ISMS認証機関おすすめ15選【2026年最新】審査費用・対応業種・スケジュールで徹底比較

ISO/IEC 27001（JIS Q 27001）認証の取得を決めた後、実際にどの審査機関へ見積もりを取ればよいかで手が止まる企業は少なくありません。

ISMS-AC の認定を受けた機関だけでも27社が並び、海外の認定機関から認定を受けて日本市場で審査を行う機関を加えると選択肢はさらに広がります。費用・審査員の専門性・スケジュールの3軸で横並びに比べたくても、公表情報の粒度が機関ごとに違い、判断材料が集まりません。

初回登録費用だけでなくサーベイランスや再認証まで含めた3年間の運用を見据えたうえで、自社の規模・業種・スケジュールに合う機関をどう絞り込めばよいのでしょうか。

本記事では、ISMS認証機関の選び方を3タイプに整理し、主要機関の比較表・費用構造と相場の掴み方・見積もり依頼のチェックリスト・移転審査の実務まで一気通貫で解説します。複数機関への相見積もり依頼に進む前の判断材料としてご活用ください。

また、自社の規模・業種・重視観点から適合する機関タイプを最短で見つけられるよう、30秒で終わる選定診断ツールもご用意しています。ぜひこちらもご活用ください。

ISMS認証機関とは

ここからは、認証機関（審査機関）の役割と ISMS-AC 認定の位置づけについて解説します。読者が最初に混同しやすい「認証機関」と「認定機関」の区別を押さえたうえで、海外の認定機関（UKAS・IAS など）との関係も整理していきましょう。

ISMS 認証機関とは、企業が構築した情報セキュリティマネジメントシステム（ISMS）を ISO/IEC 27001（対応する国内規格は JIS Q 27001:2023）に照らして審査し、適合していれば認証書を発行する第三者機関のことです。

日本では2018年4月に一般財団法人日本情報経済社会推進協会から独立した ISMS-AC（情報マネジメントシステム認定センター）が認定機関として運営を担っており、審査機関のことを「認証機関」と呼ぶのが公式の表記になります。

出典・参考資料（1件）

• 参考資料：センター概要｜情報マネジメントシステム認定センター（ISMS-AC）

認証機関と認定機関（ISMS-AC）の違い

「認証機関」と「認定機関」は名称が1文字違いで混同されやすいのですが、担う役割は明確に分かれています。ISMS-AC は認証機関の能力を審査して「認定」を与える側で、企業の ISMS そのものを直接審査するわけではありません。この区別は ISMS-AC 公式サイトで次のように定義されています。

ISMS-ACは、マネジメントシステム認証機関の能力を評価する認定機関です。認定とは、認証機関が国際規格の要求事項に従って審査する能力を持ち、公平な審査がされていることを証明することです。認定された認証機関による認証には、国際規格を満たした適切な審査による認証という付加価値があります。

出典：認定制度の概要｜情報マネジメントシステム認定センター（ISMS-AC）

つまり、企業が実際にやり取りするのは「認証機関」であり、ISMS-AC は認証機関を裏側で審査する存在です。読者が見積もり依頼を出す相手は認証機関（BSI・BV・JQA・SGS など）であって、ISMS-AC に直接申し込むわけではない点を最初に整理しておきましょう。

ISMS-AC 認定と UKAS/IAS 認定の違い

認定機関は国ごとに置かれるのが一般的で、英国は UKAS、米国は IAS/ANAB、オランダは RvA が担っています。日本市場に対して ISMS 認証を提供している機関の中には、ISMS-AC ではなくこれらの海外認定機関から認定を受けているケースもあります。読者にとって重要なのは、こうした海外認定の認証書でも国内での実務効力は同等であるという点です。

2007年にAPACの上位組織である国際認定フォーラム（IAF：International Accreditation Forum, Inc.）に加盟し、2018年にISMSに関する相互承認協定（MLA、APACではMRAと呼ぶ）に署名しました。ISMS-ACは、この相互承認協定の枠組みの下で他のAPAC MRA署名認定機関から定期的に評価を受けています。これにより、ISMS-ACの認定活動が、認定機関に対する要求事項であるISO/IEC 17011に適合し、IAF MLA/APAC MRAに署名した世界各国の認定機関と同等に信頼できることが認められています。

出典：認定機関の国際的な協力体制｜情報マネジメントシステム認定センター（ISMS-AC）

2026年1月1日には IAF と ILAC（国際試験所認定協力機構）が統合され Global ACI（Global Accreditation Cooperation Incorporated）が発足しています。

相互承認協定の署名認定機関としての地位は Global ACI に引き継がれるため、ISMS-AC 認定・UKAS 認定・IAS 認定のいずれの認証書も、日本国内の取引先・親会社への提出時に有効な選択肢として並列に扱えます。

認証機関側の説明としては、ビューローベリタスジャパンが認定機関の役割を分かりやすく整理しています。

認定機関は基本的に一カ国にひとつあります。イギリスならUKAS、アメリカならANAB、オランダならRvAなどがそれにあたりますが、日本はJAB（日本適合性認定協会）とISMS-AC（情報マネジメントシステム認定センター）二つの認定機関があります。これらの認定機関が認証機関に対して認定審査を行い、審査を行うに足るだけの能力があるかいう見極めを行い、ありとみなした場合には認定書を授与します。

出典：認定機関について｜ビューローベリタスジャパン株式会社

ISMS認証機関の選び方

ここからは、認証機関を絞り込む観点を5つに分けて解説します。「確認しましょう」で終わる表面的な指示ではなく、公式サイトのどこを見ればよいか・見積もり依頼時にどう質問すればよいかまで踏み込んで整理していきます。

前提として、審査費用については公式サイトで具体的な金額を掲載している機関はほとんどなく、適用範囲（対象部門・拠点数）と従業員数、関連規格（27017・27701）併願の有無で見積額が大きく動くため、複数機関に同じ条件で相見積もりを取るのが基本になります（相場感の掴み方は次節で詳しく解説）。

審査員の業界専門性・実績があるか

審査員の業界経験は、審査の質と気づきの深さを左右する重要な観点です。ISMS 認証は規格への適合性を機械的に確認する審査ではなく、自社の事業リスクに即した管理策の妥当性まで踏み込むため、自業種の実務を知る審査員かどうかで審査体験が変わります。

公式サイトで確認するときは、業種別の導入事例ページ・業種特化ソリューションの有無・審査員の保有資格（CISA・CISSP・技術士など）の掲載を見ます。見積もり依頼のタイミングで「自社と同業種（例：SaaS・受託開発・BPO）の直近3年の審査件数はどの程度か」「主任審査員の業界経験年数と担当予定業種の実績を教えてほしい」と具体的に質問すると、機関側の実力が見えてきます。

対応スピード・審査スケジュールに柔軟性があるか

取引先要件で認証取得の期日が決まっているケースでは、審査日程の柔軟性が選定の決め手になります。ISMS-AC の公式パンフレットによれば、申請から認証取得までの期間は「最短で3〜4か月程度」とされていますが、これは制度上の最短であり、実務では機関側の審査員リソースと自社の準備状況で6〜8か月程度になることも珍しくありません。

短期取得を優先する場合は「初回審査（第一段階＋第二段階）の合計工数」「申込みから第一段階審査までの通常リードタイム」「サーベイランス審査の日程調整の柔軟度」を見積もり時に確認しましょう。中小機関ほど社内調整が速い傾向がある一方、大手グローバル機関は複数審査員でチームを組めるため繁忙期の吸収力が高いという別の強みもあります。

国際的な認知度・認定の有無が要件を満たすか

取引先が海外グループの子会社であったり、親会社が欧米にある場合は、認定機関のブランドが実質的な条件になることがあります。UKAS 認定・ANAB 認定を保有する BSI・BV・SGS・Intertek・LRQA などは、海外提出時に相手側の情報セキュリティ担当が第一想起するため、追加説明の手間を減らせます。

逆に、取引先が国内金融機関や官公庁である場合、ISMS-AC 認定機関の方が説明工数が少なくなるケースもあります。認証書に載せる認定シンボルを取引先要件に合わせて選べるかを、契約段階で確認しておくと安心です。

認証範囲・関連規格（27017／27701）併願の可否

クラウドサービス事業者は ISO/IEC 27017（クラウドセキュリティ）、個人情報を大量に扱う事業者は ISO/IEC 27701（プライバシー情報マネジメント）の併願を検討することがあります。これらの併願は認証機関側にも該当領域の認定が必要で、機関ごとに取れる範囲が異なる点に注意が必要です。

2026年8月時点で、ISMS-AC 認定27機関のうち ISMS クラウドセキュリティ（27017）認証を提供できるのは17機関、ISMS-PIMS 認証（現・PIMS 認証。ISO/IEC 27701:2025 発行に伴い名称変更）を提供できるのは7機関に絞られます。併願を検討する場合は、比較表の「認定範囲」列で候補を絞り込んでから見積もり依頼に進みましょう。

出典・参考資料（2件）

• 出典：ISMSクラウドセキュリティ認証機関一覧｜情報マネジメントシステム認定センター（ISMS-AC）
• 出典：ISMS-PIMS認証機関一覧｜情報マネジメントシステム認定センター（ISMS-AC）

避けた方がよい認証機関の特徴

ISMS 認証は3年サイクルで長期的に付き合う関係になるため、契約前に見極めておきたい「避けたい兆候」があります。公表される認定情報や商談時の対応から、次のような兆候が複数重なる機関には注意が必要です。

• 営業対応が過度に強く、審査の中身より契約条件の話が先行する
• 契約解約条件で途中解約や機関変更を厳しく制限している（次の「認証機関の変更・移転審査の実務」で触れる IAF MD 2 の枠組みと整合しない条項がある）
• ISMS-AC の認定シンボル使用許可、または UKAS・IAS など海外認定のシンボル使用許可が公式サイトで確認できない
• 審査員の資格・実績に関する説明を求めても具体的な返答が得られない

認定シンボルの意味については ISMS-AC が次のように示しています。

認定機関である情報マネジメントシステム認定センター（ISMS-AC）は、認証機関が適切に審査を実施できる体制・能力をもっているかを、国際規格（ISO/IEC 27006）に照らして審査し、適合していると認められる機関を認定して、「認定シンボル」の使用を許可しています。そのため、認定を受けたISMS認証機関は、適切なISMS認証審査を実施することのできる、信頼のおける認証機関であることを意味します。

出典：ISMS適合性評価制度パンフレット JIP-ISMS120-7.2｜情報マネジメントシステム認定センター（ISMS-AC）

ISMS認証取得の費用構造と相場を掴む手順

ここからは、費用の全体像を「変動要因」「3層構造」「相場感の掴み方」の順に整理します。各機関が公式に金額レンジを公表しているケースは限定的で、多くの機関は「案件により異なる」との案内に留めています。数値の公開情報が乏しい状況で、自社条件に照らした相場を掴むための手順として本節を活用してください。

費用が変動する主な要因

審査費用は認証機関の営業条件だけで決まるものではなく、受審側の事業条件で審査工数（審査員×日数）が変動する構造になっています。同じ機関に見積もりを依頼しても、次の要因の組み合わせで金額が大きく動きます。

• 認証範囲（適用範囲）：全社を対象にするか、特定部門・特定サービスに絞るかで審査対象の複雑さが変わる
• 拠点数と地理的な分布：複数拠点の実地審査が必要な場合は移動コストと工数が加算される
• 従業員数（審査対象人数）：ISO/IEC 27006-1 では有効人数区分ごとに標準審査工数の目安が示され、これが基準になる
• 関連規格の併願：ISO/IEC 27017・27701 併願、ISO 9001・14001 との統合審査の有無で工数が変わる
• 初回か更新か：初回登録審査（第一段階＋第二段階）と、その後のサーベイランス・再認証で工数構造が異なる

費用の3層構造（初回登録／サーベイランス／再認証）

ISMS 認証は3年サイクルで運用されるため、初回登録時の費用だけで比較すると3年間トータルの見え方を誤ります。ISMS-AC の公式パンフレットは、認証取得後の維持審査の枠組みを次のように示しています。

初回審査の後も年に1回以上の中間的な審査（サーベイランス審査）が、そして3年ごとに認証の有効期限を更新するための全面的な審査（再認証審査）が実施され、組織のISMSが引き続き規格に適合し、有効に維持されていることが確認されます。

出典：ISMS適合性評価制度パンフレット JIP-ISMS120-7.2｜情報マネジメントシステム認定センター（ISMS-AC）

相見積もりを取るときは、①初回登録審査（第一段階＋第二段階、認証書発行まで）、②年次のサーベイランス審査（1年目・2年目）、③3年目の再認証審査、の3層すべての見積額を1つの表に並べてもらいましょう。初回だけが安く見えても、サーベイランス費用の設定次第で3年トータルでは他社と逆転するケースがあります。

相場感を掴むための情報収集の進め方

費用の公表がほとんど無いため、相場感を掴むには複数機関への同時見積もり依頼が最も確実な手段になります。同じ事業スコープ・拠点数・従業員数・希望スケジュールを揃えて3〜5社に見積もり依頼を出せば、初回登録／サーベイランス／再認証それぞれの相場が自社条件に照らして見えてきます。

公表される数字がない状態で複数機関に同じ条件で見積もり依頼を出すには、機関側に伝える情報を事前に構造化しておく必要があります。具体的な項目は後述する「見積もり依頼と相見積もりのチェックリスト」を参考にコピーして使えるようにしています。

ISMS認証機関を絞り込む3タイプ

ここからは、選び方の観点と費用感を踏まえたうえで、認証機関を「選定の起点となる3つのタイプ」に整理して解説します。

対応企業層と機関の強みを軸にすることで、自社の規模・業種・重視観点を当てはめて選択肢を絞り込みやすくなります。なお、業界固有規格（FSSC 22000・IATF 16949 など）や ISO/IEC 27017・27701 の併願を検討する場合は、この3タイプに横串を通す選定観点が別途必要になります。詳細は後述の「関連規格・特定業界での併願を検討する場合の観点」で解説します。

グローバル・海外取引重視型

海外の親会社・子会社・取引先を持つ企業や、複数国にまたがるサービスを展開する企業に向くタイプです。UKAS・ANAB・ISMS-AC など複数の認定を保有し、認証書に載せる認定シンボルを取引先要件に合わせて選べるのが最大の特徴です。BSI・ビューローベリタスジャパン・SGSジャパン・DNVビジネス・アシュアランス・ジャパン・LRQA・インターテック・サーティフィケーションなどが該当します。

国内大手〜中小オールラウンド型

国内の大企業から中堅・中小企業まで幅広く対応し、日本のビジネス慣行や関連法規制への理解が厚いタイプです。

日本品質保証機構（JQA）・日本検査キューエイ（JICQA）・日本科学技術連盟 ISO審査登録センター（JUSE-ISO Center）・日本規格協会ソリューションズ（JSA-SOL）・日本能率協会 審査登録センター（JMAQA）が代表格で、ISMS 制度の発足時から国内で認定を受けている老舗が中心です。

中小企業・スピード重視型

中堅・中小企業向けに柔軟な審査運用と短期取得を訴求するタイプです。GCERTI-JAPAN・国際システム審査（ISA）・アイエムジェー審査登録センター（IMJ）・ジェイーヴァック（J-VAC）などが該当します。書類重視ではなく現場主義の審査を掲げる機関や、名古屋本社で中部圏企業へのアクセスに強い機関など、大手機関にはない特徴で差別化しています。

主要 ISMS認証機関の比較表

ここからは、主要 ISMS 認証機関を横断で見比べるための比較表です。認定の種類（ISMS-AC・UKAS・IAS）、認定範囲（27001・27017・27701）、初回登録年、得意な業種・企業層、本社所在地を1つの表に整理し、自社の要件と照らして絞り込めるようにしています。

本表では、ISMS-AC 認定機関の主要12機関と、海外認定（UKAS・IAS）で日本市場に ISMS 認証を提供する3機関を加えた合計15機関を掲載しています。ISMS-AC 認定機関の全27機関一覧は ISMS-AC 公式ページで確認できます。

出典・参考資料（1件）

• 参考資料：ISMS認証機関一覧｜情報マネジメントシステム認定センター（ISMS-AC）

タイプ別に見る主要 ISMS認証機関の紹介

ここからは、比較表で見た主要機関を3タイプ別に個別紹介します。各機関の認定範囲・得意業種・訴求ポイントを、公式サイト情報と ISMS-AC の認定一覧を基に整理していきます。3タイプの個別紹介に続けて、業界固有規格（FSSC 22000・IATF 16949 等）や ISO/IEC 27017・27701 との併願を検討する場合の観点も末尾でまとめています。

グローバル・海外取引重視型

海外の親会社・取引先向けの認証書提出や、グローバル拠点の統一審査体系を組みたい企業に選ばれるタイプです。ここでは UKAS・ANAB など複数の認定を保有し、国際的な認知度が高い6機関を紹介します。

BSIグループジャパン株式会社

ISO/IEC 27001 の原型となった BS 7799 を1995年に策定した英国規格協会（British Standards Institution）の日本法人です。

ISMS-AC 認定は2002年7月に取得し（認定番号 ISR004）、ISMS 本体（JIP-ISAC100-5.0）に加え ISO/IEC 27017（クラウドセキュリティ、JIP-ISAC101-2.0）と ISO/IEC 27701（PIMS、JIP-ISAC102-2.0）の3規格すべてに対応します。

ISMS-AC 認定27機関のうち3規格併願を単一機関で完結できるのは限られており、クラウド事業者や個人情報を大量に扱う事業者が併願を検討する場合の選択肢になります。

対応業種は情報通信・金融・製造・公共・医療機器・ヘルスケアなど広範で、認定は ISMS-AC に加え UKAS など海外認定機関からも保有します。認証書に載せる認定シンボルを取引先要件に合わせて選べる点も、海外取引を持つ企業にとっての実用面の利点でしょう。

審査料金は公式に非公表で、対象組織の拠点数・従業員数・情報資産の範囲に応じた個別見積もりが前提となります。標準的な取得期間は第一段階審査から登録判定まで6〜12か月が目安です。本社は神奈川県横浜市（西区みなとみらい地区）で、外資系 TIC 事業者の日本法人がみなとみらい地区に集積する背景から BV・LRQA も同地区に本社を置きます。

ビューローベリタスジャパン株式会社

1828年にベルギー・アントワープで設立され、1833年にパリへ本社を移した船級・検査事業を起源とする Bureau Veritas を親組織とする、認証・検査・試験（TIC）事業のグローバル拠点の日本法人です。

ISMS-AC 認定は2005年1月取得（ISR018）で、ISMS 本体（JIP-ISAC100-5.0）と ISO/IEC 27017 クラウドセキュリティ（JIP-ISAC101-2.0）に対応します。

ISO/IEC 27701 は2026年8月時点で ISMS-AC 認定の対象外となっているため、PIMS 併願を検討する場合は認定シンボルの扱いを事前に確認しておきましょう。

ISO 9001（品質）・14001（環境）・27001（情報セキュリティ）・45001（労働安全衛生）などマネジメントシステム認証を横断で提供しており、品質・環境・情報セキュリティを1つの日程に集約する統合審査を組みやすいのが特徴です。

建築確認・産業設備・船積前検査など TIC 事業を併営することから、製造・海事・エネルギー・建設業種の実務に精通した審査員を組織内に持ちます。認定は ISMS-AC のほか UKAS など海外認定も保有し、海外拠点を含めた統合認証にも対応可能です。審査料金は公式非公表で、対象規格数・拠点数・従業員数に応じた個別見積もりとなります。本社は神奈川県横浜市（西区みなとみらい地区）。

SGSジャパン株式会社

1878年スイスで設立された世界最大級の TIC 事業者 SGS SA の日本法人で、1922年に日本支店を開設して以来100年超の事業実績を持ちます。

ISMS-AC 認定は2006年1月取得（ISR021）で、ISMS 本体（JIP-ISAC100-5.0）と ISO/IEC 27017 クラウドセキュリティ（JIP-ISAC101-2.0）に対応します（ISO/IEC 27701 は ISMS-AC 認定対象外、2026年8月時点）。

グローバルでは140か国以上・2,500拠点以上を展開し、SGS グループ全体でのマネジメントシステム認証発行件数は20万件を超えます（グループのグローバル数値。日本国内の ISMS 認証件数は要問い合わせ）。認定は ISMS-AC に加え UKAS・ANAB など複数の海外認定を保有しており、複数国の拠点を同じ体系で審査する運用を組めることが強みです。

対応業種は情報通信・製造・食品・化学・エネルギーなど広く、業種横断の審査実績を積んでいます。審査料金は公式非公表で、対象組織の規模・スコープに応じた個別見積もり。標準的な取得期間は第一段階審査から登録判定まで6〜12か月が目安です。本社は横浜市保土ヶ谷区。

DNVビジネス・アシュアランス・ジャパン株式会社

ノルウェー起源で160年以上の歴史を持つ TIC 事業者 DNV（旧 Det Norske Veritas）の日本法人です。海事・エネルギー（石油ガス・再生可能エネルギー）・電力・食品・ヘルスケア領域の TIC 事業を併営していることから、エネルギー・電力・製造・海事系企業の ISMS 審査に業種知見を持つのが特徴です。

日本の本社が神戸に置かれている点も、東京中心の他機関と異なり関西圏の企業へのアクセス性で差が出ます。

ISMS-AC 認定は2003年9月取得（ISR008、有効期限は2026年9月4日）で、認定範囲は ISMS 本体（JIP-ISAC100-5.0）です。ISO/IEC 27017・27701 は2026年8月時点で ISMS-AC 認定の対象外のため、これら関連規格の併願を検討する場合は UKAS 認定など他の認定機関経由での提供可否を機関に個別に確認しておきましょう。

認定は ISMS-AC のほか UKAS・ANAB（米）など海外認定を横断的に保有し、DNV グループ全体で ISO 認証発行件数は8万件を超えます（グローバル数値）。審査料金は公式非公表で、対象組織の規模・スコープに応じた個別見積もりです。

LRQAリミテッド 日本支店

120か国以上に拠点を持つグローバル TIC 事業者 LRQA（旧 Lloyd’s Register Quality Assurance、2021年11月にリブランド）の日本拠点です。ISMS-AC 認定（ISR020）は2024年3月23日に有効期限を迎えて失効しており、現在は UKAS（英国認定機関）認定のもとで日本市場に ISO/IEC 27001 認証サービスを提供しています。

UKAS・JAB・ISMS-AC を含む GAC（旧 IAF・ILAC）相互承認の枠組みにより、UKAS 認定による認証書も国内取引先・親会社への提出時に有効な選択肢として扱えます。

対応業種は航空宇宙・防衛・金融・通信・ソフトウェア・インターネットサービス・コンサルティング・法律・政府機関など広範で、審査前の準備支援として ISO 27001 のギャップ分析（gap analysis）サービスを提供している点が特徴です。

グローバルでは多数の認定機関から認定を保有し、複数国のオペレーションを同じ審査基準で運用する「Consistent local approach」を訴求しています。

審査料金は公式非公表で個別見積もり。標準的な取得期間は第一段階審査から登録判定まで6〜12か月が目安です。ISMS-AC 認定機関一覧には現在掲載されないため、選定時は認定機関の別を取引先要件と社内で明確に合意しておくと安心です。日本の本社は神奈川県横浜市（西区みなとみらい地区）。

インターテック・サーティフィケーション株式会社

1888年設立でロンドン本社の Intertek Group plc（グローバル100か国以上・約44,000人体制）の日本法人ビジネスアシュアランス部門です。ISMS-AC の認定は2026年8月時点で未取得で、日本市場での ISO/IEC 27001 認証サービスは UKAS（英国認定機関）を含むグループ取得認定に基づいて提供されています。

UKAS・JAB・ISMS-AC を含む GAC 相互承認により、UKAS 認定による認証書も国内での効力は同等に扱えるため、選定時は認定機関の別を取引先要件と合わせて確認しましょう。

ISO 9001（品質）・14001（環境）・27001（情報セキュリティ）・45001（労働安全衛生）・食品安全・農場管理など幅広い認証を横断で提供し、複数規格の統合審査を強みとして訴求しています。

公式サイトでは審査プロセスの目安として 契約から審査開始までが約3か月、第一段階〜第二段階審査が1〜3か月、証明書発行までが約1か月 と示されており、初回取得は概ね5〜7か月レンジで想定できます（対象組織の規模・準備状況に依存）。

審査料金は公式非公表で、「無料お見積り」フォームからの個別見積もりが前提です。ISO/IEC 27017・27018・27701 の日本での提供可否は個別に確認が必要です。

国内大手〜中小オールラウンド型

国内の大企業から中堅・中小企業まで幅広く対応し、日本の法規制やビジネス慣行への理解が厚い機関を紹介します。ISMS 制度発足時から国内で認定を受けている老舗が中心で、複数規格の統合審査にも対応します。

日本品質保証機構（一般財団法人日本品質保証機構）

1957年設立の一般財団法人日本品質保証機構が運営する、認定番号 ISR001 の ISMS 認証機関です。国内 ISMS 認定制度が発足した2002年に第1号として認定を取得し、認定番号だけを見ても国内最古参の1機関であることが分かります。

審査対応業種は公共・製造・情報通信・金融など幅広く、東京・大阪・名古屋・福岡・仙台・広島・札幌の全国拠点で審査員を配置しています。ISO 9001（品質）・14001（環境）・45001（労働安全衛生）・22301（BCMS）・22000（食品安全）・医療機器 QMS など多数の規格を扱うため、ISMS と他規格の統合審査を1機関でまとめたい大手・中堅企業に向く体制です。

認定範囲は ISO/IEC 27001 に加えて 27017（クラウドセキュリティ）・27701（PIMS）にも及びます（認定基準 JIP-ISAC100-5.0／101-2.0／102-2.0）。PIMS まで一機関で束ねられる国内 ISMS-AC 認定機関は7機関に絞られるなかの1機関で、個人情報を大量に扱う事業者が併願を検討する際の候補になります。

審査費用は公式サイトでの公開がなく、要問い合わせが前提です。取得までの標準期間は Stage 1（文書審査）→ Stage 2（現地審査）→ 登録判定のプロセス全体で6か月〜12か月で、対象組織の規模・準備状況によりレンジ内で調整されます。

日本検査キューエイ（日本検査キューエイ株式会社）

日本ガス機器検査協会（JIA）の系列会社である日本検査キューエイ株式会社が運営する ISMS 認証機関です。認定番号 ISR002 として JQA と同日（2002年4月19日）に登録された国内第2号で、公式サイトでは ISMS-AC のパイロットメンバーとして認定を受けた経緯を訴求しています。

審査運用の特徴として、審査チームリーダーは同じ組織を通常3年連続で担当する方針を公式に打ち出しており、担当者の交代による審査観点のブレを抑えられる点が特色です。審査員は ISO 9001・14001 等の複数マネジメントシステム資格を保有し、複数規格の統合審査に対応します。

認定範囲は ISO/IEC 27001 と 27017（クラウドセキュリティ）の2規格で、27701（PIMS）は現時点で JIP-ISAC102-2.0 を保有していません（2026年8月時点）。全業種を対象に初回認証の問い合わせを受け付けており、無料オンライン相談も実施しています。

初回取得までの標準期間はプロセス全体で6か月〜8か月と公式に明示されており、その後は年1回のサーベイランス、3年ごとの更新審査というサイクルが続きます。審査費用は公式サイトでの公開がなく、要問い合わせが前提です。

日本科学技術連盟 ISO審査登録センター（一般財団法人日本科学技術連盟）

品質管理・SQiP（ソフトウェア品質）分野の学術活動で知られる一般財団法人日本科学技術連盟（JUSE、1946年設立）が運営する ISO 審査登録センターです。

認定番号 ISR005 で、2002年11月に ISMS-AC の認定を取得しています。母体の JUSE は TQM・SQC・SQiP の推進団体として長年活動してきた組織で、ソフトウェア品質と情報セキュリティ領域の審査員層に厚みがあります。

認定範囲は ISO/IEC 27001 に加え、27017（クラウドセキュリティ）・27701（PIMS）にも及びます（JIP-ISAC100-5.0／101-2.0／102-2.0）。PIMS 認定を保有する国内 ISMS-AC 認定機関は7機関に絞られるなかの1機関で、個人情報を大量に扱う SaaS 事業者・クラウド事業者が併願を検討する際に候補になります。

ISO 9001（品質）・22301（BCMS）・20000-1（IT サービスマネジメント）等の関連規格も扱っており、情報通信・ソフトウェア・金融・製造業を中心に幅広い業種で審査実績を蓄積しています。

審査費用は公式サイトでの公開がなく、要問い合わせが前提です。取得までの標準期間は Stage 1（文書審査）→ Stage 2（現地審査）→ 登録判定のプロセス全体で6か月〜12か月で、対象組織の規模・準備状況によりレンジ内で調整されます。

日本規格協会ソリューションズ 審査登録事業部（日本規格協会ソリューションズ株式会社）

JIS 規格の原案作成・普及を担う一般財団法人日本規格協会（JSA、1945年設立）の事業会社である日本規格協会ソリューションズ株式会社が、審査登録事業部として ISMS 審査を提供する認証機関です。認定番号は ISR006 で、2002年12月に ISMS-AC の認定を取得しています。国家標準化を支える団体を母体とすることから、規格そのものの理解と解釈に関する専門性が訴求ポイントです。

取り扱う規格は ISO 9001（品質）・14001（環境）・27001（情報セキュリティ）・22301（BCMS）・45001（労働安全衛生）等のマネジメントシステム認証で、情報通信・製造・公共・金融など幅広い業種に対応します。

ISMS-AC 認定範囲は ISO/IEC 27001 と 27017（クラウドセキュリティ）の2規格で、27701（PIMS）は現時点で JIP-ISAC102-2.0 を保有していません（2026年8月時点）。

審査費用は公式サイトでの公開がなく、要問い合わせが前提ですが、審査費用見積・パンフレット申請は公式サイト（shinsaweb.jsa.or.jp）内の Web フォームから受け付けています。取得までの標準期間は Stage 1・Stage 2・登録判定のプロセス全体で6か月〜12か月が目安です。

日本能率協会 審査登録センター（一般社団法人日本能率協会）

食品・自動車・機械・化学など製造業を中心とした業界団体として1942年に設立された一般社団法人日本能率協会（JMA）の審査登録部門で、認定番号 ISR011 として2003年11月に ISMS-AC 認定を取得しています。

取り扱う規格は ISO 9001（品質）・14001（環境）・45001（労働安全衛生）・22301（BCMS）・22000（食品安全）・IATF 16949（自動車）・ISO 50001（エネルギー）等と広く、FSSC 22000 や IATF 16949 といった業界固有規格まで1機関でカバーできる点が特徴です。ISMS を製造・食品業種の関連規格と統合的に運用したい企業に向きます。

ISMS-AC 認定範囲は ISO/IEC 27001 と 27017（クラウドセキュリティ）の2規格で、27701（PIMS）は現時点で JIP-ISAC102-2.0 を保有していません（2026年8月時点）。JMA グループとしての認証件数は国内屈指で、大手〜中堅の登録実績を蓄積しています。

審査費用は公式サイトでの公開がなく、要問い合わせが前提です。取得までの標準期間は Stage 1（文書審査）→ Stage 2（現地審査）→ 登録判定のプロセス全体で6か月〜12か月で、対象組織の規模・準備状況によりレンジ内で調整されます。

中小企業・スピード重視型

中堅・中小企業向けに柔軟な審査運用や短期取得を訴求する機関を紹介します。書類重視ではなく現場主義を掲げる機関や、地域拠点の強み・資料請求実績で選ばれている機関が並びます。

株式会社 GCERTI-JAPAN

G-CERTI グループの日本法人として、世界約50か国のネットワークを持つ ISO/ISMS 審査機関です。

ISMS-AC の認定は2026年8月時点で未取得で、米国の認定機関 IAS（International Accreditation Service）から認定を受けて ISO/IEC 27001 の審査を提供しており、GAC 相互承認の枠組みにより認証書の実務効力は ISMS-AC 認定機関と同等に扱えます。

最大の訴求点は審査スピードで、申込から認証まで最短3か月・審査から認証発行まで最短1か月を公式に打ち出しています。他機関で2日かかる審査を1日で完了する運用や、必要書類を他社の1/2以下に抑える現場主義の審査で、担当者の準備負担を下げる設計です。認証書は英日両言語で発行され、海外取引先への提出にもそのまま使えます。

設立約10年で約10,000件（グループ全体で約11,000件）の審査実績を持ち、社内審査員を多く抱えて外部委託コストを削減することで適正価格を実現していると訴求します。

ISO 27001 はすべての産業に対応可能としており、リモート審査にも対応。ISO/IEC 27017・27018・27701 の取扱いは公式サイトに明示がないため、併願を検討する場合は個別に問い合わせで確認しましょう。本社は大阪。

国際システム審査株式会社（ISA）

名古屋市中村区に本社を置く数少ない ISMS 認証機関で、中部・東海地方に本社を置く企業にとって審査員派遣の移動コストや実地審査のスケジュール調整の面でアクセスしやすい機関です。ISMS-AC 認定は2006年12月取得（ISR024）で、有効期限は2029年12月17日です。

認定範囲は ISMS 本体（JIP-ISAC100-5.0）と ISMS クラウドセキュリティ（JIP-ISAC101-2.0）で、ISO/IEC 27001 と ISO/IEC 27017 を単一機関で併願できます。

ISO/IEC 27701（PIMS）は2026年8月時点で ISMS-AC 認定の対象外のため、PIMS 併願を予定する場合は他機関との組み合わせが必要です。ISO/IEC 27018 の取扱いは公式サイトに明示がないため個別確認が必要です。

情報通信・製造・サービス業の中小企業を主な対象としており、中部・東海地方に本社を置く企業にとって地の利があります。審査料金は公式非公表で、対象組織の規模・スコープに応じた個別見積もり。標準的な取得期間は第一段階審査から登録判定まで6〜12か月が目安です。

アイエムジェー審査登録センター株式会社（IMJ）

ISMS-AC（ISR029）と JAB（一般財団法人 日本適合性認定協会、CM038）の両方から認定を受けている審査機関で、2016年11月に ISMS-AC の認定を取得しました（有効期限は2027年11月16日）。複数のマネジメントシステム規格を一体で扱える体制を整え、横浜市西区に本社を置きます。

対応規格は ISO 9001（品質）・ISO 14001（環境）・ISO/IEC 27001（ISMS）・ISO/IEC 27017（クラウドセキュリティ）・ISO/IEC 27701（PIMS）で、ISMS-AC 認定範囲は JIP-ISAC100-5.0・101-2.0・102-2.0 の3基準に対応します。

ISO/IEC 27001／27017／27701 を単一機関で併願できるため、クラウド事業者や個人情報を扱う事業者が候補として検討しやすい機関です。

中堅・中小企業層向けの審査運用に強みを持ち、ISMS-AC・JAB の両認定を活かして 27001／27017／27701 を単一機関で束ねたい事業者の相見積もり候補になります。審査料金は公式非公表で、対象組織の規模・スコープに応じた個別見積もり。標準的な取得期間は第一段階審査から登録判定まで6〜12か月が目安です。

株式会社ジェイーヴァック（J-VAC）

「親身で卓越したサービス」を提供理念に掲げる審査機関で、2005年1月に ISMS-AC の認定（ISR017）を取得しました（有効期限は2028年1月11日）。過度な文書要求は勧めない審査方針で担当者の負担を下げる姿勢を訴求し、東京都品川区東五反田に本社を置きます。

IT トレンドの ISMS 認証機関 資料請求ランキングで2026年8月時点で1位を獲得しており、読者・企業側からの資料請求が最も多い機関という指標を持ちます。書類整備の負担を抑えたい中堅企業の相見積もり候補になり、セミナー・規格解説などの顧客教育コンテンツにも注力しています。

対応規格は ISO 9001（品質）・14001（環境）・27001（ISMS）・45001（労働安全衛生）・20000-1（IT サービスマネジメント）・21401（宿泊施設向け持続可能性）と広く、複数規格の統合審査を単一機関で組めます。

ISMS-AC 認定範囲は ISMS 本体（JIP-ISAC100-5.0）のみで、ISO/IEC 27017・27701 は2026年8月時点で認定対象外です。審査料金は公式非公表で、対象組織の規模・スコープに応じた個別見積もりです。

関連規格・特定業界での併願を検討する場合の観点

ここまでの3タイプ（グローバル／国内オールラウンド／中小・スピード重視）に横串を通す選定観点として、業界固有規格（FSSC 22000・IATF 16949 など）や ISO/IEC 27017・27701 との併願可否を機関別に整理します。単独の「4番目のタイプ」ではなく、3タイプ共通で自社の関連規格要件と照らし合わせる観点として活用してください。

業界特有の管理策と ISMS を効率的に一体で審査できるという観点で、絞り込みの補助材料になります。

以下の表で業界特化領域と関連規格認定の対応状況を機関別に比較します。

機関名	業界特化の強み	ISO/IEC 27017 認定	ISO/IEC 27701 認定
JMAQA	食品（FSSC 22000）・自動車（IATF 16949）・機械・化学など製造業向け業界規格と ISMS の統合審査	対応（JIP-ISAC101-2.0）	非取得
BSI	情報通信・金融・製造・医療機器・ヘルスケア。ISO/IEC 27001 の原型 BS 7799 を策定した組織	対応（JIP-ISAC101-2.0）	対応（JIP-ISAC102-2.0）
BV	建設・エネルギー・海事・輸送。TIC 事業を併営し業種特化の審査員が組織内に在籍	対応（JIP-ISAC101-2.0）	非取得（グローバル側の対応は要問い合わせ）
DNV	海事・エネルギー（石油ガス・再生可能エネルギー）・電力・食品・ヘルスケア。船級協会起源	非取得（グローバル側の対応は要問い合わせ）	非取得

なお、ISO/IEC 27018（クラウドサービスにおける個人情報保護）は ISMS-AC の認定基準として単独では設定されておらず、ISO/IEC 27017 認定の運用に包含される扱いとなっています。個別の対応可否は各機関へ直接ご確認ください。

ここまで比較しても、自社に合う機関を1社に絞り切れないケースも多いでしょう。認証機関の選定と並行して、審査の前段となる文書整備・情報資産台帳・リスクアセスメント・内部監査の準備を SaaS で効率化することで、機関選びの意思決定にも余裕が生まれます。

取得準備 SaaS の SecureNavi は1,200社超の導入実績を持ち、31ステップのガイドで担当者が無理なく取得プロジェクトを進められるように設計されています。

見積もり依頼と相見積もりのチェックリスト

ここからは、複数機関に同じ条件で見積もりを取るためのチェックリストを解説します。伝えるべき情報が揃わないと機関ごとに見積もりの前提が食い違い、金額比較の意味が薄れてしまいます。本節のチェックリストはそのまま見積もり依頼メールに貼り付けて使えます。

見積もり依頼時に伝えるべき情報

認証機関側が正確な見積もりを返すには、審査工数を算定するために必要な情報が揃っている必要があります。以下の項目を漏れなく共有できれば、機関ごとの見積額のばらつきが「認証機関の条件差」に収束します。

• 会社概要（社名・事業内容・沿革の要点）
• 認証を取得したい規格（ISO/IEC 27001 単独／27017 併願／27701 併願／ISO 9001・14001 との統合）
• 認証範囲（適用範囲）：全社／特定事業部／特定サービスなど、対象部門と業務を明記
• 拠点数と所在地：本社／支社／データセンター／在宅勤務者の分布（実地審査の対象範囲に影響）
• 認証対象の従業員数（有効人数区分の判定に必要）
• 希望する認証取得時期と、そこから逆算した審査希望時期
• すでに取得済みの認証（他規格・他機関）と、その認定シンボル
• 取引先から求められている認定機関の指定（あれば）
• ISMS の運用開始日（審査までの運用期間が3か月以上あるか）

見積書で確認すべき項目

返ってきた見積書を横並びで比較するときは、金額の合計だけでなく内訳の粒度と、契約後に追加費用が発生する条件を必ず確認します。次の項目が明示されていなければ、機関に照会して埋めてもらいましょう。

• 初回登録審査の内訳（第一段階／第二段階／認証登録料）
• 1年目・2年目のサーベイランス審査費用（年ごとの単価）
• 3年目の再認証審査費用と、3年間の合計額
• 審査員の日当・交通費・宿泊費の扱い（別途実費請求か込みか）
• 認証範囲の追加・拠点追加時の追加費用
• 審査スケジュール変更時のキャンセル料の条件
• 認証書の言語（日本語のみ／英語併記／英語別冊）と別冊発行費用
• 契約期間中の解約・移転の条件と発生費用

相見積もりを公正に取るためのコツ

相見積もりを取るときは、条件の伝え方を機関ごとに揃えることで、金額差が「機関の条件差」に集約されます。同じ情報パッケージを3〜5社に同時送付し、返信期限を揃えることで比較の質が上がります。

また、金額だけで最安を選ぶのではなく、審査員の業界経験・審査スケジュールの柔軟性・追加費用の透明性を総合評価しましょう。3年間の合計額に大きな差がない場合は、担当営業の対応品質や質問への返答の速さといった「今後3年間付き合う相手としての適性」を判断材料に加えると、契約後のミスマッチを減らせます。

ISMS認証取得の流れ

ここからは、認証機関を選んだ後の実務プロセスを4段階に分けて解説します。ISMS-AC の公式パンフレットが定める工程を土台に、各段階で読者側が準備すべき事項を整理します。

申請が受理され、審査に入れる状態になったら、認証機関によって審査が開始されます。審査は原則として第一段階と第二段階の2段階で行われます。（審査日数や審査工数は、認証範囲、受審組織の規模等によって異なります。）

審査の結果、ISO/IEC 27001（JIS Q 27001）に適合していることが確認されると認証されます。認証の有効期限は3年です。

出典：ISMS適合性評価制度パンフレット JIP-ISMS120-7.2｜情報マネジメントシステム認定センター（ISMS-AC）

第一段階審査（文書審査）

第一段階審査では、ISMS を運用するために整備した文書（情報セキュリティ方針・適用宣言書・情報資産台帳・リスクアセスメント記録・各種手順書など）が ISO/IEC 27001 の要求事項を満たしているかを確認します。第二段階審査（現地審査）に進める状態かを見極める工程で、指摘事項があれば是正して第二段階に臨みます。

読者側の準備としては、審査対象の全文書を版管理された状態で提出できるようにしておくことが基本です。文書整備が追いつかない場合は、第一段階審査の日程を後ろ倒しにするか、取得支援 SaaS で文書テンプレートを活用して進めます。

第二段階審査（現地審査）

第二段階審査では、文書化された ISMS が実際に運用されているかを、現地でのインタビュー・記録確認・現場観察を通じて審査します。認証範囲に含まれる全拠点のうち、機関側のサンプリング方針に基づいて選ばれた拠点で実施されます。

ここで確認されるのは、方針・手順が書かれているかではなく「実際にその通りに運用され、記録が残っているか」です。運用開始から審査までに最低3か月程度の運用実績を積んでおくことが目安になります。

サーベイランス審査（維持審査）

認証取得後1年目・2年目には、ISMS が引き続き規格に適合し有効に維持されているかを確認するサーベイランス審査が行われます。初回審査より工数は小さくなりますが、内部監査記録・マネジメントレビュー記録・是正処置記録などが継続的に運用されている証跡が求められます。

再認証審査（3年サイクル）

認証取得3年目には、認証の有効期限を更新するための再認証審査が行われます。初回登録審査に近い全面的な審査で、3年間の運用の総括と次の3年サイクルへの継続性を評価します。この時点で認証機関の変更を検討するケースもあり、機関側の対応品質を3年間かけて総合評価する節目になります。

4年目以降は同じサイクル（サーベイランス2回＋再認証1回）を繰り返します。運用が定常化してくると、機関ごとの審査員の入れ替わりや審査観点の一貫性が体感で見えるようになります。

取得支援ツール（SecureNavi）との組み合わせ設計

ここからは、認証機関選定と取得準備（文書整備・運用開始）の分離／統合をどう設計するかを解説します。認証機関は「審査を実施して認証書を発行する」側で、その前段の準備工程は自社・コンサル・SaaS のいずれかで担う必要があります。取得準備 SaaS の SecureNavi は準備工程を SaaS でカバーするサービスで、認証機関との棲み分けを設計するときの選択肢になります。

「文書整備・運用開始」を SaaS で内製化する設計

取得準備 SaaS の役割は、情報資産台帳・リスクアセスメント・適用宣言書・各種手順書・内部監査記録などの ISMS 運用文書を、ステップ型のガイドに沿って自社で整備できるようにすることです。SecureNavi の場合は31ステップのガイド設計で、担当者が「次に何をすべきか」を迷わずに進められる構造になっています。

この設計を選ぶメリットは、認証取得後に社内知見が残ることと、更新審査・規格改訂（ISO/IEC 27001:2022 移行など）への追従を SaaS 側のテンプレート更新で吸収できることです。コンサルへ丸投げする設計と比べて、担当者の学習曲線は上がりますが、3年サイクルの2周目以降のコストが下がっていきます。

「審査対応」で認証機関と接する範囲

取得準備 SaaS で文書と運用が整った後、認証機関と接するのは主に「申請〜第一段階審査〜第二段階審査〜認証登録」の一連の審査工程です。SaaS 側が生成する文書一式を認証機関にそのまま提出できる形式にしておくと、審査員側の読み込み負荷が下がり、審査当日の質疑応答が効率化します。

SecureNavi は認証機関の指定は行わず、自社で選定した機関に対して SaaS 上のドキュメントを提出する形になります。機関選定は本記事の比較表・タイプ分類・チェックリストで進め、取得準備は SaaS 側で並行して進めるという分業が現実的です。

コンサル丸投げ・SaaS＋自社・コンサル併用の3パターン

取得準備の進め方は、大きく3パターンに分かれます。①コンサル丸投げ（外部専門家が文書作成・運用設計をすべて代行）、②SaaS＋自社（担当者が SaaS のガイドに沿って社内で完結）、③コンサル併用（要点だけコンサルに相談し、実務は SaaS で自社完結）。

①はスピード優先で担当者リソースが薄い場合、②は3年サイクルの2周目以降のコストを下げたい場合、③は初回取得を確実に成功させつつ社内知見も残したい場合に向きます。認証機関の選定は3パターンいずれでも独立に進められるため、まずは自社の担当者リソースと3年計画を踏まえて準備側の設計を決めてから、機関選定に入るのが順序として自然でしょう。

認証機関の変更・移転審査の実務

ここからは、現在契約している認証機関から別機関へ乗り換えるための実務手順を解説します。ISMS 認証は3年サイクルで更新する仕組みのため、更新の節目で機関変更を検討する企業は珍しくありません。移転審査は IAF（現・Global ACI）の必須文書 IAF MD 2 で横断的な要件が定められており、これを踏まえて手続きを進める必要があります。

変更を検討するタイミング

認証機関の変更は制度上いつでも検討できますが、実務上の摩擦が最も少ないのはサーベイランス審査や再認証審査のタイミングです。既存機関との審査サイクルが1つ区切られたところで移転審査に切り替えることで、証跡の引き継ぎが自然に行えます。

審査中や不適合の是正中に機関を変更するのは、審査プロセスの中断・再開が絡み手続きが複雑になります。既存機関との契約解約条件も含めて、変更前にスケジュールを綿密に確認しておきましょう。

移転審査の手続き（IAF MD 2:2023 の要件）

移転審査は IAF MD 2:2023（日本語版 JIP-IMAC103-2.0a）で次のように定義されています。

認証の移転とは、ある認定された認証機関（以下、「発行元認証機関」という）によって授与された、既存の有効なマネジメントシステム認証を、他の認定された認証機関（以下、「受け入れ側認証機関」という）が、その機関自身の認証を発行する目的で、認知することとして定義される。

複数認証（一つより多い認証機関による並行認証）は、上記定義に該当しない。また、IAFは複数認証を推奨しない。

出典：IMS認証機関認定の実施に係る指針MD2 JIP-IMAC103-2.0a｜情報マネジメントシステム認定センター（ISMS-AC）

同文書は移転前レビューで最低限確認すべき事項として、①発行元・受け入れ側とも認定範囲に該当していること、②移転を希望する理由、③移転を希望するサイトが有効な認定認証を保有していること、④初回認証または直近の再認証審査報告書と最新のサーベイランス報告書、⑤未完了の不適合の状態、を挙げています。読者側は既存機関からこれらの資料を取得して受け入れ側機関に提出する準備を進めます。

移転後の認証周期については、同文書は「移転前のレビューで問題が特定されなかった場合は、認証周期は前回の認証周期に基づかなければならない」と定めています。つまり、移転を機に3年サイクルがリセットされるわけではなく、既存のサイクルを引き継ぐ形になります。

契約解約条件で注意する項目

移転費用は個別契約に委ねられているため、機関ごとの営業条件で扱いが分かれます。たとえば GCERTI-JAPAN は自社への移転手続きについて、必要書類（現在の審査機関の認証書・直近の審査報告書・審査申込書・組織図・マニュアル）を示したうえで「移転完了までに必要な期間：お申込みから約4か月／移転にかかる費用：費用はかかりません」と自社サイトで案内しています。

出典・参考資料（1件）

• 参考資料：TRANSFER PROCEDURE 審査機関の移転手続き｜株式会社ジーサーティ・ジャパン

ただしこれは個別機関の営業条件で、他機関では移転審査の工数分の費用が請求されるケースもあります。既存機関との契約書に途中解約時の違約金・返金条件・契約更新の自動延長条項が含まれていないかを移転検討の初期段階で確認し、受け入れ側機関との交渉と並行して既存機関との解約手続きを進めていきましょう。

ISMS認証機関に関するよくある質問（FAQ）

Q. 認証書に記載される認定シンボルは選べますか？

A. 認定シンボル（ISMS-AC／UKAS／IAS など）は認証機関がどの認定機関から認定を受けているかで決まり、認証取得企業側で自由に選ぶものではありません。認定機関を複数取得しているグローバル系機関では認証書に載せるシンボルの選択肢が生まれる一方、単一認定の機関ではシンボルは1択になります。

シンボルは調達要件や取引先要件で指定されることもあるため、要件が固まっている場合は認証機関選定の前に確認しておきましょう。ISMS-AC 認定の認証書を求められている場合は、本記事の比較表の「認定源」列で ISMS-AC 認定機関に候補を絞り込めます。

Q. ISMS認証機関で認証取得までどのくらいの期間がかかりますか？

A. ISMS認証機関に申請してから認証書が発行されるまでの期間は、一般的に6か月〜12か月が目安です。

ISMS-AC の公式パンフレットは制度上の最短を「3〜4か月程度」と示していますが、実務では機関側の審査員リソースや自社の準備状況、Stage 1 と Stage 2 の日程間隔、認証審査までに最低3か月程度の運用実績を積む要件などが重なるため、実際は6〜8か月レンジに落ち着くケースが多く見られます。

取引先要件で取得期日が決まっている場合は、見積もり依頼時に「申込みから第一段階審査までの通常リードタイム」を必ず確認しておきましょう。工程の詳細は本記事の「ISMS認証取得の流れ」で解説しています。

Q. ISMS認証の取得費用はどのくらいかかりますか？

A. ISMS認証の取得費用は、認証機関の公式サイトで具体的な金額を公表しているケースはほとんどなく、認証範囲・拠点数・従業員数・関連規格併願（27017／27701）の組み合わせで大きく変動するため、複数機関への相見積もりで実額を掴む方法が基本です。

相見積もりを取るときは、初回登録審査（第一段階＋第二段階）／年次のサーベイランス審査（1年目・2年目）／3年目の再認証審査、の3層すべての見積額を1つの表に並べてもらうと、3年間トータルでの機関間比較ができるようになります。費用が変動する主要因と3層構造の詳細は本記事の「費用構造と相場を掴む手順」で解説しています。

Q. ISMS認証とプライバシーマーク（Pマーク）はどちらを先に取得すべきですか？

A. ISMS認証とプライバシーマークは保護対象と根拠規格が異なるため一律の優先順位はなく、取引先要件と自社が守るべき情報資産の重心から判断するのが基本です。

ISMS 認証は自社が定めた適用範囲内の情報資産全般（技術情報・顧客情報・従業員情報など）を国際規格 ISO/IEC 27001 に基づいて保護する制度で、適用範囲を柔軟に設定できます。プライバシーマークは全社の個人情報保護を JIS Q 15001 に基づいて全社一律で保護する国内制度です。

海外取引先・親会社への提出や、SaaS・受託開発など情報資産全般が対象なら ISMS 優先、国内 BtoC 向けで個人情報の取り扱いが事業の中心なら Pマーク優先という判断が一般的で、両方の取得を並行する企業も少なくありません。個人情報の保護観点で ISMS 側を補完する場合は、ISO/IEC 27701（PIMS）の併願で近い効果が得られます。

Q. ISMS認証機関は途中で変更できますか？

A. ISMS認証機関は途中で変更でき、サーベイランス審査や再認証審査の節目に移転審査で切り替えれば、3年サイクルをリセットせず既存の認証周期を引き継げます。

移転審査は IAF MD 2:2023（日本語版 JIP-IMAC103-2.0a）で横断的な要件が定められており、発行元・受け入れ側の認定範囲、直近の審査報告書、未完了の不適合状態などが移転前レビューで確認されます。

審査中や不適合の是正中の変更は手続きが複雑になるため、既存機関との契約解約条件と合わせて事前確認が必要です。実務手順・確認項目・費用の取り扱いは本記事の「認証機関の変更・移転審査の実務」で詳しく解説しています。

Q. ISMS認証機関の評判はどうやって調べればよいですか？

A. ISMS認証機関の評判はネット上に口コミがほとんど出回らないため、同業種で認証取得した企業への直接ヒアリング／取得支援コンサル・SaaS 事業者への相談／機関公式サイトの導入事例確認／資料請求ランキングの指標の4経路を組み合わせて把握するのが実務的です。

IT トレンドの資料請求ランキングは本記事の「株式会社ジェイーヴァック（J-VAC）」節で具体的に扱っています。

加えて、見積もり依頼のタイミングで「自社と同業種（例：SaaS・受託開発・BPO）の直近3年の審査件数」「主任審査員の業界経験年数と担当予定業種の実績」を具体的に質問すると、機関側の実力が定量的に見えてきます。審査員の専門性を実際に確認する方法は本記事の「審査員の業界専門性・実績があるか」で解説しています。

Q. ISMS認証機関で ISO/IEC 27017（クラウド）や 27701（PIMS）を併願できますか？

A. ISMS認証機関での ISO/IEC 27017・27701 の併願は可能ですが、認証機関側にも該当領域の認定が必要で、ISMS-AC 認定27機関のうち 27017（クラウドセキュリティ）対応は17機関、27701（PIMS）対応は7機関に絞られる点に注意が必要です。

3規格（27001＋27017＋27701）をすべて単一機関で完結できるのは国内でごく限られた機関にとどまり、本記事で紹介した BSIグループジャパン・日本品質保証機構（JQA）・日本科学技術連盟 ISO審査登録センター・アイエムジェー審査登録センター などがこの範囲を持ちます。

まずは比較表の認定範囲列で候補を絞り込んでから、見積もり依頼のタイミングで最新の認定状況を機関側に確認しましょう（認定範囲は更新で変動するため）。

Q. ISMS認証機関は海外拠点にも対応してもらえますか？

A. ISMS認証機関の海外拠点対応は、UKAS・ANAB など複数の認定を保有するグローバル系の機関（BSI・ビューローベリタスジャパン・SGSジャパン・DNV・LRQA・インターテック等）であれば、複数国の拠点を同じ審査体系で運用できるのが一般的です。

認証書に載せる認定シンボル（ISMS-AC／UKAS／ANAB など）を取引先要件に合わせて選べる点も、海外の親会社・取引先を持つ企業にとっては実用面の利点です。認定機関のブランド指定が取引先要件に含まれるかを事前に確認したうえで、グローバル系機関を軸に相見積もりに進むと選定がスムーズに進みます。詳細は本記事の「グローバル・海外取引重視型」の各機関紹介を参照してください。

まとめ

ISMS 認証機関の選定は、認定機関との違いを押さえたうえで、審査員の専門性・対応スピード・国際的な認知度・関連規格併願の可否・避けたい兆候の5観点で候補を絞ることから始まります（審査費用は5観点の前提として、複数機関への相見積もりで比較するのが基本）。

ISMS-AC 認定27機関と、UKAS・IAS 認定で日本市場に ISMS 認証を提供する機関を「グローバル・海外取引重視型／国内大手〜中小オールラウンド型／中小企業・スピード重視型」の3タイプに整理しました。

3タイプの枠組みで、自社の規模・業種・重視観点に合う候補が見えてきます。業界固有規格（FSSC 22000・IATF 16949 等）や ISO/IEC 27017・27701 との併願は、3タイプに横串を通す選定観点として重ねます。

費用は公表情報が限定的で相見積もりが基本になりますが、初回登録／サーベイランス／再認証の3層すべてを1つの表で並べて比較し、事業スコープ・拠点数・従業員数・希望スケジュール・併願規格を揃えて依頼することで、機関ごとの条件差に集約された比較ができます。認証取得の流れは第一段階審査・第二段階審査・サーベイランス・再認証の4段階で、3年サイクルで運用が回っていきます。

認証機関の選定と並行して、文書整備・運用開始という取得準備の工程をどう進めるかも重要な設計です。取得支援 SaaS の SecureNavi を活用すれば、31ステップのガイドで担当者が社内完結で準備を進められ、認証取得後の運用維持・規格改訂対応の負荷も継続的に下げられます。まずは資料をダウンロードして、自社の準備工程にどう組み込めるかを検討してみましょう。

ISMS・Pマーク認証取得支援の料金・手数料を一括チェック

MCB FinTechカタログでは、ISMS・Pマーク認証取得支援サービスの最新資料を一括でダウンロードできます。認証機関選定と並行して進める取得準備の SaaS・コンサルティングを比較検討したい場合は、下記のフォームからまとめて資料請求が可能です。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。