この記事は19分で読むことができます。

「ISO認証の取得に向けて動き出したばかりで、何をすればいいかわからない…」
「前任者から引き継いだけれど、内部監査をどう進めていけばいいのかわからない…」
「根本的な問題がある気がするのに、核心に迫れず、表面的なインタビューだけで終わってしまった…」
ISOの規格要求事項で実施を定められている内部監査について、どこか形式的で、組織の役に立つイメージができないという組織様は多いと思います。

本シリーズでは、ISOの基礎的な知識を身に着けていきますが、この記事では、内部監査についてまず知っておきたい事項を網羅的にご紹介します。
改めて、内部監査の意義や果たす役割、期待するアウトプットなどを学びましょう。
また、最後に「よくある質問」をまとめましたので、参考にしてください。

ISOにおける内部監査とは、組織が自分たちのパフォーマンスを持続的に向上させるために、規格の要求事項に基づいて実施されるプロセスの１つです。
自社の社員や代理人（コンサルタントなど）が、社内の様々な部署の代表に対してヒアリングをし、チェックを行います。

例えば、「組織で運用しているルールや決まりごと」「方針、プロセス、手続きなどのマネジメントシステム」に対して、以下３点を確認していきます。

1. ISO規格の要求事項に適合（合致）しているか
2. 現場で守られているか、きちんと実行されているか、機能しているか
3. 認証目的や掲げた目標に対して、想定していた成果や効果が出ているのか

これらはそれぞれ、「適合性の監査」「運用の監査」「有効性の監査」という観点に当てはめることができます。
チェックした結果、何らかの問題点／改善できる点が見つかったら、被監査対象の部署に対して「指摘」します。

認証は一度取得して終わりではありません。
認証を表明し続ける以上、認証の取得後も、同じ基準を維持しつづける必要があります。

しかし、人の入替えや組織規模、外部環境の変化などにより、仕事の内容や量、ルールや目標はどんどん変わっていき、曖昧になっていきます。

定期的に内部監査を行うことで、「自社の置かれた現状を把握しています」「その上で同じ基準を維持しています」と示すことができるのです。

どうすればもっと組織をよくできるのか？という視点で、ポジティブに取り組むことを大切にしてください。

ISOの内部監査は、認証登録範囲にあたる事業の業務全般を、しっかり監査する必要があります。
そのため、【ISOへの適合性】、つまり、ISO規格の要求事項に合致しているかチェックするため以外にも、以下のような目的があります。

内部監査の目的

• 【リスク管理】不正やミスを防ぐため
• 【コンプライアンスの徹底】会社のルールや法規制の遵守状況を確認するため
• 【業務プロセス改善】業務の効率を向上させるため
• 【信頼性の向上】利害関係者の安心感を高めるため

内部監査は、組織全体の目標や方針に対する取り組みの状況を再確認する機会でもあります。
現場の実態と方針との間に齟齬は無いか、同じ方向を向いているかを見直すことで、ルールや決まりごとが形骸化するのを防ぐ目的もあります。

また、「内部監査の目的はわかったけれど、現状をチェックして問題点や改善できる点を発見しさえすれば、それでいいの？」と聞かれますが、それだけでは少し足りません。
以下のような役割も求められています。

内部監査の役割

次に、内部監査の実施頻度と実施時期についてご紹介します。

では、内部監査の実施時期や頻度は、どうするように定められているのでしょうか？
例として、ISO9001の規格では、次のように記載されています。

頻度に関しては、「あらかじめ定められた間隔」とある通り、「自分たちで決めておいた間隔」で実施すれば、適合です。

しかしながら、「１回も実施しないと決めてしまえば、実施しなくてもいいのか」というと、違います。

毎年受審するISO認証審査で、ISO規格の要求事項に対する取り組み状況や、その効果の程を確認されますので、必然的に、年度計画に対して、少なくとも年に一度以上は実施するのが望ましいとされています。

一方で、時期に関しては、直接的に言及されていません。
自社で検討し、計画しておく必要があります。

例えば、年度末にかけどんどん忙しくなっていく企業は、5月～8月の間など、前期中に内部監査を行っていることも多いです。

監査側と被監査側、どちらの事情も反映した年間計画を立てましょう。

組織によっては、年に複数回実施していることもあります。
当社のグループ審査機関のお客様の例をご紹介します。

組織のリソースは有限なので無理をする必要はありませんが、前回の監査で不適合が大量に見つかったり、元々抱えるリスクが高いプロセスに対してや、施設の移転や業務内容の大幅な変更といった事情があれば、臨時で監査の回数や時間を増やすなど、臨機応変に対応していきましょう。

次に、内部監査の具体的な実施事項と進め方をご紹介します。

内部監査を実施する流れを、「事前準備」「内部監査の実施」「実施後のフォローアップ」の大きく3段階に分け、それぞれの実施事項を書き出しました。

効果的な内部監査を実施するためには、これらの一連の流れを、体系的に進める必要があります。

「あの人達だけ何かやっているな」と、一部関係者だけで監査をしている状態にならないよう、体系化したプロセスを社内にあらかじめ周知しておき、全員参加で進めましょう。

マネジメントシステム規格は、「要求事項規格」と「ガイドライン規格」に分けることができます。

「4.　内部監査の具体的な進め方」は、このガイドライン規格の1つである「ISO19011:2018」に記載してある情報を簡単にまとめたものです。

要求事項規格は、認証を取得するために守らなければならない基準ですが、ガイドライン規格は、あくまで推奨事項やお役立ち情報になります。

多くの審査機関やコンサルティング会社が開催している内部監査員の養成研修は、このガイドライン規格を基盤として作成されています。

• 監査基準とは、マニュアル、規定、手順書、標準、要領書、計画書などの「社内文書」や、法規制や顧客要求事項などの「順守事項」を指す
• 監査証拠や実態とは、「記録類」「測定結果などのデータ」「監査員による現場作業の観察」「監査員による関係者インタビューでの発言内容」を指す

この『監査基準』と『監査証拠や実態』を対比させることで、監査の結果を、主観的にではなく、客観的に評価することができます。

• 修正とは、発見した不適合の現象そのものを、適合した状態に修正し、問題をなくすこと
• 是正処置とは、不適合の真の原因を追究し、対策を行い、発見した不適合の現象が二度と再発しないような仕組みを作ること

どちらも重要なため、どちらも実施しましょう。

内部監査では、どんな書類が使用されているのかご紹介します。
まず、ISO9001の規格では、次のように記載されています。

具体的に、以下❶～❽のような書類を作成し、使用している組織が多いです。
なお、ISOで要求されているのは「内部監査の結果がわかる記録」「内部監査を実施した証拠となる記録」ですので、特に、❹～❽の記録はきっちり管理しておき、必要な時に取り出したり、見返せるようにしておきましょう。

クリックすると、各書類の記載項目の例が表示されます。

※　内部監査記録は、内部監査チェックリストと一体となっている例が多い

※　内部監査報告書が、是正処置報告書と一体となっている例もある

こういった文書や記録は、内部監査の計画性や一貫性を保ち、証跡を確保するために役立ちますので、作成しておきましょう。

最後に、内部監査の質を上げるためのポイントについてご紹介します。

また、ISOの内部監査では、多くの監査手法があります。
チェックリストに沿って監査を行うのも、手法の１つです。
それぞれの手法にはどんなメリットやデメリットがあり、手法を十全に活かすために、どんなスキルを磨けばよいのか、一覧にして整理しました。

内部監査は「実行するもの」ではなく「活かすもの」です。
これらを念頭に置き、新しい監査手法を取り入れてみたり、必要なスキルを身に着けるための教育訓練を実施してみてください。

最後に、内部監査初心者の方からよくいただく質問を解消していきます。

ISOの内部監査の意義や果たす役割、期待するアウトプットなどの基礎的な知識について解説しました。
認証目的、経営方針や目標は、「商品サービスの提供体制の安定化」「セキュリティリスクの低減」「顧客満足度の向上」など、組織によって違います。
どんな目標を掲げるにしろ、継続的改善の風土を組織に根付かせるには、定期的に行う内部監査による見直しが有効です。
ここで紹介したポイントを参考に、質の高い監査を目指して取り組んでみてください。

「ISO認証を取得するのにはいくらかかる？」「結局、必要な準備とは？」「取得までにどのくらい時間がかかる？」といったご相談も承っています。
３営業日内にご回答いたしますので、お気軽にお問合せください。