ISO42001内部監査員研修とは？27001との違いと統合監査の要点

社内でAIの管理の仕組みを ISO/IEC 42001 に沿って作ることになり、内部監査員に選ばれた。あるいは、AIガバナンスの仕事に移りたくて、「ISO42001 内部監査員」を調べ始めた。そんな方に向けた記事です。

先に結論を書きます。ISO/IEC 42001 の内部監査員研修は、研修機関ごとに中身と修了の条件が違う研修で、共通の試験はありません。 しかも 42001 は、ISMS（ISO/IEC 27001）よりずっと新しい規格です。日本で認証を取った組織は、2026年10月21日時点で14件でした。ISMSの8,764件（2026年11月5日時点）とは桁が違います。いま内部監査を経験できる人は少なく、そのぶん経験そのものが説明しやすい強みになります。

この記事では、次のことが分かります。

• 42001 の内部監査員研修の日数・形式・修了の仕方の幅（複数の研修機関の公開情報から）
• 規格の骨組み、附属書Aの9つの目的と38の管理策（2026年11月6日に公式の情報で確認）
• 27001 との違いと、2つをまとめて確かめる「統合監査」の考え方
• naminori の無料講座の中身と、講座の例題3問の解き方
• naminori の求人データで見た、転職での効き方

ISO/IEC 42001 と内部監査員とは（結論・全体像）

ISO/IEC 42001 は、AIマネジメントシステム（AIMS）の国際規格です。AIを開発する組織、提供する組織、使う組織が、AIを責任を持って扱う仕組みを作り、動かし、見直し続けるための要求事項を決めています。外部のAIを業務に使っているだけの会社も、対象になりえます。

規格は、組織に内部監査を求めています（箇条9.2）。決めた間隔で、AIMSが規格と社内の決まりに合っているか、決めたことが実際に続いているかを、社内の人が確かめます。この役を担うのが内部監査員です。内部監査員は会社が任命し、研修はそのための知識と技法を身につける手段です。

項目	内容（2026年11月6日に確認）
規格	ISO/IEC 42001:2023（第1版、2023年12月）
日本語版	JIS Q 42001:2025（2025年8月）
骨組み	ISO 9001 や ISO/IEC 27001 と同じ構成。箇条4〜10、内部監査は箇条9.2
附属書	A（規定）管理目的と管理策：9つの目的・38の管理策／B（規定）AIの管理策の実施の手引／C（参考）AIに関わる組織の目的とリスク源／D（参考）分野をまたいだ使い方
認証の仕組み（日本）	ISMS-AC が2025年7月にAIMSの認定を始め、2026年1月に初めて認証機関を認定
認証を取った組織	14件（ISMS-AC の検索ページ、2026年10月21日時点）

研修の受け方と修了の仕方（研修機関で違う）

42001 の内部監査員研修も、いろいろな研修機関が開いています。ここでは特定の機関を勧めず、複数の研修機関の公開している案内から、一般的な形を幅で示します（2026年11月6日に確認）。

項目	公開情報で見られる幅
日数	2日間のものが多い。3日間のもの、研修と試験を組み合わせた資格つきで4日間のものもある
形式	対面、ライブのオンライン
中身	ISO 19011 に沿った監査の進め方（開始・準備・実施・報告・フォローアップ）と、AI特有の要求の見方
修了の仕方	修了証か受講証明書が出る、と案内する研修がある。修了の基準をページに書いていない研修もある
前提	規格の要求事項の知識を前提にし、先に要求事項の研修を勧める研修がある。事前学習を求める研修もある

申し込む前に、研修の案内で次の3つを確かめてください。

1. 修了試験があるか。あるなら、形式と修了の基準
2. 発行されるのは修了証か、受講証明書か
3. 前提として求められる知識（42001 の要求事項、27001 の経験など）

ISMSの内部監査員とは、登録の仕組みが違う

ISMSには、JRCA（日本要員認証協会）が内部監査員を評価して登録する仕組みがあります。ただし、JRCA の内部監査員の資格基準（改定5版、2026年1月15日）が対象にしているのは、QMS・ISMS・EMS の3つです。AIMSの内部監査員は、この基準の対象に入っていません。 42001 については、いまのところ研修機関の修了証や、研修機関の資格が中心だと考えてください。

規格の骨組み ― 27001 と同じ箇条に、AI特有の要求が加わる

42001 の箇条4〜10は、27001 と同じ並びです。違うのは中身です。

箇条	42001 で加わる・変わる要旨
4 組織の状況	AIシステムの意図した目的と、組織の役割（AI提供者・AI生産者・AI顧客など）を考えて範囲を決める
5 リーダーシップ	トップがAI方針を決める（27001 は情報セキュリティ方針）
6 計画	AIリスクアセスメント（6.1.2）、AIリスク対応（6.1.3）、AIシステム影響評価（6.1.4）、AI目的
7 支援	資源・力量・認識・コミュニケーション・文書化した情報
8 運用	計画したAIリスクアセスメント、AIリスク対応、AIシステム影響評価を実際に行う（8.2〜8.4）
9 評価	監視・測定、内部監査（9.2）、マネジメントレビュー（9.3）
10 改善	継続的改善（10.1）、不適合と是正処置（10.2）

監査で最初に混ぜやすいのが、箇条6と箇条8です。講座では「手順が決まっていないなら箇条6、手順はあるのに行っていないなら箇条8」と整理しています。

組織の役割は、AIシステムごとに違いえます。自社で作ったAIを顧客に出しているなら生産者であり提供者、外部の文章生成AIを社内で使うなら顧客です。どの役割かで、当てはまる要求と管理策が変わります。

附属書Aの9つの目的と38の管理策

管理策の題名は、JIPDEC の資料（2025年12月5日）の訳で確かめました。正式な日本語は JIS Q 42001 で確かめてください。

目的	管理策の数	何を見るか（要旨）
A.2 AIに関連する方針	3	AI方針、ほかの方針との整合、見直し
A.3 内部組織	2	役割と責任、懸念事項の報告
A.4 AIシステムの資源	5	資源の文書化、データ・ツール・システムと計算・人の資源
A.5 AIシステムの影響評価（資料の訳では「インパクトのアセスメント」）	4	影響評価の手順と文書化、個人や集団への影響、社会への影響
A.6 AIシステムのライフサイクル	9	責任ある開発の目的と手順、要求と仕様、設計と開発の文書、検証と妥当性確認、展開、運用と監視、技術文書、イベントログ
A.7 AIシステムのデータ	5	開発と改良のためのデータ、取得、品質、来歴、準備
A.8 利害関係者のための情報	4	利用者向けの文書と情報、外部への報告、インシデントの伝達など
A.9 AIシステムの利用	3	責任ある利用の手順と目的、意図した用途
A.10 サードパーティ及び顧客との関係	3	責任の割当て、供給者、顧客

数を足すと 3＋2＋5＋4＋9＋5＋4＋3＋3＝38 です。27001 と同じく、附属書Aの管理策がすべて要るとは限らず、組織が独自の管理策を足すこともできます。どれを採用したかは適用宣言書に書きます。

2026年の変更点・これから変わること

いつ	何が変わったか
2025年7月	認証機関に対する要求事項 ISO/IEC 42006:2025 が発行。ISMS-AC がAIMSの認証を対象にした認定を開始（2025年7月8日）
2025年8月	JIS Q 42001:2025 が発行（ISMS-AC は2025年8月20日に案内）
2026年1月14日	ISMS-AC が初めてAIMSの認証機関を認定
2026年5月27日	監査の指針 ISO 19011 の第4版（ISO 19011:2026）が発行され、2018年版を置き換えた

ISO 19011:2026 について、ISO の品質マネジメントの委員会（TC 176）は、技術・デジタル化・バーチャルな環境の影響や、リスクの分析と低減に、より目を向けた版だと説明しています。2026年5月より前に作られた研修の教材は、2018年版に沿っています。naminori の講座は、2026年版のプレビューで原則が7つのままであることを確かめ、版の書き方を2026年版に合わせています（2026年11月6日）。監査の進め方の基本は変わりませんが、受ける研修がどちらの版に沿っているかは案内で確かめてください。

難易度と、向いている人・向いていない人

国家試験のような合格率はありません。研修を修了する難しさは、研修機関の修了の条件で決まります。

42001 の監査で難しいのは、AIの技術そのものより、技術者の説明を聞いたうえで、記録で確かめることです。「監視のダッシュボードがあります」と言われても、誰かが決めた頻度で見て判断した記録がなければ、監視が働いているとは言えません。

向いている人	向いていない人（ほかを先に）
AIを使った機能のプロダクトマネージャーや、AIの導入を担う人	AIの基礎用語（学習・推論・生成AIなど）から学びたい
すでにISMSの事務局や内部監査の経験がある	監査やマネジメントシステムに初めてふれる（先に27001で骨組みを身につける道もある）
AIガバナンス・AIのリスク管理の仕事に移りたい	モデルを作る技術を身につけたい

AIの基礎から学ぶなら、G検定（G検定の勉強方法｜100分・145問の試験に合う順番【2026年】）や AWS Certified AI Practitioner（AWS AI Practitionerの難易度と勉強方法【2026年版】）が入口になります。AIの仕事の全体像は AIエンジニアとは に、ほかの資格との並べ方は エンジニアにおすすめの資格7選 にまとめています。

27001 との違いと、統合監査

ISMSの認証をすでに持っている会社がAIMSを始めると、内部監査が2つになります。そこで、1回の監査で2つの仕組みをまとめて確かめる統合監査がよく話題になります。

観点	ISO/IEC 27001	ISO/IEC 42001
守るもの	情報の機密性・完全性・可用性	AIを責任を持って開発・提供・利用すること
方針	情報セキュリティ方針	AI方針
リスク	情報セキュリティのリスク	AIのリスク（データの偏り、もっともらしい誤り、説明のしにくさ、性能の変化など）
影響評価	該当する箇条は無い	AIシステム影響評価（6.1.4・8.4）。個人・集団・社会への影響を見る
組織の役割	―	AIシステムごとに役割を決める
附属書A	93の管理策・4つのテーマ	38の管理策・9つの目的
管理策の手引	別の規格（ISO/IEC 27002）	自分の附属書B

重なるところもあります。ログ（27001 のログの取得と、42001 のイベントログの記録）、供給者の管理、データの扱い、インシデントの伝達などです。同じサーバのログや同じ契約書が、両方の証拠になることがあります。

統合監査で守ることは1つです。まとめるのは手間であって、基準ではない。 計画の段階で、部署ごとに「どちらの規格のどの要求を見るか」を書き分けます。所見にも、どちらの規格のどの要求と、社内のどの手順に照らしたかを書きます。似た題名にだまされないことも大切で、27001 の要求を満たしていることを理由に、42001 の要求も満たしていると判断してはいけません。

ISMSの内部監査員研修と 27001 の骨組みは、ISMS内部監査員の資格とは？ISO27001研修の受け方と修了の違い で詳しく書きました。naminori には ISO/IEC 27001 内部監査員研修対策 の講座もあります。

勉強の進め方（順番）

1. 27001 か、ほかのマネジメントシステムの骨組みを知る。 知っていれば違いに集中できる。知らなくても、箇条4〜10の並びから入れる
2. 42001 で加わったものを押さえる。 組織の役割、AI方針、AIリスクアセスメント、AIシステム影響評価
3. 附属書Aの9つの目的を地図にする。 38を暗記せず、事実を見つけたときに探す場所を決める
4. AI特有の証拠を知る。 検証と妥当性確認の記録、運用の監視の記録、データの来歴、外部のモデルの会社との契約
5. 監査の流れと不適合の書き方を練習する。 基準・事実・証拠の3つをそろえる
6. 研修を受け、社内の監査の前に復習する

naminori の講座でできること（8回の中身と主人公）

ISO/IEC 42001 内部監査員研修対策 は、無料で受けられる全8回の講座です。学習時間の目安は3時間20分、修了テストは10問（約20分）。各回にスライド・読み上げ音声・解説PDF・小テストがあります。講座ページはログインなしで見られ、修了テストを受けるには会員登録（ログイン）が要ります。27001 の講座を受けていなくても学べるように作っています。

講座に出てくる架空の主人公は、35歳のタクミです。人事向けSaaSの会社で、AIを使った書類選考の支援機能のプロダクトマネージャーをしています。会社がAIMSを作ることになり、内部監査員に選ばれました。AIガバナンスの専門職に移りたいと考えています。相談相手は、ISMSとAIMSの統合監査を長く担ってきたリツコです。

回	テーマ	目安
1	AIMSと 42001 の全体像。AIに対する組織の役割	20分
2	箇条4〜10。27001 と同じ骨組みに加わったAI特有の要求	25分
3	AIのリスクとAIシステム影響評価。組織へのリスクと、人や社会への影響を分ける	25分
4	附属書Aと附属書B。9つの目的と38の管理策を地図にする	25分
5	ライフサイクル・データ・サードパーティを証拠で確かめる	25分
6	27001 との違いと統合監査	25分
7	監査の進め方と不適合の書き方。技術者へのインタビュー	30分
8	総合事例での振り返り	25分

この講座は、特定の研修機関の修了を約束するものではありません。例題はすべて講座のための自作で、どこかの研修の試験問題ではありません。

講座の例題を解いてみる

講座の中から3問を選びました。会社はすべて架空です。

例題1 影響評価をしていなかったのは、どの箇条か（第2回）

架空の会社「ハヤブサ保険」の社内の手順では、AIを使った新しい機能を出す前に、AIシステム影響評価を行うと決めています。ところが、先月出した、保険金の請求を自動で仕分ける新機能について、影響評価の記録がありませんでした。担当者は「急いでいて、後でやるつもりだった」と話しています。最も関係が深い箇条はどれでしょう。

• ア 箇条5.1 リーダーシップ及びコミットメント
• イ 箇条7.4 コミュニケーション
• ウ 箇条10.1 継続的改善
• エ 箇条8.4 AIシステム影響評価

正解はエです。 影響評価の手順は決まっているのに、実際には行われていません。決めたことを実際に行うのは運用の箇条8で、影響評価は8.4です。影響評価の手順そのものを決める6.1.4も関わりますが、この会社では手順は決まっているので、事実にいちばん近いのは8.4です。

• アは、トップの関与の箇条で、この事実の中心ではありません
• イは、社内外への伝え方の箇条です
• ウは、仕組み全体をよくし続ける箇条で、個別の実施漏れを当てる場所ではありません

例題2 その影響評価は足りているか（第3回）

架空の会社「コマドリ人材」は、書類選考を支援するAIを提供しています。影響評価の記録を見ると、評価した項目は「処理の速さ」と「サーバの費用」の2つだけでした。内部監査員の見方として最も適切なのはどれでしょう。

• ア 速さと費用を評価しているので、十分である
• イ 応募者という個人や集団への影響が評価されていないので、影響評価として足りているかを確かめ、所見として取り上げる
• ウ 影響評価は認証機関が行うので、内部監査では見なくてよい
• エ 書類選考のAIは影響が小さいので、評価は不要である

正解はイです。 AIシステム影響評価は、AIの判断を受ける人や社会への影響を見るものです。速さと費用は組織にとっての影響で、応募者への影響は1つも評価されていません。社内の手順でどんな項目を評価すると決めているかも確かめたうえで、所見として取り上げます。

• アは、組織へのリスクと、人や社会への影響を混ぜています。27001 の経験がある人ほど陥りやすい見方です
• ウは誤りです。影響評価を行うのは組織自身で、内部監査はそれが行われているかを確かめます
• エは、影響が小さいと決めつけています。応募者の選考に関わるAIは、むしろ人への影響を丁寧に見る対象です

例題3 統合監査で、所見をどう書くか（第6回）

架空の会社「キツツキ翻訳」の統合監査です。AIの翻訳の推論サーバのログが、社内の手順で決めた保存の期間より短い期間で消されていました。社内のログの手順は、ISMSとAIMSの両方のログの決まりを兼ねています。最も適切な所見の書き方はどれでしょう。

• ア どちらの規格のどの要求と、社内のどの手順に照らした所見かを書き分けて記録する
• イ どちらの規格かは書かず、「ログに問題あり」とだけ書く
• ウ 27001 の監査ではないので記録しない
• エ 両方の規格に関係するので、所見は書かずに次回に回す

正解はアです。 社内の手順が両方の決まりを兼ねているので、この事実は 27001 のログの管理策と、42001 のイベントログの管理策の両方に関わります。それぞれの基準と社内の手順を書き分けて記録します。

• イは、基準が書かれておらず、ISMSとAIMSのどちらの事務局が直すのかもあいまいになります
• ウは、統合監査で両方を見るという前提に反します
• エは、見つけた事実を記録しないので、公正な報告という監査の原則に反します

転職で資格はどう効くか（naminori の求人データ）

naminori に載せてきた求人84件（掲載終了78件＋掲載中6件）の本文を、2026年11月6日に数えました。

語	84件のうち	掲載中6件のうち
AI・機械学習	33件	5件
セキュリティ	29件	3件
生成AI・LLM	5件	2件
ISMS・ISO	0件	0件
資格取得支援（福利厚生などを含む）	40件	―

「ISMS」「ISO」という語が出てくる求人は0件でした。 特定の資格を応募の条件にした求人もありません。42001 の研修の修了証が応募の入場券になっていない、というのが naminori のデータで言える事実です。

一方で、AI・機械学習に触れた求人は84件中33件、掲載中の6件では5件ありました。ここからは解釈ですが、AIを使う会社が増えるほど、「AIをどう管理し、誰が責任を持つか」を説明できる人の出番は増えます。42001 の内部監査を経験すれば、「影響評価がどう行われ、データの記録がどうなっていて、何が見つかり、どう直したか」を面接で具体的に話せます。認証を取った組織がまだ14件という段階なので、その経験を持つ人自体が多くありません。

また、84件中40件が資格取得支援に触れていました（中身は会社ごとに違います）。入社してから研修を受ける選択肢もあります。

よくある質問

ISO/IEC 42001 の内部監査員は、国家資格や公的な登録がありますか

国家資格ではありません。研修機関の研修を修了するのが一般的な入口です。ISMSでは JRCA が内部監査員を登録する仕組みがありますが、JRCA の内部監査員の資格基準（2026年1月15日の改定5版）の対象は QMS・ISMS・EMS で、AIMSは入っていません。

27001 の内部監査員研修を受けていないと、42001 の研修は受けられませんか

受講の条件は研修機関ごとに違います。42001 の要求事項の知識を前提にする研修や、事前学習を求める研修があります。27001 の経験を条件にしているかどうかも、案内で確かめてください。骨組みが同じなので、27001 を知っていると違いに集中できます。

研修は何日くらいかかりますか

公開されている案内では2日間のものが多く、3日間や、資格つきで4日間のものもあります。対面とオンラインのどちらもあります。日程と料金は、受ける研修機関の案内で確かめてください。

AIの技術に詳しくないと、42001 の内部監査はできませんか

技術の深い知識より、AIを作る人・使う人・判断を受ける人のそれぞれの立場から仕組みを見られることが大切です。技術者の説明をよく聞き、決めたことと行ったことを記録でつなぎます。AIの基本用語は知っておくと話を聞きやすくなります。

27001 と 42001 は、どちらを先に学ぶとよいですか

監査やマネジメントシステムが初めてなら、27001 から入ると骨組みを身につけやすくなります。認証を取った組織が多く（2026年11月5日時点で8,764件）、社内で監査を経験する機会も多いからです。AIを使った機能を担当していて、会社がAIMSに取り組むなら、42001 から入っても学べます。

naminori の講座だけで、内部監査員になれますか

内部監査員を任命するのは会社です。naminori の講座は研修の予習と復習のためのもので、研修機関の修了の代わりにはなりません。講座を修了すると、規格の骨組みと監査の進め方を一通り押さえた状態で研修に臨めます。

まとめ・次の行動

• 42001 の内部監査員研修に共通の試験はない。研修は2日間のものが多いが、修了の条件は研修機関ごとに違う
• 42001 は 27001 と同じ箇条4〜10で書かれ、AI方針・AIリスクアセスメント・AIシステム影響評価が加わる。附属書Aは9つの目的と38の管理策
• 統合監査では、手間はまとめても、基準は混ぜない
• 日本でAIMSの認証を取った組織は14件（2026年10月21日時点）。内部監査を経験できる人はまだ少ない
• naminori の求人では「ISMS」「ISO」の語は0件。修了証は入場券ではなく、監査の経験を語るための土台になる

まずは ISO/IEC 42001 内部監査員研修対策 の第1回を開いてみてください（無料・ログイン不要で見られます）。修了テストまで受けるなら、会員登録 をしておくと進み具合が残ります。AIを使う会社の求人は 求人一覧 で探せます。