TISAX認証の流れ｜TISAX認証取得支援
・TISAXラベル取得支援・
　スリープロサポート株式会社

ISOコンサルタント：トップ ＞ その他規格導入支援コンサルティング ＞ TISAX認証支援コンサルティング　＞ TISAX認証の流れ

TISAX認証の流れ

　TISAX の認証登録を始めるには、まず、認証基準である「VDA ISA」の内容を確認します。そして、ある程度要求事項の内容を大枠で理解した後、ENXへ登録し、ENXと契約を締結します。ENX登録は、オンラインで英語での登録が必要ですので少し注意が必要ですが、国内の審査機関（テスト サービス プロバイダー）に相談すると無償で支援してくれる場合もありますので、予定している審査機関があるのであれば相談しながら登録しましょう。登録が完了する事で、TISAXを認証する為の組織の情報がENXへ提供されたことになります。そして、ENXからTISAXを認証する為に三つの基準カタログ（情報セキュリティ、プロトタイプ保護、データ保護）への適合を要求され、組織はそれぞれに対応しながらISMSを構築・運用し、TISAX審査を受けてENXでラベルを共有する事になります。TISAXの認証支援コンサルは是非TPSへお任せください。

　ENX協会とは、TISAXを開発・運営する自動車メーカーとサプライヤーで構成された自動車業界の為の非営利団体の事です。 メンバー構成は以下のようになり、ENXプラットホームの運営や、基準カタログ（TISAXに登録する為のセキュリティーを満たすべき大枠での領域。情報セキュリティ、プロトタイプ保護、データ保護の3つが存在する。※）の改善等を行います。ENXはTISAXにおける中心的な役割を担う団体となります。

【メンバー構成】

　メーカー：
　アウディ、BMW、コンチネンタル、ボッシュ、ダイムラー、DGA、フォード、マグナ、PSAプジョーシトロエン、ルノー、
　フォルクスワーゲン、その他。

　団体：

　ANFAC（スペイン）、GALIA（フランス）、SMMT（英国）、VDA（ドイツ）

• ※　何を扱っているか、何処を守るかの領域。Information Security 情報セキュリティ（44問）：全ての業種で適用される。Prototype Protection プロトタイプ保護（試作品）（22問）：製造では無いところもある。世に出ていない新製品の保護。Data Protectionデータ保護（4問）：研究・開発。製造業は基本無し。

　�@ 事前相談・取引先要求の確認 　　
　　必要なラベル、TISAX登録希望期限、現在の準備状況を確認
　　　↓
　�A 推進体制・活動計画の策定
　　担当者、関係部署、役割、作業期限を整理 　　　
　　　↓
　�B 評価範囲・評価目的の決定 　　
　　対象業務・拠点と必要な評価を確認
　　　↓
　�C 要求事項の理解・現状診断 　　
　　VDA ISAとのギャップと優先課題を整理
　　　↓
　�D ENX登録・審査機関選定 　　
　　登録手続きと審査契約の準備
　　　↓
　�E 情報資産の整理・リスク評価 　　
　　対策を講じるべき情報とリスク、対応方針を明確化
　　　↓
　�F 文書整備・対策の実施 　　
　　規程・手順と実際の管理方法を整備
　　　↓
　�G 教育・運用・内部確認 　　
　　適用範囲に展開し、運用記録と改善を蓄積
　　　↓
　�H 自己評価・審査準備 　　
　　回答根拠と証拠資料を整理
　　　↓
　�I 初回審査・是正対応 　　
　　審査を受け、必要な改善と確認を実施
　　　↓
　�J ラベル取得・結果共有 　　
　　取引先への評価結果の共有と維持管理
　　　
　TISAX認証の流れは基本的には上記のようになりますが、実際には、登録準備、文書整備、審査日程の調整などを並行して進めます。貴社の準備状況に応じて順序と進め方を調整します。なおそれぞれのイベントの詳細は以下のようになります。

- 最初に「何を、いつまでに求められているか」を整理 -

　TISAX対応の出発点は、取引先の要求を正しく把握することです。まず、要求書、取引条件、メールなどを確認し、必要なラベル、対象となる業務・拠点、対応期限、評価結果の共有先を整理します。「TISAXに対応してください」という案内だけでは、必要な準備を判断できない場合があります。要求内容が不明確なときは、取引先に確認する事項を明確にします。

【当社の支援】

　当社講師が取引先要求と現在の準備状況を確認し、着手すべき作業と支援範囲をご提案します。要求内容が十分に分からない段階でもご相談いただけます。

　◇　ご相談時にあると役立つ資料

• 取引先からの要求書・メール

• 対象と考えている拠点・業務の一覧

• 既存の情報セキュリティ規程

• ISO27001等の認証・運用状況

• 希望する対応期限

- 担当者一人に負担を集中させず、関係部署と進める -

　TISAX対応には、情報システムだけでなく、人事、総務、開発、製造、調達などの協力が必要になる場合があります。推進事務局を中心に、意思決定を行う責任者、各部署の担当者、文書や記録の管理者を整理します。そのうえで、「誰が、何を、いつまでに実施するか」を具体化します。

【当社の支援】

　担当者が兼任でも十分活動を進めやすいよう、通常業務を考慮して作業を割り振ります。コンサルティング報告書と進捗管理表により、完了事項、残っている課題、次回までの作業を共有し経営者への報告や部署間の調整にも使える形で、活動の見通しを明確にします。

- 取引先要求と情報の取扱いに合った範囲を設定 -

　評価範囲を決める際は、所在地だけでなく、対象業務、情報を扱う部署、システム、保管場所、関係する拠点を確認します。本社で受け取った情報を工場や開発拠点でも利用している場合など、情報の流れを把握することが重要です。「一般情報しか扱わない」という判断だけで拠点を除外せず、取引先要求と実際の業務との関係を確認し、場合によっては審査機関や取引先に確認します。

　また、情報セキュリティ、試作品保護、データ保護など、必要な評価目的を整理します。すべての企業に同じ対応が必要になるわけではありません。

【当社の支援】

　顧客の業務と情報の流れを確認し、評価範囲・評価目的の検討をおこないます。複数拠点がある場合は、共通して管理する事項と各拠点で実施する事項を整理し重複を抑えます。

- VDA ISAの要求を、自社の具体的な作業に置き換える -

　TISAXの評価基準となるVDA ISAを確認し、適用される要求事項を理解します。審査に使用する版についても、審査機関に確認します。

重要なのは、文章を読むことに加えて、「自社ではどの対策や記録で対応するか」を判断することです。既存の規程、実際の運用、システム設定、施設管理、教育記録などを確認し、要求事項との差を整理します。

【当社の支援】

　当社講師が、要求事項を貴社の業務に当てはめて解説します。対応できている部分、修正が必要な部分、新たに整備する部分を明確にし、優先順位を付けた対応計画につなげます。ISO27001を運用している企業では、既存の文書や管理方法を確認し、活用できる部分を生かします。

- 登録と審査契約の準備を、活動計画に組み込む -

　ENXポータルで参加者と評価範囲を登録するため、企業情報、連絡担当者、対象拠点、評価目的などを整理します。なおENXへの登録完了と、TISAXラベル取得は別の段階です。 登録後、ENXに承認された審査機関と契約し、審査を受ける準備を進めます。審査機関の選定では、費用に加えて、対応言語、対象地域、日程、審査方法、是正確認に関する条件などを比較します。

【当社の支援】

　登録に必要な情報と確認事項を整理し、手続きの準備を支援します。審査機関への見積依頼や条件確認もサポートし、TISAX登録希望期限から逆算した日程調整を支援します。

- 守るべき情報と、優先する対策を明確にする -

　設計図面、開発データ、製造情報、顧客情報、アクセス情報など、業務で扱う情報を洗い出します。誰が利用し、どこに保管し、社内外へどのように共有しているかを確認します。そのうえで、漏えい、改ざん、紛失、不正アクセス、システム停止などのリスクを分析・評価し、対応方針を決定します。

【当社の支援】

　顧客の実務に合った洗い出し方法と評価方法を提案します。情報資産管理台帳やリスク評価の整理を支援し、評価結果を文書整備や実際の対策につなげます。

- 文書と実際の管理方法が一致する仕組みをつくる -

　必要な方針、規程、手順、帳票を整備し、各部署で実施する管理方法を明確にします。対象となる管理には、アクセス権、入退室、情報資産の保管・持ち出し、バックアップ、委託先、インシデント対応などがあります。具体的な対策は、適用される要求事項とリスクに応じて決定します。

【当社の支援】

　当社講師がヒアリングと既存資料を基に、マニュアル・規程・手順書の草案作成を支援します。お客様には、業務との整合や実施可能性を確認していただきながら、現場で使える内容に仕上げます。設備やシステムの変更が必要な場合は、関係部署と対応事項を整理します。ここでは文書の作成負担を減らしながら、取得後も継続できる管理方法を整えることを重視します。

- 決めたルールを社内に展開し、実施の記録を残す -

　整備したルールを関係者へ周知し、日常業務の中で運用します。教育、アクセス権の確認、委託先評価、点検など、実施した活動の記録を蓄積します。文書があるだけでなく、実際に使われていることを確認する段階です。内部監査などの内部確認を通じて、ルールと実態の不一致や不足事項を把握し、必要な改善を行います。経営者による確認・見直しも、仕組みの運用に組み込みます。

【当社の支援】

　教育内容、記録の残し方、内部監査の進め方を指導します。内部監査員養成や監査計画・確認項目の整理を支援し、発見した課題を改善につなげます。

- 回答・成熟度・証拠資料の整合を確認 -

　VDA ISAに基づく自己評価では、自社の対応状況と評価根拠を整理します。評価レベルのAL2・AL3と、自己評価で用いる成熟度は異なる概念です。点数を高く記入することを目的にせず、実際の管理状況を根拠とともに説明できるようにします。審査前には、提出資料、関連する規程、運用記録、ヒアリング担当者、現場確認の準備を進めます。

【当社の支援】

　自己評価の回答と成熟度の判断、証拠資料の整合を確認します。「規程にはあるが実施していない」「実施しているが記録がない」といった不足を整理し、審査前の改善を支援します。担当者が自社の業務と対策を説明できるよう、確認事項も整理します。

- 審査方法に合わせて準備し、指摘には根拠を持って対応 -

　審査機関による初回審査では、自己評価や文書・証拠資料、担当者へのヒアリングなどを通じて対応状況が確認されます。AL2とAL3では確認方法が異なり、AL3には現地での確認が含まれます。指摘事項がある場合は、内容を理解し、原因、対策、担当者、期限を整理します。必要に応じて是正計画の評価やフォローアップ審査を受けます。フォローアップ審査は、すべての企業に一律で必要になるものではなく、初回審査の結果と必要な是正に応じて実施されます。

【当社の支援】

　審査前の準備確認から、指摘事項の整理、是正計画の作成、対策の実施、証拠資料の準備まで支援します。コンサルタントの審査立会いは、審査機関の方針と了承を確認して調整します。また、審査後の是正対応も継続して支援します。

- 取引先への共有まで確認して、要求への対応を完了 -

　必要な評価を完了すると、評価結果に応じたTISAXラベルが付与されます。取得した評価結果は、ENXポータルで共有先と共有範囲を設定し、取引先へ共有します。ラベルを取得しても、取引先が結果を確認できなければ、要求への対応が完了していない場合があります。共有先の参加者情報や、取引先が求める手続きを確認します。

【当社の支援】

　ラベル取得後の共有に関する確認事項を整理し、取引先要求への対応完了を支援します。また、取得後も教育、点検、内部監査、リスクの見直しなどを継続できるよう、担当者と維持管理の方法を確認します。継続的な維持・更新支援をご希望の場合は、別途ご相談いただけます。

　TISAXラベル取得までの期間は、既存の情報セキュリティ体制、対象拠点、評価目的、必要な設備・システム対策、社内の作業体制、審査日程によって異なります。期間を検討する際は、文書作成だけでなく、対策の実施、運用記録の蓄積、審査準備、指摘事項への対応も考慮します。当社では、初回相談で希望期限と準備状況を確認し、現状診断の結果に基づいて活動計画を具体化します。期限が迫っている場合は、優先課題と日程上の制約を整理し、実行可能な進め方をご提案します。

【TISAX対応を、経験ある専任講師とともに進めませんか】

　TISAX対応では、要求事項を理解し、自社の業務に合った文書・対策・運用記録を整えることが重要です。進め方が曖昧なまま担当者だけで取り組むと、判断や文書作成に多くの時間がかかります。スリープロサポートは、TISAX支援経験を持つ専任講師が、貴社の状況に応じて必要な作業を具体化し、準備からラベル取得まで支援します。

　完全サポート型では、支援回数に制限を設けず、契約範囲内の追加コンサルティング料金なく対応します。文書草案作成と進捗管理を通じて、通常業務と両立できる活動をサポートします。

　「これから始めたい」「既存のISO27001を活用したい」「審査準備に不安がある」など、現在の状況をお聞かせください。貴社に合った支援内容と進め方をご提案します。

　◇　「TISAXコンサルティング実績」はこちら

　◇　「TISAX導入無料セミナー」⇒　申し込みはこちら

　◇　「TISAXコンサルティング見積依頼」⇒　申し込みはこちら