ISMS維持審査とは？更新審査との違い・毎回確認される8項目と有効期限のルール

ISMS維持審査は、ISMS（ISO/IEC 27001）認証を取った組織が、認証期間中に毎年受ける審査です。サーベイランス審査、継続審査とも呼ばれ、いずれも同じ審査を指します。この記事では、3年の認証サイクルの中で維持審査がいつ行われるか、更新審査と何が違うか、毎回必ず確認される項目と必要書類、有効期限を過ぎたときの扱い、認証が一時停止される条件までを、認証機関が従う国際規格の条文に沿って整理します。

まとめ：ISMS維持審査の頻度・確認項目・認証維持の条件

• 時期：1回目は認証決定日から12か月以内、以後は更新審査の年を除いて暦年に1回以上です（ISO/IEC 17021-1:2015 9.1.3.3）。
• 必ず見られるもの：内部監査とマネジメントレビュー、前回の不適合への処置、苦情対応、目標に対する有効性、継続的改善の進捗、運用管理、変更点、認証マークの使い方の8項目です。管理策は年ごとに一部を抽出して確認されます。
• 更新審査との違い：更新審査は有効期限（3年）の前にISMS全体を見直し、再認証の可否を決めます。重大な不適合の是正を期限前に確認できなければ、認証は延長されません。
• 認証を失う場面：軽微な不適合の指摘だけで直ちに認証が止まるわけではありません。維持審査を受けない、常態化した不適合や深刻な不適合がある、といった場合に一時停止となり、期限内に解消できなければ取消または範囲縮小になります。
• 2026年の前提：2013年版からの移行期限（2025年10月31日）は終わり、審査は27001:2022と気候変動の追補（Amd 1:2024）を前提に行われます。

維持審査の時期と3年認証サイクル

初回審査・維持審査・更新審査の並び

認証機関が従う規格ISO/IEC 17021-1:2015（国内はJIS Q 17021-1:2015）は、認証サイクルを「初回認証決定後の1年目と2年目にサーベイランス審査、3年目の有効期限前に再認証審査」と定めています。認証の全体像はISO27001とは？ISMS認証の全体像・2022年版の管理策と取得手順を実務目線で解説で扱っています。

更新後は同じ並びを繰り返します。担当者はまず、今年がサイクルの何年目かを登録証の有効期限から確認してください。

「12か月以内」と「暦年に1回」の2つの期限

1回目の維持審査は、認証決定日から12か月を超えてはならないと定められています。起点は審査を受けた日ではなく認証機関が認証を決定した日なので、決定日を認証機関からの通知で確かめておきます。2回目以降は「再認証の年を除き、少なくとも暦年に1回」です。受審月は毎年ほぼ同じ時期に固定されるため、社内の繁忙期と重なるなら、判定日から逆算して早めに認証機関と日程を相談します。

維持審査と更新審査・初回審査の違い

ISMSの審査工数は、ISMS認証機関向けの規格ISO/IEC 27006-1:2024（2024年3月1日発行）の附属書Cに基づいて、維持審査・更新審査それぞれについて認証機関が算定します。品質・環境・労働安全の審査工数を定めたIAF MD 5では、初回の3年サイクル中の維持審査を年間で初回審査の約1/3、再認証を「その時点で初回審査を行った場合の工数」の約2/3としており、規模感をつかむ参考になります。更新審査で重大な不適合が出た場合、有効期限までに是正と是正処置の実施を認証機関が確認できなければ、再認証は推薦されず認証の有効期間も延長されません（17021-1 9.6.3.2.4）。更新審査を期限ぎりぎりに組まず、是正に使える期間を残しておく理由はここにあります。

毎回確認される8項目とISMSで用意する記録

17021-1の9.6.2.2は、各サーベイランス審査に含めなければならない項目を列挙しています。維持審査で「今年はどこを見られるのか」と迷う必要があるのは管理策の抽出部分だけで、下の8項目は毎回対象になります。

この表の右列は、審査前にそろえる記録の例です。実際の準備では、認証機関の審査計画と資料依頼に照らして不足がないか確認します。必要書類としてよく挙がる適用宣言書とリスク対応計画は、g）とe）の確認材料として毎年求められます。内部監査の進め方はISMSの内部監査とは？目的・進め方から2022年改訂後の確認観点まで実務解説、報告書の書き方は内部監査報告書の書き方｜記載項目・文例とグローバル内部監査基準への対応が詳しく扱っています。

見落としやすいのはh）です。認証範囲が一部の部署や拠点なのに、会社全体が認証を受けているように読める表記をWebサイトに載せていると、維持審査で指摘の対象になります。

2022年版と気候変動追補で追加された確認点

ISO/IEC 27001:2022/Amd 1:2024（2024年2月23日発行）は、箇条4.1に「組織は、気候変動が関連する課題かどうかを決定しなければならない」という要求を、4.2に「関連する利害関係者は気候変動に関する要求事項を持ち得る」という注記を加えました。国内では2025年5月20日にJIS Q 27001:2023/AMENDMENT 1:2025として発行されています。求められているのは関連性の判断であり、環境対策の実施ではありません。「関連しない」と判断した場合も、その判断を組織の課題の検討記録に残しておくと、維持審査で説明できます。管理策の採否と適用宣言書の関係はISMSの管理策とは？ISO 27001:2022附属書Aの93項目と選定手順を実務目線で解説を参照してください。

受審月から逆算する準備スケジュール

a）の内部監査とマネジメントレビューは、維持審査までに一巡させておく必要があります。MRには監査結果や是正処置の状況を入力します。「リスクアセスメント見直し→内部監査→是正→MR」は準備の一例であり、規格がこの順序を固定しているわけではありません。

この目安は一例で、規格が月数を定めているわけではありません。ただ、MRを審査の前週に開くと、新たに決めた処置の実施状況を示す時間が限られます。継続的改善の進捗は、そのMRの決定事項だけでなく、それ以前からの改善活動も含めて説明します。年間の運用全体はISMS運用とは？2022年改訂後のPDCA・内部監査・更新審査まで実務手順を解説で扱っています。

担当者が交代したときの引継ぎと認証機関への連絡

ISMS事務局の担当者が1年で替わると、前任者しか知らない期限が抜け落ちます。引継ぎでは少なくとも次の5点を渡します。

• 登録証の有効期限と、1回目の維持審査の起点になった認証決定日
• 前回の審査報告書と、不適合・観察事項ごとの是正の状況
• 認証機関の担当窓口・契約内容・次回の受審予定月
• 最新の適用宣言書の版と、前回審査以降の変更履歴
• 内部監査員とMRの参加者の一覧

17021-1の8.5.3は、組織の法的地位や所有権、組織と管理層、連絡先と拠点、認証範囲の業務、マネジメントシステムの重大な変更などを、認証組織が遅滞なく認証機関へ通知するよう求めています。認証機関はこの通知を、法的に強制できる取決め（認証契約）で組織に求めることになっています。ISMSの管理責任者や連絡窓口が替わったら、次の審査を待たずに認証機関へ届け出ます。

審査当日の流れと現地審査・リモート審査

当日は、初回会議→トップマネジメントへのインタビュー→ISMS事務局への規格要求事項の確認→部門・現場の確認→審査員内部の総括→最終会議、という順で進むのが一般的です。細かな順番と時間割は、事前に届く審査計画書に書かれています。

現地審査に備え、面談者の不在と記録の所在不明を防ぐための準備をしておきます。計画書の時間割どおりに各部門の面談者を確保し、表の右列の記録について、保存先と閲覧権限を事前に確認し、審査員の求めに応じて提示できるようにします。現場では、机上の書類、施錠、入退室記録、画面ロックなど、手順書に書いたことが実際に行われているかを見られます。

リモート審査を併用するときの条件

リモート審査を含むICTの利用はIAF MD 4:2025（Issue 3、2025年1月30日発行、2026年1月30日適用）が定めています。ICTの利用は必須ではありませんが、使う場合は同文書への適合が必須で、利用前に審査する側とされる側が情報セキュリティとデータ保護の措置に合意しなければなりません。画面共有で機密情報をどこまで見せるか、録画の可否、使う会議ツールを事前に認証機関と決めておきます。サーバ室や執務エリアの物理的な管理策は、遠隔で十分な証拠が得られるかを認証機関が判断し、得られない部分は現地で確認します。

不適合の区分と一時停止・取消の条件

17021-1は、マネジメントシステムが意図した結果を達成する能力に影響する不適合を「重大な不適合」、影響しない不適合を「軽微な不適合」と定義しています。維持審査で軽微な不適合が出ても、その場で認証がなくなることはありません。認証機関が指定する期限までに修正・是正処置の計画を提出します。実施状況の確認時期と方法は、認証機関の手順や指摘内容に従います。重大な不適合は、認証機関が定める期限内に是正と是正処置の実施を確認してもらう必要があります。区分の判定例と是正処置報告書の書き方はISMSの不適合とは？重大・軽微の判定基準と是正処置報告書の書き方【2022年版対応】で解説しています。

認証の一時停止は、17021-1 9.6.5.2に次の場合が挙げられています。

• 認証されたマネジメントシステムに、有効性に関する要求事項を含む認証要求事項への常態化した不適合または深刻な不適合がある
• 求められた頻度でのサーベイランス審査や再認証審査を受け入れない
• 組織が自ら一時停止を求めた

一時停止期間は、規格の注記で「多くの場合6か月を超えない」とされています。その期間内に原因を解消できなければ、取消または認証範囲の縮小になります。維持審査の延期を繰り返して期限を越えることは、それ自体が一時停止の理由になります。

有効期限を過ぎたときの6か月ルール

更新審査が有効期限までに終わらなかった場合、17021-1 9.6.3.2.5により、期限切れから6か月以内に残りの再認証活動を完了すれば認証を復帰できます。6か月を過ぎると、少なくとも第2段階審査からやり直しです。復帰後の登録証の発効日は再認証の判定日以降となり、有効期限は従前の認証サイクルに基づきます。復帰日から新たに3年間有効になるわけではありません。有効期限から復帰までの間は有効な認証がない期間として残り、入札や取引先の審査で認証の有効性を求められたときに説明が必要になります。

審査工数と費用の決まり方

審査費用は、審査工数（人日）に認証機関の単価を掛けた額が中心です。ISMSの初回審査工数は、ISO/IEC 27006-1:2024附属書Cで、ISMSの管理下で働く実効人員数を出発点に、業務や技術の複雑さ、外部委託、拠点数などで増減させて決めます。維持審査はこの初回工数の一定割合になるため、人員が増えた、拠点を追加した、認証範囲を広げた、といった変化があると翌年以降の工数も増えます。変化はg）の「変更のレビュー」の対象でもあるので、見積もりの前に認証機関へ伝えておきます。

金額の相場や、コンサルタント費用・社内人件費まで含めた内訳はISMS認証の取得・維持にかかる費用｜審査・コンサル・人件費の内訳と相場【2025年版基準】、認証機関を比べる観点はISMS審査機関とは？認証機関との違い・選び方とISMS-AC認定の確認ポイント【2026年版】にまとめています。ISMS-ACの登録簿では、2026年9月28日時点で8,701組織がISMS認証を登録しています。

ISMS維持審査に関するよくある質問

ISMSの維持審査と更新審査は何が違うのですか？

維持審査は1年目と2年目に、決まった8項目と管理策の一部を確認して運用が続いているかを見る審査です。更新審査は3年目の有効期限前にISMS全体と3年間の実績を見直し、再認証するかを決めます。工数は維持審査のほうが少なく、ISMSではISO/IEC 27006-1:2024の附属書Cに基づいて認証機関が算定します。

ISMSの維持審査は毎年受けなければなりませんか？

受けなければなりません。1回目は認証決定日から12か月以内、その後は更新審査の年を除いて暦年に1回以上です。求められた頻度で維持審査を受けないことは、認証の一時停止の理由に挙げられています。

ISMSの維持審査で落ちることはありますか？

軽微な不適合が出ても、それだけで認証が失われることはありません。重大な不適合を期限内に是正できない場合や、常態化した不適合や深刻な不適合がある場合は一時停止となり、多くの場合6か月以内に解消できなければ取消または範囲縮小になります。

ISMSの維持審査の前にそろえる必要書類は何ですか？

内部監査報告書、マネジメントレビュー議事録、前回の不適合の是正処置記録、情報セキュリティ目的の達成状況、リスクアセスメント結果とリスク対応計画、適用宣言書、変更の記録です。17021-1が毎回の確認項目として定める8項目に対応しています。

ISMSの有効期限が切れたらどうなりますか？

更新審査が期限までに完了しなければ認証は延長されません。期限切れから6か月以内に残りの再認証活動を終えれば復帰できますが、発効日は再認証の判定日以降となり、期限切れから復帰までは認証のない期間になります。6か月を過ぎると少なくとも第2段階審査が必要です。

関連記事

• ISMS運用とは？2022年改訂後のPDCA・内部監査・更新審査まで実務手順を解説
• ISMSの内部監査とは？目的・進め方から2022年改訂後の確認観点まで実務解説
• ISMSの不適合とは？重大・軽微の判定基準と是正処置報告書の書き方【2022年版対応】
• ISMS認証の取得・維持にかかる費用｜審査・コンサル・人件費の内訳と相場【2025年版基準】
• ISMS審査機関とは？認証機関との違い・選び方とISMS-AC認定の確認ポイント【2026年版】