3.4.3.3 従業者の監督

組織（会社）は、組織（会社）に従事している従業者に業務の中で、個人情報を取り扱わせる場合は、取り扱う個人情報の安全管理を行う様に、個人情報の取り扱いを行わせる従業者に対して、必要であり、適切な、契約や監督を行わなければなりません。

3.4.3.2 安全管理措置

組織（会社）は、事業で取り扱っている個人情報のリスクの度合いにより、漏洩や消失、毀損防止を行い、その他にも個人情報の安全管理の為に、必要であり、適切な対策を金額の見合う範囲で行わなければなりません。

3.4.3.1 正確性の確保

組織（会社）は、個人情報の利用目的の限度で、個人情報を正確性を確保しつつ、最新の状態で管理を行わなければなりません。

内部監査 報告の仕方

ISO9001実践例　内部監査、報告の仕方

内部監査が終了したら、監査依頼者に報告を行います。

監査の報告は、監査報告書で行います。

監査依頼者は、監査報告書をレビューし、承認を行います。

承認された監査報告書は、監査依頼者が指定する受領者へ配布する事になります。

校正記録、測定機器の保管場所

ISO9001実践例　校正記録、測定機器の保管場所

校正の記録の保管場所は、校正の記録が必要な場所に保管するのが一般的です。

必要な場所とは、その校正の記録を使う人たちがいる場所になります。

実施には、測定機器を使用している現場で保管します。

校正の記録は文書です。

文書は、必要な時に必要な場所で使用する事になります。

実際に測定機器を使っているところで、保管しないと、必要な時に必要な場所で使えなくなります。

品質管理部や品質保証部、その他の部門で保管が必要かと言う事になりますが、頻繁に使うのであれば、写しが必要になりますが、年に何回も必要としないのであれば、保管の必要はありません。

測定機器の保管場所は、その測定機器を損傷、劣化、狂い等から保護できる場所に保管します。

落ちて壊れてしまった。

湿度が大きく狂ってしまう可能性が大きい。

温度が高い。

通路の近くですと、何かが当ってしまう。

等など、現場で保管するには、購入した状態で、落ちない場所、その他に影響するものがあれば、それを避けるように保管します。

新規購入先・新規購入先の評価

ISO9001実践例　新規購入先・新規供給先の評価

既存の購入先（外注先）は今までの実績がある為、評価をしやすいですが、新規購入先（外注先）はどう評価すればいいのか？

この場合、他社との取引実績、ＩＳＯ9001の取得状況、取引先の訪問調査（第二者監査）、見積もり、試作、過去の作成実績のサンプル、経営状態、社長の人柄、現場の雰囲気等調べる事が必要になります。

しかしここまで行うのは、アウトソース先に対してです。

一般資材や、カタログ製品等、どこに頼んでも同じと言うような性質の購買品は、そこまでする必要はありません。

納期の指定通りに納品されるか？見積もり等で十分です。

購買品でも購買品の性質によって、新規購入先の評価の仕方は変わります。

3.4.2.8 提供に関する措置

組織（会社）は、所持している個人情報を第三者に提供を行う場合は、事前に該当者に該当する個人情報の取得した方法と、3.4.2.4　個人情報を直接書面で取得する場合の
①組織（会社）の氏名か名称
②個人情報保護管理者の氏名か役職名、会社での所属先と連絡先
③個人情報の利用目的
④個人情報を第三者に提供する場合は次の項目
　1)提供目的
　2)提供する個人情報の項目
　3)提供する手段か方法
　4)提供を受ける人や組織の業種と提供元との関係
　5)提供元と提供先で個人情報の取り扱い契約がある場合はその契約の事
上記の内容か、より詳細な内容を通知して、該当者の同意を得なければなりません。

ただし適用除外項目があり、適用除外項目は以下の通りです。
(1)3.4.2.4 本人から直接書面で取得する場合の処置や3.4.2.7　本人にアクセスする場合の処置の規程によって、既に、3.4.2.4の①～④の内容かより詳細な内容で該当者に書面等によって明らかにしていたり、通知を行い、該当者の同意を得ている場合。
(2)名簿やデータベースなど、大量の個人情報を扱い、一般に提供する事業は、該当者の同意を得る事が難しい為、次に示す内容か、それよりも詳細な内容を事前に該当者に対し通知を行うか、通知と同等の対処を行っている場合。
　1)利用目的を第三者に提供するとしている事
　2)提供する個人情報の項目
　3)提供を行う為の手段や方法
　4)該当者からの申し出により、該当者が識別される個人情報の第三者への提供を停止する事
　5)個人情報を取得した方法
(3)IR情報や官報等で、法令や該当者又は該当する法人や団体が、自ら公開や公表した個人情報を提供している場合、上記（２）の１）～５）の内容か、より詳しい内容を事前に該当者に通知を行うか、該当者が簡単に知る事が出来る状況のとき。
(4)個人情報の利用目的を特定した限度内で、個人情報の一部や全部を委託する場合
(5)事業の継承により、個人情報を提供先に提供する場合は、提供元の事業での利用目的の限度内で該当する個人情報を取り扱う場合。
(6)特定の組織（会社）と個人情報を共同して利用を行っている場合は、次に示す内容か、より詳細な内容を事前に該当者に通知を行うか、該当者が簡単に知る事が出来る状況のとき。
　1)共同して個人情報の利用を行う事
　2)共同して個人情報を利用する個人情報の項目
　3)共同して個人情報を利用する組織（会社）の範囲
　4)共同して個人情報を利用する組織（会社）の個人情報の利用目的
　5)共同して個人情報を利用する際の管理についての責任者の氏名や名称
　6)共同して利用している個人情報の取得した方法
(7)3.4.2.6　利用に関する措置の適用除外事項（下記の事項）に一つでも該当する場合
　1)法律・命令・条例・規則・裁判所の規則等に基づく場合。
　2)生命や身体、財産を保護する必要があり、該当者の同意を得る事が難しい場合。
　3)公衆衛生の向上の為や、子どもの健全な育成推進のために必要があり、該当者の同意を得る事が難しい場合。
　4)国の機関や地方公共団体、又は、国の機関や地方公共団体から委託を受けた業者や人が、法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、該当者の同意や了承を得る事によって、業務を行う事のさしさわりが発生する事が予想される場合。

3.4.2.7 本人にアクセスする場合の処置

組織（会社）は、第三者提供で得た個人情報や、利用目的の限度を超えて、該当者に接触を図る場合は、接触する該当者に対して、3.4.2.4の以下の事項か、それよりも詳しい内容の事項、個人情報をどのように取得したかを通知して、該当者の同意を得なければなりません。
①組織（会社）の氏名か名称
②個人情報保護管理者の氏名か役職名、会社での所属先と連絡先
③個人情報の利用目的
④個人情報を第三者に提供する場合は次の項目
　1)提供目的
　2)提供する個人情報の項目
　3)提供する手段か方法
　4)提供を受ける人や組織の業種と提供元との関係
　5)提供元と提供先で個人情報の取り扱い契約がある場合はその契約の事
⑤個人情報を外部に委託を行う事がある場合は、その事
⑥開示対象個人情報の利用目的の通知・開示対象個人情報の開示・開示対象個人情報の訂正、追加又は削除・開示対象個人情報の利用又は提供の拒否権に該当する場合があれば、その要求に対して応じる事と問い合わせ窓口

ただし、適用除外事項があります。
(1)上記①～⑥の内容やこの内容よりも詳しい内容を書面などで明示したり、通知を行ったりして、既に該当者から同意を得ている場合。
(2)個人情報を業務の一環として、提供元から委託された場合は、該当する個人情報の利用目的の限度内で使用する場合。
(3)事業の継承により、個人情報の提供を行う事業者が、既に上記①～⑥の内容やそれよりも詳しい内容で、該当者に書面等により明示したり、通知を行い、該当者から同意を得ている場合は、提供を受ける前の利用目的の限度内で個人情報を使い、該当者に接触する場合。
(4)個人情報を特定の組織（会社）と共同して利用を行い、共同して利用している組織（会社）が既に、上記①～⑥の内容か、この内容よりも詳しい内容を書面などで明示したり、通知を行い、該当者から同意を得ている場合は、次の内容かそれよりも詳しい内容を、事前に該当者に通知を行うか、該当者が簡単に内容を知る事が出来る状況であるとき。
　1)共同して個人情報の利用を行う事
　2)共同して個人情報を利用する個人情報の項目
　3)共同して個人情報を利用する組織（会社）の範囲
　4)共同して個人情報を利用する組織（会社）の個人情報の利用目的
　5)共同して個人情報を利用する際の管理についての責任者の氏名や名称
　6)共同して利用している個人情報の取得した方法
(5)個人情報の取得の状況から、利用目的が明確であると判断できる場合の為（3.4.2.5の④）、利用目的等を該当者に書面にて明らかにしたり、通知や公表をすることなく取得した個人情報を利用して、該当者に接触する場合。
(6)3.4.2.6の適用除外事項（下記の事項）のいずれかに該当する場合。
　1)法律・命令・条例・規則・裁判所の規則等に基づく場合。
　2)生命や身体、財産を保護する必要があり、該当者の同意を得る事が難しい場合。
　3)公衆衛生の向上の為や、子どもの健全な育成推進のために必要があり、該当者の同意を得る事が難しい場合。
　4)国の機関や地方公共団体、又は、国の機関や地方公共団体から委託を受けた業者や人が、法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、該当者の同意や了承を得る事によって、業務を行う事のさしさわりが発生する事が予想される場合。

トラブルの是正

ISO9001実践例　トラブルの是正

トラブルや問題が発生した場合の是正処置の取り方は、そのトラブルや問題の原因が何かを突き止める事にあります。

トラブルや原因の状態、何故そうなったか、そうなった原因は何か？

この三段階で原因を突き止めます。

原因を突き止めつつ、トラブルや問題に対して処置を行います。

処置には、手直し、特別採用、廃棄。

廃棄の場合は、作りなおしをしなければなりません。

トラブルや問題には多大な経費と労力が伴います。

また、クライアントに不信感を持たせてしまう場合もあります。

しかし、対応によっては、プラスに変えることもできますので、是正対策は重要です。

トラブルや問題は会社を運営していく限り、必ず起きます。

しかし、再発防止や予防対策をする事により、減少させる事は可能です。

小さなトラブルをどこまで拾うかは企業の判断になります。

しかし、小さなトラブルも積もり積もれば大きくなったり、重大になったりします。

人を叱責したりするのではなく、何が根本的な原因なのか突き止めることが必要です。

文書管理台帳のメリット・デメリット

ISO9001実践例　文書管理台帳のメリット・デメリット

文書を管理する上で、作った方がいいとされるのが、「文書管理台帳」。

文書管理台帳は、どの文書が、いつ、何版になったかの確認を行う上で、有効です。

内部監査を行う上でも、最新版の管理をチェックする上で、文書管理台帳があった方が楽です。

文書管理台帳と、配布されている文書を付け合わせればいいだけですから。

文書管理台帳は、色々な文書を、色々な部署や工程に配布している場合には、作る必要がありますが、２～３冊ずつしか配布していないのであれば、最新版の管理は、文書を配布した人が行えばいい事なので、作る必要はありません。

規格では、識別できれば良く、最新版を使い、古い文書と新しい文書が混同しないようにしていればよいのであって、文書管理台帳を作れとは言っていません。

会社が文書管理台帳が必要であると判断した場合は作ったらよいし、要らないと判断した場合は、作る必要はありません。

文書管理台帳を作ると、「記録」になります。

記録になると管理をしなければなりません。管理する文書が増えます。

要らない文書は作る必要は無いのです。必要な文書だけ作るようにしましょう。

責任と権限の考え方

ISO9001実践例　責任と権限

責任とは、立場上当然負わなければならない任務や義務で、責任を持って実行を行う人、部門や工程業務で責任を持つ人。


権限とは、個人がその立場でもつ権利・権力の範囲で、決定をしなければならない業務において、決定を行う人（承認する人）、指示を行う人。

5.5.1では、それぞれの業務に対して、誰が責任を持ち、誰が権限があるか、周知しましょうとあります。

困った時はこの人に聞け、困った時はこの人に指示をもらうと考えれば、判りやすくなります。

OJTでの教育訓練記録の付け方

ISO9001実践例　OJTでの教育訓練記録の付け方

ＯＦＦＪＴでの教育・訓練の記録は、付けやすいのですが、ＯＪＴでの教育訓練記録の付け方が良く判らないとか付けられないとか。

ＯＪＴでの教育・訓練の記録も、当然付けなければなりません。

どのように付けるかは、それぞれの工程業務や部門の在り方によって変わります。

しかし、どの会社でもあるのは、人事考課。

どの会社でも、サラリーや報酬を決める基準になっていると思います。

人事考課の判断には当然ＯＦＦＪＴで教育や訓練を行った結果、習得しているスキルを判断材料としているのではないでしょうか？

そのスキルが上がった結果、ローテーションに入れてみたり、班長にしたり、主任にしたり、課長にしたり、部長にしたり。

評価を行う為に基になる材料は色々とあります。

例として、人員が入った→Ａ班長のもとで作業を行う→Ａ班長と部長が作業の内容を確認→出来る仕事の範囲を広める。

日報や生産高報告書等の備考に書けば、十分記録です。

後は検索しやすい、見やすい等の記録の特性に合うように、教育訓練記録を別で作るか、人事考課票に記入するか、そのまま日報等の書類を記録として扱うか。それは会社が決める事です。

そう考えると、ＯＪＴの記録も取れます。

ＯＪＴだから記録がないでは、不適合になります。

顧客満足のはかりかた

ISO9001実践例　顧客満足のはかりかた

顧客満足のはかり方を、うまく運用すれば、会社の今後の方向付や商品開発にも役に立ちます。

顧客満足をはかる上で、よくアンケートや、評価点数方式を取って、顧客の９０％は満足してますとか、ほぼ１００％満足してます。

この結果、良かった良かった。と言う事になってませんか？

顧客からすると、めんどくさいから、適当に回答しようと言うこともあり得ます。

良いにしておけば、いいだろう。悪いだと後から色々聞かれるのも面倒だし。

こういう事も考えられます。

何より、結果を見て良かった良かったでは、なんの為にそんなアンケートや評価点数するのか？？

自己満足の為？ＩＳＯの規格で求められているから仕方なく？

これでは意味がありません。

顧客満足をはかるのは、提供した製品やサービスが仕様を守った。これが顧客の立場に立って見て時に、顧客にとって適切であったか？それをどのように顧客からくみ上げるかです。

この、顧客からくみ上げるシステムをどのようにしていますか？がＩＳＯの規格が求めている事です。

社内の検査では合格でも、顧客からすると、不満足と言う事もあります。

使えない事は無いが、イマイチの仕上り。まあ、今回はこれでいいか。

それが何度も続くと、顧客の不満は、何でもない不良でも大爆発します。

納めた製品やサービスに対して、顧客はどう思っているのか？

今回の製品から、新しい方向性や可能性等も引き出せる可能性があります。

そうなると、顧客とのコミュニケーションが重要になってきます。

顧客とのコミュニケーションの中で、顧客満足をはかる。

大きな不満も小さな不満も逃さない。そんなシステムを作るのは、顧客とのコミュニケーションしかありません。

それは、御用聞きの営業ではなく、会話が出来る営業。

如何に顧客の意図を汲み出す事の出来る営業が必要になってきます。

8.2.1の顧客満足は特に規程を定めたり、記録を取るようにいっていません。

しかし、経営を行う上で一番重要になってくるポイントです。

沢山の顧客を回るのも大事かもしれませんが、御用聞きになっているようでは、顧客満足をはかれる営業とは言えません。

また、顧客から汲み出した情報を、会社がどう取り組むかの仕組みも必要になります。

経営戦略、営業戦略を組み立てる重要な情報です。

顧客からの情報をフィードバックして、それをレビュー出来るシステムがあるか。

営業部門の経営改善の一つです。

何故、売り上げが伸びないのか、何故、お客が増えないのか、何故注文が減っているのか、何故注文が増えているのか。

体育会系のノリで売り上げが上げれる企業は少なくなってきています。

顧客の声を汲み出しましょう。

売上を伸ばすヒントはそこにあります。

ＩＳＯが経営改善のためのツールと言われるのは、この為でもあります。

下手な経営コンサルよりも役に立ちます。

ＩＳＯのコンサルタントでそこまで踏み込んで、話をする人も少なく、理解している人がどれだけいるか。

ＩＳＯ9001をうまく会社に取り込みましょう。

3.4.2.6 利用に関する処置

組織（会社）は、特定した利用目的を超えて、個人情報を利用しなければなりません。

特定した利用目的を超えて個人情報を利用する場合は、3.4.2.4の本人から直接書面によって取得する場合の処置であげた①～⑥までの事項（以下の事項）か、この内容よりもより詳しい内容の事項を該当者に通知を行い、該当者の同意を得る必要があります。
①組織（会社）の氏名か名称
②個人情報保護管理者の氏名か役職名、会社での所属先と連絡先
③個人情報の利用目的
④個人情報を第三者に提供する場合は次の項目
　1)提供目的
　2)提供する個人情報の項目
　3)提供する手段か方法
　4)提供を受ける人や組織の業種と提供元との関係
　5)提供元と提供先で個人情報の取り扱い契約がある場合はその契約の事
⑤個人情報を外部に委託を行う事がある場合は、その事
⑥開示対象個人情報の利用目的の通知・開示対象個人情報の開示・開示対象個人情報の訂正、追加又は削除・開示対象個人情報の利用又は提供の拒否権に該当する場合があれば、その要求に対して応じる事と問い合わせ窓口

ただし適用除外事項として以下の項目があります。
(1)法律・命令・条例・規則・裁判所の規則等に基づく場合。
(2)生命や身体、財産を保護する必要があり、該当者の同意を得る事が難しい場合。
(3)公衆衛生の向上の為や、子どもの健全な育成推進のために必要があり、該当者の同意を得る事が難しい場合。
(4)国の機関や地方公共団体、又は、国の機関や地方公共団体から委託を受けた業者や人が、法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、該当者の同意や了承を得る事によって、業務を行う事のさしさわりが発生する事が予想される場合。

3.4.2.5 個人情報を直接書面で取得しなかった場合の措置

組織（会社）は、個人情報を書面以外の方法で取得した場合、事前に利用目的を公表していない時は、早急に、取得した個人情報の利用目的を、該当者に通知するか、公表しなければならない。
適用除外項目として、以下の事項に該当する場合は、通知又は公表を行わなくてよい。

①利用目的を通知したり、公表する事で、該当者やその他第三者の生命、身体、財産、その他の権利権益が阻害される事が想定される場合。
②利用目的を通知したり、公表する事で、組織（会社）の権利や利益が阻害される事が想定される場合。
③国の機関や地方公共団体が法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、利用目的を該当者に通知したり公表する事によって、業務を行う事のさしさわりが発生する事が予想される場合
④個人情報の取得の状況から、利用目的が明確であると判断できる場合。

3.4.2.4 本人から直接書面によって取得する場合の処置

組織（会社）は、個人情報を取得する本人から、書面で個人情報を直接取得する時は、
①組織（会社）の氏名か名称
②個人情報保護管理者の氏名か役職名、会社での所属先と連絡先
③個人情報の利用目的
④個人情報を第三者に提供する場合は次の項目
　1)提供目的
　2)提供する個人情報の項目
　3)提供する手段か方法
　4)提供を受ける人や組織の業種と提供元との関係
　5)提供元と提供先で個人情報の取り扱い契約がある場合はその契約の事
⑤個人情報を外部に委託を行う事がある場合は、その事
⑥開示対象個人情報の利用目的の通知・開示対象個人情報の開示・開示対象個人情報の訂正、追加又は削除・開示対象個人情報の利用又は提供の拒否権に該当する場合があれば、その要求に対して応じる事と問い合わせ窓口
⑦該当者が、個人情報を提供する事の自由意志と、情報を提供しなかった場合に起きる予想結果
⑧簡単に認識できない方法で個人情報を取得する場合はその事

以上の事項か、この①～⑧以上の内容の事項を、個人情報を取得する前に、書面によって該当者に明示して、該当者の同意を得なければなりませんが、適用除外事項があります。
適用除外事項は
(1)生命、身体、財産等の保護を緊急で行わなければならない場合。
(2)利用目的を通知したり、公表する事で、該当者やその他第三者の生命、身体、財産、その他の権利権益が阻害される事が想定される場合。
(3)利用目的を通知したり、公表する事で、組織（会社）の権利や利益が阻害される事が想定される場合。
(4)国の機関や地方公共団体が法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、利用目的を該当者に通知したり公表する事によって、業務を行う事のさしさわりが発生する事が予想される場合
(5)個人情報の取得の状況から、利用目的が明確であると判断できる場合。
(6)法律・命令・条例・規則・裁判所の規則等に基づく場合。
(7)生命や身体、財産を保護する必要があり、該当者の同意を得る事が難しい場合。
(8)公衆衛生の向上の為や、子どもの健全な育成推進のために必要があり、該当者の同意を得る事が難しい場合。
(9)国の機関や地方公共団体、又は、国の機関や地方公共団体から委託を受けた業者や人が、法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、該当者の同意や了承を得る事によって、業務を行う事のさしさわりが発生する事が予想される場合。

(1)~(9)のどれかに該当する場合は、適用除外とする事が出来ます。

3.4.2.3 特定の機微な個人情報の取得、利用及び提供の制限

会社（組織）は、センシティブな個人情報（機微な個人情報）の取得や利用、提供をしてはいけません。

ただし、全てがダメだと言う事ではなく適用除外事項があります。

①個人情報を取得される対象の本人が、書面などで明らかに同意している場合。

②法律・命令・条例・規則・裁判所の規則等に基づく場合。

③生命や身体、財産を保護する必要があり、該当者の同意を得る事が難しい場合。

③公衆衛生の向上の為や、子どもの健全な育成推進のために必要があり、該当者の同意を得る事が難しい場合。

④国の機関や地方公共団体、又は、国の機関や地方公共団体から委託を受けた業者や人が、法律・命令・条例・規則・裁判所の規則等が定める業務を行う事に対して協力する場合、該当者の同意や了承を得る事によって、業務を行う事のさしさわりが発生する事が予想される場合。

（センシティブな個人情報、機微な個人情報とは、該当者にとって知られたくない情報になります。）

3.4.2.2 適正な取得

会社（組織）は、法秩序にのっとり、なお且つ、公平であり誤りが無い方法により、個人情報を取得しなければなりません。

（違法な手段や、だましたり、判りにくかったり、子どもを使って聞き出すような事をして、個人情報は取得してはダメですよ。）

プロセスの監視

ISO9001実践例　プロセスの監視

プロセスの監視は、日常における点検作業です。

それぞれの工程業務で、仕事に対して、予定通りに進んでいるか、予定通りの結果を出しているか等を日常の点検で確認します。その確認方法を適用します。

数値で判定が可能であれば、数値の管理を行います。数値の管理は、油圧計や温度計、湿度計、濃度計等、目視でも数値を読む場合でも、構いません。

仕事の結果、予定通りになるか判定します。

もしうまく仕事が運ばない場合や、予定通りに運ばない場合、問題がある場合は、修正や対策案を立てましょう。

日常のチェックや作業の点検の事を言っているだけで、難しい事ではないです。

品質目標具体例

ISO9001実践例　品質目標 具体例

品質目標を設定する際は、品質方針に沿って設定します。

品質方針→部門品質目標→部署品質目標→工程業務品質目標→個人品質目標です。

上位の品質目標を受けて、自分たちの品質目標を設定します。

品質目標は、必ずしも、全部署、個人で作る必要はありません。

品質方針が曖昧な品質方針だと、品質目標の設定に苦慮するかもしれません。

品質目標設定は、社長が興味がある事、会社の重要なテーマで設定します。

例えば、売上高、生産高、不良率、不良原因、社員教育、コンプライアンス、返品率、６Ｓ・５Ｓ・４Ｓの成果等。

その会社、その部門、その部署、その工程業務でそれぞれ重要なテーマ、社長が知りたい事を設定します。

社長が知りたい事や、会社の重要なテーマで品質目標を設定したら、次はそれをどうやって達成度合いを判断する方法を考えます。

数値が一番判定が容易ですが、数値で無くてもかまいません。

判定可能であれば構いません。

3.4.2.1 利用目的の特定

組織（会社）は、個人情報を取得する場合、個人情報の利用目的を出来るだけ特定して、利用する目的の範囲内において、個人情報の取得を行わなければなりません。

個人情報を何の為に使うか明らかにして、明らかになった利用目的以上の個人情報を取得するのはダメですよ。

3.4.1 運用手順（運用ルール）

会社（組織）は個人情報の仕組みを、決めたルールの通りに動かす為に、運用のためのルールを明確にします。

3.3.7 緊急事態への準備

会社（組織）は、緊急事態の度合いや重要度の特定の為の手順、対応の手順のルールを作り、ルール通りに実施し、運用し、状況に変化があれば、改訂を行います。

会社（組織）は、個人情報の漏洩や消失、毀損が起こってしまった事を想定し、その際に起きる経済的損失、信用失墜、本人への影響等を想定します。
起こり得る影響を、最小限にとどめるための手順のルールを決め、運用し状況の変化に応じて改訂を行います。

個人情報の漏洩や消失、毀損が起きてしまった場合に備え、対応する手順のルールを決め、運用し状況に変化があれば、改訂を行います。
このルールを決める際には、以下の事項を含めます。
①漏洩、消失、毀損等が起きてしまった個人情報の内容を該当者に速やかに通知するか、該当者が容易に知る事のできるような処置を取る事。
②二次被害、三次被害等の防止や類似の事件の発生を回避する為に、漏洩、焼失、毀損等の事実関係や発生原因、対応策等を遅れる事無く公表する事。
③漏洩、消失、毀損等の事実関係や発生原因、対応策を関係機関にすぐに報告を行う事。

3.3.6 計画書

会社（組織）は、個人情報保護の仕組みを、決められた通りに仕組みを動かす為に、全従業者に対する必要な教育計画、監査計画を立案します。

立案された教育計画や監査計画は、文書化して、運用し、状況に変化があれば、変更を行います。

教育計画には、年間カリキュラム、研修プログラム、研修講座名、開催予定日時、場所、講師、受講者、研修内容、テキスト、予算等です。

監査計画には、監査範囲、監査目的、監査対象、監査項目、手順、予定日、監査員、予算等です。

3.3.5 内部規程

会社（組織）は、内部規程を作成し、文書化し、状況に合わせて変更します。

作る規程は、
①個人情報を特定する手順
②法令、国の定める指針、その他の規範の特定・参照・維持
③リスクの認識・分析・対策の手順
④会社の各部門、各階層における責任と権限
⑤緊急事態に対する準備と対応
⑥取得、利用、提供
⑦適正管理
⑧開示要求への対応
⑨教育
⑩文書管理
⑪苦情・相談への対応
⑫点検
⑬是正処置
⑭予防処置
⑮マネージメントレビュー
⑯罰則

会社（組織）は、会社の事業内容が変化した場合には、事業内容の変化に対応するように個人情報保護の仕組みを改訂し、運用されるように内部規程を改訂しなければなりません。

必要書類一覧

ISO9001実践例　必要書類一覧

ISO9001で必要とされる書類は
・品質方針
・品質目標
・品質マニュアル
規程類
・文書管理（4.2.3）
文書の管理を行う為のルールを決めた規定。通称「文書管理規程」

・記録の管理（4.2.4）
記録の管理を行う為のルールを決めた規程。通称「記録管理規程」

・内部監査（8.2.2）
内部監査を行う為のルールを決めた規定。通称「内部監査規程」

・不適合製品の管理（8.3）
不良品に関するルールを決めた規定。通称「不適合製品管理規程」

・是正処置（8.5.2）
是正処置を行う為のルールを決めた規定。通称「是正処置規定」

・予防処置（8.5.3）
予防処置を行う為のルールを決めた規定。通称「予防処置規程」

記録類
・マネジメントレビューの結果の記録（5.6.1）
・力量、教育・訓練及び認識（6.2.2　e)
・製品実現の計画（7.1　d）
・製品に関連する要求事項のレビュー（7.2.2）
・設計・開発へのインプット（7.3.2）
・設計・開発のレビュー（7.3.4）
・設計・開発の検証（7.3.5）
・設計・開発の妥当性確認（7.3.6）
・設計・開発の変更管理（7.3.7）
・購買プロセス（7.4.1）
・製造及びサービス提供に関するプロセスの妥当性確認（7.5.2　ｄ）
・識別及びトレーサビリティ（7.5.3）
・顧客の所有物（7.5.4）
・監視機器及び測定機器の管理―校正又は検証に用いた基準（7.6）
・監視機器及び測定機器の管理―異常が発生し場合の記録（7.6）
・監視機器及び測定機器の管理―校正及び検証の結果（7.6）
・内部監査（8.2.2）
（・内部監査年間計画書）
（・内部監査進捗管理表）
（・内部監査計画書）
（・内部監査報告書）
（・是正処置要求書）
（・観察事項報告書（予防処置））
・製品の監視及び測定（8.2.4）
・不適合製品の管理（8.3）
・是正処置（8.5.2）
・予防処置（8.5.3）

この他に会社が必要とする規程・手順書・記録等です。

インプットを明確にするとは

ISO9001実践例　インプットを明確にするとは

7.3.2　設計・開発のインプットで出てくる、インプットを明確にするは、英文の原文ではdeterminedが使われていますので、明確＝決定するとなり、インプット情報を決定すると言う事になります。

明確にする方法としては、一覧表化やリスト化し明確にします（決定します）。

明確にしたものは記録として残します。

3.3.4 資源、役割、責任及び権限

会社（組織）の代表者は、個人情報保護の仕組みを決め、決めた通りに仕組みを動かし、状況の変化に合わせて、仕組みを改めていきます。

その為に必要な資源の用意を行います。

会社（組織）の代表者は、個人情報保護の仕組みを、効果的に決めた通りに仕組みを動かす為に、個人情報に対する役割や、責任、権限を決めます。

決めた事は、文書化し全ての従業者に周知を行います。

会社（組織）の代表者は、会社の内部から、JIS Q 15001の規格を理解して、実行出来る人を個人情報保護管理者を指名します。

個人情報保護責任者には、個人情報保護の仕組みを決めた通りに動かし、運用に関わる責任と権限を、会社で持っている他の仕事の責任とは別に与えて、個人情報保護に関する業務を行わせます。

個人情報保護管理者は、個人情報保護の仕組みの見直しや改善を行う為に、会社（組織）の代表者に個人情報保護の仕組みの運用状況の報告を行います。


（社長は、社内の取締役の中から、個人情報保護の仕組みを動かす為に、個人情報保護責任者を任命します。

任命された個人情報保護責任者には、会社での現在の職務に関する責任とは別として、個人情報保護の仕組みに関する責任を与えて、個人情報保護の業務を行わせます。

責任を与えて、個人情報保護責任者に、個人情報保護の業務を代行させるので、個人情報保護責任者は、社長に、個人情報保護の仕組みの運用状況を報告します。社長はその報告をもとに、見直しや改善をします。）

3.3.3 リスクなどの認識、分析及び対策

会社（組織）は、特定した個人情報を利用の目的以外に使わないようにするために、対策を立てる必要があります。

立てる対策については、ルールを決め、運用し、状況などの変化に応じて、改訂します。

特定した個人情報のライフサイクルの各過程でのリスクを理解し、評価を行い、対策を立てます。

これらのことを、ルールを決め、運用し、状況などの変化に応じて、改訂します。

個人情報のライフサイクルとは、取得、授受（移動、輸送、送信）、利用・加工、保管、廃棄の各場面になります。

まず、各ライフサイクルにおいて個人情報のリスク（損失の危険性）を洗い出しを行います。

顕在化したリスクに対して、評価をします。

評価のレベルにより、相応な対策を立てます。

対策を実行します。

実行した対策の結果、残るリスクが残存リスクになります。

リスクは、全く無くなる事はありませんので、どうしても残存リスクが生じます。

3.3.2 法令、国が定める指針その他の規範

会社（組織）は、個人情報に関する法令や、指針、規範を明らかにして、明らかにしたものを常に参照出来るルールを作り、運用し、状況の変化があった時は、変更しましょう。

個人情報保護マネジメント、ＩＳＯ15001は情報セキュリティでありつつ、会社（組織）のコンプライアンスにも適用できます。

押さえるところは、

個人情報保護に関する法律

内閣府の個人情報保護方針

監督省庁の個人情報保護方針

経済産業省の個人情報保護に関するガイドライン

会社の所在地や支店・営業所がある所在地の、県、市町村等の地方自治体の個人情報保護方針

ＪＩＰＤＥＣの個人情報保護に関するガイドライン

認定個人情報保護団体の個人情報保護方針

業界団体の個人情報保護方針や個人情報保護ガイドライン

これらが該当します。

3.2個人情報保護方針

3.2個人情報保護方針

組織の社長や経営陣は、会社の個人情報保護の理念を明確にします。

明確にした上で、個人情報保護方針を定めます。

個人情報保護方針は、個人情報保護に対する会社の基本的なルールです。

決めたルールを実行し、状況に合わせて、ルールを変更していきます。

個人情報保護方針には以下の事項を定める必要があります。
①組織の事業内容や規模を考え合わせて、個人情報の取得に関する事
②利用に関する事
③提供に関する事
④目的外利用に関する事
⑤個人情報に関する法令、指針、規範を守る事。
⑥個人情報の漏洩に関する防止策と是正処置に関する事
⑦個人情報の消失に関する防止策と是正処置に関する事
⑧個人情報の毀損に関する防止策と是正処置に関する事
⑨個人情報に関する苦情・相談に対する対応に関する事
⑩個人情報保護に関する決めたルールを常に見直して改良する事
⑪会社の代表者の氏名を明示する事

組織の代表者は、決めた会社の方針（ルール）を媒体を限らず、文書化して、組織で働く人すべてに、周知を行います。

また、一般の人や取引先の人が個人情報保護方針を手に入れる事が出来るようにしておきます。