オプティマ・ソリューションズ編集部

プライバシーマークとISMSの認証取得／更新のお手伝いをしています。担当者の皆様自身にPマークの知識やコツを見つけていただいて、皆様の会社自体が成長していいただけることを心掛けています。しっかりと皆様のお話をお聞きして、親身に寄り添いながらサポートするのが当社のコンサルティングです。

本記事では、プライバシーマーク（Pマーク）取得および維持における「運用の確認」について解説します。特に、「運用の確認」の意義と方法、不具合発見時の対処法、内部監査との違いなどを知りたい方向けの内容となっています。

プライバシーマーク事業者が行う「運用の確認」と「内部監査」には以下のような違いがあります。

運用の確認

目的
自主的な点検を行い、自部門や個人がプライバシーマーク（PMS）の規定に沿って適切に業務を遂行しているかを確認することを目的としています。

実施者
主に自分または自部門の担当者が行います。

特徴
セルフチェックに近く、日常的に実施されるもので、規模が小さい企業では個人情報保護管理者が全てをチェックする場合もあります。

内部監査

目的
個人情報保護マネジメントシステムが事業者の規定やJIS規格に適合しており、かつ有効に運用されているかを客観的に確認することを目的としています。

実施者
指定された内部監査員が行い、独立した立場から客観的に評価します。

特徴
内部監査は少なくとも年に1回行われ、構築・運用指針に定められた項目に対しての適合性と運用状況を確認する必要があります。

いずれもプライバシーマークの適切な運用を維持するための重要なプロセスですが、「運用の確認」は日常的なセルフチェックであり、「内部監査」はより公式で客観的な評価を求められるプロセスです。詳しくは、JIPDECのガイドラインで確認できます。

運用の確認の進め方

運用の確認は具体的には、次の手順で行います。

日常的に「運用の確認」を行っておくことで、PMSの運用を精緻化できて、Pマークの更新審査にも問題なくクリアできるでしょう。

運用の確認でチェックすべき項目

チェック対象は会社の規模や状況により異なりますが、下記のようなものを上げることができます。

などです。

運用の確認で不適合を発見したら？

原因を特定して対応策（是正処置といいます）を実施して記録することが必要です。場合によっては教育資料を書きかえて社員に再周知することも必要になるでしょう。

例えば、ある企業で個人情報を含む書類が適切に施錠されず、誰でもアクセスできる状態になっていたことが、運用チェック時に見つかったとして対策手順を説明します。

1. 原因を分析する

まずは、問題が発生した原因を調査します。このケースでは、担当者がポリシーの詳細を誤解していたことが原因であり、さらに施錠が義務付けられていることが十分に周知されていなかったことが判明したことにしましょう。

2. 是正処置を実施する

問題の原因を解決するため、すべての従業員に対する再教育を実施し、個人情報の適切な取り扱い方法を再確認させます。また、施錠を義務化するためのチェックリストを導入し、毎日の業務終了時に施錠確認を行うこととしました。

3. 記録を文書化する

是正措置の内容と実施結果を文書化し、次回の内部監査で確認できるようにします。どのような再教育プログラムを行ったのかの詳細や施錠確認チェックリストの導入状況を記録するようにしましょう。

4. 経過観察してプロセスを再評価する

是正措置後、数週間にわたって経過観察を行い、問題が解決されたかどうかを評価します。もし、施錠のチェックリストが使用されていなかったり、チェックリストを用いても個人情報が誰でもアクセス可能になっていたら、さらに改善策を追加しなければなりません。

このように、運用の確認で発見した不適合に対して是正処置を行えば、個人情報保護の体制を強化することができます。

まとめ

この記事では、プライバシーマークの審査で求められる「運用の確認」の実行方法について解説してきました。PMSが適切に機能しているかどうかを確認するためには、日常的に「運用の確認」を行う必要があります。

もしチェックリストの作成で迷った場合は、オプティマ・ソリューションズに気軽にご相談ください！

Pマーク取得のご相談ならオプティマ・ソリューションズへ！

弊社は創業後の20年間で3,000件を超える支援を行ってきました。さらに、弊社には次の強みがあります。

お客様が新しい知識と情報を理解し、自社の業務にそれを適用することで、何らかの改善が実現しお客様も喜ぶ。そんな状態を理想と考えているからです。

これからPマーク認証を取得される、または、更新をご希望される事業者様はぜひお気軽にご相談ください。