▼ 目次
1. はじめに
1.1. 記事の目的と想定読者
本記事では、ISO27001（ISMS）におけるマネジメントレビューのやり方を、具体的な手順・ポイント・頻度に分けてわかりやすく解説します。
想定読者
これからISO27001認証を取得しようとしている企業の担当者
すでにISMSを運用中だが、マネジメントレビューが形骸化していると感じている方
経営層や管理責任者を巻き込みつつ効果的なレビューを行いたい初心者
ここでは、プロのISOコンサルタントが見てきた他社事例や実務で役立つノウハウを交えながら、失敗を避けながら効果的なマネジメントレビューを進めるコツをお伝えします。
1.2. ISO27001マネジメントレビューの重要性と背景
重要性: マネジメントレビューは、経営層が情報セキュリティ体制を総合的に点検し、方向性を決定する場。
背景: 情報漏えいやサイバー攻撃が増え、経営戦略とセキュリティ対策を一体化する必要が高まっている。マネジメントレビューを形だけでなく、中身ある議論にすることが、事故の未然防止や組織の信頼度向上につながる。
1.3. 本記事で得られるメリット（具体的手順、失敗回避ポイント）
具体的手順: 「どんな書類を準備し、どんな議題を話し合えばいいか」などが分かる
失敗回避: 「トップが参加しない」「議事録が形式的」など形骸化の典型パターンを防ぐ方法を紹介
運用効果: マネジメントレビューをうまく活用すると、ISMSのレベル向上と経営の意思決定スピードも上がる
2. ISO27001のマネジメントレビューとは？基本概要をおさらい
2.1. ISMS（情報セキュリティマネジメントシステム）におけるレビューの位置づけ
ISMS（Information Security Management System）: 情報資産を安全に管理するための仕組み。
マネジメントレビュー: ISMS全体を定期的に振り返り、経営層がリスク評価や改善策を確認し、方針を決める場。
コンサル視点: ここでの決定事項が次のPDCAサイクル（Plan-Do-Check-Act）に反映されるため、非常に重要。
2.2. PDCAサイクルとマネジメントレビューの関係
Plan（計画）：リスクアセスメントやセキュリティ方針を策定
Do（実行）：ルールの運用、セキュリティ対策の導入
Check（評価）：内部監査やモニタリングで運用状況を評価
Act（改善）：マネジメントレビューで重大決定や改善策の承認 → 次のPlanへ反映
重要: マネジメントレビューは“Check”と“Act”を結びつけるカギになる。
2.3. レビューで何を決定・改善するのか？主な役割
検討すべき項目:
リスクアセスメントの結果と対策の進捗
インシデント報告状況と再発防止策
内部監査・外部審査の結果と改善策の承認
新技術導入や組織変更によるセキュリティ要件の変更
最終決定: 経営層が「必要なリソースを確保する」「重点プロジェクトを指示する」など、具体的行動に繋げることが大事
3. マネジメントレビューの頻度とタイミングをどう決めるか
3.1. 一般的な実施頻度（年1回・半年1回など）と、海外事例の動向
一般的: 年1回の定期開催が多い。ただし、運用企業によっては半年ごとや四半期ごとの例もあり
海外事例: 企業規模が大きかったり、セキュリティリスクが高い業種（金融など）は四半期ごとに実施するケース
コンサル経験談: 年1回だけだと議題が積み上がりすぎて時間切れになる場合→ 半年1回に分割する企業も
3.2. 組織のリスクレベル・規模に応じた頻度の考え方
リスクレベル高: 重要顧客情報を扱うIT、金融、医療系など → 半年～四半期ごとがおすすめ
中小企業: リソースが限られるなら年1回でもOK。ただし、随時ミニレビューを行うと運用が楽
アドバイス: 重大インシデントが起きた場合は臨時レビューを開くなど、柔軟に設定すると効果的
3.3. プロのISOコンサル視点：多忙な経営層とどう折り合いをつけるか？
提案: 経営層が最も関心のあるKPI（売上、リスク対応コストなど）とセキュリティ施策を結びつけて議題設定→ スケジュールを取りやすい
具体例: 「レビュー会議は他の経営戦略会議の後に1時間追加」「四半期に1回の役員会でISMS議題を定番化」
4. マネジメントレビューの参加者と役割分担
4.1. 経営層（トップマネジメント）の責任とコミットメント
ISO27001要求: 経営層がISMS運用を推進・監督する責任を負う→ レビューには原則出席が必須
役割: 最終決定権を行使し、リソース配分や方針転換を明確化
失敗例: トップが形式的に署名だけ→ 実際の内容を把握していない→ 審査で不適合指摘を受けることも
4.2. ISMS管理責任者・情報セキュリティ委員会メンバーの役割
ISMS管理責任者: 全体調整・リスクアセスメントの取りまとめ・レビュー資料作成など
委員会メンバー: 部門ごとの課題やインシデント報告をまとめ、レビューに提供
コンサル談: 責任者が「レビューの司会」を担当し、経営層や部門代表にわかりやすく報告するケースが多い
4.3. 部門長や実務担当者の報告義務・意見具申の仕組み
部門長: 各部門のリスクやインシデント、改善策を事前に整理→ レビューで報告
実務担当者: 日々の運用現場で気付いた問題点、提案を集約し部門長へ連携
ポイント: ボトムアップの情報が正しく集まらないと、レビューが表面的な内容に終わってしまう
5. マネジメントレビューの具体的な手順：事前準備からフォローアップまで
5.1. 事前準備：アジェンダ作成、過去のデータ収集、リスクアセスメント結果のまとめ
アジェンダ: 会議の日程・目的・議題項目・配布資料などを事前に全参加者に共有
データ収集: インシデント一覧、監査結果、リスクアセスメント結果、新規課題リスト
コンサル経験談: アジェンダが曖昧だと当日バタバタ→ 重要事項に時間を割けず議論が浅くなる
5.2. レビュー当日の流れ：開始挨拶→ 各部門報告→ 経営層の質疑→ 決議事項の確認
開始挨拶: 目的・進行役を明確に
各部門報告: リスク進捗、インシデント、改善要望の発表
経営層の質疑応答: 経営視点で疑問や優先度の確認
決議事項確認: 議事録に残す。担当者と期限も明確化
5.3. フォローアップ：議事録作成、改善アクションの担当割り当て、期限管理
議事録: いつ、誰が参加し、どんな結論が出たかを簡潔にまとめる → 審査時の重要証拠
担当割り当て: 決定した改善策を誰がいつまでに行うか、明確に記録
期限管理: 次回レビューや進捗確認ミーティングで「アクションは完了したか？」を追う
6. レビューで議題にすべき内容：リスク評価、インシデント状況、改善提案など
6.1. リスクアセスメント結果とリスク処理計画の進捗確認
ポイント: 前回レビュー後に策定したリスク対応策がどこまで進んだか報告し、遅延や予算超過があれば原因を議論
具体例: 「サーバー冗長化」「社員教育の実施」「新たなセキュリティツール導入」など
6.2. インシデント・ヒヤリハット報告（種類・件数・再発防止策）
重要: 小さなトラブル（誤送信など）も含め、経営層が把握しなければ対策優先度を誤る可能性大
失敗例: インシデントが現場レベルで隠蔽・放置→ レビューで話題に上がらず同じ失敗を繰り返す
6.3. 文書や手順書の更新状況、監査結果や不適合指摘への対応進捗
内部監査や外部審査で指摘された不適合・観察事項に対する改善状況を確認
コンサル談: 「文書更新が滞って現場と乖離している」問題はよくある→ レビューで予算・担当を明確化して解決
6.4. 組織変更や新技術導入など経営戦略との連携
例: 新たにクラウドサービスを使う場合 → リスクは増える？契約やセキュリティ設定は十分か？
経営戦略連携: 新事業立ち上げ時に情報保護はどう進めるか、レビューの場で方針決定
7. 効果的なマネジメントレビューを行うためのポイント
7.1. KPI（重要業績指標）やKGI（目標指標）の設定例
例: インシデント件数、セキュリティ研修受講率、監査指摘ゼロの維持など
メリット: 数値化することで、経営層が「どの程度達成しているか」を理解しやすい
7.2. 視覚資料（グラフ・チャート）を活用して経営層の理解を促す
コンサル経験談: インシデント種類別の棒グラフやリスク対応進捗のガントチャートなど→ 一目で状況把握が可能
注意: 資料を作り込みすぎると準備負荷が大きくなる→ 適度なレベルのビジュアル化が吉
7.3. トップマネジメントの参加を確実にするための工夫（スケジュール調整・事前ブリーフィング）
事前ブリーフィング: トップが忙しいなら、数日前にキーポイントのみ1ページで報告し、興味を引く
スケジュール調整: 経営会議の直後にマネジメントレビューを入れる、または四半期ごとに時間を確保
ポイント: 経営層が“マネジメントレビューが戦略的な議論の場”だと認識しないと参加意欲が低下
8. 失敗例から学ぶ：マネジメントレビューが形骸化する原因と対策
8.1. 経営層が形式的に出席するだけで議論がないケース
原因: 資料が煩雑、経営指標との結びつきが薄い→ トップが興味を持てない
対策: KPIを経営指標に紐づけ、「投資コスト」「売上・信用への影響」を意識して報告
8.2. データやインシデント情報が集まらず「報告が不完全」で終わるケース
原因: 現場がインシデントをあまり報告しない風土、情報共有の仕組みが整っていない
対策: インシデント報告ルートを簡素化（オンラインフォームなど）し、早期報告を促す
8.3. アクションアイテムが曖昧になりフォローアップされない事例と改善策
例: 「対策を検討する」という曖昧表現で終了→ 次回レビューでも進展なし
改善: 「誰が、いつまでに、何を具体的に実施するか」を明記、期限管理の仕組みを入れる
9. 他社事例：マネジメントレビューを活かしてISMSを進化させた企業のストーリー
9.1. 製造業A社：インシデント報告を可視化→ レビューごとに迅速な対策が取れる仕組みを構築
背景: 拠点が複数あり、些細なヒヤリハット報告が現場レベルで埋もれていた
取り組み: 報告フォーム導入、ISMS委員会で集計→ レビュー時にリスクスコア表示→ 経営層が優先度を指示
成果: インシデントに早期対処できるようになり、重大事故の芽を摘むことに成功
9.2. IT企業B社：経営陣が短時間集中レビューの仕組みを導入→ PDCAサイクルがスピード化
方法: 四半期ごとに1時間半程度のマネジメントレビューを定例化、集中して議論
ポイント: 事前に要点まとめシートを配布 → 当日は意思決定に時間を費やす
効果: 社員はレビュー後すぐに新対策を実施し、次回レビューで進捗報告→ PDCAがきちんと回る
9.3. コンサル経験談：トップダウンで情報共有を徹底→ セキュリティ投資の優先度が明確に
具体例: 経営層が「情報漏えいは最重要リスク」と宣言し、マネジメントレビューで各部門が積極的に予算要望→ 課題が素早く解決
結論: レビューは「経営判断の場」であると組織が認識すると、ISMSが現場レベルで活きる
10. 監査や審査で評価されるマネジメントレビューの実施方法
10.1. 内部監査時に確認されるポイント（議事録・決定事項・改善計画）
確認項目:
レビュー議事録はあるか？→ いつ開催？誰が参加？
決定事項は具体化され、担当・期限が明記されているか？
過去の指摘やインシデントを踏まえた改善計画が反映されているか？
対策: 議事録に必要な情報を漏れなくまとめ、フォローアップの進捗をリスト化
10.2. 外部審査（ISO27001認証審査）で見られるマネジメントレビューの証拠例
ステージ2審査やサーベイランスで審査員は、議事録・インシデント報告書・リスク対策履歴などをチェック
評価されるポイント:
レビュー頻度が適切か？
経営層が方針を示しているか？
改善アクションが実行され、結果が次のレビューで報告される流れになっているか？
10.3. レビュー議事録が審査員に好評だった実例・不適合指摘を回避するコツ
好評議事録の特徴:
1ページ目に「参加者・日時・主要議題・結論」を要約
詳細は別紙で添付し、アクションアイテムをわかりやすくまとめ
不適合回避: 会議が開かれている証拠だけでなく、改善項目が本当に動いていることも示す
11. マネジメントレビュー後のアクション：改善計画を形にする方法
11.1. アクションアイテムの担当設定、期限管理、進捗モニタリング
担当設定: レビュー議事録に「誰がやるか」「いつまでにやるか」を明記 → システムやExcelで管理
期限管理: 次回レビューや月次報告でフォローアップ→ 先延ばしを防止
コンサル談: “課題管理ボード（タスクカンバン）”を導入し、見える化に成功した企業も多い
11.2. 定期的な小規模会合で「次のレビューまでに実施度合いをチェック」
方法: マネジメントレビューで決まった大きな課題を細分化し、月1回のミニ会議で進捗確認
メリット: 大きな会議だけでは気づきにくい進捗遅延や現場の問題を、早めに発見できる
11.3. ISMS文書やルールの改定→ 社員への周知徹底→ 再評価
改定例: 「パスワードルール変更」「クラウドリスクへの対応追加」「機器の廃棄手順更新」など
周知: 社員にはメールやeラーニングで新ルールを周知し、理解度をテストすると効果的
再評価: 次回レビューや内部監査で運用状況を確認→ 継続的に改善
12. Q&A：マネジメントレビューに関するよくある疑問
12.1. 「頻度は年1回で十分？もっと増やすべき？」
回答: 一般的には年1回でも可。ただし、事業リスクが高い組織（金融・医療など）は半年～四半期に一度行うケースも
ポイント: 重要な変化（大きなインシデント発生、新規システム導入）があれば臨時レビューもアリ
12.2. 「トップが忙しくて参加してくれない…どう対応する？」
回答: 事前にアジェンダの要点を1ページにまとめ「ここが企業のリスク」など短時間で説得する
事例: レビューが経営戦略と直結しているとアピールすれば、経営層の関与が高まりやすい
12.3. 「議事録のフォーマットは？どんなレベルで書けばいい？」
回答: 必須項目：日時・参加者・議題・討議内容・決定事項・担当・期限
コンサル談: 大規模企業はテンプレを標準化し、1ページ目に要約、2ページ目以降に詳細を書く方式が好評
13. まとめ：マネジメントレビューを軸にISMSを継続的に強化しよう
13.1. 記事の総括：手順・ポイント・頻度を再確認
手順: 事前準備→ レビュー当日の進行→ 議事録＆改善フォロー
ポイント: 経営層の参加必須、アジェンダは事前配布、アクションアイテムを明確化
頻度: 組織リスクや規模に応じて年1回～四半期1回で柔軟に設定
13.2. 成功の鍵：事前準備、トップマネジメントのコミット、フォローアップ
事前準備: 必要データを収集し、アジェンダを明確化
トップのコミット: 経営戦略とセキュリティを結びつけ、レビューを形だけにしない
フォローアップ: 決まったアクションを追跡し、次のレビューで結果を確認
13.3. 最後のメッセージ：継続的なレビューで組織のセキュリティ意識と体制が安定
マネジメントレビュー＝ISMSの指揮所：ここで経営の意思決定を行うことで、全社一丸となってリスク管理が進む
締め: 形骸化させず、PDCAサイクルを回し続けることで、情報セキュリティと経営戦略のバランスを最適化し、企業価値を高めましょう
おわりに
ISO27001のマネジメントレビューは、ISMS（情報セキュリティマネジメントシステム）を運用するうえで最重要の場です。
要点: 適切な頻度、しっかりした事前準備、経営層の積極参加、アクションアイテムの明確化
成果: PDCAを正しく回せば、情報セキュリティ事故が起きにくい組織へと育ち、外部審査でも高評価を得られます。
皆さんも、手順・ポイント・頻度を押さえ、経営の舵取りとISMS運用を強化する実のあるマネジメントレビューを行ってみてください。
この記事の監修者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
Comments