情報マネジメントシステム（IMS）

マネジメントシステム認証に関する基本的な考え方－

不正行為を行っていた事実が判明した

被認証組織に対する認証機関による処置－

JIP-IMAC120-2.02024 年 3 月 28 日
一般社団法人情報マネジメントシステム認定センター（ISMS-AC）〒106-0032

東京都港区六本木一丁目９番９号
六本木ファーストビル内

Tel.03-5860-7570
Fax.03-5573-0564
URL https://isms.jp/
ISMS-AC の許可なく転載することを禁じますJIP-IMAC120-2.0

改版

版数

制定／改訂日1.0

2010.2.10

初版

1.0a

2011.4.1

協会名称の変更

履

歴

改定箇所（改訂理由）

文書の意図が正確に理解され、適切に認証
1.1

2011.7.20

審査に反映されるよう、文書名及び本文の一部を修正

1.1a

2011.12.26

協会住所、電話・FAX 番号の変更

2.0

2024.3.28

参照している規格の表記を変更
IAF MD7:2023, IAF ID15:2023 発行に伴い「故意の虚偽説明」を「不正行為」に表記を変更

1

備考JIP-IMAC120-2.0

目
1.

目的

2.

発行の背景

3.

関連文書

4.

不正行為が行われたか否かの確認

4.1

不正行為とは

4.2

確認開始の起点

4.3

不正行為か否かの判断

5.

不正行為が確認された場合の処置

5.1

機関の手順

5.2

機関の処置

5.3

申請の受理の制限

5.4

本センターの対応

付表 1

次

不正行為に関する調査において機関が確認すべき事項の例及び考え方(参考)2

JIP-IMAC120-2.0

１．目的
この文書は、マネジメントシステム認証を受けた組織（以下、組織という）が認証に関して不正行為を行っていた事実が判明した場合に、マネジメントシステム認証機関（以下、機関という）が取るべき処置の基本的な考え方を示すことを目的とする。
２．発行の背景「マネジメントシステム規格認証制度の信頼性確保のためのガイドライン」において示された、不正行為(注)を行い認証された組織に対して機関としての対応方針を明確にする
ことは、マネジメントシステム規格認証制度全体の信頼性向上に寄与するものであるとの指針をうけ、具体的な対応に関する一般社団法人情報マネジメントシステム認定センター（以下、本センターという）の基本的な考え方を提示するものである。
(注)ガイドライン原文では「故意の虚偽説明」
３． 関連文書
マネジメントシステム規格認証制度の信頼性確保のためのガイドライン（経済産業省
2008 年 7 月 29 日公表）
JIS Q 17021-1(ISO/IEC 17021-1)

適合性評価－マネジメントシステムの審査及び認証を行う機関に対する要求事項

JIS Q 27006 (ISO/IEC 27006)

情報技術－セキュリティ技術－情報セキュリティマ
ネジメントシステムの審査及び認証を行う機関に対する要求事項

ISO/IEC 27006-1

Information security, cybersecurity and privacy protection －Requirements for bodies providing audit andcertification

ofinformationsecurity

management systems Part 1: General
４．不正行為が行われたか否かの確認
4.1

不正行為とはこの文書における「不正行為」とは、「認証の規則の意図的な違反につながる、関連する利害関係者への意図的な不実表示、情報の隠蔽、虚偽の情報の提供」を指す。
4.2

確認開始の起点

機関が調査に入る端緒は、例えば次のような事項が考えられる。
a）組織から自発的な公表があった場合
b）行政機関等が組織の法令違反を指摘した場合
c）第三者から有力な情報提供があった場合

3

JIP-IMAC120-2.0d）何らかの客観的な証拠により、不正行為があった可能性があると判断された場合
4.3

不正行為か否かの判断

行為が意図的になされたか否かの判断は容易ではない。不正行為が組織的に行われた場合は、「意図的」であったと判断しうるが、判断の基準を一律に定めることは困難であり、機関は、個別の事象に応じて慎重に判断する必要がある。付表 1 に機関が確認すべき事項の例及び考え方を示す。
５．不正行為が確認された場合の処置
5.1

機関の手順

機関は、不正行為が判明した場合の処置について、自機関内の手順及び組織との契約書に明記するなど、事象発生時の対応方針と手順を明確にしておく。
5.2

機関の処置

認証の判定に重大な影響を与えるような不正行為があったと判断された場合は、機関は JIS Q 17021-1 9.6.5 に基づき当該認証の一時停止又は取消しを行う。
機関は、不正行為によって認証を取り消した組織の情報を、本センターに連絡するとともに、認証取消し後 1 年間又は該当組織が新たに認証されたことが確認されるまでの間のいずれか短い期間公表する。
5.3

申請の受理の制限

不正行為によって認証を取り消された組織に対しては、その後認証取消し事由を解消し再発防止が十分行われるまで、認証を取り消した機関のみならず、他の機関も認証申請を受理しない。申請を受理しない期間は、通常１年間程度必要と想定される。ただし、実際にどの程度の期間が必要かは個別事象ごとに異なりうるため、具体的な期間設定は、申請を受理する機関の判断による。
なお、機関は、不正行為によって認証を取り消された組織の申請を受理した場合、その情報を本センターに連絡する。
5.4

本センターの対応
a）本センターは、上記 5.3 の申請を受理した機関の直近の認定審査時に、当該案件に関連する機関の判断内容の確認を行う。
b）5.2 及び 5.3 で連絡を受けた組織の情報を一元管理し、機関が利用できるようにする。

4

JIP-IMAC120-2.0

付表 1

被認証組織による不正行為に関する調査において認証機関が確認すべき事項の例

及び考え方
（参考）
項目

ケース

調査・確認の例

認証申請書記載 事実と異なる記載があった 審査員が現地審査で重要情報を事項

場合事実確認し、事実と異なる記載は訂正される。訂正されなかった場合、不正行為の扱いとなる。

事後の変更の報告がなかっ 上記に同じ。
た場合審査時の説明資 審査後も機関が保管してい 資料が手元にあれば、不正行為の料る場合立証が可能。

組織に返却した場合資料が手元に無い場合でも、対象資料が特定できれば不正行為の立証が可能。

審査員の記録

審査報告書確認されれば、不正行為の立証が可能。

メモ、チェックリストなど対象･書類番号などが特定され、事実を確認することができれば、不正行為の立証が可能。

記録が無い場合対象の事実が特定され、事実を確認することができれば、不正行為の立証が可能。

審査員が確認を 審査計画の範囲外

審査計画の範囲外は、組織側の準しなかった項備もないので対象外。

目、事実審査計画範囲内だが審査員 申請書やその他の提出書類で特が確認しなかった場合定できれば、不正行為の立証が可能。

実態の隠蔽

例：

客観的証拠によって隠蔽の事実記録･対象物などを他所に が確認されれば、不正行為の立証移す。

が可能。

審査期間中、工程を止める。
※行為が意図的であるかどうかの判定には慎重な確認が必要である。偶然に発生した又は理解不足による過誤などの記載間違い、説明間違いは含まれない。

5