•JIS Q 27001:2023では、ISMSを構築する組織に、内部監査を実施することを要求しています。

9.2 内部監査
9.2.1 一般
 組織は,ISMSが次の状態にあるか否かに関する情報を提供するために,あらかじめ定めた間隔で内部監査を実施しなければならない
a)次の事項に適合している。
　1)ISMSに関して,組織自体が規定した要求事項。
　2)この規格の要求事項
b)有効に実施され,維持されている。
JIS Q 27001:2023より

まず監査とは

•監査とは何でしょうか？ISOのマネジメントシステムの監査方法の手引書であるJIS Q 19011:2019(ISO 19011:2018)での定義は以下のようになっています。

監査基準が満たされている程度を判定するために，客観的証拠を収集し，それを客観的に評価するための，体系的で，独立し，文書化したプロセス
JIS Q 19011:2019より

ざっくり言えば…

仕組みや業務が規則通りに整備され、実施されているかどうかを確認すること。

そして、実施にあたっては、以下のことが求められます。

客観的事実を集めて、それを基に客観的に判断する。
きちんと定めた監査の手順に沿って、業務上の立場などから独立して活動する。

※用語解説で「監査」をもう少し詳しく解説しています。

「ISMS内部監査」はISMSを構築した組織が自ら、自組織のISMS活動が適正に行われているかどうか、有効に機能しているかどうかを確認することです。

内部監査の客観性確保

•監査には、外部の人が立ち入って監査を行う外部監査と、自組織内で実施する内部監査があります。

•内部監査においては「客観性」「独立性」の確保に注意が必要になります。

•監査対象の業務の「実施者」や「指示者」でない立場の要員が実施することが望ましい。

※経営層や事務局の監査では、独立性を厳密に保つことは難しい。
※客観性・独立性を高めるために、外部の要員を雇用する組織もあります。外部の要員が実施しても監査目的が内部監査であれば、内部監査です。

内部監査の意義・効能

マネジメントシステム規格の中では、「何をすべきか」は語られていますが、「なぜ」だとか「結果としてどのような効用が期待されるのか」の記載はあまりありません。
このサイトで、解説をしているのはその辺りを補足したいという意図もあります。もちろん、規格に書いてないことですので、あくまで私見です。

必要な共通認識

以下は、規格要求ではではありません。筆者が自組織およびお客様先の内部監査を実施、支援する中で感じたことです。
内部監査を行う上で監査側、被監査側が以下の共通認識を持っていることが望ましい。

内部監査で問題点を探すのは叱責のためではなく、マネジメントシステム改善のため。

問題を発見した時「誰が失敗したのか」ではなく、「失敗してしまった原因はなんなのか、その原因はマネジメントの改善で対処できるのか」という観点で対応することができれば、内部監査に対する隠し事や嘘が減ることが期待できます。
監査側・被監査側が組織マネジメントを改善するために協力することが大切です。

V.02.00 2026.08.29 「必要な共通認識」書き洩らしを追記
V.01.00 2026.08.28 NEW