快速導覽
隱藏
客戶要求 ISO 9001，三個月來得及嗎？
三個月不是標準規定，是客戶給的期限。九關裡能壓的是範圍與並行，不能壓的是紀錄累積、內稽與管理審查、矯正關閉與驗證排程；這篇給可承諾的說法。
ISO 9001 三個月取證 重點搶先看
- 「三個月」不是標準規定的時間；標準只規定要做哪些事，時間由驗證排程與你的紀錄累積決定。
- 三個月要過的九關裡，有幾關的長度不在你手上，先認出來再談承諾。
- 能壓的是範圍與並行；不能壓的是紀錄累積、內稽與管理審查、矯正關閉、驗證排程。
- 對客戶能承諾的是受理與排程，不是「一定拿證」；三段式回覆讓你不會簽下做不到的事。
- 現在開始做，拿到的是 2015 版還是 2026 版，取決於驗證機構的轉版安排。
三個月不是 ISO 規定，是你給客戶的期限。ISO 9001 的文中裡沒有任何「準備期要多久」的條款，官方公開文件也查不到準備期長度；所以「三個月來不來得及」不是一個標準問題，而是一個排程問題——取決於九個關卡裡，有幾關的長度握在你手上。能壓的是前置作業：範圍、文件量、送件與排程；不能壓的是紀錄累積、內部稽核與管理審查、以及缺失關閉。因此對客戶可以承諾里程碑，不能承諾取證日期。
這段話對已經被押了日期的負責人可能不太舒服，但它比「應該可以吧」有用。ISO 官方頁面寫得很清楚：ISO 不辦理驗證、也不提供符合性評鑑，驗證必須找外部的驗證機構。證書是驗證機構（Certification Body，CB）核發的，而驗證機構的檔期、兩階段稽核之間的間隔、缺失關閉後的驗證與發證作業，都不在你的日曆上。你要做的是把「你控制得到的那幾關」排到極限，然後用一句誠實的話，把「你控制不到的那幾關」講給客戶聽。
這篇不再講一次「ISO 9001 要多久」。全文用四樣東西把三個月拆開：一張九關倒推地圖（有哪九關、誰做、什麼情況會退回重做）、一張從客戶指定日回推的排程模板（每一格該完成什麼）、一份可承諾／不可承諾清單（哪些話寫進合約會出事）、以及一段可以直接改寫的三段式回覆。看完你應該能回客戶「我幾月幾日會給你什麼」，而不是「我盡量」。
站上講「要多久」的那一頁，談的是沒有人押日期時，一般情況要多久、時間花在哪裡、哪裡可以壓；文中談的是客戶已經押了一個日期，從那個日期回推每一關該做完什麼、哪些可以捨、哪些不能捨，以及你能對客戶承諾到哪裡。兩頁照順序看：先用那一頁建立時程概念，再用這一篇把同樣的概念放進一個固定交期裡做取捨。
三個月來不來得及，看九關裡你控制得了幾關
第一句：時間不是標準規定。ISO 9001 文中規範的是品質管理系統（Quality Management System，QMS）要做到什麼，不是做多久。ISO 的官方頁面與 2026-09-16 的發布新聞稿裡，查無任何準備期長度的規定。所以「三個月」不是條文給你的期限，而是客戶的採購條件，加上你點過頭的那句承諾。
第二句：九關裡至少三關的長度不在你手上。驗證機構的排程檔期、第一階段稽核到第二階段稽核之間的間隔、重大不符合的矯正驗證與發證作業，決定權都在驗證機構；公開規範查無時長規定，所以你排不出一個「取證日期」，只能提早談檔期、把內部進度準備到隨時可以受稽。
第三句：能承諾里程碑，不能承諾取證日。盤點完成日、文件與紀錄就緒日、內部稽核完成日、管理審查完成日、送件日——這些由你的人力和排程決定，寫進合約是你負責；取證日期、稽核結果、客戶是否接受你的範圍，寫進合約就是把別人的決定變成自己的違約風險。
為什麼用「九關」而不是輔導流程的五個階段？五階段是流程的骨架，站上另一頁已經寫得完整；「九關」是給被押了日期的人用的清單。它把驗證機構那一側的三段作業（第一階段稽核、第二階段稽核、技術審查與發證）與缺失關閉各自拆成一關，因為這幾關正是排程時最容易「以為它會自動發生」的地方。少了這幾格，倒推表會算出一張很樂觀、實際上卻做不到的日曆。
「三個月」不是標準規定：時間由誰決定
把三層事實分開看，你就不會被「聽說三個月可以」或「聽說一定要半年」牽著走。
第一層：ISO 不辦驗證，也不發證書。官方頁面明列：「ISO 不辦理驗證、不提供符合性評鑑，驗證須找外部驗證機構。」（ISO〈Conformity assessment〉）ISO 官方問答也直接回答：No. ISO doesn’t provide certification or conformity assessment.（ISO Help Centre〈Does ISO carry out certification?〉，頁面更新 2025-07-30）所以「ISO 說三個月可以」這種句子，一開始就把發證的主體搞錯了。
第二層：ISO 9001 文中沒有準備期條款。條文談的是要求事項——範圍、領導、規劃、支援、運作、績效評估、改善——沒有一條在講「從決定要做到可以受稽，中間要幾個月」。就官方公開頁面與發布新聞稿的文件範圍判斷，官方文件查無任何準備期規定（推論，來源同上）。這是消極事實：正確的說法是「查無規定」，不是「官方說不用三個月」；也不是「官方說三個月做不到」。
第三層：時間由三方共同決定（推論）。①企業現況：範圍、流程成熟度、紀錄累積（顧問實務）；②驗證機構的稽核時間規則：Global ACI（Global Accreditation Cooperation Incorporated，全球認證合作組織）的 Global ACI-TECH-3-004 (M) v1.0，MD 為 Mandatory Document（強制性文件），Issue 2026-07-10、Implementation 2026-08-28，承接 IAF的 IAF MD 5:2023，改版僅重排版、無實質文字變更（官方）；③缺失關閉與發證流程：ISO/IEC 17021-1 的相關條款（由驗證機構公開文件與認證組織問答引述，屬二手資料）。附帶一個容易搞錯的機構現況：Global ACI 自 2026-01-01 起運作，承接 IAF 與 ILAC的職能並啟用單一 MRA（Mutual Recognition Arrangement，相互承認協議）（官方），所以現在沒有「IAF 現行規定」這種東西。
一句界線留在這裡：ISO/IEC 17021-1 管的是驗證機構的能力、一致性與公正性，不是你的準備期。該標準的官方摘要載明其適用於提供管理系統稽核與驗證的機構，並載明管理系統驗證屬第三者符合性評鑑（官方）。17021-1 管的是驗證機構，不是你的準備期；你的準備期沒有任何標準在管，只有客戶的日期在管。
這也是為什麼「三個月」的答案只能長成這個樣子：你控制得到的那幾關，排得出來；你控制不到的那幾關，只能談、不能保證。接下來把九關攤開。
三個月要過的九關：一張倒推地圖
這張表先把「誰做」與「什麼情況會退回」標出來，你才知道哪幾格不能等到最後才動。第三欄寫的是這一關實際在做什麼，不是文件名稱；第五欄是退回的理由——被退回的那一關，通常就是三個月裡真正吃掉時間的地方。
| # | 關卡 | 這關在做什麼 | 誰做 | 什麼情況會退回或重做 |
|---|---|---|---|---|
| 1 | 現況差距盤點 | 把範圍、場所、活動、外包與缺口列清楚，決定這次要驗到哪裡 | 企業＋顧問 | 範圍不清，驗證機構無法報價與排程（稽核時間依有效人數計算，官方） |
| 2 | 文件與紀錄建立 | 寫出最小集合的文件，同時開始「產生紀錄」——不是寫完文件才開始做 | 企業（顧問協助） | 只寫文件不運作，第二階段稽核抽不到證據（顧問實務） |
| 3 | 內部稽核 | 依計畫實查、開缺失、追改善，留下查核與改善的紀錄 | 企業內稽人員 | 只有簽到表、沒有查核紀錄，第一階段稽核會被追問（顧問實務） |
| 4 | 管理審查 | 有輸入、有決策、有追蹤；開完會要留下做了什麼決定 | 高階管理者 | 形式化、只有簽名，等於把風險留給第二階段（顧問實務） |
| 5 | 向驗證機構申請與排程（含文件審查） | 送件、讓驗證機構審文件、取得稽核日期 | 驗證機構（企業送件） | 檔期滿只能等；文件不足被退回補件（顧問實務） |
| 6 | 第一階段稽核（文件與準備度） | 看「你準備好了沒」：範圍、文件、內稽與管理審查是否已規劃並執行 | 驗證機構 | 發現事項未關閉，第二階段的間隔被拉長（二手資料） |
| 7 | 第二階段稽核（現場） | 看「做了沒、有沒有效」：抽紀錄、抽現場、抽人 | 驗證機構 | 重大不符合未完成矯正驗證，可能再執行一次第二階段（二手資料） |
| 8 | 缺失開立與矯正措施關閉 | 原因分析、矯正、有效性驗證；不是交一份回覆就好 | 企業提出／驗證機構驗證 | 只交紙本、沒有實際執行，無法關閉（二手資料） |
| 9 | 技術審查與發證 | 由獨立於該次稽核的人員審查後做驗證決定並發證 | 驗證機構 | 資料不全被退回補正（顧問實務） |
；表格的關卡順序取自驗證流程的通用結構，第五～九關的敘述依驗證機構公開文件與認證組織問答引述，屬二手資料。
這九關的順序固定，但每一關的長度不是。第 1 到第 4 關的長度主要由你的投入決定；第 5 到第 9 關則是驗證機構的流程，加上你回應缺失的速度。同樣一關，有人走得快、有人卡住，差別通常在「這一關的輸入有沒有齊」——範圍沒定案，第 1 關過不去，第 5 關的申請也送不出去；紀錄沒開始累積，第 2 關看起來完成了，第 7 關抽樣時卻空手。
哪幾關的長度不在你手上
這四列是三個月裡最容易失控的地方，也是你回覆客戶時必須先講清楚的部分。每一列都標了「決定者是誰」與「能不能給數字」——能不能給數字這件事，本身就是你對客戶說明的重點。
| 關卡 | 決定者是誰 | 依據與等級 | 能不能給數字 |
|---|---|---|---|
| 驗證機構排程檔期 | 驗證機構 | 公開規則查無；ISO/IEC 17021-1 要求驗證機構有流程，但未規定時長（推論） | 不可。只能寫「檔期只能提早談」（顧問實務） |
| 第一階段到第二階段的間隔 | 驗證機構（須考量企業關閉第一階段發現事項的需要） | ISO/IEC 17021-1 第 9.3.1.2.4 條，經認證組織問答引述（二手資料） | 不可。可寫「長度由驗證機構依發現事項決定」 |
| 重大不符合的矯正驗證 | 驗證機構 | 第 9.5.2 條（須審查、接受並驗證有效性）、第 9.5.3.2 條（6 個月）（二手資料） | 可寫「6 個月是規則上限，不是企業端作業期」；不可寫成你的準備期 |
| 技術審查與發證行政作業 | 驗證機構 | 公開天數查無（查無） | 不可 |
；本表為事實對照，不是排程建議。
把四列合起來看，可以得到一個很實用的推論：至少三關不在你手上——排程檔期、兩階段之間的間隔、缺失驗證與發證。這也解釋了為什麼「三個月」只能被拆成「我控制得到的里程碑」加上「我控制不到、但會提早去談的節點」，而不能被壓成一個日期寫在合約上。
順帶把一個常見的混淆講開：不給天數不是顧問在閃躲，而是這些環節本來就沒有公開的時長規定可以引用。你如果聽到「送件後大概幾週會排到」，那句話的來源是某一家驗證機構當下的檔期狀況，不是規範；把它當成自己的承諾寫給客戶，等於把別人的行事曆變成自己的風險。
從客戶指定日往回推：每一格該完成什麼（示例模板）
做法很簡單：先在日曆上標出客戶要的那一天（T-0），然後把九關往回排。下面這張表是一張填空題的骨架，週次刻度只是為了讓你看得出「哪一格離客戶的日期最近」；真正的長度，取決於下一節的六個條件。
| 距客戶指定日 | 這一格該完成什麼 | 誰做 | 卡住會怎樣 |
|---|---|---|---|
| T-12 週 | 現況盤點＋範圍草案（廠區／產品線／外包） | 企業＋顧問 | 範圍不清，驗證機構無法報價與排程（稽核時間依有效人數計算） |
| T-10 週 | 向客戶確認：他要的是證書、受理或排程證明，還是供應商評鑑表 | 企業（對客戶） | 方向做錯，整段重做（見「三種要求」那一節） |
| T-9 週 | 文件化資訊的最小集合（範圍、政策、目標、流程）到位，並開始留紀錄 | 企業（顧問協助） | 缺範圍，連申請都難；缺紀錄，第二階段沒有證據 |
| T-8 週 | 向驗證機構提出申請並詢問檔期（範圍定了就先問，不要等文件寫完） | 企業 | 檔期只能提早談，晚問就是往後排 |
| T-6 週 | 內部稽核實際執行（開缺失、追改善） | 企業內稽人員 | 第一階段稽核會查「是否已規劃並執行」 |
| T-5 週 | 管理審查（有輸入、有決策、有追蹤） | 高階管理者 | 形式化等於把風險留給第二階段 |
| T-4 週 | 第一階段稽核（文件與準備度） | 驗證機構 | 發現事項未關閉，第二階段的間隔被拉長 |
| T-3 週 | 關閉第一階段發現事項、確認第二階段日期 | 企業＋驗證機構 | 重大不符合未完成驗證，可能重做第二階段 |
| T-0 | 第二階段稽核、缺失回覆、技術審查與發證（跨過客戶指定日） | 驗證機構 | 缺失未關閉不得做驗證決定 |
使用限制，三句請一起看：①T-12／T-9 這種週數是排版用的示例刻度，不是任何人的承諾，也不是官方建議；②每一格真正的長度由下一節的六個條件決定，你的 T-12 可能是別人的 T-8；③這張表不能讀成「照著做就能在客戶要的那一天取證」——它只是一張把九關塞進日曆的填空題，最後一格（T-0）本來就會跨過客戶指定的日期，因為發證是驗證機構的動作。
；表內週次為示例刻度，實際長度依企業條件與驗證機構安排而定。
六個條件，決定你能壓縮多少
同樣是三個月，有人做得到「送件＋排到稽核」，有人連盤點都收不了尾。差別通常不是努力程度，而是下面六個條件。逐項勾，勾得越多，你能壓的空間越大。
| # | 判斷條件 | 滿足時可壓縮哪一關 | 不滿足時會多出什麼 |
|---|---|---|---|
| 1 | 是否已有運作中的流程與紀錄（不是只有文件） | 第 2 關的「紀錄累積」段 | 得等紀錄產生，第二階段證據不足 |
| 2 | 範圍是否單一廠址、單一產品線 | 第 1 關與第 5 關（有效人數與複雜度下降） | 多廠址，抽樣與行程增加（稽核時間以有效人數為基礎，官方） |
| 3 | 是否已有可執行內部稽核的人與運作中的管理審查 | 第 3 關與第 4 關 | 得先訓練再實查，多一輪 |
| 4 | 客戶要的是證書、受理或排程證明，還是供應商評鑑表 | 需求釐清後可少做整段 | 方向做錯，整段重做 |
| 5 | 是否卡到年末、連假、產業旺季 | 第 5 關的檔期 | 排不到，日期只能往後推 |
| 6 | 版本狀態：這次稽核依哪一版 | 無（版本不影響準備量，只影響判定依據） | 版本搞錯，文件與稽核準則不一致 |
；本表是判斷架構，不是可行性結論。
六項裡，第 4 項最常被跳過，卻最省時間：很多人埋頭準備，最後才發現客戶只是要在供應商評鑑表上看到「已送件」，或者只需要一份受理證明。方向錯了，前面做的整段都可能白做。
交期固定時的取捨：可以壓的三件事與代價
被押了日期之後，取捨的順序會變得跟平常不一樣：平常你會想「先做完整再送件」，交期固定的時候要想「哪一段先做完，才不會卡住別人」。下面三件是可以壓的，但每一件都有代價，代價要一起講給客戶聽。
| 可以壓 | 怎麼壓 | 代價 |
|---|---|---|
| 範圍 | 收斂到單一廠址、單一產品線，把不影響交付能力的職能留在範圍外 | 客戶可能不承認該範圍（他看的是證書上的範圍文字） |
| 文件量 | 依規模與流程複雜度寫到「夠用」，不追「完整」；沿用既有表單改寫 | 現場要提得出證據，寫了卻做不到的段落會變成缺失 |
| 排程 | 範圍定案就先向驗證機構問檔期，再回頭排內部進度 | 檔期只能提早談，不能指定某一天 |
；三項取捨是顧問實務建議，不是規範要求。
關鍵句留在這裡：縮範圍是最有效的合法壓縮手段，但它是拿範圍換時間，不是拿時間換時間。範圍縮了，稽核時間與行程會跟著下降，因為稽核時間本來就是以有效人數與場所為基礎計算（官方）；但你換掉的東西不會消失，它會以「客戶不承認這個範圍」的形式回到你身上。
範圍能不能這樣切，規範上有一條線：QMS 的範圍須以文件化資訊維持可用，決定範圍要考量內外部議題、利害相關者要求與產品與服務，且不得排除影響提供合格產品或服務能力的活動（ISO 9001 第 4.3 條，由驗證機構公開文件引述，屬二手資料）。實務上的判斷很簡單：只要某個部門或某條線的活動會影響你交給客戶的東西，它就不能被切到範圍外；切了，你在稽核時很難解釋「為什麼這一塊不適用」。
至於「哪些可以壓、哪些不能壓」的完整清單，站上〈ISO 9001 要多久？輔導時程、階段與可壓縮的地方〉已經有一張對照表。文中只寫被押了交期之後的取捨順序與代價，不重列那張清單；兩頁一起看，你會發現那張表解決的是「一般情況」，這裡解決的是「日期已經寫在訂單上」。
不能壓的四件事：做了就是無效，不是比較冒險
可以壓的是「量」，不能壓的是「性質」。下面四件事不是「風險高一點」，而是做了之後那一段證據就不成立——稽核員看到的不是「做得趕」，而是「沒有做」。
| 不能壓 | 為什麼 | 依據 |
|---|---|---|
| 內部稽核與管理審查事後補簽 | 第一階段稽核就在看「是否已規劃並執行」；補簽等於承認當時沒有執行，證據不成立 | 顧問實務＋第一階段稽核範圍（二手資料） |
| 紀錄回溯填寫 | 紀錄的用途是證明「做了」；回溯會讓時間序對不上，稽核員一比對現場與日期就看得出來 | 推論（由紀錄的證據目的得出）＋顧問實務 |
| 缺失關閉只交紙本、沒有實際執行 | 重大不符合要「驗證有效性」，不是「收到文件」；沒有執行的矯正措施關不掉 | ISO/IEC 17021-1 第 9.5.2 條，經認證組織問答引述（二手資料） |
| 為了快而排除核心活動 | 範圍不得排除影響提供合格產品或服務能力的活動；排掉它，等於把驗證範圍寫成一個不真實的公司 | ISO 9001 第 4.3 條，經驗證機構公開文件引述（二手資料） |
；四件「不能壓」屬規範與實務判斷的混合，逐列已標依據等級。
把這四件收成一句話：文件可以先寫，紀錄不能後補。文件是你規定自己怎麼做，今天寫、明天改都還來得及；紀錄是你真的做了的痕跡，它的價值就在「不是事後補的」。所以趕時間的時候，順序應該是「先把文件定下來，然後立刻開始照它做、開始留紀錄」，而不是「先把文件寫漂亮，稽核前再一次補紀錄」。前者是壓縮，後者是無效。
還有一種常見的自我合理化：「反正只是形式，稽核員不會看那麼細。」實務上，稽核員抽樣的成本很低——抽一份程序書對照現場、抽一筆紀錄問原因、抽一個上次的缺失問有沒有再發生。這三個動作只要有一個對不上，後面就會變成整段被追問，時間反而拉長。
對客戶可以承諾什麼、不能承諾什麼
下面兩張表建議直接拿去對照你要簽的文件。左邊那張寫進合約是安全的，右邊那張寫進去就是用自己的名義擔別人的責任。
| 可以承諾（你控制得到） | 為什麼可以 |
|---|---|
| 里程碑日期（哪一週完成盤點、哪一週完成內部稽核） | 由你的人力與排程決定，改得動、追得到 |
| 內部稽核完成日、管理審查完成日 | 同上；這兩個日期是你自己的行事曆 |
| 送件日、向驗證機構提出申請與詢問檔期之日 | 送件是你的動作；對方何時回覆不是 |
| 缺失關閉計畫（誰負責、何時完成、如何驗證） | 計畫是你的；執行結果要由驗證機構驗證 |
| 不可承諾（不在你手上） | 為什麼不行 |
|---|---|
| 取得證書的日期 | 驗證決定權在驗證機構；排程、階段間隔、缺失驗證、發證行政都不由企業決定 |
| 稽核結果（通過與否、幾件缺失） | 由稽核當天取得的證據決定，簽約當下沒有人知道 |
| 客戶一定接受你的證書或範圍 | 顧客有決定權；範圍文字可能不符他的採購要求 |
| 驗證機構一定排得到某一天 | 檔期不是企業可控，公開規範也查無任何「一定排得到」的保證 |
；兩張表的欄位是判斷框架，不是合約範本。
品牌的說法與合約的說法，差別只在一個字：品牌語講「我們會做什麼」，合約也只能講「我們會做什麼」，不能講「結果會是什麼」。「範圍確定後我們就先去問檔期」、「能先做的我們先做完」、「缺失我們陪你關到驗證為止」——這些講的都是投入，可以寫；「幾月幾日會拿到證書」講的是結果，不能寫，因為那個結果不是簽約的任一方能單獨決定的。
三段式回覆：怎麼回客戶才不會簽下做不到的承諾
下面三段可以直接改寫使用，空格留給你填。寫的時候只有一個原則：每一句都要對得上你能控制的事。
① 現況與可行範圍。我們已確認 貴司要求的時間點是 ____。以目前的範圍（____ 廠／____ 產品線）來看，前置作業可以排在 ____ 前完成；至於驗證機構的稽核排程與發證時程，依規定是由驗證機構決定，我們會在 ____ 前完成送件並取得排程回覆。
② 里程碑與需要 貴司配合的事。我們能承諾的是這幾個里程碑：____（範圍確認）、____（文件與紀錄就緒）、____（內部稽核完成）、____（管理審查完成）、____（送件與排程）。需要 貴司配合的是：確認採購規範或 CSR（customer-specific requirements，顧客特定要求，不是企業社會責任）文件、指定單一窗口、以及確認是否接受分階段提供（先提供必要文件供評鑑）。
③ 風險與替代方案。風險有三個：驗證機構檔期、第一階段發現事項的關閉時間、以及第二階段缺失的改善。若 貴司的採購時程不能等，可以先提供「已送件」或「已排程」的證明與必要文件，供供應商評鑑先行作業；證書日期我們不會先寫進合約，除非驗證機構已回覆排程。
這三段可以直接拿去改，但任何一句都不能被替換成一句「對取證日期的保證」——那是合約裡最不該出現的東西。你如果遇到採購堅持要一個日期，正確的回應不是硬簽，而是把「日期」換成「節點」：幾月幾日送件、幾月幾日完成內部稽核、幾月幾日之前取得排程回覆。這些節點你給得起，而且給得起才有意義。
還有一個實務提示，簽約前先問一句：「這次稽核依哪一版？」版本會影響你文件與判定準則要對到哪一版，問清楚再簽，比事後改文件便宜太多（版本時間見後面「2015 版還是 2026 版」那一節）。
客戶要的是證書、受理證明，還是供應商評鑑表
這是三個月裡最容易被誤判的一件事，而且誤判的代價是整段重做。先把客戶那封信找出來，看他到底要哪一個。
| 客戶要什麼 | 常見情境 | 可行做法 | 不可以怎麼寫 |
|---|---|---|---|
| 要證書影本 | 供應商資格審查、投標文件 | 只能等驗證機構發證；期間先給里程碑書面與送件證明 | 不可以說「先給一張臨時證書」 |
| 要驗證機構受理或排程證明 | 客戶要看到「已在流程中」 | 送件後向驗證機構索取受理或排程文件（能否提供由驗證機構決定） | 不可以把「已受理」講成「已通過」 |
| 要供應商評鑑表與自評 | 系統廠、工程統包、外商在台採購 | 用自評表＋文件清單＋內部稽核報告回應 | 不可以拿自評表冒充第三者驗證 |
；三種做法屬顧問實務建議，受理與排程文件能否提供由驗證機構決定。
三個「不可以」之所以重要，是因為它們會被寫進往來的信件裡，而信件是可以被拿去對照的。這裡還有一條容易被忽略的用語界線：在台灣，證書是由驗證機構核發的，而核發證書的機構本身要被認證機構認證——TAF（Taiwan Accreditation Foundation，財團法人全國認證基金會）就明文要求，取得驗證的組織在宣傳或廣告上使用「認證」與「驗證」時不可混淆（TAF〈驗證機構認證書及認證標誌使用規定〉）。所以宣傳上寫「本公司通過 ISO 9001 驗證」是對的，寫成「本公司取得 ISO 9001 認證」就要看你的說法會不會讓人誤會你被認證的是別的東西。
台灣中小企業在三個月情境下最常卡住的三件事
這裡講的是顧問實務看到的通則，不是規範要求。三個月裡真正讓人卡住的，很少是條文不懂，而是下面三件事。
第一件：紀錄來不及累積。文件可以在短時間內寫完，但「檢驗紀錄、採購紀錄、訓練紀錄」這種東西，是跟著生產與人事節奏長出來的。第二階段稽核看的是證據密度：三個月要驗的系統，如果只有兩週的紀錄，稽核員會問「之前呢」。這也是為什麼第 2 關要「邊寫邊做」，而不是寫完再開始做。
第二件：沒有人有時間做內部稽核。內稽人員通常就是公司裡最忙的那個人，於是被排到最後一週；等到真的查完，缺失沒有時間關，第一階段的發現事項也來不及處理。實務上的解法不是「找人加班」，而是先把內稽日期訂在文件就緒之後、並且指定一個真的有空查的人。
第三件：客戶要的文件與 ISO 要的文件不是同一套。客戶要的常常是矯正措施紀錄、外包評鑑、儀器校正與訓練紀錄；ISO 要的是流程與紀錄的完整性。兩邊沒對齊，就會做兩次——而且你會覺得自己一直在補件。
這三件事背後通常是同一個原因：人。一套系統至少要四個角色才轉得動：管理代表（或系統負責人）、內部稽核人員、各部門窗口、以及主持管理審查的高階主管。如果只有一個人兼辦，常見的四個後果是：文件變成那個人的個人作品、現場不知道文件寫什麼、內部稽核變成自己查自己、管理審查變成蓋章。這四件事不會在文件上看起來有問題，但會在第二階段稽核的抽樣裡一次出現。
抽樣長什麼樣子？實務上最常見的三種問法：抽一份程序書，對照現場是不是這樣做；抽一筆紀錄，問當時為什麼這樣判定；抽一個上次的缺失，問有沒有再發生。這三問都不難，難的是「當場拿得出來」。文件進度超前現場的時候，每一個抽樣點都要現場補解釋，時間反而拉長。
如果你的客戶是上市櫃系統廠、工程統包或外商在台採購，他要看的通常是矯正措施紀錄與外包名單與評鑑這幾樣，細節見〈高雄工廠被客戶要求 ISO 9001：客戶看的是矯正措施紀錄〉那一頁，文中不重寫。
顧問能快在哪、不能快在哪
把九關對半切，界線就很清楚。
能壓的是第 1 到第 4 關：現況盤點可以一次做完、文件可以用既有表單改寫、內部稽核可以有人帶著做、管理審查可以先把輸入準備好。這幾關的長度主要取決於「有沒有人專心做」，顧問的價值就在這裡——把「不知道從哪裡開始」變成「這週做這三件」（顧問實務）。
不能壓的是第 5 到第 9 關：向驗證機構申請與排程、第一階段稽核、第二階段稽核、缺失驗證、技術審查與發證。這五關是驗證機構的流程，顧問只能在旁邊幫你把文件備齊、把缺失回覆寫清楚，不能替對方排日期、也不能替對方做驗證決定。
一句誠實話：顧問壓得到前置作業，壓不到驗證機構的流程。如果有人告訴你「找顧問就可以三個月拿到證書」，那句話把後面五關當成不存在。你可以要求的是：範圍確定後我們就先去問檔期、能先做的我們先做完、缺失我們陪你關到驗證為止——這些都是「我們會做什麼」，不是「結果會是什麼」。
還有一個常被誤會的地方：稽核人天（稽核員的工作天數）常被當成「總共要多久」的答案。兩者不是同一件事——稽核人天是稽核員的工作天數，不等於企業的準備期（由稽核時間的計算規則推得）；現行的計算是以有效人數的人數帶為基礎，初次驗證為兩階段合計，並受風險類別等因素調整，計算出的稽核時間也不含旅運等在場但非稽核的活動（Global ACI-TECH-3-004 (M) 與 Global ACI-TECH-3-001 (M)，官方）。把它換算成「所以要幾個月」，是把兩個不同單位的東西接在一起。
現在開始做，會拿到 2015 版還是 2026 版
這個問題在簽約前就該問清楚，因為它決定你的文件與判定準則要對到哪一版。以下日期全部來自官方公開資訊：
① ISO 9001:2026《Quality management systems – Requirements》於 2026-09-16 發布（ISO 新聞稿）。② ISO 9001:2015 的狀態為 Withdrawn（95.99），已被 2026 版取代（ISO 標準頁）。③ 2028-03-31 起，新增與初次驗證只能核發 ISO 9001:2026 證書；既有 2015 版證書須於 2029-09-30 前完成轉換，可併監督、再驗證或另辦轉換稽核（Global ACI 過渡要求）。④機構側的節點：認證機構（Accreditation Body，AB）2027-03-31 前就緒、驗證機構 2027-06-30 前提交轉換聲明、AB 的轉換決定 2027-09-30 前完成（Global ACI 過渡要求文件 Global ACI-TECH-3-TR 2029-09-30 (M)，對 MRA 簽署機構及其驗證機構具強制性）。
務實的建議只有一句：簽約前先問你的驗證機構「這次稽核依哪一版」。問清楚之後，你的文件、內部稽核的查核重點、以及缺失的判定準則才有一致的依據。
要提醒的是，上面這幾個日期支持的是「什麼時候開始只發新版、舊證書什麼時候要轉完」，不支持「所以現在簽約一定拿到 2026 版」這種逐案推論——實際依哪一版稽核，是驗證機構的安排，不是日曆推出來的。轉版的完整時程與換證順序寫在〈ISO 9001:2026 轉版時程：期限、換證與準備順序〉，文中只放這幾個日期，不重述那一頁的內容。
十一個最常見的誤解
下面十一條是三個月情境裡最常聽到的說法。每一條都標了「錯在哪」與可以查的依據；你要拿去跟客戶或內部溝通時，直接看最後一欄。
| # | 常見說法 | 錯在哪 | 正確說法 | 依據 |
|---|---|---|---|---|
| 1 | 「三個月一定拿到證書」 | 把「送件、排到稽核」當成「拿到證書」 | 三個月可能做得到送件並排到稽核；拿證要等缺失關閉與驗證決定 | ISO 不發證（官方）；17021-1 第 9.5.2 條（二手資料） |
| 2 | 「花錢請顧問就會快」 | 顧問能壓的是前置作業，不是驗證機構的流程 | 顧問壓得到第 1 到第 4 關，壓不到第 5 到第 9 關 | 顧問實務；Global ACI-TECH-3-004 (M)（官方） |
| 3 | 「文件先寫一寫，稽核前再補紀錄」 | 紀錄是「做了」的證據，回溯填寫會讓時間序對不上 | 文件可以先寫，紀錄必須邊做邊留 | 推論（紀錄的證據目的）＋顧問實務 |
| 4 | 「先簽約再說，日期之後再講」 | 把不可控的排程風險寫成自己的承諾 | 合約寫里程碑與投入，不寫取證日 | 顧問實務 |
| 5 | 「範圍寫小一點就會快」 | 快的是稽核時間；代價是客戶可能不承認該範圍 | 縮範圍是拿範圍換時間，要先確認客戶採購範圍的文字 | 稽核時間以有效人數為基礎（官方）；第 4.3 條（二手資料） |
| 6 | 「有證書，客戶就一定接受」 | 顧客有決定權，他還會看範圍、產業別與缺失紀錄 | 證書是門票，不是接受 | 顧問實務 |
| 7 | 「2026 版上路，舊證書就作廢」 | 混淆「標準改版」與「驗證轉換」 | 2028-03-31 起只影響新發與初次驗證；2015 版證書 2029-09-30 前完成轉換 | Global ACI 過渡要求（官方） |
| 8 | 「指定某一天，驗證機構一定排得到」 | 排程是驗證機構的資源，不是你的權利 | 檔期只能提早談，不能指定 | 公開保證查無；顧問實務 |
| 9 | 「人天是國際組織規定的，不是驗證機構自己決定」 | 來源已經改了：IAF 於 2026-01-01 停止運作，職能由 Global ACI 承接 | 現行的強制文件是 Global ACI-TECH-3-004 (M)（原 IAF MD 5）；它算的是稽核員的工作天數 | Global ACI 新聞（官方）；TECH-3-004 封面（Issue 2026-07-10） |
| 10 | 「人天算一算，就知道要幾個月」 | 人天是稽核員的工作天，不是企業的準備期 | 企業準備期沒有任何標準在管 | 推論（由稽核時間規則得出）；17021-1 適用對象（官方） |
| 11 | 「客戶要求，就是法令要求」 | 混淆採購條件與法律強制 | 台灣的 ISO 9001 驗證屬自願性第三人驗證；客戶要求是採購條件 | TAF 手冊性質（官方）；17021-1 第三者符合性評鑑（官方） |
；「常見說法」是市場上聽到的講法，不代表任何特定公司。
結語：先做一件事，就知道三個月夠不夠
三個月這個數字，最後會落在兩個地方：一個是你日曆上那幾個里程碑，一個是客戶採購文件上的一行字。你能控制第一個，控制不了第二個。
驪鑫是 ISO 輔導顧問公司，做的是輔導——從範圍盤點、文件與紀錄建置、內部稽核與管理審查的協助，到陪你走完驗證流程。驗證是驗證機構的動作，證書不是我們發的；我們能承諾的是把前置作業做到位、把該問的檔期提早問、把缺失陪你關到驗證為止。
如果你只想先做一件事，做這一件就夠：把客戶那封信找出來，確認他要的是證書、受理證明，還是供應商評鑑表——這一件事決定你接下來三個月要做什麼。看完之後還不確定怎麼排，可以看〈ISO 9001 輔導服務：從差距分析到通過驗證〉，或直接把你手上的交期與範圍帶來討論，我們一起把它拆成日曆上的節點。
ISO 9001 三個月取證 常見問題 FAQ
客戶要求三個月內看到 ISO 9001 證書，可能嗎？＋
可能做到的是「送件並排到稽核」，不是「拿到證書」。證書要等稽核、缺失關閉與驗證決定，這幾段由驗證機構排；所以三個月內能給客戶的是里程碑與送件、排程的證明。回客戶時把「送件」與「取證」分開講，就不會簽下做不到的事。
三個月內拿不到證書，那我至少能做到哪一步？＋
四件事：範圍定案、文件與紀錄就緒、內部稽核與管理審查完成、送件並取得排程回覆。這四件都有書面可以給客戶看，而且是你控制得到的。把它們寫成有日期的清單，比一句「盡快」有用。
哪些關卡的時間不是我能決定的？＋
四段：驗證機構的排程檔期、第一階段到第二階段的間隔、重大不符合的矯正驗證、技術審查與發證。這四段公開規範查無時長，所以你只能提早談、不能指定日期；回客戶時講「我會在幾月幾日送件、幾月幾日取得排程回覆」，比講「幾月幾日拿證」誠實也安全。
可以只驗證一個廠區或一條產品線嗎？＋
可以，但兩個條件要守住：範圍要以文件化資訊維持可用，而且不得排除影響提供合格產品或服務能力的活動。代價是客戶可能不承認這個範圍——他看的是證書上的範圍文字，所以先確認他的採購範圍怎麼寫，再決定要不要縮。
有沒有哪些文件一定要先有，其他可以後補？＋
先有這幾樣：範圍、品質政策、品質目標、流程與其相互作用，以及標準明文要求保留的紀錄。其餘的表單可以沿用既有格式、可以電子化集中管理，不需要重做成一套新的。完整清單站上另有一頁在講，這篇不重列。
內部稽核與管理審查可以最後一週做嗎？＋
不建議，而且不是「風險高」的問題：第一階段稽核就在看這兩件事有沒有規劃並執行，排到最後一週，你沒有時間關掉查出來的缺失，第二階段的間隔就會被拉長。正確的順序是文件就緒後先做內部稽核，再把管理審查排在內部稽核之後。
稽核被開缺失，關不掉會怎樣？＋
重大不符合的矯正要經過審查、接受並驗證有效性，才可能做驗證決定；只交紙本、沒有實際執行，關不掉。如果第二階段最後一日之後 6 個月內仍無法驗證矯正與矯正措施的執行，驗證機構須再執行一次第二階段才能建議驗證——這就是為什麼缺失不能拖。
客戶要的是證書影本，可以先給什麼？＋
先給里程碑的書面、送件證明、內部稽核與管理審查紀錄；受理或排程證明要送件後向驗證機構索取，能不能提供由對方決定。不要用臨時證書或自製的自評表代替第三方驗證，這兩種做法在供應商評鑑裡很容易被看穿。
下一步｜與我們聯絡
不確定企業是否需要導入 ISO，或想了解輔導範圍、費用與時程？
歡迎先與我們聯繫，先了解您的需求與現況，再依實際情況安排電話討論、線上會議或到廠訪談。
全台皆可洽詢，北、中、南均提供 ISO 輔導服務。
聯絡方式
- 免付費專線：0800-695-996
- 各區電話：台北 02-6604-4178｜台中 04-2327-0352｜高雄 07-334-2260
- LINE 官方帳號：@zgs9595e
- 線上表單：與我們聯絡
延伸閱讀
參考資料
本篇引用的官方文件與查詢入口（查閱日 2026-11-04）：
讓我們成為合作夥伴吧！
我們非常期待與您合作，分享我們的經驗、策略、管道，嘗試創造更多的商業機會。當然，最重要的還是能一起創造彼此的價值，創造新的可能，我們很榮幸成為你們的合作夥伴之一。
