ISMSの認証機関は、審査費用を比べる前に、認定の有無、自社の業種に近い組織での登録実績、希望の時期に審査できるかの3点で絞ります。
今日やることは、見積もりに使う1枚の資料を作ることです。認証を受ける範囲、従業員数、拠点の数と場所、認証が必要な期限の4つを書きます。この1枚が同じなら、各機関の答えを同じ条件で比べられます。
認証機関と認定機関はどう違う？
認証機関は申請先で、認定機関はその認証機関を確かめる側です。ISMS-ACのパンフレット（2020年版）は、認証機関が組織のISMSを審査し、認定機関が認証機関の審査の能力を国際規格ISO/IEC 27006に照らして確かめる仕組みだと説明しています。
間違えやすいのは申請先です。同じ資料に、申請先はISMS-ACではないと注意書きがあります。問い合わせも、認証の取得については各認証機関へ、と案内されています。
1つ目：認定を受けているか
最初に見るのは認定です。認定がない機関の登録証では、取引先への説明で困ることがあります。
ISMS-ACのISMS認証機関一覧には、2026年10月14日付で28機関が載っています。候補の機関名がここにあれば、ISMS-ACの認定を受けた機関です。
一覧にない機関でも、すぐに対象から外す必要はありません。ISMS-ACのFAQは、英国や米国など他の認定機関から認定を受けた認証機関も、日本でISMSの認証を行っていると説明しています。その場合はISMS-ACの検索には出ません。
一覧にない機関に見積もりを頼むときは、次の2つを聞きます。
- どの認定機関から認定を受けているか
- パンフレットにあるIAFの国際相互承認（MLA）に、その認定機関が署名しているか
登録証の見た目も確かめておきます。同じパンフレットは、認定シンボルと認証機関のマークが並ぶ表示の例を示しています。認定シンボルの使い方は認証機関が定めた規定に従うとされているので、カタログやサイトに載せたい場合は、その規定も見せてもらいます。
取引先の指定を先に聞く
取引先が求めているのがISMS認証なのか、Pマークや別の制度でもよいのかで、選ぶ先が変わります。発注元から求められている場合は、認定機関の指定があるかも申請前に聞いてください。
2つ目：自社の業種に近い組織の登録があるか
業種の経験は、公式の検索である程度確かめられます。ISMS認証取得組織検索は、認証機関、都道府県、組織名、登録範囲で絞り込めます。2026年11月5日時点の登録は8,764組織、公表は8,519組織です。
たとえば、金属部品を作る工場なら、認証機関を1つずつ選び、登録範囲に「製造」「設計」「加工」などの語を入れて検索します。自社と同じ県や近い県で絞ると、移動費の見当もつきます。
この検索には限界もあります。
- 非公開を希望した組織は出ません。登録数と公表数の差がそれにあたるとFAQにあります
- 公開までに2週間程度かかることがあります
- ISMS-AC以外の認定による認証は対象外です
- 件数が多くても、自社を担当する審査員に工場の経験があるとは限りません
そこで、見積もりの依頼時に担当の審査員について聞きます。私たちなら次の聞き方にします。
- 製造業の工場を審査した経験のある審査員を、担当にできますか
- 図面や生産管理のデータを扱う現場を見た経験はありますか
- 審査員が途中で替わることはありますか。替わるときの連絡はいつですか
答えを比べると、機関ごとの差が出やすい部分です。審査員の名前や経歴をどこまで出すかは機関によるので、答えられる範囲で聞きます。
工場を含めるかどうかも、ここで決めておきます。パンフレットによると認証範囲は必ずしも全社でなくてよく、審査日数や工数は範囲や規模で変わります。ただし、図面を預かる取引先が工場まで含めた認証を求めていないかは、確かめておく必要があります。
3つ目：希望の時期に審査できるか
取引先の期限があるなら、日程は費用より先に確かめます。パンフレットによると、初回審査は原則として第一段階と第二段階の2回で、申請受付から認証登録まで最短で3〜4か月程度です。これは2020年の資料の目安で、準備の期間は含みません。
申請すればすぐ審査に入れるとは限らないので、次の3点を聞きます。
- 今申し込むと、第一段階と第二段階はそれぞれいつになりそうか
- 2つの段階の間はどれくらい空くか
- 不適合が見つかったとき、登録までどれくらい延びることがあるか
工場なら、自社の都合も書き出します。棚卸し、決算、大型連休の前後、設備の定期修理の時期は、担当者が審査に付き添えないことがあります。たとえば総務と情シスを1人で兼ねている会社なら、決算月に第二段階が入ると、審査の準備と決算の仕事が重なります。
見積もりでは何を比べる？
費用は3年分で比べます。パンフレットによると、認証の有効期限は3年で、年に1回以上のサーベイランス審査と、3年ごとの再認証審査があります。初回が安くても、維持の費用まで見ないと比べたことになりません。
料金は認証範囲や規模のほか、認証機関によっても異なると同じ資料にあります。相場として示せる公的な統計は確かめられなかったので、この記事では金額を書きません。同じ条件で取った見積もりを比べてください。
| 聞く項目 |
比べる点 |
| 初回審査 |
審査の人日と単価、第一段階と第二段階の内訳 |
| 1〜2年目の審査 |
サーベイランス審査の費用と人日 |
| 3年目の審査 |
再認証審査の費用と人日 |
| 審査以外の費用 |
登録料、登録証の発行、交通費と宿泊費の扱い |
| 変更があったとき |
拠点の追加や範囲の変更にかかる費用 |
依頼先は、3つの点を通った2〜3機関に絞ります。全社に頼むと、比べる側の手間が増えます。金額が近ければ、質問への答えの早さと具体さも判断の材料になります。審査が始まると3年は付き合う相手になるからです。
申請前の準備は、別に考えます。認証機関は利害関係のない公平な立場で審査する側なので、規程づくりまで同じ機関に頼めると決めつけず、見積もりの前に確認してください。
準備を社内だけで進めにくいなら、ISMS・Pマーク取得支援ツールの比較とセキュリティコンサルティングの比較で、文書の作成や内部監査をどこまで支援するかを見ます。
ISMSを取れば取引先の要請に足りる？
要請の中身によります。発注元が求めるものがSCS評価制度の★の場合、ISMS認証と同じではありません。IPAのよくある質問は、★3・★4はベースラインの考え方を採り、ISMSとは相互補完的な制度だと位置づけています。
自社に★が求められそうかは、SCS評価制度の対象を取引の形から確かめる方法で確かめられます。認証より先に外部の目で今の状態を見たい場合は、セキュリティ評価サービスの比較も材料になります。
個人情報の扱いが主な要請なら、Pマークも候補に入ります。取得後の事故報告の決まりはPマークの違反と報告の仕組みで扱っています。取引先の要請と認証の全体像は、サプライチェーンのセキュリティ対策の一覧にまとめています。
