ISMS認証取得支援の費用：対象範囲と社内作業を確認する

取引先から情報管理体制の説明を求められ、ISMS認証の取得を検討する企業があります。支援会社へ依頼する前に、対象とする組織や事業、拠点、扱う情報を整理することが必要です。書類の作成だけでなく、社内で継続して運用できる体制を含めて費用を比較しましょう。

この記事は法人の検討担当者に向けた一般的な確認ガイドです。特定の事業者の推奨順位や効果を示すものではありません。掲載写真は説明用のイメージで、実際の導入事例や特定の提供会社の実績ではありません。

第一部：よくある状況と比較前の背景

比較を始める前に、今回解決したい課題を一つの文章にし、必須条件と希望条件を分けます。担当者が便利と感じる機能でも、管理部門や実際の利用者が必要とする条件とは異なることがあります。現場担当、管理者、承認者が参加して確認し、導入後に誰の作業が残るのかを明らかにしましょう。現在の困りごとを整理せずにサービス名だけを比べると、導入後に追加の作業や契約が必要になることがあります。

支援契約と認証審査は同じではありません。支援会社が認証の取得を無条件に保証するという説明には依存せず、審査の手続きと自社の実施事項を確認します。公開する認証の表示も、適用範囲を超える説明にならないよう注意しましょう。

第二部：相談を進める具体的な手順

手順1

認証を検討する目的と適用範囲を整理します。事業、拠点、委託先との境界を確認し、必要な範囲を支援会社へ伝えます。

手順2

現状の規程、教育、アクセス権、事故対応の記録を確認します。新しく整える作業と既存の仕組みを活かす作業を分けます。

手順3

支援会社、審査機関、自社担当者の役割を分け、内部監査や運用記録、審査後の改善を誰が担当するか決めます。

第三部：費用構成と選択条件の比較

以下は相場表ではなく、各社に同じ条件で確認するための整理表です。標準範囲と追加契約の境界を確認してください。

見積もりには、初期費用、継続費用、従量費用、追加作業、税の取扱い、最低契約期間を分けて記載してもらいます。同じ依頼条件を各社へ伝え、通常時と件数が増えた場合の二通りで確認すると比較しやすくなります。本稿では未確認の相場や削減額を示していません。掲載時期にかかわらず、実際の金額、対象地域、提供条件は依頼時の正式な見積書で確認してください。

第四部：契約前と開始後の確認

口頭で聞いた説明と契約書に違いがある場合は、署名する前に確認します。「対応可能」「支援する」といった言葉だけでは、無料で実施する範囲や完了の条件は分かりません。成果物、納期、確認方法、修正回数、追加費用の承諾手順を文書にします。試用や相談の段階でも、自社や顧客の実データを必要以上に渡さず、匿名化したサンプルで確認できないか相談しましょう。

導入・委託の開始後は、担当者が変わっても運用できるよう、窓口、権限、作業手順、承認の記録を残します。問題が起きたときに連絡する先と、急ぐ判断を誰が行うかを決めておきます。定例の報告では、完了した作業、未解決の事項、今後の変更予定を分けて確認します。報告書を受け取るだけで終わらせず、社内の担当者へ対応事項を割り当てることが大切です。

変更と契約終了も含めた運用設計

事業の拡大や拠点の変更、担当者の交代があると、当初の条件が合わなくなることがあります。見直しの時期と変更手続き、利用量が増減した場合の料金を確認してください。解約時には、データや資料の出力、引継ぎ支援、返却、削除、残存する契約期間を確認します。移行先が決まってからでは期限に間に合わない場合もあるため、契約前から終了時の手順を把握しておきましょう。

社内で残す比較表には、金額のほか、確認した日、担当窓口、根拠となる資料、未確認の条件を記載します。資料に記載がない項目を推測で埋めず、質問として依頼先へ返してください。条件の異なる提案は無理に順位を付けず、違いを説明できる形で残すと、承認者が判断しやすくなります。実際の試験で分かったことと、営業説明だけの項目を区別することも役立ちます。

依頼先へ渡す確認メモ

• 目的：現在の困りごと、対象部署、今回の委託で達成したい状態。
• 対象：件数、利用者、機器や資料、対象外とする部分。
• 分担：自社で用意する情報、承認者、依頼先が実施する作業。
• 日程：準備、試験、開始、定例確認、変更申請の締切。
• 検収：成果物、確認する担当者、不備がある場合の修正方法。
• 契約：料金、更新、解約、データや資料の返却・削除。

よくある質問

Q. コンサルタントに頼めば社内作業は不要ですか。

A. 情報の把握、責任者の判断、教育、運用記録など、自社で担う作業があります。支援範囲と社内担当を具体的に確認してください。

Q. 料金が最も低い会社を選べばよいですか。

A. 対象と作業範囲が同じか確認してください。最低料金の条件や追加作業、社内に残る工数を含めて比べる必要があります。

Q. 比較する際に実データを渡す必要がありますか。

A. 最初は匿名化した例や条件表で確認できないか相談します。実データが必要な場合は、提供する範囲、取扱い、返却と削除を先に確認してください。

参考資料

制度や情報管理の一般的な確認先として、下記の公式案内を参照します。個別の料金や提供範囲は各社の正式な条件で確認してください。

• ISMS-AC：ISMS適合性評価制度：制度または情報管理の一般的な案内。個別の価格・納期・効果の根拠ではありません。