直答：TISAX の予算は四つで構成されます。ENX 協会の登録料、監査機関の評価費用、コンサルティング費用、そして企業の社内工数です。ENX は参加者ハンドブックで、登録料は総コストの一部にすぎず、監査費用は監査機関が別途見積もると明記しています。
コストを決める四つの要因
| 要因 | 予算に影響する理由 | まず確認すること |
|---|---|---|
| 評価目標と評価レベル | 評価目標が AL2 か AL3 かを決め、検査の深さが異なる | 顧客が要求するラベル（機密、試作品保護など） |
| 評価範囲の拠点数 | 範囲内のすべての拠点が評価対象。単一の範囲なら中央プロセスを共有できる | どの拠点が顧客情報を扱うか |
| 情報セキュリティ管理の成熟度 | 準備工数は既存のマネジメントシステムの成熟度で決まる | ISO 27001 または同等の制度がすでにあるか |
| 監査機関の見積もり | 企業自身が ENX 承認の監査機関を選び、見積もりを比較する | 少なくとも二社以上から見積もりを取る |
AL2 と AL3 の選択：ENX ハンドブックによれば、AL2 は評価費用が低い一方、通常はより完全な自己評価と文書が必要で、社内工数はかえって高くなり得ます。AL3 は現地検査が中心で、必ずしも高くはありません。予算比較では、監査費用と社内工数を合わせて計算すべきです。
積穗科研の見方
よくある予算の抜けは、登録料と監査費用だけを計上し、「評価範囲の定義」と「自己評価の品質」を落とすことです。範囲の定義を誤れば再評価になり、AL2 で自己評価が不完全なら、そのまま追加の社内工数になります。この二つは監査契約を結ぶ前に完了させるべきです。
三者の分担：プロセスの面では VDA ISA に基づいて情報セキュリティマネジメントシステムと成熟度の証拠を整えます。技術の面ではアクセス制御、暗号化、物理・試作品保護などの管理策を実装します。法令遵守の面では評価目標に関わる個人データ義務（GDPR）と、製品が別途 CRA の規制を受けるかを扱います。技術検査だけでは、成熟度スコアと文書証拠で失点しがちです。
コンサルティング費用の組み方
コンサルティングは、評価目標と範囲の定義、VDA ISA に基づく自己評価とギャップ補強、文書と証拠の準備、評価前のリハーサルをカバーします。見積もりは拠点数、評価レベル、既存の情報セキュリティ管理の成熟度で決まります。監査機関の評価費用とコンサルティング費用は別の費用であり、予算は分けて組んでください。
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。