従業員1000名以上の大企業向けISO取得ガイド｜グループ統合・多拠点・監査体制を解説

結論｜1000名以上の企業は「どの会社・拠点を、どの認証に入れるか」から決める

従業員1000名以上の企業では、規格の説明を読むことやマニュアルを作ることより先に、ISO認証の全体図を作ります。
全体図とは、対象となる法人、国・地域、拠点、製品・サービス、規格、認証機関を一枚で確認できる資料です。
すでに認証を持つ会社があれば、その証明書も同じ図へ入れます。
これにより、何を新しく取得し、何を残し、何を将来まとめるかを判断できます。

次に、グループ全体を一つの仕組みで管理するのか、会社別に管理するのか、地域単位でまとめるのかを決めます。
すべてを一つにまとめることが正解とは限りません。
会社ごとに事業、法律、顧客要求、経営権限が大きく違う場合は、個別の認証を残した方が分かりやすいこともあります。
反対に、方針、仕事の進め方、監査、問題への対応を本社が共通管理できる場合は、グループでまとめる方法を検討できます。

その後、本社、地域統括、各社の役割を決めます。
本社は全体方針と重要な判断を行います。
地域統括は言語や現地法令を調整します。
各社と各拠点は、日常の運用と記録を担当します。
最後に、認証機関へ早めに相談し、希望する認証の形が可能かを確認します。
この順番で進めると、現場へ無理な共通化を求めず、経営が必要とするグループ管理にもつなげられます。

最初に決めるのは文書の形ではなく、認証の対象と管理の単位

経営層は、取得目的、対象範囲、取得方法、管理責任、認証機関、進める順番を確認します。
決まっていない項目には、決定する人と期限を付けます。

イソログに寄せられたリアルな声

1000名以上の企業では、一人の担当者がすべての認証を把握しているとは限りません。
本社はグループ全体をまとめたいと考えていても、各社は今の認証を残したいと考えることがあります。
海外では、現地の言語、法律、顧客、認証機関との関係も異なります。
そのため、全体方針を出すだけでは、対象範囲や実施時期をそろえにくい場合があります。

内部監査でも同じことが起こります。
本社が直接確認する会社、地域チームが確認する会社、各社が自分で確認する会社が混在します。
監査の質問や記録方法が違うと、結果を横に並べても比べられません。
また、買収した会社が有効な証明書を持っていても、グループの仕組みへいつ入れるかは別に判断する必要があります。

以下は、こうした相談傾向を基に編集部が作成した想定例です。
実在する企業や担当者の発言ではありません。
自社と同じ項目がある場合は、担当者の努力だけで解決しようとせず、対象範囲、権限、共通基準、認証機関への連絡方法を確認してください。

従業員1000名以上の企業で想定されるISO相談を整理した例です。
特定の会社の体験談ではなく、実在する企業や担当者の発言ではありません。

担当者個人の問題にせず、グループ全体の決め方を確認する

似た状況があれば、まずISO認証一覧と役割分担表を開きます。
誰が情報を集め、誰が最終判断を行い、どの会社へ連絡するかを一つずつ決めます。

従業員1000名以上の企業でISO取得が複雑になる理由

従業員1000名以上という人数は、ISO規格が定めた区分ではありません。
1000名になったから、グループ全体で一つの認証を取ることや、専任担当者を置くことが義務になるわけではありません。
同じ1000名でも、一つの工場に集まる会社と、複数の法人・国・拠点へ分かれる会社では、必要な管理が大きく変わります。

複雑さを生む主な要素は、法人、国・地域、拠点、事業、規格、認証機関の数です。
ここへ現地法令、顧客要求、言語、時差、M&A、会社分割が加わります。
例えば、国内の製造会社と海外の販売会社では、同じISO 9001でも確認する業務や証拠が同じとは限りません。
ISO 14001、ISO 27001、ISO 45001などを併用する場合は、それぞれの専門的な管理も残します。

500名規模の記事では、一つの法人内で部門・拠点・規格をまとめる方法を中心に扱いました。
1000名以上の記事では、複数法人をどこまで同じ仕組みに入れるか、地域統括へ何を任せるか、複数の認証機関をどう管理するかまで広げます。
人数ではなく、意思決定と管理が何段階に分かれているかを確認することが出発点です。

人数ではなく、管理する境界と意思決定の段数を見る

自社の複雑さは、法人・国・拠点・事業・規格・認証機関の六つで数えます。
さらに、組織変更とM&Aの予定を加えて計画します。

最初に知っておきたい3つの言葉

大企業のISO取得では、似た言葉を同じ意味で使うと話がずれます。
まず「グループ統合認証」「マルチサイト認証」「統合マネジメントシステム」の違いを簡単に整理します。
グループ統合認証は、複数のグループ会社や拠点をまとめて認証する場面で使われる表現です。
ただし、どのような証明書が出るかは、組織の仕組み、対象規格、認証機関の方法によって変わります。

マルチサイト認証は、一つのマネジメントシステムの下で複数の拠点を管理し、その仕組みを審査する考え方です。
マネジメントシステムとは、方針を決め、仕事を行い、結果を確認し、改善する会社の仕組みを指します。
複数法人を含められる場合もありますが、中央で管理する機能との関係や権限などの条件があります。

統合マネジメントシステムは、ISO 9001とISO 14001など、複数の規格を一つの仕組みとして運用する考え方です。
これは会社・拠点をまとめる話とは別の軸です。
また、一つの認証機関が各国の審査をまとめて管理するグローバル認証プログラムもあります。
これは認証機関が提供するサービスの形であり、それだけでグループ全体が一つのマルチサイト認証になるわけではありません。

会社・拠点をまとめる話と、ISO規格をまとめる話を分ける

会議資料では、対象会社、対象拠点、対象規格、証明書の形を別々に書きます。
「統合する」だけで終わらせず、何をまとめるのかを明確にします。

まず「会社・拠点ごとのISO認証一覧」を作る

グループ全体の計画を作る前に、現在持っているISO認証を一件ずつ確認します。
会社名だけの一覧では足りません。
法人名、国、拠点、対象となる製品・サービス、規格、証明書の範囲、認証機関、有効期限、次回審査日を記録します。
証明書の写しと、認証機関が出した最新の対象サイト一覧も確認します。

ここで作る「グループISO認証一覧」は、認証の台帳です。
台帳とは、必要な情報を同じ項目で並べた管理表を指します。
証明書に書かれた正式名称と、社内で使う会社名や拠点名が違う場合は、両方を記載します。
認証範囲が一部の事業だけなら、その内容も短い言葉で書き直します。
担当者が変わっても、どこまで認証されているかを確認できる状態にします。

一覧ができたら、期限が近い認証、対象外になっている重要拠点、同じ業務なのに別管理されている認証を見つけます。
認証機関の変更や統合を先に決めるのではなく、事実を確認することが大切です。
情報が見つからない項目には「未確認」と書き、確認する人と期限を設定します。
推測で空欄を埋めないことが、後の範囲変更を減らします。

証明書の正式情報と、社内の分かりやすい説明を一つの表にする

一覧には基準日と版番号を付けます。
更新審査、会社名変更、拠点追加、事業売却などがあったときは、担当者が同じ台帳を更新します。

グループ全体でまとめる？会社別に取る？4つの取得方法を比較

ISO認証一覧ができたら、将来の取得方法を比較します。
一つ目は、グループ全体をまとめる方法です。
本社の中央機能が各社へ共通方針を出し、監査、問題への対応、経営への報告を管理します。
共通する事業や仕事が多く、本社が各社へ必要な変更を求められる場合に検討しやすい方法です。

二つ目は、会社別に認証を持つ方法です。
各社の経営、顧客、法律、仕事が大きく異なる場合に分かりやすくなります。
三つ目は、国や地域ごとにまとめる方法です。
地域統括会社が現地言語と法律を調整できる場合に検討できます。
四つ目は、これらを組み合わせる方法です。
例えば国内はグループでまとめ、海外は地域別または会社別に残します。

比較するときは、費用だけで決めません。
本社の権限、各社の自主性、業務の似ている度合い、顧客が必要とする証明書、現地法令、組織変更の多さ、認証機関の対応力を確認します。
現在の形から一度で変える必要もありません。
期限が近い認証や、共通化しやすい地域から段階的に移す方法もあります。
最終案は認証機関へ説明し、証明書の表記と審査方法を確認します。

一つにまとめることより、会社が実際に管理できる形を選ぶ

候補となる4つの方法を同じ項目で採点します。
決定理由を残しておくと、経営者や組織が変わったときにも見直しやすくなります。

複数のグループ会社を一つの認証に入れられる条件

複数のグループ会社を一つのマルチサイト認証へ含める場合、すべてが同じ法人である必要はありません。
ただし、会社を並べただけでは一つの認証にはできません。
旧IAF MD 1:2023では、各サイトが中央機能と法的または契約上の関係を持ち、一つのマネジメントシステムの管理下にあることが示されています。
中央機能とは、グループ全体のISOの仕組みを管理する役割です。

中央機能には、仕組みを決め、維持し、必要な変更を各サイトへ求める権限が必要です。
全サイトから情報を集め、内部監査の結果や問題への対応を確認します。
また、全体を対象にしたマネジメントレビューを行います。
マネジメントレビューとは、経営層がISOの結果を見て、方針、目標、資源、改善を決める場です。
中央機能そのものを外部コンサル会社へ委託することはできません。
一方、担当者が一つの本社建物に集まる必要はなく、社内の複数部門や地域に分かれて働く形も考えられます。

認証機関が一部のサイトを選んで審査する方法を、サイトサンプリングと呼びます。
これは非常に似た仕事を行うサイト群で検討される方法です。
すべての組織、規格、サイトで使えるわけではありません。
さらに、一つのサイトで重大な不適合が確認されると、対象となるマルチサイト認証全体へ影響する場合があります。
なお、IAFは2026年1月に業務を終了し、Global ACIへ移行しました。
2026年6月の対応表では後継文書が作成中とされています。
申請時には最新のGlobal ACI文書、対象規格のルール、認証機関の案内を確認してください。

会社の資本関係だけでなく、中央から実際に管理できることを示す

申請前に、会社間の関係、中央機能の権限、共通ルール、全サイトの内部監査、中央での経営確認、問題への対応を証拠で確認します。

本社・地域統括・各社の役割を3段階で決める

複数の国と会社を管理する場合は、本社だけですべての判断と確認を行うと、連絡が遅くなります。
反対に、各社へすべて任せると、グループ共通の状態が見えません。
そこで、本社、地域統括、各社・拠点という3段階で役割を分けます。
地域統括がない企業は、本社と各社の二段階にし、必要な役割だけを残します。

本社は、グループ方針、対象範囲、共通ルール、重大な問題、認証機関の方針、経営への報告を担当します。
地域統括は、現地法令、言語、監査員、審査日程、各社からの報告を調整します。
各社・拠点は、日常業務、教育、記録、問題への最初の対応、現地の内部監査を行います。
中央機能の仕事は、本社の一部署だけでなく、これらの社内担当者が連携して担うこともできます。

役割分担表には、「行う人」だけでなく、「最終的に決める人」「相談する人」「結果を受け取る人」を書きます。
特に、認証範囲の変更、重大な問題、現地ルールの例外、認証機関への連絡は、最終決定者を一人または一つの会議体に決めます。
担当者が休職・異動しても止まらないように、代わりの担当者と共有窓口も用意します。

現地で決められることと、グループで決めることを分ける

役割は肩書ではなく、実際に行う仕事で決めます。
会社や地域によって担当部署名が違っても、同じ役割名で結果を集められるようにします。

グループ共通のルールと、国・会社ごとのルールを分ける

グループ統合では、すべての手順書を同じ内容にする必要はありません。
まず、全社が必ず守る共通ルールを決めます。
例として、文書の承認、内部監査の基本、問題の報告、是正処置、経営への報告、認証範囲の変更連絡があります。
これらは、会社ごとの結果を中央で比較し、全体へ必要な対応を出すための土台です。

次に、国・会社・拠点ごとに追加するルールを整理します。
現地法令、顧客契約、設備、勤務制度、言語、災害や治安の条件は同じではありません。
共通ルールの目的を守りながら、現地で必要な手順と記録を追加します。
ISO 9001の製造管理、ISO 14001の環境法令、ISO 27001の情報資産、ISO 45001の危険源など、規格ごとの専門管理も残します。

現地ルールを作るときは、共通ルールとの関係、作成者、承認者、適用先、言語、版、見直し日を記録します。
翻訳版は、原文と同じ内容かを確認する人を決めます。
共通ルールから異なる方法を使う場合は、理由、リスク、代わりの管理、承認期限を残します。
例外を隠さず、管理された違いとして扱うことが大切です。

共通化するのは管理の基本であり、現地の違いまで消さない

共通ルールには目的と最低条件を書きます。
現地ルールには、法律・顧客・設備など、その方法が必要な理由を書きます。
両方を一つの一覧でつなぎます。

認証機関と証明書をまとめて管理する

大企業では、会社や国ごとに異なる認証機関と契約している場合があります。
認証機関とは、会社の仕組みを審査し、規格へ適合していることを証明する第三者です。
ISOそのものが会社を認証するわけではありません。
認証機関を選ぶときは、対象規格と業種を審査できるか、必要な国と言語へ対応できるか、認定の範囲が利用目的に合うかを確認します。
複数社を比較することも大切です。

一社へまとめると、契約窓口、審査予定、報告書の形をそろえやすくなります。
グループ全体の傾向も見やすくなる場合があります。
一方、特定の国・業界・規格に強い認証機関や、顧客から指定される認証機関がある場合は、複数社を残す方がよいこともあります。
一社化が必ず安くなる、審査時間が必ず短くなるとはいえません。

証明書管理台帳には、正式法人名、対象サイト、認証範囲、規格、認証機関、認定、有効期限、審査予定、担当者を記録します。
証明書を変更・統合するときは、現在の認証を切らさない順番を各認証機関と相談します。
会社サイト、提案書、名刺などで認証を表示している場合は、古い範囲を示していないかも確認します。
証明書の最新版と対外表示を同じ管理に入れると、誤解を防ぎやすくなります。

認証機関の数を減らす前に、対応力と証明書の期限を確認する

認証機関の評価と証明書台帳は別の表にしても構いません。
ただし、どの証明書をいつ変更するかを同じ計画から確認できるようにします。

大企業の内部監査は3つの方法を組み合わせる

内部監査とは、会社が自分たちの仕組みと仕事を確認する活動です。
1000名以上の企業では、本社がすべての会社を同じ方法で監査する必要はありません。
主な方法は、本社が直接行う監査、本社と地域・現地の監査員が一緒に行う共同監査、地域や各社の監査結果を本社が確認する方法の三つです。
会社のリスクと現地の監査力に合わせて組み合わせます。

本社直接監査は、重大な事業、買収直後の会社、共通問題が疑われる会社で有効です。
共同監査は、本社の共通視点と現地の言語・法律・業務知識を合わせられます。
現地結果を使う方法は、地域や各社の監査が十分に整っている場合に、本社の負担を抑えられます。
ただし、報告を受け取るだけではなく、監査員の力量、監査範囲、証拠、指摘の判断、対応状況を本社が確認します。

マルチサイト認証を使う場合は、すべての対象サイトを組織の内部監査プログラムへ含めます。
これは、すべてのサイトを毎年同じ時間で監査するという意味ではありません。
重要性、変更、過去の結果、現地法令、顧客への影響から、方法と頻度を決めます。
監査対象一覧には、法人、拠点、業務、規格、前回結果、次回予定、監査方法、担当チームを記録します。

本社が全部行うのではなく、リスクと現地の監査力で方法を選ぶ

毎年の計画だけでなく、複数年で全体を確認する計画も作ります。
大きな変更や重要な問題があれば、予定を待たずに監査範囲を見直します。

一つの会社で見つかった問題をグループ全体で確認する

一つの会社で問題が見つかったときは、最初に現場の影響を止めます。
その後、なぜ起きたかを確認し、同じ仕事、設備、システム、取引先、共通ルールを使う会社がないか調べます。
この確認をグループ影響確認と呼びます。
発生した会社だけで対応を終えると、別の会社で同じ原因が残ることがあります。

本社または中央機能は、問題を三つに分けます。
一つ目は、その会社だけの問題です。
二つ目は、同じ地域や同じ事業に広がる問題です。
三つ目は、グループ共通ルールや共通システムに原因がある問題です。
範囲に応じて、確認する会社、責任者、期限、必要な変更、効果確認を決めます。
各社の対応結果は同じ項目で集めます。

マルチサイト認証では、あるサイトの重大な不適合が認証全体へ影響する場合があります。
重大な不適合とは、仕組みが十分に機能していないなど、認証判断に大きく関わる問題です。
自社だけで影響を小さく判断せず、契約する認証機関へ必要な情報を早めに伝えます。
問題があるサイトだけを急に認証範囲から外して解決する考え方は取らず、原因と全体への影響を正面から確認します。

現場対応の後に、同じ原因がある会社と認証全体への影響を見る

問題管理表には、発生場所だけでなく、共通する業務・設備・システム・取引先・ルールを記録します。
対象外と判断した会社にも、その理由を残します。

各社の結果をグループのマネジメントレビューにつなげる

各社の報告書をそのまま本社へ集めるだけでは、経営判断につながりません。
まず各社で、目標、顧客、法令、監査、問題、変更、必要な資源を確認します。
次に地域統括が、地域内の共通課題と大きな差を整理します。
最後に本社が、グループ全体の方針、認証範囲、資源、優先順位を判断します。
この三段階を一つの流れとして設計します。

報告項目は共通にします。
例えば、重要な目標の達成状況、重大な顧客苦情、法令違反、事故・情報事象、内部監査の重大項目、遅れている是正処置、組織・拠点・事業の変更です。
数値の定義と基準日をそろえ、現地通貨や単位が違う場合は変換方法を決めます。
すべての細かい情報を本社へ送るのではなく、経営が決める必要のある項目を絞ります。

グループのマネジメントレビューでは、結果を聞くだけで終わらせません。
共通ルールを変えるか、追加の監査を行うか、人員や予算を増やすか、認証範囲を変更するかを決めます。
決定後は、対象会社、責任者、期限、確認方法を各地域・各社へ戻します。
緊急性の高い情報は定例会議まで待たず、別の連絡経路で直ちに報告します。

各社の詳しい情報を、地域の傾向とグループの判断へ変える

会議の回数を増やすことが目的ではありません。
既存の経営会議を使い、ISOに必要な入力と決定を追加する方法も検討します。

M&A・会社分割・売却があるときのISO対応

M&Aで会社を買収しても、その会社のISO認証が自動的にグループ認証へ入るわけではありません。
最初に、証明書の有効性、正式法人名、認証範囲、対象拠点、認証機関、次回審査日、未完了の審査指摘を確認します。
さらに、グループ共通ルールと買収先の仕組みの差、現地法令、顧客が必要とする証明書を調べます。

買収直後は、現在の認証を維持しながら事実を確認する方法があります。
その後、会社別認証を残す、地域認証へ入れる、グループ全体へ入れるという案を比較します。
統合する場合は、中央機能の権限、共通ルール、教育、運用記録、内部監査、経営確認が整ったことを確認してから認証機関へ申請します。
吸収・合併によって仕組みの統合度が下がることもあるため、証明書の見た目だけを先にそろえません。

会社分割、売却、拠点閉鎖では、対象から外れる法人・サイト・業務を確認します。
証明書、審査計画、会社サイト、提案書、認証マークの利用、文書へのアクセス、保存が必要な記録を見直します。
法人名、所有関係、対象範囲に変化がある場合は、認証機関へ早めに連絡します。
変更後も以前の範囲が認証されているように見える表示は修正します。

会社が加わるときも離れるときも、証明書より先に事実と管理権限を確認する

M&A確認表は法務、事業、ISO、現地担当が共同で更新します。
未確認項目を残したまま統合日だけを決めず、確認完了を次の段階へ進む条件にします。

海外拠点と既存認証を数年かけてまとめる進め方

グループ全体の認証を一度に変更する必要はありません。
まず、顧客要求、法令上の重要性、事業への影響、有効期限、現在の管理状態から優先順位を決めます。
代表的な会社や地域をモデル対象にし、共通ルール、報告、内部監査、認証機関との連絡を試します。
モデル対象で確認した内容を、次の地域へそのまま配るのではなく、現地との差を調べてから広げます。

段階計画は、現状確認、将来の取得方法、モデル運用、地域ごとの展開、全体の安定化に分けます。
各段階には準備完了ゲートを置きます。
準備完了ゲートとは、次へ進んでよいかを判断する確認点です。
対象範囲、権限、共通・現地ルール、教育、運用記録、内部監査、経営確認、認証機関との合意がそろっているかを見ます。

日程は、各証明書の有効期限、審査予約、現地の休日・繁忙期、言語、移動、組織変更を考慮します。
費用は外部審査だけでなく、社内担当者、翻訳、移動、監査員教育、システム整備も含めて見積もります。
必要な期間は会社ごとに違うため、「大企業なら何年」と固定しません。
認証機関の予定と各地域の準備状態を見ながら、経営層が順番を更新します。

有効期限と現地の準備状態を見ながら、地域ごとに広げる

計画には日付だけでなく、次へ進む条件、判断者、必要な証拠を記載します。
条件を満たさない場合は、支援追加、順番変更、延期を比較します。

まとめ｜グループ全体の認証を一つの計画として管理しよう

従業員1000名以上の企業では、マニュアル作成より先に、会社・拠点ごとのISO認証一覧を作ります。
法人、国、拠点、事業、規格、認証機関、有効期限を同じ表にすると、現在の認証を残す場所、新しく取得する場所、将来まとめられる場所が見えてきます。
その上で、グループ全体、会社別、地域別、組み合わせ型の4つから、自社が実際に管理できる取得方法を選びます。

複数法人を一つのマルチサイト認証へ含めるには、会社間の関係だけでなく、一つの仕組みと中央機能の実質的な権限が必要です。
本社、地域統括、各社の三段階で役割を分け、全社共通の最低限のルールと、法律・顧客・設備に合わせた現地ルールをつなぎます。
認証機関を一社にまとめるかどうかは、対応国、言語、規格、専門性、顧客要求、期限、費用を同じ条件で比べて決めます。

内部監査は、本社直接、共同、現地結果の確認という3つの方法を、会社のリスクに合わせて使います。
一社で問題が見つかったら、同じ原因が他社にもないかを調べます。
各社の結果は地域で整理し、本社のマネジメントレビューで方針、資源、認証範囲を判断します。
M&A、売却、分社化、拠点閉鎖があるときは、証明書と実際の管理範囲を同時に見直します。
これらを段階計画と準備完了ゲートで管理すれば、広いグループでも無理のない順番でISOを整えられます。

全体図・役割・監査・変更を、同じ会社と拠点の単位でつなぐ

各資料には基準日、所有者、確認者、次回更新日を付けます。
経営判断で取得方法が変わった場合は、関係する資料をまとめて更新します。

迷った方にはこの会社がおすすめ！

少数精鋭による柔軟なサポートと月額3万円から利用できる料金体系が魅力

ISOトラストは、ISO9001・ISO14001・ISO27001・ISO45001を中心に、企業の規模や業種、事業内容に合わせたオーダーメイド型のISOコンサルティングを提供しています。

月額30,000円（税込33,000円）から利用できるリーズナブルな料金体系も特徴の一つで、ISO取得にかかるコストをできるだけ抑えたい企業にも相談しやすいサービスです。

また、認証取得だけを目的とするのではなく、「取得後も運用しやすいマネジメントシステム」の構築を重視しています。
事前のヒアリングを丁寧に行い、各企業の業務フローや課題を把握したうえで、実態に合ったISO運用を提案しています。

さらに、文書作成や審査準備だけでなく、内部監査や更新審査、再認証審査まで継続してサポートしているため、初めてISO認証を取得する企業はもちろん、現在のISO運用を見直したい企業にも適しています。
オンラインにも対応しており、全国の企業へ柔軟な支援を提供しています。

よくある質問