暖かいから暑いへのシフトチェンジが始まってきたような気がします。

あと何日冷房をつけずに夜を過ごせるのでしょうか。

さて、今回は「審査指摘事項の対応」についてお話しようと思います。

審査指摘事項対応って？

審査指摘事項とは、読んで字のごとしです。

プライバシーマークの適合性審査を受ける際、JISQ15001の要求事項に則していない、もしくは要求事項を満たしていない場合に、「不適合」が出ます。

しかし、「不適合」が出たからといって、プライバシーマークが取得できないということはありません。

JISQ15001の要求を満たし、個人情報保護体制を築くために、この不適合に対応し、改善をし、審査機関からOK(適合していると認められる)をもらえれば、晴れてプライバシーマーク認証取得となります。

この審査指摘事項対応というのは、2回対応する必要があります。

1回は「文書」に対する審査指摘事項への対応です。個人情報保護マネジメントシステムで使用する文書やフォーマットなどが要求事項を満たしているか否かを審査され、そこで出た指摘に対して対応するというものです。

2回目は「現地」での審査指摘事項対応です。規程で定められたルールが現場で実際に運用されているのか、個人情報が適切に扱われているのかを見られる現地審査で、現場で特定されていない個人情報が見つかったり、現場が個人情報を取りあつかうのに適切な環境でなかったときなどに、指摘が出され、それに対応するというものです。

例えば、規程で「机の上やプリンターに個人情報の記載された紙を放置しない」と規定されているにも関わらず、出しっぱなしになっていたりすると、それに対して指摘が出されます。

では、以下でどのような指摘が出されることが多いのか、その指摘に対してどのように対応していけばいいのかについて話します。

文書審査

文書審査は、前述のとおり、文書が要求事項を満たしていない・規定されていないなどのケースで「不適合」が出されます。

文書審査の指摘事項例と、それに対する対応例を下の表へまとめてみました。

現地審査

現地審査も前述のとおりです。現地にて文書を参考に運用の状況をチェックされ、要求事項を満たしていなかったり、規程と運用の実態に齟齬があったり、実効性などがなかったりすると「不適合」が出されます。

文書審査にならい、現地審査も指摘事項例と、それに対する対応例を下の表へまとめてみました。

改善されるまで続く

審査対応は、必ずしも1発でOKになるとは限りません。これは、指摘事項が改善され、要求事項を満たしていると認められるまで続きます。多くの場合は、1~2回で済むという認識です。

しかしながら、うっかり印鑑を付け忘れたり、修正前の書類を送ってしまったり、対応が改善要求にそぐわなかったりを繰り返してしまうと、もう少し回数は増えてしまうかもしれません。

ですが、プライバシーマークの的確性審査は、落とすためではありません。より良くしていくための審査ですので、根気強く改善と運用をしていけば、道は拓けます。

指摘事項に対応し、要求事項を満たしている、かつ、健全な運営ができていると認められれば、晴れてプライバシーマーク取得です！

以上です。審査指摘がきたら、何をしたらいいのか少しでも分かっていただけましたら幸いです。

では～