--- title: "ISMSの内部監査とは？箇条9.2の要求事項と進め方・管理策別の質問例" url: "https://www.issoh.co.jp/column/details/12645/" published: 2026-06-19 updated: 2026-10-11 categories: ["セキュリティ"] publisher: "株式会社一創" --- # ISMSの内部監査とは？箇条9.2の要求事項と進め方・管理策別の質問例 ISMSの内部監査とは、組織が自分で選んだ監査員によって、自社のISMS（情報セキュリティマネジメントシステム）がISO/IEC 27001と自社のルールに適合し、有効に実施されているかを確かめる活動です。根拠はISO/IEC 27001:2022（日本語版はJIS Q 27001:2023）の箇条9.2で、認証を受ける組織にとっては省略できない工程です。 この記事では、9.2.1と9.2.2が実際に何を要求しているか、認証機関の審査が内部監査のどこを見るか、計画から是正処置までの進め方、附属書Aの管理策ごとの質問と証拠の例、監査員の選び方を順に説明します。 ## まとめ｜ISMS内部監査で押さえる要求事項と進め方 - 9.2.1は「あらかじめ定めた間隔で」内部監査を行うことを求め、確認するのは規格と自社ルールへの適合と、有効に実施・維持されているかの2点です。回数は規定されていません。 - 9.2.2は監査プログラム（頻度・方法・責任・計画策定の要求事項・報告）を決め、監査ごとに監査基準と範囲を明確にし、客観性と公平性を確保できる監査員を選び、結果を関連する管理層へ報告することを求めます。 - 認証機関は初回認証の第二段階と、毎回の維持審査で内部監査を確認します（JIS Q 17021-1 9.3.1.3 e)・9.6.2.2 a)）。初回は内部監査とマネジメントレビューを実施し、記録を準備します。第一段階でも計画・実施状況が評価されるため、認証機関と準備日程を確認します。 - チェックリストは「箇条4〜10」と「適用宣言書（SoA）で採用した管理策」の2系統で作り、管理策ごとに見る記録を決めておくと、口頭の説明ではなく証拠で判定できます。 - 監査員に公的資格は要りません。必要なのは自分の仕事を監査しない配置と、規格と監査手法を理解した力量です。 ## ISMS内部監査の定義と箇条9.2の要求事項 2022年版では、2013年版で1つだった「9.2 内部監査」が「9.2.1 一般」と「9.2.2 内部監査プログラム」に分かれました。中身は大きく変わっていませんが、監査の記録の扱いが「保持する」から「利用可能な状態にする」へ書き換わっています。日本語版のJIS Q 27001:2023は2023年9月20日発行で、ISO/IEC 27001:2022と一致（IDT）です（[日本規格協会の規格詳細](https://webdesk.jsa.or.jp/books/W11M0090/?bunsyo%5Fid=JIS+Q+27001%3A2023)）。 ### 9.2.1が求める適合と有効性の確認 9.2.1は、ISMSが次の状況にあるかの情報を得るために、あらかじめ定めた間隔で内部監査を実施するよう求めています。 - a) 組織自体がISMSについて定めた要求事項と、規格の要求事項に適合している - b) 有効に実施され、維持されている a)は「決めたとおりにやっているか」、b)は「やっていることが目的に効いているか」です。たとえば、退職者のアカウントを3営業日以内に削除するという規程があり、記録上も全件が期限内なら、a)の適合は確認できます。ただし、棚卸しで期限を過ぎた未削除アカウントが見つかれば、a)の適合判定も見直します。b)では、削除期限を守る運用によって、退職後の不正利用リスクを十分に抑えられているかを確認します。内部監査がa)だけで終わると、記録はそろっているのに事故が減らない状態を見逃します。 ### 9.2.2の監査プログラムで決める事項 9.2.2は、監査プログラムを計画し、確立し、実施し、維持するよう求めています。プログラムには頻度、方法、責任、計画策定の要求事項と報告を含め、作るときは関連するプロセスの重要性と前回までの監査の結果を考慮します。そのうえで、組織は次の3つを行います。 - a) 各監査の監査基準と監査範囲を明確にする - b) 監査プロセスの客観性と公平性を確保するように監査員を選び、監査を実施する - c) 監査の結果を関連する管理層に報告する 最後に、監査プログラムの実施と監査結果の証拠として、文書化した情報を利用可能な状態にすることが求められます。審査では、年間計画、個別の監査計画、チェックリストの記入結果、報告書、是正処置の記録がこの証拠として提示を求められます。要求されるのはプロセスの重要性と前回までの監査結果を考慮することであり、その検討結果として全部署を同じ深さで監査する計画もあり得ます。実務では、前回不適合が出た部署、個人情報を扱う部署、システム変更があった部署を厚くすると、この考慮を計画の記録で示しやすくなります。 ## 認証審査が内部監査を確認する場面と外部監査との違い 内部監査は組織が自分で行う第一者監査、認証審査は認定を受けた認証機関が行う第三者審査です。両者は別物ですが、認証機関側の規格であるJIS Q 17021-1:2015（ISO/IEC 17021-1:2015と一致）が、内部監査そのものを審査の対象に入れています。 | 観点 | 内部監査 | 認証審査 | | ------- | --------------- | ----------------------------- | | 根拠 | JIS Q 27001 9.2 | JIS Q 17021-1・ISO/IEC 27006-1 | | 実施者 | 組織が選んだ監査員 | 認証機関の審査員 | | 頻度 | 組織が定めた間隔 | 再認証の年以外は暦年1回以上 | | 結果の行き先 | 管理層への報告・是正処置 | 認証の授与・維持・更新の判定 | | 内部監査の扱い | 監査を行う側 | 初回審査と維持審査で確認 | JIS Q 17021-1の9.3.1.3は、初回認証の第二段階で少なくとも審査する事項として「e) 内部監査及びマネジメントレビュー」を挙げています。9.6.2.2も、各サーベイランス（維持）審査に「a) 内部監査及びマネジメントレビュー」を含めるよう求めています。つまり審査員は毎回、監査プログラムが計画どおり進んだか、指摘が是正処置につながったかを記録で確かめます。ISMSの認証機関には、17021-1に加えてISMS固有の追加要求事項であるISO/IEC 27006-1:2024（2024年3月1日発行）が適用されます。 頻度について「年1回以上」が規格の要求だと説明されることがありますが、9.2.1の文言は「あらかじめ定めた間隔」です。年1回が多いのは、維持審査が暦年1回以上（17021-1 9.1.3.3）で、その前に1巡させると審査で示す実績がそろうためです。年間計画の組み方は[ISMS運用とは？取得後の年間スケジュールと必須記録・運用体制](/column/details/12606/)で扱っています。各回の維持審査で確認される8項目は[ISMS維持審査とは？更新審査との違い・毎回確認される8項目](/column/details/12607/)にまとめました。 ## ISMS内部監査の進め方｜計画から是正処置・マネジメントレビューまで ### 監査プログラムと個別監査計画の作り方 監査プログラムでは、ISMSの適用範囲を対象に、プロセスの重要性と過去の監査結果を踏まえて監査の頻度・対象・担当者を決めます。全部署・全プロセスを毎年一巡する計画は、その組み方の一例です。数年かけて一巡させる場合は、どの期間で適用範囲全体を見るかを監査プログラムに書いておくと、範囲の網羅を説明できます。個別の監査計画には、目的、監査基準（規格の箇条、社内規程、SoA）、範囲（部署・拠点・システム）、日時、監査員と被監査部門の担当者、前回指摘の確認事項を書き、被監査部門と実施日程を調整します。例えば1〜2週間前に通知する運用が考えられますが、通知期限や抜き打ち監査の一律禁止はISO/IEC 27001の要求事項ではありません。事前に被監査部門に記録を準備してもらうことで、限られた時間を証拠の確認に使えます。 ### 現地監査での証拠の集め方と所見の区分 現地監査は、文書の確認、担当者へのインタビュー、現場の観察（画面や執務室）を組み合わせます。判定では、規程自体の要求事項への適合も確認し、運用記録、検証可能な説明、現場観察の結果を監査基準と照合します。チェックリストには「問題なし」とだけ書かず、見た記録の名称・日付・件数（例：アクセス権棚卸し記録 2026年9月分、対象412アカウント中、削除漏れ0件）を残します。 所見は、監査基準に対する「適合」と「不適合」に分け、不適合ではないが改善できる点は「改善の機会」として別に記録します。不適合は、どの要求事項（箇条番号や管理策番号）に対して、どの事実が満たしていないかを1件ずつ書きます。重大・軽微の判定の考え方と是正処置報告書の書き方は[ISMSの不適合とは？重大・軽微の判定基準と是正処置報告書の書き方](/column/details/12603/)を参照してください。 ### 報告・是正処置（10.2）とマネジメントレビュー（9.3）への接続 監査結果は9.2.2 c)に従って関連する管理層へ報告します。報告書には、監査の目的・範囲・基準、実施日と監査員、所見の一覧、結論を入れます。項目と文例は[内部監査報告書の書き方｜記載項目・文例](/column/details/12526/)が詳しく扱っています。 不適合には箇条10.2「不適合及び是正処置」で対応します。2013年版では不適合及び是正処置が10.1でしたが、2022年版では10.1が継続的改善、10.2が不適合及び是正処置に入れ替わっています。その場の修正（削除漏れのアカウントを消す）で終えず、原因を特定して再発を防ぐ処置（退職連絡を人事システムから自動でアカウント管理者へ通知する等）まで取り、処置の内容とリスクに応じて効果確認の期限を定め、必要なら次回の定期監査を待たずに、その処置が効いたかを確認します。監査結果はマネジメントレビューのインプットに含まれる事項（9.3.2）なので、トップマネジメントが資源配分やルール改定を判断する材料として上げます。 ## 93管理策に沿ったチェックリストの作り方と質問例 ### 箇条4〜10と採用管理策に基づくチェックリストの設計 チェックリストは2つに分けると漏れが減ります。1つは本文の要求事項（箇条4〜10）で、リスクアセスメント（8.2）、情報セキュリティ目的（6.2）、力量（7.2）、文書化した情報（7.5）などを、全組織共通の項目として事務局や管理部門で確認します。もう1つは附属書Aの管理策です。2022年版の附属書Aは93管理策で、組織的37・人的8・物理的14・技術的34の4分類です。管理策の確認項目はSoAに基づいて作り、附属書A以外に独自に採用した管理策も含めて、管理策ごとに担当部署を割り当てます。汎用の雛形を使う場合も、自社のSoAに合わせて調整します。採用していない管理策についても、リスクや業務の変化を踏まえ、SoAに記載した除外理由が引き続き妥当かを確認します。管理策の選び方は[ISMSの管理策とは？ISO 27001:2022附属書Aの93項目と選定手順](/column/details/12604/)で解説しています。 ### 管理策ごとの質問と確認する証拠の例 「ルールはありますか」と聞くと「あります」で終わります。質問は「いつ・誰が・どの記録で」を答えさせる形にし、確認する証拠を事前に決めておきます。 | 管理策 | 質問例 | 確認する証拠 | | ----------------------- | ------------------------------------- | ------------- | | 5.18 アクセス権 | 直近の退職者のアカウントはいつ削除しましたか | 退職者一覧と削除ログの日付 | | 5.23 クラウドサービス | 新しいSaaSの利用は誰が承認しましたか | 利用申請と評価の記録 | | 6.3 教育及び訓練 | 今年度の未受講者は何名で、どう対応しましたか | 受講記録と督促の記録 | | 8.8 技術的ぜい弱性 | 前回の診断で出た高リスクはいつ直しましたか | 診断報告書と修正チケット | | 8.13 バックアップ | 最後に復元テストをしたのはいつですか | 復元テストの記録 | | 5.26 情報セキュリティインシデントへの対応 | 直近のインシデントでは、定めた手順に沿って誰がどのように初動対応しましたか | インシデント記録 | 8.8では、ぜい弱性診断の結果に対してリスクを評価し、必要な対応を実施したかを確認します。対応期限や実施記録は、その判断材料になります。外部の[脆弱性診断・セキュリティ診断](/service/system/vulnerability/)を使っている場合も、報告書を受け取った日から修正完了までの記録を監査証拠として確認します。8.8の運用と審査の証跡は[ISMSにおける脆弱性とは？管理策8.8の運用・審査の証跡](/column/details/12542/)にまとめています。 2022年版で新設された11管理策（5.7 脅威インテリジェンス、5.23 クラウドサービスの利用における情報セキュリティ、5.30 事業継続のためのICTの備え、7.4 物理的セキュリティの監視、8.9 構成管理、8.10 情報の削除、8.11 データマスキング、8.12 データ漏えいの防止、8.16 監視活動、8.23 ウェブフィルタリング、8.28 セキュアコーディング）は、採用状況に加えて運用実績を確認する対象です。SoAで採用しているなら、規程の制定日だけでなく運用開始後の記録が何か月分あるかを見ます。 ### ISO/IEC 27007とTS 27008の使い分け 監査一般の指針はISO 19011で、2026年5月27日に第4版（ISO 19011:2026）が発行されました。国内のJIS Q 19011は2026年10月時点でも2019年版（ISO 19011:2018に一致）が現行です。19011の原則と2026年版の変更点は[ISO内部監査とは｜ISO 19011:2026に沿った進め方](/column/details/12626/)で扱っています。 ISMSに特化した監査の指針はISO/IEC 27007です。現行は2020年1月21日発行の第3版で、19011に加えてISMS監査プログラムの管理、監査の実施、ISMS監査員の力量について指針を示しています（[ISO/IEC 27007:2020](https://www.iso.org/standard/77802.html)）。これとは別に、管理策そのものの実装と運用を技術面まで評価する指針がISO/IEC TS 27008:2019です（[ISO/IEC TS 27008:2019](https://www.iso.org/standard/67397.html)）。マネジメントシステムが回っているかを見るのが27007、ファイアウォールの設定やログの取得といった管理策が技術的に効いているかを見るのが27008、という分担です。内部監査の時間が限られる組織では、27007に沿ってISMS全体を監査し、技術的な確認は重点の数管理策に絞るのが現実的です。 ## 内部監査員の選び方｜独立性・力量と資格の扱い ### 自分の仕事を監査しない配置と小規模組織での確保策 9.2.2 b)が求めるのは、監査プロセスの客観性と公平性です。自分が担当する業務の自己評価は避け、対象業務から独立した監査員を配置します。同じ部署に所属しているというだけで要求を満たさないわけではありませんが、部署間で監査員を交差させる（情報システム部が総務部を、総務部が情報システム部を監査する）と独立性を説明しやすくなります。従業員が数十名で交差が組めない場合は、監査対象の業務に関与していない役員や他拠点の担当者を充てる、ISMS事務局の業務だけは外部の専門家に監査を委託する、といった方法で、事務局が自分の作った仕組みを自分で評価する状態を避けます。 ### 内部監査員の力量要件と研修・登録資格の位置付け ISO/IEC 27001に内部監査員の資格要件はありません。求められるのは7.2の力量で、必要な力量を決め、教育や経験で身につけさせ、その証拠を文書化した情報として残すことです。外部の内部監査員研修の修了証は、この証拠として使えます。より客観的に示したい場合は、JRCA（マネジメントシステム審査員評価登録センター）の「MS内部監査員評価登録制度」にISMSの区分があり、ISMS内部監査員として評価・登録を受けられます（[JRCAの制度案内](https://www.jrca-jsa.or.jp/jrca/jrca%5Fseido%5Fb4/)）。選定では資格の有無より、要求事項と自社の業務を理解し、記録から事実を確かめる質問ができるかを重視します。 ## 2022年改訂と気候変動追補で更新する監査観点 ISMS適合性評価制度では、ISO/IEC 27001:2013から2022年版への移行期限が2025年10月31日で、期限までに移行しなかった2013年版の認証は失効する扱いです。内部監査で確認したいのは、チェックリストとSoAが旧版の114管理策の番号のまま残っていないかです。旧番号のチェックリストを使い続けると、新設11管理策がそもそも質問に入りません。 もう1つは気候変動の追補です。ISO/IEC 27001:2022/Amd 1:2024（2024年2月23日発行）は、4.1に「組織は，気候変動が関連する課題かどうかを決定しなければならない。」を、4.2に「関連する利害関係者は，気候変動に関する要求事項をもつ可能性がある。」という注記を加えました。日本語版はJIS Q 27001:2023/AMENDMENT 1:2025として2025年5月20日に発行されています。環境対策の実施を求める追補ではないため、内部監査では、気候変動の関連性を検討したか、その判断に根拠があるかを確認します。関連すると判断した場合は、ISMSへの反映も確認します。判断理由を記録に残すと、確認しやすくなります。 ## 形骸化する内部監査の典型と被監査部門の準備 形骸化を疑うきっかけは、毎年同じ部署を同じチェックリストで見ている、不適合の是正処置が「担当者に注意した」で閉じている、指摘ゼロが何年も続く、といった状態です。指摘ゼロそのものは問題ではありません。インシデントや業務変更があったのに、監査対象・質問・抽出した記録が前年と変わっていない場合に、監査の深さを見直します。監査の重点部署を前回の結果とリスクで毎年入れ替え、是正処置は原因と再発防止策が書かれていなければ受け付けない運用にすると、9.2.2の「前回までの監査の結果を考慮」にも沿います。 監査を受ける側は、担当業務の規程の最新版、運用の記録（申請・承認、アクセス権の棚卸し、教育の受講）、前回指摘の是正状況、直近のインシデント対応記録を、監査当日に画面ですぐ出せる状態にしておきます。守れていない項目は隠さず伝える方が、原因に踏み込んだ是正処置につながり、審査で同じ事象を指摘されるより影響が小さく済みます。 ## よくある質問 ### ISMSの内部監査は誰がやるのですか？ 組織が選んだ社内の監査員が行うのが一般的です。監査対象の業務から独立した監査員を配置するのが基本で、客観性と公平性を確保できれば、部署間で交差させても、外部の専門家に委託しても構いません。公的資格は必須ではありませんが、力量の証拠（研修記録など）は残します。 ### ISMSの内部監査の頻度はどれくらいですか？ ISO/IEC 27001は「あらかじめ定めた間隔で」と定めるだけで、回数は規定していません。維持審査が再認証の年以外は暦年1回以上行われ、そのたびに内部監査が確認されるため、年1回以上を計画する組織が多くなっています。リスクの高い部署だけ半年ごとに監査するなど、間隔を部署ごとに変えることもできます。 ### 初回の認証審査の前に内部監査は必要ですか？ 必要です。JIS Q 17021-1は、第一段階で内部監査とマネジメントレビューが計画され実施されているかを評価し（9.3.1.2.2 g)）、第二段階でもこの2つを審査するよう定めています（9.3.1.3 e)）。第一段階までに、適用範囲全体を対象とした内部監査を1回以上行い、その結果をマネジメントレビューに上げた記録をそろえておきます。 ### 外部審査（認証審査）ではどんな質問をされますか？ 内部監査そのものについては、監査プログラムは適用範囲を網羅しているか、監査員の独立性はどう確保したか、前回の不適合の是正処置は効果を確認したか、といった質問が典型です。管理策については、内部監査と同じく記録の提示を求められるため、本記事の質問例の表で事前に自己点検しておくと対応しやすくなります。 ### ISMSの内部監査を外部に委託してもよいですか？ 委託できます。9.2.2が求めるのは客観性と公平性の確保で、監査員が社員であることは求めていません。ただし委託しても監査プログラムを決め、結果を管理層に報告し、是正処置を行う責任は組織に残ります。委託先の報告書を受け取るだけで終えず、是正処置とマネジメントレビューまで自社で回します。 ## 関連記事 - [ISMS運用とは？取得後の年間スケジュールと必須記録・運用体制【2022年版対応】](/column/details/12606/) - [ISO内部監査とは｜ISO 19011:2026に沿った進め方・チェックリストと規格別の違い](/column/details/12626/) - [ISMSの不適合とは？重大・軽微の判定基準と是正処置報告書の書き方・記入例](/column/details/12603/) - [ISMS維持審査とは？更新審査との違い・毎回確認される8項目と有効期限のルール](/column/details/12607/) - [ISMSの管理策とは？ISO 27001:2022附属書Aの93項目と選定手順を実務目線で解説](/column/details/12604/) --- 出典: [ISMSの内部監査とは？箇条9.2の要求事項と進め方・管理策別の質問例]()（株式会社一創）