ISO/IEC 27000 / ISMS / BS7799コミュの審査機関の要求対応について教えてください。

こんにちは。aiと申します。
現在80人規模の会社でISO27001の構築を進めています。
3月中旬に一次審査が終わり、4月下旬に二次審査を控えています。
職種はソフトウェア開発で、社員の80％が客先常駐で開発をしています。

今回皆様のご意見を伺いたいのは審査機関からの要求についてです。
現在外資系D社と契約しています。
一次審査のときに、「客先常駐については一ヶ所サンプリングし、リーダーに話を聞くとともに現地まで監査員が同行したい」と監査員に言われ、調整していました。
当社の常駐先は大企業が多く、セキュリティの問題から部外者は入れないので、ゲートなど入れるところまで、ということでした。

ところが今日になって、「サンプリングはやっぱり5ヵ所、適用範囲である以上どうしても現場は見せてもらいたい。入れないのであれば近くの場所で、客先のルールに従っていることを証明せよ」との要求を受けました。
どう証明したらいいのか？と聞いても「それは当日しだい」みたいなことを言われ、どういう準備が必要かも教えてもらえませんでした。

それがD社の監査方針だから云々と言われましたが
一次から半月以上経った今になって何を、という気持ちが強く正直納得できないです。
サイトがいきなり5ヶ所になったのも調整が難しく非常に困ってます。
コンサルに相談したところ、B社やJ社では現場視察そのものがないはずだと憤慨しており
とりあえず明日D社の営業に来てもらうことになりました。

こういう場合、D社の要求を100％呑むしかないのでしょうか。
またもし審査会社を変更する場合は
一次審査は受けなおしということになるのでしょうか？
また、同じような業種の方で、「うちはこうだった」
というアドバイスがあれば教えていただきたいです。

よろしくおねがいいたします。

コメント(14)

最初
全て
最新の40件

[1] mixiユーザー 04月03日 23:08

営業には審査期間を変更する事になったからといって帰ってもらいましょう。Ｂ社といわれている会社さんだと思いますが、外資系の方が柔軟性が高いと思われます。（事務処理的には結構問題もありますが（笑）

とりあえず以前という事が違うという事、業務よりも審査を優先させよという「命令」をするという事、この二点だけを見てもＤ社は論外です。損害賠償請求をちらつかせるのもよいでしょう。勘違いしている審査登録機関には業界から退場していただきたいものです。

[2] mixiユーザー 04月03日 23:26

適用範囲であれば視察しないわけにいかないと思います。
そもそも、なんで常駐先を適用範囲に含めたんでしょうか？仕事をそこで実施するにしても、自分たちで管理できることに制限多すぎませんか？
適用範囲の検討あるいは解釈がズレているんじゃないでしょうか？
だいたい証明するも何も、審査は試験じゃないんですから、自社のISMSにしたがって運用していることを示すしかないわけです。
コンサルも憤慨してないで、もうちっと対応を考えないと駄目だと思いますね。

もし審査会社を変える場合は１次からやり直しでしょうね。他の審査機関の結果を引き継ぐことはできないでしょうから。

[3] mixiユーザー 04月03日 23:33

僕も適用範囲にしてるのなら視察は当然かなとおもいます。

常駐先が、aiさんの会社のISMSにのっかって動いてくれてるという様子というのがちょっとピンとこないのでなんでそこが適用範囲なのかがよくわからないですが、適用範囲である以上他の審査機関に変更しても視察はあるとおもいますよ。

むしろ常駐先のセキュリティポリシーとかルールに乗っけられちゃって自分たちのポリシーなんて入り込む余地がないことの方が多いような。。。

[4] mixiユーザー 04月04日 00:26

うーん　どこかでボタンの掛け違いがあったのでしょうが、
初回審査なら、極力、適用範囲のロケーションを回りたいと考えるのが自然じゃないかなあ。

＞Ｄ社は論外
そんなことはないでしょ、別に。
確かに、最初１箇所って言っておいて後から５箇所っていうのは、ドジだと思うけど。

むしろ、客先を適用範囲に含める作戦が失敗じゃない？
ロケーションを自社に限定して契約をやり直すことだってできると思いますけど。

[6] mixiユーザー 04月04日 13:13

適用範囲にいれてるなら、当然でしょ。

審査もできてないところにお墨付きを与えるような認証会社のほうが論外ですが。適用範囲内を審査しない認証会社の認証マークは信用できません。
この場合J社とB社のが論外でしょ。

これはISO9001、14001でも同じです。

認証の信頼性というものをわかってないようですね。

そういう意味ではPなんちゃらというあの制度は信頼がどん底ですが・・・

[8] mixiユーザー 04月04日 18:12

↑確かに。

審査の申込のときに審査機関が気づいて、「ほんとうにここもなんですか？」って確認してもいいような気が。。。

[9] mixiユーザー 04月04日 21:30

少し感情的になって不適切な発言をした事をおわび申し上げます。

ただ、少し理解できません。
まず一点目は一次審査でサンプリングを一ヶ所としなおかつ入れるところまででよいと約束していたのにそれを反故にする事。
二点目は（完全に読み落としていましたが）客先が適用範囲であるという事。
客先なんて契約が終われば自社にとっては無関係になってしまう場所なのに適用範囲に含める事が可能なのでしょうか？
ちなみに適用範囲内を審査しない審査登録機関が信用できないという点については理解できますが、もともと一ヶ所は審査するという事で、客先とも調整をしていたわけですよね。私であれば審査が業務に優先するといわんばかりの要求は到底のめません。

[10] mixiユーザー 04月04日 22:13

やはり、適用範囲の決定にムリがあるのではないでしょうか？
他の方も言われている通り、常駐先を適用範囲に入れても、セキュリティポリシーやルールは、常駐先のルールに従わざるを得ない部分が大きいです。
例えば、常駐先が、セキュリティレベルが低いオフィスであったとしても、aiさんの会社の認証のためにセキュリティレベルの改善を求める…なんてことは出来ないですよね？
「うちのISO27001の認証に響くので、ここの部分を変えてください」と求めるのも変ですし、常駐先にしてみても、契約外の事にケチを付けられたら…。
下手したら、開発会社を変えられちゃいますよ。

適用範囲に常駐先を加えることについて、コンサルの方は、何か指摘はされていないのでしょうか？「現場視察そのものがないはずだと憤慨しており…」と書かれていますが、認証範囲としているならば、現場視察が無いということは有り得ないですよ。

ただ、審査会社もヘンですね。本来ならば、審査申込みの時点か、一次審査の適用範囲確認で言われそうなものですが…。
「現場に入れないのであれば、近くの場所で、客先のルールに従っていることを証明せよ」ってのもどうかと。常駐先の会社の近くの喫茶店ででも、審査するのでしょうか？

[11] mixiユーザー 04月04日 23:52

ISMSの事務局をやっています。私も他の方と全くの同感です。常駐先を適用範囲に入れること自体に無理があるのではないでしょうか。想像ですが審査場所を５個所にしたのは、あくまで判定委員会で説明しやすくするためと思われます。「１箇所しか見てません」より「５箇所確認して・・・大丈夫でした」と説明した方が説得力があるからです。
もし今更適用範囲を変更できない（常駐先を適用範囲に入れる）のであれば、「今後どうしていくか、どのようにセキュリティレベルを上げるか」を明確にした中で、スケジュールを立てる方法が考えられます。これが認められないのであれば、他の審査機関・コンサルへの変更を検討した方が、後々のためになるのではないでしょうか。

[12] mixiユーザー 04月05日 00:25

1箇所と言ったのが5箇所になったのを鬼の首を取ったように言われてますが。
その審査機関を擁護するわけじゃないですが、１次審査の当日に「1箇所」と言われて、1次審査の最終報告書の段階で「5箇所に変わった」という可能性はないですか？
なんか審査に不慣れな感じなので、（誰でも最初はビギナーですが）審査員が現場で言った内容が、審査機関の最終的な喜悦論と異なる場合があることは、審査規定などにも示してあると思います。最近はISO化に伴って、審査機関自体も厳しく見られるため、判定会議も厳しい方向に行っていると思います。

適用範囲の内容を審査機関があらかじめ言わなかったことについては、オプションの予備審査を受ければ教えてもらえたかもしれませんね。でも、私はコンサルの落ち度だと思います。コンサル受けてれば予備審査は無くても良いと思うのが審査を受ける側の感覚だと思いますから。

[14] mixiユーザー 04月05日 09:23

aiです。
皆様たくさんのご意見本当にありがとうございました。

まず適用範囲についてですが、
当初は自社のみにしていました。
が、一次監査のときに「適用業務であるソフトウェア開発の殆どを客先で行っているのであれば、客先も加えなければならない。」というようなことを言われて変更したような記憶があります。
このあたり議事録にも記載がなく、私の記憶もあいまいなので現在D社に確認してもらってます。今週中にはクリアにできると思います。

それとサイト見学の件は昨日D社営業さんと話した結果
1社でよいですということでした。
D社内でどういう話になったのかはわかりませんが。
客先常駐者への監査内容の件も今週中に回答貰う予定です。

今回の急な変更や監査員の言い方などについては営業さんから丁重なお詫びがあったこともあり、審査機関の変更は見送ることにしました。
が、審査員の変更は申し出ようかなあと考えています。

皆様のアドバイス非常に参考になりました。
取り急ぎご報告です。
監査機関からの回答があったらまた書き込みしますね。

ログインすると、みんなのコメントがもっと見れるよ