ISO 27001を取得済みの企業がプライバシーマークを求められた場合、あるいはその逆の場合に、「統合マネジメントシステムとして一本化できます」と説明されることがあります。
これは正しく、実際に工数も減ります。ただし一本化できるのはマネジメントシステムの部分であって、管理策ではありません。この違いに気づくのが遅れると、数か月単位の手戻りになります。
全体像を一枚にまとめました。
実際に統合できる部分
両規格とも附属書 SL の箇条構成を採用しています。箇条4から箇条10まで（組織の状況、リーダーシップ、計画、支援、運用、パフォーマンス評価、改善）の構造は共通です。
つまり、規程は一式で足り、内部監査プログラムも、マネジメントレビューも、是正処置のプロセスも、それぞれ一度実施すれば両規格の要求を満たせます。文書を二重に作る必要も、マネジメントレビューを二回開く必要もありません。JIS Q 15001は2023年の改正でこの構成を採用しており、規格本文にも、二つ以上のマネジメントシステムを運用する組織にとって共通の取組が有益である旨が明記されています。
すでにISMSが機能している企業であれば、この部分の追加負荷はごくわずかです。
統合できない部分
ここからが、多くの方が想定されていない部分です。
ISO 27001:2022は管理策を附属書 Aに置いています。93項目を組織的・人的・物理的・技術的に整理し、リスクに応じて選択して適用宣言書に明示する。審査で問われるのはこれです。
JIS Q 15001:2023にも附属書 Aがあります。ただし中身はまったく別のものです。A.1からA.28は個人情報保護に関する管理策であり、個人情報保護法が定める義務（利用目的の特定、適正な取得、第三者提供の制限、開示・訂正等への対応、従業者の監督、委託先の監督、漏えい等の報告）で構成されています。
これらはセキュリティ管理策ではなく、法令上の義務です。そしてPマークの審査で実際に問われるのは、この附属書 Aです。
ISO側の経験から入ると、管理策の審査を想定して準備してしまいがちですが、Pマークの審査はそういう性質のものではありません。維持審査と同じ感覚で臨むと、準備の方向がずれます。
安全管理措置はどこにあるか
附属書 Dにあります。ただし、この附属書の位置づけを正確に押さえておく必要があります。
A.10が安全管理措置を定めており、その詳細は附属書 Dを参照する構成になっています。しかし附属書 Dは規定ではなく参考です。規格自身が、リスク分析の結果を踏まえて適宜選択して利用できる包括的なリストとして示している、と説明しています。
そして中身の出自が重要です。表 D.1はJIS Q 27002:2014を基に作成されており、細分箇条番号D.5〜D.18は同規格の箇条番号に対応しています。JIS Q 27002:2014はISO/IEC 27002:2013の国内規格であり、ISO 27001が2022年版で93管理策に再編する前の、14箇条・114管理策の世代にあたります。
したがって、ISO 27001:2022を保持している場合、自社の管理策は2022年版の構成にある一方、Pマーク側は附属書 Dを通じて2013年世代を参照していることになります。番号での対応付けはできません。突き合わせは手作業であり、自動的に解決してくれるツールは、少なくとも私が把握している範囲では存在しません。
では、どう進めるか
以上は、両規格を別々に運用すべき理由にはなりません。統合による削減効果は依然として大きく、しかも削減できるのは工数のかかる部分、つまりマネジメントシステム、文書体系、監査プログラムです。
ただし、工数の見積もりは正直に分けてください。マネジメントシステムの統合は構造的な作業が中心で、比較的速く進みます。一方、管理策の突き合わせは、誰かが腰を据えて一度きちんと行う必要のあるマッピング作業です。ここは別枠で工数を確保し、統合後の初回審査の「最中」ではなく「前」に済ませ、対応関係を文書として残してください。翌年の内部監査で同じ作業を繰り返さずに済みます。
避けたいのは一点だけです。どちらも「附属書 A」と呼ばれているために同じ種類のものだと考えてしまうこと。中身は別物であり、その差こそが指摘事項の出どころになります。
統合の進め方や審査前の確認についてご相談がある場合は、内部監査サービスをご覧ください。