ISOの内部監査（ISO要求事項9.2）

内部監査と外部監査の違い、適合性監査と有効性監査の考え方、監査の方法について知っておきましょう。

一般的な「監査」について知っておこう

監査とは、監査基準がどの程度満たされているか、証拠を集めて客観的に評価をすることです。
一般的な監査の種類は以下の３つがあります。

• 第一者監査（内部監査）
  • 組織自身(自社の社員）または代理人（コンサルなど）が「内部監査員」として行う監査。
• 第二者監査
  • 顧客など、その組織に利害関係のある団体またはその代理人により行われる監査。
• 第三者監査
  • 外部の独立した組織（ISO審査会社）が行う監査。

ISOでは、第一者監査（内部監査）と第三者監査（外部審査）を定期的に行うことになっています。

ISOの監査は「適合性」と「有効性」をチェックする

ISOの監査では、まず以下の2点を確認します。

1. １）ISOの規格要求事項どおりに、組織のマネジメントシステムが作成されているか
2. ２）作成されたシステム（ルール）どおりに、運用されているか

このように「規格要求事項に適合しているか」「組織が作成したルール通りに実行しているか」をチェックする監査を「適合性監査」と言います。

• 第三者監査（審査）では…
  • 認証取得時の「本審査」、年に１、２回程度の「維持審査」、3年に1度の「更新審査」の際、審査機関が上記のチェックを行います。
  • つまり、上記の2つをクリアしていれば、ISOが認証取得できる形になります。
• 第一者監査（内部監査）では…
  • 第三者監査と同様に上記2つをチェックしますが、どちらかというと「２」を監査する傾向にあります。

適合性については、外部審査でも内部監査でもチェックしますが、内部監査ではもう一つの見るべきポイントがあります。

1. ３）そのマネジメントシステムは実際に効果があるものになっているか

ルールが有効かどうかというチェックする「有効性監査」は、外部監査では行わない、内部監査のみの特徴です。

内部監査と外部の審査の違いは、「第三者が監査する」か「内部で監査する」かという立場のみで、監査技法が異なるわけではありません。
第三者の監査を受けて審査を受けるにもかかわらず、内部でのチェックが重視される理由は、「有効性までチェックする」という視点が違うからです。

適合性と有効性を監査するには

内部監査において、マニュアルや手順が規格要求事項を遵守して作られているかを監査する際は、以下の視点でチェックするとわかりやすいでしょう。

1)オウム返し
　規格のそのままの言葉でチェックする
2)5W1H
　 Who（誰が）、What（何を）、When（いつ）、Where（どこで）、Why（なぜ）、How（どのように）が明確かをチェックする。

マニュアル通りに実行されているかをチェックするには、マニュアルの文章を「文節」で区切って質問にしてみます。

内部監査を行った結果、マニュアル通りに実施されておらず不適合が判明したら、「No」といって終わり…では内部監査の意味がありません。
マニュアルと実情が違うというのは、何らかの原因があるからだと思われます。
ルール通りできないとすれば、ルールを変えるか、他の方法を考えるといった提案するというのも、内部監査員の仕事です。

内部監査は単に「Yes」「No」だけで答えを出すのではなく、なぜ「No」なのかを考え、「Yes」 にするための対策を導き出すことが大切です。

単に「良い」「悪い」だけでなく、「ルールは本当に役立つものか」「ほかに方法はないか」とマニュアルそのものを審査し、「どこに問題があるのか」「誰に責任があるのか」「その問題点を解決するには何をすればよいのか」という具体的な答えまで引き出すのが、内部監査の役目です。

内部監査と外部監査の違い

内部監査と外部監査の違いについて、上記で解説したことも含めて整理してみましょう。

	外部審査	内部監査
監査者	第三者（社外）	第一者（社内）
視点	・適合性（ISO要求事項への適合性） ・適合性（システムの運用）	・適合性（ISO要求事項への適合性） ・適合性（システムの運用） ・有効性
監査基準	・ISO規格要求事項 ・組織のシステム（マニュアル）	・（ISO規格要求事項） ・組織のシステム（マニュアル）
監査頻度	年１、2回→小さな変化に気づきにくい	年に数回実施可→小さな変化に気づきやすい