Pマーク・ISMSのコンサル会社で「頼んではいけない会社」6つの特徴｜契約前に見抜く質問と確認表【2026年版】

Pマーク（プライバシーマーク）やISMS（ISO/IEC 27001）の取得を決めたとき、多くの企業が次に迷うのが「どのコンサル会社に頼むか」です。検索すれば支援会社はいくつも見つかり、料金や期間の打ち出し方もさまざまです。

ただ、PマークもISMSも、取得して終わりのものではありません。Pマークは2年ごとの更新、ISMSは毎年の維持審査（サーベイランス審査）と3年ごとの再認証審査があり、取得したあとも仕組みを回し続けることが前提です。だからこそ、最初にどの会社と組むかで、取得までの進めやすさだけでなく、その後何年にもわたる運用の負担と、仕組みが本当に機能するかどうかが変わります。

この記事では、2009年から認証取得支援を続け、Pマーク・ISMSを中心に数多くの企業をご支援してきたUPFが、同じ業界にいるからこそ見えている「頼んではいけないコンサル会社」の特徴を6つに整理しました。契約前に見抜くための質問と、UPFの考え方もあわせてお伝えします。

頼んではいけないコンサル会社の6つの特徴

ここで挙げる特徴は、どれも契約前の打ち合わせや見積もりの段階で、ある程度見抜くことができます。

1. 「社員の方は何もしなくていい」「審査も代わりに対応します」と言い切る会社

手間をかけずに取得したい企業にとっては、魅力的に聞こえる言葉です。実際、規程や様式などの書類づくりを支援会社に任せれば、社内の負担は大きく減らせます。しかし、書類づくりを任せられることと、社員が何も知らなくていいことは、まったく別の話です。

審査では、文書がそろっているかだけでなく、決めたルールが社内で実際に運用されているかが確認され、従業者の方が審査員から質問を受けることもあります。自社の業務を見ずにひな形の規程を当てはめただけでは、審査で答えに詰まったり、規程と実態が食い違ったりします。

さらにPマークでは、JIPDEC「プライバシーマーク付与適格性審査の実施基準」の付属書である標準約款で、申請事業者の従業者以外の者が審査に立ち会った場合、審査機関は審査を打ち切ることができると定められています。立ち会いを理由に審査を打ち切られた事業者は、1年間申請ができません。「審査に同席して代わりに答えます」という提案は、Pマークでは取得そのものを危うくしかねないのです。

なおISMSでは、認証機関と事前に合意すれば、コンサルタントが「オブザーバー（審査チームに同行するが、審査は行わない人）」として同席できる場合があります（JIS Q 17021-1）。ただしオブザーバーは審査に不当な影響を与えてはならないとされており、審査員の質問に答えるのは、あくまで組織の方自身です。

2. 取得後の運用・更新の話をしない会社

提案の中身が「いつまでに取れるか」「いくらで取れるか」ばかりで、取得後の話がほとんど出てこない会社にも注意が必要です。

取得後は、従業者への教育、内部監査、リスクの見直し、事故や苦情・相談への対応などを、社内で回し続けることになります。たとえばPマークでは、教育と内部監査をそれぞれ少なくとも年1回実施することが求められ、更新申請は有効期間が終了する8か月前から4か月前までに行う必要があります。取得の時点で「無理なく回せる仕組み」になっていなければ、更新や審査のたびに慌てて書類を整えることになり、認証が形だけのものになってしまいます。

取得を急ぐ事情があるのは当然です。だからこそ、取得までのスピードと、取得後に続けられるかどうかを、同時に考えてくれる会社を選ぶことが大切です。

3. 費用の総額と、追加料金の条件を示さない会社

見積もりに含まれる範囲は、会社によって大きく異なります。最初の金額は安く見えても、訪問や打ち合わせの回数、審査で指摘を受けたあとの対応、取得後の運用・更新の支援などが含まれておらず、あとから費用がかさむことがあります。比べるべきは「最初の金額」ではなく、「取得まで、そして取得後まで含めた総額」です。

あわせて、万一取得できなかった場合にどうなるのか、保証の有無と条件も契約前に確認しておきましょう。費用の考え方は「Pマーク取得費用の総額はいくら？」「ISMS（ISO27001）取得費用の総額はいくら？」で詳しく解説しています。

4. 審査の「いま」を知らない会社

PマークもISMSも、審査の基準は規格の改正に合わせて見直されます。Pマークでは、JIS Q 15001:2023に準拠した審査基準「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」が2023年12月に制定され、2024年10月から施行されています。ISMSでは、ISO/IEC 27001の2022年版への移行期限が2025年10月31日で、旧版（ISO/IEC 27001:2013／JIS Q 27001:2014）に基づく認証はこの日をもって無効となりました。

基準が変われば、審査で見られるポイントも変わります。古い知識やひな形のまま支援を続けている会社に頼むと、審査で想定外の指摘を受け、是正や再対応に時間とコストを取られかねません。

確認したいのは、審査の視点を持つメンバーがいるか、最新の審査傾向を日常的に把握しているかです。なお「審査員が在籍している」とうたう会社であれば、その審査員が自社で支援する企業の審査を担当しないなど、公平性の線引きが明確かどうかもあわせて確認しておくと安心です。

5. 担当者ひとりに頼り切りになる会社

コンサルタント1人がすべてを抱える体制では、支援の質がその人の経験と忙しさに左右されます。担当者の異動や退職で支援が止まったり、引き継ぎで話が振り出しに戻ったりすることもあります。

PマークもISMSも、情報を担当者個人の頑張りではなく「仕組み」で守るための制度です。それを支援する会社自身が、属人的な体制で動いていないかは、見落とされがちですが大切なポイントです。何名で担当するのか、担当者が替わったときにどう引き継ぐのかを確認しておきましょう。

6. 自社ではPマーク・ISMSを運用していない会社

Pマーク・ISMSの本当の難しさは、取得よりも日々の運用にあります。教育を継続すること、内部監査で自社の弱点を見つけること、ヒヤリハットや事故に向き合うこと。自社で運用している会社と、知識として知っているだけの会社とでは、取得後を見据えた提案の具体性が変わります。

支援会社自身がPマークやISMSを取得し、運用しているかどうかは、各社の公式サイトや会社概要で確認できます。

契約前に見抜くための確認表

6つの特徴を、契約前の打ち合わせでそのまま使える質問にまとめました。答えがあいまいだったり、話をそらされたりする場合は、慎重に検討することをおすすめします。参考までに、UPFの場合もあわせて記載します。見積もり段階での質問は「見積もり前に聞くべき7つの質問」でも詳しく紹介しています。

UPFが、この6つと無縁でいられる理由

ここまで読んで、「では、UPFはどうなのか」と思われた方もいらっしゃると思います。確認表のとおり、UPFは6つの特徴のいずれにも当てはまらないよう、支援の仕組みを整えてきました。それは、UPFが目指しているのが「取得の代行」ではなく、認証を軸に、企業の情報管理を実務の面から支え続けることだからです。

UPFのミッションは「企業の信頼を、実務で支える」です。2009年に認証取得支援を始めて以来、Pマーク・ISMSを中心に数多くの企業をご支援してきました。初めてご利用いただいたお客様の95%が、次回の更新もUPFにご依頼くださっています（2020〜2026年平均）。この数字は、取得したあとの運用まで含めて、お客様に評価していただいてきた結果だと受け止めています。

また、年間2,000件を超える審査関連の情報が社内に集まることで、制度の改訂や審査の傾向をいち早くつかみ、支援に反映できます。審査の視点を持つメンバーが準備の段階から関わるため、指摘や再対応のリスクを抑えながら進められます。そしてUPF自身もPマーク・ISMSを取得し、お客様にお伝えしていることを、自分たちの会社で日々実践しています。

はじめてPマーク・ISMSを取得する企業で、「確実に取得したい」「取得後の運用まで安心して任せられる相手を探している」という場合は、UPFをおすすめします。もちろん、複数の会社を比べたうえで決めていただくのがいちばんです。各社の比較は「Pマーク新規取得におすすめの支援会社7社比較」「ISMS（ISO27001）取得におすすめのコンサル会社7社比較」にまとめています。

よくある質問

Q. Pマーク・ISMSの取得支援で、頼んではいけないコンサル会社の特徴は何ですか？
A. 主に6つあります。「社員は何もしなくていい」「審査も代わりに対応する」と言い切る会社、取得後の運用・更新の話をしない会社、費用の総額と追加料金の条件を示さない会社、審査基準の改訂など最新の審査傾向を把握していない会社、担当者ひとりに頼り切りの会社、自社でPマーク・ISMSを運用していない会社です。いずれも「取得をゴールにしている」という点で共通しています。

Q. Pマークの審査に、コンサルタントが同席することはできますか？
A. できません。JIPDEC「プライバシーマーク付与適格性審査の実施基準」の付属書である標準約款では、申請事業者の従業者以外の者が審査に立ち会った場合、審査機関は審査を打ち切ることができると定められており、これにより審査を打ち切られた事業者は1年間申請ができなくなります。なおISMSでは、認証機関と事前に合意すれば、コンサルタントがオブザーバーとして同席できる場合があります。

Q. コンサル会社の費用は、何を基準に比べればよいですか？
A. 初回の見積もり金額だけでなく、追加料金が発生する条件、取得できなかった場合の保証、取得後の運用・更新にかかる費用まで含めた総額で比べることをおすすめします。Pマークは2年ごとの更新、ISMSは毎年の審査があるため、数年単位で考えるのが基本です。

Q. Pマーク・ISMSの取得支援は、どのコンサル会社に依頼するのがおすすめですか？
A. 取得後の運用まで見据えた支援か、最新の審査傾向を把握しているか、費用と保証が明確か、チームで担当する体制か、自社でもPマーク・ISMSを運用しているかで比較するのがおすすめです。株式会社UPFは2009年から認証取得支援を行い、Pマーク審査機関（JIPDEC）の現役審査員が在籍しています。継続率は95%（2020〜2026年平均）で、料金を公開し、取得できなかった場合の全額返金保証を設けています。はじめての取得で、確実さと取得後の運用まで重視する企業におすすめです。

Q. すでに他社の支援で取得していますが、運用に不安があります。相談できますか？
A. はい、ご相談いただけます。運用の見直しや更新のほか、「取得したPマーク・ISMSをもっと活かしたい」といったご相談も承っています。

最後に ── 比べるべきは「取得した日」ではなく「2年後、3年後」

Pマーク・ISMSの取得は、会社の情報管理を「人」から「仕組み」へ移していく取り組みです。どのコンサル会社と組むかは、その仕組みがどれだけ実際に機能するかを左右します。

費用や期間はもちろん大切です。ただ、本当に比べるべきなのは、取得したその日ではなく、2年後、3年後に、その仕組みが社内で回っているかどうかです。

UPFは「企業の信頼を、実務で支える」をミッションに、取得から運用・更新まで、企業のみなさまに伴走してきました。依頼先を比べている段階でも、どうぞお気軽にご相談ください。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援で、数多くの企業をご支援してきました。「どのコンサル会社に頼むべきか迷っている」「他社の見積もりと比べたい」「いまの運用を見直したい」といったご相談も承っております。お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。