内部監査からISO27001審査員へ
「現役審査員に聞いて」転職を決めた理由

最初は自分の会社を外部の攻撃から守りたい、事故を防ぎたいという思いが動機でした。経験を重ねるうちに、もっといろいろな会社の状況を見てみたいと思うようになり、年齢を重ねてからは、業界や社会全体のレベルアップにつながる仕事をしたいと意識するようになりました。

率直に言うと、現場に近いセキュリティ担当者は、攻撃を受ければ夜も休日もなくなります。その経験を活かしながら、審査という一段高い立場から関わりたい。管理職として組織を見る道もありましたが、自分の適性を考えると、専門性を深められる審査員のほうが向いていると思いました。

内部監査5年目にキャリアを振り返り、審査員になるための条件を調べ直しました。主任審査員などのグレードに上がっていくには、JRCA（審査員の評価・登録機関）や認証機関に審査の実績を示す必要があります。内部監査の経験では、その実績にはつながりにくい。目指す先が審査員である以上、早く現場に立ったほうがいいと考え、転職を決めました。

内部監査も5年目になり、次のキャリアパスについて考えようと、パソコンで「ISO27001審査員」と検索しました。そこで出会ったのが、この「ISOジョブ」です。ISO27001のページで条件を確認すると、資格の面は問題なさそう、というのが最初の印象です。現役審査員のインタビュー記事もかなり読み込み、審査員の中にもレビュー担当のような役割があることや、グローバルなキャリアの方向性があることを知りました。

ただ、調べるほどに分からなくなったのが、審査員になった後、実際にどう働くのかです。1か月のうち審査が何日くらいあり、報告書の作成にどれくらいかかるのか。忙しい時期は家に帰れないほどなのか。どんな人が審査員として働いているのか。

企業の口コミサイトものぞいてみたものの、事務系の方の投稿が多く、審査員本人の声はほとんど見つかりません。SNSも同様で、発信している審査員はわずかでした。審査員として働く自分の姿をイメージしたくても、その材料がなかったんです。

公開されている情報では、この疑問は解消できない。それなら、実際の担当者に質問できる機会をつくったほうがいい。現役の方の話しぶりや雰囲気からも、何か気づきが得られるのではないかと考えました。まずキャリアトークセッションに申し込み、その後、調べる中でカジュアル面談もあると知って、両方に申し込みました。

キャリアトークセッションでは、1か月の大まかなスケジュール感を伺えたのがとても有益でしたね。出張が多いイメージがありましたが、リモートで対応できる業務もあることが分かりました。何より、実際に審査員をしている方の雰囲気や、どんな方が審査員になっているのかが分かったことが大きかったです。ネットではどうしても得られなかった情報でした。

セキュリティの仕事をしていたので、ISO27001のもとになった規格がBSIから発行されたことは知っていました。そのため審査員として働くならまずBSI、というイメージがずっとあった状態です。業界の大手なので、入社後の案件数も期待できる。加えて、キャリアトークセッションのように、知りたい情報に直接アクセスできる場が揃っていた。ISOジョブの記事で知ったグローバルなキャリアの方向性も、自分が大事にしている軸と重なることから、BSIに絞って考えることにしました。

ISO27001の条件を見て、資格は揃いそうだと思いました。ただ、内部監査をしていると、このくらいの資格を持っている人は周りにたくさんいます。審査員になるには、資格以外にも必要な能力がかなりあるはずなのに、それが何なのかがつかめませんでした。

「資格がなくても入社後に取れます」と書いてあると、話がうますぎる気がしてしまって（笑）。そんなに簡単なら、みんな審査員になっているはずだ。そんな疑問が、ずっと残っていました。

たとえば、お客様がISOの要求事項の一部に沿えていない場合に、審査員としてどう対応するか、といった質問です。抽象的な場面設定もあれば、具体的なシナリオもありました。

「このくらいは理解していますよね」という前提の質問が多く、求められるレベルは高いと感じました。ただ、そこで応募前の疑問の答えが見えた気がします。見られているのは、資格の有無より、実務の中でどう判断してきたか。だから資格は入社後の取得でも間に合うのだと、腑に落ちました。

「どんなルートで審査員を目指しているのか」「なぜ内部監査やコンサルタントではだめなのか」は聞かれるだろうと考え、想定される質問と回答を一通り用意しました。実際に、どちらも聞かれています。

私の場合は、内部監査では審査員としての実績が積めないこと、管理職として組織を見るより専門性を深めたいこと。この2つを軸に答えを整理しました。経歴の長さよりも、自分がどこを目指しているのかをはっきり言えることが求められているんだと思います。

実際にレポートをまとめるのは担当の先輩ですが、私も聞いた内容を自分なりにまとめてみて、先輩とどこが違うのかを確認しています。オンライントレーニングもかなりの数が揃っているので、残りの期間はそれを進めたり、資格のための勉強をしたりしています。

お客様先で行う審査は、朝から夕方までずっと集中して話を聞き続ける仕事でした。

実は、前職はリモートワークが多く、体力が落ちていると感じていたんです。セキュリティや監査の資格はひと通り持っていたので、内定から入社までは、知識は振り返る程度にとどめて体力づくりに時間を使いました。今振り返ると、準備しておいて本当によかったと思っています。

話には聞いていましたが、実際にバリバリ働いている姿を見て、本当に長く続けられる仕事なんだと実感しました。落ち着いていて人間的にもできた方ばかりで、ただ長く続けているのではなく、人として成長し続けているんだと感じました。私なんて50代でまだまだ若手です。

お客様先に行くと、必ずAIがどうなっているかという話になります。勉強の材料は社内にたくさんあるので、ずっと学び続けることになりそうです。それを続けてきた方たちが、レジェンドなんだと思います。

内部監査や監査法人で働いている方には、同じようなスキルや資格を持つ方が多いと思います。ただ、「急に出張が入るのは困る」と感じて、選択肢から外している方もいるのではないでしょうか。私自身、子どもが小さかった頃は、この仕事は難しいかもしれないと考えていました。

実際には、リモートで対応できる範囲も多く、最近はさらに広がってきています。働き方が具体的に見えれば、選択肢として考える方はもっと増えると思います。

まだスタートラインに立てるよう頑張っているところです。この仕事を目指す中で、甘いセキュリティのせいで大変な思いをする人が、少しでも減ればいいと考えるようになりました。

オブザーブでいろいろな方のお話を聞くことが、刺激にも勉強にもなっています。そこで得たものを、他のお客様にも還元していきたいです。

そのうえで、グローバルという軸はずっと持ち続けたいと思っています。将来、定年を迎えた後も、グローバルな案件を受けられる審査員になる。それが一つの道だと考えています。