ISMS, プライバシーマークおよび商品に関する質問と回答をご紹介

「適用法規制一覧」は、外部文書に登録した法律関連の文書と同じ内容で良いのではないか。

プライバシーマーク サンプル文書集
2022/06/22

現在、「適用法規制一覧」の作成を進めていますが、外部文書に登録した法律関連の文書と同じ内容で良いのではないかと考えております。

適用法規制一覧にだけ特別追加した方が良い物などあれば教えてください。

「適用法規制一覧」は、「A.3.3.2_法令,国が定める指針その他の規範」の要求に従い、法令等を特定し参照できる手順の一つで、「外部文書管理規程」は、特定されたそれらの文書を文書管理規程に従い管理するためのものです。

この順番からいうとご質問のご指摘は逆になるのですが、外部文書管理台帳にて適用される法規制が特定されているのであれば、そのまま「適用法規制一覧」にそれらを記載すれば良いかと思います。
また、法規制以外に外部文書がないというのであれば、様式をどちらかに統一するという方法もございます。

ちなみに、JISQ15001:2017においては、別途、「法令,国が定める指針その他の規範(A.3.3.2)」にて、特定し参照できる手順を確立、維持しなければならないと要求されているため、法令以外の外部文書を「外部文書管理台帳」にて管理させるという方法もあります。

※外部文書とは「外部からの文書化した情報」であり、ISO27001:2014の「2.23文書化した情報」では、注記2に示すように、法令は例として記載されていません。

(参考)2.23 文書化した情報(documented information)

組織(2.57)が管理し,維持するよう要求されている情報,及びそれが含まれている媒体。
注記2 文書化した情報には,次に示すものがあり得る。
- 関連するプロセス(2.61)を含むマネジメントシステム(2.46)
- 組織の運用のために作成された情報(文書類)
- 達成された結果の証拠(記録)

なお、取引先と取り交わした秘密保持契約書なども外部文書に該当するかと思います。他に法規制以外の文書がないかご注意ください。