驗廠是什麼？品牌驗廠、社會責任稽核、供應鏈安全三件事一次分清

客戶的採購寄來一封信，主旨只寫了 factory audit，沒說哪一套、沒說報告要交給誰。你要回的那一句，決定接下來是補一份文件，還是從頭再走一次流程。

先把問題問對：你們這次用的是哪一套、報告最後交給誰。這兩題有答案，再決定要不要開始準備；沒問清楚就動員現場，多半會白做一次。

這封信會送到三種人手裡：20 到 300 人公司的負責人、廠務或品保主管、還有負責接國外訂單的業務主管。第一次接到這種通知，心裡的問號很固定：驗廠到底是什麼、跟公司做的 ISO 驗證有什麼不同；客戶講的是美系零售商那種、社會責任那種、還是反恐那種；同一趟能不能同時滿足好幾個客戶；驗完開出來的缺失要怎麼補；要多久、要準備什麼；還有，結果是誰說了算。

FCCA／沃爾瑪那套評分項目與準備文件，我們另有一篇專門拆；這頁只幫你判斷客戶要的是哪一種。

驗廠是什麼？定義、英文說法，和 ISO 驗證差在哪

驗廠的英文查得到的是 factory audit，中文也有人說工廠稽核。它指的是：買方，或買方委託的稽核公司，到工廠現場，依買方自訂的行為準則或某套制度標準，用文件審查、現場觀察、人員訪談三種方式蒐證，最後交付一份稽核報告，加上一份要你限期補完的缺失改善要求（Corrective Action Plan，CAP，矯正行動計畫）。這段是各制度公開程序歸納出來的說法，不是哪一份官方文件的原句。

它跟公司平常做的 ISO 9001、ISO 14001 這類管理系統驗證，差在三個制度位置上：

比較項	驗廠（多數情況）	ISO 管理系統驗證
誰發起	買方要求，供應商配合。對供應商來說是接單的商業前提，不是法律義務	組織自己決定要不要申請
誰判定	買方，或買方／制度指派的稽核公司	第三者驗證機構
結果給誰	一份報告，交給買方，或上傳到制度指定的平台	一張公開可查的證書

第三列那個差別最實際。ISO 管理系統驗證屬於第三者符合性評鑑，驗證機構依 ISO/IEC 17021-1 執行並發證書（ISO 官方摘要）。驗廠多數只出報告、不發證書；但這句話不能推到整個社會責任領域，因為社會責任國際標準（Social Accountability 8000，SA8000）就是會發證的那一個。

官方自己講得更直接。amfori 在說明社會審核程序時寫明，商界社會責任倡議（amfori Business Social Compliance Initiative，amfori BSCI）「並非任何具體標準、認證或證書系統」，而且與產品品質、食安、產品安全審核沒有直接關聯（amfori 官網）。連制度方都這樣描述自己，就不難理解為什麼客戶收的是報告，不是證書。

例外要記住：SA8000 是社會驗證方案，必須由社會責任國際認可機構（Social Accountability Accreditation Services，SAAS）認可的機構發證，證書才被利害關係人承認（SAI 官網）。所以「社會責任驗廠一律不發證」這種說法會出錯。正確的說法是：多數制度不發證，會發證的是特定幾個，而這幾個的發證單位與一般驗廠的稽核公司不是同一個角色。

把它們當成同一件事，代價很具體：客戶要的是工時紀錄與現場訪談，你回一張管理系統證書，來回兩趟之後還是得重做，而且時間已經過掉了。

三件事一次分清：品牌驗廠、社會責任稽核、供應鏈安全

先把三個名字分開，後面所有判斷都靠這個分法。

① 品牌／客戶驗廠（buyer audit）：買方用自己的供應商行為準則，對特定工廠做的稽核。準則可能完全自訂，也可能直接指定某一套既有制度來做。結果的用途很單一：決定要不要下單、要不要續單。

② 社會責任稽核（social compliance audit）：用一套共用方法論檢查勞工、職業安全衛生、環境、商業倫理這些社會績效，產出報告與 CAP，讓多個買方共用。常見的方法論包括 SEDEX 會員道德貿易稽核（Sedex Members Ethical Trade Audit，SMETA）、amfori BSCI，以及責任商業聯盟（Responsible Business Alliance，RBA）的行為準則；另外也有一類不叫稽核、但同樣在查勞工條件並可跨平台分享的工具，例如社會與勞動整合專案（Social and Labor Convergence Program，SLCP）。

③ 供應鏈安全（supply chain security）：查工廠與運輸環節的實體安全與程序安全，包括貨物、人員、資訊的管控，對應的是美國海關及邊境保護局（U.S. Customs and Border Protection，CBP）的反恐要求。代表制度是海關及貿易夥伴反恐計畫（Customs-Trade Partnership Against Terrorism，C-TPAT）；另一條路線是由多個買方共同接受的共同稽核，例如供應商合規稽核網絡（Supplier Compliance Audit Network，SCAN）。

項目	①品牌／客戶驗廠	②社會責任稽核	③供應鏈安全
定義	買方依自己的供應商行為準則，對特定工廠做的稽核；可能自訂，也可能指定既有制度；結果用來決定要不要下單、續單	依一套共用方法論檢查勞工、職安衛、環境、倫理等社會績效，產出報告與 CAP，供多個買方共用	檢查工廠與運輸環節的實體與程序安全，防止未申報貨物、人員與資訊漏洞，對應海關反恐要求
誰會要求	直接客戶：品牌、零售商、進口商	品牌會員透過平台發起；以 amfori 為例，由會員決定哪些生產者受稽核	美國進口商把 C-TPAT 的義務往下壓給供應商；或買方指定 SCAN 這類共同稽核
依據什麼文件	買方行為準則、供應商手冊，各家自訂	制度方法論：SMETA 四支柱、amfori BSCI 行為守則與 13 個績效領域、RBA 行為準則、12 原則這類文件	CBP 的 C-TPAT 最低安全準則（進口商依此自我評估）；SCAN 則用會員共訂的共同準則
產出	稽核報告＋缺失清單，格式依買方	稽核報告＋CAP；RBA 另有嚴重度分級	C-TPAT 是安全 profile 加 CBP 的認證身分；SCAN 是一份由多個會員接受的稽核報告
與另兩項的關係	是最外層的容器：買方可以指定「用 SMETA 做」，也可以加做反恐	常常就是品牌驗廠的執行方法，同一趟到廠可以同時完成	可以獨立做，也可能被寫進社會責任制度裡的其中一條原則

三件事不是同一件事，但同一趟到廠，可以同時被要求。這是實務上最容易誤判的地方：客戶窗口一句「要驗廠」，背後可能是一份社責報告，也可能是社責加反恐兩份要求。

如果只想記一句話：品牌驗廠是客戶自己的規矩；社會責任稽核是一套共用方法論，查的是勞工與職安衛；供應鏈安全查的是防止未申報貨物的實體與程序安全。

至於某一次驗廠到底看的是哪一套社會責任標準，那是另一層問題，各自的條文與差異我們在其他頁面處理，這一頁只幫你把三件事分開。社會責任這一塊的兩條主線可以先看amfori BSCI 社會責任稽核與SEDEX 平台與稽核申請流程。

從客戶身分反推：你被要求的是哪一種

多數人卡住的地方不是不懂名詞，是不知道自己手上這張通知屬於哪一類。下面這張表用「客戶是誰」反推，找到你的客戶型態，看第二欄與第三欄。

客戶／買方型態	通常被要求的是哪一種	你該先確認的一句話	依據
歐美零售商或品牌，有自己的供應商準則	品牌驗廠；若對方同時是某個制度的會員，會指定制度名	這次是照你們自己的準則，還是用某個制度（例如 SMETA、amfori BSCI）？	品牌驗廠的依據是買方行為準則；制度會員的稽核由平台發起（amfori 官方）
電子資通訊品牌	社會責任稽核，制度多為 RBA；部分會另外要求廠區安全	稽核是由你們會員端發起，還是由我們自己申請第三方評鑑？	RBA 的現場評鑑由 RBA 核准的獨立第三方執行（RBA 官方）
買方只說「要驗廠」，沒指定制度	無法從一句話判斷，要先問出制度名或平台名	你們要的是哪一套？合約或採購條款上有沒有寫名稱？	品牌驗廠與社會責任稽核的依據文件不同，準備的紀錄也不同（見上一張對照表）
美國進口商，對方本身是 C-TPAT 夥伴	供應鏈安全要求會往下壓到你這一端	你們的 C-TPAT 要求，要我們提供哪些安全程序與紀錄？	C-TPAT 由 CBP 審查安全 profile（CBP 官方）
同一個客戶同時要社責與反恐	兩件事都要，而且不能互相抵	這兩份要求是同一份合約的嗎？一次到廠還是分兩次？	C-TPAT 與社責稽核之間，官方沒有互認公告（見後面「同一次驗廠能同時滿足幾件事」一節的說明）
做過一套，但客戶換了採購窗口或換了買方	可能重做，也可能只要你的既有報告	你們能不能接受我現有的報告？要原件、PDF，還是平台連結？	共用只在同一制度內、或買方個案接受時成立（見後面「同一次驗廠能同時滿足幾件事」一節的表）

表裡第三欄那幾句，是三句可以照著問的話。它們是顧問實務建議，不是官方規定的流程。

第一句：問制度名或平台名，不要問「要做什麼」

問什麼：直接問「你們這次用哪一套制度？報告上平台嗎？平台叫什麼名字？」。

為什麼這樣問：客戶窗口手上通常有一份內部要求，上面寫的是制度名或平台名，不是「驗廠」兩個字。你問「要做什麼」，他會回你一份形容詞；你問制度名，他會去翻那份文件，答案就具體了。

答案會改變什麼：制度名一出來，準備的文件、紀錄年限、訪談方式、報告格式全部跟著定。同一句「要驗廠」，答案若是 SMETA 與若是客戶自訂準則，要準備的東西不一樣。

第二句：問報告交給誰

問什麼：這份報告是你們自己收，還是上傳到平台？要不要給你們的客戶或報關那邊看？

為什麼這樣問：報告的流向決定你的資料會被誰看到、能不能被下一個買方沿用。上平台的報告與只給買方內部的一份 PDF，處理方式不同。

答案會改變什麼：如果報告要上平台，你的資料就會留在平台上，下一個買方有機會直接採用；如果只交給買方內部，換一個客戶大概率要再走一次。

第三句：問是第一次，還是換了客戶重做

問什麼：這是我們第一次被要求，還是你們要沿用先前那份報告？如果沿用，是哪一份、什麼時候做的？

為什麼這樣問：同一家工廠、不同買方，要求可能重疊大半。先確認買方收不收既有報告，比直接重做一次省下的是整段現場時間。

答案會改變什麼：如果買方願意個案接受，你要做的是補差異、不是重做；如果不接受，就是新的稽核，準備工作從頭排。要注意的是，願不願意接受由買方決定，不是由制度自動決定。

三個問句都問完，通常會浮出兩個分界：如果客戶要的是某個品牌的專有評分，那是品牌支文的範圍，例如FCCA 驗廠的評分項目與準備文件與美系零售商驗廠怎麼準備，這一頁不重寫那套內容；如果客戶要的是「BSCI、SMETA、RBA、SA8000、WRAP、SLCP 這幾套要怎麼選」，那屬於「社會責任標準怎麼選」那個主題，這一頁只說明社會責任稽核在驗廠三件事裡的位置。

驗廠流程五段：從首次會議到 CAP

以下用國際常見做法為例。SMETA、amfori BSCI、買方自訂流程的段落名稱與順序都不同，但五段骨架一致——不是所有驗廠都這樣跑，你要對照的是自己收到的那份通知。

階段	現場做什麼	工廠要準備什麼	常見卡點
首次會議	說明目的、範圍、行程、方法（現場觀察、訪談、紀錄審查、抽樣），介紹觀察員，說明每日小結與結束會議安排；工廠說明動線、陪同規範、訪談排程、稽核員工作空間與近期重大變化	與會名單（含工會或勞工代表）、廠區動線與陪同、訪談名單與時段、文件清單、個人防護具	只找管理層開會、沒通知勞工代表；訪談時段排在產線最忙的時候；防護具沒有即時提供
現場查核	先做大約 30 分鐘的廠區導覽建立全局，再做 2 到 8 小時的重點區查核（工作環境、人體工學、機台防護、消防與緊急設備、化學品與廢棄物、餐廳與宿舍、污水處理）；同時進行正式與非正式訪談，個人訪談約 10 分鐘、團體約 20 分鐘，必須私下進行	全廠區可進入（含宿舍、餐廳、倉庫、化學品儲存區）、近 12 個月紀錄、訪談抽樣名單涵蓋各班別與各類聘僱型態	只開放產線、宿舍與餐廳被跳過；主管在場陪訪；抽樣只給資深員工；訪談涵蓋不到夜班與外籍勞工
文件查核	抽查工時、薪資、扣款、福利、員工資料、勞動契約、許可證照、職安衛文件、廢棄物紀錄、書面政策與訓練紀錄；可用代表性抽樣，但抽樣方法要寫進缺失陳述	紀錄至少涵蓋稽核前 12 個月，薪資、工資、扣款、福利要 24 個月；額外索取的紀錄須在 24 小時內或最後一天中午前提供	出勤與薪資兩套帳；加班同意書事後補簽；證照過期未換；只有紙本、現場翻不到
結束會議	逐項說明 Priority、Major、Minor 缺失、需要再查證的項目、優先缺失的立即控制要求與後續流程，最後由稽核員與工廠管理層在評鑑發現事項確認書（Assessment Finding Acknowledgement，AFA）簽名；多日稽核另有每日約 30 分鐘的小結會議	能決策的代表在場、可提出補充證據與說明、能當場承諾立即控制措施	負責人不在、現場沒有人敢承諾；對缺失當場爭執卻提不出證據；沒有簽 AFA
缺失與 CAP	報告進平台、缺失分級、工廠提 CAP（根因、矯正、預防、證據、時限）、買方或制度審核、必要時複驗、關閉	根因分析（不是「已教育訓練」一句話）、可驗證的證據（表單、照片、補發紀錄）、跨部門負責人	CAP 只寫動作不寫根因；證據與缺失對不上；缺失沒關閉就急著接新訂單

上表五段的依據，取自責任商業聯盟（RBA）的驗證評估計畫（Validated Assessment Program，VAP）標準第 8.1 版（2026-09），逐段對應如下：首次會議與每日小結見第 6.2 節與第 6.3 節（廠區導覽約 30 分鐘見第 6.2.1 節、現場評鑑 2 到 8 小時見第 6.2.2 節、個人訪談約 10 分鐘與團體約 20 分鐘見第 6.1 節）；文件查核見第 6.2.3 節；結束會議與 AFA 簽名見第 6.4 節；缺失分級與 CAP 見第 7.1 節與第 10 章。RBA 的 VAP 是目前公開下載、寫得相對具體的一份現場流程文件，所以用它當例子；其他制度的段落名稱與順序不一樣，這一點在段落開頭已經說明。

紀錄年限也是制度寫死的例子：RBA 要求紀錄至少 12 個月、薪資類 24 個月，稽核開始時就要能提供，額外索取的紀錄要在 24 小時內或最後一天中午前給，否則該項直接列缺失（RBA VAP 標準第 8.1 版第 6.2.3 節）。其他制度的年限由各自的規定決定，不要拿這一組數字套到每一套上。

誰來驗：五種角色，只有一種會發證書

客戶說「會有人來看」，那個「人」可能是五種角色之一。搞清楚是哪一種，你才知道該配合誰、報告會去哪裡。

角色	身分（第幾方）	是否發證	依據
買方內部的品保或社會責任部門	第二方，客戶自己來	否	顧問實務；CBP 文件也區分第一方、第二方稽核與第三方驗證
買方委託的第三方稽核公司	第三方，但依買方準則執行、報告歸買方	否	顧問實務
制度認可的稽核公司	第三方；Sedex 的核准稽核公司、amfori 的監督夥伴、RBA 核准的獨立第三方	否，出報告	Sedex、amfori（2024-08-31）、RBA 官方頁
驗證機構	第三方；SA8000 須由 SAAS 認可的機構發證	是	SAI 官方
政府機關	美國 CBP 的供應鏈安全專員，審查安全 profile，並在認證後一年內完成查證	發的是成員身分，不是證書	CBP 官方問答

拿這張表跟 ISO 對照會更清楚：ISO 驗證機構依 ISO/IEC 17021-1 執行第三者符合性評鑑並發證；驗廠的稽核公司多數只出報告，判定權在買方或制度平台手上。

但不要反過來說「驗廠的稽核公司都沒有專業認證」。專業社會合規稽核員協會（Association of Professional Social Compliance Auditors，APSCA）就是稽核員與稽核公司的專業認證體系，amfori 官方已要求稽核員須取得 APSCA 認證並完成 5 天培訓（amfori 官網）。差別在於：那一張是「做這行的人合格」，不是「你的工廠合格」。

實務上還有一句要記住：稽核員在現場再怎麼看，最後的判定權都不在他身上。你能做的就是讓證據齊、讓現場說得通，剩下的交給買方或制度平台決定。

驗什麼：八個構面，在三類驗廠裡各佔哪些

三類驗廠不是把同一份清單從頭看到尾，各自看的構面不同。這張表的重點在對角線：社會責任稽核那一欄，跟供應鏈安全那一欄，內容幾乎不重疊。

構面	品牌／客戶驗廠	社會責任稽核	供應鏈安全
勞工與人權（童工、強迫勞動、歧視、騷擾、結社）	常見，買方準則多有	核心（SMETA 支柱 1、RBA 準則 A）	只在「勞工剝削等於安全風險」時納入
工時與薪資	常見	核心（RBA 準則 A3、A4）	不查
職業安全衛生	常見	核心（SMETA 支柱 2、RBA 準則 B）	部分重疊（消防、緊急應變、人員管制）
環境	部分買方要求	4-pillar 才含（SMETA 支柱 3、RBA 準則 C）	不查，除了廢棄物與危險品存放的安全
商業倫理與反腐	少數買方	4-pillar 含（SMETA 支柱 4、RBA 準則 D）	不查
反恐與供應鏈安全	買方可能要求加做反恐稽核	個別制度把它寫成其中一條原則，其餘不查	核心（C-TPAT 最低安全準則涵蓋商業夥伴、實體安全、程序安全等多個面向）
品質與產能	品牌驗廠才可能含（產能、製程能力這類）	不含	不含
管理系統	視買方	有（管理制度與風險評估文件）	有（安全程序與風險評估文件）

兩個否認句要寫清楚。第一，社會責任稽核不含品質與產能：amfori 官方明文寫 BSCI 與產品品質、食安、產品安全審核沒有直接關聯。第二，供應鏈安全不查工時與薪資：那一欄看的是貨物、人員、資訊的管控，不是勞工條件。

所以如果有人拿 C-TPAT 的通過結果，想說服你社會責任那部分也沒問題，那個推論不成立——它根本不是社會責任標準。C-TPAT 的內容與申請方式，我們寫在C-TPAT 供應鏈安全認證那一篇；這裡只把構面切開，不展開任何單一制度的細節。

同一次驗廠能同時滿足幾件事

這是最多人關心的省工問題。答案要分兩層看：制度明文允許共用的，有；跨制度互相承認的，官方沒有公告。

#	驗廠型態	能同時滿足其他要求	條件或限制
1	SMETA 4-pillar	一次到廠同時涵蓋勞工、職安衛、環境、商業倫理四支柱	要選 4-pillar；Sedex 官方寫目前約 70% 的 SMETA 稽核採 4-pillar
2	SMETA 報告	同一份報告資料可與多個買方分享，減少供應商要做的稽核次數	報告要上傳 Sedex 平台，而且各買方願意採用（Sedex 官方）
3	amfori BSCI 稽核報告	一份報告可供多家會員公司使用	買方要是 amfori 會員、在平台建立供應鏈關係；會員自己決定要不要採用（amfori 官方）
4	社會與勞動整合專案（Social and Labor Convergence Program，SLCP）	驗證後的評估資料可分送多個終端使用者，跨不同平台	要先完成通用評估框架（Common Assessment Framework，CAF）的資料收集與第三方驗證（SLCP 官方）
5	RBA VAP	報告在 RBA 線上系統分享給發起公司與被指定的收件公司	要在 RBA 會員體系內，並被指定為收件方（RBA VAP 標準第 8.1 版）
6	全球責任認證生產（Worldwide Responsible Accredited Production，WRAP）驗證	12 原則本身已含海關合規與安全，其中安全那一條以 CBP 的反恐準則為最低要求並採用	WRAP 驗證不等於 C-TPAT 會員，兩者是否互認官方沒有公告（WRAP 官方）
7	供應商合規稽核網絡（Supplier Compliance Audit Network，SCAN）稽核	一份安全稽核由 SCAN 會員共同接受，降低重複稽核	要是 SCAN 會員或其供應商，並由核准的服務商執行（SCAN 官方）
8	SA8000 驗證	品牌可接受 SA8000 驗證替代第一方或第二方社責稽核	要由 SAAS 認可機構發證，而且買方願意接受（SAI 官方）

C-TPAT 與社會責任稽核之間，官方沒有任何互認公告，別假設做一個就抵另一個。這是查過 CBP 的問答與安全 profile 文件之後的結論，不是推測。

所以能省的只有兩種情況：同一個制度內多買方共用（SMETA 報告、amfori BSCI 報告、RBA 報告分享、SCAN 共同接受都屬這一種），以及買方個案接受（SA8000 替代第一、第二方稽核、WRAP 的 12 原則涵蓋安全）。跨制度之間沒有自動通用這回事。供應鏈安全那條線的細節，另外寫在SCAN 供應鏈安全稽核。

缺失與 CAP：分級怎麼看、CAP 怎麼寫、多久要關閉

驗廠缺失的分級名稱與數量，各制度不一樣。以 RBA 的 VAP 為例，它的七個類別是：Priority、Major、Minor、Risk of Non-conformance、Opportunity for Improvement（僅工時適用）、Conformance、Not Applicable（RBA VAP 標準第 8.1 版第 7.1 節）。這是 RBA 的寫法，amfori、SMETA、各買方的分級名稱與數量都不同，所以拿到報告第一件事，是看第一頁的分級定義，不要用上一家客戶的習慣去讀這一份。

CAP 的內容有五個要素：根因、矯正措施、預防措施、證據、時限。少一個就會被退回。最常被退回的是根因那一欄只寫「已加強教育訓練」——那是動作，不是原因。真正會被接受的是：為什麼會發生、為什麼原本的流程沒攔住、改哪一個環節之後不會再發生。

時限這種事，制度會明文寫死。以 RBA 的 VAP 為例：

時點	動作
現場立即	Priority 缺失當場告知，工廠先做立即控制
24 小時內	主任稽核員通知 RBA 的稽核品質管理端
48 小時內	稽核品質管理端在平台確認並通知收件公司，工廠完成立即控制
72 小時內	收件公司聯繫工廠討論後續
7 天	提交 Priority 缺失的 CAP 供審
10 天	執行核准後的行動
30 天	Priority 關閉稽核（工時、社會保險、招募費另設較長的例外期間）
Major／Minor	Major 兩週提交 CAP、六週核准、建議 180 天完成；Minor 建議 270 天完成

這張表只能當成「RBA 的 VAP 把它寫死在文件裡」的例子（RBA VAP 標準第 8.1 版第 10.2.1 節與第 10.3 節）。不要把它推廣成所有驗廠都這樣跑；其餘制度與各買方自訂的時限不一樣，看報告上的規定。

缺失沒關閉會怎樣？在買方那一層，可能暫停下單、也可能要求複驗，各買方做法不同；這是顧問實務建議，不是官方規定。但沒有哪一份文件寫「一定被退單」或「一定不能出貨」，寫這種話的人是在幫你簡化，不是在幫你判斷。

要多久、要準備什麼

這一頁不寫金額，也不給總天數。原因很簡單：驗廠要多久沒有一個通用答案，任何人報給你一個固定天數，都是在猜。

驗廠費用由誰負擔，官方沒有統一規定；實務上由買方或合約約定，個案不同（這是顧問實務建議，不是官方規定）。C-TPAT 是當中的例外，官方明文寫無費用。至於多少錢，要看下面這幾個變數，不是看工廠大小一句話決定。

真正影響時程與工作量的變數有七個：

• 工廠人數，以及在籍移工、派遣人力的比例——這決定抽樣量與訪談場次。
• 廠區數量與棟數，宿舍、餐廳是否在範圍內。
• 稽核類型：2-pillar 還是 4-pillar、含不含反恐、首次還是追蹤。
• 文件完整度：薪資類 24 個月、工時類 12 個月，這兩疊紙齊不齊，差很多。
• 需不需要翻譯，訪談場次怎麼排。
• 買方排程與稽核公司的檔期。
• 缺失開出來之後，要不要複驗。

官方文件裡可以直接引用的具體量只有兩個：RBA 的現場評鑑是 2 到 8 小時、可以提前 9 個月排程；C-TPAT 由 CBP 最長 90 天決定是否認證，認證後一年內完成查證（RBA VAP 標準第 8.1 版、CBP 官方問答）。這兩個數字是制度怎麼寫的例子，不是你的工廠會花多久的答案。

三句話可以直接拿去回客戶：驗廠要多久，取決於工廠人數、廠區範圍、稽核類型與文件完整度，沒有一個通用天數；同一家工廠，做 2-pillar 跟 4-pillar、含不含反恐，安排的時間就不一樣；真正影響時程的往往不是稽核當天，而是缺失開出來之後，CAP 要多久才補得齊。

要準備的東西，與其列一張長清單，不如先把這五項備齊：與會名單（含工會或勞工代表）、全廠區都能進入（含宿舍、餐廳、倉庫、化學品儲存區）、12 個月與 24 個月兩種紀錄、各班別的訪談抽樣名單、個人防護具。這五項沒齊，其他都是其次。

七個最常見的誤解

這些話大多是從買方窗口、同業轉述或舊文章裡聽來的，不是誰故意誤導。一條一條拆開，後面附上當下可以做的動作。

誤解原句	正確說法	你該做什麼
驗廠跟 ISO 驗證是同一件事吧？	兩套不同制度：驗廠是買方要求的現場稽核，多數只出報告；ISO 驗證是第三者符合性評鑑，會發證書	先確認客戶要的是報告還是證書，再決定手上的證書能不能拿來回
做過一套，換一個客戶也一樣	只有制度明文支援共用（SMETA 多買方、amfori BSCI 多會員、SLCP 多終端使用者、SCAN 多會員），或買方明示接受；跨制度沒有自動通用	把既有報告的日期、制度名、平台連結整理成一頁，直接問新客戶收不收
驗廠通過就永久有效	多數是「報告加一段期間」或「一次訂單一次要求」；要不要重驗由買方或制度規定	在報告封面記下稽核日與買方要求的有效期間，到期前三個月就先問窗口
C-TPAT 是品質認證	C-TPAT 是與 CBP 的供應鏈安全夥伴計畫，自願、無費用，看的是安全 profile，不談產品品質	不要把安全程序文件當成產品品質證據送出去，兩件事分開歸檔
可以指定分數，或先跟稽核員談好結果	判定權在買方或制度指派的稽核公司，沒有人能替你先定結果	有人這樣承諾你，先問他判定書上會蓋誰的章，再決定要不要付這筆錢
SEDEX 有證書，做完就有一張	SMETA 是稽核方法，交付的是報告與 CAP；SEDEX 是平台，做完你拿到的是報告，不是證書	跟客戶確認他要的是「平台上的報告連結」還是「證書」，這兩種回法不同
驗廠只是看文件	官方流程包含現場觀察與私下訪談，紀錄不足或逾期提供直接構成缺失	稽核前先把現場走一遍，用稽核員的角度看消防、化學品、宿舍與餐廳

這七條共同的來源，是「聽到的」比「查到的」多。窗口轉述一次、同業再轉述一次，制度名就變成形容詞了。要判斷的時候，回到文件本身：哪個機構、哪一版、查閱日哪一天。

我們在這一題上能幫你什麼

驪鑫是 ISO 輔導顧問。這一塊我們做的是：先幫你判斷客戶要的是品牌驗廠、社會責任稽核，還是供應鏈安全，再決定要不要往下做。驗證由第三方驗證機構執行，我們做的是輔導、文件與現場準備，需要時陪同稽核；我們不發證、不做驗證決定、不承諾審查結果。服務範圍全台，北、中、南都有據點。

方法不是叫你三種都做一遍，而是先把客戶名單攤開，看每一家被要求的是哪幾種、哪些結果可以共用，再排順序。順序排對了，有時候一趟到廠就能處理掉兩件事；排錯了，就是同一批人陪兩次。

如果你要的是 ISO 管理系統的輔導與驗證準備，可以從ISO 輔導與驗證準備看起。

【常見問題 FAQ】

下一步｜與我們聯絡

不確定企業是否需要導入 ISO，或想了解輔導範圍、費用與時程？

歡迎先與我們聯繫，先了解您的需求與現況，再依實際情況安排電話討論、線上會議或到廠訪談。

全台皆可洽詢，北、中、南均提供 ISO 輔導服務。

延伸閱讀

三件事之外的個別制度，我們分別寫在這幾頁；要對照自己手上那份要求時，再點進去細看。

• SA8000 社會責任標準
• RBA 責任商業聯盟行為準則
• WRAP 全球責任認證生產
• ITS 三大驗廠系統（SQP／WCA／GSV）

參考資料

本篇引用的官方文件與查詢入口（查閱日 2026-11-06）

• 國際標準化組織（ISO），〈ISO/IEC 17021-1:2015 管理系統驗證機構要求〉：ISO 標準頁
• amfori，〈amfori BSCI 社會責任稽核〉：amfori BSCI 官方頁
• 責任商業聯盟（RBA），〈驗證評估計畫（VAP）〉：RBA VAP 官方頁
• Sedex，〈SMETA 稽核方法〉：SMETA 官方頁
• 美國海關及邊境保衛局（CBP），〈C-TPAT 常見問答〉：CBP 問答頁
• WRAP，〈12 原則〉：WRAP 12 原則頁
• 供應鏈安全稽核聯盟（SCAN），〈SCAN 官方網站〉：SCAN 官方網站
• 社會責任國際（SAI），〈SA8000 標準〉：SAI SA8000 官方頁
• 社會與勞工匯流計畫（SLCP），〈SLCP 官方網站〉：SLCP 官方網站