2026.09.15

是正処置報告書の書き方｜不適合の原因と再発防止策まで記入例で確認

経営リスクナビ編集部

是正処置報告書は、監査・審査で指摘された不適合に対して、形式を埋めるだけでなく原因除去と再発防止まで説明できる形に整える必要があります。特にPマーク付与事業者では、JIPDEC「プライバシーマーク付与に関する規約」（2022年2月28日改定）第12条の「可及的速やかに」報告の要求も踏まえ、対外説明と社内記録の整合が崩れると運用負荷と説明コストが増えます。放置すると、原因→対策→有効性確認のつながりが弱いまま是正が未完了扱いになり、同型不適合の繰り返しや台帳追跡の不備として指摘されやすくなります。実務で最初に押さえるべきは用語と欄の役割整理です。前提整理から見ていきます。

是正処置報告書の前提整理
ISO9001とJISの要求事項
是正処置報告書の基本構成
不適合・原因・対策の書き方
効果確認と運用へのつなぎ方
是正処置報告書の記入例
よくある質問
是正処置報告書への対応で次にすべきこと

是正処置報告書の前提整理

是正処置と是正措置の使い分け

是正処置と是正措置は、実務上は「不適合に対して原因を除去し、再発を防ぐための対応」を指す点で同じ方向性の言葉として扱われます。ただし、どの規格・どの規程体系の用語に合わせるかで表記を揃えることが、監査・審査での説明容易性（文書体系の整合）に直結します。

表記を揃える実務基準

ISO9001などISO系の文書体系に合わせる場合は、規格用語に沿って「是正処置」に統一します。
行政・ガイドライン・規約等の文脈に合わせる場合は、相手方文書で使われる表現（例：是正措置）に寄せて混乱を減らします。
組織内の規程集・台帳・フォームで表記が混在すると検索性が落ちるため、文書管理ルールで正式用語を定義しておきます。

特にPマーク付与事業者で事故等（漏えい等に限らず、不正・不適正取得、目的外利用・提供、不正利用等を含む）が発生した場合は、「報告」や「是正」の扱いが規約に紐づくため、社内の報告書名称よりも対外説明で用いる用語の整合が重要になります（JIPDEC「プライバシーマーク付与に関する規約」2022年2月28日改定・第12条の「可及的速やかに」報告の要求など）。

修正・応急処置・再発防止の違い

修正・応急処置・再発防止は、対象（現象か原因か）と時間軸（即時か恒久か）が異なるため、是正処置報告書では欄ごとに意図を分けて書く必要があります。

区分	狙い	典型例（何をするか）	報告書での位置づけ
修正	発生した不適合そのものを直す	誤った記録の訂正、誤配布した資料の回収、誤設定の解除	「当面の対処」「暫定対応」として事実と結果を記録
応急処置	被害拡大・流出を止める	影響範囲の封じ込め、外部共有の停止、対象アカウントの一時無効化	「封じ込め」「影響範囲確認」の証跡を残す
再発防止（是正処置）	根本原因を除去し同じ問題を起こさない	手順の標準化、権限設計の変更、チェック工程の制度化	原因分析と対策の整合を示し、有効性確認まで実施

修正・応急処置・再発防止の線引き

情報セキュリティ領域では、対策の前提として「情報セキュリティポリシー」に基づき、組織的・体系的に守るべき脅威と守り方を定義します。この考え方自体が、場当たり的な応急処置から、仕組みとしての再発防止へ移るための土台になります（「情報セキュリティマネジメント」の概念）。

トラブル報告書との役割の違い

トラブル報告書（状況報告）と是正処置報告書は、どちらも重要ですが、到達点が違うため混同すると不適合が閉じません。トラブル報告書は初動の共有と判断材料の提供、是正処置報告書は原因除去と再発防止の証明に重心があります。

2種類の報告書を分ける観点

トラブル報告書は「いつ・どこで・何が起きたか」「暫定対応は何か」を、初期的な事実確認としてまとめます。
是正処置報告書は「なぜ起きたか（真因）」「何を変えたか（仕組みの変更）」「有効だったか（確認結果）」まで記録します。
「トラブル解決の技法は、トラブル防止の技法でもある」という発想で、初動情報を原因分析の入力として再利用できる形に整理します。

経営層・管理責任者が初動で必要な情報を受け取れるようにするには、レポートライン（報告経路）の設計が重要です。品質問題調査報告書（寺岡製作所の提言、2018年6月29日付・41〜42頁）でも、重大インシデントを把握するための適切なレポートライン構築と、現場との対話を通じた誠実な対応姿勢が提言されています。

ISO9001とJISの要求事項

ISO9001の是正処置の位置づけ

ISO9001では、是正処置は単なる「直し」ではなく、不適合の原因を除去して再発を防ぐプロセスとして運用されます。規格上も、是正処置は継続的改善の中核であり、不適合への対処と原因除去、有効性確認、記録保持を一連で扱うことが求められます。

形骸化しやすい落とし穴（実務での注意点）

不良品の手直し・再検査だけで終えると、原因除去（仕組みの変更）が残りやすいです。
「注意する」「周知徹底」で閉じると、後日同型の不適合が繰り返されやすいです。
過剰品質（オーバースペック）や過剰管理が現場疲弊を生み、検査不正の温床になることがあります（大手メーカーの品質検査不正の分析例）。

また、顧客と契約した品質基準を下回る品質で出荷する場合は顧客同意が必要であるにもかかわらず、現場判断で行われるリスクが指摘されています（特別採用、通称トクサイの悪用）。是正処置報告書では、個人のモラルではなく、基準設定・承認ルート・例外処理（特別採用）の統制まで踏み込んだ再設計として記録することが、審査対応上も説得力を持ちます。

PマークとJIS Q 15001の注意点

JIS Q 15001（Pマーク）では、個人情報（個人データを含む）に関する不適合の扱いが、社会的信用・対外説明と直結します。したがって、是正処置報告書は「原因と対策」だけでなく、報告・判断・記録のガバナンスを含めて設計されていることが重要です。

Pマーク付与事業者での必須視点

個人データの漏えい等を防ぐため、必要かつ適切な安全管理措置を講じる義務があるため（個人情報保護法20条、個人情報保護法第20条）、対策は運用論ではなく統制として記録します。
事故等が発生した場合、Pマーク付与事業者はJIPDEC等の関係審査機関に「可及的速やかに」報告が必要です（JIPDEC「プライバシーマーク付与に関する規約」2022年2月28日改定・第12条）。
規約上の「事故等」には漏えい等だけでなく、不正・不適正取得、目的外利用・提供、不正利用等も含まれるため、事案区分の誤認を防ぐ必要があります。

よくある再発防止として「メール送信前確認の徹底」が挙がりますが、オートコンプリート利用時の誤送信リスク、CC/BCCの取り違えなど、具体的な失敗モードまで落として、チェック項目やシステム制御（例：外部宛て制限）として残すと、審査での説明が容易になります。

ISO9001・JIS Q 15001・ISMSで異なる記録項目の線引き

3規格は共通する骨格（不適合の特定→原因分析→処置→有効性確認→記録）を持つ一方、対象リスクが異なるため、共通欄＋規格固有欄で台帳・様式を設計すると運用が安定します。

規格・制度	主対象	固有に残したい記録例	備考
ISO9001	品質	ロット/数量、工程、検査基準、特別採用（トクサイ）を含む例外処理の承認状況	過剰管理が不正誘発にならない設計も検討
JIS Q 15001（Pマーク）	個人情報	事故等区分、対象情報の種類、社内外報告（JIPDEC等）実施状況	事故等の範囲が漏えい等に限定されない点に注意
ISMS（JIS Q 27001）	情報セキュリティ	情報資産の特定、ログ確認結果、権限・アクセス制御の変更内容	JIS Q 27001:2014では附属書A.16にインシデント対応の記載があります

共通欄と規格固有欄の例

ISMSは「情報セキュリティマネジメントを効率的に行うための仕組み」であり、ポリシーに基づく体系運用が前提です。この前提があると、是正処置報告書の対策欄が「思いつき」ではなく、管理策（統制）として説明できるようになります。

是正処置報告書の基本構成

各欄の役割と記録の考え方

是正処置報告書は、監査・審査のための作文ではなく、再発防止を設計し、実装し、証明する記録です。各欄は独立ではなく、前後が因果でつながっている必要があります。

欄ごとの書き方の要点（論理のつなぎ方）

不適合（事実）欄は「基準（要求）と現実（逸脱）の差」を、推測なしで書きます。
暫定対応欄は封じ込めを中心に、いつ何を止めたか、影響範囲をどう確認したかを書きます。
原因分析欄は「なぜ」を止めず、手順・表示・権限・承認ルートなど管理要因まで掘り下げます。
是正処置欄は真因を直接除去する施策を、責任者・期限・改訂文書番号等とセットで書きます。
有効性確認欄は「何を指標に、いつ、どう確認したか」を書き、再発0だけでなく定着度も見ます。

「記載は正確かつ正直に」という原則（会計処理の文脈で示される基本姿勢）は、是正処置報告書でも同様で、事実を過不足なく書くことが後工程（原因分析・有効性確認）の品質を決めます。

承認フローと保存の設計

承認フローと保存設計は、是正処置の実効性（やり切り）と、説明責任（監査証跡）の両方に関わります。実務では「誰が承認するか」だけでなく、重大インシデントを見逃さない報告経路として機能しているかが問われます。

承認フロー設計の基本ステップ

起票者が不適合事実と暫定対応を記録し、一次証跡（ログ、写真、記録）を紐づけます。
部門長が原因分析の妥当性（個人要因で止まっていないか、再発防止が真因に刺さっているか）を確認します。
管理責任者（品質管理責任者、個人情報保護管理者、情報セキュリティ責任者等）が規程・規格適合の観点で承認します。
重大性が高い場合はトップマネジメントにエスカレーションし、水平展開やリソース投入を決裁します。

保存は、個人保管を避け、検索可能な共有基盤に一元化します。PマークやISMSでは、後から「どの時点で、誰が、何を承認したか」を示せないと説明困難になるため、決裁フロー自体の証跡（ワークフロー履歴等）も保存対象に含める考え方が有効です。

管理番号・発生日・完了日をどう振るか｜検索できる台帳設計の基準

管理番号・日付定義が曖昧だと、未完了案件の取りこぼしや、監査での追跡性低下につながります。台帳設計は「検索できる」だけでなく、監査手続上のポイント（追跡可能性）を満たすことが重要です。

台帳で最低限そろえる考え方

管理番号は一意になる採番とし、台帳の番号欄には通し番号を付与して欠番管理をしやすくします（債権者一覧表の番号欄に通し番号を振る運用と同様の発想）。
発生日は「不適合を発見した日／指摘を受けた日」のどちらかに定義を統一し、台帳の定義欄に明記します。
完了日は「是正処置の実施＋有効性確認＋最終承認」がそろった日と定義し、暫定対応完了日とは分けます。
属性項目は、規格（ISO9001／JIS Q 15001／ISMS等）、部門、原因分類、重大性、水平展開の要否など、検索に使うものを固定します。

「予材管理ダッシュボードで現状の行動を確認する」といった運用例のように、台帳は単なる保管ではなく、現状把握とフォローのための管理手段として設計すると、未完了の放置を防げます。

不適合・原因・対策の書き方

不適合を事実で特定する書き方

不適合は、推測や評価語を避け、基準と事実の差分として特定します。ここが曖昧だと、原因分析が「何の原因か分からない」状態になり、対策が刺さらなくなります。

不適合記述で入れる情報（例示）

基準（規程・手順・契約品質基準・チェックリスト等）の名称と該当箇所（版数や改訂日が管理されているならそれも）
逸脱した事実（何が、どの工程で、どの状態だったか）
影響範囲（対象ロット、対象システム、対象顧客、対象個人データの範囲など）
発見経路（内部監査、審査指摘、苦情、ログ検知など）と発見者・確認者

品質領域では、顧客と契約した品質基準と実際の出荷品質の差が問題の本体になる場合があります。特別採用（トクサイ）のような例外処理が絡む場合は、「顧客同意の有無」「承認ルートの有無」まで事実として切り出すと、後段の原因分析が進めやすくなります。

原因分析の進め方と記入例

原因分析は、個人の注意不足で止めず、仕組みとして再現する原因（再発する条件）を抽出します。分析は難解な手法よりも、「なぜ」を止めないこと、視点を広げて漏れを減らすことが実務上の肝になります。

原因分析の進め方（実務手順）

直接原因（何が起きたか）を1文で固定し、関係者間でブレない表現にします。
「なぜ」を繰り返し、手順・表示・権限・承認・教育・負荷（過剰管理）まで掘り下げます。
人・設備・材料・方法などの観点で要因を並べ、抜けを点検します。
真因候補ごとに、証拠（記録、ログ、現物、ヒアリング結果）で裏取りし、推測で確定しないようにします。

記入例として、検査不正のような事案では「現場の不正」を直接原因に据えるだけでは不十分で、過剰品質・過剰管理が納期や現場疲弊を生み、例外処理（トクサイ）が入り込む余地を残した、といった管理設計上の要因まで書けると、再発防止策が制度設計として具体化します。

是正処置と再発防止策の書き分け

是正処置（原因除去）と、流出防止・水平展開（再発防止の徹底策）を分けて書くと、審査で「対策が足りない」「効果確認が弱い」と言われにくくなります。

欄の意図	書く内容	例
是正処置（原因除去）	真因を直接つぶす設計変更	権限を管理者のみに限定、契約発行を必須チェック通過に連動、手順の標準化
流出防止	後工程・外部への流出を止める	検査強化、ログ監視、外部共有の自動検知、承認なし操作の遮断
水平展開・定着	他部門・類似工程にも効かせる	同種業務への手順改訂適用、教育実施、確認テスト、点検項目への組込み

対策欄の書き分け（例）

情報事故の再発防止では、メール誤送信対策として「送信前確認」だけでなく、オートコンプリートのリスクやCC/BCC誤りといった具体ポイントをチェック項目化することが挙げられています。こうした「失敗モード単位」の記述は、精神論からの脱却に有効です。

効果確認と運用へのつなぎ方

効果確認の指標と確認時期

効果確認は、対策を「やったか」ではなく、効いたかを判定する工程です。指標と確認時期を事前に決めないと、確認が後回しになり、審査で「有効性未確認」と指摘されやすくなります。

効果確認で使いやすい指標の例

不適合の再発の有無（ただし単独では完了判定にしない）
点検記録の達成状況（実施率、未実施理由の有無）
承認フロー逸脱の件数（承認なし操作・未承認変更の有無）
ログ監視での検知件数（外部共有、アクセス権逸脱など）

ISMSの文脈では、JIS Q 27001:2014の附属書A.16にインシデント対応の記載があるため、インシデント対応の仕組み（検知→対応→記録→学習）が回っていることを、ログや手順改訂履歴で示す設計にすると効果確認が実務化します。

内部監査と審査で見られる要点

内部監査・外部審査では、様式が埋まっていることよりも、原因→対策→有効性確認が論理でつながり、現場で運用されていることが確認されます。

指摘になりやすいポイント（監査手続上の観点）

原因分析が「注意不足」で止まり、管理要因（手順・権限・承認・負荷）に踏み込めていない。
改訂した手順書が現場で最新版として使われていない（版管理・配布管理の不備）。
教育を実施したと言いながら、教育記録や確認テスト結果が残っていない。
有効性確認の予定日が未設定、または確認結果の記録が欠落している。

重大インシデントを把握するレポートラインの構築と、報告された事項への誠実な対応姿勢が提言されている点（寺岡製作所の調査報告書・41〜42頁）は、監査で「経営層が是正処置をマネジメントしているか」を説明する材料にもなります。

再発0件だけで完了にしないための判定基準｜追加是正へ切り替える見極め

再発0件は重要な結果ですが、母数（作業機会）が少ないと偶然である可能性が残ります。完了判定は、再発の有無に加え、定着と統制の実効性を組み合わせて判断します。

完了判定に追加する観点

新手順が迂回されていないこと（現場巡回・ヒアリング・記録突合で確認）。
承認ルートが実運用で守られていること（ワークフロー履歴やログで確認）。
チェックリストが形骸化していないこと（未実施・形式チェックの兆候がないか）。

不適合がわずかでも再発した場合や、ルールの迂回が見つかった場合は、完了扱いにせず追加是正へ切り替えます。「トラブル解決の技法は、トラブル防止の技法でもある」という観点で、再発時は学習サイクルを回し直し、真因の再同定と対策の再設計を行います。

是正処置報告書の記入例

製造業の不良・検査漏れの記入例

製造現場の是正処置報告書では、「注意不足」で終わらせず、検査が抜ける条件が再現しない仕組みとして設計します。

記入例（製造：検査漏れ）

不適合（事実）：第2製造ラインで部品Aの寸法検査が実施されないまま後工程へ流出し、不良が50個発生した。
暫定対応：当日出荷分の対象ロットを保留し、検査実施状況をログと現物で突合して影響範囲を確定した。
原因分析：離席時の代行ルールが標準化されておらず、良否判定基準書が作業台に常備されていなかった（作業条件が検査抜けを誘発）。
是正処置：代行者指名手順を規程化し、治具がセットされないと次工程へ進めない防止機構を導入した。
再発防止（水平展開）：同様の検査工程を持つ他ラインにも手順改訂を適用し、教育と確認を実施した。
効果確認：対策導入後2ヶ月の検査ログを抽出し、検査スキップがゼロであることを確認した。

加えて、過剰管理が現場疲弊を生み不正の温床になる分析例があるため、検査基準や管理の重さが現場実態に対して過度になっていないか（オーバースペックになっていないか）も、原因分析の補助観点として有効です。

情報セキュリティの記入例

情報セキュリティでは、技術的制御（設定・権限）と運用統制（承認・記録）をセットにして、ISMSの仕組みとして再発防止を作ります。

記入例（情報セキュリティ：クラウド共有設定）

不適合（事実）：クラウドストレージの共有設定誤りにより、部外者がアクセス可能な状態が3日間継続した。
暫定対応：当該共有を停止し、アクセスログを確認して影響範囲（アクセスの有無・対象データ）を把握した。
原因分析：設定変更時のダブルチェック手順が規定されておらず、変更申請の決裁フローがシステム化されていなかった。
是正処置：外部共有設定の権限を管理者のみに制限し、変更時はセキュリティ責任者の承認を必須とする運用に改訂した。
効果確認：対策1ヶ月後にログを自動監査し、承認のない外部共有設定がゼロ件であることを確認した。

ISMSは、情報セキュリティポリシーに基づいて組織的・体系的に取り組む考え方であり、その認定基準は日本ではJIS Q 27001（ISO/IEC 27001）として規格化されています。また、JIS Q 27001:2014では附属書A.16にインシデント対応の記載があるため、是正処置報告書は「インシデント対応の仕組みが回った証跡」としても位置づけられます。

Pマークの手順不備の記入例

Pマークでは、個人情報保護管理者を中心とした統制が機能していることを、手順と記録で示します。契約・委託先管理の不備は繰り返しやすいため、手続きの断絶を埋める設計が重要です。

記入例（Pマーク：委託先評価の手順不備）

不適合（事実）：新規委託先との契約締結時に個人情報取扱事業者の評価手順がスキップされ、委託先管理台帳への記載が漏れていた。
原因分析：法務部門の契約手続きと個人情報保護管理者の確認手続きが独立しており、チェックリスト運用が義務化されていなかった。
是正処置：契約締結システムに個人情報評価の必須チェック欄を新設し、未評価の場合は契約書が発行できない仕組みに改訂した。
追加対応：未登録の委託先について遡及評価を実施し、台帳を更新した。
効果確認：次回内部監査で直近の全契約データを抽出し、台帳反映の漏れがないことを個人情報保護管理者が確認した。

事故等が発生した場合は、Pマーク付与事業者としてJIPDEC等への「可及的速やかに」の報告義務（規約2022年2月28日改定・第12条）も運用上の重要論点になるため、報告要否判断と実施記録の欄を用意しておくと、審査での説明が安定します。

よくある質問

是正処置報告書と是正措置報告書は表現が違っても問題ありませんか

文書名が「是正処置報告書」「是正措置報告書」と異なっていても、実務上は大きな問題になりにくいです。重要なのは名称ではなく、不適合の事実、原因分析、是正処置（原因除去）、有効性確認、記録が揃っていることです。

ただし、Pマーク付与事業者が事故等に関して対外報告を行う場面では、JIPDEC「プライバシーマーク付与に関する規約」（2022年2月28日改定）第12条に基づく報告など、相手方文書の用語・整理に合わせた方が説明が通りやすくなります。社内では検索性と台帳管理のために、規程集で正式用語を定義して統一することが望ましいです。

軽微な不適合でも毎回是正処置報告書を作成する必要がありますか

軽微な不適合のたびに、必ずしも個別の是正処置報告書を作成する必要はありません。現場の事務負担が過重になると、改善が形骸化しやすいためです。

起票の目安（運用設計の考え方）

単発で影響が限定的なら、不適合管理簿や点検表に事実・原因・簡易対策を記録して運用で回します。
同種の不適合が繰り返される、または重大インシデントの予兆なら、是正処置報告書として原因除去と有効性確認まで行います。
経営層が不測の事態を把握できるレポートラインを構築し確実に運用する、という観点（寺岡製作所の調査報告書の提言）は、起票基準の設計にも関係します。

重要なのは「軽微かどうか」より、再発させない仕組み（トラブル防止の技法）に落とし込めるかです。

ISO9001では予防処置が削除されたのに再発防止策は必要ですか

ISO9001:2015で「予防処置」という独立条項が削除されても、再発防止（是正処置としての原因除去）は必要です。旧来の予防処置は潜在的不適合への先手対応であり、新規格ではリスク及び機会への取組みに統合されました。一方、再発防止策は「起きた不適合」に対して原因を除去し、同じ問題の再発を防ぐ活動であり、是正処置の中核として残っています。

実務上は、是正処置報告書では「起きた不適合の再発防止」を扱い、別枠でリスク評価や管理策の見直し（情勢に合うように見直す等）を回す、と整理すると混乱が減ります。ISMSでも、ポリシーに基づく体系的な運用という考え方が前提にあるため、是正（起きた事象の原因除去）と予防（リスクへの先手）を運用上分けて設計しやすくなります。

是正処置報告書への対応で次にすべきこと

是正処置報告書は、用語（是正処置／是正措置）を規格・規程体系に合わせて統一しつつ、修正・応急処置・再発防止（是正処置）を欄の意図に沿って切り分けることが出発点になります。次に、不適合を「基準と事実の差分」で固定し、原因分析は注意不足に留めず、手順・権限・承認ルートなど管理要因まで掘り下げて、対策が真因に刺さる形で記録します。Pマーク領域では、JIPDEC「プライバシーマーク付与に関する規約」（2022年2月28日改定）第12条の「可及的速やかに」報告も視野に、報告要否判断と実施記録を含めたガバナンスの設計が説明力に直結します。運用面では、承認フローと保存（検索可能な一元管理）を整え、効果確認は指標と時期を先に決めて「効いたか」を記録することが重要です。個別事案の重大性判断や外部報告の要否、規格解釈に迷う場合は、管理責任者や関係部門と相談のうえで進めるのが安全です。