ISMS内部監査員の資格とは？ISO27001研修の受け方と修了の違い

「ISMSの内部監査員をやってほしい」と言われた。あるいは、情報セキュリティやITガバナンスの仕事に移りたくて、「ISMS内部監査員の資格」を調べ始めた。そんな方に向けた記事です。

先に結論を書きます。ISMS内部監査員は、国家資格のような1つの共通試験ではありません。 研修機関の研修を修了するのが入口で、修了の条件は研修機関ごとに違います。さらに、日本要員認証協会（JRCA）のように、研修の修了や実務経験を条件に「内部監査員」として登録する仕組みもあります。どの形の「資格」を取りたいのかを最初に決めると、研修の選び方で迷いません。

この記事では、次のことが分かります。

• 「研修の修了」「研修機関の試験の合格」「JRCAの登録」の3つの違い
• 研修の日数・形式・修了の仕方の幅（複数の研修機関の公開情報から）
• ISO/IEC 27001:2022 の骨組みと、附属書Aの93の管理策（2026年11月6日に公式の情報で確認）
• 2026年に変わったこと（監査の指針 ISO 19011 の新しい版など）
• naminori の無料講座の中身と、講座の例題3問の解き方
• naminori の求人データで見た、転職での効き方

ISMS内部監査員とは（結論・全体像）

ISMS（情報セキュリティマネジメントシステム）は、会社の情報を守る仕組みを、決まりとして作り、動かし、見直し続けるためのものです。その要求事項を決めた国際規格が ISO/IEC 27001 です。

ISO/IEC 27001 は、組織に内部監査を求めています（箇条9.2）。決めた間隔で、ISMSが規格と社内の決まりに合っているか、決めたことが実際に続いているかを、社内の人が確かめます。この役を担うのが内部監査員です。

ここで押さえておきたいのは、規格が内部監査員に求めているのは「特定の修了証」ではない、という点です。規格が求めるのは、監査の客観性と公平性を保てる人を選ぶこと、必要な力量を組織が決めて確かめることです。だから、内部監査員は会社が任命します。研修の修了は、その力量を身につけ、示すための手段です。

「ISMS内部監査員の資格」と呼ばれるものには、実際には3つの形があります。

形	誰が出すか	取り方の例	気をつけること
研修の修了証・受講証明書	研修機関	研修を受け、研修機関が決めた条件を満たす	修了の条件は研修機関ごとに違う
研修機関の試験の合格証	研修機関	研修に付いた試験に合格する	試験が任意の研修もある
要員の登録（例: JRCA のISMS内部監査員）	要員の認証機関	研修の修了に加え、実務経験などの要件を満たして申請する	登録には更新がある（JRCAは3年ごと）

求人票や社内の任命の条件に「内部監査員の資格」と書かれていたら、この3つのどれを指しているかを確かめてください。

研修の受け方と修了の仕方（研修機関で違う）

内部監査員研修は、いろいろな研修機関が開いています。ここでは特定の機関を勧めず、複数の研修機関が公開している案内から、一般的な形を幅で示します（2026年11月6日に確認）。

項目	公開情報で見られる幅
日数	2日間が多い。研修と試験を組み合わせた資格つきのコースでは3日間のものもある
形式	集合（対面）、ライブのオンライン、講師を会社に呼ぶ社内研修など
中身	規格の要求事項の読み方、監査の計画、チェックリスト、インタビュー、不適合の書き方、模擬監査やロールプレイ、報告書づくり
修了の仕方	「事前課題と理解度テストに加え、演習の講師の評価で合格点に達したら修了証」という研修もあれば、「受講すれば受講証明書、試験は任意で、合格すれば別に合格証明書」という研修もある
前提	規格の要求事項を理解していることを前提にし、先に要求事項の解説研修を勧める研修がある
規格の版	2022年版（ISO/IEC 27001:2022、日本では JIS Q 27001:2023）に対応したものを選ぶ

同じ「2日間の内部監査員研修」でも、修了の重さが違うことが分かります。申し込む前に、研修の案内で次の3つを確かめてください。

1. 修了試験があるか。あるなら、筆記か、演習の評価か、何点で修了か
2. 発行されるのは修了証か、受講証明書か
3. 対応している規格の版（2013年版の教材のままになっていないか）

JRCA の内部監査員登録を目指す場合

JRCA（一般財団法人日本要員認証協会 マネジメントシステム審査員評価登録センター）は、QMS・ISMS・EMS の内部監査員を評価して登録しています。資格の基準（JRCA IA100 改定5版、2026年1月15日改定）で、ISMS内部監査員（AP）の新規登録の要件を確かめました。

要件	内容（要旨）
実務経験	製造・サービスなどで2年以上の実務経験、または高校卒業以上。加えて、情報セキュリティ分野で半年以上の実務経験、またはそれと同等以上の教育
研修	申請日から5年以内に、JRCA が承認する内部監査員研修コース（2日間）、JATA（審査員研修機関連絡協議会）公認の内部監査員養成コース（2日間）、JRCA が承認する審査員研修コース（5日間）のどれかを修了または合格。ほかの研修の場合は、日程と指定テーマのレポートを出して認めてもらう
その他	倫理綱領を守ること、申請と登録の費用を払うこと
更新	登録の有効期間は3年で、3年ごとに更新の申請をする

監査の実績が2回以上あると、上の区分（XP）に登録できます。要件の正確な文言と費用は、JRCA の内部監査員のページで確かめてください。

規格の基本（2026年11月時点・公式で確認）

研修で扱う規格の骨組みを、表にまとめます。ISO の公式ページ、ISO が公開している規格のプレビュー、JIPDEC の資料で2026年11月6日に確認しました。規格の本文は写さず、要旨だけを書いています。

項目	内容
規格	ISO/IEC 27001:2022（第3版、2022年10月）
追補	ISO/IEC 27001:2022/Amd 1:2024（2024年2月）。組織にとって気候変動が関係する課題かどうかを考えることが加わった
日本語版	JIS Q 27001:2023。追補に対応する改正は「JIS Q 27001:2025」と表記する
要求事項	箇条4（組織の状況）、5（リーダーシップ）、6（計画）、7（支援）、8（運用）、9（パフォーマンス評価。9.2が内部監査）、10（改善）
附属書A	管理策の一覧。93の管理策を4つのテーマに分ける。組織的37、人的8、物理的14、技術的34
管理策の手引	ISO/IEC 27002:2022（附属書Aと同じ並び）
監査の指針	ISO 19011（監査の原則、監査プログラム、監査の実施、監査員の力量）

附属書Aの93は「全部やらなければいけない一覧」ではありません。組織はリスクアセスメントの結果から必要な管理策を選び、採用したもの・除外したものとその理由を適用宣言書に書きます。内部監査では、リスクの一覧、選んだ対応、適用宣言書、実施の証拠が1本の線でつながっているかを確かめます。

認証の広がりも見ておきます。ISMS-AC（情報マネジメントシステム認定センター）の検索ページでは、2026年11月5日時点で、ISMS認証の登録は8,764件（公表8,519件）でした。それだけ多くの組織が内部監査を回していることになります。

2026年の変更点・これから変わること

上位に出てくる解説記事の多くは、ここに追いついていません。

いつ	何が変わったか	確かめた先
2025年10月31日	ISO/IEC 27001:2022 への移行の期限。JRCA は、この日までに移行手続きをしなかったISMS内部監査員の資格は失効すると案内していた	JRCA の移行の案内
2026年1月15日	JRCA の内部監査員の資格基準が改定5版に。研修の要件に JATA 公認の内部監査員養成コースが加わった	JRCA IA100 改定5版
2026年5月27日	監査の指針 ISO 19011 の第4版（ISO 19011:2026）が発行され、2018年版を置き換えた	ISO の公式ページ
改訂中	ISMS監査の指針 ISO/IEC 27007 が、27001:2022 と ISO 19011 の改訂に合わせて改訂中（2025年11月からCD投票）	JIPDEC の資料（2025年12月5日）

ISO 19011:2026 について、ISO の品質マネジメントの委員会（TC 176）は、技術・デジタル化・バーチャルな環境の影響や、リスクの分析と低減に、より目を向けた版だと説明しています。

2026年5月より前に作られた研修の教材は、2018年版の ISO 19011 に沿っています。naminori の講座は、2026年版のプレビューで原則が7つのままであることを確かめ、版の書き方を2026年版に合わせています（2026年11月6日）。監査の進め方の基本は変わりませんが、受ける研修がどちらの版に沿っているかは案内で確かめてください。日本語の JIS Q 19011 が2026年版に合わせて改正されたかは、今回は確かめられませんでした。

難易度と、向いている人・向いていない人

国家試験のような合格率はありません。研修を修了する難しさは、研修機関の修了の条件で決まります。

それより大事なのは、研修を修了した後に、実際の監査で所見を書けるかです。研修の2日間で規格の要求事項と監査の技法を一度に詰め込むので、規格を読んだことがないまま参加すると、演習についていくだけで精一杯になりがちです。

向いている人	向いていない人（ほかを先に）
社内でISMSの内部監査員に任命された、またはその予定がある	情報セキュリティの基礎用語（機密性・完全性・可用性など）から学びたい
情報システム・セキュリティ・ガバナンス・社内SEの仕事に移りたい	技術の手を動かすスキル（ネットワークの設定や脆弱性の検査）を身につけたい
「決まり」と「実際」をくらべて、証拠で話すのが苦にならない	国家資格として履歴書に書ける試験を先に取りたい

国家資格を先に取りたいなら、情報セキュリティマネジメント試験から入る道があります（情報セキュリティマネジメント試験の勉強方法｜合格率70%・休止と新制度）。技術寄りの国際資格なら CompTIA Security+ も選択肢です（CompTIA Security+の難易度は？V8切り替えと日本語試験）。ほかの資格との並べ方は エンジニアにおすすめの資格7選 にまとめています。

勉強の進め方（順番）

1. ISMSの骨組みをつかむ。 箇条4〜10の要旨と、附属書Aの4つのテーマ。全部を覚えず、「見つけた事実をどこに当てるか」の地図を作る
2. リスクアセスメントと適用宣言書の関係を説明できるようにする。 監査で最もよく見る線
3. 監査の流れを先に知る。 監査プログラム、個別の監査計画、チェックリスト、インタビュー、監査証拠
4. 不適合の書き方を練習する。 基準・事実・証拠の3つをそろえる
5. 研修を受ける。 演習に集中できるよう、1〜4を予習として済ませておく
6. 社内で監査に出る前に復習する。 是正処置のフォローアップまでの流れを確かめる

naminori の講座は、この1〜4と6に使えるように作っています。

naminori の講座でできること（8回の中身と主人公）

ISO/IEC 27001 内部監査員研修対策 は、無料で受けられる全8回の講座です。学習時間の目安は3時間10分、修了テストは10問（約20分）。各回にスライド・読み上げ音声・解説PDF・小テストがあります。講座ページはログインなしで見られ、修了テストを受けるには会員登録（ログイン）が要ります。

講座に出てくる架空の主人公は、31歳のミナミです。クラウド会計ソフトを作る会社で情報システムを担当していて、ある日、社内のISMS内部監査員に指名されます。いずれAIを使うSaaS企業でセキュリティやガバナンスの仕事をしたいと考えています。相談相手は、別の会社で長くISMSの事務局と内部監査をしてきた先輩のアヤネです。

回	テーマ	目安
1	研修と内部監査の全体像。第一者・第二者・第三者監査の違い	15分
2	ISMSと箇条4〜10。PDCAと監査の視点	25分
3	附属書Aの93の管理策を4つのテーマに分ける	25分
4	リスクアセスメントと適用宣言書、残留リスクの承認	25分
5	ISO 19011 に沿った監査の進め方。計画・チェックリスト・インタビュー・証拠	30分
6	不適合の書き方と是正処置。修正と是正処置の違い、根本原因	25分
7	終了会議、監査報告書、マネジメントレビュー、フォローアップ	20分
8	総合事例での振り返り	25分

この講座は、特定の研修機関の修了を約束するものではありません。研修の予習と復習に使い、社内の内部監査を担えるようになることを目指しています。例題はすべて講座のための自作で、どこかの研修の試験問題ではありません。

講座の例題を解いてみる

講座の中から3問を選びました。会社はすべて架空です。

例題1 見つけた事実は、どの箇条に当たるか（第2回）

架空の会社「ミドリ建材」で、ISMSの担当者に任命された社員がいます。社内の決まりでは、担当者は年に1回の教育を受けることになっています。ところが、受けたことを示す記録がどこにもありませんでした。最も関係が深い箇条はどれでしょう。

• ア 箇条4
• イ 箇条7
• ウ 箇条9
• エ 箇条10

正解はイの箇条7（支援）です。 必要な力量を身につけさせ、その証拠を記録として残すことは、支援の箇条が求めているからです。

• アの箇条4は、組織の状況や適用範囲を決める箇条で、教育の記録とは直接つながりません
• ウの箇条9は、監視や内部監査などの評価の箇条です。内部監査で見つけたからといって、箇条9の不適合になるわけではありません
• エの箇条10は、見つかった不適合をどう直すかの箇条で、この時点ではまだ関係しません

箇条は「どこで見つけたか」ではなく、「どの要求を満たしていないか」で決めます。研修の演習で最初につまずきやすいところです。

例題2 適用宣言書の除外の理由を確かめる（第4回）

架空の会社「ハナミズキ旅行」の適用宣言書では、技術的管理策のうち安全な開発に関わるものが除外され、理由は「社内でソフトウェアの開発をしていないため」と書かれていました。ところが、話を聞くと、情報システム部が顧客の予約データを集計する小さなツールを自分たちで作り、毎日使っていました。内部監査員の判断として最も適切なのはどれでしょう。

• ア 除外の理由が書かれているので、問題は無い
• イ 除外の理由が事実と合っていないので、所見として取り上げ、リスクアセスメントと適用宣言書の見直しを求める
• ウ ツールを作った担当者を名指しで注意する
• エ 開発の管理策は除外できないので、どの会社でも不適合になる

正解はイです。 理由が書かれていても、事実と合っていなければ、適用宣言書は正しくありません。社内でツールを作っている以上、そのリスクを評価し、必要な管理策を決め直す必要があります。

• アは、理由が「書いてあるか」だけを見ています。監査は「事実と合っているか」まで確かめます
• ウは、人を責めています。問題は、ツール作りがリスクアセスメントに入っていなかった仕組みのほうです
• エは誤りです。理由があれば、どの管理策も除外できます。実際に開発をしない会社なら、除外は正しい判断になりえます

講座では、リスクの点数の付け方の例も扱います。たとえば「影響度1〜5 × 起こりやすさ1〜5、12点以上を対応の対象にする」と決めた会社なら、影響度4・起こりやすさ3は12点で対象、影響度2・起こりやすさ5は10点で対象外です。ただし、これは組織が決める方法の一例で、規格が掛け算を決めているわけではありません。

例題3 この不適合は閉じてよいか（第7回）

架空の会社「シラサギ物流」で、退職者のアカウントが残っていた不適合がありました。是正の期限の日、人事部から「手順書を直しました」と、直した手順書が届きました。手順書が直った後に退職した人はまだいないため、新しい手順で実際にアカウントが消されたかの記録はありません。この不適合を閉じてよいでしょうか。

答えは「まだ閉じない」です。 手順書が直ったことで、是正処置が実施されたことは確かめられます。でも、それが効いているかの証拠がありません。新しい手順で退職の手続きが行われ、その人のアカウントが期日までに消されたことを確かめてから閉じます。

よくある誤りは3つです。

• 部署から「直しました」というメールが来ただけで閉じる。メールは、実施の証拠にも効果の証拠にもならない
• 是正処置の計画が出ただけで閉じる。計画は、まだ何も実施されていない段階
• 期限が過ぎたから閉じる。期限が過ぎても直っていなければ、閉じる理由ではなく、遅れとして報告する理由

ISO/IEC 27001 と 42001 の関係

AIを使う会社では、ISMSに加えて、AIマネジメントシステム（AIMS）の規格 ISO/IEC 42001 に取り組むところが出てきています。42001 は 27001 と同じ骨組み（箇条4〜10）で書かれていて、内部監査も同じ箇条9.2にあります。だから、ISMSの内部監査を経験した人は、AIMSの監査にも入りやすくなります。

一方で、42001 にはAIシステム影響評価のように 27001 に無い要求があり、附属書Aも38の管理策で中身が違います。2つをまとめて1回で確かめる「統合監査」の考え方と、2つの違いは、ISO42001内部監査員研修とは？27001との違いと統合監査の要点 で詳しく書きました。naminori には ISO/IEC 42001 内部監査員研修対策 の講座もあり、27001 の講座を受けていなくても学べます。

転職で資格はどう効くか（naminori の求人データ）

naminori に載せてきた求人84件（掲載終了78件＋掲載中6件）の本文を、2026年11月6日に数えました。

語	84件のうち	掲載中6件のうち
セキュリティ	29件	3件
AI・機械学習	33件	5件
ISMS・ISO	0件	0件
資格取得支援（福利厚生などを含む）	40件	―

「ISMS」「ISO」という語が出てくる求人は0件でした。 特定の資格を応募の条件にした求人もありません。ISMS内部監査員の修了証は、応募の入場券にはなっていない、というのが naminori のデータで言える事実です。

一方で、「セキュリティ」に触れた求人は84件中29件、掲載中の6件でも3件ありました。ここからは解釈ですが、セキュリティの仕事の中身を説明する場面で、内部監査の経験は具体的な材料になります。「どの部署で、何を基準に、何を見て、何が見つかり、どう直してもらったか」は、面接でそのまま話せる根拠です。研修の修了は、その前提となる知識を体系的に押さえた証明になります。

また、84件中40件が資格取得支援に触れていました（費用の負担や取得後の昇給など、中身は会社ごとに違います）。入社してから研修を受ける、という選択肢もあります。

情報システムの仕事への転職を考えている方は、社内SEになるには もあわせて読んでみてください。

よくある質問

ISMS内部監査員は国家資格ですか

国家資格ではありません。研修機関の研修を修了するのが一般的な入口で、修了の条件は研修機関ごとに違います。JRCA のように、研修の修了や実務経験を条件に内部監査員として登録する仕組みもあります。

内部監査員になるのに、研修の修了証は必須ですか

ISO/IEC 27001 は、特定の修了証を求める書き方をしていません。求めているのは、監査の客観性と公平性を保てる人を選ぶことと、必要な力量を組織が決めて確かめることです。修了証を任命の条件にするかどうかは、会社ごとに決まります。

研修は何日くらいかかりますか

公開されている案内では2日間が多く、試験と組み合わせた資格つきのコースでは3日間のものもあります。対面とオンラインのどちらもあります。日程と料金は、受ける研修機関の案内で確かめてください。

2013年版の研修を受けた修了証は、いまも使えますか

研修の修了証の扱いは、研修機関と、それを求める会社によります。JRCA に登録したISMS内部監査員については、2022年版への移行の期限が2025年10月31日で、期限までに手続きをしなかった資格は失効すると案内されていました。いま登録を目指すなら、2022年版に対応した研修を選んでください。

実務経験がなくても研修を受けられますか

受講の条件は研修機関ごとに違います。規格の要求事項を理解していることを前提にし、先に要求事項の解説研修を勧める研修もあります。JRCA の登録を目指す場合は、情報セキュリティ分野の半年以上の実務経験、またはそれと同等以上の教育が要件に入っています。

naminori の講座だけで、内部監査員の資格が取れますか

取れません。naminori の講座は研修の予習と復習のためのもので、研修機関の修了や JRCA の登録の代わりにはなりません。講座を修了すると、規格の骨組みと監査の進め方を一通り押さえた状態で研修に臨めます。

まとめ・次の行動

• ISMS内部監査員の「資格」には、研修の修了・研修機関の試験の合格・JRCA などの登録の3つの形がある
• 研修は2日間が多いが、修了の条件は研修機関ごとに違う。申し込む前に、試験の有無・発行される証明・規格の版を確かめる
• 2026年5月に ISO 19011 の新しい版が出た。研修がどちらの版に沿っているかも見ておく
• naminori の求人では「ISMS」「ISO」の語は0件。修了証は入場券ではなく、監査の経験を語るための土台になる

研修の前に、規格の骨組みと例題に一度ふれておくと、2日間の研修を演習に使えます。

まずは ISO/IEC 27001 内部監査員研修対策 の第1回を開いてみてください（無料・ログイン不要で見られます）。修了テストまで受けるなら、会員登録 をしておくと進み具合が残ります。セキュリティやガバナンスの仕事を探している方は、求人一覧 も見てみてください。