直答：スケジュールは、単独導入か ISO 27001 との統合か、そして個人データ処理シナリオの複雑さで決まります。確実なのは段階の順序です。まず棚卸しと役割の定義、次に管理策の設計、一定期間運用して記録を残してから、ようやく認証に進めます。
五つの段階は前後に依存する
- 範囲と役割の定義：どの業務とシステムを対象に含めるか、各シナリオで PII 管理者か PII 処理者かを確認します。
- 個人データの棚卸しとリスク評価：個人データの種類、流れ、処理目的を棚卸しし、それに基づいてリスクを評価します。
- 管理策の設計と文書化：役割に応じて適用する管理策を選び、適用法規に対応付けます。
- 運用と内部監査：制度を実際に運用して記録を残し、内部監査とマネジメントレビューを完了します。
- 認証審査：認証機関が実施します。
圧縮できないところ：第 1 段階が以降のすべての管理策の対象を決めます。第 4 段階には実際の運用記録が必要で、後から書き足すことはできません。第 5 段階は認証機関の予定次第です。
積穗科研の見方
スケジュールが最も過小評価されやすいのは第 2 段階です。多くの企業は初めての棚卸しで、個人データが管理外のシステムや委託先に散在していることに気づきます。この段階を確実に行えば、以降の管理策設計を何度も修正せずに済みます。すでに ISO 27001 を持つ企業は、第 4 段階を既存の内部監査・マネジメントレビューと合わせて実施できます。
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。