直答：TISAX で最も間違いやすいのは評価当日ではなく評価の前です。評価範囲や評価目標の定義を誤る、あるいは自己評価の品質が不十分だと、スケジュールも費用も膨らみます。コンサルタントを選ぶときは、審査機関と契約する前にこの二点を正しく行えること、そして審査機関とコンサルタントが別の役割であることを理解していることをまず確認してください。
八つの判断基準
| 基準 | どのコンサルタントにもそのまま聞ける質問 |
|---|---|
| 評価範囲と目標 | 顧客が求めるラベルはどれか。どの拠点を範囲に含めるべきか |
| AL2 と AL3 の選択 | 自社は AL2 と AL3 のどちらが適切か。社内の工数はどれくらいか |
| VDA ISA に基づく自己評価の品質 | 自己評価は誰が行うか。証拠はどの程度まで準備すべきか |
| マネジメントシステムの共用 | すでに ISO 27001 がある場合、どこまで流用できるか |
| CRA との交差 | 自社の車載製品は別途 CRA にも適合する必要があるか |
| 誰が主導し、外注するか | 実際に案件を担当するのは誰か。どのような資格を持つか |
| 実名事例と照会先 | 同業種・同規模の実名事例や照会可能な顧客を示せるか |
| 見積範囲の明確さ | 見積に含まれる成果物は何か。含まれないものは何か。追加費用はどう計算するか |
積穗科研はこれらの基準にどう応えるか
以下は積穗科研自身の説明です。上の質問で、他のコンサルタントと同じように私たちも検証してください。
- 評価範囲と目標：顧客が求めるラベルを先に確認し、その上で範囲と評価目標を定義します
- AL2 と AL3 の選択：評価費用だけでなく、審査費用と社内工数を合わせて比較します
- VDA ISA に基づく自己評価の品質：VDA ISA の項目ごとに証拠を準備し、評価前にリハーサルを行います
- マネジメントシステムの共用：既存の ISMS を基盤に、TISAX 固有の要求事項を補強します
- CRA との交差：製品が単独で販売される車載デジタル製品に当たるかを判定し、両者の証拠を一つのマネジメントシステムで共用します
- 誰が主導し、外注するか：副社長・取締役クラスのコンサルタントが最初から最後まで支援し、外注しません。コンサルタントは ISO 27001 主任審査員資格を保有しています
コンサルタントが必ずしも必要でない場合
同じ拠点を対象とする成熟した ISO 27001 がすでにあり、社内が VDA ISA の項目に精通している場合は、自社で準備して ENX 認定の審査機関に直接依頼できます。
関連する質問
- TISAX の予算はどう見積もるか TISAX の予算
- TISAX にはどれくらいかかるか ENX は全体スケジュールを予測できないとしており、把握できるのは三つのステップの順序です。TISAX のスケジュール
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。