ISO 9001・14001・27001は何が違うのか — 番号で読む認証の仕組み

工場やオフィスの入り口、会社の案内資料で「ISO 9001認証取得」という表示を見たことがある人は多いはずです。ISOとは国際標準化機構のことで、各国の標準化団体が参加して国際規格を作る非政府組織です。大切なのは、ISO自身が会社を審査して認証を与えるわけではないことです。ISOの公式ページも、認証は独立した認証機関が行うもので、ISOは組織を認証しないと明記しています。「ISO認証」は、ISOが作った規格に会社の仕組みが合っていることを、第三者である認証機関が確かめた状態を指す言葉です。

番号は「何のマネジメントシステムか」を表す

認証の対象になるのは、製品そのものではなく、会社の運営の仕組みであるマネジメントシステムです。番号の違いは、その仕組みが何を管理するためのものかを示しています。代表的な3つは、品質、環境、情報セキュリティです。いずれも、方針を決め、計画を立て、実行し、点検して改善するという循環を回す点は共通で、管理する対象だけが異なります。そのため、複数の認証を組み合わせて持つ会社も珍しくありません。

• ISO 9001 — 品質マネジメントシステム。一貫した製品やサービスを提供し、顧客の期待に応えるための仕組みです。製造業からサービス、医療、教育、行政まで幅広い分野で使われています
• ISO 14001 — 環境マネジメントシステム。資源の使い方や廃棄物の管理など、組織の環境への影響を減らし、環境パフォーマンスを改善し続けるための枠組みです
• ISO/IEC 27001 — 情報セキュリティマネジメントシステム。会社が持つ情報の機密性、完全性、可用性を守り、情報のリスクを管理する仕組みです。ISOと国際電気標準会議（IEC）が共同で発行しているため、正式にはISO/IECと表記されます
• このほかの例 — ISO 45001は労働安全衛生マネジメントシステムです。番号の末尾の年号は規格の版を示し、規格は内容の見直しに合わせて改訂されます

9001・14001・27001の中身の違い

ISO 9001が見るのは品質です。顧客の要求に応える製品やサービスを安定して提供できているか、責任の所在や手順が定まっているか、測った結果をもとに改善しているかが問われます。規格は具体的な作業のやり方まで指定するのではなく、各組織が自社の進め方を決めて運用することが前提です。認証は任意で、取引先の承認や入札の場面で求められることが取得の動機になる場合があります。

ISO 14001が見るのは環境です。自社の活動が環境に与える影響を把握し、法令などの要求を守りながら、資源の使用や廃棄物の削減といった目標に向けて改善を続ける仕組みが対象になります。排出量などの数値そのものを規格が一律に決めるのではなく、改善の仕組みが回っているかどうかが審査されます。ISO/IEC 27001が見るのは情報です。顧客情報や従業員情報、技術情報など、会社が預かる情報を、漏らさず、改ざんされず、必要なときに使える状態に保つためのリスク管理の仕組みが対象で、紙の情報やクラウド上のデータも含まれます。守る対象が品質か、環境か、情報かという違いが、そのまま点検する項目の違いになります。

日本で使われる規格名にも注意すると読みやすくなります。ISO 9001に対応する日本産業規格はJIS Q 9001、ISO 14001に対応するのはJIS Q 14001、ISO/IEC 27001に対応するのはJIS Q 27001です。認証書にISOの番号とJIS Qの番号が併記されていることがあるのは、国際規格とそれに対応する日本の規格の両方に沿っていることを示すためです。表示されている番号の体系が違っても、品質、環境、情報セキュリティという対象の対応関係は変わりません。

認証の仕組みは3層になっている

• 規格を作る層 — 国際標準化機構（ISO）などがマネジメントシステムの国際規格を作成します
• 審査する層 — 認証機関が、会社のマネジメントシステムが規格の要求事項に合っているかを審査し、合っていれば認証を与えて公表します
• 認証機関を見張る層 — 認定機関が、認証機関に審査を行う能力があるかを国際的な基準で審査し、認めた機関を公表します
• 日本では、公益財団法人日本適合性認定協会（JAB）がマネジメントシステム認証機関の認定を行っています。情報セキュリティの分野では、情報マネジメントシステム認定センターも認定を担っています

この3層があるため、認証書には「どの認証機関が審査したか」とあわせて、その認証機関が認定機関から認定を受けているかどうかも意味を持ちます。日本適合性認定協会の説明では、認証とは、製品、プロセス、システムや要員が特定の規格の要求事項に適合していることを第三者が審査し証明することであり、認定は、その審査を行う機関の能力を公式に実証することです。「認証」と「認定」という似た言葉が、別の層を指している点が、この仕組みで一番間違えやすいところです。

取得までの流れと、取得してからの審査

• 段階1 — 規格に沿って自社の仕組みを整え、文書化し、運用を始めます
• 段階2 — 自社で内部監査を行い、経営層による見直し（マネジメントレビュー）で点検します
• 段階3 — 認証機関の審査を受けます。文書の確認と、実際の運用の確認が行われ、要求事項に合っていれば認証が与えられます
• 段階4 — 認証を保つため、通常は毎年、維持審査（サーベイランス審査）を受けます
• 段階5 — 認証には有効期間があり、通常3年ごとに更新のための再認証審査を受けます

一度取れば終わりではないことが、ISO認証の大きな特徴です。ISO 14001の公式ページでも、認証を受けた組織は通常、毎年のサーベイランス審査と3年ごとの再認証審査を受けると説明されています。審査では前回の指摘が改善されているか、仕組みが形だけになっていないかが見られます。また、認証は会社全体に一律にかかるものではなく、認証書には対象となる組織や事業所、活動の範囲が示されます。取引先の認証を確認するときは、番号だけでなく、その範囲と有効期限まで見ることが大切です。

複数の規格をまとめて運用する会社もあります。品質、環境、情報セキュリティのマネジメントシステムは、方針や内部監査、見直しの進め方に共通する部分が多いため、仕組みを統合して運用し、審査もまとめて受ける設計が可能です。ただし、統合しても審査で見られる対象は規格ごとに異なります。9001の審査で環境の取り組みが認められるわけではなく、番号ごとに、それぞれの規格への適合が確かめられます。

費用と手間は、金額を断定できない前提で考える

認証には、審査を行う認証機関へ支払う費用のほか、仕組みを整えるための社内の作業や、必要に応じた外部の支援の費用がかかります。維持についても、毎年の維持審査と3年ごとの更新審査のたびに費用が発生します。金額は、認証機関、会社の規模、事業所の数、対象にする範囲によって異なります。そのため、検討の際は1つの相場の数字に頼らず、複数の認証機関から見積もりを取り、取得時だけでなく維持と更新まで含めた期間で比べることが現実的です。「ISO認証取得」とうたう支援サービスの中には、認定を受けていない機関による認証を扱う場合もあるため、認定機関から認定された認証機関かどうかも確認の対象になります。

表示を見たときに読み取れること、読み取れないこと

• 読み取れること — その範囲のマネジメントシステムが、規格の要求事項に合っていると第三者に認められたこと
• 読み取れること — 毎年の維持審査と3年ごとの更新審査を受け続ける運用が前提になっていること
• 読み取れないこと — 個別の製品の品質そのものが保証されること。対象は製品ではなく仕組みです
• 読み取れないこと — 事故や不祥事が起きないこと。情報セキュリティの認証も、リスクを管理する仕組みがあることを示すもので、事故の不存在を示すものではありません
• 確認する点 — 番号（守る対象）、認証の範囲、認証機関の名前、有効期限の4点です

ISOの表示は、番号を見ればその会社が何の管理に力を入れているかの手がかりになります。9001なら品質の安定、14001なら環境への対応、27001なら情報の守り方です。このサイトに掲載している製造業の企業ページとあわせて読むと、製品を作る会社が品質と環境の両面で仕組みを整える理由も見えてきます。表示を過信も軽視もせず、範囲と期限まで含めて読むことが、認証との正しい付き合い方です。