Pマーク内部監査のやり方｜失敗しない進め方と手順を徹底解説
- 7月31日
- 読了時間: 16分
Pマークの内部監査では、現場の運用状況を確認するだけでなく、自社の内部規程が構築・運用指針の要求事項に合っているかを確認する「適合状況の監査」と、規程どおりに運用されているかを確認する「運用状況の監査」の両方が必要です。
また、業務フローだけを基準にすると、法令の確認、公表事項、情報システムの安全管理、個人情報を直接取り扱わない部門などが監査対象から漏れる可能性があります。
本記事では、監査員の選任や計画書・チェックリストの作成、監査の実施、報告書の作成、是正処置まで、Pマーク内部監査のやり方を分かりやすく解説します。
1. Pマークの内部監査とは？目的と役割をわかりやすく解説
1.1 Pマークの内部監査で確認する2つの内容
Pマークの内部監査では、主に「適合状況の監査」と「運用状況の監査」の2つを実施します。
適合状況の監査では、自社の内部規程がPマークの構築・運用指針の要求事項に合っているかを確認します。必要な項目が規程に定められているか、法令や社内体制の変更が反映されているかなどを点検します。
一方、運用状況の監査では、定めた規程や手順が実際の業務で守られ、有効に実施・維持されているかを確認します。規程に「個人情報を含む書類は施錠して保管する」と定めていても、実際に施錠されていなければ適切な運用とはいえません。
内部監査では、規程の内容と現場の運用状況をそれぞれ確認することが重要です。
1.2 内部監査を定期的に実施する理由
Pマークの内部監査は、少なくとも年1回、また必要に応じて実施することが求められます。
個人情報を取り扱う業務は、担当者の異動や新しいシステムの導入、法令の改正などによって変化します。取得時には適切だった規程や手順でも、時間の経過とともに現場の実態と合わなくなる可能性があります。
定期的に内部監査を行うことで、規程の不足や運用上のずれを早期に発見し、外部審査を受ける前に改善できます。重大な事故や大きな業務変更があった場合には、年次監査を待たずに追加の監査を検討することも大切です。
1.3 内部監査と外部審査・日常点検の違い
内部監査、外部審査、日常点検は、それぞれ実施する主体と目的が異なります。
区分 | 実施主体 | 主な目的 | 頻度の目安 |
|---|---|---|---|
内部監査 | 社内の監査員 | 内部規程の適合状況とPMSの運用状況の確認 | 少なくとも年1回・必要に応じて実施 |
外部審査 | 審査機関 | Pマークの審査基準への適合状況を第三者が評価 | 申請・更新時など |
日常点検 | 各部門の担当者 | 日々の運用状況を自ら確認 | 日常的・定期的 |
日常点検は、各部門が日々の業務の中で行う自己確認です。内部監査では、日常点検だけでは発見しにくい規程の不足や、部門をまたぐ運用上の問題を独立した立場から確認します。
日常点検で小さな問題を早めに直し、内部監査で組織全体を確認することが、PMSの形骸化を防ぐうえで重要です。
2. Pマーク内部監査を始める前の準備とやり方
2.1 内部監査員の選任と独立性の確保
内部監査を始める前に、監査責任者と監査員を選任します。監査の客観性を保つため、監査員は原則として自分が担当する業務を自ら監査しないようにします。
選任時には、次の点を整理しておきましょう。
監査責任者と監査員の役割
各部門を誰が監査するか
監査員が理解すべき内部規程や要求事項
監査結果の報告先
自部門を別の担当者が確認する体制を整えることで、思い込みや見落としを防ぎやすくなります。小規模な組織で人員の確保が難しい場合は、監査対象との独立性をできる限り保てるよう、担当の組み合わせを工夫することが重要です。
2.2 監査計画書に記載する項目
内部監査を計画的に進めるため、事前に監査計画書を作成します。計画書では、適合状況の監査と運用状況の監査の対象や実施内容を明確に区分しておくことが大切です。
主な記載項目は以下のとおりです。
監査の目的
監査の種類
実施日
対象部門・事業所
監査範囲と監査基準
監査責任者と監査員
使用するチェックリスト
結果の報告方法
適合状況の監査と運用状況の監査は、実施内容や記録が区別できるように整理します。また、個人情報を直接取り扱う部門だけでなく、組織内のすべての部門や事業所が監査対象に含まれているかも確認しましょう。
Pマークの申請様式では、「適合状況の監査」と「運用状況の監査」について、それぞれ実施日または実施期間を記載します。そのため、両者の実施内容と結果を明確に区分して記録しておくことが重要です。
2.3 全部門を対象に監査範囲を決める
Pマークの構築・運用指針では、運用状況の監査について、個人情報を多く扱う部門だけでなく、組織内のすべての部門を対象に実施することが求められています。
一見すると個人情報を扱っていない部門でも、名刺、メール、従業員情報、問い合わせ記録などを保有している場合があります。また、不要な個人情報が保管されていないか、全社共通のルールが守られているかという視点からの確認も必要です。
監査計画を作る際は、組織図や事業所一覧をもとに対象を洗い出し、監査漏れがないか確認します。そのうえで、個人情報の取扱量や過去の指摘内容に応じて、確認の深さや時間配分に差をつけると効率的です。
2.4 業務フローと要求事項の両面から監査項目を決める
個人情報の取得、利用、保管、提供、廃棄までを業務フローに沿って確認する方法は、運用上のリスクを見つけるうえで有効です。特に、部門間で情報を受け渡す場面や、委託先へ提供する場面は、責任の所在が曖昧になりやすいため重点的に確認します。
ただし、業務フローだけを基準にすると、監査項目が漏れる可能性があります。監査項目は、次の視点を組み合わせて作成しましょう。
構築・運用指針の要求事項
自社の内部規程や手順
各部門の業務フロー
過去の内部監査や外部審査の指摘
事故、苦情、業務変更の内容
業務フローは重点項目を見つけるために活用し、監査範囲そのものを限定する基準にはしないことが重要です。
2.5 業務フローに表れにくい項目も確認する
内部監査では、通常の業務フローに表れにくい管理項目も対象に含めます。
たとえば、次のような項目です。
個人情報保護に関する法令や指針の確認
個人情報保護方針や保有個人データに関する公表事項
苦情や開示等の請求への対応体制
教育や緊急事態対応の記録
委託先の選定や管理状況
文書や記録の管理
特に、Webサイトなどで公表している内容は、法令や自社規程に合っているか、最新の状態に保たれているかを確認します。現場業務だけでなく、PMS全体を支える管理活動まで含めて監査することが、項目漏れを防ぐポイントです。
2.6 情報システムやインフラの安全管理を確認する
サーバー、パソコン、クラウドサービスなどの情報システムは、個人情報を扱う業務の基盤です。業務フロー上では目立たなくても、安全管理措置が適切に実施されているかを内部監査で確認する必要があります。
主な確認項目には、次のようなものがあります。
OSやソフトウェアの更新状況
ウイルスやマルウェアへの対策
アクセス権限の設定と見直し
退職者や異動者のアカウント管理
バックアップと復旧手順
不審メールや添付ファイルへの対応
インシデント発生時の連絡体制
すべての対策を一律に求めるのではなく、自社のリスク分析や内部規程で定めた安全管理措置が、実際に行われているかを確認することが基本です。
3. Pマーク内部監査の進め方と実施手順
3.1 監査当日までの準備を整える
内部監査を円滑に進めるため、事前に監査計画書とチェックリストを準備し、対象部門へ実施日や確認内容を通知します。
あわせて、監査で使用する内部規程、教育記録、点検記録、委託先管理記録などを確認できる状態にしておきましょう。準備する資料をあらかじめ整理しておくことで、当日の確認漏れや時間超過を防ぎやすくなります。
3.2 適合状況の監査で内部規程を確認する
適合状況の監査では、自社の内部規程が構築・運用指針の要求事項に合っているかを確認します。
主な確認内容は、次のとおりです。
必要な事項が内部規程に定められているか
法令や組織体制の変更が規程に反映されているか
規程同士に矛盾や不足がないか
構築・運用指針で規定化が求められている事項に漏れがないか
規程が古いままになっている場合や、要求事項の一部が記載されていない場合は、現場で適切に運用していても不適合につながる可能性があります。
3.3 運用状況の監査で実施状況を確認する
運用状況の監査では、適合状況の監査で構築・運用指針の要求事項に合っていることを確認した内部規程や手順に基づき、PMSが実際に実施・維持されているかを確認します。
担当者へのヒアリングだけでなく、記録や現物もあわせて確認することが重要です。たとえば、書類の施錠状況、アクセス権限、教育記録、委託先の確認記録、Webサイトの公表内容などを実際に確かめます。
「実施している」という回答だけで判断せず、記録や現場の状態から客観的に確認することが、実効性のある監査につながります。
3.4 全部門とインフラを漏れなく確認する
運用状況の監査では、個人情報を多く扱う部門だけでなく、組織内のすべての部門を対象にします。
また、サーバーや端末、クラウドサービスなど、業務フローに表れにくい情報システムやインフラの安全管理状況も確認します。個人情報を直接取り扱わないと認識している部門についても、個人情報が保管されていないか、全社共通のルールが守られているかを確認しましょう。
一方、法令や指針、公表事項に関する規定が構築・運用指針に適合しているかは、適合状況の監査で確認します。実際に法令の確認や公表内容の更新が行われているかは、運用状況の監査で記録やWebサイトを確認します。
3.5 監査結果を報告書にまとめる
監査後は、確認結果を監査報告書にまとめます。口頭の講評だけで終わらせず、事実と判断の根拠を記録として残すことが重要です。
報告書には、次の内容を記載します。
監査日時と監査員
監査の種類
対象部門と監査範囲
確認した内容と方法
不適合や改善事項
是正期限と担当者
適合状況の監査と運用状況の監査の結果は、区別して記録します。監査結果を経営層や関係部門へ共有することで、是正処置や今後の改善につなげやすくなります。
4. 内部監査チェックリストの作り方と確認項目
4.1 適合状況を確認するチェック項目を作成する
適合状況の監査のチェックリストでは、自社の内部規程が構築・運用指針の要求事項に合っているかを確認します。
主な確認項目は、次のとおりです。
必要な事項が内部規程に定められているか
法令や指針の変更が規程に反映されているか
規程や手順書の内容に矛盾がないか
組織体制や実際の業務に合った内容になっているか
構築・運用指針の要求事項と内部規程の対応関係が確認できるか
要求事項と内部規程を対応させた一覧を用意すると、規定漏れを確認しやすくなります。
4.2 運用状況を確認するチェック項目を作成する
運用状況の監査では、自社で定めた規程や手順が、実際の業務で守られているかを確認します。
チェック項目は、次の視点から洗い出しましょう。
自社の内部規程や手順
各部門の業務フロー
過去の内部監査や外部審査の指摘
個人情報に関する事故や苦情
システムや業務内容の変更
たとえば、「個人情報を含む書類が規程どおりに保管されているか」「教育を計画どおりに実施し、記録を残しているか」など、現物や記録で確認できる項目にします。
4.3 業務フローに表れにくい項目も盛り込む
チェックリストを業務フローだけから作成すると、PMS全体に関わる項目が漏れる可能性があります。
特に、次の項目は意識して盛り込みましょう。
個人情報保護に関する法令や指針の確認
個人情報保護方針や保有個人データの公表
開示等の請求や苦情への対応
委託先の選定と管理
教育や緊急事態対応
サーバーや端末などの安全管理
アクセス権限やアカウントの管理
個人情報を直接取り扱わないと認識している部門についても、不要な個人情報を保有していないか、全社共通のルールを守っているかを確認します。
4.4 具体的な質問形式にする
チェック項目は、事実に基づいて判断できる具体的な質問にします。「適切に管理しているか」といった抽象的な表現では、監査員によって判断が分かれやすくなるためです。
たとえば、次のように記載します。
個人情報を含む書類は、規程で定めた方法で保管されているか
退職者や異動者のアクセス権限は、定めた期限内に変更されているか
個人情報保護に関する教育記録が保存されているか
Webサイトの公表事項は最新の内容になっているか
Yes・Noだけで終わらせず、確認した記録や現物、担当者の回答も記載できる欄を設けると、判断の根拠を残せます。
4.5 網羅性を確保したうえで重点項目を決める
内部監査では、リスクの高い業務を重点的に確認することが大切です。ただし、リスクが低いと判断した部門や項目を、監査対象から外してよいわけではありません。
まず、要求事項と組織内のすべての部門を監査対象として押さえます。そのうえで、次の項目に監査時間を多く配分します。
個人情報の取扱量が多い業務
新しく開始・変更した業務
過去に不適合があった項目
事故や苦情が発生した業務
安全管理上のリスクが高いシステム
チェックリストは毎年同じものを使い続けず、業務や法令、システムの変更に合わせて見直しましょう。
5. Pマーク内部監査で見つかりやすい不適合と是正処置
5.1 適合状況の監査で見つかりやすい不適合
適合状況の監査では、構築・運用指針の要求事項が内部規程へ十分に反映されていないケースが見つかります。
代表的な例は、次のとおりです。
法令や指針の変更が規程に反映されていない
公表事項や開示等の手続に関する規定が不足している
組織変更後も責任者や役割が更新されていない
規程同士の内容に矛盾がある
安全管理措置に関する手順が明確でない
現場で問題なく対応できていても、必要な内容が規程に定められていなければ、不適合と判断される可能性があります。
5.2 運用状況の監査で見つかりやすい不適合
運用状況の監査では、規程や手順は整備されていても、実際の運用が追いついていないケースが多く見られます。
主な不適合の例は、次のとおりです。
個人情報を含む書類の保管方法が規程と異なる
教育や日常点検の記録が残っていない
退職者や異動者のアクセス権限が残っている
委託先の評価や見直しを実施していない
Webサイトの公表事項が古いままになっている
セキュリティ対策やバックアップの確認記録がない
個人情報を扱わないと認識している部門で、名刺や顧客情報が保管されているケースにも注意が必要です。
5.3 不適合の原因を分析する
不適合が見つかった場合は、その場で修正するだけでなく、発生した原因を確認します。
たとえば、教育記録が残っていなかった場合、単に記録を作り直すだけでは十分ではありません。担当者が記録方法を理解していなかったのか、責任者や保存場所が決まっていなかったのかまで確認します。
担当者個人の注意不足だけで終わらせず、手順、教育、役割分担、確認体制に問題がなかったかを検討することが重要です。
5.4 是正処置と有効性確認を行う
原因を特定したら、再発を防ぐための是正処置を実施します。
基本的な流れは、次のとおりです。
不適合の内容と影響を確認する
発生原因を分析する
是正処置と担当者、期限を決める
規程の改定や教育などを実施する
是正処置が機能しているか確認する
規程を改定しただけで終わらせず、現場で新しい手順が守られているかまで確認します。是正処置後の再監査や記録の確認を行い、同じ不適合が繰り返されていないことを確かめましょう。
5.5 監査結果をマネジメントレビューにつなげる
内部監査の結果は、経営層へ報告し、マネジメントレビューの判断材料として活用します。
複数の部門で同じ不適合が起きている場合は、担当者だけの問題ではなく、教育体制や人員、システムに原因がある可能性があります。経営層が必要な資源や改善方針を検討することで、現場だけでは解決しにくい課題にも対応できます。
内部監査を指摘して終わる手続きにせず、是正処置と経営判断までつなげることが、PMSを継続的に改善するうえで重要です。
6. 東京の中小企業のPマーク運用を支える株式会社フクロウ
6.1 適合状況の監査と運用状況の監査の両面を支援
Pマークの内部監査では、内部規程が構築・運用指針の要求事項に合っているかを確認する適合状況の監査と、規程どおりに業務が行われているかを確認する運用状況の監査の両方が必要です。
株式会社フクロウでは、規程の不足や矛盾を確認するとともに、現場での実施状況や記録の有無まで確認できる監査体制づくりを支援します。監査計画書やチェックリストの作成についても、自社の業務内容に合わせて整理します。
6.2 業務フローだけに偏らない監査項目を設計
業務フローに沿ったリスク分析は、個人情報の取扱いにおける問題を見つけるうえで有効です。ただし、業務フローだけでは、法令の確認、公表事項、情報システムの安全管理などが漏れる可能性があります。
株式会社フクロウでは、構築・運用指針、自社規程、業務フロー、過去の指摘事項を組み合わせて監査項目を設計します。個人情報を直接取り扱わない部門や事業所も含め、組織全体を確認できる体制づくりを支援します。
6.3 内部監査から日常運用まで一貫して支援
Pマークは、取得や更新の審査を通過すれば終わりではありません。教育や日常点検、委託先管理、規程の見直しなどを継続しなければ、運用が形骸化する可能性があります。
株式会社フクロウでは、次のような支援を行っています。
規程やマニュアルの整備
申請・更新書類の作成支援
社内教育の実施
内部監査の計画・実施支援
日常点検の仕組みづくり
不適合への是正処置の支援
内部監査で見つかった課題をその場限りの修正で終わらせず、日常業務の改善につなげることを重視しています。
6.4 Pマーク運用に不安がある段階から相談できる
株式会社フクロウでは、これからPマークを取得する企業だけでなく、更新を控えている企業や、取得後の運用が滞っている企業からの相談にも対応しています。
まずは現在の規程や運用状況を確認し、どの部分に改善が必要かを整理します。内部監査のやり方が分からない場合や、監査項目に漏れがないか不安な場合も、自社の状況に合わせた支援を受けられます。
7. まとめ：Pマーク内部監査のやり方を押さえ実効性ある運用へ
Pマークの内部監査では、自社の内部規程が構築・運用指針の要求事項に合っているかを確認する適合状況の監査と、規程どおりにPMSが実施・維持されているかを確認する運用状況の監査の両方が必要です。
監査項目は業務フローだけから決めるのではなく、構築・運用指針、自社規程、過去の指摘事項などを踏まえて設定します。個人情報を直接取り扱わない部門も含めた全部門、公表事項、法令の確認、情報システムの安全管理などを監査対象から漏らさないことが重要です。
不適合が見つかった場合は、その場で修正するだけでなく、原因分析、是正処置、有効性確認まで行い、結果をマネジメントレビューにつなげます。日常点検と内部監査を組み合わせ、継続的に見直すことで、形だけではない実効性のあるPMS運用を目指しましょう。
Pマーク内部監査の設計から運用定着まで株式会社フクロウが支援
株式会社フクロウは、東京の中小企業を対象に、規程整備、監査計画書やチェックリストの作成、適合状況の監査・運用状況の監査の実施、是正処置、日常点検まで一貫して支援しています。
Pマークの取得や更新を控えている場合だけでなく、内部監査の進め方や監査項目の網羅性に不安がある場合も相談できます。
コメント