CQI公式見解

 

ISO/FDIS 9001:2026が発行されました。FDIS（国際規格の最終案）の段階にあるということは、技術的な内容が確定したことを意味します。そのため、ISO 9001の利用者は、変更内容を検討し、それらが既存の品質マネジメントシステム（QMS）、監査活動、および教育・訓練資料にどのような影響を与えるかを考える際、ある程度の確信を持って作業を進めることができます。本ブリーフィングノートは、FDISの本文に基づいて作成されています。規格が正式に発行されるまでは、ISO 9001:2026への言及はすべてこのFDISの内容に基づくものとしてお読みください。

本ブリーフィングノートは、QMS監査員、ISO 9001に基づくシステムの導入・運用責任者、およびCQI認定トレーニングパートナーの皆様を対象に、ISO 9001:2015と比較したISO 9001:2026の主な変更点の概要を提供するものです。特に注意が必要な箇所の提示、変更点に関するCQIの解釈の解説、そしてQMSの導入・運用・監査を行う人々にとっての実務的な影響を明らかにすることで、適切かつ十分な情報に基づいた移行を支援することを目的としています。

ISO 9001:2026は、規格の根本的な作り直しではなく、慎重かつ段階的な改訂となっています。ISO 9001:2015の利用者にとって、その構造や根底にある意図の多くは馴染み深いものでしょう。それでもなお、実務上重要な変更がいくつかあります。具体的には、品質文化や倫理的行動に関する要求事項の導入、リスクと機会のより明確な区分、QMSの変更計画に関する取り扱いの強化、そして附属書Aにおける説明内容の大幅な拡充などが挙げられます。また、マネジメントシステムの主要な用語・定義に加え、ISO 9000:2026から引用された品質マネジメントの用語・定義が盛り込まれたことは、改訂された本文を理解しようとする利用者にとって有益な改善点となるでしょう。

Giminiの実力

 

主な変更ポイント（箇条別・テーマ別）

1. 「品質文化」と「倫理的行動」の明記（箇条5、箇条7）

●

●

リーダーシップ（5.1）： トップマネジメントが「品質文化（Quality Culture）」および「倫理的行動（

Ethical Behavior）」を推進・促進することが明文で求められます。単にルールを守るだけでな

く、組織全体に品質重視の価値観やコンプライアンス意識を浸透させることが評価対象となり

ます。

認識（7.3）： 組織で働く人々が、品質方針だけでなく「品質文化や倫理的行動」についても認

識・理解することが追加されています。

2. 「リスク」と「機会」の分離と明確化（箇条6）

●

リスクと機会への取り組み（6.1）： 2015年版では「リスク及び機会」として一括で扱われがち

だった記述が整頓され、「リスク」と「機会」を明確に区別して整理・分析・評価し、それぞれの

対応策を講じる構造に整理されました。

3. 「気候変動」の正式統合（箇条4）

●

組織の状況（4.1, 4.2）： 2024年2月に追補発行された「気候変動に関する考慮事項」が本文

へ正式に組み込まれました。自社の事業や供給網における気候変動・環境影響が、品質や

サービス提供にどう関わるか（リスク/外部状況）を検討することが定着化します。

4. 変更管理の強化（箇条6）

●

変更の計画（6.3）： QMSに変更を加える際、変更内容の伝達（コミュニケーション）、変更によ

る影響の監視・評価、結果のレビューなどを適切に行うプロセス管理の重要性が強調されて

います。

5. 箇条3（用語及び定義）と 箇条10（改善）の整理

●

●

用語及び定義（箇条3）： 「品質文化」など特定の主要用語が規格本文内にも記載され、ISO

9000（基本及び用語）を都度参照する負担が軽減されます。

改善（箇条10）： 従来あった「10.1 一般」と「10.3 継続的改善」が整理・統合

サイバー攻撃

 

人工知能（AI）エージェントは、今やサイバー攻撃を指揮・実行できるようになっています。2025年9月、Anthropic社は、中国の国家が支援する脅威アクター（「GTG-1002」と特定）が「Claude Code」を悪用し、約30の組織に対して同時に攻撃を仕掛けた事例を検知しました。この攻撃活動の約80～90%はAIエージェントによって自動化されていました。こうした自動化された攻撃能力は、評価環境においても確認されています。2026年4月、英国のAIセキュリティ研究所は、「Claude Mythos Preview」と「GPT-5.5」の双方が、人間の介入なしに、多段階にわたる模擬ネットワーク侵入をエンドツーエンドで完遂できることを明らかにしました。自動化された攻撃能力は、サイバー脅威の性質を劇的に変える可能性があります。攻撃型AIの進化に伴い、AIエージェントによる攻撃は、攻撃実行の所要時間を短縮し、人間の能力の限界をはるかに超える規模で同時攻撃を行い、高度な侵入に必要なコストや専門知識のハードルを下げ、さらには従来の防御策では対応しきれないような形で自律的に適応していく恐れがあります。

情報マネジメント

 

ISO 27001に携わるセキュリティ実務者の方であれば、2022年の改訂に伴い、どのような新しい対策（コントロール）を導入する必要があるのか​​気になっていることでしょう。

本記事では、ISO 27001に新たに追加された11の管理策に焦点を当てて解説します。改訂の概要については、こちらの記事「ISO 27001 2013年版と2022年版の比較：何が変わったのか？」をご覧ください。

サイバーセキュリティは30年以上にわたり、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」という「CIAトライアド」を指針としてきました。しかし今、私たちはさらに大きな課題に直面しています。それは、人工知能（AI）をいかにガバナンス（統治・管理）するかという問題です。驚くべきことに、CIAトライアドから得た教訓の一部は、AIガバナンスにおける最大の問いの一つである「信頼できるAIをいかに構築するか」に取り組む上でも役立つ可能性があります。

Secure & Simple Podcast

サイバーセキュリティ・ガバナンスとコンプライアンスを扱う

コンサルタントおよびvCISO（仮想CISO）向けポッドキャスト

全エピソードはこちらから

CIAトライアドは、企業にリスクを管理する明確な指針を与えることで、サイバーセキュリティのあり方を変革しました。

現在、AIガバナンスの枠組みにおいても、「信頼性」が同様の役割を果たしています。つまり、リスクの特定や優先順位付けを行う際の重要な指針となっているのです。

サイバーセキュリティ

 

GuidePoint SecurityとSAFEの協賛により、FAIR Instituteが2026年4月に実施した「2026年版サイバーリスク管理の現状（State of Cyber​​ Risk Management）」に関する調査では、ビジネス、規制、および運用面での要求の高まりに対応するため、主要な組織がどのようにサイバーリスク・プログラムを適応させているかを検証しています。サイバーリスク分野のリーダーや実務担当者400名を対象とした世界規模の調査に基づく2026年のデータは、この分野が成熟しつつあることを示しています。具体的には、サイロ化された技術的なコンプライアンス機能から、定量化・自動化され、取締役会レベルの戦略的推進力となる機能へと移行しているのです。2025年の調査結果と比較すると、この分野の現状を定義づけるいくつかの重要なマクロ的変化が浮かび上がってきます。

ISO9001:2026

 

ISO 9001:2026は、品質マネジメントシステムに関する国際規格であるISO 9001の第6版として発行が予定されているものです。改訂版が正式に発行されるまでは、2024年の気候変動に関する修正事項を含め、ISO 9001:2015が引き続き認証の対象となるバージョンです。

今回の改訂は、抜本的な変革（革命的）というよりは、段階的な進化（進化的）となる見込みです。現在示されている指針によれば、顧客重視、リーダーシップ、プロセスアプローチ、リスクに基づく考え方、証拠に基づく意思決定、関係性の管理、継続的改善といったISO 9001の主要な原則の多くは維持されます。改訂の主な方向性としては、明確性の向上、用語の更新、ISOの「整合化された構造（Harmonized Structure）」との整合性強化、持続可能性や気候変動という文脈への明示的な配慮、リスクと機会の取り扱いの明確化、そして品質文化や倫理的行動に対するリーダーシップの関与強化などが挙げられます。

ISO9001

 

ISO 9001は組織の能力を前提とする傾向を強めているが、認証審査では依然として適合性のみが検証されている。本論文では、その結果として生じる「能力と適合性のギャップ」と、それが認証制度への信頼に及ぼす影響について検討する。