ISO9001の内部監査のやり方とは？指摘事項の事例とよくある失敗・審査前に見直すポイントを現役ISOコンサルタントが解説

ISO9001の内部監査とは？審査前に形だけで終わらせないための確認

ISO9001の内部監査とは、自社の品質マネジメントシステムが決めたルールどおりに運用され、ISO9001の要求事項にも合っているかを社内で確認する活動です。
外部審査の前に問題を見つけ、必要な改善を行うための重要な仕組みと考えると分かりやすくなります。

内部監査というと、手順書や記録があるかを確認する作業だと思われがちです。
しかし実務では、書類の有無だけを確認しても、内部監査としては不十分です。
大切なのは、手順書に書かれていることが現場で実際に行われているか、記録が後からまとめて作られていないか、問題が起きたときに原因を見直して改善につながっているかを見ることです。

特にISO9001の維持審査や更新審査では、内部監査が形式的になっていないかを確認されることがあります。
毎年同じ質問をして、毎年指摘ゼロで終わっている場合、審査員から「内部監査が有効に機能しているか」を深掘りされることもあります。
内部監査は粗探しではありませんが、会社の運用のズレを見つける役割があります。

イソログに届いたリアルな声｜内部監査のやり方で迷う企業の相談

イソログに届いたリアルな声でも、内部監査については「何を見ればよいか分からない」「指摘を出すと現場と揉めそう」「チェックリストはあるが改善につながらない」といった相談がよくあります。

内部監査は、規格の知識だけでなく、現場の業務、記録の残し方、問題が起きたときの対応まで見る必要があります。
そのため、初めて内部監査員になった担当者ほど、質問の仕方や指摘の書き方で迷いやすくなります。

イソログに届いた相談内容をもとに、内部監査で担当者がつまずきやすい場面をまとめました。

ISO9001の内部監査の基本的なやり方

ISO9001の内部監査は、いきなり現場に行って質問するのではなく、計画、準備、実施、指摘事項の整理、是正処置、フォローアップまでを一連の流れで進めます。
流れを決めずに実施すると、部署によって確認の深さが変わったり、監査結果が改善につながらなかったりします。

実務では、監査対象の部署やプロセスを決め、前回の審査指摘、クレーム、不適合、品質目標の達成状況などを見て、重点的に確認するテーマを決めます。
内部監査は、毎年同じ確認を繰り返すよりも、その年の品質課題に合わせて見る場所を変える方が有効です。

内部監査の結果は、記録として残すだけでなく、是正処置やマネジメントレビューにつなげます。
内部監査で見つけた問題が、原因分析、再発防止、効果確認まで進んでいれば、外部審査でも運用改善の流れを説明しやすくなります。

内部監査で大切なのはチェックリストより実際に運用されているかを見ること

内部監査ではチェックリストを使うことがありますが、チェックリストを埋めること自体が目的になってしまうと、形だけの監査になりやすくなります。
チェックリストは確認漏れを防ぐ道具であり、監査の結論を自動的に出してくれるものではありません。

たとえば、「教育訓練記録がありますか」という確認だけでは、教育が実際に業務に活かされているかまでは分かりません。
新しい作業を担当している社員が必要な教育を受けているか、教育後に力量を確認しているか、作業ミスや不良が減っているかまで見ると、内部監査としての意味が出てきます。

また、「記録がありますか」という質問だけでは、記録が正しく残っているか、後からまとめて書かれていないか、責任者が確認しているかまでは判断できません。
内部監査では、記録の存在だけでなく、手順、実務、記録、改善がつながっているかを見ることが大切です。

今回の記事では、チェックリストの項目を網羅するのではなく、内部監査で見つけた内容をどのように判断し、指摘事項として書けばよいかに重点を置いて解説します。

ISO9001内部監査で確認する主な観点｜記録・現場・責任のつながりを見る

内部監査で確認する観点は、会社の業種や認証範囲によって変わります。
ただし、ISO9001では、どの会社でも共通して見ておきたい考え方があります。
それは、手順、記録、現場の実態、責任者の確認、改善活動がつながっているかを見ることです。

確認項目を細かく並べるだけでは、別記事のチェックリストと重なってしまいます。
ここでは、内部監査でどのような観点を持つと、指摘事項や改善提案につながりやすいかを整理します。

ISO9001の内部監査でよくある失敗5つ

内部監査でよくある失敗は、監査そのものが悪いというより、目的が曖昧なまま進められていることから起こります。
特に、前任者のチェックリストをそのまま使い続けている会社や、審査前だけ内部監査を実施している会社では、監査結果が改善につながりにくくなります。

200社以上のISOコンサルティング支援を実施してきた企業の監修で見ると、内部監査がうまく機能しない会社には共通点があります。
以下の5つは、ISO9001の内部監査で特に起こりやすい失敗です。

指摘事項の事例5件｜どんな項目で何を確認し、どう書くか

内部監査担当者が最も迷いやすいのが、指摘事項の書き方です。
問題に気づいても、「記録がありません」「運用できていません」とだけ書くと、何が問題なのか、どのルールと違うのか、何を直せばよいのかが分かりにくくなります。

指摘事項を書くときは、確認した項目、実際に見た記録や現場、見つかった状態、基準となるルール、改善が必要な理由を整理します。
以下は、内部監査で見つかりやすい内容を、特定企業が分からないように配慮した匿名モデルケースとして整理したものです。

悪い指摘と良い指摘の違い｜指摘文は事実・基準・影響をそろえる

内部監査の指摘文は、現場に伝わるかどうかで改善の進み方が変わります。
悪い指摘は、短すぎる、抽象的すぎる、担当者を責めているように見える、何を直せばよいか分からない、という特徴があります。

良い指摘は、確認した事実が具体的で、どのルールや要求に対して問題があるのかが分かり、放置した場合のリスクや必要な対応が伝わります。
内部監査は現場を責める場ではなく、仕組みのズレを見つけて改善する場です。
そのため、指摘文も個人のミスではなく、仕組みとして何を直すべきかが分かる書き方にすることが大切です。

不適合・観察事項・改善提案の使い分け

内部監査では、見つけた内容をすべて不適合にすればよいわけではありません。
要求事項や社内ルールから明確に外れているものは不適合として扱う必要がありますが、まだ明確な逸脱とまでは言えないものや、より良くできる余地があるものは、観察事項や改善提案として整理する方が現実的な場合があります。

内部監査初心者が迷いやすいのは、「これは指摘にしてよいのか」「改善提案で止めてもよいのか」という判断です。
区分を使い分けることで、現場に過度な負担をかけず、必要な改善を進めやすくなります。

内部監査で指摘すべきか迷ったときの判断基準

内部監査で迷ったときは、まず「何に対してズレているのか」を確認します。
ISO9001の要求事項、社内の手順書、顧客要求、法令要求、過去に決めた是正処置など、基準になるものがある場合は、その基準と実際の状態を比べます。

次に、そのズレを放置した場合にどのような影響があるかを考えます。
製品やサービスの品質に影響するのか、顧客対応に影響するのか、記録として説明できなくなるのか、再発防止ができなくなるのかを見ると、指摘の重さを判断しやすくなります。

たとえば、記録の小さな記入漏れでも、確認者が誰か分からず品質保証上の説明ができない場合は、不適合として扱うべきことがあります。
一方で、記録は残っているが保管場所が分かりにくい、帳票名が部署ごとに少し違う、といった内容は、改善提案として扱う方が自然な場合もあります。

大切なのは、監査員の好みで指摘するのではなく、基準、事実、影響、改善の必要性で判断することです。
この考え方を持つと、現場にも説明しやすくなります。

審査前に内部監査で見直すべきポイント

ISO9001の維持審査や更新審査の前には、内部監査の実施記録だけでなく、内部監査の結果がその後の改善につながっているかを見直すことが重要です。
審査員は、内部監査を実施した事実だけではなく、指摘事項、是正処置、効果確認、マネジメントレビューへの反映まで確認することがあります。

審査前に慌てて内部監査記録を作ると、記録の整合性が弱くなります。
内部監査日、指摘日、是正処置日、効果確認日、マネジメントレビュー日が自然につながっているかを確認しましょう。
日付の順番や内容のつながりが不自然だと、運用が形だけに見えやすくなります。

内部監査が形だけになりやすい会社と改善につながる会社の違い

実際の支援現場で見えてきた独自情報として、内部監査が形だけになる会社と、改善につながる会社には違いがあります。
形だけになる会社では、内部監査が審査前の義務作業になり、毎年同じ質問、同じ記録、同じ結論で終わりがちです。

一方で、改善につながる会社では、内部監査を自社の品質課題に合わせて使っています。
クレームが増えた工程、記録漏れが続いた業務、外注先トラブルがあったプロセスなどを重点的に確認し、指摘事項を是正処置やマネジメントレビューにつなげています。

ここでは、特定企業が分からないように配慮した匿名モデルケースとして、内部監査の違いを整理します。

ISO9001の内部監査を自社だけで進めるべきか、外部支援を使うべきか

ISO9001の内部監査は、自社だけで実施することも可能です。
社内にISO9001の要求事項や業務プロセスを理解している人がいて、監査員の独立性を確保できる場合は、自社で監査計画を作り、部署ごとに確認していくことができます。

一方で、初めてISO9001を取得した会社、内部監査員の経験が浅い会社、毎年指摘ゼロで外部審査では指摘を受けている会社、是正処置が改善につながっていない会社では、外部のISOコンサルタントに相談した方が進めやすい場合があります。

外部支援を使う目的は、監査を丸投げすることだけではありません。
内部監査の観点を整える、指摘事項の書き方を学ぶ、審査前に弱い部分を見つける、是正処置を実務に合う形へ落とし込む、といった使い方もあります。
費用だけでなく、自社の担当者が次回以降も監査できるようになる支援かどうかを確認しましょう。

まとめ｜内部監査は指摘を出すことではなく、審査前に運用のズレを直すために行う

ISO9001の内部監査は、指摘を出すこと自体が目的ではありません。
会社が決めたルールと実際の運用にズレがないかを確認し、外部審査で大きな指摘になる前に改善するための活動です。

内部監査のやり方で大切なのは、チェックリストを埋めることではなく、手順、記録、現場説明、責任者の確認、是正処置の流れを見ることです。
指摘事項を書くときは、感想ではなく、確認した事実、基準となるルール、起きうる影響、必要な対応が伝わる文章にしましょう。

また、内部監査では、不適合、観察事項、改善提案を使い分けることも重要です。
明確なルール違反は不適合として扱い、放置すると問題になりそうな内容は観察事項、より良い運用にできる内容は改善提案として整理すると、現場と協力しながら改善を進めやすくなります。

自社だけで内部監査の進め方や指摘事項の書き方に不安がある場合は、ISO9001の運用支援に強いコンサル会社を比較しておくと安心です。
内部監査、是正処置、マネジメントレビュー、維持審査・更新審査まで支援範囲を確認し、自社に合う会社を選びましょう。

よくある質問