審査の現場から（その1）

以前も書きましたが、私はS&A JAPAN株式会社でのISOに関するコンサルティングの他に審査員としての活動もあります。

今回からは審査を通して感じたことを書きます。
何回目でネタが切れるかわかりませんが、とりあえず“審査の現場から（その1）”としました。

現在、2つの審査機関で活動をしています。

いずれもあるコンサル会社（S&A JAPANではありません）と懇意にしており、その紹介というパターンが多いです。

最も気になるのは、規格要求事項をコピペ、またはオウム返ししたマニュアルや規程が多いことです。これらのコンサル会社は、顧客である組織を認証させることが目的なので、こうなっちゃうんでしょうね。

とにかく、認証登録証がほしいだけの組織が一定数あるので、組織からすればマニュアルや規程なんでどうでもいいのでしょう。

なおかつ、コンサル会社が運用サポートという名のもとに、いろいろな文書を作文してくれますから。
で、コンサルタントは審査に出席します。

本来、コンサルタントはオブザーバーなので、審査では発言する権利はありませんが、ところどころ口を挟んできます。審査員がコンサルタントに考えを聞いたり、補足をお願いすることもありますが…

先日の審査では組織を差し置いて、積極的に発言するコンサルタントがいたので、それは制止しました。コンサルタントばかり発言していては、誰が認証するのかわからないので。

だいたい、この手のコンサルタントが作るマニュアルや規程は規格要求事項のコピペ。だから、組織が説明できるわけがない、となります。

コンサルタントと称される人も読んでいないことが多いですが、例えばISO/IEC27001:2022の“0.1　概要”には“ISMSを、組織のプロセス及びマネジメント構造全体の一部とし、かつ、その中に組み込むこと、並びにプロセス、情報システム及び管理策を設計する上で情報セキュリティを考慮することは重要である”という一文があります。

さて、実態と必ずしも整合しない、規格要求事項をコピペ、オウム返ししたマニュアルや規程は正しいでしょうか？