適用範囲

適用範囲（スコープ）とは、マネジメントシステムやプロジェクト、規定などが対象とする範囲のことです。例えば、情報セキュリティマネジメントシステム（ISMS）においては、組織のどの部署、どの拠点、どの情報資産をセキュリティ対策の対象とするかを明確にする必要があります。適用範囲を明確に定義しなければ、対策の抜け漏れや、どこまで守ればよいかの責任の所在が曖昧になります。

適用範囲の決定は、リスクマネジメントにおいて最初に行う重要なステップです。全社を対象とするか、特定の事業部門に限定するかは、組織の規模や目的、リソースに応じて決定されます。適用範囲外にある資産や業務については、そのマネジメントシステムによる管理や保証が及ばないことを意味するため、組織全体のリスクを考慮した適切な範囲設定が求められます。

試験では、ISMS（ISO/IEC 27001）などのマネジメントシステムに関連して、適用範囲の特定が必須の要求事項であることが問われます。適用範囲は、単に対象を並べるだけでなく、除外する場合の正当な理由も文書化する必要がある点が重要です。また、プロジェクト管理におけるスコープ定義（作業範囲の確定）と混同しないよう、文脈を見分ける必要があります。