ISO 27001 證書有效期怎麼看？到期日、換證週期與證書範圍判讀

手上有一張 ISO 27001 證書，或正在看別人遞給你的那一張，想確認的事情其實三件：它現在還算不算數、它管到哪裡、我什麼時候要動。真偽反而排在後面。這三題的答案都印在紙上，只是多數人沒被教過怎麼讀。

ISO 27001 條文本身不規定證書有效期。有效期的依據在驗證機構的運作規範 ISO/IEC 17021-1：一個驗證週期以 3 年為原則、最長不得超過 3 年，中間每年一次追查稽核，到期前要完成再驗證。「3 年」與「每年稽核」是同一套制度的三段節奏，週期決定這張紙什麼時候失效，年度追查決定它中間有沒有被檢查。

為了讓它變成可判讀的東西，文中放了幾張表：誰會發證書、證書上八格各在講什麼、三個日期怎麼對照、範圍怎麼拆，另外還附換證時程與常見誤解。

名詞交代一下。ISO/IEC 27001 由國際標準化組織與國際電工委員會共同發布，規定的是組織的資訊安全管理系統（Information Security Management System，ISMS）：一套用來保護資訊機密性、完整性與可用性的管理制度，適用對象不分規模與產業。

還有一件事會影響你查資料。ISO/IEC 17021-1 與 ISO/IEC 27006-1 的標準文受著作權保護、需另行取得，撰寫時沒有取得全文。因此文中每一條要求都寫成「標準編號＋條號＋要求重點」，不拿引號假裝引用原文；可以逐字引用的只有官方機構網站上的公開句子。台灣可直接查證的中文一手來源，是全國認證基金會（Taiwan Accreditation Foundation，TAF）公布的 TAF-MS-IC01（ISO/IEC 27006-1:2024 中文版，2024-09 實施）。

一張 27001 證書上有五個角色，只有一個會發證書給你

角色沒分清楚，後面每個問題都會歪掉。把認可機構當成發證單位，就會以為「有認可就等於有證書」；把顧問當成驗證機構，就會期待「輔導做完自動拿證」。這兩種誤解在採購審查與投標現場都遇得到，而且通常要到被要求補件時才發現。

單位	角色	對公司代表什麼	可查證來源
ISO／IEC	標準制定	寫出 27001 的要求；不驗證、不發證	iso.org 標準頁
TAF（全國認證基金會）	認可（accreditation）	認可「驗證機構」有沒有能力做 27001 驗證；不發證書給公司	TAF 官網 FAQ／認證名錄
IAF／Global ACI（Global Accreditation Cooperation Incorporated）	國際認可的相互承認	讓各國認可結果互相承認；不對公司發證	iaf.nu（檔案站）／global-aci.org
驗證機構	驗證（certification）	唯一會發 27001 證書給公司的一方	機構官網／TAF 驗證機構客戶名錄
顧問公司（含本公司）	輔導	協助建立制度；不具驗證資格、不能發證	—

第二列最容易被誤解。TAF 官網 FAQ 寫得很直接：「本會不提供驗證服務，例如核發 ISO 9001 驗證證書；驗證服務由驗證機構提供。」（TAF 官網 FAQ）這句一次解掉兩種誤解：一是「TAF 幫我發證」，二是「顧問保證拿證」。

實際鏈條只有一條：TAF 認可驗證機構 → 驗證機構來稽核你公司 → 驗證機構發證書給你公司。中間沒有第二個發證單位，也沒有「代辦發證」這種角色。你在標案或客戶端被要求提出證明時，對方要看的其實是這條鏈上的最後一環。

證書上印的八個必載欄位，以及每一格在講什麼

證書要載明什麼，規定在驗證機構的運作規範裡。ISO 標準頁對這份文件的說明是：「ISO/IEC 17021-1:2015 是驗證機構的運作規範，證書要載明什麼寫在它的第 8.2 條。」（iso.org 標準頁）

ISO/IEC 17021-1 第 8.2.2 條列出八項。下表是要求重點與判讀意義；條文本身需另外取得，這裡不引原文。

#	要求重點	判讀意義
a	獲證客戶的名稱與地理位置；多場址時列總部與範圍內各場址	看地址有沒有包含你要他服務的廠或辦公室
b	授予、擴大、縮減範圍或換證的生效日，且不得早於對應的驗證決定日	生效日比稽核決定日還早＝異常，要問
c	到期日或再驗證到期日，須與再驗證週期一致	只有這一格能回答「還有效嗎」
d	唯一識別碼（證書編號）	查詢時的 key；換證是否換號問發證機構
e	管理系統標準與版次狀態	一定看得出寫的是 :2022 還是 :2013
f	驗證範圍：各場址的活動類型、產品與服務，不得誤導或含糊	「範圍寫太寬」就是在這一格出事
g	驗證機構名稱、地址與驗證標誌；其他標誌（如認可符號）可用但不得誤導	認可標誌屬「可用、非強制」，不是真偽判準
h	該標準要求的其他資訊	ISMS 的「其他資訊」由 27006-1 補，見下三項

ISMS 還有三項加註，寫在 ISO/IEC 27006-1:2024 第 8.2.2 條：「ISMS 驗證文件應由專責人員簽署，且適用性聲明應納入驗證文件之中。」（TAF-MS-IC01 中文版）

• 簽署人：驗證文件要由專責人員簽署。看到一張沒有具名簽署的 ISMS 證書，先問它是不是正式文件。
• 適用性聲明：適用性聲明（Statement of Applicability，SoA）要納入驗證文件，實務上常見附在證書後面，或在證書上註明 SoA 為驗證文件的一部分。拿不出 SoA，就是這張證書的配套文件不齊。
• 遠端活動：「若驗證範圍內的活動未在明訂實體地點進行，驗證文件上應指出組織遠端從事的全部活動。」（同上）全遠端的公司，證書上會有一行英文寫的 remote activities。

SoA 是 ISMS 特有的要求，ISO 9001 證書沒有對應規定，這是兩張紙在附件上的第一個差別。對方只給你一張證書、拿不出 SoA，你可以直接問配套文件在哪裡。

版本欄也值得看一眼。ISO/IEC 17021-1 第 8.2.2 e) 條要求標示標準與版次狀態，所以肉眼就能分辨 ISO/IEC 27001:2013 與 ISO/IEC 27001:2022。愛爾蘭國家驗證機構的過渡政策頁寫著：「ISO/IEC 27001:2013 證書在 2025-10-31 轉版期結束後失效。」（NSAI 過渡政策頁）今天若還看到寫 :2013 的 27001 證書，先問它為什麼還在。轉版怎麼做、時程怎麼排，是另一組頁面的事，這裡不展開。

ISO 27001 證書有效期是幾年？為什麼有人說 3 年、有人說每年都要稽核

兩個說法都對，因為它們講的是不同層次，而且經常被混成一句。

第一層：ISO 27001 條文不管這件事。27001 只寫管理系統要求，沒有規定證書效期。講「27001 規定證書三年」，是講錯了對象。

第二層才是依據。ISO/IEC 17021-1 第 9.1.3.2 條要求管理系統的驗證週期以 3 年為原則、最長不得超過 3 年，特定行業方案另有規定者從其規定。措辭要留神：3 年是上限，不是固定不變的承諾，也不是三年一到就自動失效、中間都不用管。

「每年」講的是另一條。ISO/IEC 17021-1 第 9.1.3.3 條要求追查稽核（surveillance audit）至少每個日曆年一次，再驗證年度除外；而且初次驗證後的第一次追查稽核，距驗證決定日不得超過 12 個月。界線在「日曆年」與「12 個月」，不是「差不多一年做一次就好」。

階段	時點（依規範）	要做什麼	沒做的後果
初次驗證（兩階段）	第 0 年：Stage 1 → Stage 2 → 驗證決定	完成兩階段稽核、重大不符合完成矯正並經查證	不發證
第 1 次追查稽核	驗證決定日起 12 個月內（ISO/IEC 17021-1 第 9.1.3.3 條）	抽查 ISMS 持續運作、SoA 變更、內稽與管理審查	逾期可能被暫時終止或終止（ISO/IEC 17021-1 第 9.6.5 條）
第 2 次追查稽核	第 2 個日曆年，至少每年一次（ISO/IEC 17021-1 第 9.1.3.3 條）	同上，加上前次不符合事項的追蹤	同上
再驗證稽核	第 3 年、證書到期前完成（ISO/IEC 17021-1 第 9.6.3.1.1 條）	全系統重新查核，並檢視前一週期的追查報告	到期即失效；太晚完成可能得重新走初次驗證
證書到期／換發	到期日當日；新到期日得以原到期日為基準（ISO/IEC 17021-1 第 9.6.3.2.3 條）	取得新證書、更新對外文件與投標資料	對外仍宣稱「已驗證」＝不實宣稱

「第 1 年、第 2 年、第 3 年」是規範的稽核方案結構，不代表滿 3 年才要做事。每年都要動一次，只是第 3 年動得最大：那次叫再驗證，不是又一年的追查。

站上〈ISO 27001 與 ISO 9001 整合：共用文件與分工怎麼切〉那篇寫過「條文不談證書有效期」，方向是對的。這裡補的是它後半段的依據：有效期來自驗證機構的運作規範 ISO/IEC 17021-1 第 9.1.3.2 條，寫在驗證機構的規則裡，不是各家自己形成的慣例。

三個日期怎麼讀：初次發證日、本次發證日、到期日

證書上常見三個日期。多數人只記得「三年」兩個字，被問到哪一格才是判準時，答不出來。

證書上的字	代表什麼	依據
初次發證日（original certification date）	這套管理系統第一次通過驗證的日期；換證時驗證機構可以保留原初次驗證日期	ISO/IEC 17021-1 第 8.2.2 b) 條及其註
本次發證日／生效日（date of issue）	這張證書的生效日，不得早於驗證決定日	ISO/IEC 17021-1 第 8.2.1 條、第 8.2.2 b) 條
到期日／再驗證到期日（expiry date／recertification due date）	這張證書失效的日期，須與再驗證週期一致——唯一能回答「還有效嗎」的欄位	ISO/IEC 17021-1 第 8.2.2 c) 條

判讀的口訣是「初次發證日看資歷、本次發證日看新鮮度、到期日看還能不能用」，客戶要看的是第三個。採購問「你們的證書什麼時候到期」，答「我們做了六年」是答錯格。

換證之後證書編號會不會變？查無公開的統一規定，這屬各發證機構自己的編號規則：有機構沿用原號加版次，也有機構換新號。只能問你的發證機構，不能當通則講，更不能因為號碼變了就以為換了一家。

一個具體的判讀例。同一家公司拿出兩張紙，第一張寫初次 2019、本次 2022、到期 2025；第二張寫初次 2019、本次 2025、到期 2028。看起來像兩張不同證書，其實是同一套系統、換過一次證，初次發證日被保留，所以資歷看起來一樣長。

每年一次的追查稽核在看什麼、沒做會怎樣

追查與再驗證是兩個動作，別混著用。追查稽核是抽查持續運作：看部分要求、部分控制措施，確認系統還在照自己的規則跑。再驗證是全系統重新查核，連驗證範圍對現在的業務還相不相關都要重新判斷。

追查現場通常會看四件事：ISMS 是否持續運作（不是只看文件在不在）、SoA 有沒有跟著實際狀況變更、內部稽核與管理審查有沒有照週期做、前一次的不符合事項有沒有關掉。這四項都不是「有沒有做」的是非題，重點在「做的東西對不對得上現在」。

沒做會怎樣？逾期未完成追查，落在 ISO/IEC 17021-1 第 9.6.5 條的處理範圍：暫時終止（suspension）、終止（withdrawal）或減列範圍。「逾期幾天會被停權」查無公開的統一規定，這屬各機構自己的規則，只能向你的發證機構確認。任何告訴你「逾期幾天沒事」或「逾期幾天一定停權」的說法，都不該當成通則。

這裡有一個很容易踩的點：到期日還沒到，不代表證書還有效。如果該年度的追查稽核沒做，證書狀態可能已經被暫停，只是紙上的日期還沒到。反過來說，查詢系統顯示有效，也要順手確認該年度的追查已經完成。

分界句留給同時在做 9001 的公司：9001 那篇講的是驗證後的定期稽核要準備什麼（稽核前）；這篇講的是手上這張 27001 證書怎麼讀、什麼時候到期、範圍對不對（證書本身）。一個是稽核前，一個是證書本身，別把兩份清單混著用。

再驗證（換證）到底查什麼、憑什麼算過

再驗證（recertification）的目的寫在 ISO/IEC 17021-1 第 9.6.3.1.1 條：確認管理系統整體的持續符合性與有效性，以及對驗證範圍的持續相關性；並且須及時規劃與執行，以便在證書到期前完成換發。「整體」與「持續相關性」兩個詞，就是它與追查最大的差別。

查核範圍比追查大。除了當次的系統查核，還會檢視前一週期全部追查報告：那些報告裡開過的問題、當時的承諾、後來怎麼處理，都會被拿回來對。「前兩年追查都過了，第三年應該輕鬆」這種預期，通常在這裡落空。

最容易出事的兩件事，實務上幾乎都跟範圍有關。

• 範圍已經變了，卻沒做擴範圍稽核。新增業務、新增場址、把某個流程外包出去，這些都會動到範圍。等到再驗證當天才提，通常來不及在到期前完成。
• SoA 與現況脫節。控制措施早就換了做法、或某些控制已經停用，SoA 還停在兩年前的版本。驗證機構一對照就會問。

新證書的兩個日期規則要記住（ISO/IEC 17021-1 第 9.6.3.2.3 條）：再驗證在原證書到期前完成者，新證書的到期日可以原到期日為基準；新證書的發證日不得早於再驗證決定日。這解釋了為什麼有些公司換證後到期日看起來「沒有往後三年」，它是接在原到期日後面算的。

常聽到的說法是「換證就是續約、把程序走完就好」。實際上換證是把整個系統重新查一遍，只是不用從零建制度：制度可以留、文件可以留，但每一項都要能被證明現在還有效。

換證要多久前開始準備？規範只寫「及時」，窗口在機構手上

這一題沒有標準答案，因為規範也沒給月數。ISO/IEC 17021-1 第 9.6.3.1.1 條只要求「及時（in due time）」規劃與執行，以便在到期前完成換發。「及時」兩個字就是全部的界線，統一的月數並不存在。

下表的月數是輔導現場的實務建議，不是規範要求；每個機構的排程窗口不同，實際要以你的發證機構公告為準。

時間點（實務建議）	要做什麼	誰負責	沒做的後果
T-6～T-3 個月（機構窗口各異）	向驗證機構確認再驗證排程與文件清單	公司窗口＋驗證機構	排不到日期，到期失效
T-3 個月	完成一次完整內部稽核＋管理審查（含新範圍）	公司（管理代表或管理窗口）	再驗證缺證據或被開重大不符合
T-2 個月	更新 SoA、風險評鑑、資產清冊	公司	範圍與現況不符，稽核當場對不上
T-1 個月	再驗證稽核（必要時含 Stage 1）	驗證機構	重大不符合未關閉，不換證
到期前	完成矯正並經查證、取得驗證決定	公司＋驗證機構	證書失效
到期日	新證書生效（到期日得以原到期日為基準）	驗證機構	對外宣稱已驗證＝不實宣稱

所以真正的動作是提早去問，而不是把月數當成保證。窗口這種事，只有你的發證機構能回答。

另外提醒一件事：換證的準備不是「把舊資料翻出來改日期」。真正要重做的是三樣：範圍對不對、風險評鑑有沒有反映現在的業務、SoA 的每一項控制現在還做不做。這三樣沒更新，其他文件再漂亮也撐不住。

查得到但過期了，算不算有證書？到期、暫停、撤銷的差別

不算。到期未換證，驗證就失效了。查詢系統上還看得到這筆資料，只代表它曾經存在，不代表現在有效。

狀態	怎麼發生	對外還能不能宣稱已驗證
到期（expired）	到期日已過，未完成再驗證	不能。這是最常見的誤用
暫停（suspended）	追查未完成、重大不符合未關閉等，由驗證機構暫時終止	不能。紙上日期可能還沒到
撤銷（withdrawn）	驗證機構終止驗證，或公司主動退出	不能。要恢復只能重新申請驗證

依據是 ISO/IEC 17021-1 第 9.6.5 條，它處理暫時終止、終止與減列範圍。三種狀態對外的意義不同，共同點是同一個：都不是「有效」。

從採購方角度看（實務觀察，非規範要求）：標案審查多半只看兩件事，查詢當日的狀態是否有效、到期日是否晚於履約期滿。只給 PDF 或截圖、不給查詢連結的作法，被接受的比例正在下降，有些採購方會自己去名錄查。

最後把兩個極端都關掉。一張有效的證書，不代表公司沒有風險、不會出事，它證明的是「管理系統符合標準、驗證程序已完成」。反過來，證書也不是形式，它是一套被外部查核過的制度證據。兩個極端都會讓你在判斷上失準。

證書範圍（Scope）寫得越寬，說服力會越高嗎

範圍寫得比實際業務寬，說服力不會增加。查核與投標審查反而容易要求補件，因為它對不上你真正在做的事。

先講決定權。ISO/IEC 27001 第 4.3 條要求組織界定 ISMS 的邊界與適用性，須考量內外部議題、利害相關者的要求，以及與其他組織活動之間的介面與依賴，並以文件化資訊留存。也就是說，範圍是你自己界定的，不是驗證機構幫你寫的。

驗證機構的角色是「確認」。ISO/IEC 27006-1:2024 第 9.1.3.6 條要求驗證機構確認客戶在其 ISMS 範圍內因應 ISO/IEC 27001:2022 第 4.3 條的要求、風險評鑑與風險處理要擴及驗證範圍所定義的活動邊界，而且驗證範圍至少要有 1 份 SoA。

範圍敘述通常由三個要素組成：活動類型、產品與服務、各場址。下次拿到一張證書，就照這三個要素拆。

證書上看到的字	代表什麼	要警覺的情況
只有公司名＋「資訊安全管理系統」	範圍敘述過度抽象	無法對應任何具體業務，投標審查會被要求補件
「資訊軟體開發之資訊安全管理」	活動＝開發	若實際含維運、代管機房，範圍不足
總部地址＋3 個廠址	多場址驗證、抽樣查核	你的案件在未列出的第 4 個辦公室＝不在範圍內
附註 remote activities：全員遠端開發	遠端作業已被驗證	沒這行卻實際全遠端＝範圍與事實不符
「適用性聲明為本證書一部分」	ISMS 證書特有	對方拿不出 SoA＝這張證書的配套文件不齊
標準欄寫 ISO/IEC 27001:2013	舊版	2025-10-31 後已失效，追問它為什麼還在

還有一個常被問的邊界：範圍裡「可以調」的是什麼？可以調整的是 Annex A 控制措施的適用性，哪幾項適用、哪幾項不適用、理由寫在 SoA。第 4～10 章的管理系統要求不能排除，宣稱符合就得全部做到。這也是為什麼「我們只有做一部分，所以把條文排除」這種講法在 27001 行不通。

一張證書有沒有涵蓋所有辦公室？多場址與遠端作業的判讀

不一定，而且這是中小企業最常誤判的一題。多場址可以抽樣查核，但抽樣有三個前提，三個要同時成立。

依 ISO/IEC 27006-1:2024 第 9.1.5.2.1 條，三個前提是：所有場區在總部管理與稽核的同一個 ISMS 下運作，並由總部管理審查；所有場區都納入內部的 ISMS 稽核方案；所有場區都納入管理審查計畫。

抽樣也不是「挑幾家看」。驗證機構會依一組差異因素選代表性樣本：內稽結果、管理審查結果、規模、業務目的、系統複雜度、活動性質、控制措施的設計與運作、法規要求、地理與文化差異、風險處境、事故量等。ISO/IEC 27006-1 第 9.1.5.2.2 條另外要求：每個面臨重大風險的場區，在發證前都必須被稽核；3 年內要涵蓋範圍內的代表性樣本。

對公司的意義要講清楚：沒被抽到的場址，仍在證書範圍內，也仍受同一套矯正措施程序拘束。任一場區發生的不符合，矯正措施適用總部與證書涵蓋的所有場區。這是抽樣制度能成立的交換條件，不是漏洞。

遠端作業另外看。若範圍內的活動沒有在明訂的實體地點進行，驗證文件上要指出組織遠端從事的全部活動。全遠端的公司，證書上通常會有一行 remote activities；沒這一行、實際上卻全遠端，就是範圍與事實不符，這種情況在查核與投標審查時都會被抓出來。

最後是員工人數。ISO/IEC 27006-1:2024 附錄 C.2.1 的用途寫得很清楚：驗證範圍內組織管理下所有班別的總工作人數，是決定稽核時間的起始點。它不是證書必載欄位，有些機構會印在證書或附頁，有些不會。「證書上沒有人數欄」不代表有問題，「有人數欄」也不代表那張紙更可信。

投標時被要求「範圍須含某項業務」，怎麼確認我們符不符合

確認的順序有差，先看 f) 欄的業務字樣，再看場址，最後才看狀態與期限。

先看 f) 欄有沒有那個字。標單寫「資訊系統維運」、證書寫「資訊軟體開發」，這兩個不是同一件事，字對不上就是對不上，不用先問「應該差不多吧」。

再看場址。標單要求「於本公司在台廠區提供服務」時，證書列的是總部還是含該廠？只列總部，這案子就落在範圍外。

最後才看狀態與期限。到期日要涵蓋履約期間，而且該年度的追查稽核要正常。一個明年三月到期、履約到後年的案子，用現在的證書去投就是風險。

不符的時候有三條路（實務建議）：走擴範圍稽核，把該項業務與場址納入；請客戶接受同等證明，例如以其他可查證的方式佐證能力；或是不硬投。三條路都有成本，但硬投的成本最高，資格審查被刷掉，通常不會有人告訴你原因。

一個判讀提醒：範圍不足講的是「這張證書沒有涵蓋你要他做的事」，跟「證書是假的」是兩件事，處理方式也完全不同。真偽要查證與通報，範圍不足則是補範圍或改合作條件。

有 TAF 認可標誌與沒有，差在哪

先講規範面，因為這一題最容易被講成真偽問題。認可標誌屬於 ISO/IEC 17021-1 第 8.2.2 g) 條的「其他標誌」，可用、但不是強制，前提是不得誤導。「證書上沒有 TAF 標誌」不等於假證書，只代表這張證書不在 TAF 的認可範圍內。

再看台灣實務差異（實務觀察與業界說法，非規範）：政府標案、金融業、上市櫃供應鏈，常直接要求「TAF 認可」或「本國認可機構認可之驗證機構」。在這種情境裡，沒有認可標誌可能在資格審查就被刷掉。不是因為證書假，而是因為它不符合招標文件的指定條件。

國際承認走的是另一條鏈。TAF 官網 FAQ 的說明是：「在驗證證書上使用 ILAC MRA／IAF MLA 組合標記，可促使認證資格獲得國際承認。」（TAF 官網 FAQ）這裡的 MRA 與 MLA 都是多邊相互承認協議（Multilateral Recognition Arrangement）：認可機構之間互相承認彼此的認可結果，講的不是對公司發證。但要留一句：有 TAF 認可，不等於自動被所有國家接受，還是要看對方要求的是哪一套認可體系。

所以真正該問的是你要拿這張證書去哪裡用。要投國內標案，先確認招標文件要求的認可體系；要交國外客戶，先確認對方接受哪一條相互承認鏈。

TAF 認可、CNS 27001 與一般 ISO 27001 證書三者的差異，站上〈ISO 27001 顧問與驗證機構怎麼選？12 個企業最常問的問題〉已經有一張對照表，文中不重寫。

IAF 與 Global ACI 是什麼？2026 年後手上的證書還算數嗎

算數。但這一段要在名詞上講準，因為 2026 年之後的機構狀態是這篇最容易寫錯的地方。

IAF 是各國認可機構組成的國際論壇，透過多邊相互承認協議（MLA）讓會員的認可結果互相承認。它不對公司發證書，承認的是「認可機構」，不是「企業」。而 IAF 官網全站標示：「IAF 已於 2026-01-01 停止運作。」（iaf.nu）

Global ACI 則是接手的組織，全名 Global Accreditation Cooperation Incorporated，簡稱 Global ACI。它由 IAF 與國際實驗室認可合作組織合併成立，2026-01-01 起全面運作並啟用自家的多邊相互承認協議（Multilateral Recognition Arrangement，MRA）。它不是一種證書，也不是驗證機構，角色是「認可機構的全球組織」。

三個「不變」是這一段最該記住的（global-aci.org 2026-01-01 成立新聞）：既有依 ILAC MRA／IAF MLA 取得的認可持續被承認；各國認可機構與驗證機構照常運作；IAF MLA 與 ILAC MRA 標誌在完全採用新標誌前仍有效。

手上的證書不會因為國際組織改名而失效。真正要注意的是你自己的到期日與追查狀態，那是你證書的事，跟國際組織叫什麼名字無關。看到有人拿「IAF 停止運作」來暗示你的證書作廢，那是把兩件事混在一起講。

文件面補一句：原 IAF 強制文件（IAF MD 系列）逐步改版為 Global ACI-TECH 系列，在同等文件被採用前，原文件仍然有效。這是驗證機構的事，公司端不用跟著換文件。

證書查詢要去哪裡查？查到之後要看哪三件事

證書查詢的管道分成四層，操作步驟不在這篇。要確認的是查詢當日的狀態，找到一張圖不算數。

管道	查什麼	限制	備註
發證機構官網／客戶名錄	證書編號、狀態、範圍、到期日	各機構揭露欄位不一	最直接
TAF 認證名錄 → 驗證機構客戶名錄	確認這家驗證機構被 TAF 認可，再進客戶名錄查公司證書	只涵蓋 TAF 認可的機構	要看認可範圍含 ISMS
IAF CertSearch	以公司名或證書編號查全球證書	原由 IAF 建立，2025-08 Global ACI 大會決議接手所有權，網站目前仍可開啟	營運主體移轉中
Global ACI 本身	查無公開的「查公司證書」平台	它的角色是認可機構之間的相互承認

查到之後只看三件事：這張證書存不存在（查不到不代表造假，可能是機構沒上傳）；有效期限有沒有涵蓋今天，而且該年度追查稽核已完成；範圍敘述有沒有涵蓋你要他做的業務。

最常見的 8 種誤解（表）

八種最常聽到的說法，對回實際規定與後果如下。這張表很適合在內部會議上念一次。

#	誤解	實際規定	後果	依據
1	以為證書可以一直放著、只看有沒有那張紙	驗證週期最長 3 年，每年一次追查稽核（再驗證年度除外）	拿過期證書去投標或對客戶宣稱，屬不實宣稱	ISO/IEC 17021-1 第 9.1.3.2、9.1.3.3 條
2	以為換證只是把程序走完、換一張紙	再驗證是全系統重新查核，含範圍持續相關性與前週期追查報告檢視	範圍已變卻沒做擴範圍稽核→證書與事實不符	ISO/IEC 17021-1 第 9.6.3.1.1 條
3	把「有 TAF 認可」與「有國際承認」當同一件事	認可標誌屬 ISO/IEC 17021-1 第 8.2.2 g) 條的「其他標誌」；國際承認走相互承認鏈	對國外客戶出示 TAF 標誌，卻被要求另一套體系證明	ISO/IEC 17021-1 第 8.2.2 g) 條、TAF 官網 FAQ
4	證書範圍寫得比實際業務寬，為了投標好看	範圍須反映實際活動與邊界，驗證機構會確認風險評鑑擴及範圍所定義的活動邊界	查核時敘述對不上→減列範圍或暫停	ISO/IEC 27006-1 第 9.1.3.6 條
5	多場址公司以為一張證書涵蓋全部辦公室	抽樣有三個前提，且以未列名場址接單會有範圍爭議	客戶查證書發現你的案件不在範圍	ISO/IEC 27006-1 第 9.1.5.2 條
6	客戶要證書時只給 PDF 截圖，沒查狀態與期限	應以發證機構、TAF 名錄或 CertSearch 查當日狀態	截圖無法證明「此刻有效」	TAF 官網 FAQ
7	把「驗證機構」與「顧問公司」當同一角色	顧問不具驗證資格、不能發證；TAF 也不發證書給公司	期待顧問保證拿證，關係與承諾都錯位	TAF 官網 FAQ
8	到期前才啟動換證	規範只要求「及時」，各機構自訂作業窗口	太晚排不到稽核，到期即失效	ISO/IEC 17021-1 第 9.6.3.1.1 條

還有一個不算誤解、但常被忽略的：把 SoA 當成「給稽核員看的附件」。SoA 依規定要納入驗證文件，客戶調證書時它是一起被看的。

【常見問題 FAQ】

結語：對一次到期日與範圍，其他的再說

回到最初的問題：這張證書還算不算數、管到哪裡、什麼時候要動。答案都在同一張紙上，到期日回答第一個，範圍敘述回答第二個，驗證週期回答第三個。三題都對得上，這張證書才算在你要用的那個場合站得住。

只能先做一件事的話，把證書上的到期日與範圍抄出來對一次：到期日有沒有涵蓋你接下來要接的案子、範圍有沒有包含你要做的業務，兩項都對得上再談別的。對不上的處理方式很明確：補範圍，或換合作條件。

驪鑫是 ISO 輔導顧問，輔導為主，可協助企業走完驗證流程；本身不做驗證、也不發證書。我們看證書的順序跟文中一樣：先看日期與狀態，再看範圍，最後才談制度細節。

接下來要判斷「該找哪一種驗證機構、證書類型怎麼挑」，可以看〈ISO 27001 認證怎麼申請？流程、時程與 6 大好處一次看〉。

下一步｜與我們聯絡

不確定企業是否需要導入 ISO，或想了解輔導範圍、費用與時程？

歡迎先與我們聯繫，先了解您的需求與現況，再依實際情況安排電話討論、線上會議或到廠訪談。

全台皆可洽詢，北、中、南均提供 ISO 輔導服務。

延伸閱讀

• ISO 9001 驗證後的定期稽核怎麼準備？文件與應對重點
• ISO 9001 14001 整合轉版｜多系統整合轉版排程與整合稽核安排
• ISO 9001 程序書要寫幾份？文件清單、必備紀錄與精簡判準

參考資料

本篇引用的官方文件與查詢入口（查閱日 2026-11-08）：

• 國際標準化組織（ISO），〈ISO/IEC 27001 標準頁〉（版本狀態以標準公告為準）：ISO 標準頁
• 國際標準化組織（ISO），〈ISO/IEC 17021-1 驗證機構要求〉：ISO 標準頁
• 國際標準化組織（ISO），〈ISO 9001 標準頁〉：ISO 標準頁
• 全國認證基金會（TAF），〈官方網站與認證問答〉：TAF 官網
• 國際認證論壇（IAF），〈官方網站〉：IAF 官網