「P マーク認証の有効期限が近づいてきたが、更新審査の準備を何から始めればよいか分からない」「前回の更新審査で指摘された不備が今回も再発しそうで不安」「顧問契約なしで日常運用を回してきたが、更新のたびに慌てて対応するサイクルから抜け出したい」。P マーク更新審査の相談を受けるとき、この 3 つは典型的なパターンです。本記事は、AI 駆動開発のクリエイティブスタジオとして P マーク運用と更新審査を支援してきた観点から、更新審査を「日常運用の延長」で通す進め方を実務ベースで整理しました。
結論: 更新審査は「日常運用の延長」として設計する
先に結論を書きます。P マークの 2 年更新審査を「特別なイベント」として認識すると、更新の直前に規程を作り直したり、記録を慌てて整えたりするサイクルに陥ります。認証取得時の負荷が 2 年ごとに繰り返され、社内で「P マーク運用は大変」というイメージが定着してしまいます。更新審査の実務は「日常運用の延長」として設計するのが正解です。
注意
更新審査を「特別なイベント」として位置付けると、2 年ごとに規程改訂と記録整備で慌てるサイクルから抜け出せません。日常運用で規程改訂・記録整備・内部監査を回していれば、更新審査の追加工数は 2〜3 週間で済みます。
本記事では、まず更新審査のスケジュールと費用を整理し、そのうえで準備の実務、頻出指摘事項の対応、審査当日の対応、次の 2 年に向けた運用計画、を掘り下げます。P マーク全体像は P マーク取得ガイド を参照してください。
更新審査のスケジュールと費用
P マーク更新審査のスケジュールと費用の目安は次のとおりです。
スケジュール
- 認証有効期限の 8 ヶ月前: 更新の準備開始 (内部監査計画・規程見直しリスト作成)
- 認証有効期限の 6 ヶ月前: JIPDEC への更新申請
- 認証有効期限の 4〜5 ヶ月前: 内部監査の実施
- 認証有効期限の 2〜3 ヶ月前: 不備の是正
- 認証有効期限の 1〜2 ヶ月前: 現地審査の受審
- 認証有効期限の 1 ヶ月前: 是正報告 (指摘事項があった場合)
更新申請の期限は認証有効期限の 6 ヶ月前です。この期限を過ぎると、認証が失効する扱いになり、再取得手続きが必要になります。8 ヶ月前から準備を始めるのが標準的な進め方です。
費用
伴走費用の実案件レンジは次のとおりです。
| 会社規模 | 初回取得 (税抜) | 更新審査 (税抜) | 顧問型に組み込む場合 |
|---|---|---|---|
| 中小企業 (〜50 名) | 60〜100 万円 | 30〜60 万円 | 20〜40 万円 |
| 中堅企業 (50〜200 名) | 100〜150 万円 | 50〜80 万円 | 30〜50 万円 |
| 中堅企業 (200〜500 名) | 130〜200 万円 | 70〜100 万円 | 40〜70 万円 |
指定審査機関に支払う審査費用は初回取得時とほぼ同額で、中小企業で 30〜50 万円、中堅企業で 50〜80 万円が目安です。
準備の実務 6 ステップ
更新審査までの準備は次の 6 ステップで進めます。
ステップ 1: 更新申請の期限管理 (8 ヶ月前)
認証有効期限の 6 ヶ月前までに JIPDEC への更新申請書を提出します。申請書には、この 2 年間の運用状況の概要、内部監査の実施状況、インシデント発生状況、を記載します。
ステップ 2: 内部監査の実施 (4〜5 ヶ月前)
前回審査以降の運用状況を全社で内部監査します。ここで発見した不備を、審査までに是正するのが目的です。内部監査の実施方法は ISMS 内部監査の実務ガイド で扱っている進め方が P マークにもそのまま適用できます。
ステップ 3: 不備の是正 (2〜3 ヶ月前)
内部監査で発見した不備を、審査 2 ヶ月前までに是正します。是正処置には原因分析・是正計画・実施・効果確認・再発防止の 5 ステップを踏みます。
ステップ 4: 規程改訂と記録整備 (2〜3 ヶ月前)
この 2 年で発生した業務変更 (SaaS 追加・業務プロセス変更・組織変更) を規程と記録に反映します。特に、委託先管理台帳・アクセス権管理台帳・従業員教育記録の更新は必ず行います。
ステップ 5: 従業員教育の実施と記録整備 (1〜2 ヶ月前)
年 2 回の定期教育の受講記録が揃っているか確認します。受講漏れがある場合、追加教育を実施して記録を整えます。
ステップ 6: 現地審査対応の準備 (1 ヶ月前)
審査員が確認する規程・記録・システム画面のリストアップを完成させます。当日の対応担当者と質問への回答フローを事前確認します。
FIXIT日常運用で規程改訂と記録整備を回していれば、更新時に慌てて全部をやり直す必要はありません。
Tsukasa顧問型サポートで月次〜四半期の運用レビューを回していると、更新審査の追加工数は 2〜3 週間で済みます。
FIXITTsukasa多くの場合、更新の 3〜4 ヶ月前から慌てて対応することになります。準備工数は 2〜3 倍に膨らみます。
頻出指摘事項と対応
P マーク更新審査で頻出する指摘事項は次の 5 つに集約されます。日常運用で年 1 回のセルフチェックを回していれば潰せる項目ばかりです。
1. 委託先管理台帳の更新漏れ
SaaS の追加・変更、外部委託先の変更が委託先管理台帳に反映されていないケース。日常運用では、SaaS 導入時に「委託先管理台帳への追加」をチェック項目に含めるのが実効的な対策です。
2. 退職者のアクセス権削除記録の抜け
システム上は削除されているが、削除の実施記録が残っていないケース。日常運用では、退職者対応のチェックリストに「削除記録の作成」を必ず含めます。
3. 従業員教育の受講記録の不備
教育は実施したが、受講記録の管理が甘いケース。特に、途中入社・部署異動・退職の際の教育対応が抜けやすいです。人事システムと教育記録を連動させる仕組みが有効です。
4. 開示請求対応フローの実効性確認
規程は整備されているが、実際の対応訓練が実施されていないケース。年 1 回の対応訓練を実施し、記録を残すのが対策です。
5. 個人情報の第三者提供記録の不備
業務提携・委託先・関係会社との個人情報のやり取りが記録されていないケース。特に、口頭やメールでの個人情報共有が抜けやすいです。第三者提供時のチェック項目を業務フローに組み込む必要があります。
審査当日の対応
現地審査は通常 1 日で完了します (中堅企業以上では 1.5〜2 日)。審査員の確認事項は次の順序で進みます。
- 経営層への質問 (P マーク運用へのコミットメント、この 2 年の変化)
- 情報セキュリティ管理者への質問 (規程の運用状況、内部監査結果)
- 各部門の担当者への質問 (実際の運用手順、記録の実物確認)
- システム画面での確認 (アクセス制御、退職者削除、監査ログ)
- 是正処置と改善事例の確認 (内部監査で発見した不備の是正状況)
審査員の質問に対しては、規程どおりに運用していることを具体的な事例と記録で示すのがポイントです。「規程どおりに運用しています」ではなく「先月退職した田中さんのアクセス権削除は、○月○日にこの記録に基づいて実施しました」と具体的に答えます。
次の 2 年に向けた運用計画
更新審査が完了したら、次の 2 年サイクルに向けた運用計画を立てます。年間で回すべき運用は次のとおりです。
- 月次: 委託先管理台帳の更新、アクセス権レビュー、インシデント確認
- 四半期: 内部監査 (対象を分割して実施)、規程改訂の見直し
- 半年: 従業員教育、経営層への報告
- 年 1 回: 全社リスクアセスメント、開示請求対応訓練、内部監査結果の総括
これを顧問型サポート契約に組み込むと、月次〜四半期の運用レビューで進捗を確認しながら回せます。日常運用を回している状態で更新審査を迎えると、追加工数が 2〜3 週間で済み、更新後の運用も安定します。
失敗を避けるチェックリスト
P マーク更新審査で事前に確認しておくべき論点を整理します。
- 認証有効期限の 6 ヶ月前までに更新申請する計画になっているか
- 8 ヶ月前から準備開始の段取りになっているか
- 内部監査を更新の 4〜5 ヶ月前に実施する計画になっているか
- 頻出指摘事項 5 項目のセルフチェックを日常運用で回しているか
- 顧問型サポート契約で月次〜四半期の運用レビューを回しているか
- 現地審査当日の対応担当者と質問回答フローを事前確認しているか
- 次の 2 年に向けた運用計画を審査完了後にすぐ立てているか
これらを満たしたうえで、P マーク更新審査は「日常運用の延長」として通せる状態になり、2 年ごとの負荷が最小化されます。
P マーク更新審査のご相談
「P マーク認証の有効期限が近づいており、更新審査の準備を何から始めるか判断できない」「顧問契約なしで運用しており、更新のたびに慌てるサイクルから抜け出したい」「前回の指摘事項が今回も再発しそうで不安」といった状況こそ、AI 駆動開発のクリエイティブスタジオが伴走できる領域です。まずは P マーク取得サポート と 情報セキュリティコンサル のサービス内容をご覧いただき、お問い合わせ からお気軽にご相談ください。