このユニットでは、ISOやJISが定める分野別の代表的な番号付き規格を学ぶ。品質のISO 9000、環境のISO 14000、情報セキュリティのISO/IEC 27000などを順に取り上げ、規格番号と対象分野の対応を整理する。番号と分野の組合せはITパスポートで頻出の重要分野である。
品質マネジメントシステム(QMS)に関する国際規格群。製品やサービスの品質を高める仕組みを定める。
ISO 9000は、組織が一定の品質を保つための仕組み(品質マネジメントシステム=QMS)を定めた国際規格のファミリーです。中心となる要求事項はISO 9001で、これに適合すると第三者認証を受けられます。 試験では「ISO 9000=品質」という対応がまず問われます。後で学ぶISO 14000(環境)やISO/IEC 27000(情報セキュリティ)と番号を取り違えないことが重要です。顧客満足の向上を目的とし、PDCAで継続的に改善する点も押さえましょう。
たとえ工場が「いつ作っても同じ良さの製品を出せる」ことを保証する社内ルールブックのようなもの。誰が作業しても品質がばらつかない仕組みを定めます。
記憶フックISO 9000といえば品質マネジメントシステム(QMS)
環境マネジメントシステム(EMS)に関する国際規格群。環境への負荷を管理し低減する仕組みを定める。
ISO 14000は、組織が事業活動による環境への影響を管理し、継続的に改善するための仕組み(環境マネジメントシステム=EMS)を定めた国際規格群です。中心の要求事項はISO 14001です。 試験では「ISO 14000=環境」の対応が問われます。品質のISO 9000と同じくマネジメントシステム規格の系列で、考え方(PDCAで継続的改善)が共通する点も理解しておくと、規格全体を整理しやすくなります。
たとえ会社が「ごみや排出を減らし、エコに配慮し続ける」ための環境ルールブック。家庭の節電・分別ルールを企業規模に広げたようなものです。
記憶フックISO 14000といえば環境マネジメントシステム(EMS)
社会的責任(SR)に関する国際規格。組織が果たすべき社会的責任の手引を示す。
ISO 26000は、企業や組織が社会的責任(SR=Social Responsibility)を果たすための原則や中心課題(人権、労働慣行、環境、公正な事業慣行など)をまとめた国際規格です。 試験で重要なのは、ISO 26000は「手引(ガイダンス)」であり、ISO 9001のような認証を取得する規格ではない点です。第三者認証を目的とせず、組織が自主的に社会的責任に取り組む際の指針となる、という性格を押さえましょう。
たとえ「良い企業市民として、どう社会と向き合うべきか」を教えてくれる手引書のようなもの。合格証(認証)をもらうための試験ではなく、行動の指針です。
記憶フックISO 26000といえば社会的責任(SR)の手引(認証なし)
情報セキュリティマネジメントシステム(ISMS)に関する国際規格群。情報資産を守る仕組みを定める。
ISO/IEC 27000は、組織が情報資産を機密性・完全性・可用性の観点から守るための仕組み(情報セキュリティマネジメントシステム=ISMS)を定めた国際規格群です。中心の要求事項はISO/IEC 27001で、ISMS認証の基準になります。 試験では「ISO/IEC 27000=情報セキュリティ」が頻出です。ISOとIECが共同で発行している点、PDCAサイクルで継続的に改善する点が問われます。品質(9000)・環境(14000)と並ぶ代表的なマネジメントシステム規格として整理しましょう。
たとえ会社の大切な情報を金庫で守るための「鍵の管理・持ち出しルール・点検手順」を定めた防犯マニュアルのようなもの。仕組みとして継続的に見直します。
記憶フックISO/IEC 27000といえば情報セキュリティマネジメントシステム(ISMS)
人的資本に関する情報開示の指針を示す国際規格。人材に関する情報の開示方法を定める。
ISO 30414は、組織が「人的資本(ヒューマンキャピタル)」、すなわち従業員という人材に関する情報を、社内外へ開示・報告するための指針を示した国際規格です。離職率や人材育成、ダイバーシティなどの項目が対象です。 試験では「ISO 30414=人的資本の情報開示」という対応を押さえれば十分です。近年注目される比較的新しい専門規格で、品質や情報セキュリティのマネジメントシステム規格とは目的が異なる点を区別しましょう。
たとえ会社が「うちはどんな人材を、どう育て、どう活かしているか」を投資家などに見せる成績表のようなもの。お金ではなく人の情報を開示します。
記憶フックISO 30414といえば人的資本の情報開示
リスクマネジメントに関するJIS規格。リスクを管理する原則と枠組みを定める。
JIS Q 31000は、組織があらゆる種類のリスクを体系的に管理するための原則・枠組み・プロセスを定めた日本産業規格(JIS)です。国際規格ISO 31000を日本語化し国内規格として制定したものです。 試験では、JISの中でもマネジメントシステム分野は「JIS Q」という記号で始まること、JIS Q 31000がリスクマネジメントを扱うことを押さえましょう。情報セキュリティに限らず、組織全体のリスクを対象にする汎用的な枠組みである点が特徴です。
たとえ会社が直面しうる様々な危険(災害・事故・損失など)を洗い出し、備える手順を定めた「リスク対策の共通マニュアル」のようなものです。
記憶フックJIS Q 31000といえばリスクマネジメント
ITガバナンスに関するJIS規格。経営層がITを統制・活用するための指針を定める。
JIS Q 38500は、経営層がITを適切に統制し、組織の目的達成に役立てるための指針(ITガバナンス)を定めた日本産業規格(JIS)です。国際規格ISO/IEC 38500に対応します。 試験では、ITの「管理(マネジメント)」ではなく、経営者が責任をもってITの活用を方向づけ評価・監視する「統治(ガバナンス)」の規格である点が問われます。同じJIS Q系列のJIS Q 31000(リスク)と対象分野を取り違えないよう整理しておきましょう。
たとえ会社のトップが「ITをどの方向に使い、ちゃんと役立っているか」を見張るための経営者向けの羅針盤のようなもの。現場の操作手順ではなく経営の舵取りです。
記憶フックJIS Q 38500といえばITガバナンス
関連の過去問演習は今後のアップデートで追加予定です。