【図解】JIS Q 15001:2023の要求事項を体系図で整理しました
本資料は、JIS Q 15001:2023（個人情報保護マネジメントシステム）の要求事項を、体系図を元にわかりやすく解説した実務者向けのガイドです。
2023年の改正JIS規格は、ISOマネジメントシステム規格との親和性を高めるため、上位構造（HLS：High Level Structure）を参照した構成へと大きく刷新されました。プライバシーマーク（Pマーク）の構築・運用・更新対応に携わる方が、新規格の全体像と要点を最短で理解できるよう、主要な変更点を整理しています。
💡 本記事で解説する3つのキーポイント
- 2017年規格からの構成変更点：本文（箇条4〜10）と附属書Aの役割分担の明確化
- 附属書SL（HLS）への近接：他ISO規格（ISO 27001等）との統合・同時運用の容易化
- 3つのレベルのPDCAサイクル：経営・戦略・現場レベルでの自律的な運用の明確化
目次
※画像クリックで体系図（PDF）を表示します
1. 附属書SL（HLS）参照による他ISOとの整合性
JIS Q 15001:2023規格は、「ISO/IEC専門業務用指針 第1部 統合版ISO補足指針」の附属書SL（マネジメントシステム規格の共通上位構造：HLS）をベースに構成されています。
通常、ISOのマネジメントシステム規格（ISO 27001やISO 9001など）はこの附属書SLに適合して作られているため、共通の章建て（箇条4～箇条10）や中核となる用語の定義が統一されています。
※独自規格でありながら「ISO規格への整合性」を保つ理由
JIS Q 15001には直接対応する国際規格（ISO）そのものは存在しません。しかし、今回の改正で附属書SLを参照し、「ISO規格との構造の共通化（整合性）」を保つ構成としたことで、ISMS（ISO/IEC 27001）など他のマネジメントシステムと同時に運用・統合管理することが非常に容易になりました。
ただし、日本の個人情報保護法やPマーク特有の要求事項を包含する必要があるため、完全に準拠するのではなく、あくまで「整合性を持たせた独自の構成」となっています。
2. 何が変わった？本文（箇条4〜10）と附属書Aの関係性の見直し
2023年改正における最大の変更点は、「規格本体（本文）」と「附属書A」の役割・関係性が180度見直された点にあります。これにより、2017年規格で指摘されていた「構造の分かりにくさ」が解消されました。
2017年規格から2023年規格への変更点まとめ
| 対象 | 旧：2017年規格 | 新：2023年規格 |
|---|---|---|
| 規格本体（本文） | 抽象的なMS（マネジメントシステム）規定が中心。 | 旧・附属書AにあったMS規定を「箇条4〜10」へ完全統合。本体だけでマネジメントシステム（MS）の要求事項が完結。 |
| 附属書Aの役割 | MS規定と個人情報保護法対応の規定が混在し、重複感があった。 | 個人情報保護法（法令）の内容に対応する管理策のみに特化。 |
| 管理策の記載方法 | 法令を一部引用しつつ、要求・推奨・許容事項を網羅。 | 原則として、法令基準を超える組織独自の「上乗せ規定」のみを簡潔に記載する方式へ全面的に変更。 |
Pマーク実務者への影響
2017年規格では「本文のMS規定」と「附属書AのMS規定」が二重に存在しているように見えたため、実務上の対応関係の把握が難解でした。
2023年規格では、マネジメントシステムの器（ルール）は本文（箇条4〜10）で作り、具体的な個人情報の取り扱いリスクへの対応（中身）は附属書Aで担保するという役割分担が明確になり、すっきりとした構造になっています。
3. 新規格でより明確になった「3つのレベルのPDCAサイクル」
附属書SLの共通テキストに完全準拠したことで、JIS Q 15001における個人情報保護マネジメントシステム（PMS）の運用構造には、役割や視点の異なる「3つのPDCAサイクル」が存在することがより明確になりました。
JIS Q 15001:2023における3層のPDCA構造
- 【組織・経営レベル】自律的・継続的なシステム改善のためのPDCA
- 【管理・戦略レベル】リスクに応じた優先順位付けと戦略的アプローチのPDCA
- 【現場・運用レベル】個人情報のライフサイクルに応じた実施プロセスのPDCA
A. 【組織・経営レベル】システムの確立と継続的改善
組織が外部環境・内部環境の課題を把握し、利害関係者（顧客、従業員、株主など）のニーズや期待を考慮した上で、個人情報保護の方針を定め、組織全体で自律的にシステムを維持・継続的改善していくための最上位のPDCAサイクルです。
B. 【管理・戦略レベル】優先順位付けと戦略的な取り組み
経営方針を反映し、組織が直面している個人情報保護のリスクと機会を評価するレベルです。すべてのリスクに一律に対応するのではなく、適切なリスクアセスメントに基づいた優先順位付けを行い、計画的かつ戦略的にPMSを機能させるためのPDCAサイクルです。
C. 【現場・運用レベル】業務プロセスにおける実務と運用
実際の現場（各部門や業務フロー）において、個人情報の取得、利用、保管、提供、消去といったライフサイクルに応じた安全管理措置や法的要求事項を確実に実行・監視する、実務に直結した実施プロセスのPDCAサイクルです。
4. まとめ
このように、JIS Q 15001:2023は「形だけのルール遵守」ではなく、経営層から現場までが一貫したPDCAを回す構造へと進化しています。
当ウェブストアでは、これら新規格の要求事項に完全準拠した、実務ですぐに使える各種規程・様式サンプル、社内教育用テキストを豊富に取り揃えております。スムーズな新規格移行や新規構築にぜひお役立てください。
💡 Pマーク取得の工数を大幅に削減しませんか？
「一から規程を作る時間がない」「何を書けばいいのか分からない」とお悩みの担当者様へ。
当サイトでは、本記事で解説した各ステップを最短距離で進めるための「プライバシーマーク取得支援パッケージ」を販売しています。具体的な手順をゼロから構築する時間を大幅に削減できます。
5. よくある質問（Q&A）
- Q. 古いPマーク規程を最新のJIS規格に更新するには？マイナンバー法への対応も可能ですか？
- A. 当店で販売しております「プライバシーマークサンプル文書集」は、JISQ15001:2023及び、個人情報保護法、マイナンバー法も考慮して作られております。
→ 古いPマーク規程を最新のJIS規格に更新する方法についてはこちら - Q. Pマークを取得している会社とは個人情報保護に関する覚書を締結することは必須なのでしょうか？
- A. 相手企業がプライバシーマーク（Pマーク）を取得しているからといって、必ずしも覚書を締結する必要はありません。
→ Pマークを取得している会社とは個人情報保護に関する覚書を締結することは必須かについてはこちら - Q. PMS文書とは？PMSマニュアルと同じ意味ですか？規程・様式との関係。
- A. 「PMSマニュアル」は組織の管理体制を記した全体設計図であり、規程や様式、方針書をすべて含めた総称を「PMS文書」と呼びます。
→PMS文書とは？PMSマニュアルと同じ意味ですか？規程・様式との関係についてはこちら
