快速導覽
隱藏
ISO 27001 內部稽核與管理審查怎麼做
內部稽核與管理審查是兩件不同的事：稽核是有人去查、查完給結論；管理審查是最高管理階層看完結論、做決定。本文用三張表把條文變成可排程的動作——稽核方案表、管理審查七項輸入議程、稽核紀錄表欄位，並說明條文沒規定的次數怎麼訂。
手上已經有 ISO 27001 證書，或正要跑第一次驗證，接下來碰到的問題通常很具體：每年要交哪些紀錄、什麼時候交、誰來查。答案都落在標準第 9 章，特別是 9.1 監控、量測、分析與評估、9.2 內部稽核、9.3 管理審查 這三節。
內部稽核和管理審查常被當成同一件事。實際上，稽核是有人去查、查完給結論；管理審查是最高管理階層看完那些結論之後做決定。條文沒有寫一年幾次，不過台灣驗證機構的公開政策期待每個日曆年一次。兩件事分開看，才會明白為什麼證據得準備兩份，光靠一份會議紀錄撐不起來。
下面會用三張表，把條文拆成可以排進年度行事曆的動作：稽核方案表管誰查誰、什麼時候查、獨立性怎麼寫；管理審查議程把七項輸入逐項對到條號，並標明資料由誰提供；稽核紀錄表欄位則決定查完之後留下什麼。另外有三件事條文沒規定，文中會直接標出來：次數、稽核員證照、紀錄保存年限。
名詞先交代一下。ISO/IEC 27001 由國際標準化組織與國際電工委員會共同發布，管的是組織的資訊安全管理系統（Information Security Management System，ISMS），也就是一套用來保護資訊機密性、完整性與可用性的管理制度。不管規模大小、哪個產業，適用對象都一樣。
還有一件事會影響你查資料。ISO/IEC 27001:2022 的標準本文是付費出版品，寫這篇時沒有取得官方全文。因此每一條要求都寫成「條號＋要求重點」，不用引號假裝引用原文；能逐字引用的，只有標準頁面上的版本敘述句和驗證機構的公開政策。需要原句的話，還是得自己去買標準。
ISO 27001 內部稽核與管理審查 重點搶先看
兩件事、兩份證據，條文不給次數，其餘就是把方案、議程和紀錄填滿。
- 9.2 是有人去查、查完給結論，9.3 是最高管理階層看完結論、做決定，而稽核結果只是管理審查的輸入之一。
- 次數條文沒寫，只要求依規劃的期間執行；每個日曆年一次屬於驗證機構公開政策的期待。
- 方案裡要寫頻率、方法、責任、規劃要求和報告方式，再加上每一場的準則與範圍、稽核員的客觀性與公正性。
- 管理審查的七項輸入包括前次決議、內外部議題、利害相關方需求、資安績效的四類趨勢、回饋、風險評鑑與處理狀態，以及改善機會。
- 最常錯的兩件事：把「稽核員不得稽核自己的工作」當成條文，以及把 ISO 9001 的三項式結果套到 27001 的 9.3.3 上。
為什麼內稽紀錄不能當管理審查紀錄
很多人把「先內稽、再管理審查」講成同一件事的兩個步驟，整年就只留下一個日期、一份紀錄。條文裡它們是兩個獨立條款，要的證據也不一樣，誰都代替不了誰。
| 面向 | ISO 27001 9.2 內部稽核 | ISO 27001 9.3 管理審查 |
|---|---|---|
| 目的 | 取得資訊：ISMS 是否符合組織自己的要求、是否符合標準要求、是否有效實施並維持（9.2.1） | 由最高管理階層判斷 ISMS 是否持續適切、充分、有效（9.3.1） |
| 執行者 | 稽核員（組織自選，須確保稽核過程的客觀性與公正性，9.2.2） | 最高管理階層（9.3.1）；其他與會者是提供資料與被詢問的角色 |
| 頻率 | 依規劃的期間，條文未給次數 | 依規劃的期間，條文未給次數 |
| 產出 | 稽核結果與報告，以及稽核方案實施與稽核結果的文件化資訊（9.2.2 末段） | 決定（持續改善機會、ISMS 需要變更之處），以及結果的文件化資訊（9.3.3） |
擺在一起看就清楚了。稽核是「有人去查、查完給結論」；管理審查是「老闆看完結論、做決定」。一個產生判定，一個產生決定。
兩者之間只有一處是硬連結：稽核結果是管理審查的輸入之一，也就是 9.3.2 d) 的第 3 類。這裡也是最容易寫混的地方。管理審查要是排在稽核之前開，d) 那一格只能填上一年度的舊資料，或者填「本次尚無內稽結果」；紀錄上的日期順序一看，就知道流程反了。
既然不同，標準為什麼把它們擺在同一章？第 9 章叫「績效評估」，兩者的共同動作都是查，差別在一個查事實、一個查方向，目的、執行者、產出都不一樣。也因為這樣，稽核報告不能拿來當管理審查紀錄，管理審查的決議也取代不了稽核發現。一份文件寫得再完整，缺的那一份還是缺。
9.1、9.2、9.3 三節的要求與子條款
骨架先放好，後面每一節都會回到這張表。版本也要寫對：ISO/IEC 27001:2022 在 2022 年 10 月發布，是第 3 版，另外還有一個修訂案。標準頁上只寫「另有 1 個修訂案」，修訂案的名稱屬於二手資訊，這裡不把它當版本名稱寫。
| 條號 | 要求主題 | 子條款 | 文中處理到哪裡 |
|---|---|---|---|
| ISO 27001 9.1 | 監控、量測、分析與評估 | 無子條款 | H2「9.1 監控量測與 9.2 內部稽核差在哪」 |
| ISO 27001 9.2 | 內部稽核 | 9.2.1 通則、9.2.2 內部稽核方案 | 稽核方案、獨立性、能力、範圍準則、紀錄 |
| ISO 27001 9.3 | 管理審查 | 9.3.1 通則、9.3.2 輸入、9.3.3 結果 | 七項輸入、結果與紀錄、會議形式 |
（上表條號與標題經標準目錄轉載核對）
有一個字值得計較。9.3.3 的標題是「結果」（results），不是「輸出」（outputs）。口語說「管理審查的輸出」大家都聽得懂，但引用英文標題時得寫 results。差別在於 results 指的是審查這件事產生了什麼，並非一套固定的輸出清單；後面講 9.3.3 只要求兩件事時，會再回到這一點。
這篇只處理 9.1、9.2、9.3，外加 10.2 與 7.5.3 跟這三節的接縫。第 4 到第 10 章的完整條文教學不在範圍內；適用性聲明怎麼填、風險評鑑怎麼做、文件要分幾階，各自都有專文。
條文沒規定內稽次數，驗證機構卻會看
條文沒有規定一年幾次。ISO 27001 9.2.1 用的詞是「依規劃的期間」，英文關鍵詞 at planned intervals，意思是組織自己訂一個期間，然後照著做；9.2.2 更直接把「頻率」列進稽核方案必須寫出來的內容。標準把「幾次」交給組織定義，接著要求你照自己訂的做。
不過「條文沒規定」不等於「可以只做一次」，得分兩層看。
第一層是條文。9.2.1 與 9.3.1 都只要求依規劃的期間執行，沒有給數字。寫成「條文規定一年一次」是錯的，被問到依據時會答不出來。
第二層是驗證機構。台灣有驗證機構在公開政策（2023-12-15）裡寫明：管理系統過程的內部稽核頻率為每個日曆年（每 12 個月）一次，管理審查比照辦理；同一份政策也允許依過程對組織的風險做調整。這是驗證機構審查時拿來對照的期待，不是標準條文。
沒做的後果也寫在同一份政策裡。正式稽核（首次驗證、追查稽核、重新驗證）之前完全沒有執行內部稽核，會被提出重大不符合；只有部分過程沒做，則是次要不符合。分級看的是「整年空白」還是「漏了幾條」，跟有沒有開會無關。
實務上的「一年一次」來自驗證機構的期待，條文並沒有這樣寫，而且你自己的方案得對得上。方案寫「每年 1 次」，對方調紀錄時就用這個標準看你；方案寫的頻率比政策期待更寬，就要說明哪個過程的風險低到可以這樣排。政策允許依風險調整，所以理由得寫得出來，不能只交結果。
還有一個時點常被忽略。驗證機構每次追查稽核，調的是「上一個期間」的內稽紀錄。某一年空白，那一年就沒有證據可補；事後補做的紀錄日期對不上稽核週期，等於自己承認漏做。
稽核方案要寫的五件事，附一張示例表
9.2.2 要求組織規劃、建立、實施並維持「稽核方案」，也就是內部稽核計畫。方案不能只是一張通知單，裡頭必須寫出五件事。
| # | 方案必須寫的五件事 | 實務上對應什麼 |
|---|---|---|
| 1 | 頻率 | 一年排幾場、每場落在哪一季；與管理審查的日期關係 |
| 2 | 方法 | 文件審查＋訪談＋現場觀察＋抽樣（抽幾筆、抽什麼） |
| 3 | 責任 | 誰排方案、誰當稽核員、誰核准報告、誰追蹤缺失 |
| 4 | 規劃要求 | 通知幾天前發、起始與結束會議、查檢表、受稽單位要先交什麼 |
| 5 | 報告方式 | 報告給誰、多久內給、格式與分級用語 |
五件事之外，9.2.2 還有四項要求，寫方案時最常漏掉：
- 建立方案時要考慮相關過程的重要性與以往稽核的結果。高風險的過程多排幾次，去年開過單的今年先查。
- 每一次稽核都要界定準則與範圍，講清楚查哪些條文、哪個部門或系統。
- 選擇稽核員與執行稽核時，須確保稽核過程的客觀性與公正性。
- 結果要報告給相關管理階層，並保留文件化資訊，作為方案實施與稽核結果的證據。
把九項併起來，就是下面這張表。欄位可以照抄，內容要換成你自己的部門和日期。
| 期間 | 稽核範圍（部門／主題） | 稽核員 | 獨立性說明 | 準則 | 預計日期 |
|---|---|---|---|---|---|
| Q1 | 管理階層與全公司：領導、政策、目標、前次管理審查紀錄 | 外部稽核員（委外） | 非本公司員工，未參與任何受稽業務 | ISO/IEC 27001:2022＋本公司 ISMS 手冊與程序書 | 3 月第 2 週 |
| Q2 | 資訊部：作業規劃、資產與權限管理 | 品保部種子稽核員 | 非同部門，未參與資訊部維運 | 同上＋資訊安全作業程序書 | 6 月第 1 週 |
| Q2 | 人資部：能力與認知、人員進用與離退 | 資訊部種子稽核員 | 未參與人資業務 | 同上＋人事管理程序書 | 6 月第 3 週 |
| Q3 | 業務與客服：利害相關方需求、法令遵循、客訴中的資安議題 | 品保部種子稽核員 | 未參與業務流程 | 同上＋客戶要求清單 | 9 月第 1 週 |
| Q3 | 資訊部：弱點修補、備份與還原、監控紀錄 | 外部稽核員（委外） | 非本公司員工 | 同上＋維運作業程序書 | 9 月第 3 週 |
| Q4 | 全公司：前次缺失追蹤與矯正措施有效性確認（管理審查前完成） | 管理代表指定的未受稽人員 | 未參與前述各場次 | 前次稽核報告與缺失單 | 11 月第 2 週 |
（頻率與場次由組織自訂（9.2.2），上表只是示例）
表上每一欄在實務上都有對應動作，填了就要做得到。方法欄寫「抽樣」，就得寫抽幾筆；只寫「訪談」兩個字，驗證機構問你抽了什麼、怎麼選，答不出來。規劃要求欄寫「前一週通知」，就要有那份通知的寄件紀錄；報告方式欄寫「兩週內提報」，報告日期與簽核就要看得到。這些都是方案實施的證據，並非額外要求。
誰來查，人少的時候獨立性怎麼排
先看條文要求什麼。9.2.2 寫的是「選擇稽核員與執行稽核，以確保稽核過程的客觀性與公正性」，英文關鍵詞 objectivity and the impartiality of the audit process。客觀指不帶成見看證據，公正指不因利害關係而偏。
有一個地方一定要講對。「稽核員不得稽核自己的工作」並不是 ISO 27001 的條文原文。這句話出自 ISO 9001:2008 第 8.2.2 條（二手來源一致，未取得 9001:2008 全文），ISO 9001 在 2015 版改版時已經移除，只留下「客觀性與公正性」的敘述；27001 現行版的用語則和 9001 現行版一致。條文對稽核員的要求是確保稽核過程的客觀性與公正性，從頭到尾沒有出現「不得稽核自己的工作」。
實務上怎麼辦？多數公司會在程序書裡自己訂得更嚴，例如寫「稽核員不得對所負責的業務執行稽核」。這屬於組織自訂的要求，比條文嚴格，可以寫，也值得寫，但不能說成標準規定。被反問「哪一條」的時候，答案是「我們自己的程序書」。
公司裡只有一兩個懂資安的人，照樣做得起來。條文沒有要求人數、沒有要求專職、也沒有要求獨立部門。底下四種排法屬於顧問實務，並非條文要求：
| 排法 | 適用情境 | 要注意的地方 |
|---|---|---|
| 跨部門互查（A 查 B、B 查 A） | 兩個部門各有 1 位受過訓練的內稽員 | 兩人都不能查自己主辦的流程；兩份查檢表要分開寫，不能一份共用 |
| 由未參與該業務的主管擔任稽核員 | 人數少，只有 1 位懂資安 | 方案裡要寫「為什麼這個人具客觀性」，不能只寫名字 |
| 委外執行內部稽核 | 內部沒有人力或能力 | 仍屬組織的內部稽核：方案、報告、缺失單還是公司自己的文件，9.2 的責任不能外包 |
| 集團或關係企業互相支援 | 有母公司或姐妹公司 | 支援者的能力要留下紀錄（訓練、經歷），不能只靠一句「他很熟」 |
條文沒有規定要幾個人，它要求的是稽核過程的客觀性與公正性，翻成白話就是查的人不能是做事的人。人少要用「排法」解決，補簽解決不了。補簽最容易在兩處破功：稽核報告的日期比查檢表早，或者簽到表上的名字與實際訪談紀錄對不上。
稽核員需要證照嗎，能力又該怎麼認定
條文沒有要求稽核員證照。9.2 通篇沒出現「能力」（competence）這個要求字樣，也沒有指定任何資格、訓練時數或證照等級。
能力這件事得繞一下才接得上。ISO 27001 的 7.2 要求「在組織控制下、影響 ISMS 績效或有效性的人員應具備必要能力」。稽核員算不算落在 7.2 的範圍，這是解讀問題：可以推得稽核員既然影響 ISMS 有效性的判定，就該納入能力管理；但那是推理，不是條文明文規定 9.2 要證照。寫「可推得」比寫「條文規定」安全，也誠實一點。
「主導稽核員課程」和證照是市場商品，條文裡沒有這回事。上課是取得能力最快的路，這句屬顧問實務；不過條文檢查的是你有沒有能力，並非有沒有那張紙。驗證機構看的是：這個人憑什麼判定某一項符合或不符合、他的經歷與訓練有沒有紀錄、他今年查的範圍與專長對不對得上。
能力認定可以留三個痕跡：訓練紀錄（上過什麼、什麼時候）、經歷紀錄（查過哪些部門、哪些主題）、指派理由（為什麼這次由他查）。三樣都不難做，難的是每年補一次。
範圍與準則怎麼訂，要不要每場都查全部條文
兩個名詞先分開。準則（criteria）是拿什麼當尺，包括 ISO/IEC 27001:2022 的條文，加上公司自己的 ISMS 手冊與程序書。範圍（scope）是查哪裡，指哪個部門、哪個系統、哪個地點。
不必每一場都把全部條文查完。做法是在年度方案裡分場次覆蓋：這一場查資訊部的作業與資產管理，下一場查人資的人員安全，年底再一場查前次缺失的矯正有效性。實務上驗證機構的期待是「整個認證週期內，每個條文都被查過至少一次」（顧問實務，非條文規定），並沒有要求每一場都查完所有條文。
排場次的原則有兩條，都寫在 9.2.2：相關過程的重要性、以往稽核的結果。翻成白話，高風險的過程多排幾次、也排在前面；去年開過單的，今年第一場就去看它有沒有真的改好。這一條同時解決「方案每年長得一模一樣」的問題，去年的結果就是今年的排序依據。
還有一個動作值得加：查檢表每一項後面加一欄「條號」，沒有條號的項目就歸到「公司自訂要求」。這一欄看起來只是表格設計，實際上是拿來回答「這一項依據哪一條」的。多數被問倒的場面不是做錯事，而是查檢表抄了別人的版本，卻說不出每一項對應哪個條文。
驗證機構會怎麼看你的內稽紀錄
換個角度，不談你怎麼準備，談對方會要什麼。
稽核當天，驗證機構通常會要這幾樣：年度稽核方案表（核准版，看得到誰核准、什麼時候核准）、每場稽核的通知與簽到、稽核報告、查檢表、缺失單與後續處理。要這些並非為了查帳，目的是確認方案寫了、也真的執行了。
沒做會怎樣，公開政策寫得很具體：正式稽核前完全沒有執行內部稽核，會被提出重大不符合；只有部分過程沒做，則是次要不符合。分級的邏輯不難懂，整年空白代表制度沒在跑，漏了幾條代表跑了但沒有覆蓋完全。
紀錄要留什麼，可以收斂成三列：
| 要留的 | 條文依據 | 對應表單 |
|---|---|---|
| 稽核方案的實施證據 | 9.2.2 末段 | 年度稽核方案表（核准版）、每場稽核的通知與簽到 |
| 稽核結果 | 9.2.2 末段 | 稽核報告、查檢表、缺失單 |
| 紀錄的管制 | 7.5.3 | 文件與紀錄一覽表（只需「稽核紀錄」這一列，不必展開層級） |
第三列的 7.5.3 講的是紀錄怎麼管：可用、受保護、版本與變更、保存與處置。有一個問題一定會被問：稽核紀錄要保存幾年？條文沒有訂年限，公開資料裡也查不到適用於 ISMS 內稽紀錄的通案法定年限。答案就是「由組織自訂，寫進 7.5.3 的管制規則」，別背一個數字給對方。寫一個自己做不到的年限，比寫「依認證週期與客戶契約要求，由管理代表核定」更容易被追問。
提醒一句，這裡講的是驗證機構審查內稽紀錄的機制，並非 ISO 9001 的十種常見缺失。9001 那邊的缺失清單與回答方式另有一篇，準備續評前要交哪些資料也另有整理：ISO 9001 續評稽核怎麼準備？文件與應對重點。
管理審查的七項輸入，逐項對照
管理審查的輸入是 ISO 27001 9.3.2 的七項。它們是七個「要有結論」的議題，並非七份附件；缺一項，這場管理審查就沒有涵蓋標準要求。右邊兩欄是顧問實務的說明，幫你知道每一項在自己公司裡長什麼樣子、該向誰拿。
| # | 條文要求的輸入 | 這項在公司裡通常長什麼樣子（顧問實務） | 誰提供 |
|---|---|---|---|
| a | 前次管理審查決定的行動狀態 | 上次會議紀錄後面那張決議追蹤表：哪幾條已完成、哪幾條逾期、為什麼 | 管理代表（ISMS 召集人） |
| b | 與 ISMS 相關的內外部議題的變化 | 內外部議題清單的更新：新法規、新客戶要求、裁員或擴編、新系統上雲 | 管理代表＋法務／人資 |
| c | 與 ISMS 相關的利害相關方需求與期望的變化 | 利害相關方清單：客戶資安問卷變嚴、供應鏈要求新增條款、主管機關來函 | 業務＋採購 |
| d | 資安績效的回饋，含四類趨勢（見下段） | 本年度資安月報或季報：開單數與結案情形、監控數據、內外稽核結果、目標達成情形 | 資安窗口＋各目標負責人 |
| e | 利害相關方的回饋 | 客戶稽核或問卷結果、員工意見、供應商通知、客訴裡與資安有關的部分 | 業務＋客服 |
| f | 風險評鑑結果與風險處理狀態 | 風險清冊現況：高風險有幾項、處理進度、殘餘風險有沒有人簽「可接受」 | 風險負責人 |
| g | 持續改善機會 | 事件檢討的改善建議、員工提案、演練發現、新工具評估 | 全體，由管理代表彙整 |
（議題項目與格式由組織自訂，上表是條文七項的落地說明）
d 這一項最容易含糊帶過，拆成四類趨勢分開談會好一點：
- 不符合與矯正措施的趨勢：本期開了幾張單、結了幾張、有沒有同一類重複發生。
- 監控與量測的結果：9.1 那些項目跑出來的數據與走向，看的是趨勢，不是單月數字。
- 稽核結果：內部稽核與驗證機構稽核的發現，這一項就是內稽與管理審查的接點。
- 資安目標的達成情形：年初訂的目標現在到哪裡，落後的項目由誰負責。
把七項排成會議，就是一份議程。下面的時間是示例值，可以按公司規模增減：
| 序 | 議程 | 對應條文 | 資料由誰提供 | 時間 |
|---|---|---|---|---|
| 1 | 主席開場、確認出席（最高管理階層） | 9.3.1 | 管理代表 | 5 分 |
| 2 | 前次管理審查決議執行狀態 | 9.3.2 a) | 管理代表 | 10 分 |
| 3 | 內外部議題變化（法規、客戶、組織） | 9.3.2 b) | 管理代表＋法務／人資 | 10 分 |
| 4 | 利害相關方需求變化 | 9.3.2 c) | 業務＋採購 | 10 分 |
| 5 | 資安績效：不符合與矯正措施趨勢 | 9.3.2 d) 1) | 資安窗口 | 10 分 |
| 6 | 資安績效：監控與量測結果 | 9.3.2 d) 2) | 各監控項目負責人 | 10 分 |
| 7 | 資安績效：稽核結果（內稽＋外稽） | 9.3.2 d) 3) | 稽核召集人 | 10 分 |
| 8 | 資安績效：資安目標達成情形 | 9.3.2 d) 4) | 各目標負責人 | 10 分 |
| 9 | 利害相關方回饋 | 9.3.2 e) | 業務＋客服 | 10 分 |
| 10 | 風險評鑑結果與風險處理狀態（含殘餘風險是否可接受） | 9.3.2 f) | 風險負責人 | 15 分 |
| 11 | 持續改善機會 | 9.3.2 g) | 全體（管理代表彙整） | 10 分 |
| 12 | 決議：改善決定、ISMS 變更需求、負責人與期限 | 9.3.3 | 主席裁定 | 20 分 |
| 13 | 下次管理審查日期 | 9.3.1 | 管理代表 | 5 分 |
（頻率與場次由組織自訂，上表只是示例）
議程表還有一個附帶好處：它把「誰要準備資料」寫死了。很多管理審查開不起來，原因不在最高管理階層不來，而是開會前一天才發現 d 項的四類數據沒人彙整。把資料提供者寫進議程，等於把準備工作往前推兩週。
管理審查的結果怎麼寫，決議與紀錄
9.3.3 的要求只有兩件事，再加一項紀錄義務：結果要包含與持續改善機會有關的決定、ISMS 需要變更之處，並留下文件化資訊作為管理審查結果的證據。
這裡要切乾淨一個很常見的錯誤。ISO 27001 的 9.3.3 是「兩件事＋紀錄要求」，沒有三個子項。網路文章和教材上常看到的「改善機會／變更需求／資源需求」三項式，其實是 ISO 9001 的 9.3.3 寫法。套到 27001 上，驗證機構一比條文就對不上，尤其「資源需求」這一項在 27001 的 9.3.3 裡並非獨立要求。資源當然可以談，但要寫成「ISMS 變更」的一部分，別把它引用成條文的三個子項。
「有決策」與「沒決策」差在哪，看例子最快（顧問實務）：
- 沒決策：「本次管理審查確認 ISMS 運作正常，將持續監控。」這句話沒有決定任何事，也沒有指定任何人。
- 有決策：「決議 1：新到職者權限開通改由部門主管二階段核准，資訊部於 12 月 31 日前完成流程修訂（負責人：資訊部主管）。決議 2：備份還原演練由每年一次改為每半年一次（負責人：資訊部主管）。」
第二個例子有四個元素：做什麼、誰做、什麼時候完成、改哪一份文件。「每年一次改為每半年一次」在這裡是決議內容，條文並沒有這樣要求，看的人要能分辨那是這家公司的決定。
紀錄欄位建議至少留這幾欄，決議才追得下去：
| 欄位 | 填什麼 | 為什麼要這欄 |
|---|---|---|
| 決議編號 | 依年度與序號編，例如 Y26-01 | 下次管理審查 a) 項要逐條追蹤，沒有編號就追不動 |
| 決議內容 | 做什麼、改哪個流程或文件 | 對應 9.3.3 的改善決定與變更需求 |
| 負責人 | 職稱，不寫「相關單位」 | 沒有具名，等於沒有負責人 |
| 期限 | 日期 | 下次審查看的是這一欄 |
| 變更核准層級 | 誰核准這個變更 | 接 ISMS 變更管理的紀錄 |
| 生效日 | 變更實際開始實施的日期 | 區分「決定」與「已實施」 |
（欄位由組織自訂，上表只是示例）
最後提醒一句，紀錄要能看出「討論過」。只有簽到表和一張決議清單，看不出七項輸入談了什麼，也看不出誰反對過什麼。決議後面補一句討論重點，比事後回想有用。
管理審查的形式、參加者，能不能和內稽一起開
形式是自由的。9.3.1 要求最高管理階層依規劃的期間審查 ISMS，並沒有規定非得用會議形式。台灣驗證機構的公開政策寫得更明確：管理審查可以依客戶選擇的任何形式執行，但如果不是透過會議，必須有合理的證據顯示管理團隊參與了某種形式的討論，僅僅閱讀報告是不可接受的。
「不開會」合法，「只把報告傳給老闆看」不合法。差別在有沒有討論的證據：回饋意見、郵件往返的決策結論、逐項簽注意見，都算；一份沒有人回應的報告不算。
責任主體也要寫對。管理審查應由最高管理階層執行，條文沒有列出出席職稱，沒寫總經理、沒寫資安長、也沒寫管理代表。實務上的判準是紀錄上要看得出來最高管理階層做了決定，而不是簽了名。只有資安窗口與 IT 在場的那一場，通常不被當成管理審查，原因不在人數不夠，是層級不對。
至於能不能跟內部稽核一起開，可以，條文沒有禁止。合併是安排問題，不是可以少談的問題。要滿足三個條件（顧問實務）：
- 稽核報告在管理審查之前完成並發出。否則 d) 的第 3 類沒有東西可談，管理審查的輸入就缺一項。
- 紀錄要能分別看出「稽核結果」與「七項輸入」。兩段分開寫，不要混成一段「本次稽核與管理審查紀要」。
- 參與者要含最高管理階層。不能只有稽核小組與受稽單位。
合併有三個典型風險。最常見的是開成一場稽核檢討會，整場在討論缺失怎麼改，七項輸入只談了 d) 一項。第二種是先開管理審查、後補稽核，日期順序一反，紀錄一看就破。第三種是資料袋沒有分兩疊，會議中一直在找文件，最後決議寫得含糊。
合併開會不是問題，合併考卷才是問題。時間可以省，輸入一項都不能省。
9.1 監控量測與 9.2 內部稽核差在哪
9.1 是平時的監控，組織自己決定項目與頻率，看的是趨勢；9.2 是定期的獨立檢查，另找人來判定符合性與有效性。兩者都會產生紀錄，一個是數據，一個是判定。
9.1 要求組織自己決定六件事：
| # | 組織要決定的事 | 實務上寫在哪 |
|---|---|---|
| a | 什麼需要被監控與量測，包括資訊安全過程與控制措施 | 監控項目清單 |
| b | 監控、量測、分析與評估的方法（適用時），以確保結果有效 | 每個項目旁註明怎麼算、資料從哪來 |
| c | 何時執行監控與量測 | 頻率欄（每月、每季、每半年） |
| d | 誰執行監控與量測 | 負責角色欄 |
| e | 何時分析與評估結果 | 月報、季報的分析時點 |
| f | 誰分析與評估結果 | 分析者與核准者 |
（上表為 9.1 六項要求的落地欄位，項目與格式由組織自訂）
方法的要求只有一句：所選方法要能產生可比較、可重現的結果，才算有效。可比較指今年與去年、甲廠與乙廠放得上同一張表；可重現指換一個人算，結果一樣。這句話是很多「有數字但沒意義」月報的解藥。每個月統計的母數不一樣、定義偷偷改過，那條趨勢線就不能拿來做決定。
下面這張表是常見做法，條文並沒有要求。條文只要求你把項目與方法定出來、留下證據，沒有給 KPI 清單，也沒有規定頻率。
| 監控項目 | 頻率 | 負責角色 | 要看什麼 |
|---|---|---|---|
| 備份成功率與還原演練結果 | 每月／每半年 | 資訊部 | 失敗次數、還原耗時是否在目標內 |
| 弱點掃描與修補逾期件數 | 每季 | 資訊部 | 高風險弱點逾期件數與處理天數 |
| 帳號與權限變更（含離職停用） | 每月 | 人資＋資訊部 | 停用時效、異常權限件數 |
| 資安事件通報與處理 | 每月 | 資安窗口 | 件數、分級、平均結案天數 |
| 電子郵件社交工程演練 | 每半年 | 資安窗口 | 點擊情形、通報情形（不是處罰名單） |
| 教育訓練完成情形 | 每年 | 人資 | 完訓情形、關鍵職位是否補訓 |
| 供應商資安要求符合情形 | 每年 | 採購 | 高風險供應商是否完成評估 |
| 資安目標達成情形 | 每季 | 各目標負責人 | 落後項目與原因 |
（項目與頻率由組織自行決定並留下證據（9.1），條文未規定上述項目與頻率）
各給兩個落地例子，比較容易抓到差別。9.1 的例子：每月看備份成功率與還原演練結果，貼進月報；每季統計資安事件通報件數與平均處理天數。這兩件事本來就是自己單位平常在做的，差別只是把它記下來、定期看趨勢。
9.2 的例子：每年抽 10 筆離職名單，查帳號是否在規定時間內停用；每年抽 5 台筆電，查全碟加密與防毒是不是真的開著、版本還在不在支援期內。這兩件事都要另找一個人去看證據，光看制度寫了沒並不夠。抽樣筆數是示例值，驗證機構不會要求特定數量，但會問你為什麼抽這些。
發現不符合之後，10.2 要走完的七個動作
稽核結束不代表事情結束。發現不符合之後，要走 ISO 27001 10.2 的流程：
| # | 10.2 要求的動作 | 白話 |
|---|---|---|
| 1 | 對不符合做出反應：採取行動控制並改正它，處理後果 | 先止血，例如把錯開的權限關掉、把外洩的檔案下架 |
| 2 | 評估是否需要行動以消除原因（使其不再發生、也不在其他地方發生）：檢視不符合、判定原因、判定是否有類似情況存在或可能發生 | 找根因，順便查同一類問題在別的部門有沒有 |
| 3 | 實施所需的任何行動 | 改流程、改設定、改訓練 |
| 4 | 檢視所採矯正措施的有效性 | 過一段時間回來看有沒有再犯 |
| 5 | 必要時更新規劃時所決定的風險與機會 | 回頭更新風險清冊，不標子項字母 |
| 6 | 必要時變更 ISMS | 文件、分工、控制措施跟著改 |
| 7 | 保留文件化資訊：不符合的性質與後續所採行動、任何矯正措施的結果 | 缺失單與結案證據 |
（步驟為 10.2 條文轉述；表單格式由組織自訂，第 5 列部分二手來源未列，待標準全文確認。）
「改正」修現象，「矯正措施」修原因。改正（correction）是把已經發生的事補起來，矯正措施（corrective action）是讓它不再發生。只做前者，明年同一張單會再開一次；而「同一類缺失重複發生」在驗證機構眼裡，是制度沒有在動的訊號。
稽核報告上的發現通常分三種寫法：符合、不符合、觀察（或稱改善建議）。只有「不符合」在條文裡有對應的處理流程（10.2）。「觀察事項」並不是 27001 的條文用語，那是稽核實務與報告上的分類。觀察事項要不要開矯正單，由公司自己決定：開，代表你願意處理；不開，要有理由，不能只是沒人管。這一點也解釋了「顧問給的稽核表怎麼對條文」的落差：表上每一個「觀察」都不是條文要求，除非你把它當成不符合來處理。
紀錄表的欄位至少要有這些，才算查得出來、追得下去：
| # | 欄位 | 填什麼 |
|---|---|---|
| 1 | 稽核日期 | 實際執行日（不是通知上的預定日） |
| 2 | 稽核範圍 | 部門、地點、條文 |
| 3 | 稽核員 | 姓名與所屬單位 |
| 4 | 獨立性說明 | 為什麼這個人與受稽業務無利害關係 |
| 5 | 受稽單位代表 | 誰陪同、誰確認紀錄 |
| 6 | 稽核準則 | 標準條文＋公司程序書 |
| 7 | 發現類型 | 符合／不符合／觀察 |
| 8 | 發現描述 | 事實＋證據（看到什麼、抽了哪幾筆） |
| 9 | 條文依據 | 條號，或公司程序書編號 |
| 10 | 後續處理 | 是否開矯正單、單號 |
| 11 | 報告日期與簽核 | 誰核准、什麼時候 |
（欄位由組織自訂，上表只是示例）
第 4 欄值得多寫一句。它不是形式欄位：獨立性說明寫得出來，代表排稽核員的時候真的想過一次；寫不出來，通常表示那個場次本來就沒排好。
已經有 ISO 9001 的內稽與管理審查，27001 可以共用嗎
可以。共用的是流程，不能共用的是輸入內容。底下講的都是這句話的展開。
| 項目 | ISO 27001:2022 | ISO 9001 | 差異或可共用 |
|---|---|---|---|
| 內部稽核方案 | 9.2（9.2.1 通則、9.2.2 稽核方案） | 9.2（子條款結構相同，二手待確認） | 流程可共用：一份稽核程序＋一份年度方案，每場標明查核標準 |
| 稽核員獨立性 | 9.2.2 要求稽核過程的客觀性與公正性 | 同為「客觀性與公正性」的寫法（二手待確認） | 可共用同一套指派原則；但稽核員能力要涵蓋被查的每個標準 |
| 管理審查輸入 | 9.3.2 七項，含風險評鑑結果與風險處理狀態 | 以品質面為主，如顧客回饋、外部提供者績效（二手待確認） | 流程可共用，輸入不可共用：紀錄格式要有兩欄 |
| 管理審查結果 | 9.3.3 為持續改善決定＋ISMS 變更需求 | 三項式寫法（二手待確認） | 格式可共用，但欄位要能裝下兩邊；不把 9001 三項式當成 27001 條文 |
| 紀錄保存 | 9.2.2 末段、9.3 末句＋7.5.3 | 7.5.3（同構） | 完全可共用一套紀錄管制規則 |
| 不符合與矯正 | 10.2 | 10.2 | 可共用一本缺失登錄；欄位加「屬哪個系統」 |
（ISO 9001 欄位為二手資訊：ISO 9001:2026 全文本輪未取得，僅供對照，不作為條文引用）
版本要寫對：ISO 9001:2015 已被 ISO 9001:2026 取代。這裡只寫這一句版本事實，不寫 2026 版的條文內容或輸入清單；本輪沒有取得全文，寫了就是猜。
實務上合併的作法很簡單：一份稽核程序、一份年度方案、一本缺失登錄、一套紀錄管制規則。每場稽核在方案上標明「查 9001／查 27001／兩者」；管理審查紀錄用兩欄裝輸入，資安這一欄放風險評鑑結果、殘餘風險、控制措施有效性，品質那一欄放顧客回饋、外部提供者績效。兩欄都空著的欄位，就是缺一個輸入。
合併最常失敗的地方不在開會，而在考卷合併：一份紀錄、一組問題，兩邊的輸入混在一起談，最後誰的條文都沒對上。整合的共用與分工細節，包含哪些文件可共用、哪些必須分開，另有專文處理：ISO 27001 與 ISO 9001 整合：共用文件與分工怎麼切。這裡不重寫那份清單。
最常見的 8 種做錯方式
底下八項是查核現場反覆出現的錯誤，每一項都附上「怎麼改」。改法都是小動作，不必重做制度。
| # | 錯在哪 | 後果（誰會抓到） | 怎麼改 | 對應條號 |
|---|---|---|---|---|
| 1 | 內稽只在驗證前做一次，之後在認證週期內一片空白 | 追查稽核調不到該年度的內稽紀錄，依驗證機構公開政策會被提出不符合 | 方案按年排、日期先訂；每年固定月份執行，不因忙碌順延 | ISO 27001 9.2.2 |
| 2 | 稽核員查自己部門的工作 | 稽核過程的客觀性與公正性不成立（9.2.2） | 跨部門互查，或由未參與該業務者執行；方案寫明獨立性理由 | ISO 27001 9.2.2 |
| 3 | 管理審查開成進度報告會議，沒有七項輸入，也沒有決策 | 紀錄對不到 9.3.2，也沒有 9.3.3 的決定 | 用固定議程模板，a～g 各一格；沒有變化也要寫「本期無重大變化」 | ISO 27001 9.3.2、9.3.3 |
| 4 | 管理審查紀錄只有簽到表 | 看不出討論了什麼、決定了什麼，等於沒有結果的證據 | 紀錄加「逐項結論＋決議編號＋負責人＋期限」 | ISO 27001 9.3.3 |
| 5 | 把顧問給的檢查表當成條文要求，逐項照抄卻不知道對應哪一條 | 被問「這一項依據哪一條」答不出來；檢查表一改版就全亂 | 查檢表每項後面加「條號」欄；沒有條號的歸到「公司自訂要求」 | ISO 27001 9.2.2 |
| 6 | 不符合只改現象，沒有根因與有效性確認 | 同一類缺失每年重複，驗證機構可能升級處理 | 缺失單加三欄：原因、矯正行動、有效性確認日 | ISO 27001 10.2 |
| 7 | 監控量測沒有定義項目與頻率，出事才回頭找紀錄 | 9.1 沒有證據，管理審查的 d) 也沒有資料可談 | 先訂 6 到 8 項就好，寧可少而穩，再逐年加 | ISO 27001 9.1 |
| 8 | 稽核與管理審查合併開，但輸入資料沒有分別準備 | 整場變成缺失檢討會，七項輸入只談一項 | 合併可以，資料袋分兩疊、紀錄分兩段 | ISO 27001 9.3.2、9.2.2 |
（上表為顧問實務整理，不是條文清單）
八項裡面，第 3 項和第 4 項最常見，也最容易補。原因很單純：稽核有報告要交，管理審查常常只剩一張簽到表。把議程模板和決議欄位固定下來，這兩項就不會再出現。
ISO 27001 內部稽核與管理審查 常見問題 FAQ
ISO 27001 內部稽核 一年要做幾次？＋
條文沒有規定次數，只要求依規劃的期間執行。台灣驗證機構的公開政策期待每個日曆年一次，管理審查同。實務作法：在稽核方案裡寫明「每年一次」，把日期排進年度行事曆，並在方案註明依過程風險調整的理由（如果有的話）。
ISO 27001 內部稽核 誰來查？可以自己人做嗎？人少怎麼辦？＋
可以自己人做，條文沒有要求外部稽核員，也沒有要求人數。做法是讓查的人不查自己主辦的業務：跨部門互查、由未參與該業務的主管擔任、委外執行（方案與報告仍是公司文件）、或集團內互相支援。方案裡為每一場寫一句獨立性說明，是最省事的證明方式。
ISO 27001 內部稽核 範圍要涵蓋全部條文嗎？＋
不必每一場都查全部條文，但整個認證週期要覆蓋到。做法是分場次：這一場查資訊部的作業與資產，下一場查人資的人員安全，年底查前次缺失的矯正有效性。排場次時把「過程重要性」與「以往稽核結果」寫進理由，方案才說得通。
ISO 27001 管理審查 一定要開會嗎？紀錄要寫到什麼程度？＋
不一定要開獨立會議，但要有討論與決定的證據；只把報告傳給最高管理階層閱讀，不可接受。紀錄至少要有：日期與出席、七項輸入逐項的結論、決議內容、負責人、期限。簽到表加一句「審查通過」不算紀錄。
ISO 27001 管理審查 誰要參加？＋
條文指定最高管理階層，沒有列職稱。實務判準是紀錄上看得出最高管理階層做了決定：主席由具決策權的人擔任，各輸入的負責人列席說明。只有資安窗口與 IT 在場的會議，通常不被當成管理審查。
ISO 27001 稽核發現不符合 怎麼處理？觀察事項算不算缺失？＋
不符合走 10.2：先控制並改正、處理後果，再判定原因、實施行動、確認有效性，必要時更新風險與機會或變更 ISMS，並保留紀錄。觀察事項不是條文用語，條文只規範不符合與矯正措施；要不要開矯正單由公司決定，開了就照 10.2 走完。
已經有 ISO 9001 的內稽，27001 可以直接用嗎？＋
流程可以共用，輸入不能共用。稽核程序、年度方案格式、缺失登錄、紀錄管制規則可以一套；管理審查的輸入要分兩欄，資安放風險評鑑結果與控制措施有效性，品質放顧客回饋與外部提供者績效。合併開會可以，合併考卷不行。
ISO 27001 稽核紀錄 要保存多久？＋
條文沒有訂年限，公開資料也查不到適用於 ISMS 內稽紀錄的通案法定年限。作法是公司自己訂：在 7.5.3 的紀錄管制規則寫明保存期間與銷毀方式，並讓它對得上認證週期與客戶契約的要求。不要在文件裡寫一個自己做不到的年限。
結語：先補齊兩份證據，再談要不要合併
回到最初的問題：每年到底要交什麼。答案其實只有兩份，一份是「有人去查、查完給結論」的稽核紀錄，一份是「最高管理階層看完結論、做決定」的審查紀錄。其餘的方案表、議程、查檢表、缺失單，都是為了讓這兩份站得住。
如果只能先做一件事，就做稽核方案表：把今年要查哪幾場、誰查、查什麼、什麼時候查寫下來並核准，後面的紀錄才有依附的地方。第二件事是管理審查的議程模板，七項各一格，每格指定一位資料提供者。兩件事做完，「合併開會」就會變成一個可以討論的選項，不再是風險。
驪鑫是 ISO 輔導顧問公司，以輔導為主，可協助企業走完驗證流程，本身不做驗證發證。實務上我們看的順序是：先確認方案排得出來，再確認七項輸入拿得到，最後才看紀錄寫得夠不夠。順序反了，補救成本會高很多。
免費資源與常見問題整理在：ISO 27001 顧問與驗證機構怎麼選？12 個企業最常問的問題。手上已經有去年的方案表與會議紀錄的話，可以先照文中那兩張表各勾一遍，缺的補起來，再決定今年的場次要不要調整。
下一步｜與我們聯絡
不確定企業是否需要導入 ISO，或想了解輔導範圍、費用與時程？
歡迎先與我們聯繫，先了解您的需求與現況，再依實際情況安排電話討論、線上會議或到廠訪談。
全台皆可洽詢，北、中、南均提供 ISO 輔導服務。
聯絡方式
- 免付費專線：0800-695-996
- 各區電話：台北 02-6604-4178｜台中 04-2327-0352｜高雄 07-334-2260
- LINE 官方帳號：@zgs9595e
- 線上表單：與我們聯絡
延伸閱讀
參考資料
本篇引用的官方文件與查詢入口（查閱日 2026-11-08）：
讓我們成為合作夥伴吧！
我們非常期待與您合作，分享我們的經驗、策略、管道，嘗試創造更多的商業機會。當然，最重要的還是能一起創造彼此的價值，創造新的可能，我們很榮幸成為你們的合作夥伴之一。
