ISO内部監査について

技術士の藤井と申します。内部監査でこれまでご苦労して来られたのですね。まず、監査対象ですが、更新審査までの3年間で全部門を網羅すれば良く、更新年にすべてを監査する必要はありません。また、メンバーを招集して会議をする必要もありません（メールのみで進めている企業も多数あります）。
内部監査は、改善の機会を見出すツールと捉え、指摘に対してどのように改善するのかを考えること、またマネジメントレビューで改善策に対する経営陣とのコンセンサスを取ることが重要だと思います。
審査機関により細かいことを言ってくる場合もありますが、そのような場合には審査会社を替えることも可能です。ぜひ効率の良い運用で会社の改善に取り組んで頂ければと思います。

ISO9001及びISO14001について大企業(1000人以上)の研究開発，生産技術，製造部門の内部監査，外部監査を経験した経験があります．またISO/IEC17025について小規模事業者（50人前後）の外部再認定審査に対応した経験があります．それを基に私見になりますが回答致します．
１．更新年には全社を通して全箇条を網羅した監査でなければならない：そのように明記された要求事項はないと思いますが，更新審査であれば前回審査よりも一歩踏み込んだ対応が望まれるのは当然です．しかし更新審査で最も重要視されるのは，前回の指摘事項の対応です．これがキチンと対応されていることが重要です．その指摘の中に「次回はより広範囲に内部監査してください」とあればご質問のような対応を検討する必要があると考えます．
２．監査に多大な時間が必要になるのと従来通りのサンプリング監査では外部審査時に指摘されかねないと心配です。実際にそのような対応が必要でしょうか。：監査のための準備は，必要最小限であるべきです．良識ある監査機関の監査は，ISOの取組みが実効的で有効であり，その会社の役に立っていることを確認すること，だと私は考えております．監査する側が監査される側の品質活動を評価するポイントは，①会社の品質方針に沿って②品質管理活動が展開され，③適宜見直しをしたうえで，③効率的に運用され，④成果が上がっていることが示され，⑤成果が不十分であったものは分析して⑥PDCAを回していること，です．①はコロナ下で方針が変化しているようであればすぐに反映すべきです（大丈夫ですか？）．②は日常の管理表や月次，クオーターの品質会議等での活動レビューがエビデンスとして用意されていればOKです．③②のレビューの結果見直しがあった事例を最低1件用意する．④会社の業績，顧客からのフィードバック等で最低１件事例を用意する．コロナ下では難しいかもしれませんが，コロナで社員の品質意識が良い方に変わった，等をうまくアレンジする．⑤及び⑥はコロナの影響で業績が低迷していれば，PDCAで計画，実行，チェック，改善して対応する，となります．
３．結論：このような品質活動（の深堀）を全ての部門の日常活動として実施するためには高度な経営能力が必要ですが，それが会社の文化や品質方針に落とし込められ，各自が進んで取り組んでいることを監査時にうまくアピールできれば100点合格です．私が審査に対応したとき，審査官からは「・・・について対応した事例があればご説明いただけますか？」というものが多かったと記憶しております．質問に対して「全く実施していません」「一度も対応したことがありません」「ルールがありません」ではNGです．「1件実施した記録があります」「一度対応し，記録に残しています」「ルールがあります」「ルールはありませんが，今までの慣例でこのように対応し，エビデンスを残しています」であればOKでしょう．会社業務の全てにISOを厳密に対応させる必要はありませんが，結果としてISOに対応していることになっているはずです．そして説明事例は最低１つ，できれば複数個，それが全部署で為されていればご質問の内容に沿った理想的な対応となります．監査結果として「次回は対応していなかったココとアソコを対応して下さい」という指摘をもらって80点，というストーリーが典型的な監査結果だと思います．
４．補足：外部審査時に指摘されかねない，というご心配について，完璧に対応する，100点をとる，には相当の時間と労力が必要です．監査を受ける側の担当者はこの点を経営者に事前に説明し，了解を得ておく必要があります．監査の実際は監査員次第です．監査員が変われば指摘事項が変わります．監査員を事前に承知していれば，「傾向と対策」を準備することはある程度可能です．しかし，監査員が未知であれば指摘事項を事前に想定ることは難しく，広範囲な想定をして多大な時間をかけて準備する必要があります．しかしそれが本当に必要でしょうか？指摘事項をゼロにする，ではなく，重不適合を出さない，軽微な指摘事項にとどめる，が最善策だと考えます．あくまでも私見になりますが，参考になれば幸いです．

追加質問を頂戴しました。
> 回答にあります「3年間で全部門を網羅すれば良く、、、」の全部門とは
> 全職場のことでしょうか、それとも要求事項の全てという理解でしょう
> か。
に関して回答します。規格4.3項で云うところの「適用範囲（＝全職場）」との理解で進めて頂ければと思います。要求事項としては、「組織が必要とする監査範囲を定める」ことが求められているだけです（規格9.2.2）。

大丈夫です。更新の時期になっているのであれば、認証審査や維持審査の経験を受けています。その認証審査の時の手順・方法に倣って、内部監査を規定の回数及び内容で行っていれば大きな問題はないと考えます。
「従来の内部監査は全部門を対象」に、「規格の遵守状況を監査」を行っているのであればなお更です。

認証審査の時の第二段階審査、或いはサーベイランス審査（維持審査）の時は2倍の時間が必要です。この更新審査の時間の中で、全箇条の審査ができています。
更新審査や維持審査に掛かる時間は決まっています。その長さがどう感じるのかは、それぞれ感じ方が違います。嫌な時間は長く、改善のヒントが得る有意義でワクワクする時間は短いと思います。

　ISO9000（基本及び用語）の監査の注記には、監査には、内部監査（第一者）又は外部監査（第二者及び第三者）があります。第二者監査は、顧客などのその組織に利害を持つ者又はその代理人によって行われます。第三者監査は、認証・登録する機関又は政府機関などが該当します。
　内部監査を行う時でも、認証審査を行う時でも、監査員が使う考え方は次の基準・規格があります。それが、ISO9001の内部監査の注記の書かれる、「注記　手引としてJIS Q 19011 を参照」があります。このJIS Q 19011 は、「マネジメントシステム監査のための指針」です。

　第三者監査では、認証機関と9001や9100のISO規格の要求事項に従い、認証審査（監査）行っています。規格の解釈の差で起きた不適合や是正要求は、ＡＭ様や事務局様が9001の目的・能力実証や9100の航空や宇宙及び防衛分野のその組織の業界独特の手順を、説明することで回避することできます。少なくとも軽微な不適合になるはずだと思います。
　
　第二者監査（顧客監査・査察）はより重要で厳しいと思います。また、顧客監査に耐え、内部監査が行われて、認証審査で行われていると思います。この第一者監査、第二者監査、第三者監査で、業界の求める品質を提供し、経営に貢献してください。

認証機関に関わる規格の「JIS Q 17021-1 適合性評価-マネジメントシステムの審査及び認証を行う機関に対する要求事項」 があります。しかし、19011や17021 を学ぶ必要はありません。
ISO9001やISO9100の規格要求事項や顧客要求事項に適確に対応し、企業の製品や業務に自信を持って認証審査に臨んでください。