
2) 提出部数
1部
3) 提出期限
第一段階審査実施日の少なくとも 1 ヶ月半（約 45 日）前まで
4) 提出先5 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

当社審査部審査グループ
審査スケジュール
1) b)で送付いただいた資料をもとに審査チームリーダーが第一段階審査の詳細な「審査スケジュール」
を作成します。なお、統合審査の場合、審査スケジュールは統合マネジメントシステムとして一本化して作成されます。
2) 「審査スケジュール」を作成するにあたって不明な点がある場合には、審査チームリーダーまたは当社より確認の連絡をする場合があります。
3) 審査チームリーダーが作成した「審査スケジュール」は、第一段階審査実施日の約 2 週間前までに、審査チームリーダーよりメールまたは FAX にて送付いたします。
d) 審査における所見
1) 第一段階審査において検出された事項は次のように分類します。
c)

所見

指摘事項

第一段階発見事項

充実点（グッドポイント）2)

第一段階審査発見事項は、第二段階審査において不適合として分類される可能性が懸念される事項で、発見事項に対する処置の確認は第二段階審査で行います。第二段階審査で有効性が確認できない場合は、その内容に応じて不適合として指摘されます。
e) 第一段階審査での評価
1) 第一段階審査の発見事項を解決するための期間を考慮し、第二段階審査の実施時期を勧告いたします。
ただし、第一段階審査と第二段階審査との期間は少なくとも 1 ヶ月以上あけていただきます。
2) 第一段階審査完了後 6 ヶ月を過ぎても第二段階審査を実施できない場合には、第一段階審査は無効となります。
f) 第一段階審査の報告
1) 第一段階審査の結果は、文書化されチームリーダーより当社に報告されます。当社は、その報告の内容をレビューし、承認します。なお、統合審査の場合、報告書は統合マネジメントシステムとして一本化して作成されます。
2) 第一段階審査の報告は、審査終了後 2 週間を目途に当社よりコピーを送付いたします。
3) 内容をご確認いただき、同意できない事項については当社審査部審査グループまでご連絡ください。
4) 審査に対して不服がある場合には、異議申立てができます。
2.10.1.4 第一段階審査と第二段階審査との間隔
審査チームは、第一段階審査と第二段階審査との間隔を決定する際には、第一段階審査において特定された懸念を解決するための、依頼者による検討の期間を考慮します。当社においても、第二段階審査についての取決めの改訂が必要となる可能性があります。マネジメントシステムに影響するような重大な変更が行われる場合は、第一段階のすべてまたは一部を繰り返す必要性について考慮いたします。第一段階審査の結果
によって、第二段階審査を延期または中止する可能性があります。
2.10.2 第二段階審査
第二段階審査は、審査チームが認証の可否を認証決定者に勧告するために行う審査で、規格適合性審査と有効性を含むマネジメントシステムの運用／実行を評価する審査です。第二段階審査は申請者のサイト内で行います。
認証範囲に含まれるすべての活動は、審査中に実証されなければなりません。もしそれらの活動が実証され得ない場合には､範囲から削除されます。
2.10.2.1 第二段階審査の受審条件
第二段階審査の受審条件は次の通りです。
a) 第二段階審査までに、マネジメントシステムが最低 3 ヶ月以上運用されていること。
b) 第一段階審査で第二段階審査に進むことが勧告されていること。
c) 第二段階審査までに、内部監査およびマネジメントレビューが実施されていること。
2.10.2.2 第二段階審査の目的
2.10.2.2.1 目的
第二段階審査では、次の事項を目的に審査を行います。
a) 適用される規格のすべての要求事項に対する適合b) その他の規準文書のすべての要求事項に対する適合c) 主要なパフォーマンスの目的および目標に対する監視、測定、報告およびレビューd) 法的要求事項の順守に関してのマネジメントシステムおよびパフォーマンス
e) プロセスの運用管理f) 内部監査およびマネジメントレビューg) 方針に対する経営陣の責任h) 規定要求事項、方針、パフォーマンスの目的および目標、適用されるすべての法的要求事項、責任、要員の力量、運用、手順、パフォーマンスに関するデータ、内部監査の所見・結論の関連
i) 組織が、自らの方針、目的および手順を守っていることを確認する
j) 第一段階審査の発見事項についてとられた処置のフォローアップ
6 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

2.10.2.2.2 審査の焦点
上記を実施するため、組織の次の事項に焦点をあてた審査を行います。
a) 情報セキュリティ方針および情報セキュリティ目的に対する、トップマネジメントのリーダーシップおよびコミットメントb) JIS Q 27001 に掲げられた文書化に関する要求事項c) 情報セキュリティに関するリスクアセスメント、およびそのアセスメントが繰り返し実施された場合に、一貫性および妥当性があり、かつ比較可能な結果を生み出すことd) その情報セキュリティリスクアセスメントおよびリスク対応のプロセスに基づいた、管理目的および管理策の決定
e) その情報セキュリティ目的に照らして評価される、情報セキュリティパフォーマンスおよび ISMS の有効性f) 決定された管理策、適用宣言書、情報セキュリティリスクアセスメント・リスク対応のプロセスの結果、および情報セキュリティ方針・目的の間の対応
g) 管理策の導入。ここでは、管理策が導入され、かつ、有効であるか否かを決定するための、および表明
した情報セキュリティ目的を満たしているか決定するための、外部および内部の状況および関連するリス
ク、ならびにその組織による情報セキュリティプロセスおよび管理策の管理、測定および分析を考慮する。
h) プログラム、プロセス、手順、記録、内部監査、および ISMS の有効性のレビュー。これには、トップ
マネジメントの決定、ならびに情報セキュリティ方針および目的が、これらからたどれることを確実にする。
2.10.2.2.3 ISMS 審査の特別な要素
審査において、依頼組織が確立、維持している情報セキュリティリスクの特定、分析、評価するための手順が、以下の状況であることを確認します。
a) 情報セキュリティに関するリスクアセスメントが ISMS の適用範囲内における ISMS の運用に関連があり、かつ、適切であること。
b) 情報セキュリティに関するリスクを特定、調査および評価するための手順、ならびにこの手順を実施した結果が、依頼者の方針、目的および目標と整合しているかどうか。
c) リスクアセスメントに用いられた手順が健全で、適切に導入されているか否か。
2.10.2.3 第二段階審査の実施手順a) 審査計画
1) 当社 CS グループは審査日程の立案を行い、申請者の同意を得ます。
2) 審査日程確定後、当社 CS グループは審査チームを編成し、「審査チームのご通知」を送付いたします。
申請者は、特定の審査員または技術専門家の指名に異議を唱えることができます。
当社は、異議が正当と認められた場合は審査チームを再編します。なお、統合審査の場合、同一のチームが審査を担当します。
3) 審査チームにご同意いただいた後（7 日以内に連絡がない場合は、同意いただいたものとします）、具
体的な審査活動に着手いたします。
b) 関連文書等の提出
1) 第一段階審査でご提出いただいた文書および資料のうち改訂された文書および資料を非管理扱いでご提出ください。また、当社が審査準備のために必要と判断する他の資料を送付していただく場合があります。
2) 提出部数
1部
3) 提出期限
第二段階審査実施日の少なくとも 1 ヶ月（約 30 日）前まで
4) 提出先当社審査部審査グループc) 審査スケジュール
1) 第一段階審査で収集および打ち合わせした情報をもとに、審査チームリーダーが第二段階審査の詳細
な「審査スケジュール」を作成します。なお、統合審査の場合、審査スケジュールは統合マネジメント
システムとして一本化して作成されます。
2) 「審査スケジュール」を作成するにあたって不明な点がある場合には、審査チームリーダーまたは当社より確認の連絡をする場合があります。
3) 審査チームリーダーが作成した「審査スケジュール」は第二段階審査実施日の約 2 週間前までに、審査チームリーダーよりメールまたは FAX にて送付いたします。

7 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

d)

審査における所見
1) 第二段階審査において検出された事項は次のように分類します。
所見

指摘事項

不適合

重大不適合
軽度不適合

改善事項
充実点（グッドポイント）2)
3)

第二段階審査で指摘した不適合については「不適合報告書」を発行し、是正処置を要求いたします。
軽度不適合の場合には、是正処置は組織と審査チームリーダー間で記録・資料のやり取りで修正および是正処置（含む是正計画）を確認のうえ、容認いたします（ただし、軽度不適合については、その影
響度により修正処置でも可能とする場合があります）。なお、容認された是正処置のフォローアップは次回の審査で行います。
4) 重大不適合の場合には、修正および是正処置は組織と審査チームリーダー間で記録・資料のやり取り
で完了確認を行った後、現地で有効性の確認を行います。なお、容認された是正処置のフォローアップ
は次回の審査で行います。
5) 改善事項への対応の必要性は、組織の判断によりますが、次回審査でその対応の確認を行います。
e) 第二段階審査での評価
1) 不適合の指摘がない場合、または合意された期間内に是正処置を容認した後、認証決定者に認証の勧告を行います。
2) 第二段階審査の最終日から 6 ヶ月以内に、重大不適合に対する修正および是正処置の実施を検証することができない場合は、再度、第二段階審査を実施します。
3) 軽度不適合の指摘から 3 ヶ月以内に修正処置を含む是正処置が容認できない場合、もしくは検証のための資料が 3 ヶ月以内に組織から提出されない場合、審査を打ち切りとし不認証を勧告します。
f) 第二段階審査報告書
1) 第二段階審査の結果は、文書化されチームリーダーにより当社に報告されます。当社は、その報告の内容をレビューし、承認します。なお、統合審査の場合、報告書は統合マネジメントシステムとして一本化して作成されます。第二段階審査の報告は、認証決定終了後にコピーを送付いたします。
2) 内容をご確認いただき、同意できない事項については当社審査部審査グループまでご連絡ください。
3) 審査に対して不服がある場合には、異議申立てができます。
2.10.3 認証決定者による審議
認証の判定は、認証決定により行います。認証決定者は、判定する組織と利害関係がなく、かつ力量を満足した要員により、公平性、透明性、客観性に基づき行います。この認証決定は、原則として毎月行い、次のとおり処理いたします。
a) 審議は、チームリーダーにから提出された「審査報告書」（含む修正・是正処置についての見解）および申請時に依頼者から提出された情報により行います。なお、統合審査の場合でも、審議は各々のマネジメ
ントシステム毎に行います。
b) 判定の結果は「認証」、「認証不可」の 2 種類です。
c) 判定結果である「認証決定通知」は、審議終了後に速報としてシステム（楽楽明細）にて連絡いたします。
d) 認証と判定された場合、後日適合証明証を送付いたします。
e) 判定に対して不服がある場合には、異議申立てができます。
2.10.4 認証および適合証明証a) 認証決定後は被認証組織として、認証と判定された日付（原則翌月 1 日）で適合証明証が発行されます。
統合マネジメントシステムの場合でも、適合証明証は各々のマネジメントシステム毎に発行されます。認証の有効期限は、適合証明証に記載の有効期限とします（3 年間）。認証内容は、当社登録簿に登録するとともにご希望により当社および認定機関のホームページで公開します。なお、登録簿は専有財産として当社に帰属します。
b) 適合証明証の認証範囲が、当社が認定を受けている認定範囲に該当する場合は、当該認定機関の認定シンボル（マーク）を使用することができます。認定シンボル（マーク）は、当社の認証マークと一対で使用できますが、認証マーク、認定シンボル（マーク）の使用規則を遵守していただきます。
c) マーク・シンボルの使用にあたっては、認証範囲外にも認証が及んでいるとの誤解を与えないように使用願います（8 被認証組織の順守事項参照）。誤解を与える表記か否かについて判断に迷う場合は、事前に当社へ確認をお願いします。
2.11 サーベイランス審査a) サーベイランス審査とは、認証組織の当該マネジメントシステムが要求事項を継続的に満たしていること（運用状況、前回不適合の是正処置に関する運用状況の確認と有効性の評価、前回の改善事項の対応状
況、本ガイダンス上の権利と義務に関する順守状況）を検証する審査です。定期的に（通常 1 年に一度）「審査プログラム」に従って実施いたします。
b) 初回認証後の最初のサーベイランス審査は、認証の決定した日を起点（基準日）とし、基準日の 12 ヶ月
後を超えることはできません。
8 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

c)

1 年に 1 回サーベイランス審査を行う場合は、基準日の原則 2 ヶ月前から「審査プログラム」に従い実施いたします。
d) 6 ヶ月に 1 回サーベイランス審査を行う場合は、原則として基準日を起点とし、6 ヶ月後の前後 2 ヶ月の間に「審査プログラム」に従い実施いたします。1 回あたりの審査工数は、1 年に 1 回の場合の約半分になります。
2.11.1 サーベイランス審査の受審条件
当社がサーベイランス審査の基準日の約 2 ヶ月前に送付する「審査日程のご案内」に対し同意の意思表示をすることが条件となります。
2.11.2 サーベイランス審査の内容
サーベイランス審査には、少なくとも下記の事項の確認を含みます。
a) 前回審査で特定された不適合についてとられた処置のフォローアップb) 前回審査での改善事項の対応確認
c) 苦情の処理
d) 依頼組織の目的の達成およびマネジメントシステムの意図した成果に関するマネジメントシステムの有効性e) 継続的改善を狙いとする計画的活動の進捗状況
f) 継続的な運用管理（管理策の実施状況および有効性の評価を含む）
g) 変更された領域およびそのレビュー、文書化されたシステムの変更h) マークの使用および／または認証に関する引用、登録証の適切な使用
i) システムの維持に必要な要素（情報セキュリティリスクアセスメントおよび管理策の維持、ISMS 内部監
査、マネジメントレビュー、ならびに是正処置など）
j) ISMS 規格 JIS Q 27001 および他の認証に必要な文書で要求されている、外部からの情報k) JIS Q 27001 の中の選択した要求事項l) 該当するその他の選択した領域m) 関連する情報セキュリティに関する法規制の順守を定期的に評価しレビューする手順が機能していることn) 決定した管理策の変更、およびその結果生じる適用宣言書の変更o) 本ガイダンスの順守状況
p) 統合審査の場合、統合レベルが変わらずに維持されているか。
2.11.3 サーベイランス審査の実施手順a) 審査計画
1) 当社 CS グループは審査日程の立案を行い、サーベイランス審査の基準日の約 2 ヶ月前に「審査日程のご案内」にて審査日程および認証後のマネジメントシステムの変更の有無を確認させていただきます。
変更の内容がマネジメントシステムに影響を与えると当社が判断した場合は「審査プログラム」の見直しを行います。
2) 審査日程確定後、当社 CS グループは審査チームを編成し、「審査チームのご通知」を送付いたします。
被認証組織は、特定の審査員または技術専門家の指名に異議を唱えることができます。当社は、異議が正当と認められた場合は審査チームを再編します。なお、統合審査の場合、同一のチームが審査を担当
します。
3) 審査チームに同意いただいた後（7 日以内に連絡がない場合は、同意いただいたものとします）、具体
的な審査活動に着手いたします。
b) 関連文書等の提出審査に必要な次の文書および資料の最新版を非管理扱いでご提出ください。また、当社が審査準備のために必要と判断する他の資料を送付していただく場合があります。
1) 提出書類（ただし、規格が要求する記録は含みません）① ISMS およびその対象となる活動にかかわる一般情報・サイトにおけるプロセスの説明、周辺およびサイト内設備配置図、など
・部門別規格条項対比表② 規格で要求される ISMS 文書および関連文書一式【以下の情報が含まれていることが必要です】
・情報セキュリティ方針（規格 5.2）
・情報セキュリティ目的に関する文書化した情報（規格 6.2）
・ISMS の適用範囲（規格 4.3）
・ISMS を支えている手順および管理策（統合マネジメントシステムの場合、統合マニュアルを含む）
・リスクアセスメントのプロセスの記述（規格 6.1.2）
・リスクアセスメントの結果（規格 8.2）
・リスク対応計画（規格 8.3）
・組織が必要とする文書化した手順（規格 7.5.1 b）
・適用宣言書（規格 6.1.3 d）
2) 提出部数
9 / 19I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

1部
提出期限
サーベイランス審査実施日の 1 ヶ月（約 30 日）前まで
4) 提出先当社審査部審査グループc)審査スケジュール
1) 「審査日程のご案内」、「送付していただいた資料」および「前回までの審査報告書」をもとに、審査チームリーダーがサーベイランス審査の詳細な「審査スケジュール」を作成します。なお、統合審査の場
合、審査スケジュールは統合マネジメントシステムとして一本化して作成されます。
2) 「審査スケジュール」を作成するにあたって不明な点がある場合には、審査チームリーダーまたは当社より確認の連絡をする場合があります。
3) 審査チームリーダーが作成した「審査スケジュール」はサーベイランス審査実施日の約 2 週間前までに、審査チームリーダーよりメールまたは FAX にて送付いたします。
d) 審査における所見
1) サーベイランス審査において検出された事項は次のように分類します。
3)

所見

指摘事項

不適合

重大不適合
軽度不適合

改善事項
充実点（グッドポイント）2)

サーベイランス審査で指摘した不適合については「不適合報告書」を発行し、是正処置を要求いたします。
3) 軽度不適合の場合には、是正処置は組織と審査チームリーダー間で記録・資料のやり取りで修正および是正処置（含む是正計画）を確認のうえ、容認いたします（ただし、軽度不適合については、その影
響度により修正処置でも可能とする場合があります）。なお、容認された是正処置のフォローアップは次回の審査で行います。
4) 重大不適合の場合には、修正および是正処置は組織と審査チームリーダー間で記録・資料のやり取り
で完了確認を行った後、現地で有効性の確認を行います。なお、容認された是正処置のフォローアップ
は次回の審査で行います。
5) 改善事項への対応の必要性は、組織の判断によりますが、次回審査でその対応の確認を行います。
e) サーベイランス審査での評価
1) 不適合の指摘がない場合、または合意された期間内に是正処置の終結を審査チームリーダーが容認した後、審査報告書をもって、認証の継続を勧告します。
2) 重大不適合の指摘から 3 ヶ月以内に是正処置が終結できない場合、認証決定者に認証の一時停止を勧告します。一時停止後さらに 3 ヶ月以内に是正処置が終結できない場合、審査を打ち切りとし、認証決定者に認証の取消しを勧告します。
3) 軽度不適合の指摘から 3 ヶ月以内に修正処置を含む是正処置または是正計画が容認できない場合、もしくは検証のための資料が 3 ヶ月以内に組織から提出されない場合、認証決定者に認証の一時停止を勧告します。一時停止後さらに 3 ヶ月以内に修正処置を含む是正処置または是正計画が容認できない場合、
もしくは検証のための資料が組織から提出されない場合、審査を打ち切りとし、認証決定者に認証の取消しを勧告します。
f)サーベイランス審査報告書
1) サーベイランス審査の結果は、文書化されチームリーダーにより当社に報告されます。審査の結論が肯定的な場合、当社は、その報告の内容をレビューし、認証の維持を決定します。なお、否定的な場合、認証決定者による判定を行い、一時停止や認証の取り消しを決定します。統合審査の場合、報告書は統合マネジメントシステムとして一本化して作成されます。サーベイランス審査報告書は、「認証継続通知」
と共に審査終了後または是正処置終結後約 4 週間を目途にコピーを送付いたします。
2) 内容をご確認いただき、同意できない事項については当社審査部審査グループまでご連絡ください。
2.12 再認証審査a) 再認証審査とは、認証有効期間中に行う、マネジメントシステム全体としての継続的な適合性および有効性ならびに認証の範囲に対するマネジメントシステムの継続的な関連性および適用可能性を確認するための審査です。認証有効期限内に認証決定者により、「再認証可」と判定されることが必要です。
b) 再認証審査の実施時期は、認証有効期限の 6 ヶ月前から 2 ヶ月前までの期間に受審していただきます。
認証有効期限内に「再認証可」と判定されず、失効日を迎えた場合には、認証の取り消しとなります。
c) マネジメントシステム、被認証組織、またはマネジメントシステムを運営する状況に重要な変更（たとえば法律の変更）があった場合は、第一段階審査を実施する場合があります。
d) 再認証審査の工数は、初回認証審査工数のおおむね 2/3 となります。
2.12.1 再認証審査の受審条件
当社が再認証審査の基準日の約 5 ヶ月前に送付する「再認証審査申請書」に対し同意の意思表示をするこ
10 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編とが条件となります。事前（基準日の約 3 ヶ月前まで）に再認証を希望しない旨の連絡がない限り、当社は再認証審査の計画を行います。
2.12.2 再認証審査の内容
再認証審査では、下記の事項の確認を含む現地審査を行います。
a) 内部および外部の変更に対するマネジメントシステム全体としての有効性b) 認証の範囲に対するマネジメントシステムの継続的な関連性および適用可能性
c) 全体のパフォーマンスを高めるために、マネジメントシステムの有効性および改善を維持することに対する実証されたコミットメントd) 目的の達成およびマネジメントシステムの意図した結果の達成に関するマネジメントシステムの有効性e) 本ガイダンスの順守状況
f) 統合審査の場合、統合レベルが変わらずに維持されているか。
2.12.3 再認証審査の実施手順a) 審査計画
1) 当社 CS グループは審査日程の立案を行い、再認証審査の基準日の約 3 ヶ月前に「審査日程のご案内」
にて審査日程を確認させていただきます。
2) 審査日程確定後、当社 CS グループは審査チームを編成し、「審査チームのご通知」を送付いたします。
なお、統合審査の場合、同一のチームが審査を担当します。被認証組織は、特定の審査員または技術専
門家の指名に異議を唱えることができます。
当社は、異議が正当と認められた場合は審査チームを再編します。
3) 審査チームに同意いただいた後、（7 日以内に連絡がない場合は、同意いただいたものとします）具体的な審査活動に着手いたします。
b) 関連文書等の提出審査に必要な次の文書および資料の最新版を非管理扱いでご提出ください。また、当社が審査準備のために必要と判断する他の資料を送付していただく場合があります。
1) 提出書類（ただし、規格が要求する記録は含みません）① ISMS およびその対象となる活動にかかわる一般情報・サイトにおけるプロセスの説明、周辺およびサイト内設備配置図、など
・部門別規格条項対比表② 規格で要求される ISMS 文書および関連文書一式【以下の情報が含まれていることが必要です】
・情報セキュリティ方針（規格 5.2）
・情報セキュリティ目的に関する文書化した情報（規格 6.2）
・ISMS の適用範囲（規格 4.3）
・ISMS を支えている手順および管理策（統合マネジメントシステムの場合、統合マニュアルを含む）
・リスクアセスメントのプロセスの記述（規格 6.1.2）
・リスクアセスメントの結果（規格 8.2）
・リスク対応計画（規格 8.3）
・組織が必要とする文書化した手順（規格 7.5.1 b）
・適用宣言書（規格 6.1.3 d）
2) 提出部数
1部
3) 提出期限
再承認審査実施日の 1 ヶ月（約 30 日）前まで
4) 提出先当社審査部審査グループc) 審査スケジュールの作成
1) 「再認証審査申請書」、「送付していただいた資料」および「前回までの審査報告書」をもとに、審査チームリーダーが再認証審査の詳細な「審査スケジュール」を作成いたします。なお、統合審査の場合、審査スケジュールは統合マネジメントシステムとして一本化して作成されます。
2) 「審査スケジュール」を作成するにあたって不明な点がある場合には、審査チームリーダーまたは当社より確認の連絡をする場合があります。
3) 審査チームリーダーが作成した「審査スケジュール」は再認証審査実施日の約 2 週間前までに、審査
チームリーダーよりメールまたは FAX にて送付いたします。

11 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

d)

審査における所見
1) 再認証審査において検出された事項は次のように分類します。
所見

指摘事項

不適合

重大不適合
軽度不適合

改善事項
充実点（グッドポイント）2)
3)

再認証審査で指摘した不適合については「不適合報告書」を発行し、是正処置を要求いたします。
軽度不適合の場合には、是正処置は組織と審査チームリーダー間で記録・資料のやり取りで修正および是正処置（含む是正計画）を確認のうえ、容認いたします（ただし、軽度不適合については、その影
響度により修正処置でも可能とする場合があります）。なお、容認された是正処置のフォローアップは次回の審査で行います。
4) 重大不適合の場合には、修正および是正処置は組織と審査チームリーダー間で記録・資料のやり取り
で完了確認を行った後、現地で有効性の確認を行います。なお、容認された是正処置のフォローアップ
は次回の審査で行います。
5) 改善事項への対応の必要性は、組織の判断によりますが、次回審査でその対応の確認を行います。
e) 再認証審査での評価
1) 不適合の指摘がない場合、または合意された期間内に是正処置を容認した後、認証決定者に再認証を勧告します。
2) 再認証審査では、認証の有効期限前に修正および是正処置（軽度不適合の場合は是正計画でも可）を検証することができない場合は、再認証の勧告および認証の有効期限の延長は行わず取消を勧告します。
3) 認証が失効した後、未完了だった再認証活動が 6 ヶ月以内に完了すれば、当社は当該組織の認証を復帰します。そうでない場合は、少なくとも第二段階審査を実施します。これらの場合において、認証の発行日は、再認証決定日もしくはその後とし、有効期限は前の認証の周期に基づいたものとします。
f) 再認証審査報告書
1) 再認証審査の結果は、文書化されチームリーダーより当社に報告されます。当社は、その報告の内容
をレビューし、承認します。なお、統合審査の場合、報告書は統合マネジメントシステムとして一本化して作成されます。再認証審査報告書は、認証決定終了後にコピーを送付いたします。
2) 内容をご確認いただき、同意できない事項については当社審査部審査グループまでご連絡ください。
2.12.4 認証決定者による審議
2.10.3 認証決定者による審議をご参照ください。
2.12.5 認証および適合証明証
2.10.4 認証および適合証明証をご参照ください。
2.13 拡大審査a) 拡大審査とは、認証の範囲を拡大する場合に行う特別な審査です。受審を希望される場合は、「審査申請書」をご提出ください。拡大を認証するには、認証決定者により、「認証可」と判定されることが必要です。
b) 拡大審査は、サーベイランス審査または再認証審査と併せて実施することもできます。
c) 認証範囲の活動が大きく変わったり、新たな活動が追加されるなどの変更があった等、システムに大きく影響が生じると当社が判断した場合は、第一段階審査を実施いたします。
2.13.1 拡大審査の受審条件
拡大審査の受審条件は次のことが条件となります。
a) 拡大審査までに、拡大する範囲のマネジメントシステムが最低 3 ヶ月以上運用されていることb) 拡大する範囲の内部監査が実施されていること。
c) 拡大する範囲について、マネジメントレビューが実施されていること。
2.13.2 拡大審査の目的
拡大審査は、第二段階審査に準じて行いますので、2.10.2.2 第二段階審査の目的をご参照ください。
統合審査の場合、統合レベルが変わらずに維持されているかも確認します。
2.13.3 拡大審査の実施手順
拡大審査は、第二段階審査に準じて行いますので、2.10.2.3 第二段階審査の実施手順をご参照ください。
2.13.4 認証決定者による審議
拡大審査の判定は、第二段階審査の判定に準じて行いますので、2.10.3 認証決定者による審議をご参照く
ださい。なお、再認証審査と併せて実施した場合の判定は、再認証の判定に影響を与えないように個別に審議いたします。
2.13.5 認証および適合証明証
拡大審査の認証および適合証明証は、第二段階審査の認証および適合証明証に準じて行いますので、2.10.4
認証および適合証明証をご参照ください。
2.14 短期予告審査
短期予告審査は、次のような短期の予告で審査を実施する必要がある場合に行う特別な審査です。
1) 苦情の調査
12 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

2) 法令違反の調査
3) 縮小などによる認証範囲の変更
4) 情報セキュリティ方針の変更に伴い、マネジメントシステムに大幅な変更が生じた場合
5) 主要工程や設備・施設の変更に伴い、マネジメントシステムに大幅な変更が生じた場合
6) その他、当社が必要と判断した場合
上記 3)から 5)の場合は、「認証内容変更連絡」をご提出いただきます。また、サーベイランス審査または再認証審査と併せて実施することもあります。
ただし、事前に予告することで、審査の目的が達成できないと判断した場合は、予告なしで訪問させていただきます。
2.14.1 短期予告審査の実施手順
短期予告審査は、第二段階審査に準じて行いますので、2.10.2.3 第二段階審査の実施手順をご参照ください。ただし、即時に実施いたしますので、選定した審査員の受諾同意なしに進めさせていただきます。
2.14.2 認証決定者による審議
短期予告審査の判定は、第二段階審査の判定に準じて行いますので、2.10.3 認証決定者による審議をご参照ください。
2.14.3 認証および適合証明証
短期予告審査の結果で認証範囲が変更される場合は、第二段階審査の認証および適合証明証に準じて行いますので、2.10.4 認証および適合証明証をご参照ください。
3

不適合の等級格付けおよび改善事項
指摘事項は、第一段階審査の発見事項、その他の審査での不適合および改善事項に分類されます。
a) 第一段階審査の発見事項
第二段階審査において不適合として分類される可能性が懸念される事項です。
b) 不適合要求事項（明示されている、通常暗黙のうちに了解されている、もしくは義務として要求されている、
ニーズまたは期待）を満たしていないこと。
不適合のレベルは、「重大不適合」と「軽度不適合」の二種類で、定義は次のとおりです。
1) 重大不適合とは、意図した結果を達成するマネジメントシステムの能力に影響を与える不適合。次の事項は、重大な不適合に分類される可能性があります。
① 効果的なプロセス管理が行われているか、または製品もしくはサービスが規定要求事項を満たして
いるかについて、重大な疑いがある。
② 同一の要求事項または問題に関連する軽微な不適合が幾つかあり、それらがシステムの欠陥である
ことが実証され、その結果重大な不適合となるもの。
2) 軽度不適合とは、意図した結果を達成するマネジメントシステムの能力に影響を与えない不適合。
c) 改善事項
1) より効果的なマネジメントシステムにするための改善の余地（対応は組織の判断による）。
4

サーベイランス審査および再認証審査の受審時期の変更について
サーベイランス審査の受審時期（本ガイダンス 2.11 b)～d)）、および再認証審査の受審時期（本ガイダンス
2.12 b)）は、有効期間の短縮によって調整することができます。複合審査等で、マネジメントシステム毎の審査時期を変更したい場合、再認証審査にて有効期限の繰上げを行うことで、それ以降の審査の基準日を変更します。
5 認証の移転
5.1 認証の移転とはすでに当社以外の認証機関によって認証された組織が、当社の認証へ移転することです。移転を希望される場合は、「移転申込書」をご提出ください。申込書が受理された後、申請者と当社の双方が署名して、認証審査の契約書を締結いたします。
5.2 認証の移転の条件
認証の移転の条件は次のとおりです。
1) 最新で有効な認証を受けた適合証明証の移転であること（当社と同じ認定（相互承認加盟を含む）を取得している認証機関）。
2) 移転申請組織の認証が一時停止されていない、または一時停止の危機にない状態であること。
3) 未完了の重大不適合がある場合は、その是正処置が実施されていること。および審査員が訪問のう
え、その処置について検証されること。未完了の軽度不適合がある場合は、修正および是正処置（いずれも計画を含む）を当社にご提示いただけること。
4) 認証する範囲が当社の実施する認証範囲に属していること。
5) 当社が移転元の初回の認証または直近の再認証審査報告書、および最新のサーベイランス報告書を確認できること。
6) 当社が移転元認証機関の審査プログラムが確認でき、審査プログラムの要求に従って審査が完了して13 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

いること。
1)、2)、5)、6)が確認できない場合は、初回認証としての扱いとなります。
5.3 認証の移転の内容
原則として、提出された資料に基づいて認証のレビューを行いますが、同レビューにより必要性が特定された場合（例えば未完了の重大な不適合がある）は、訪問のうえ確認させていただきます。
5.4 適合証明証
移転の認証および適合証明証は、移転前の適合証明証の有効期限で発行します。2.10.4 認証および適合証
明証をご参照ください。
5.5 認証周期
移転前のレビューで問題が特定されなかった場合、認証周期は移転元の認証周期に基づきます。
6

異議申立ておよび苦情
当社の「審査」ならびに「認証または認証維持の可否決定」に対して、依頼者および関係者は、異議申立ておよび苦情を行うことができます。これらに対して当社は、公平で誠意ある対応をとります。
6.1 異議申立てへの対応
a) 当社の決定について同意できない場合、その決定から 30 日以内に根拠を添えた文書で正式に異議申立てをすることができます。
b) 当社は、その内容を検討（必要に応じて聴取）し、異議申立ての受理を行い、異議申立て処理委員会を召集し審議いたします。
c) 委員会の委員は、直接利害関係のない委員で構成します。申立て者は、委員会の構成について異議を述べることができます。
d) 申立て者は、異議申し立て委員会に出席し、申立て内容について説明することができます。
e) 詳細な手順については、当社「異議申立て・苦情処理手順書」に従って実施いたします。
6.2 苦情への対応
a) 当社は、審査認証プロセスに直接関係する苦情があった場合、その詳細を確認し、苦情申立て人と協議を行い、解決を図ります。
b) 協議で解決しない場合で、審査部長が苦情と認められる内容であると評価した場合、苦情について調査を審査部で実施し、解決策を申立て者に提案いたします。
c) 詳細な手順については、当社「異議申立て・苦情処理手順書」に従って実施いたします。
7

申請組織および被認証組織の順守事項
受審に際し、申請組織には、次の事項について対応をお願いします。
a) 申請時に当社が要求した資料を提出していただきます。
b) 審査チームメンバーに対して、正当な理由がある場合、異議を唱えることができます。
c) マネジメントシステムに関するマニュアル等の文書およびマネジメントシステムの運用の記録は、審査時に閲覧できるようにしてください。
d) 情報セキュリティに関する ISMS とは独立したレビューや監査の報告書も閲覧できるようにしてください。
e) 審査を有効かつ効果的に行うために、すべての業務および生産領域またはサービス業務領域に立ち入る
許可を審査員に与えていただきます。
f) 審査中に用いる言語は日本語とさせていただきます。必要な場合には、通訳および翻訳の手配をお願いいたします。
g) 当社の契約書、本ガイダンスを遵守していただきます。
h) 認定機関から審査の立会いを要求された際には、正当な理由がない限り、立会いの受け入れを拒否できません。
認定機関が正当と認める理由がある場合を除き、審査の立会いを拒絶する組織に認定された認証文書（適合証明証）は発行されません。
認定機関の審査の立会いを回避するために、審査を依頼する機関（認証機関）を変更または他の認定機
関に認証を移転しようとした場合、認定機関は当該組織名称を当該認定機関に認定された機関（認証機関）
および IAF メンバー認定機関に必要な範囲で通知する場合があります。認証機関は、当該通知を受けた場
合、当該組織に認定された認証文書（適合証明証）を発行できません。IAF メンバー認定機関は自機関が認定した機関に対し、このような組織に認定された認証文書（適合証明証）を発行しないように求めることがあります。
i) 訓練中の審査員、当社審査員の検証者などのオブザーバーの立会い受け入れを当社が要請した場合、受け入れをしていただくことがあります。
j) 記録へのアクセス
ISMS では、組織は機密情報または取扱いに慎重を要する情報を含んでいるために、審査チームによるレビューに利用できない ISMS 関連情報（例えば ISMS の記録、管理策の設計や有効性の情報）がある場合は当社に報告していただきます。
当社は、これらの記録がなくても ISMS の適切な審査が可能かを判断し、これらの特定された機密情報
14 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

または取扱いに慎重を要する記録のレビューなしでは ISMS の審査を適切に行えないという結論に達した
場合には、適切なアクセスを組織が準備するまで審査を実施できない場合があります。
8

被認証組織の順守事項
認証組織には、前 7 節の順守事項に加えて、次の事項が生じます。当該順守事項に関連して、当社より是
正処置の要求、違反の公表、認証の一時停止または取消し等の処置がとられる場合があります。
a) 認証の有効期間中、サーベイランス審査または再認証審査を受審していただきます。
b) 適合証明書の使用
1) 付属書がある場合、適合証明証と対で使用してください。
2) 適合証明証のコピーを使用する場合、次の事項を満たし適切に管理してください。
① コピーであることの明示② 配布先の管理③ 適合証明証の記載事項が明瞭に識別できること
3) 適合証明証の改訂版が発行された場合、旧版は使用できません。認証の取消しとなった場合も同様に使用できません。
4) 認証の一時停止により無効になった場合、その期間、認証が有効であると誤解を招くような使用はできません。
c) 当社の定める文書に従い、認証の引用や認証マークおよび認定シンボル（マーク）を使用することができます。ただし、マネジメントシステムの信用を損なうような認証の表明またはマークの使用はできません。
（インターネット、パンフレットもしくは広告、または他の文書等のコミュニケーション媒体に認証を引用する場合を含みます）
また、認証に関連して誤解を招く表明を、自ら行わず、他社による表明もできません。
さらに、認証範囲外の活動にも認証が及んでいると受け取られないように使用していただきます。
d) 自らの表明したことに拠るか否かに係わらず、認証内容についての公表、広報、アンケート、その他の発行文書等への引用で不適切な表示を発見した場合は、速やかに措置を講じていただきます。この措置には、当社への連絡および協議が含まれます。
e) 審査報告書の所有権は当社にあります。無断での複製、転載はできません。
f) 認証した、マネジメントシステムに影響する変更を行う場合、または認証内容の変更が必要な場合には、当社に対し遅滞なく、契約書に従い通知していただきます。また、当社が決定した方法で確認または審査を受けていただきます。これには、次の事項についての変更を含みます。
・法的、商業上、組織上の地位または所有権
・組織および経営層（例えば、重要な管理層、意思決定、または専門業務に携わる要員）
・連絡先および事業所
・認証されたマネジメントシステムに基づく活動の範囲
・マネジメントシステムおよびプロセスの重大な変更
g) 顧客を含む関係者からのいかなる苦情（またはコミュニケーション）に対しても適切な処置を講じ、取られた処置はその効果とともに記録し、当社が要求した場合に提供しなければなりません。また当社に持ち込まれた被認証組織に対する苦情について、その処理を進めるために協力するものとします。
h) 認証の一時停止または取消しを受けた場合、当社の指示に従い、認証の引用を含むすべての広告物の使用を中止していただきます。また、認証の範囲が縮小された場合、すべての広告物を修正していただきます。
i) 製品（サービスを含む）またはプロセスを当社が認証したと受け取られる方法で、マネジメントシステム
認証が引用されることは認められません。
j) 認証範囲外の活動にも認証が及んでいると受け取られないようにしていただきます。
k) 当社および／または認証システムの評価を損ない、または社会的信用を失墜させる方法でその認証を用いることはできません。
9 認証の一時停止、取消しまたは認証範囲の縮小
9.1 認証の一時停止
次のような事態が発生した場合、当社は、認証決定者に一時停止の理由を報告し、一時停止を決定します。
a) サーベイランス審査の結果、不適合に対して合意した期間内に是正処置が容認されない場合。
b) 意図的な法的違反に対する短期予告審査結果に基づいて、チームリーダーが認証の一時停止を勧告した場合。
c) 「適合証明証」、「認証マーク」、「認定シンボル（マーク）」の使用条件を逸脱し、当社の是正要求に対して理由なく対応していただけない場合。
d) 当社が規定した、認証の要求事項に対して違反が続いており、是正要求に対して理由なく対応していただけない場合。
e) 被認証組織のマネジメントシステムが、その有効性に関する要求事項を含む認証要求事項に対し、常態化した不適合または重大な不適合があった場合。
f) 少なくとも年に一度のサーベイランス審査の実施を受け入れない場合（最長 3 ヶ月）。
15 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

g)

統合審査において、一つまたは複数のマネジメントシステム規格に対する認証が一時停止となる場合で、他のマネジメントシステム規格の認証に及ぼす影響があると判断した場合。
なお、被認証組織から、文書により一時停止（最長 6 ヶ月）の申出があった場合は、当社内にて申出理由を精査し、妥当であると判断された場合、一時停止を決定します。
9.2 認証の取消し
次のような事態が発生した場合、当社は、認証決定者に取消しの理由を報告し、取消しを決定します。
a) 受理した公式文書や確認済みの情報に明らかに虚偽があることが判明した場合。
b) サーベイランス審査の結果、認証の要求事項に対する重大な不適合が認められ、是正要求に対して、理由なく対応していただけない場合。
c) 意図的な法的違反に対する短期予告審査結果に基づいて、認証決定者が認証の取消しを決定した場合。
d) 一時停止の通知後に規定の期間内に審査の実施を受入れない場合、または是正処置の検証終了が 3 ヶ月を超える場合。
e) 審査認証の費用および維持費用を支払っていただけない場合。
f) 被認証組織が長期にわたり、認証範囲の活動／製品またはサービスの供給を停止する場合。
g) その他、審査認証制度の目的に著しく反するような行動があった場合。
h) 統合審査において、一つまたは複数のマネジメントシステム規格に対する認証が一時停止となる場合で、他のマネジメントシステム規格の認証に及ぼす影響があると判断した場合。
9.3 認証の取下げ
被認証組織からの正式な辞退の申し出（取下げ）があった場合。
9.4 認証範囲の縮小
認証範囲のいずれかの部分に関し、認証要求事項について常態化したまたは重大な不適合があった場合、要求事項に適合しないこれらの部分を除外する認証範囲の縮小を行う場合があります。ただし、このような範囲の縮小は、規格の要求事項の意図に沿ったものとします。なお、統合審査において、一つまたは複数のマネジメントシステム規格に対する認証が縮小となる場合で、他のマネジメントシステム規格の認証に及ぼす影響があると判断した場合には、他のマネジメントシステム規格についても認証範囲の縮小を行うことがあります。
9.5 一時停止および解除の条件
a) 一時停止の決定後当社は、文書により被認証組織に通知します。
b) 認証は一時的に無効となりますので、その期間中は、当社認証マーク、認定シンボル（マーク）および登録を引用しているすべての文書、パンフレット類の使用または宣伝・広告を控えていただきます。
c) 当社は、認証の一時停止を受けた認証組織を当社のホームページに公開（公表）します。
d) 一時停止の解除は、現地にて是正処置の有効性の確認がされ、認証決定者の判定により決定されます。
e) 長期休止後の解除は、短期予告審査を行い確認します。一時停止の解除は、認証決定者の判定により決定されます。
9.6 取消しの処置
a) 取消しの決定後当社は、文書により該当認証組織に通知します。
b) 当社認証マーク、認定シンボル（マーク）および認証を引用しているすべての文書、パンフレット類の使用または宣伝・広告を速やかに中止し、適合証明証の使用も中止していただきます。また、マークおよびシンボルの清刷は、復帰し得ない形で消去していただきます。
c) 当社は、認証の取消しを受けた組織を当社のホームページに公開（公表）すると共に、当社の登録簿から抹消します。
d) 当社は、認証の取消しを受けた組織が適合証明証の使用中止を拒否し、認証が継続しているが如く行動している場合は法的措置を講じることがあります。
10 要求事項の変更
当社は、申請組織および被認証組織の方々に係わる審査認証サービスの要求事項を変更しようとする場合
は、事前に文書化して公表し、十分な予告期間をもって運用を開始いたします。
公表は、電子メールおよび／またはホームページで行います。各被認証組織は新しい要求事項に意見を表明することができます。当社は各被認証組織が新しい要求事項に適合していることを検証します。
11 機密保持11.1 方針
当社は、法的に拘束力のある合意により、委員会および組織運営機構のあらゆるレベルにおいて、認証活動の実施の過程に関わるすべての情報の機密を保護します。
11.2 当社は、公開の対象としようとしている情報を、事前に依頼者に知らせします。公開対象外の情報は、依頼者により公開されている情報を除いて、機密情報とみなします。
11.3 当社は、前 11.2 で公開した情報を除き、特定の依頼者または個人に関する情報を、関係する依頼者または個人の書面による同意なく第三者へ開示しません。当社が法律により機密情報を第三者へ提供することを要求された場合、関係する依頼者または個人に、法律により規制されない限り、当該情報の提供について事前に知らせます。
16 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

11.4 当社は、依頼者以外（例えば、苦情申立者、規制当局）から得た依頼者に関する情報は機密として取り扱います。
11.5 当社は、委員会メンバーを含むすべての要員に当社の活動の実施の過程で得られたすべての情報について機密を守らせます。
11.6 当社は、機密情報（例えば、文書、記録）の安全な取り扱いを確実にする設備および施設を利用可能とし、それらを活用します。
11.7 当社は、機密情報を、他の機関に利用できるようにする場合、このことをその依頼者に通知します。ただし、認定機関の審査による利用の場合は除きます。
12 費用の負担
依頼者は契約に基づき、当社の請求する審査認証に関する費用を負担しなければなりません。
被認証組織は、審査における当社の過失および認証の不確かさに起因して損失または損害を被ったことが立証され、当社が法律上の損害賠償責任を有する場合、当社に対して損害賠償を請求することができます。
ただし、審査認証に関する総費用を超えない範囲で立証された損失または損害の補償とします。
13 リモート審査
13.1 リモート審査とは、情報通信網、またはテレビ会議、Web 会議ツール等の ICT を利用し、離れた場所にある受審組織の事業所・営業拠点の状況を確認・審査するものです。これには、以下の形式（組み合わせを含める）があります。
・組織の審査対象拠点から、拠点内または他の拠点を審査する場合。
・組織の拠点を訪問せず、（例えば、当社本社・支社から）組織の拠点を審査する場合。
13.2 リモート審査の適用は以下のとおりです。
・初回認証審査については、第一段階および第二段階とも、適用しません。
・サーベイランス審査および再認証審査では、限定的な適用とし、現地審査を含めます。
・審査種別を問わず、拡大審査が含まれる場合、拡大部分については適用しません。
13.3 リモート審査の受審にあたっては、別途送付する申込書（情報セキュリティおよびデータ保護対策の合
意事項、ならびに必要なインフラを備えていることの確認など）をご提出願います。当社にて記載内容を確認・評価のうえ、リモート審査の適用が可能か否かのご回答を差し上げます。
13.4 リモート審査が可能と判断された場合は、審査準備として審査で確認する文書化した情報を事前に当社の指定する方法でご提出いただきます。
13.5 リモート審査開始後に、機器等のトラブルが発生した場合を含め、審査の目的が達成できないと判断した場合、リモート審査を打ち切り、別途追加の審査（訪問審査）を行う場合があります。
14

関連文書
・NKKKQA 認証マークの使用規則
・情報マネジメントシステム認定センター（ISMS-AC）の ISMS 認定シンボル使用規則
・異議申立て・苦情処理手順書
・料金表

17 / 19

I050/SS/01：2024/06/01

審査及び認証ガイダンス ISMS 編

15

認証活動のプロセス
審査費用見積のご依頼

審査認証の申請※申請受理前に事前確認を行う場合あり

申請の受理・契約の締結

第一段階審査初回認証審査※システム運用最低 3 ヶ月必要

第二段階審査認証決定者による審議

認証の取得
認証の維持（３年間）

サーベイランス審査（6 ヶ月または 1 年に 1 回）

再認証審査

18 / 19

I050/SS/01：2024/06/01