ISMS審査の流れと審査費用の例

1. 審査機関への問合せ・見積り

ISMSの審査にどれぐらいの費用がかかるのか、またどのような手続きが必要なのかは、ISMSの構築開始前、あるいは構築と並行して早期に確認しておく必要があります。

審査費用や諸手続きは各審査登録機関によって若干異なります。そのため、複数の機関に見積りを依頼（相見積り）し、比較検討することをおすすめします。

現在、日本国内でISMS審査を行う機関の一覧は、情報マネジメントシステム認定センター（ISMS-AC）の公式ページよりご確認いただけます。

2. 申請手続き

審査を依頼する機関が決定したら、正式な審査依頼の手続きを行います。この申請時に「申請料金」が発生します。

申請書は各審査機関の指定様式を使用し、会社概要、組織体制、現在の情報セキュリティマネジメントの状況などを詳細に記載します。

【費用目安】 110,000円（30名規模、1サイトの場合）

3. 予備審査（オプション）

審査機関によっては、オプションとして「予備審査」を提供している場合があります。これは本審査（初回認証審査）ではなく、現時点で審査に耐えうる状態にあるか、準備がどこまで整っているかを事前に調査・確認する目的で行われます。

予備審査はあくまでオプション（任意受審）であるため、実施するかどうかは組織の判断に委ねられます。本番の審査がどのように進むのかを事前に体験し、致命的な不適合を回避するためのシミュレーションとして活用する企業も多いです。

【費用目安】 175,000円（30名規模、1サイトの場合）

4. 初回認証審査

本審査である初回認証審査は、「第1段階（ファーストステージ）」と「第2段階（セカンドステージ）」の2回に分けて実施されます。

■ 第1段階審査（文書審査中心）
見積り用アンケート内容の確認などの「事前確認」に加え、ISMSのフレームワーク、適用範囲、リスクアセスメント、リスクマネジメントの手法、および「適用宣言書」の内容を確認します。また、セキュリティポリシーや、それを支える主要な規定・手順が基準を満たしているかをチェックします。

■ 第2段階審査（実務・運用審査）
第1段階で確認したISMSが、実際の現場でルール通りに運用・実施されているかを具体的に確認します。なお、第1段階審査で指摘された内容や結果によっては、第2段階の審査工数（日数や費用）の変更が提案される場合もあります。

【費用目安】（30名規模、1サイトの場合）
・第1段階審査料金：350,000円
・第2段階審査料金：612,500円

5. 認証書発行

すべての審査が終了し、審査登録機関によってISMS認証基準への適合性が認められると、正式に認証書が発行されます。この際、登録・判定にかかる手続き費用が発生します。

注意点として、現地審査が終わってすぐに認証書が発行されるわけではありません。各審査機関が設置する「審査判定委員会（審査議会）」による客観的な審議を経て決定されるため、審査終了から発行までには通常1〜2ヶ月程度の期間を要します。

【費用目安】 130,000円（30名規模、1サイトの場合）

6. 維持審査（サーベイランス審査）

ISMS認証は一度取得すれば終わりではありません。認証を継続して維持するためには、定期的に「維持審査（サーベイランス審査）」を受ける必要があります。

審査の頻度は審査機関や契約内容によって異なりますが、一般的には年1回（3年間の有効期間中に2回）、または年2回（有効期間中に4回）のペースで継続審査が実施されます。

【費用目安】 1年間あたり 480,000円（30名規模、1サイトの場合）

7. 更新審査

ISMS認証の有効期間は3年間です。有効期限を迎えた後も認証を維持し続けるためには、満了前に「更新審査」を受審する必要があります。

更新審査をクリアすると、再び3年間の有効期間が与えられ、再び周期的な「6. 維持審査」のフェーズへと戻ります。ISMSの認証取得を対外的に証明し続ける限り、この「維持審査」と「更新審査」のサイクルを永続的に繰り返すことになります。

【費用目安】 655,000円（30名規模、1サイトの場合）