トップインタビューとマネジメントレビューは、いずれもトップマネジメントが関与するISMSの重要な活動ですが、目的・実施者・タイミングが異なります。
”トップインタビュー”は、ISMS認証審査において認証機関の審査員がトップマネジメントに対して実施するヒアリングです。
トップマネジメントが情報セキュリティに関するリーダーシップ(ISO 27001 箇条5)を実際に発揮しているかを確認することを目的とし、ISMS運営への関与度・方針の理解・リソース確保への姿勢等が確認されます。
"マネジメントレビュー"は、ISO 27001規格(箇条9.3)が要求する組織内部の活動で、ISMSの決算報告のような位置づけです。
トップマネジメントが情報セキュリティ管理者等からISMSの運用状況の総括の報告を受け、ISMS全体のパフォーマンスや有効性を認識し、改善の方向性を決定することを目的とします。
また、規格では、マネジメントレビューの①インプット情報(監査結果・リスク対応状況・目標の達成状況等)、②アウトプット(改善事項・資源配分の決定等)を文書化、が求められます。
整理すると、トップインタビューは「審査員が認証審査の場でトップマネジメントのコミットメントを確認するプロセス」、マネジメントレビューは「組織が自ら行うISMSの定期的な振り返り」、です。
それぞれ別の活動ではありますが、マネジメントレビューの内容は、トップインタビューへの準備にも活用でき、トップインタビューの際にもマネジメントレビューの報告事項に関連した質問がなされることがあります。