Pマークの審査で見られるポイント｜文書審査・現地審査の内容と準備

Pマークの審査の全体像（先に結論）

審査は「文書審査」と「現地審査」の2段階

Pマークの審査は、提出した規程などの書類を見る文書審査と、審査員が会社を訪れて運用を確かめる現地審査の2段階です。

• 文書審査：内部規程が構築・運用指針に合っているか、従業者が守るための具体的な手順が決まっているかを見ます。
• 現地審査：PMSのとおりに体制が整い、運用されているかを、代表者へのインタビュー、担当者への確認、現場の確認で見ます。

申請から付与までの全体の流れは「Pマークの取得方法と流れ」で説明しています。この記事では、審査で何を見られるかに絞って説明します。

審査の基準と審査員

審査の基準は、JIPDECが定めた「構築・運用指針【JISQ15001:2023準拠 ver1.0】」と「プライバシーマーク付与適格性審査基準」です（審査基準と構築・運用指針）。構築・運用指針はJIPDECのサイトで無料で読めます。

審査は、原則2名の審査チームが行います。現地審査にかかる標準時間の目安は5〜8時間です（費用）。事業所が分かれている場合や、扱う個人情報の種類が多い場合は、時間が延びることがあります。

文書審査で見られるポイント

文書審査では、申請書類のうちPMS文書（内部規程と様式）が、構築・運用指針に合っているかを審査します。主な観点は次の2つです（形式審査～文書審査）。

内部規程が構築・運用指針に合っているか

構築・運用指針の各項目で求められていることが、内部規程に定められているかが見られます。指針の内容については「JISQ15001とは」「PMSとは」で説明しています。

従業者が守るための具体的な手順があるか

規程に「個人情報を適切に管理する」と書くだけでは足りません。すべての従業者が内部規程を守るために、誰が、いつ、何をするのかといった具体的な手順や手段が決まっているかが見られます。

内部規程に最低限定める15項目

JIPDECは、内部規程に最低限、次のことについての具体的な手順や手段を定めるよう求めています（形式審査～文書審査）。

1. 個人情報を特定する手順
2. 法令、国が定める指針その他の規範の特定、参照、維持
3. 個人情報保護リスクアセスメントとリスク対策の手順
4. 各部門・階層の個人情報を保護するための権限と責任
5. 緊急事態への準備と対応
6. 個人情報の取得、利用、提供
7. 個人情報の適正管理
8. 本人からの開示等の請求等への対応
9. 教育など
10. 文書化した情報の管理
11. 苦情と相談への対応
12. 点検
13. 是正処置
14. マネジメントレビュー
15. 内部規程の違反に関する罰則

規程の構成や名前は、この順番どおりでなくてかまいません。事業の実態に合わせてつくります。文書審査の結果は現地審査までに知らされ、不備があった点は現地審査までに直します。直した状況は、現地審査で確認されます。

現地審査で見られるポイント

現地審査は、おおむね次の4つの流れで進みます（現地審査）。

トップインタビュー（代表者）

審査員が代表者にインタビューします。主に確認されるのは次のことです。

• 事業内容、経営方針
• 個人情報に関する事故の有無
• 申請の動機や、個人情報保護の目的
• 個人情報保護方針
• 個人情報保護のための体制（人的資源）
• マネジメントレビュー
• PMSの継続的な改善

代表者が、自社のPMSを自分の言葉で説明できるかが大切です。

PMSの運用状況の確認（担当者・管理者・監査責任者）

申請担当者、個人情報保護管理者、個人情報保護監査責任者などに、実際の運用状況を確認します。事業の内容を詳しく聞いたうえで、個人情報を扱う業務ごとに、次のことが確かめられます。

• 個人情報の特定
• リスクアセスメントとリスク対策
• 安全管理措置
• 従業者の教育や内部監査の状況

このとき、審査員から、内部規程や様式、実際の運用の記録を改めて見せるよう求められることがあります。

現場での確認（執務室など）

個人情報を実際に扱っている執務室や作業場で、会社が講じている安全管理措置が実施されているかを確認します。

JIPDECは、安全管理措置は会社のリスクを分析した結果に応じて講じるもので、一律の対応が求められるのではないとしています（現地審査）。

総括（指摘事項の説明）

最後に、審査員から、PMSの運用で改善が必要と判断された点（指摘事項）について、確認と説明があります。

JIPDECが紹介している付与事業者の講演レポートでは、ある会社が現地審査について「面接のような進め方を想像して緊張したが、怖くなかった。本質的な理解ができているかを確かめつつ、是正の方法も具体的に示してもらえた」と話しています（講演レポート（JIPDEC））。

審査の前に準備しておきたいこと

JIPDECが示している審査の内容から、次のことを準備しておくと安心です。

運用の記録をすぐ出せるようにする

現地審査では、運用の記録の提示を求められることがあります（現地審査）。次のような記録を、すぐに見せられるように整理しておきましょう。

• 個人情報の台帳と、リスクアセスメントの結果
• 教育の計画、実施の記録、理解度の確認の結果
• 内部監査の計画と報告書
• マネジメントレビューの記録
• 委託先の選定や契約の記録など、規程で残すと決めた記録

規程と実際の業務を合わせておく

審査員は、業務ごとに個人情報の扱いを聞き、規程と実際の運用が合っているかを確かめます。規程に書いた手順と、実際の業務や記録が食い違っていないかを、申請前と現地審査の前にもう一度見直しましょう。

代表者の予定を押さえる

トップインタビューがあるので、現地審査の日程は代表者の予定に合わせて決めます。代表者には、個人情報保護方針や、マネジメントレビューで何を判断したかを、事前に振り返っておいてもらいましょう。

監修者のひとこと

現地審査では代表者へのインタビューがあります。代表者にもPMSの仕組みついて理解してもらうことが必要です。

指摘事項が出たら

指摘事項がある場合は、現地審査の後に指摘事項文書が届きます。文書に書かれた日付から3か月以内に、改善の証拠を添えて改善報告書を提出します（現地審査）。

審査チームは、改善の結果の報告を受けて、改善の内容が適切かを評価します（費用）。その後、審査の結果が審査会に報告され、付与の適格性が決まります（審査結果の連絡）。

なお、審査料と現地審査の交通費などは、現地審査の後に請求されます。振込がない間、審査機関は審査を中止できるので、早めに支払いましょう。

更新のときも、審査の流れは新規と同じです。更新については「Pマークの更新手続きと費用」をご覧ください。

まとめ

• Pマークの審査は、文書審査と現地審査の2段階です。審査チームは原則2名、現地審査の標準時間は5〜8時間が目安です。
• 文書審査では、内部規程が構築・運用指針に合っているかと、従業者が守るための具体的な手順があるかが見られます。
• 現地審査では、トップインタビュー、運用状況の確認、現場の確認、総括が行われます。安全管理措置は一律ではなく、リスクに応じて決めます。
• 運用の記録をすぐ出せるようにし、規程と業務を合わせ、代表者の予定を押さえておきましょう。
• 指摘事項は、指摘事項文書の日付から3か月以内に改善報告書を出します。

参考

• 形式審査～文書審査（JIPDEC）
• 現地審査（JIPDEC）
• 費用（JIPDEC）
• 審査基準と構築・運用指針（JIPDEC）
• 審査結果の連絡（JIPDEC）
• 講演レポート：新規申請を目指す事業者のためのプライバシーマークセミナー（JIPDEC）