チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
ISMSの内部監査を任されて、こんな不安を抱えていませんか。
先に結論をお伝えすると、内部監査はISO/IEC 27001が求める手順に沿って進めれば、初めてでも形になります。
大切なのは、粗探しではなく組織の改善につなげる視点です。
このメディアは、セキュリティ人材のフリーランス（案件参画）と転職を支援しているスプラッシュエンジニアリングが運営しています。
この記事で解説するのは、次のポイントです。
読み終える頃には、監査の全体像と、自社で今日から動ける段取りが見えているはずです。
チップスボス、内部監査の担当になったんでしゅけど、何をどうすればいいか全然わからなくて、もう付箋がパニックでしゅ…！
ボス落ち着け、チップス。監査はな、順番が決まっているんだ。この記事で5つのステップを頭に入れれば、お前でも形にできる。ふふふ、任せておけ。
※記事の内容をサクッと確認したい方は、以下のスライドでご確認いただけます。
オススメ求人・フリーランス案件
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
セキュリティエンジニア（PM/PL候補）【年収500-1000万】AWS/Azure経験を活かす
セキュリティエンジニア｜インフラ運用からのキャリアチェンジ（年収350～500万）
セキュリティエンジニア（iOS）【年収700～900万】
ISMS内部監査は、自社のセキュリティ運用が規格どおり機能しているかを、自ら点検する活動です。
まずは全体像から押さえていきましょう。
内部監査で見るべき視点は、大きく「適合性」と「有効性」に分かれます。
適合性とは、規格の要求事項や自社で定めたルールどおりに運用されているか、という観点です。
一方の有効性は、そのルールが実際にリスクの低減に効いているか、という観点です。
ルールが守られていても、形だけで実際のリスクに対応できていなければ意味がありません。
だからこそ、両方の視点をあわせて見ていきます。
チェックするときのポイントは次の通りです。
特に見落とされがちなのが、有効性の確認です。
記録が揃っているだけで満足せず、その仕組みが本当にリスクを抑えられているかまで踏み込む。
ここが、質の高い監査の分かれ目になります。
内部監査を毎年実施する目的は、認証の取得・維持と、自律的な改善の2つです。
ISMS認証を維持するうえで、内部監査は欠かせない工程になります。
外部の審査を受ける前に、自らの手で不備を洗い出し、是正する機会を作る狙いがあります。
自組織の弱点を先回りで見つけられれば、外部審査で慌てることも減ります。
内部監査が担う役割を整理すると、次のようになります。
内部監査の結果は、経営層がISMS全体を評価するマネジメントレビューへ引き継がれます（JIS Q 27001:2023 箇条9.3）。
監査は報告して終わりではありません。
経営の意思決定と改善へつなぐところまでが、一続きの流れです。
チップス適合性と有効性…なんだか難しくて、頭からどんぐりがこぼれそうでしゅ。
ボスシンプルに考えろ。「ルールを守っているか」と「そのルールが役に立っているか」、この2つを分けて見るだけで、監査の目線がぐっと上がるんだ。
内部監査と外部監査（審査）は、誰が何のために行うかが根本的に違います。
まずは両者の立ち位置を整理します。
内部監査は、自組織が運用の一環として計画的に実施する点検活動です。
これに対して外部審査は、認証機関という第三者が客観的な立場で行う審査になります。
両者は代替の関係ではありません。
内部監査で自社の状態を整えておくことが、外部審査をスムーズに通すための準備として効いてきます。
主な違いを整理すると、次の通りです。
| 観点 | 内部監査 | 外部監査（審査） |
|---|---|---|
| 実施主体 | 自組織（内部監査員） | 認証機関の審査員（第三者） |
| 目的 | 運用の点検と自主的な改善 | 認証の付与・維持の判定 |
| タイミング | 運用の一環として計画的に | 認証・維持のサイクルで定期的に |
| 結果の使われ方 | 是正・マネジメントレビュー | 認証の可否判断 |
内部監査を軽く済ませると、その分の負担が外部審査に跳ね返ってきます。
自らの監査で足場を固めておく。
それが、結果的に認証維持の近道になります。
内部監査の質は、外部審査の結果に直結します。
一般には、内部監査とマネジメントレビューを完了した状態で外部審査に臨む流れになります（JIS Q 27001:2023 箇条9.2・9.3）。
内部監査で拾いきれなかった不備は、外部審査で不適合として指摘される。
つまり内部監査は、外部審査の予行演習の役割を担っています。
影響の出方を具体的に見てみましょう。
内部監査で見つけて直しておけば、社内で完結できます。
外部審査で初めて指摘されると、認証維持に関わる重い対応になりかねません。
手を抜けない理由が、ここにあります。
内部監査は、計画から是正までの5つのステップで進めます。
上から順にたどれば、初めてでも実施できる流れです。
監査を始める前に、範囲・スケジュール・体制を決める計画づくりから入ります。
監査プログラムは、対象となるプロセスの重要性や前回の監査結果を考慮して計画します（JIS Q 27001:2023 箇条9.2）。
重要度の高い領域や、前回指摘があった箇所は重点的に見る。
こうした濃淡をつけるのが、実務のコツです。
なお、監査の頻度は規格で固定されていません。
自社で文書化した手順に沿って、計画的な間隔を決めていきます。
計画段階で決めておくべき要素は次の通りです。
監査員は、客観性と公平性を保てる人選が欠かせません。
この段階で人選を誤ると、監査全体の信頼性が揺らいでしまいます。
計画が固まったら、何を根拠にどこを見るかをチェックリストへ落とし込みます。
チェックリストは、規格の要求事項と自社ルール（適用宣言書・各種規程）を突き合わせて項目化します。
規格が求める項目と、自社が定めた運用ルール。
この両面から確認観点を並べていくのが基本です。
ここを丁寧に作り込むほど、当日の監査がぶれずに進みます。
チェックリストに盛り込む観点の例は次の通りです。
観点を具体的な確認項目まで落とすと、当日そのまま使えます。
たとえば、次のような項目を用意しておきます。
事前準備では、監査対象の文書や前回の報告書にも目を通しておきます。
何を確認するかを先に決めておけば、当日は証拠集めに集中できます。
準備が薄いと、当日は手さぐりになります。
当日は、記録の確認と担当者へのヒアリングで証拠を集めていきます。
ルールどおりに運用されている証拠を、記録やログといった客観的な事実から拾う。
これが基本の動きです。
担当者への質問も、詰問ではなく事実確認というトーンで進めます。
相手を追い込むのではなく、実態を正確につかむことが目的です。
当日の進め方のポイントは次の通りです。
チップスヒアリングって、なんだか相手を問い詰めるみたいで緊張しましゅ…。
ボス勘違いするな。監査は取り調べじゃない。事実を確かめる場だ。相手と一緒に実態を見に行くくらいの気持ちでいい。
証拠が集まったら、その場でメモとして残しておきます。
後で報告書を書くとき、客観的な事実が手元にあると説得力が段違いです。
監査が終わったら、結果を報告書にまとめます。
報告書に載せるのは、監査範囲・実施日・所見・適合／不適合の判定・改善の要求です。
特に不適合を書くときは、事実と根拠をセットで示します。
どの要求事項に対して、何が不足していたのか。
そこを具体的に書きます。
報告書に記載する主な項目は次の通りです。
不適合の記述では、感情的な表現を避けて客観的に書きます。
「対応が甘い」といった主観ではなく、「規程で定めた棚卸しの記録が残っていない」と事実で書く。
読んだ人が同じ事実を確認できる書き方が、後の是正をスムーズにします。
不適合を見つけたら、指摘して終わりにせず是正処置まで進めます。
是正処置では、なぜその不備が起きたのかという原因分析と、再発防止策の実施を行います。
表面的に直すだけでなく、根本原因までさかのぼる。
これが再発を防ぐ鍵になります。
そして、監査で得られた結果は経営層のマネジメントレビューへ引き継ぎます（JIS Q 27001:2023 箇条9.3）。
是正からレビューまでの流れは次の通りです。
マネジメントレビューでは、経営層がISMS全体の有効性を評価し、必要な改善や資源を判断します。
現場の監査結果が経営の意思決定につながって、はじめて改善のサイクルが回ります。
この連携があってこそ、内部監査は形だけで終わりません。
監査の質は、独立性・改善志向・記録の3点で決まります。
現場との板挟みを避けるコツを見ていきましょう。
監査員に求められる最大の条件は、独立性と客観性です。
監査プロセスの客観性と公平性の確保は、規格が求める要件でもあります（JIS Q 27001:2023 箇条9.2）。
ここで守るべき原則は、自分の担当業務は自分で監査しない、という点です。
自分が運用している業務を自分で監査すると、どうしても評価が甘くなります。
利害関係のない担当者が見ることで、はじめて客観的な判断ができます。
監査員を選ぶときの基準は次の通りです。
小規模な組織では、完全に独立した人員を確保しづらい場合もあります。
そのときは、部門どうしで相互に監査し合うなどの工夫で客観性を担保します。
誰が最初に見るかで、監査の信頼性は決まります。
内部監査の目的は、減点や粗探しではありません。
本来の狙いは、リスクを見つけて低減し、組織を守ることにあります。
指摘のための指摘を繰り返すと、現場は身構え、監査そのものが敬遠されてしまいます。
そうならないために、ルール自体が現場に合っているかを検証する視点も持ちましょう。
現場と対立せずに指摘するコツは次の通りです。
チップス指摘したら現場に嫌われそうで、どうも気が引けるんでしゅ…。
ボス監査は敵を作る仕事じゃない。「一緒に守りを固める」と伝えれば、現場は味方になる。粗探しではなく改善だ。そこを忘れるな。
ルールが現場に合っていなければ、それを直すのも監査の役割です。
一緒に良くしていく姿勢が、社内の関係を壊さずに監査を機能させます。
監査をやった証拠は、記録として確実に残しておきます。
チェックリスト・報告書・是正記録を、証跡として整えておきましょう。
記録がなければ、監査を実施したこと自体を審査で示せません。
さらに有効性まで示すなら、前年の指摘が今年どう改善されたかのトレースが効きます。
証跡として残すべき記録は次の通りです。
前年の不適合が、今年は解消されている。
その履歴を追える状態にしておくと、改善が回っている証拠として審査で高く評価されます。
記録は「残すため」ではなく「改善を示すため」に整えます。
現場で頻出する不適合の型を、2つに絞って深掘りします。
自社の弱点を先回りで潰すヒントにしてください。
内部監査で最も指摘されやすいのが、リスクアセスメントの形骸化です。
前年の内容をそのままコピーしたリスク台帳や、実態と乖離した資産管理は典型例です。
一度作ったまま更新されていないと、現在のリスクを反映できていない状態になります。
更新の運用が回っているかどうかを、監査でしっかり確認します。
確認したい着眼点は次の通りです。
台帳が前年と一字一句同じなら、更新が止まっているサインです。
実態の変化がリスク評価に反映されているかを見れば、形骸化を早めに見つけられます。
運用の抜けが出やすいのが、アクセス権管理と教育記録の領域です。
退職者や異動者のアクセス権が残ったままになっていないか、棚卸しの状況を確認します。
権限の付与だけが進み、削除や見直しが追いついていないケースは珍しくありません。
また、セキュリティ教育を実施した記録が残っているかも重要な確認点です。
確認の軸は次の通りです。
いずれも、証跡が残っているかどうかが判断の軸になります。
やっているはず、ではなく、記録で確認できる状態かを見る。
そこが、不備の見逃しを防ぎます。
内部監査は資格がなくても担当できますが、資格は力量を裏づける手段になります。
代表的な資格の位置づけを整理します。
内部監査に役立つ資格として、JRCA（日本要員認証協会）の登録制度があります。
JRCAは、ISMS審査員と、マネジメントシステム内部監査員を別々の制度として登録しています。
審査員は認証機関の立場で審査を行う人の資格、内部監査員は自組織で監査を行う人の力量を裏づける資格です。
内部監査の実施にJRCA登録が法的に必須、というわけではありません。
ただ、登録があれば力量の裏づけになり、社内外への説得力が増します。
両者の位置づけを整理すると次の通りです。
内部監査を任された人が、まず力量を示す手段として内部監査員の研修・登録を活用するケースはよく見かけます。
こうした領域では、セキュリティガバナンス推進・体制構築のフリーランス案件のように、体制構築やCSIRT支援の実務で資格と経験を活かせます。
監査を専門性として示す代表資格が、CISA（公認情報システム監査人）です。
CISAは、ISACAが認定する情報システム監査の国際資格です（ISACA東京支部 CISA）。
情報システムの監査・コントロール・セキュリティに関する知識を持つプロフェッショナルとして認定されます。
国際的に広く通用する資格で、監査の専門性を客観的に示せる点が特徴です。
CISAが評価される理由は次の通りです。
ISMS内部監査の実務経験に、こうした監査系資格を掛け合わせると、専門性がより明確になります。
資格は取って終わりではありません。
実務でどう評価され、案件につながるかまで見据えると、キャリアの武器になります。
内部監査の経験は、セキュリティ人材の市場で確かな評価につながります。
その理由と単価感を見ていきましょう。
監査やGRCのスキルは、セキュリティ市場で担い手が限られる領域です。
GRC（ガバナンス・リスク・コンプライアンス）や監査対応には、運用実務と規格知識の両輪が求められます。
技術だけでも、規格の知識だけでも務まりません。
両方を持つ人材はどうしても希少になります。
内部監査の経験は、この両輪を実務で身につけた証拠として評価されます。
監査・GRC経験がキャリア資産になる理由は次の通りです。
チップス監査の経験って、そんなに評価されるものなんでしゅか…？
ボスああ。守りを設計できて、規格も分かる人材は少ない。監査を回せる奴は、それだけで市場価値が高いんだ。自信を持て。
特定の誰かの体験に頼らずとも、監査を担える人材が少ないのは市場の一般的な傾向です。
だからこそ、内部監査の経験はキャリアの強い足場になります。
正社員として監査・GRC領域でキャリアを築きたい方は、セキュリティプロ・テンショクで転職求人を確認できます。
監査・GRC領域のスキルは、フリーランス案件でどの程度の単価につながるのでしょうか。
当社が公開しているセキュリティフリーランス案件118件では、月額単価の全体中央値は92.5万円（レンジ50〜180万円）です。
監査・GRCは、ガバナンス強化やPMO・上流工程に近い領域で担われることが多くなります。
当社の公開案件では、上流のポジションほど単価が高い傾向です。
当社公開案件の単価感を整理すると次の通りです。
上記は当社が公開しているセキュリティフリーランス案件118件の掲載単価を集計した数値です（2026年9月時点）。
ガバナンス強化スコープのPMO案件は、内部監査経験をそのまま単価に変えやすいポジションです。
たとえばセキュリティ施策推進支援・PMO（ガバナンス強化）のフリーランス案件のように、監査で培った視点が直接活きる案件があります。
気になる方は、当社の公開案件で実際の単価を確認できます。
検索者が最後に抱きやすい細かな疑問を、一問一答で解消します。
いずれも一次情報で裏取りできる範囲でお答えします。
ISMS内部監査は、計画・チェックリスト・実施・報告・是正の5ステップで進めます。
成功の鍵は、独立性を保ち、粗探しではなく改善につなげ、記録を証跡として残すこと。
ここを押さえれば、外部審査にも自信を持って臨めます。
そして、監査で培った規格知識とリスク視点は、フリーランス市場でも希少な武器になります。
ガバナンス強化を担うPMOのような案件では、内部監査の実務力がそのまま単価につながります。
銀行グループのセキュリティガバナンス・FISC対応ルール策定案件のような高難度案件も、監査経験が活きるフィールドです。
監査スキルは、正社員転職でもフリーランスでも活きる強みです。
正社員として転職するならセキュリティプロ・テンショク、フリーランスも視野に入れるならセキュリティプロ・フリーランスで、あなたの経験に合う求人・案件を確認してみてください。
オススメ求人・フリーランス案件
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
【CSIRT運用・インシデントハンドリング】フルリモート（出張併用）／SOC Tier1・インシデント対応
【電力制御システムCEマーキング取得・セキュリティコンサルティング】神戸（フルリモート可）／IEC62443・リスクアセスメント・ガイドライン設計
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
セキュリティエンジニア（PM/PL候補）【年収500-1000万】AWS/Azure経験を活かす
セキュリティエンジニア｜インフラ運用からのキャリアチェンジ（年収350～500万）
セキュリティエンジニア（iOS）【年収700～900万】
