ISO内部監査の進め方｜初めてでもわかる準備・実施・報告の流れ

ISO内部監査の進め方は？まずは全体の流れをつかもう

ISOの内部監査は、自社の仕事の仕組みを、ISO規格や社内で決めたルールと照らし合わせて確認する活動です。
ルールに合っているかだけでなく、仕事の仕組みが目指す結果につながっているかも確かめます。

進め方は、「準備」「実施」「報告」「対応後の確認」に分けると理解しやすくなります。
この4段階を、自社の監査手順と見比べると、準備する資料と担当者を整理しやすくなります。

ISO9001は品質、ISO14001は環境、ISO27001は情報セキュリティを管理する仕組みを扱います。
確認する内容は変わりますが、基準と事実を照らし合わせる考え方は共通しています。

まず、自社が対象としている規格と適用している版、社内の監査手順を確かめましょう。
内部監査の意味や外部監査との違いから知りたい方は、記事末尾のガイド1本目も参考にしてください。

イソログに寄せられたリアルな声

初めて監査を担当すると、進め方の途中で疑問が出てくることがあります。
ここでは、準備から対応後までの疑問を4つの場面で整理しました。

以下は編集部が作成した架空の相談例です。業種・人数・状況は仮設定で、実際に届いた発言や顧客の体験談を紹介するものではありません。

【準備】何を・誰が・いつ確認するかを決める

内部監査の準備では、まず今回の目的と、確認する仕事の範囲を決めます。
どの部署や仕事を、いつ、誰が確認するのかを整理し、対象部署と共有しましょう。

次に、判断に使う基準を確認します。
「監査基準」とは、何と照らし合わせて判断するかということです。
対象のISO規格、社内の手順、関係する法令や契約上の条件などから、今回の仕事に関係するものを整理します。

前回の監査結果や、その後の対応、仕事の変更も参考にします。
たとえば担当者や設備が変わった場合は、変更後の仕事がどう進んでいるかを重点的に見る方法があります。

ここからは、新しい担当者への教育を確認する、架空の会社の想定例で説明します。
この会社では、教育を行い、担当業務ができることを確認し、教育内容と確認結果を記録する手順を定めています。

監査前には、この手順と、最近の教育記録を確認に使う資料として整理します。
何を聞き、どの記録を見たいかをメモやチェックリストにまとめると、当日の確認が進めやすくなります。

監査員は、必要な知識や経験に加え、公平に確認できる担当の組み合わせも考えます。
自分が行った教育を自分だけで評価することを避けるなど、自社の手順に沿って担当を決めましょう。

【実施】担当者の話と、記録・現場を確かめる

監査当日は、最初に目的、範囲、進め方を共有します。
そのうえで担当者に話を聞き、記録や現場の状況から実際の仕事を確かめます。
確認する内容に合う方法を組み合わせましょう。

「実施していますか」と聞くだけでは、具体的な状況がわからないこともあります。
「最近行った仕事を例に、進め方を教えていただけますか」と聞くと、説明と記録を結びつけやすくなります。

教育の想定例では、最近の教育記録を3件確認したとします。
2件には、教育内容と、担当業務ができることを確認した結果が記録されていました。
残りの1件には教育内容はありますが、確認結果が見当たりません。

残りの1件は、確認結果を別の場所に保存しているかを担当者へ聞きます。関連する記録を調べ、見つかった内容と追加で確認する点をメモします。

たとえば、本人や教育担当者から教育を実施したとの説明は得られても、業務ができることを確認した結果の記録が見つからない場合です。
「教育の未実施」と「必要な結果の記録が確認できないこと」は、分けて整理します。

いつの、どの仕事や記録を見たかをメモすると、後で判断の理由を説明しやすくなります。
担当者の返事をどう確かめるかを、監査前に学んでおくことも大切です。

【報告】内部監査報告書に、事実と結果をまとめる

確認を終えたら、結果を対象部署と共有し、自社で決めた報告先へ伝えます。
内部監査報告書は、何を確認し、どのような結果だったかを、後からわかる形にまとめるものです。

書き方の基本は、「判断に使った基準」「確認した事実」「その事実から判断した結果」をつなげることです。
「管理が不十分」と感想だけを書くより、どの仕事の何が確認できなかったかを具体的に示しましょう。

教育の想定例で、追加確認をしても結果の記録が見つからなかった場合は、次のように整理できます。

基準：社内の教育手順では、教育内容と、担当業務ができることを確認した結果を記録する。
事実：確認した3件の教育記録のうち、1件で結果の記録を確認できなかった。
担当者への確認と、他の保管先の確認も行った。
判断：結果を記録するという社内手順の条件が満たされていない。

「不適合」とは、満たすべき条件が満たされていないことです。
この例では、記録に関する条件と事実を結びつけて判断します。
教育の実施や本人の能力については別に確かめ、この指摘は結果の記録に絞って伝えます。

一方、条件は満たしていて、さらに良くできる点は改善の提案として分けて整理します。
採用する改善方法は、業務を担当する部署と検討します。

報告には、確認した範囲と良かった点、確認できなかった範囲なども必要に応じて残します。
項目や書式、結果の呼び方は、自社の監査手順に合わせましょう。

【確認】問題への対応と、改善できたかを確かめる

報告後は、必要な対応と、その後の効果を確認します。問題が繰り返されていないかを確かめることで、業務の改善につながります。

対応を考えるときは、今ある問題を直すことと、原因を調べて繰り返さないようにすることを分けましょう。
後者を「是正処置」と呼びます。
対応する担当と期限、確認する方法は、問題の内容と自社の手順に合わせて整理します。

教育の想定例では、担当部署が記録の不足と、その原因を確認します。
必要に応じて、現在の担当者が業務を行えるかを改めて確かめ、その確認日と結果を記録する方法があります。
改めて確認した場合は、その実施日と結果を今回の記録として残します。

原因を調べて、結果を記入する人と保管する人の役割が曖昧だったとわかった場合を考えます。
担当部署は役割を明確にし、既存の教育記録を保存する前に、必要な内容が記載されているか確認する流れを整えます。

その後は、決めた担当者が、対応を行ったかと、改善の効果が出ているかを確かめます。
次の教育で結果が記録され、必要なときに取り出せるかを見ると、役割分担を見直した効果が分かります。

対応を進めるのは担当部署など、社内で決めた責任者です。
監査員や確認担当者は、決めた対応と効果を確かめます。
確認した結果を残し、会社の見直しや次回の監査に活かしましょう。

初めての内部監査に備える｜ISOトラストの内部監査員養成講座

内部監査の順番がわかっても、実際の場面では「この質問で十分か」「どの記録を見ればよいか」「不適合と判断してよいか」と迷うことがあります。
だからこそ、規格の基本と、質問・確認・判断・報告の方法を、監査前に学ぶことが大切です。

初めて担当する方には、養成講座で規格と監査方法の基礎をまとめて学び、自社の手順や記録と結びつける方法をおすすめします。
その後、社内の経験者と一つの仕事で練習すると、実務へつなげやすくなります。

基礎学習の選択肢として、イソログ運営会社のサービス「ISOトラスト」の内部監査員養成講座をご紹介します。

ISO9001・ISO14001・ISO27001の規格別に用意された、完全オンラインの動画講座です。
各規格のポイントと内部監査の方法を、約30～60分で学ぶ内容と案内されています。
視聴期間の制限なく繰り返し見られ、修了証明書はメールでデータが送付されます。

監査の準備でわからない内容が出てきたときや、結果を報告書にまとめる前に、必要な部分を見直す使い方もできます。
自分の予定に合わせて基礎を学びたい兼任担当者にも、取り入れやすい形式です。

受講前には、教材が対応する規格の版と内容、自社が求める教育条件を確認しましょう。
学んだ基礎を自社の資料で確かめ、質問と報告の練習へつなげることが大切です。

監査の前に、規格と監査方法の基礎を整理しておきたい方は、講座の詳細をご確認ください。
現在の料金と申し込み方法も、講座ページで確認できます。

次に読む｜ガイド4／5

ISO内部監査チェックリストの作り方｜初心者向けの確認項目と質問例

内部監査の流れがわかったら、次は当日に使う確認項目を準備しましょう。
ガイド4本目では、自社のルールから質問と確認先を作る手順を、業種・規格別の想定例と記入例で説明しています。

よくある質問