認証に向けての体制作り
再三、主張していますが、“ISO=マニュアル”ではありません。
ISO/IEC27001:2022を例として、文書化が求められていることを整理します。情報セキュリティ管理策にも文書化が必要なものもありますが、今回は規格本文だけを対象とするので、ISO9001やISO14001も基本的に同じような感じです。
・4.3 情報セキュリティマネジメントシステムの適用範囲
・5.2 情報セキュリティ方針
・6.1.2及び8.2 情報セキュリティリスクアセスメント
・6.1.3及び8.3 情報セキュリティリスク
・6.2 情報セキュリティ目的及びそれを達成するための計画
・7.2 力量
・9.2.2 内部監査プログラム
・9.3.3 マネジメントレビューの結果
・10.2 不適合及び是正処置
上記以外にも“決定しなければならない”“組織内に伝達しなければならない”などの要求がありますが、文書化を求めているわけではありません。
ところが、コンサルタントに支援を依頼すると、これらの文書化が求められていないことまで“万が一”“安全”を考えて文書にしてしまうので、どんどん文書が増えていきます。そして、文書が増えると組織でメンテナンスができなくなるため、結果、コンサルタントとも長く付き合うことになり、コンサルタント費用が増えていきます。
もっとも、認証登録証がほしいだけの組織は自分たちは何もせず、コンサルタントが何でもやってくれるのはありがたいのでしょうが…
認証にあたり、“何のために認証するのか”という目的だけでなく、認証後の運用をどうするのかも併せて考えていただきたいと思います。
どの組織も認証の目的は“公共案件の入札要件”“大手企業と取引するのに必要”と明確になっていることが多いですが、認証登録証は取引するための“免罪符”（ん？使い方は合っているか？）ではありません。いくら、取引のためとはいえ、毎年コンサルタントに数十万円を払ってまでやる必要があるのか、自分たちで運用できるマネジメントシステムをどうしたら構築できるのか、も併せて考えてほしいと願っています。
次回は弊社の事例を紹介します。
