プライバシーマーク取得までの流れと標準スケジュール｜活動計画の立て方を解説
プライバシーマーク（Pマーク）の新規取得を目指す際、担当者が最初に直面するのが「具体的に何を、どの順番で進めればよいのか」という全体像の見えにくさです。
体制構築や教育、リスクマネジメント、そして運用・内部監査から最終的な審査申請に至るまで、フェーズごとの核心的なポイントを「活動計画の指標」として図示しました。
特に、場当たり的な対応ではなく、PDCAサイクルに基づいた「個人情報保護マネジメントシステム（PMS）」をいかに定着させるかが、スムーズな審査通過の鍵となります。
本記事では、初めて実務を担当する方が迷わず進められるよう、一般的な取得活動の流れを全6ステップで詳しく解説します。体制構築から教育、運用、そして最終的な審査に至るまで、フェーズごとの核心的なポイントを整理しました。
この記事で解決できること
- 取得までの全体像と期間の把握
- 各フェーズで「何をすべきか」の明確化
- 挫折しやすい「躓きポイント」の回避
- 効率的に短期間で取得するためのノウハウ
- 取得にかかる費用の見積もり
目次
Pマーク取得の全体像と、取得にかかる一般的な期間
取得までの道のりは、組織の規模や既存の管理体制によって異なりますが、一般的には6ヶ月〜1年程度の期間を要します。スムーズな認証取得には、共通して押さえるべき基本的なステップと重要なマイルストーンを把握することが不可欠です。
【標準的】取得までのスケジュール目安
| フェーズとステップ | 期間（目安） |
|---|---|
事前準備フェーズ
| 2〜4ヶ月 |
運用フェーズ
| 2〜5ヶ月 |
申請・審査フェーズ
| 2〜3ヶ月 |
まずは以下の活動計画図を参考に、自社の状況に合わせた無理のない計画立案にお役立てください。
※画像クリックでPDF形式の活動計画表が表示されます
ステップ1：事前確認と体制構築
最初のステップでは、組織全体でPマーク取得に取り組むための土台作りを行います。
【ここが躓きポイント！】
「適用範囲」の定義が曖昧だと、後のリスク洗い出し作業が膨大になり、計画が破綻しがちです。また、トップの「キックオフ宣言」が形式的すぎると、現場の協力が得られず教育が進まない原因になります。
① スケジュールの策定
目標とする取得時期から逆算し、現実的な計画を立てます。審査機関の混雑により、申請から受審まで数ヶ月待つケースもあるため注意が必要です。
実施のポイント
- エクセル形式のサンプル活動計画表（簡易版）などのテンプレートを利用すると計画しやすい。
- 「申請＝即審査」ではなく、審査機関（JIPDECや各付与事業者）の混雑状況によって、取得までの期間が大きく変わってきます。「申請・審査」は2～3ヵ月を見込みスケジュールを作成しましょう。
② ワーキンググループの設置と責任者の決定
円滑な推進のため、各部門から実務に詳しいメンバーを選定します。リーダーとなる「個人情報保護管理者」には、社内規定を動かす権限を持つ役職者が適任です。
実施のポイント
- 「個人情報保護管理者」は、トップマネジメント（代表取締役や社長などの経営層）が、役員（監査役を除く）または正社員以上の方から指名する必要があります。
- 「個人情報保護管理者」は、PMS構築・運用に関する業務を行う組織の運用責任者となります。
③ 個人情報保護方針の策定と公表
組織の基本姿勢を内外へ示します。JIS Q 15001の要求事項を満たす必要があるため、一から作成するよりは、信頼できるサンプル文書（雛形）をベースに自社の実態に合わせるのが効率的です。
実施のポイント
- 「個人情報保護方針書（見本）」を参考に作ると効率的に作成できます。
④ キックオフ宣言
代表者は、朝礼や掲示、配布などといった方法で、関連する全てのスタッフに協力を要請する意図も込め、PMS導入スタートを示します。
⑤ 組織の内外部の課題と利害関係者のニーズの理解
組織の目的に関連し、PMSに影響を与え得る外部及び内部の課題を決定。また、関連する利害関係者を決定し、それらの個人情報保護に関連する要求事項（法的及び規制の要求事項並びに契約上の義務など）を決定します。
実施のポイント
- 「内外の課題及び利害関係者のニーズ」は、適用範囲の決定（ステップ1：⑥）やリスクアセスメント（ステップ4）にも関連します。
- 確認ができるような文書（「組織状況管理表」など）を作成すると、運用がしやすくなります。
⑥ 適用範囲の決定
組織図、フロア図、ネットワーク図などを用いて、PMSを適用する物理的・組織的な境界線を明確にします。「4.3 個人情報保護マネジメントシステムの適用範囲の決定」では、個人情報保護マネジメントシステムが適用される物理的および組織上の境界線を設定することを要求されています。
実施のポイント
- 「組織の内部及び外部の課題と利害関係者のニーズ」を踏まえ、どの範囲にするかを決定します。
- サンプル文書が用意する「適用範囲関連資料（見本）」を参考にするとスムーズに作成できます。
ステップ2：全社員への教育と意識向上
Pマークは「文書があるだけ」では取得できません。全てのスタッフがルールを理解し、実行できる状態を作ります。
【ここが躓きポイント！】
全従業員（派遣・アルバイト含む）への教育が必要となりますが、多忙な現場では「全員参加」の調整が難航します。独自の教材を一から作ると時間がかかりすぎるため、専門の教育用テキストやテスト問題を活用し、配布・回収の仕組みを先に整えるのがコツです。
【プロの視点】「集合研修」は必須ではありません
コンサル会社の中には「全社員を集めて研修をしないと受からない」と脅すケースもありますが、実はテキスト配布と理解度テストだけでも審査上の要件は十分に満たせます。
大事なのは「形式」ではなく「全員が理解し、記録が残っていること」。多忙な現場で無理に全員を集めて時間を浪費するより、隙間時間で実施できる高品質な教材とテストを活用するほうが、遥かに効率的かつ確実です。
① 導入教育（推進メンバー向け）
まずはワーキンググループが、情報漏えいのリスクや対策の基礎を学びます 。
ワーキンググループは、情報漏えいにより、組織および漏えいした個人にどのような被害が起こるか、どのようにすれば情報漏えいが防げるかを、事前に勉強会などを行い学びます。
実施のポイント
- 教育テキストを利用した勉強会のほか、書籍やインターネット、セミナーなどによる知識収録の方法があります。
② 従業者教育（全社員・アルバイト含む）
説明会やeラーニングを実施します。規程の内容を噛み砕き、「離席時の画面ロック」や「メール誤送信対策」など、日常業務で守るべきルールを浸透させることが審査通過への近道です。
ワーキンググループ以外の社員は、PMSがどのようなルールのもとに成り立っているのか分かっていないため、運用開始にあたり、規程書等を利用して説明会などを開きます。
実施のポイント
- 理解度テストをセットで行うと良いでしょう
- カスタマイズ可能な教育テキストなどを利用すると、一般的なものでなく、自社の規定に即した教育を実施できます。
- 新規申請時点では、常勤・非常勤に関わらず役員・パート・アルバイト等も含めて、全従業者への教育実施が完了している必要があります。
③ 内部監査員の養成
自社の運用をチェックする「内部監査員」を選定し、養成します。監査のやり方がわからない場合、チェックリスト付きの支援ガイドを参照しながら進めると、漏れのない監査が可能になります。初めての場合は、推進メンバーがこの役割を兼務することが一般的です。トップマネジメントは、「個人情報保護監査責任者」を、役員（監査役を除く）または正社員以上の方から認定する必要があります。
実施のポイント
- 「内部監査員」は社内認定で構いません。
- 外部講習や、社内で教育テキストなどを利用して、内部監査員を認定します。
- 代表者及び個人情報保護管理者は、「個人情報保護監査責任者」になれません。
ステップ3：各種規程・目的・計画書の作成
組織のルールブックである「PMSマニュアル」および各種規程書を作成します。
【ここが躓きポイント！】
JIS規格の難しい言葉をそのまま規程に落とし込もうとして、自社の実態に合わない「ガチガチのルール」を作ってしまう例が多く見られます。運用できない規程は審査で「形骸化している」と指摘されるため、実績のあるサンプル文書を元に「身の丈に合った」表現に調整することが重要です。
実施のポイント
- 一から作成するよりは、信頼できるサンプル文書（雛形）をベースに自社の実態に合わせるのが効率的です。
① ベース規定の整備
法規制の特定、教育、委託先管理など、要求事項に基づいた基本規程を整備します。項目が多岐にわたるため、網羅的なテンプレートの使用を推奨します。
- 個人情報を特定する手順
- 法規制等の特定、参照及び維持
- 権限及び責任
- 緊急事態の準備及び対応
- 個人情報の取得、利用、提供
- 個人情報の適正管理
- 本人からの開示の求めへの対応
- 教育
- 委託先に関すること
- 文書管理
- 苦情及び相談への対応
- 点検及び内部監査
- 代表者のPMS見直し
- 不適合及び是正処置に関すること
- 内部規程への違反
② 安全管理措置の策定
物理的（施錠管理など）、技術的（アクセス制限など）、人的な安全管理ルールを具体的に定めます。こちらも一から作成するよりは、信頼できるサンプル文書（雛形）をベースに自社の実態に合わせるのが効率的です。
③ リスクマネジメント規程の作成
特定した個人情報に対し、どのようなリスクがあるかを分析・評価し、対応策を講じるための基準を確立します。同様に、一から作成するよりは、信頼できるサンプル文書（雛形）をベースに自社の実態に合わせるのが効率的です。
- リスク受容の基準を確立
- リスクアセスメント実施の基準を確立
- リスク及びリスクの所有者の特定
- リスクの分析
- リスクの評価
- リスクの対応
④ 各種規定の変更及び追加
リスクマネジメントの結果（ステップ4：個人情報の特定とリスク対策）、リスク対応の選択肢の実施に必要な管理策において、にて作成した既存の各種規定に変更及び追加等が必要ならば実施します。
⑤ 個人情報保護目的と計画の策定
内部向け個人情報保護方針と整合し、リスクマネジメントの結果を考慮に入れた個情報保護目的を、関連する部門及び階層において確立し、目的をどのように達成するかについて計画する。サンプル文書（雛形）に収録された「年間個人情報保護目的（見本）」や「個人情報保護年間計画書（見本）」を参考に作ると効率的です。
【プロの視点】「サンプル文書では受からない」の嘘
「サンプル文書だけでは基準を満たせない」という言葉は、高額なコンサル契約を結ばせたい側がよく使う常套句です。しかし、事実は異なります。
審査基準（JIS Q 15001）を完全に網羅した高品質なサンプルをベースにすれば、自力での取得は十分に可能です。
むしろ、一から難解な規程を自作して「審査に通らない独自の解釈」を盛り込んでしまうことこそが、最も危険な遠回り。実績のあるテンプレートを「自社流に少し調整する」のが、最も賢明で最短の道です。
ステップ4：個人情報の特定とリスク対策
自社にどのような個人情報がどこにあるのかを洗い出す、PMSの「心臓部」といえる作業です。
【ここが躓きポイント！】
「名刺」「年賀状リスト」など、意識していない個人情報の漏れがよくあります。また、リスク評価の基準が定まっていないと、対策の優先順位がつけられず作業が止まってしまいます。
① 個人情報管理台帳の作成
取り扱っている個人情報を特定し、利用目的や入手経路、社内での取扱い経路（取扱い部門）、保管場所（一時保管も含む）、保管形態（電子、紙など）、保管期間、廃棄方法などについて台帳にまとめます。
実施のポイント
- 「個人情報の特定手順」が記された支援ガイドがあると、迷わずに作業を進められます。
② リスクアセスメントの実施
台帳をもとに「紛失」「漏えい」などのリスクを評価し、対策を講じます。審査では「なぜこの対策を選んだのか」の根拠が問われます。
実施のポイント
- 定めた規定に従い、リスクアセスメントを実施し、リスク対応計画を作成します。
- 支援ガイドなどがあると、リスクアセスメントへの理解や手順を学べ、迷わずに作業を進められます。
ステップ5：運用と内部監査・見直し
作成したルールに基づき、実際に業務を行い、記録を残すフェーズです。
【ここが躓きポイント！】
「運用しているつもり」でも、記録（ログや点検表）が残っていないと、審査では運用実績として認められません。日常の負担にならないよう、記録様式は極力シンプルに設計するのがコツです。
① 実施運用と記録の保持
日常業務の中で規程を守り、その証拠となる「記録」を残します。審査では、この運用の記録が厳格にチェックされます。
実施のポイント
- 当初は、記録漏れなどがあるため、例えば週末ごとに確認するとよいでしょう。
② 内部監査の実施
計画に基づき、ルール通りに運用されているかを内部監査員が調査し、改善点を見つけ出します。
実施のポイント
- 内部監査用チェックリスト（サンプル）を活用することで、客観的な視点での評価が可能になります。
③ 不適合への対処と是正処置
運用上にて不適合が確認された場合や個人情報に関わる事故や苦情の発生によって不適合が発見された場合、対処するとともに、その原因を特定し、是正処置を行います。
実施のポイント
- 不適合は発見した又は指摘を受けた担当者は、定めた規定に従い、是正処置を実施します。
④ 代表者による見直し（マネジメントレビュー）
監査結果や不適合の状況を代表者に報告し、PMSの継続的な改善に向けた指示を仰ぎます。
必要に応じて、個人情報保護方針の変更や経営資源の配分等の変更、規定等の変更などを行います。
実施のポイント
- 原則、年1回、トップが実施し、記録を残す必要があります。
- 関係者との会議形式や、資料の提出による書面形式、管理席に者との打合せ形式などがあります。
ステップ6：審査の受審と登録証交付
いよいよ最終段階である、審査機関への申請です 。
【ここが躓きポイント！】
現地審査での「指摘事項（不適合）」は、どんなに準備しても数件は出るのが普通です。ここで落ち込むのではなく、期日までに的確な改善報告書を提出できるかどうかが、取得までのスピードを左右します。
⚠️ 実務担当者が注意すべき「スケジュール最大の見落とし」
多くの計画で忘れられがちなのが、審査機関への申請から現地審査までの「待ち時間」です。地域や時期によっては3ヶ月以上の待ちが発生することもあります。「○月までに取得が必要」というデッドラインがある場合は、自社作業をいかに前倒しできるかが勝負です。
① 取得申請と文書審査・現地審査
申請書類を提出後、まず文書審査が行われ、その後に審査員が来社して「現地審査」が行われます。
現地審査は、文書審査の約2～3週間後に実施され、その後1～2週間程度で「指摘事項を記した文書」が届きます。
実施のポイント
- 文書審査は、PMS文書の整合性及び適切に運用されているかが確認されます。
- 現地審査は、トップへのインタビュー、運用状況の確認及び責任者や担当者へのヒアリングが実施されます。
② 指摘事項への改善対応（是正）
審査で指摘を受けた事項について、改善報告書を提出します。全ての是正が完了すると、無事にプライバシーマークが付与されます。
実施のポイント
- 指定の期限内に是正結果を報告しなければなりません。
短期間で取得するための3つのコツ
限られたリソースで、かつ最短期間でPマークを取得するためには、以下の3つのポイントを意識することが非常に有効です。
1. 実績のある「雛形（サンプル文書集）」を徹底活用する
Pマーク取得に必要な規程類や様式は、数十種類に及びます。これらをJIS規格を一から読み解いて作成するのは、膨大な時間がかかり、現実的ではありません。すでに審査を通過した実績のあるサンプル文書集をベースにし、自社の実態に合わせて「調整」する形をとることで、作成時間を1/10以下に短縮できます。
2. 既製の「教育テキスト・テスト」で準備工数をゼロにする
全従業員への教育は必須ですが、自社でスライドやテスト問題を作成するのは大きな負担です。専門家が作成した教育用教材やテスト問題をそのまま利用すれば、担当者は「配布と回収」の管理に集中でき、スムーズに全従業員への教育を完了させることができます。
3. 「身の丈に合った」シンプルな規程を目指す
最初から完璧すぎる、あるいは厳格すぎるルールを作ってしまうと、現場の運用が追いつかず、内部監査や現地審査で大量の不適合を指摘される原因になります。まずは「最低限守るべきこと」を確実に規定し、記録に残す。この「運用のしやすさ」を重視した設計こそが、是正対応を最小限に抑え、最短取得に繋がる秘訣です。
自社取得のメリット・デメリットについては[こちらの記事]で詳しく解説しています
【比較】自力取得 vs ツール活用でスケジュールはどう変わる？
Pマーク取得にかかる期間の大部分は「文書作成」と「教育の準備」です。ここをどう効率化するかで、取得までの月数は大きく変わります。
| フェーズ | 一般的な自力取得 | ツール活用（推奨） |
|---|---|---|
| 規程・マニュアル作成 | 3〜4ヶ月（試行錯誤） | 最短2週間〜 |
| 従業員教育の実施 | 1〜2ヶ月（教材作成含む） | 最短1週間 |
| 合計期間 | 10ヶ月〜1年 | 最短4〜6ヶ月 |
※審査機関の混雑状況により、申請後の待ち期間が変動します。早めの準備が肝心です。
プライバシーマーク取得支援パッケージがおすすめ
「プライバシーマーク取得支援パッケージ」なら、スケジュールに従いながら、無理なく文書作成及び運用が可能です。
Pマーク取得の工数を大幅に削減しませんか？
「一から規程を作る時間がない」「何を書けばいいのか分からない」とお悩みの担当者様へ。
当サイトでは、本記事で解説した各ステップを最短距離で進めるための<「プライバシーマーク取得支援パッケージ」を販売しています。
- 審査にそのまま使えるサンプル文書集（規程・様式）
- 全社員向けにすぐ使える教育テキストとテスト
- 実務を迷わせない支援ガイド
例えば、以下のような文書類が、各ステップで利用可能です。
ステップ1：事前確認と体制構築
- ② ワーキンググループの設置と責任者の決定： 役割や権限を明確にした「PMS推進体制図」
- ③ 個人情報保護方針の策定と公表： 「個人情報保護方針書」（見本）をもとに、自社用に変更
- ⑤ 組織の内外部の課題と利害関係者のニーズの理解： 「PMS組織状況管理表」を作成し、利用できるようにする
- ⑥ 適用範囲の決定： 「適用範囲関連資料」を作成
ステップ2：全社員への教育と意識向上
- ① 導入教育（推進メンバー向け）： ワーキンググループの事前勉強会などに「PM構築前の基礎知識教育（導入前研修）」を利用
- ② 従業者教育（全社員・アルバイト含む）： 運用開始にあたり、各部門で、規程書等とともに「PM実運用前の従業員向けガイダンス（運用前研修）」を説明会などで利用
- ③ 内部監査員の養成： 「内部監査員教育」の教育用テキストを利用することで内部監査員を養成が可能
ステップ3：各種規程・目的・計画書の作成
- ① ベース規定の整備： 「PMSマニュアル」「文書管理規程」「是正処置規程」「内部監査規程」
- ② 安全管理措置の策定： 「個人情報取扱及び保護規程」
- ③ リスクマネジメント規程の作成：「PMSリスクマネジメント規程」
取得にかかる費用（公的費用＋準備費用）
① 公的費用
Pマークの審査を受けるには、費用（審査費用）がかかります。金額は一律ではなく、審査機関や、自社の事業規模、業種などによって変わります。また、Pマーク維持には、2年ごとの更新料を含め、以下の公的費用が必要です。
| 事業者規模 | 新規 | 更新 |
|---|---|---|
| 小規模 | 336,600円 | 244,200円 |
| 中規模 | 690,800円 | 518,100円 |
| 大規模 | 1,382,700円 | 1,037,300円 |
- ※上表は、プライバシーマーク推進センターが運営するWebサイトで掲載されている料金表（2026年10月1日～）を引用したものです。業種により詳細な分類があります。
- ※現行の料金は、こちら（費用）をご確認ください。
② 準備費用
上記の公的費用に加えてコンサル会社を利用する場合はコンサル量がかかったり、審査員が現地審査する場合の交通費や宿泊費がかかります。
また、教育費用や、支援ツールなどを使う場合の費用（月額・年額）も発生します。
- 審査員の交通費・宿泊費：
現地審査の際に審査員が移動・宿泊する実費（交通費・宿泊費）を負担 - 物理的設備・セキュリティ投資（必要に応じて）：
個人情報を保護するための設備投資（鍵付きの保管庫、書棚、ロッカーの購入、シュレッダー、監視カメラ、入退室管理システム、ウイルス対策ソフトなど） - 支援サービス・ツール（利用した場合）：
コンサルティングやクラウドツールなどの初期費用（通常は、その後の維持費用も追加で発生するため、それを踏まえて要検討）
よくある質問（FAQ）
- Q. 取得までにかかる最短期間はどのくらいですか？
- A. 組織の規模にもよりますが、集中的に取り組めば6ヶ月程度で申請可能です。ただし、審査機関の混雑状況により、交付までにさらに数ヶ月かかる場合があります。
- Q. コンサルタントなしで自社取得は可能ですか？
- A. はい、可能です。当サイトが提供するようなテンプレートを活用し、要件を理解した担当者がいれば、高額なコンサル費用をかけずに取得されている企業は数多くあります。
ISMSサポートブログでは具体的なQ&Aを多数公開しております。実務のヒントとしてぜひご活用ください。
- 「コンサル会社から「サンプル文書集だけで自力で取得できるか、規定類が基準を満たしているのか疑問」と言われた。」
- 「Pマークの社員教育はテキスト配布とテストだけでも良いですか？集合研修が難しい場合の対応。」
- 「Pマークの内部監査員は1名でも大丈夫ですか？最低人数と独立性のルールは？」
