プライバシーマークとISMS、取得を決める前に総務が確かめる維持費と更新審査

PマークとISMSは別物。どちらを求められているかで決める

名前が並べて語られますが、守る対象も運用の重さも違います。

• プライバシーマーク（Pマーク）は、個人情報の取り扱いに絞った制度です。日本国内の制度で、ロゴマークが広く知られているため、消費者向けの取引や、個人情報を預かる業務の受託で求められやすい傾向があります。

• ISMS認証（ISO/IEC 27001）は、個人情報に限らず会社が扱う情報資産全般を対象にした国際規格です。取得する範囲（部署や拠点、事業）を自社で決められるのが大きな違いです。システム開発や受託業務、官公庁の入札で条件になることがあります。

総務がまず確かめるのは、自社の売上に関わる取引先が、契約書や取引基本契約の要求事項でどちらを指定しているかです。営業から「取引先に言われた」と伝わってくる話は、実際にはセキュリティチェックシートへの回答で足りる場合もあります。メールや書面の原文を取り寄せ、「Pマークが必須」なのか「同等の管理体制があればよい」なのかを文字で確認してください。ここを確かめずに走ると、両方取る話になったり、不要な範囲まで認証を広げたりします。

取得費用より、2年目以降の維持費のほうが効いてくる

稟議で見落とされやすいのが、取得した後に毎年かかる費用です。見積に出てくるのは初年度のコンサルティング料と審査費用が中心ですが、認証は維持するものです。

継続してかかるものには、おおむね次のようなものがあります。

• 審査機関に払う費用。Pマークは有効期間が2年で更新審査がある制度、ISMSは認証の有効期間が3年で、その間に毎年の維持審査（サーベイランス）がある運用が一般的です。周期や費用は制度と審査機関で違うので、必ず公式の案内と見積で確認してください。

• コンサルティング会社との継続契約。取得支援だけの契約と、取得後の運用支援まで含む契約があります。後者は月額や年額で続きます。

• 年1回以上の内部監査とマネジメントレビュー（経営層による見直し）、全従業員への教育の実施。外部に出さなければ費用は出ませんが、その分は人の時間で払うことになります。

• 従業員が増えたとき、拠点が増えたときの審査費用の変動。

稟議書は「初年度いくら」ではなく、「初年度」「2年目」「更新年」の3本立てで出してください。更新年に費用が跳ね上がって経営が驚く、という形が一番こじれます。

審査で止まるのは規程の文章ではなく、運用の記録

文書の雛形はコンサルや審査機関の解説から整えられます。実務で詰まるのは、その規程どおりに動いた記録が残っているかです。

審査でよく確認されるのは、次のようなところです。

• 個人情報や機密文書を入れている書庫に鍵がかかっているか。鍵の管理者が決まっていて、持ち出しの記録があるか。「鍵は空いたままで、だれでも開けられる」状態は規程と矛盾します。

• 退職者のアカウントが止まっているか。退職日と削除日の記録が出せるか。ここは認証の有無にかかわらず弱い会社が多い部分です。

• 外部委託先の管理。印刷、発送代行、給与計算、クラウドサービスなど、個人情報が外に出る先を一覧にして、契約書と評価の記録があるか。棚卸しをすると、総務が把握していない契約が部署ごとに出てきます。

• 教育の実施記録と、受けていない人への再実施。実施したが記録がない、は未実施と同じ扱いになりがちです。

• 事故や苦情が起きたときの報告ルート。起きていないこと自体は問題ありませんが、「起きたら誰に報告するか」を従業員が答えられるかは見られます。

つまり、認証取得は社内の運用の棚卸しです。先に棚卸しをしてから取得時期を決めるほうが、結果的に早く済みます。

誰が運用するかを決めないと、担当者が辞めた時点で止まる

認証は、取得よりも続けるほうが難しい仕組みです。規程の改訂、年1回の内部監査、教育の実施、委託先の再評価、事務局としての審査対応が毎年発生します。これを総務の1人が兼任で抱えると、その人の退職や異動で一気に止まります。

契約前に決めておくことは次の点です。

• 事務局の責任者と、実務の担当者を別の人にする。最低2人の体制にして、片方が抜けても引き継げるようにします。

• 内部監査をする人は、自分の部署を監査できません。部署をまたいだ監査の組み合わせを、人数の少ない会社ほど先に考えておく必要があります。

• 文書と記録の保管場所を、個人のパソコンやメール添付にしない。共有フォルダかシステム上の決まった場所に置き、保存年限を決めます。審査の直前に「あの記録はどこか」を探す時間が、毎回いちばん消耗します。

• コンサルに任せる範囲を契約書に書く。取得まで伴走するのか、更新審査にも同席するのか、内部監査を代行するのかで金額が変わります。更新時に「それは契約外です」となる形を避けます。

稟議では、費用と並べて「年間でおおよそ何時間、誰が使うか」を書いておくと、現場からの反対が出にくくなります。

やめるときに何が起きるかを、取る前に確かめる

継続契約と同じで、認証も出口を見てから入るべきものです。更新しない判断はできますが、副作用があります。

• ロゴやマークを名刺、会社案内、ウェブサイト、封筒から外す必要があります。印刷物の刷り直し費用が発生します。有効期限が切れたマークを使い続けると、制度上の問題になります。

• 取引先への説明が要ります。契約書に「認証を維持すること」と書かれている場合、更新しないことが契約違反になる可能性があります。取得前に、取引基本契約の条文を確認してください。

• 入札参加資格や、取引先の審査の加点項目になっている場合、次の更新時期に影響します。

• コンサルとの契約の解約予告期間。自動更新になっていて、更新月の数か月前までに申し出が必要な形が一般的です。認証をやめる判断より前に、支援契約の更新日が来ます。

また、一度取得したものをやめると、社内外から「何かあったのか」と見られることがあります。取得そのものより、やめる説明のほうが手間がかかると考えておくほうが安全です。だからこそ、「取引先から求められているから取る」のか「将来の営業のために取る」のかを、最初に書き分けてください。後者は、やめる自由がある代わりに、効果の説明も自社でしなければなりません。

で、どう進めるか：順序を決めてから見積を取る

進め方は次の順序が無理がありません。

1. 取引先の要求を文書で確認する。契約書、取引基本契約、セキュリティチェックシートの原文を集めます。指定がPマークかISMSか、同等の体制で足りるかを読み分けます。

2. 社内の現状を棚卸しする。鍵のかかる保管場所、退職者のアカウント停止の記録、外部委託先の一覧、教育の実施記録。足りないものを一覧にします。この段階で直せるものは、認証と関係なく直す価値があります。

3. 範囲を決める。ISMSなら対象の部署・拠点・事業を絞れます。全社に広げるほど費用も工数も増えます。

4. 審査機関とコンサルの見積を、初年度・2年目・更新年の3本で取る。更新審査の費用、従業員が増えたときの扱い、解約予告期間を見積の備考に書いてもらいます。

5. 稟議には、費用の3年分、年間の社内工数の見込み、担当者2名の体制、取引先の要求の根拠を添える。「取らないとどの取引が失注するか」が書けると通りやすくなります。

取得を急ぐ理由が特定の取引だけなら、まずセキュリティチェックシートへの回答で足りないかを取引先に確認するのも、立派な選択肢です。

買う前に確かめること

• 取引先の要求がPマークかISMSか、原文の契約書やチェックシートで確認したか
• 初年度・2年目・更新年の3年分の費用を分けて見積に出してもらったか
• 事務局を2名以上にし、内部監査の担当の組み合わせを決めたか
• 外部委託先の一覧をつくり、契約書と評価記録が出せる状態か
• 支援コンサルの契約期間・自動更新・解約予告期間を確認したか
• 更新しない場合に名刺や会社案内の刷り直しが必要になる範囲を把握したか

候補になる分類

よくある質問