【情報セキュリティマネジメント】内部監査とマネジメントレビュー、分かれ目は「確かめるか、判断するか」｜客観性・実施時期・パフォーマンス評価・システム監査

2026.08.27

内部監査とマネジメントレビューは、どちらもISMSのパフォーマンス評価に関係しますが、同じ活動ではありません。

見分ける中心は、要求事項への適合や運用状況を証拠に基づいて確かめる活動か、得られた情報を基にトップマネジメントがISMS全体を評価し、改善や変更を判断する活動かです。

この記事では、内部監査、マネジメントレビュー、システム監査を、主体・目的・結果で整理します。

読み終えるころには、事例の活動が証拠に基づいて確かめる監査なのか、経営として判断するレビューなのかを切り分け、監査員の客観性が確保されているかを判断できるようになります。

先に結論：監査は確かめ、レビューは経営として判断する

活動 主体・立場 主な目的 主な結果
ISMSの内部監査 客観性・公平性を確保できる監査員 ISMSが要求事項に適合し、有効に実施・維持されているかを確認する 監査結果を記録し、関係する管理者へ報告する
マネジメントレビュー トップマネジメント ISMSが引き続き適切・妥当・有効であるかをレビューする 継続的改善の機会、ISMSの変更の必要性について決定する
システム監査 専門性・客観性を備えた監査人 ITシステムの利活用に関するガバナンス・マネジメント・コントロールを監査目的に照らして検証・評価する 保証又は改善のための助言を行う

内部監査とマネジメントレビューを「誰が社内にいるか」だけで分けるのではなく、何を確かめ、誰が判断する活動なのかを確認します。

1．内部監査：ISMSの適合性と運用状況を確かめる

JIS Q 27001に基づく内部監査では、ISMSが次の状態にあるかを確認します。

  • 組織が自ら定めたISMSの要求事項に適合している
  • JIS Q 27001の要求事項に適合している
  • 有効に実施され、維持されている

例えば、退職者アカウントを所定の期限までに停止するという組織内の要求があるのに、実際には処理されていなければ、事故が起きていなくても監査上の確認対象になります。

内部監査は、単に「手順どおりか」だけを見る活動ではありません。要求事項への適合に加え、ISMSが有効に実施・維持されているかも確認します。

2．内部監査は、あらかじめ定めた間隔で行う

内部監査は、重大事故が起きた場合だけに実施するものではなく、あらかじめ定めた間隔で実施します。

監査プログラムを定めるときは、例えば次を考慮します。

  • 対象となるプロセスの重要性
  • 組織へ影響する変更
  • 過去の監査結果
  • 監査の頻度・方法・責任・計画・報告

大きな変更や問題の発生を踏まえて監査プログラムを見直すことはありますが、「事故がなければ監査しない」という考え方は適切ではありません。

なお、「監査プログラム」「監査証拠」「監査基準」という用語名自体は、SGシラバスVer.4.1の用語例には明示されていません。本記事では、内部監査の実施と客観性を理解するための関連知識として扱います。

3．内部監査では客観性と公平性を確保する

監査員は、監査プロセスの客観性と公平性を確保できるように選定します。

自分が設計・運用した業務を自分だけで監査し、その結論まで自分で決める構成は、偏りや利益相反を生じやすくなります。

組織の規模や体制に応じて、例えば次の方法を検討します。

  • 担当業務が異なる者を監査員にする
  • 他部門との相互監査を利用する
  • 明確な監査基準と監査証拠に基づいて評価する
  • 必要に応じて外部の専門家へ内部監査の実施を依頼する

「内部監査」という名称は、監査員が必ず自社の従業者でなければならないという意味ではありません。外部専門家へ実施を依頼する場合でも、組織自身のISMS内部監査として行われることがあります。

重要なのは所属ではなく、客観性・公平性を保った監査プロセスになっているかです。

4．マネジメントレビュー：トップマネジメントがISMS全体を評価する

マネジメントレビューでは、トップマネジメントが、ISMSが引き続き適切・妥当・有効であることを確実にするためにレビューします。

経営陣が内部監査をやり直したり、現場のアラートを自ら一次分析したりする活動ではありません。

監査や運用から得られた情報を俯瞰し、ISMS全体として改善や変更が必要かを判断します。

マネジメントレビューで考慮する主な情報

  • 前回のマネジメントレビューで決めた処置の状況
  • ISMSに関係する内部・外部の課題の変化
  • 利害関係者のニーズ・期待の変化
  • 情報セキュリティパフォーマンスに関するフィードバック
  • 情報セキュリティ目的の達成状況
  • 監視・測定の結果
  • 内部監査の結果
  • 不適合と是正処置の傾向
  • 利害関係者からのフィードバック
  • リスクアセスメント結果とリスク対応計画の状況
  • 継続的改善の機会

レビューの結果として、継続的改善の機会と、ISMSを変更する必要性について決定します。

方針、目的、資源、プロセスなどの具体的な見直しは、こうした決定を実施する中で必要に応じて生じます。

5．内部監査とマネジメントレビューは別の活動としてつながる

内部監査の結果は、マネジメントレビューで考慮する情報の一つです。

例えば、

内部監査で適合状況や運用状況を確認する
→ 監査結果を記録し、関係する管理者へ報告する
→ 不適合があれば、必要な修正・是正処置につなげる
→ 内部監査の結果や是正処置の状況をマネジメントレビューで考慮する
→ トップマネジメントが改善・変更の必要性を判断する

という関係があります。

ただし、全ての案件が必ずこの順番だけで進むわけではありません。マネジメントレビューは、内部監査以外にも監視・測定、リスク、利害関係者からのフィードバックなどを考慮します。

不適合・修正・是正処置の詳しい違いは「ISMSのPDCAと運用」の記事で扱います。

6．ISMSの内部監査とシステム監査は別の切り口

システム監査は、経済産業省の「システム監査基準」に基づき、専門性と客観性を備えた監査人が、ITシステムの利活用を一定の基準に照らして検証・評価し、保証又は改善のための助言を行う監査です。

ISMS内部監査との違いは、監査人が社内か社外かだけでは判断できません。

  • ISMS内部監査：ISMSの要求事項への適合と、有効な実施・維持を確認する
  • システム監査：ITシステムの利活用に関するガバナンス・マネジメント・コントロールを監査目的に照らして検証・評価する

システム監査を組織内部の監査部門が行うこともあります。反対に、ISMS内部監査の実施を外部専門家へ依頼することもあります。

したがって、目的・対象・判断基準を確認します。システム監査の計画、監査証拠、報告、フォローアップなどの詳細は「システム監査の流れ」の記事で扱います。

7．科目Bでの使われ方

科目Bでは、規格の条項ではなく、その活動が確かめる側なのか判断する側なのかを見分ける材料として使われます。

事例文の合図 確認すること
昨年は大きな事故がなかったので内部監査は見送った あらかじめ定めた間隔で実施しているか
担当者が自分の運用状況を点検し、問題なしと報告した 監査プロセスの客観性・公平性が確保されているか
経営会議で内部監査の指摘を一つずつ再確認した マネジメントレビューとして何を決めるべきか
小規模なので独立した監査員は置けない 相互監査や外部専門家など、規模に応じた方法を検討したか

担当者としては、監査で不適合を見つけた場合、口頭注意で済ませず記録して関係する管理者へ報告し、必要な修正・是正処置につなげます。自分の担当業務が監査対象に含まれる場合は、独断で結論を出さず上位者へ相談します。

次の順で確認します。

  1. トップマネジメントがISMS全体を評価しているか

→ マネジメントレビューを考えます。

  1. 監査証拠に基づき、ISMSの適合性・実施状況を確認しているか

→ ISMS内部監査を考えます。

  1. 監査員の客観性・公平性が確保されているか

→ 自分の業務を自分だけで評価する構成になっていないか確認します。

  1. ITシステムの利活用を監査目的に照らして検証・評価しているか

→ システム監査を考えます。

  1. 監査結果が報告・改善・経営判断につながっているか

→ 監査、是正処置、レビューの役割を混同していないか確認します。

よくある取り違え

誤った理解 正しい整理
内部監査は重大事故が起きたときだけ行う あらかじめ定めた間隔で実施する
内部監査は必ず自社の従業者が行う 外部専門家へ実施を依頼する場合もある
小規模組織なら客観性・公平性は不要 規模に応じた方法で客観性・公平性を確保する
マネジメントレビューは内部監査のやり直し トップマネジメントがISMS全体を評価し、改善・変更を判断する
レビューの材料は内部監査結果だけ パフォーマンス、リスク、利害関係者のフィードバックなども考慮する
内部監査とシステム監査は監査員の所属で区別する 目的・対象・判断基準で区別する
監査で不適合を見つけたら口頭注意だけでよい 監査結果を記録・報告し、必要な対応へつなげる

まとめ

  • ISMS内部監査は、要求事項への適合と有効な実施・維持を確認する
  • 内部監査はあらかじめ定めた間隔で実施する
  • 監査員の選定では客観性と公平性を確保する
  • 外部専門家へISMS内部監査の実施を依頼することもできる
  • マネジメントレビューはトップマネジメントがISMSの適切性・妥当性・有効性を評価する活動
  • マネジメントレビューの結果では、継続的改善の機会とISMS変更の必要性について決定する
  • 内部監査結果はマネジメントレビューの重要な材料の一つ
  • ISMS内部監査とシステム監査は、監査人の内外ではなく目的・対象・基準で区別する

関連記事

  • C3-T01：情報セキュリティガバナンスと組織体制
  • C3-T03：ISMSとJIS Q 27001・27002
  • C3-T05：ISMSのPDCAと運用
  • C3-T08：認証・評価制度
  • C10-T05：システム監査の流れ

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 日本規格協会「JIS Q 27001:2023」
  • 日本規格協会「JIS Q 27001:2023/AMENDMENT 1:2025」
  • JIPDEC「ISMSユーザーズガイド JIS Q 27001:2023（ISO/IEC 27001:2022）対応」
  • 経済産業省「システム監査基準」（令和5年4月26日改訂）

関連する問題

コメント

タイトルとURLをコピーしました