ISMSにおけるマネジメントレビューとは?進め方について
ここでは、ISMSのマネジメントレビューの基本であるインプットとアウトプットや、必要な手順などについて解説しています。
マネジメントレビューとは
マネジメントレビューとは、定期的に実施される「運用報告」のように考えるとわかりやすいでしょう。目的は、組織のISMS運用を継続的により良いものに改善していくことです。
具体的には、内部監査の結果や利害関係者からのフィードバックをもとに、組織のISMS運用が適切に運用されているかどうかを経営陣が見直す活動を指します。少なくとも年に1回定期的に実施する必要があり、改善のための施策を推進する際には重要な役割を果たします。
マネジメントレビューのメリット
組織や企業のISMSが適切に運用されているかどうかを経営層が評価する活動「マネジメントレビュー」。レビューを行うことでどのようなメリットが得られるのか4つのポイントについてまとめています。
組織が抱えるリスク・課題の共有
マネジメントレビューでは、組織や企業のマネジメント体制を振り返り問題点などを分析し、必要があればその結果に対して改善を図ることが求められます。そこで重要になるのがリスクや課題の共有です。決定権のある経営層にリスクや課題を共有することで、体制やシステムの改善を図り、事業環境の健全化に繋げられます。
経営判断の要素になる
マネジメントレビューはによって、経営層は現時点のマネジメント体制をまとめたインプット情報を元に、適切な経営判断を行えきます。また、マネジメントレビューは情報セキュリティに関する内容だけでなく、目標の達成状況やリスク評価などを定期的に確認し、有効性を評価します。その結果を参考にして組織や企業の情報セキュリティ戦略や方針を決定し、適切な対策を実施するための基盤にもなります。適切な経営判断を下すためにもマネジメントレビューは欠かせない要素と言えるのです。
マネジメントシステムの質を保てる
規格に基づき一定期間の実績を振り返り、改善を行うためのマネジメントレビューはマネジメントシステムの質を保つために有効な経営管理活動になります。マネジメントレビューそのものがマネジメントシステムの適切な運用について、問題点や成果などを見直すための仕組みです。問題点や目標としていた成果とのギャップを把握することで、対処法を考えられ正常なマネジメントに繋げられます。
マネジメントレビューの実施時期・タイミング
マネジメントレビューの実施は、組織や企業の状況に応じて決めるのが一般的です。タイミングについては、年間の目標や計画を策定し、実績を評価するには通期で見る必要があることから、年1回の実施が一般的です。また、半期で目標や計画を設定している場合は、半期毎に実施するとよいでしょう。
しかし、技術の進歩に伴う新しいリスクや顧客や取引先からの新たなセキュリティ要求など、環境は常に変化しているため、年1回のマネジメントレビューでは改善の機会を逃す可能性もゼロではありません。そのような事態にならないよう必要に応じてレビューを実施し、次のPDCAサイクルに向けてトップマネジメントが改善を指示することが望ましいでしょう。
マネジメントレビューに必要なインプットとアウトプット
マネジメントレビューで使われるインプットとアウトプットとは、どのような事なのでしょうか。それぞれの概要とともに知っておくべきことについて、必要事項をまとめました。
インプット
トップマネジメントが効果のある対応や提案を実行するためには、インプットという工程がとても重要です。例えば「セキュリティに関する予算の割り当ては、どの程度の金額を想定しているのか」など、実際のISMS運用に活かしていけるような具体的な質問を心がけます。また、要求事項にあわせたチェックシートなども活用し、どのような情報を集める必要があるのかを明確にしておきます。
マネジメントレビューは、トップマネジメントにインプットの内容を報告し、アウトプットの提案や指示を引き出すための取り組みです。事前に問題点を明確化しておき、それに応じたインプットとアウトプットを意識して臨みましょう。
アウトプット
マネジメントレビューに対しての結論が「アウトプット」です。インプットされた事項はアウトプットする必要があり、報告された問題点を改善していくためにどうすべきなのか、トップマネジメントは主体的に考える必要があります。さらに、マネジメントレビューで明らかになった情報セキュリティへのリスク対応も、トップマネジメントが、その改善策や方向性を示さなければなりません。
マネジメントレビューの流れ
マネジメントレビューの重要性はわかっているが、どう取り組めばよいのかわからないという組織も少なくありません。しかし、マネジメントレビューには基準となる国際規格があり、基本的な流れがあります。組織によって細かな点は異なると思いますが、ここではその基本的な流れに沿って紹介していきます。
1.インプットを整理する
はじめに、トップマネジメントに報告するインプット情報を整理します。インプットで報告する内容は、あらかじめ決まっているので、規格に記載された内容を参考にしながら準備を行います。また、マネジメントシステムの有効性を評価することも求められているため、目標に対する達成状況を、未達成となっていればどのように見直しを行う必要があるかについてもインプットします。
2.トップマネジメントに報告する
情報を整理できたら、トップマネジメントに対して報告を行います。一般的には、ISMS責任者が報告を行うことが多く、報告にかかる時間は数分〜数時間と、組織の事情によって異なります。
3.トップマネジメントからのアウトプットを記録する
トップマネジメントはインプット情報を受けて、現システムの実態と問題点を把握し、改善処置を決定し、ISMS責任者に対してアウトプットします。アウトプットには明確な決まりはありませんが、改善するためにどうすべきなのか、活動をどう変化させていくのか、トップマネジメントも主体的に考え指示を行う必要があります。
また、記録が必要になるため、インプットとアウトプット項目をとりまとめて記録を作成し、トップマネジメントの決定を組織内に示します。
マネジメントレビューで注意するべき点
組織や企業が実施してきたマネジメントについて、振り返りを行い分析することで有効な改善策の策定につながるマネジメントレビューには、妥当性や正確さが求められます。ここではマネジメントレビューで注意するべき点について、2つのポイントに絞ってまとめています。
実施の目的を明確にする
マネジメントレビューの目的は、現状の課題を洗い出し、組織や企業のマネジメントシステムを継続的により良いものに改善していくことです。ただ報告するだけという形骸化を防ぐためにも注意すべき点は、マネジメントレビューを何のために行うのかの明確化が重要です。
チェックシートを活用する
マネジメントレビューの目的が明確になっていれば、より正確なインプットのために、要求事項にあわせたチェックシートの活用がおすすめです。チェックリストを用いることで経営層がインプットだけでなく、アウトプットもやりやすくなるため、どのような情報を集める必要があるのかをリストにしておきましょう。
まとめ
マネジメントレビューは、トップマネジメントにとって重要であり、積極的にかかわることが大切です。また、年に1回とにかくやっておけばよいということではなく、日常的に行われてこそ効果的なものです。
マネジメントレビューには標準化された国際規格もあり、それをきちんと理解することで組織としての信用も得られます。そして、しっかりとした改善を実行できれば、つねに改善を目指す組織体制の構築にもつながります。
自社内のノウハウやスキルでは、マネジメントレビューに関してどのように対応するべきなのか確立が難しい場合にはプロのサポートを仰ぐのも一つの手です。
ISMS認証コンサル
ISMS認証コンサルを選ぶ際、選ぶポイントは大きく「費用」「対応業種」の2つに分かれます。無駄なコストをかけないためにも、自社の目的に応じたISMSを得意とするコンサルティング会社を選ぶようにしましょう。ここでは2024年1月24日に「ISMS認証コンサル」で検索し表示されたコンサルティング会社のうち、ISMS認証取得のコンサルティングを主業務とする企業の中から、ISMS(ISO27001)の審査通過率が100%で、支援実績数が1,000件以上(調査時点)ある2社をご紹介します。
で選ぶなら

- 業界最安値※13.3万円/月
- 実働不要フルアウトソーシング
- 取得後も負担がない運⽤サポート
で選ぶなら

- 幅広い業種への対応実績
- 企業実態に合わせたISO取得
- 顧客の工数を約80%カット
ISOサポート | ISOプロ | |
---|---|---|
費用 | 月額3.3万円 (税込) |
月額4.4万円 (税込) |
期間 | 通常6か月 | 通常6~7か月 |
支援実績 | 1,450社 | 1,500件超 |
継続率 | 97% | 90.8% |
【選定基準】
※2024年1月24時点、Google検索において「ISMS認証コンサル」と検索して検索結果100位までに表示された企業のうち、ISMS(ISO27001)認証取得コンサルティング業務を行っている会社の中から、ISMS(ISO27001)の審査通過率が100%で、今回の調査時点で支援実績数が1,000以上であることが記載されている企業。