――ISMSを「守り」から「強い仕組み」へ変える実務ガイド――
ISO/IEC 27001にもとづきISMS（情報セキュリティマネジメントシステム）を運用している組織にとって、
是正処置報告書（Corrective Action Report：CAR）は、単なる「不適合の後始末」を書く紙ではなく、
- 審査結果を左右し
- ISMSの成熟度を高め
- 組織のセキュリティレベルを一段引き上げる
ための、非常に重要な管理ツールです。
内部監査・外部審査で不適合が指摘されたとき、
「何を・どのように報告書へ落とし込むか」で、同じ事象でも評価は大きく変わります。
本稿では、ISO/IEC 27001:2022 の要求事項、とくに「10.1 継続的改善」を軸に、
- 不適合をどう捉えるか
- 是正処置報告書をどう設計・記述すべきか
- 審査員がどこを見ているのか
を、実務目線で詳しく解説します。
単なるテンプレート紹介にとどまらず、「なぜその書き方が必要なのか」まで踏み込んで説明します。
目次
- ISMSにおける是正処置とは何か（修正との違いとISOの考え方）
- 是正処置報告書の基本構成と作成フロー
- 再発防止につながる原因分析のやり方（人ではなく仕組みを見る）
- 実務で使える是正処置報告書の書き方（詳細例文つき）
- 不適合を量産してしまうNGな書き方・考え方
- 審査で「よくできている」と評価される是正処置の条件
- 運用に乗せるコツ：現場で回る是正処置プロセスの作り方
- まとめ ― 是正処置を「組織変革のエンジン」にする
1. ISMSにおける是正処置とは何か（修正との違いとISOの考え方）
ISO27001における「是正処置（Corrective Action）」は、
発生した不適合の根本原因を取り除き、同じ不適合を再発させないようにすること
を意味します。
まず押さえておきたいのは、次の2つの概念の違いです。
■ 修正（Correction）
すでに起きてしまった不適合を、その場で元の状態に戻す応急的な対応。
例：
- 誤ったアクセス権を即時に削除する
- 未実施の教育を急いで実施する
■ 是正処置（Corrective Action）
不適合の「原因」を取り除き、同じ問題が再度起きないように仕組みそのものを見直す取り組み。
例：
- アクセス権レビューを年次計画に組み込み、漏れ防止の仕組みを設計する
ISOが重視しているのは 「再発防止としての是正処置」 です。
つまり、「直したか」ではなく「同じことを繰り返さない仕組みか」が評価対象になります。
審査で特に確認されるポイントは次のとおりです。
- 原因分析が適切か
- 是正処置が再発防止として効果的か
- 計画どおりに実施されているか
- 効果が評価されているか
- 証跡が十分に残っているか
是正処置報告書とは、
「起きた事実」＋「原因」＋「再発防止策」＋「効果確認」
を、一連のストーリーとして示す文書
と考えると理解しやすくなります。
2. 是正処置報告書の基本構成と作成フロー
多くの組織で使われる是正処置報告書は、以下の項目で構成されます。
1. 不適合の概要
- いつ・どこで・何が・どう違反したのか
- 誰でも読んで状況が理解できるように簡潔かつ具体的に記載する
2. 不適合の事実・根拠
- 内部監査報告書
- 記録・ログ
- スクリーンショット
- チェックリスト
など、 不適合が実際に存在した証拠 を明記します。
3. 原因分析
- 5Why
- 特性要因図
- フローチャート
などを使い、表面的な原因ではなく 仕組みの原因 にまで掘り下げることが重要です。
4. 修正（Correction）
- 直ちに行った応急対応
- リスクが現時点では解消されていることを示す
5. 是正処置（Corrective Action）
- 手順・体制・システムなどをどう変えるのか
- 再発防止につながる「設計レベル」の対策を記述
6. 効果確認（有効性の評価）
- 内部点検
- ログレビュー
- KPIの変化
など、 対策が効いていることを証明する記録 を提示します。
7. 実施者・期限・責任者
- 誰が
- いつまでに
- 何をするか
を明確にしなければなりません。
3. 再発防止につながる原因分析のやり方（人ではなく仕組みを見る）
是正処置の成功は 原因分析の深さ に依存します。
■ NGな原因分析の例
- 担当者のミス
- 忙しかった
- 注意不足
- うっかり忘れた
これらでは再発防止になりません。
■ 良い原因分析の条件
ポイントは 仕組みの問題に到達しているか です。
例：
- 手順書が現場運用と乖離している
- チェック体制がない
- R&R（役割と責任）が曖昧
- 教育不足
- システムの抑止機能が不十分
- 人員体制の設計が実態と合っていない
ISO審査員は
「誰が悪いか」ではなく
「どうすれば再発しないか」に興味を持っています。
4. 実務で使える是正処置報告書の書き方（詳細例文つき）
以下は「アクセス権レビューが実施されていなかった」ケースの例です。
■ 不適合の概要
ISMS手順書第XX章で「四半期ごとのアクセス権レビューを実施する」と定めているが、
2023年4月～9月の2四半期において、当該レビューが実施されていなかった。
■ 不適合の根拠
2023年10月10日に実施した内部監査で、
2023年4月および7月分のアクセス権レビュー記録が存在しないことを確認。
■ 原因分析（5Why）
- 担当者がレビュー予定を把握していなかった
- 年間ISMSスケジュールにレビューが記載されていなかった
- 手順書に実施月が明記されていなかった
- 管理方法の設計が不十分だった
- 実務担当者との調整が不十分だった
→ 根本原因：仕組み・手順設計が不十分だった
■ 修正（Correction）
指摘日（2023年10月10日）に、直近2四半期分のアクセス権レビューを実施し、
記録を作成・保管した。
■ 是正処置（Corrective Action）
- 手順書改定（実施月の明記・責任者の明示）
- ISMS年間計画にレビューを追加
- 担当者への周知・教育
■ 効果確認（有効性の評価）
2024年1月のレビューが期日どおり実施されていること、
記録が所定の場所に保管されていることを確認した。
5. 不適合を量産してしまうNGな書き方・考え方
- 原因が「人のミス」で終わっている
- 修正と是正処置が混同されている
- 証跡がない
- 期限や責任者が曖昧
- 有効性評価がない
これらは審査員が最も嫌うパターンです。
6. 審査で「よくできている」と評価される是正処置の条件
- 原因分析が深く、仕組みレベルに到達している
- 再発防止策が合理的で効果的
- 文書・体制・システムを組み合わせた改善
- 効果確認が仕組みとして行われている
- 記録・証跡が整理されている
ISO27001:2022ではリスクベースの考え方が強化されているため、
是正処置によりどのリスクがどれだけ低減されるかを示すとより効果的です。
7. 運用に乗せるコツ：現場で回る是正処置プロセスの作り方
- 是正処置管理台帳を持つ
- マネジメントレビューで状況を報告
- 内部監査でもフォローアップ
- テンプレートや記入例を整備
これにより「やりっぱなし」「書きっぱなし」を防ぎ、改善が回り続けます。
8. まとめ ― 是正処置を「組織変革のエンジン」にする
是正処置は、
- ISMSの弱点を可視化し
- 仕組みを改善し
- 組織のセキュリティレベルを引き上げる
ための強力なツールです。
- 人ではなく仕組みを見る
- 文書・運用・教育のすべてで再発防止策を講じる
- 効果確認まで行う
このサイクルが回り始めると、
ISMSは「認証維持のための仕組み」から
「事業を守り、強くする仕組み」 へ進化していきます。
是正処置報告書を「審査対応の書類」ではなく、
組織を成長させる改善の設計図 として活用していきましょう。
ISO・Pマークの認証・運用は GCconsulting合同会社にお任せください
GCconsultingは、数多くの企業様のISO・Pマーク取得・運用を支援し、
実態に即したコンサルティングで高い認証率を誇ります。
経験豊富な審査員資格保持コンサルタントが、認証・運用更新にかかる作業時間を約90%削減し、
お客様が本業に専念できる体制づくりをサポートいたします。
💪GCconsultingの3つの強み
① コストパフォーマンスに優れたフルサポート
初期準備から審査当日まで、追加費用なしでフルサポート。
現地審査の立ち会いも標準対応のため、安心してお任せいただけます。
コストを抑えつつ、高品質な支援を受けられるのが当社の特徴です。
② プロ審査員によるコンサルティング支援
GCconsultingでは、ISO審査員資格を持つプロのみが対応。
画一的な支援ではなく、お客様の実態に合わせて柔軟にサポートします。
専任担当が最後まで伴走し、認証対応にかかる社内負担を最小限に抑えます。
③ 情報セキュリティ知識の高さ
単なる認証取得支援にとどまらず、実務レベルのセキュリティ対策までアドバイス。
形式的ではない「実効性のある運用」を重視し、
審査指摘リスクの最小化とスムーズな審査進行を実現します。
「認証を取りたいけれど、何から始めればいいか分からない」――
そんな方も、まずはお気軽にご相談ください。
合わせて読みたい記事！