「ISO認証の取得に向け動き出したばかりで、何をすればいいかわからない」
「前任者から引き継いだけど、内部監査をどう進めていけばいいのかわからない」
「根本的な問題がある気がするのに、核心に迫れず、表面的なインタビューだけで終わってしまった」
ISOの規格要求事項で実施を定められている内部監査について、どこか形式的で、組織の役に立つイメージができないという組織様は多いと思います。

本シリーズでは、ISOの基礎的な知識を身に着けていきますが、この記事では、内部監査についてまず知っておきたい事項を網羅的にご紹介します。改めて内部監査の意義や果たす役割、期待するアウトプットなどを学びましょう。また、最後に「よくある質問」をまとめましたので、参考にしてください。

目次

• 1.　ISOの内部監査について

• 2.　内部監査の目的と役割

• 3.　内部監査の実施頻度と実施時期は？

• 4.　内部監査の具体的な進め方

• 5.　内部監査でよく使われる文書や記録は？

• 6.　内部監査の質を上げるためには？　～監査の手法・監査員に必要なスキル～

• 7.　よくある質問

１．ISOの内部監査について

ISOにおける内部監査とは、組織が自分たちのパフォーマンスを持続的に向上させるために、規格の要求事項に基づいて実施されるプロセスの１つです。

自社の社員や代理人（コンサルタントなど）が、社内の様々な部署の代表に対してヒアリングをし、チェックを行います。

例えば、「組織で運用しているルールや決まりごと」「方針、プロセス、手続きなどのマネジメントシステム」に対して、以下３点を確認していきます。

• ①　ISO規格の要求事項に適合（合致）しているか
• ②　現場で守られているか、きちんと実行されているか、機能しているか
• ③　認証目的や掲げた目標に対して、想定していた成果や効果が出ているのか

これらはそれぞれ、「適合性の監査」「運用の監査」「有効性の監査」という観点に当てはめることができます。

チェックした結果、何らかの問題点／改善できる点が見つかったら、被監査対象の部署に対して「指摘」します。

認証は１度取得して終わりではありません。認証を表明し続ける以上、認証の取得後も、同じ基準を維持しつづける必要があります。

しかし、人の入替えや組織規模、外部環境の変化などにより、仕事の内容や量、ルールや目標はどんどん変わっていき、曖昧になっていきます。

定期的に内部監査を行うことで、「自社の置かれた現状を把握しています」「その上で同じ基準を維持しています」と示すことができるのです。

【豆知識❶】　内部監査についてよくある勘違い

内部監査をする側の誤解

「内部監査とは、問題点を見つけて、指摘することである」

• 　内部監査は、指摘を出すこと自体が目的ではありません！
  　悪い点だけではなく、優れている点や、よりよく改善できそうな点を探して、提案を行ったり、
  　経営層へ現状を報告することで、経営判断の材料を提供する機会とすることが重要です。

内部監査を受ける側の誤解

「指摘を受けるのは悪いこと。監査員から指摘を受けたら、犯人捜しが始まり、咎められる」

• 　指摘を受けることは、悪いことではありません！
  　内部監査は、「今の仕組みは有効か？」を評価するために行われるので、個人への責任追及はありえません。
  　ISOの世界では、ヒューマンエラーが起きたとしても、起きてしまう仕組みの方に原因があるとされることを、事前に周知しましょう。

どうすればもっと組織をよくできるのか？という視点で、ポジティブに取り組むことを大切にしてください。

２．内部監査の目的と役割

ISOの内部監査は、認証登録範囲にあたる事業の業務全般を、しっかり監査する必要があります。

そのため、【ISOへの適合性】、つまり、ISO規格の要求事項に合致しているかチェックするため以外にも、以下のような目的があります。

内部監査の目的

• 【リスク管理】不正やミスを防ぐため

• 【コンプライアンスの徹底】会社のルールや法規制の遵守状況を確認するため

• 【業務プロセス改善】業務の効率を向上させるため

• 【信頼性の向上】利害関係者の安心感を高めるため

内部監査は、組織全体の目標や方針に対する取り組みの状況を再確認する機会でもあります。

現場の実態と方針との間に齟齬は無いか、同じ方向を向いているかを見直すことで、ルールや決まりごとが形骸化するのを防ぐ目的もあります。

また、「内部監査の目的はわかったけれど、現状をチェックして問題点や改善できる点を発見しさえすれば、それでいいの？」と聞かれますが、

それだけでは少し足りません。以下のような役割も求められています。

内部監査の役割

• 問題点や改善すべき点があれば、その根本的な原因を分析する

　事例

• 監査で「不良品率が高い」ことが判明した場合、単に「不良が多い」という指摘で終わらせず、
  作業手順の不備、設備のメンテナンス不足、材料の品質不良、教育不足、計測・検査工程の不備など、あらゆる角度から原因を分析し、
  どの要因が最も影響しているかを特定します。

• 改善策（対策）を提案する

　事例

• 監査で「ライン停止や遅延の発生が多い」ことが判明し、その原因として
  「作業指示書が紙ベースで、更新が遅いせいで、作業員が最新情報を確認するために時間を要していた」という要因を特定した場合、
  電子化によるリアルタイム更新、現場端末での閲覧システム導入などを提案します。

• 指摘を受けた被監査側が、指摘内容を解決するために、修正措置や是正処置を行った際に、その有効性を確認し、フォローする

　事例

• 不良品率改善のためにどんな対策を行うか、計画を立てます。
  「設備の定期点検履歴の管理強化」「サプライヤー評価基準の厳格化」「新規・派遣作業員向け教育の強化」という対策を打ち出した被監査部門に対し、
  「設備故障件数」「不良品の設備起因率」「ライン停止時間」「材料の受入検査での不合格率」「製品不良の材料起因率」「サプライヤー評価スコア」
  「教育受講率と試験結果」「不良率の人員別分析」「作業員の作業時間の安定性」といったエビデンスや、
  そもそも指摘していた不良品率のデータを確認し、改善効果が出ているかを検証し、評価します。

• 一連の結果を、経営層へ報告する

　事例

• 組立工程の監査時、「標準作業手順書の最新版が現場に未配布」という不適合事項が見つかりました。
  この不適合事項の重大度は、リスク評価の結果、不良品発生リスクを考え中レベルとしました。
  また、作業指示書のデジタル化による更新遅延防止を改善提案し、被監査部門の合意の上、是正処置計画を作成しました。
  現在の是正処置の進捗は、先月より手順書電子化プロジェクトを開始し、完了予定日は１年後の●月となります。
  総合評価として、組立工程のマネジメントシステムはおおむね有効ですが、情報伝達に改善の余地があります。

次に、内部監査の実施頻度と実施時期についてご紹介します。

３．内部監査の実施頻度と実施時期は？

では、内部監査の実施時期や頻度は、どうするように定められているのでしょうか？

例として、ISO9001の規格では、次のように記載されています。

頻度に関しては、「あらかじめ定められた間隔」とある通り、「自分たちで決めておいた間隔」で実施すれば、適合です。

しかしながら、「１回も実施しないと決めてしまえば、実施しなくてもいいのか」というと、違います。

毎年受審するISO認証審査で、ISO規格の要求事項に対する取り組み状況や、その効果の程を確認されますので、

必然的に、年度計画に対して、少なくとも年に一度以上は実施するのが望ましいとされています。 

一方で、時期に関しては、直接的に言及されていません。自社で検討し、計画しておく必要があります。

例えば、年度末にかけどんどん忙しくなっていく企業は、5月～8月の間など、前期中に内部監査を行っていることも多いです。

監査側と被監査側、どちらの事情も反映した年間計画を立てましょう。

【豆知識❷】　内部監査を年に複数回やっている企業も存在する！

組織によっては、年に複数回実施していることもあります。当社のグループ審査機関のお客様の例をご紹介します。

組織のリソースは有限なので無理をする必要はありませんが、前回の監査で不適合が大量に見つかったり、元々抱えるリスクが高いプロセスに対してや、

施設の移転や業務内容の大幅な変更といった事情があれば、臨時で監査の回数や時間を増やすなど、臨機応変に対応していきましょう。

次に、内部監査の具体的な実施事項と進め方をご紹介します。

４．内部監査の具体的な進め方

内部監査を実施する流れを、「事前準備」「内部監査の実施」「実施後のフォローアップ」の大きく3段階に分け、それぞれの実施事項を書き出しました。

STEP01　事前準備

STEP02　内部監査の実施

※　被監査者への質問は、「はい/いいえ」で回答できるものより、説明を求めるような質問を投げかけることで、より具体的な回答を得ることができます。

STEP03　実施後のフォローアップ

※　❹「経営層への報告」が、❶「修正・是正処置の実施」❷「効果の確認」よりも早くに行われる場合は、「現在の是正進捗とその完了予定日」を報告します。
※　次回審査で「前回不適合があった箇所の修正・是正処置の状況」を確認します。

効果的な内部監査を実施するためには、これらの一連の流れを、体系的に進める必要があります。

「あの人達だけ何かやっているな」と、一部関係者だけで監査をしている状態にならないよう、体系化したプロセスを社内にあらかじめ周知しておき、

全員参加で進めましょう。

【豆知識❸】　内部監査（二者監査）のガイドライン規格「ISO19011:2018〈マネジメントシステム監査のための指針〉」とは？

マネジメントシステム規格は、「要求事項規格」と「ガイドライン規格」に分けることができます。

「4.　内部監査の具体的な進め方」は、このガイドライン規格の1つである「ISO19011:2018」に記載してある情報を簡単にまとめたものです。

要求事項規格は、認証を取得するために守らなければならない基準ですが、ガイドライン規格は、あくまで推奨事項やお役立ち情報になります。

多くの審査機関やコンサルティング会社が開催している内部監査員の養成研修は、このガイドライン規格を基盤として作成されています。

【豆知識❹】　『監査基準』と『監査証拠や実態』とは

• 監査基準とは、マニュアル、規定、手順書、標準、要領書、計画書などの「社内文書」や、法規制や顧客要求事項などの「順守事項」を指す
• 監査証拠や実態とは、「記録類」「測定結果などのデータ」「監査員による現場作業の観察」「監査員による関係者インタビューでの発言内容」を指す

この『監査基準』と『監査証拠や実態』を対比させることで、監査の結果を、主観的にではなく、客観的に評価することができます。

【豆知識➎】　修正と是正処置の違い

• 修正とは、発見した不適合の現象そのものを、適合した状態に修正し、問題をなくすこと
• 是正処置とは、不適合の真の原因を追究し、対策を行い、発見した不適合の現象が二度と再発しないような仕組みを作ること

どちらも重要なため、どちらも実施しましょう。

５．内部監査でよく使われる文書や記録

内部監査では、どんな書類が使用されているのかご紹介します。

まず、ISO9001の規格では、次のように記載されています。

具体的に、以下❶～❽のような書類を作成し、使用している組織が多いです。

なお、ISOで要求されているのは「内部監査の結果がわかる記録」「内部監査を実施した証拠となる記録」ですので、

特に、❹～❽の記録はきっちり管理しておき、必要な時に取り出したり、見返せるようにしておきましょう。

クリックすると、各書類の記載項目の例が表示されます。

　❶　内部監査規程、規則、手順書、マニュアルなど

記載項目

目的や適用範囲、用語定義、監査の種類（定期監査／臨時監査／自己監査など）、監査責任者や監査員の役割と責任、監査員の認定基準、実施頻度、年間計画の策定方法、指摘の評価区分（適合／不適合／改善の機会などの指摘基準）、監査の実施手順、記録の管理方法（保管期限含）

　❷　年間計画表

記載項目

年度、対象範囲、監査対象部門やプロセス名、実施予定月、監査員の割り当て、リスク評価の結果や優先度

　❸　内部監査員　有資格者リスト

記載項目

氏名、所属、力量を証明する方法・日時・実施場所・主催者・講師名、資格認定日

　❹　内部監査計画書

記載項目

日時・場所、監査対象部門・プロセス名、監査員名、監査目的（例：ISO要求事項の適合性確認、○○の運用確認、システムの有効性確認）、監査基準（ISO規格、社内規程）、監査範囲、必要な資料・準備事項

　➎　内部監査チェックリスト

記載項目

日時・場所、監査対象部門・プロセス名、監査員名、確認項目や質問事項（適合性の観点／運用の観点／有効性の観点）、関連規格項番、指摘の評価区分（適合／不適合／改善の機会などの指摘基準）、参照する文書・記録・客観的事実（監査証拠）

　❻　内部監査記録

記載項目

コメント・メモ欄、関連規格項番、指摘の評価区分（適合／不適合／改善の機会などの指摘基準）、参照した文書・記録・客観的事実（監査証拠）

　※　内部監査記録は、内部監査チェックリストと一体となっている例が多い

　❼　是正処置依頼書および回答書、是正処置報告書、エビデンス

記載項目

不適合や改善の機会の内容、根本的な発生原因、改善策や修正・是正処置の内容、実施期限や責任者などの計画、実施結果（エビデンス）、有効性確認（再発防止の評価）

　❽　内部監査報告書

記載項目

日時・場所、監査対象部門・プロセス名、監査員名、監査目的、監査基準、監査範囲、不適合など指摘事項（詳細、証拠、評価区分）、改善提案（任意）、所見や総評（適合状況／運用状況／有効性の状況）、監査結論

　※　内部監査報告書が、是正処置報告書と一体となっている例もある

こういった文書や記録は、内部監査の計画性や一貫性を保ち、証跡を確保するために役立ちますので、作成しておきましょう。

６．内部監査の質を上げるためには？ ～監査の手法・監査員に必要なスキル～

最後に、内部監査の質を上げるためのポイントについてご紹介します。

　PONT１.　監査の定期的な見直しを行い、現状に合った監査を行う

• ・　監査の目的や範囲は、このままでいいのか（組織を取り巻く変化や、組織の方針や目標の達成と関連しておらず、何年もそのままではないか）
• ・　監査の計画が、現場の実態を把握した上での計画になっているか（リスクの大小を反映していたり、もっとここを見てほしいなど要望はないか）

　POINT２.　指摘された内容やフィードバックを、継続的改善に活用する

• ・　監査で見つかった不適合事例や良い事例は、横展開したり、同様の課題が他部門にも存在していないか確認し、組織全体での改善につなげる
• ・　監査後に、今回監査の参加者からフィードバックを受け取り、次回監査に生かすことで継続的な改善を促進する

　POINT３.　監査員のスキルを向上させる

• ・　定期的に、多様な知識や技術を学べる教育訓練や、他部門との情報交換を行う（ビアレビュー）ことで、監査員に多角的な視点を身に着ける
• ・　監査員の活動内容や成果を評価し、その結果に基づいて必要な教育訓練やフォローアップを洗い出し、実行する仕組みを構築する

また、ISOの内部監査では、多くの監査手法があります。チェックリストに沿って監査を行うのも、手法の１つです。

それぞれの手法にはどんなメリットやデメリットがあり、手法を十全に活かすために、どんなスキルを磨けばよいのか、一覧にして整理しました。

内部監査は「実行するもの」ではなく「活かすもの」です。

これらを念頭に置き、新しい監査手法を取り入れてみたり、必要なスキルを身に着けるための教育訓練を実施してみてください。

７．よくある質問

最後に、内部監査初心者の方からよくいただく質問を解消していきます。

ISOの内部監査の意義や果たす役割、期待するアウトプットなどの基礎的な知識について解説しました。

認証目的、経営方針や目標は、「商品サービスの提供体制の安定化」「セキュリティリスクの低減」「顧客満足度の向上」など、組織によって違います。

どんな目標を掲げるにしろ、継続的改善の風土を組織に根付かせるには、定期的に行う内部監査による見直しが有効です。

ここで紹介したポイントを参考に、質の高い監査を目指して取り組んでみてください。内部監査を組織の成長のための「ツール」として活用しましょう！

お問い合わせ

「ISO認証を取得するのにはいくらかかる？」「結局、必要な準備とは？」「取得までにどのくらい時間がかかる？」といったご相談も承っています。
３営業日内にご回答いたしますので、お気軽にお問合せください。