ISO 27001 與 ISO 9001 可以整合嗎？共用文件與分工怎麼切

你手上有一套 9001 在跑，現在得再加上 27001，第一個想問的大概是「能不能用同一套文件」。可以，但邊界要畫清楚：共用的是骨架與管制動作，判斷內容不能共用。文件管制、內部稽核、管理審查、矯正與持續改善這四套可以合成一份；風險評鑑、適用性聲明、Annex A 控制措施，以及品質專屬的輸出，兩邊各走各的。這條線畫錯，整合出來的東西就是「文件變薄、要求也變少」，稽核時驗證機構問一句就破。

這篇寫給已經有一套 9001 在跑、現在被客戶或標案要求 27001 的企業。你心裡的問題很具體：手上那套文件與內稽紀錄，有多少可以直接長上去、有多少絕對不能沿用。以下依序處理：整合的定義與四個層級、16 項可共用與 13 項必須分開、風險清單為什麼不能共用、適用性聲明與品質手冊怎麼擺、內稽與管理審查怎麼帶、稽核時間與證書怎麼談、五個條號陷阱，最後是九種最常見的做錯方式。9001 的條文教學、27001 風險評鑑的步驟、適用性聲明的撰寫欄位、多系統轉版的排程，站上其他頁面各有專篇，這裡不重寫一遍。

ISO/IEC 27001:2022 由國際標準化組織與國際電工委員會共同發布，管的是資訊安全；ISO 9001:2026 管的是品質。兩份標準都要付費才看得到全文，所以本文提到條文時，一律寫「條號＋要求重點」，不逐字引條文。

「整合」在驗證與稽核領域有個正式名字：整合性管理系統（Integrated Management System，IMS）。這個詞要小心用。它是驗證與稽核領域的正式用語，不是 9001／27001 標準文本裡的定義術語；標準寫的是「管理系統」與「文件化資訊」，IMS 的定義出現在驗證機構與認證體系的文件裡，後面引得到。

文中由驪鑫整理。驪鑫是 ISO 輔導顧問公司，輔導為主、可協助企業走完驗證流程，本身不做驗證發證，也不保證任何驗證結果。

「整合」是什麼意思？跟「合併成一套」差在哪

把「整合」講白一點：文件管制、內稽、管理審查、矯正這四套的「怎麼管」可以只有一份，風險評鑑、SoA、政策內文這些「判斷與承諾」必須各有一份。整合與「合併成一套、內容還被削掉」的差別就在這裡。合併講的是文件數量變少，整合講的是同一套管理動作同時滿足兩邊條文。

定義有兩層，讀文件時要分開。第一層是 ISO 自己的通用說明，語氣很描述性：組織可以選擇運作「單一（有時被稱為整合）的管理系統」，同時滿足兩份以上管理系統標準的要求。重點落在「有時被稱為」四個字上，意思是 ISO 並沒有在標準裡把「整合」定義成一個專有名詞。

第二層在驗證與稽核的語境裡，正式定義從這裡開始。國際認證論壇的強制性文件（Mandatory Document，MD）IAF MD 11:2023 第 1.1 條把「整合性管理系統稽核」定義為「對組織的管理系統，依兩組以上稽核準則或標準，在同一時間進行的稽核」；第 1.2 條再把整合性管理系統定義為「以單一管理系統管理組織績效的多個面向，以滿足一份以上管理標準的要求，並處於某個整合層級」。同一份文件的第 1.3 條講「整合層級」，談的是程度，不是有或沒有。

台灣的用語跟著這份文件走。全國認證基金會（Taiwan Accreditation Foundation，TAF）出過 IAF MD 11 的中文版（民國一一二年九月），標題是「國際認證論壇對 ISO/IEC 17021-1 應用於整合性管理系統稽核之強制性文件」，內文用「整合性管理系統稽核」「整合性管理系統」「整合層級」。你在台灣的驗證機構文件上看到這幾個詞，來源就是它。

整合到什麼程度，實務上分成四層，每一層能做的事與限制都不一樣：

反向的提醒，官方文件自己寫得很清楚。IAF MD 11:2023 第 2.1.2 條寫的是：整合管理系統的稽核可能反而增加時間；就算真的減少，也不能比起點 T 減少超過 20%（原文關鍵是 shall not exceed 20% from the starting point T）。「整合一定比較省」這句話在官方文件裡站不住。會增加時間的情況很具體：整合程度不足、人員要同時回答兩套問題、稽核員得具備兩個標準的能力。

兩份標準的骨架為什麼對得上？先看版本與章節

骨架對得上，因為兩份標準都採用同一套調和結構（Harmonized Structure，HS）。ISO 的說明是：調和結構的核心概念，是不管應用領域是什麼，管理系統標準都用同一種結構來寫（原文關鍵是 structured in the same way, regardless of the domain of application）。白話講，管品質還是管資訊安全，章節的排法一樣。章名與順序也不是建議值，委員會文件要求採用 HS 的標準「須使用 HS 的章名，包含順序」，不得自行修改。

版本要先確認，這一段本站最容易寫錯。ISO 9001:2026（第 6 版）已於 2026-09-16 發布，iso.org 標準頁對舊版的說明是：目前這一版已經撤銷，並由 ISO 9001:2026 取代；同一頁也寫明 2015 版已不是現行版（原文分別以 has now been withdrawn 與 is no longer the current edition 表述），所以「等 9001 改版再說」這句話現在沒有意義，2015 版已經是撤銷狀態。另一邊，ISO/IEC 27001:2022 仍是現行版，另有 Amd 1:2024（氣候行動）的修訂；iso.org 對它的描述是資訊安全管理系統最廣為人知的標準。

兩份標準的第 4–10 章擺在一起看，就長這樣：

兩點補充。第一，ISO 9001:2026 除了 6.1 拆成 6.1.1～6.1.3 之外，其餘子條款的細號本輪沒有逐條核對（多方轉述一致，沒拿到標準文本），上表的細號請以標準文本為準。第二，ISO 9001:2026 有一個結構性變動要記住：6.1 由單一條款拆成三個子條款，把風險與機會分開處理。方向是多方一致的，但不同來源對 6.1.2／6.1.3 的英文正式標題寫法有出入，所以這裡只寫「拆成 6.1.1～6.1.3、風險與機會分開處理」這個方向，不引子條款標題。

真正可以放心共用的只有 7.5 文件化資訊：兩邊都是 7.5.1（通則）、7.5.2（建立與更新）、7.5.3（管制）。共用的是管制的動作（識別、版本、審核、發布、取用、保存、銷毀），文件內容不在其中。判準跟站上比較 9001 與 14001 的那篇一樣：章號相同不代表內容相同，要對的是章以下的條文（延伸：〈ISO 9001 與 ISO 14001 差異：分工、順序與能否一起做〉）。

還有一個容易漏的版本異動：ISO 19011（稽核管理系統的指引）已在 2026 年換版為 ISO 19011:2026，取代 19011:2018。手上的稽核員教材如果還寫 19011:2018 是現行版，該更新了。

時間這件事只講一句：9001 這一邊，已持有 2015 版證書的組織須在 2029-09-30 前完成轉版（Global ACI 過渡文件）；27001:2022 目前沒有換版期限。兩件事的時鐘不同，這也是後面談「先做哪一個」時真正要考慮的東西。

哪些文件可以共用？（表一 ：16 項對照表）

先把「可共用」定義清楚：可以同一份文件、同一個編號規則、同一次會議或同一次稽核，不代表內容可以只寫一半。合併後的文件必須同時滿足兩邊條文，封面並列兩個標準的條號，內文對「只有一邊有的要求」加註。下面 16 項是兩份標準對得起來的主題：

#	主題	ISO 9001:2026	ISO/IEC 27001:2022	合併後一份文件要包含什麼
1	文件化資訊的管制	7.5.1／7.5.2／7.5.3	7.5.1／7.5.2／7.5.3	統一編號與版本規則、審核與發布權責、外來文件管制、保存與銷毀期限；文件清單加「僅 9001／僅 27001／兩者共用」欄
2	內部稽核	9.2（含稽核方案）	9.2（含稽核方案）	一份稽核程序＋一份年度方案；每個場次標明查核標準；稽核員能力矩陣涵蓋被查的每個標準；缺失單共用一套編號
3	管理審查	9.3.1／9.3.2／9.3.3	9.3.1／9.3.2／9.3.3	一份會議程序＋一份紀錄格式；輸入清單同時含兩邊必查項目（清單見後面的兩欄表）
4	不符合與矯正措施	10.2	10.2	一份矯正程序＋一本缺失登錄；欄位加「影響哪個系統」，但根因與有效性驗證的判準各自不同
5	持續改善	10.3	10.1	一本改善案登錄，來源欄標「品質／資安」；注意兩邊條號不同
6	領導承諾與政策制定流程	5.1／5.2	5.1／5.2	流程可共用（誰起草、誰核准、多久審查、如何溝通）；政策文中必須兩份
7	角色、職責與權限	5.3	5.3	一份組織權責表，加「9001 角色／27001 角色」欄；27001 要指定風險處理與 SoA 的核准者
8	目標與達成規劃	6.2	6.2	一份目標管理辦法；目標分兩組（品質目標／資訊安全目標），格式與追蹤頻率共用
9	資源	7.1（7.1.1–7.1.6）	7.1	一份資源管理程序；7.1.5 監測與量測資源只有 9001 有，合併時標「僅 9001」
10	能力與訓練	7.2	7.2	一份訓練與能力矩陣，加資安職能欄；資安意識與教育訓練納入同一份年度計畫
11	意識	7.3	7.3	一份意識宣導計畫，內容分「品質政策與目標」與「資安政策與自身角色」兩段
12	溝通	7.4	7.4	一份溝通矩陣；外部溝通要納入資安事件的通報對象與時機
13	運作規劃與管制	8.1	8.1	一份運作規劃程序；但 8.2／8.3 在兩邊是不同東西，不可同一節寫完
14	採購與外部提供者	8.4	8.1＋Annex A（供應者關係、供應鏈資安）	一份採購與委外程序；評估表加資安欄（存取權限、資料處理方式、事件通報義務）
15	監督、量測、分析與評估	9.1	9.1	一份績效監測辦法；9.1.2 顧客滿意度只有 9001 有，合併時標「僅 9001」
16	法規與其他要求的鑑別	4.2／8.2	4.2＋Annex A 法規遵循控制	一份法規清冊，分「產品與服務法規」與「資安與個資法規」兩欄

表裡有三個「只有一邊有」的例外要先標出來，否則合併後一定漏：ISO 9001 7.1.5 量測追溯（27001 沒有對應要求）、ISO 9001 9.1.2 顧客滿意度（27001 沒有這個子條款）、資安事件通報（屬 27001 這一邊，9001 的「不符合」講的是產品、服務與流程，不含資安事件通報鏈）。

還有一項不能共用內容：政策內文。品質政策承諾的是產品與服務符合性、顧客滿意；資訊安全政策承諾的是資訊的機密性、完整性、可用性與風險接受。流程可以一份，文字不行。用一份文字硬塞兩套承諾，兩邊的稽核員都會問你「這段到底在承諾什麼」。

哪些一定要分開？（表二：13 項專屬表）

反過來，下面 13 項各有獨立的、可稽核的目的，不能合併：

#	項目	屬哪份標準	為什麼不能共用
1	風險評鑑方法與風險登錄（含風險接受準則）	ISO/IEC 27001:2022 6.1.2／8.2	評的是資訊的機密性、完整性、可用性，對象與判定邏輯和品質風險不同
2	風險處理方案＋適用性聲明	ISO/IEC 27001:2022 6.1.3／8.3	SoA 要逐項對應 Annex A 控制措施並說明納入或排除的理由，是可稽核的決策紀錄
3	Annex A 控制措施與執行證據	ISO/IEC 27001:2022 Annex A（normative）	9001 沒有任何控制措施清單可對應
4	資訊安全事件管理	ISO/IEC 27001:2022（事件相關控制＋10.2）	9001 的不符合講產品與流程，不含資安事件的通報、處理與後續
5	業務持續與資通安全韌性	ISO/IEC 27001:2022（業務持續相關控制）	9001 未要求營運中斷情境下的復原目標
6	存取控制、密碼學、實體與環境安全	ISO/IEC 27001:2022 Annex A	屬資安專屬控制領域，品質系統沒有對應主題
7	產品與服務要求的決定與審查	ISO 9001:2026 8.2	27001 的 8.2 是風險評鑑，同號不同義
8	設計與開發	ISO 9001:2026 8.3（若適用）	27001 的 8.3 是風險處理，同號不同義
9	生產與服務提供、放行、不符合輸出	ISO 9001:2026 8.5／8.6／8.7	講的是產品與服務符合性，與資安控制目標不同
10	顧客滿意度監測	ISO 9001:2026 9.1.2	27001 沒有這個子條款
11	監測與量測資源（量測追溯）	ISO 9001:2026 7.1.5	27001 沒有對應要求
12	品質政策與品質目標文中	ISO 9001:2026 5.2／6.2	承諾的內容是品質與顧客，不能與資安政策共用文字
13	資訊安全政策與資訊安全目標文中	ISO/IEC 27001:2022 5.2／6.2	承諾的內容是資訊的機密性、完整性、可用性與風險接受，不能與品質政策共用文字

把上面兩張表（表一和表二）合起來，會得到一個三層的文件架構。以下為示例架構、非客戶案例，不含任何公司名或可識別個案：

這個架構有兩個地方常被誤解。第一，A 層不是把要求砍少的版本，每一份 A 層文件都要同時滿足兩邊條文，所以封面並列兩個標準的條號，內文對「只有一邊有的要求」加註（7.1.5 量測追溯只有 9001、資安事件只有 27001）。第二，A-1 是選項，不是義務，條文沒有要求必備手冊，用一頁「系統範圍說明」也可以，下一節會講清楚。

「整合後最少要留幾份」這個問題，條文沒有給答案，它只規定必須具備的內容，不管份數。所以本文不給數字，任何告訴你「整合後只要幾份」的說法，都不是標準的要求。

風險清單可以共用一份嗎？（文中最關鍵）

直接回答：不能同一張表。兩張表可以放在同一個檔案庫、用同一套編號規則、同一個審查會議，但內容不能是同一份。整篇最容易做錯、也最容易在稽核現場被抓到的，就是這一件。

把問題攤開來看：ISO 9001 的 6.1 問的是「哪些不確定性會影響品質與顧客」，ISO 27001 的 6.1.2／6.1.3 問的是「哪些風險會傷到資訊的機密性、完整性、可用性，以及我們決定怎麼處理、為什麼」。問題不同，答案不會一樣，表格自然也不會一樣。

有個說法容易被誤讀：你可能看過「整合就是共用風險清單」這種概括。它對的部分是流程與登錄格式可以共用：同一套「識別、分析、評估、決定處理」的步驟，同一個欄位格式，同一本登錄簿，同一個審查節奏。它錯的部分是以為內容也能共用：同一批風險條目、同一組分級、同一份處理決策。界線落在容器與內容之間。

另一個常被誤解的點：ISO 27001 的風險評鑑不是「一年做一次的文件」。條文把它放在兩個位置，6.1.2 是規劃階段的要求，8.2 是執行階段的要求，並且要求在規劃的期間內、以及發生重大變更時執行。寫成「每年做一次就好」，等於漏掉重大變更這個觸發條件。

風險評鑑的步驟、表格欄位、分級方式、殘餘風險的簽核層級，另有一篇專文處理，這裡不重複。只回答一件事：它與 9001 的 6.1 差在哪、為什麼不能互相取代。

SoA 要不要獨立？品質手冊還需要嗎？

這兩個問題常常一起出現，因為都跟「手冊」有關，但答案的方向相反：品質手冊可以沒有，適用性聲明不能沒有，而且不能塞進手冊。

先講品質手冊。ISO 9001 現行條文在 7.5 之下只要求「本標準要求的文件化資訊」與「組織判定為維持系統有效性所必要的文件化資訊」，沒有「品質手冊」這個專屬條款。ISO/TC 176/SC 2 在 2015 版修訂時的說明也直接講，品質手冊不再被特別要求（二手轉述，未取得原始頁面）。所以「一定要有品質手冊」是舊教材留下來的說法。實務上有兩種做法：一是用一份手冊把系統範圍、流程互動、條文對應整理起來；二是手冊以外的方式，程序書＋流程圖＋表單＋一頁範圍說明。兩者都可以，端看你的客戶與內部習慣。

例外要分清楚：如果顧客合約、標案文件或特定產業要求你交品質手冊，那是契約要求，不是 ISO 9001 的要求。這種情況下你要做，但心裡要知道理由是哪一個。被客戶要求跟被標準要求，處理方式不同：前者可以照合約格式寫，後者只需要滿足條文。

再講適用性聲明（Statement of Applicability，SoA）。它是 ISO/IEC 27001:2022 6.1.3 d) 的必要輸出：把 Annex A 的控制措施逐項列出「是否納入」、「納入的理由」、「排除的理由」，並且和風險處理方案連結。三個特徵要記住：

• 它是必要輸出，不是選配附件。沒有 SoA，6.1.3 的輸出就不完整。
• 它是可稽核的決策紀錄，不是手冊、也不是附錄清單。稽核員會拿它回頭對照你的風險評鑑結果與實際執行狀況：你排除了哪一項、理由是什麼、對應哪個風險。
• 它必須逐項對應 Annex A。ISO/IEC 27001:2022 的 Annex A 是 normative，分成 4 大主題、93 項控制措施（逐條內容見站上另一篇：〈ISO 27001 Annex A：93 項控制措施與 4 大主題〉）。

把 SoA 併進品質手冊，或當成風險評鑑的附錄，會同時失去兩樣東西：與 Annex A 逐項對應的可追溯性，以及風險處理方案與控制措施之間的連結。少了第一樣，你說不出「這一項我為什麼不做」；少了第二樣，你說不出「這個風險我用了哪些控制措施」。兩題都是稽核現場的必問題。

SoA 的欄位設計、撰寫步驟、控制項取捨，另有一篇專文，這裡不寫。只回答「要不要獨立」：要，而且不併入手冊。

內稽可以只做一次嗎？管理審查要談哪些？

可以，同一次稽核同時查兩份標準。這不是模糊地帶：IAF MD 11:2023 第 1.1 條定義的「整合性管理系統稽核」，就是對組織的管理系統、依兩組以上準則或標準、在同一時間進行的稽核。一次稽核、兩份標準，是有依據的做法。

但有幾個技術條件要滿足，否則「一次稽核」會變成「一次只查一半」：

• 一份稽核方案，每個場次要標明查核標準。哪一場查 ISO 9001、哪一場查 ISO/IEC 27001、哪一場兩者都查，寫在方案裡，不要靠記憶。
• 稽核員能力矩陣要涵蓋被查的每一個標準。查兩個標準的稽核員，要能對兩個標準的條文與實務提問；只會一個標準的人，不能單獨負責兩者的場次。
• 缺失單共用一套編號，但欄位要標「屬哪個標準」，否則後續矯正會對錯條文。
• 時間要配足。IAF MD 11 對整合稽核的計畫與能力有明確要求：稽核方案要考慮整合層級、稽核計畫要涵蓋各標準的全部相關區域與活動、團隊整體要滿足各標準的能力要求、組長至少精通其中一個標準、並須配置足夠的時間。這幾項是「一次稽核」能不能成立的前提，不是行政細節。

管理審查也能只開一次會。做法是一份程序＋一份紀錄格式，但輸入清單必須同時含兩邊的必查項目。下面這張兩欄表可以直接拿去做紀錄格式：

兩個警告。第一，一次會議不等於可以省略輸入。把兩邊的清單併成一張表是為了方便，不是為了少談；紀錄上少一欄，稽核員就會問那一欄的結論在哪。第二，資安這一邊的「殘餘風險」與「控制措施有效性」不可漏。殘餘風險要有人明確表示可接受，控制措施有效性要有證據，光有「有做」的紀錄不算。這兩項是品質導向的管理審查最容易整段消失的部分。

還有一種很常見的錯：內稽只查 9001，27001 的部分用「補簽」補紀錄。這種紀錄一看就破，日期、稽核員、查核項目對不上，方案裡根本沒有那個場次。與其事後補，不如一開始就在方案裡排一個兩標準的場次。

ISO 27001 這一邊的內稽怎麼規劃、稽核員能力怎麼建、缺失怎麼分級，另有專文。這裡只寫整合的時候怎麼帶。

整合後文件要留幾份？

條文沒有規定份數，只規定必須具備的內容。這是本節唯一能給的確定答案，任何「最少幾份」的數字都不是標準說的。要比的不是份數，唯一的判準是能不能追溯到條文要求：每一條要求，你要能指出「在哪一份文件、哪一頁、哪一種紀錄」被滿足。

能確定一定不能少的，是 ISO/IEC 27001:2022 的四個輸出，因為它們各有獨立、可稽核的目的：

• 風險評鑑結果（6.1.2／8.2）
• 風險處理方案（6.1.3／8.3）
• 適用性聲明（6.1.3 d）
• Annex A 控制措施的適用性與執行證據

其餘的（文件管制、內稽、管理審查、矯正措施、訓練、採購、溝通）都可以合成一份。合成之後有兩件事要做：封面並列兩個標準的條號；文件清單加「適用標準」欄，標明「僅 9001／僅 27001／兩者共用」。做完這兩件，才算真的把「共用」管住，只把檔案併在一起不算。

層級架構可以直接拿前面那份 A／B／C 三層示例當骨架，再依自己的流程增減。9001 這一邊如果已經有一份文件清單在跑，不必重寫，加一欄「適用標準」就能接上。既有的 9001 文件清單與精簡判準，站上另一篇整理得比較細（延伸：〈ISO 9001 程序書要寫幾份？文件清單、必備紀錄與精簡判準〉）。

同號不同義／不同號同義：5 個一定被抓錯的條號

這張表大概是整篇最有用的一張。兩份標準的章號一樣，子條號卻有幾個「同一個號碼指兩件事」和「同一件事放在不同號碼」的情況，合併文件時照號碼對接，就會錯：

用法很簡單：做合併文件時，遇到上面這些號碼，一律寫出完整標準編號（例如「ISO 27001 6.1.2」而不是只寫「6.1.2」），並且在文件封面註明「文件同時對應 ISO 9001:2026 與 ISO/IEC 27001:2022，條號請連同標準編號閱讀」。看起來只是格式，實際上是在防止整份文件被誤讀。

Annex A 要特別講，這裡是兩份標準最容易被混為一談的地方。9001:2026 的 Annex A 是指引性質，用來釐清用語與要求意圖；27001 的 Annex A 是 normative，是可稽核的控制措施清單。名稱相同，法律地位不同。寫文章、寫程序書、回答稽核員，都要把標準編號帶上。

整合後稽核時間會變少嗎？

答案分三段：有官方算法、有上限、但不等於一定變少；算出來的是起點，不是最後的人天。

算出來的 T 是起點，不是報價。IAF MD 11:2023 第 2.1.1 條第 iv 項要求驗證機構主動告知客戶：稽核時間是依組織「宣稱的整合程度」算出來的，會在第一階段稽核確認整合程度之後調整。第 3.2 條也寫明，驗證機構要在第一階段稽核確認整合程度，並視需要檢視、修改原本的稽核時間。第 2.1.3 條另外要求，起點數字與「增加或減少」的理由都要留下書面紀錄。所以最後的人天，是驗證機構依實際看到的整合程度、你這邊的人員能不能同時回答兩套問題、稽核員具不具備兩個標準的能力判定的結果。公式的用途只有一個：讓你知道對方怎麼算，以及為什麼他可以不減。

兩邊範圍不一樣，可以相加嗎？可以，前提是分開算。IAF MD 11:2023 第 2.1.1 條第 i 項的寫法是：每一個標準各自算出所需時間，而且各自套用那個標準自己的規則（品質走 IAF MD 5，資安走 ISO/IEC 27006，食品安全走 ISO/TS 22003）。所以「9001 的範圍是全公司、27001 的範圍只有總部與資訊作業」不是障礙：A 用 9001 範圍內的有效人數算，B 用 27001 範圍內的人數算，兩個數字再相加成 T。真正會算錯的是拿同一組人數套兩邊：把全公司人數當成資安的有效人數，B 會偏高；只拿資訊人員當品質的有效人數，A 會偏低。相加之前，兩邊的範圍敘述都要先各自寫清楚。

所以跟驗證機構談時間，你手上要有一個算式：先把兩邊各自的時間算出來加總成 T，再看整合能調整多少、理由是什麼，減少幅度不超過 T 的 20%，而且對方可以說「不減」。如果對方給的數字比 T 少很多，問一句「這是怎麼算的」，通常就會回到這個算式。

可以只驗一張證書嗎？

可以確定的部分先講：對兩組以上準則做驗證，在 IAF 的文件架構下是被涵蓋的情境。IAF MD 11:2023 的適用範圍寫明，除了整合性管理系統的稽核規劃與執行之外，適當時也涵蓋「對組織的管理系統、依兩組以上稽核準則或標準進行驗證」。所以「9001＋27001 一起驗」這件事本身不是灰色地帶。

查不到的部分也要講清楚：「能不能只發一張證書涵蓋兩個標準」，沒有任何 IAF 或 ISO 條文規定。證書張數、證書上兩個標準怎麼並列、範圍敘述怎麼寫，屬於各驗證機構在其認證範圍內的作業。這一點只能寫成「查無公開規定」，不能反推成「所以一定不行」或「所以一定可以」。

實務上看到的多半是一個標準一張證書：兩個系統同一次稽核、同一份稽核報告，但各發一張證書。IAF MD 11:2023 從頭到尾處理的是「稽核」與「稽核報告」，不是證書。第 2.4 條寫的是「稽核報告可以是整合的，也可以是分開的」，並要求整合報告裡的每一項發現都要能追溯到所屬的標準。國際上確實有驗證機構把兩個標準並列在同一張證書上，那是各機構在其認證範圍內的作業，不是條文要求，也不是你可以指定的。

結論是這一句：證書怎麼開、會拿到幾張，問驗證機構；你只要確認兩件事：兩個標準各自都在證書上（不管是並列成一張，還是各一張），範圍敘述和你的實際作業對得上。問的時候請對方書面回覆，不要只聽口頭說明，範圍敘述日後會被客戶與標案審查。

有一個動作不能做：為了一張證書而縮減某一邊的稽核範圍。例如把資安範圍只寫「機房」，實際卻涵蓋全公司的資訊作業；或把品質範圍切掉某個廠區。範圍敘述和實際作業對不上，日後被客戶或驗證機構質疑，補救成本遠高於當初把範圍講清楚。IAF MD 11 要求稽核計畫涵蓋各標準的全部相關區域與活動，縮範圍等於讓稽核計畫失去依據。

順帶提一個常被寫錯的地方：證書三年週期加上年度監督，是驗證機構的作業慣例，不是 ISO 9001 或 ISO 27001 條文的規定。條文不談證書有效期，這件事寫在驗證機構的規則與認證體系文件裡。

先做 ISO 9001 再做 ISO 27001，還是同時做？

有一句話會影響整段判斷：順序不是技術問題，是需求問題。標準沒有規定先做哪一個，實務上真正決定順序的也不是維護成本，而是「公司為什麼要做」：客戶要求、標案規格、供應鏈要求，或未來要取得某種資格。被要求的時候，該做就是要做，真的到那個時候，人力與預算通常會被生出來。所以在問「先做哪一個」之前，先問「這次是誰要求、什麼時候要」。下面四件事不用來判斷「該不該做」，是用來排「已經確定要做之後，怎麼做」。

四項排法寫成文字，方便你直接拿去開會：

• 需求從哪裡來（先問這一題）：客戶要求、標案規格、供應鏈要求，或未來要取得某種資格。被要求的時候，該做就是要做；這一項決定的是「要不要做」，不是下面三項。
• 既有文件可重用的程度：ISO 9001 的條文 7.5 文件管制、條文 9.2 內稽、條文 9.3 管理審查、條文 10.2 矯正真的有在跑，ISO 27001 可以用加掛長上去；四套只是紙上文件，先做哪一個都要從頭建。
• 稽核排程與時間預算：兩邊的稽核時間先分別算、再加總成 T；整合只能從 T 往下調、上限 20%，而且對方可以說不減。把時間砍到見底，結果通常是缺失變多、補件變長。
• 內部人力與兩個時鐘：一次做，同一批人要同時回答兩套問題；分兩次做，同一件事在兩個場合說法不同，稽核時會被追問。ISO 9001 的 2015 版證書要在 2029-09-30 前轉版，ISO 27001:2022 沒有換版期限。

另外有三句話不要說：「同時做一定比較快」「先做 ISO 9001 比較簡單」「整合一定省時間」。三句都沒有依據；第一句還與 IAF MD 11 的提醒相反（整合稽核可能反而增加時間）。

順序定了之後，排法可以先用一個問句定調：你的 ISO 9001 文件有沒有在維護？內稽與管理審查有沒有真的開？兩題都答「有」，ISO 27001 的起點是「加掛」；有一題答「沒有」，該先處理的是那一題，不是排順序。

至於轉版與整合同時發生時怎麼排、各標準的過渡期限怎麼看、多系統的先後順序，站上另有一篇專門處理（延伸：〈ISO 9001 14001 整合轉版｜多系統整合轉版排程與整合稽核安排〉）。這裡只寫到「整合」這一層，排程不重複。

最常見的做錯方式（9 項）

下面九項是實務上反覆出現的錯誤，每一項都附「怎麼改」。只列錯不列改，等於沒用：

#	錯在哪	後果	怎麼改
1	把 ISO 9001 的「風險與機會」表格直接當成 ISO 27001 的風險評鑑	條文 6.1.2 與 6.1.3 的必要輸出（評鑑結果、處理方案、SoA）不存在，稽核時無法追溯到資訊的機密性、完整性、可用性與風險接受準則	兩張表分開：品質風險表留在條文 6.1，另建資安風險評鑑與 SoA，文件清單標「僅 27001」
2	兩套文件各寫一份，同一流程兩份程序書、內容互相矛盾	同一問題兩個答案，說法不一致；維護成本翻倍	先做「流程對照表」，同一流程只留一份程序書，封面並列兩邊的條文編號
3	把 SoA 併進品質手冊或風險評鑑附錄	失去逐項對應 Annex A 與納入／排除理由的可追溯性，等於沒有 SoA	SoA 獨立一份，與風險處理方案連結，並指定核准者
4	內稽只查 ISO 9001，ISO 27001 用「補簽」補紀錄	稽核方案沒有涵蓋 ISO 27001 的範圍與能力要求，補簽的紀錄一看就破	一份方案，每個場次標明查核標準；稽核員能力矩陣對應被查的標準
5	管理審查只談品質目標，沒有資安風險與殘餘風險	條文 9.3.2 的輸入少一半，等於管理審查無效；殘餘風險無人核准	紀錄格式固定兩欄（品質／資安），殘餘風險要有人簽「可接受」
6	為了一張證書而縮減某一邊的稽核範圍	範圍敘述與實際作業不符，日後被質疑，也可能違反「涵蓋全部相關區域」的要求	先確認範圍與邊界，再談證書形式；範圍寧可切清楚，不要縮小
7	把整合當成「合併成一份、內容還被削掉的文件」	文件變薄、要求也變少；資安專屬輸出整段不見	用共用／專屬兩張表逐條打勾，兩欄都要有對應文件
8	看到 Annex A 就以為是同一件事	把指引當控制措施清單，或把控制措施當指引，寫錯會被專業稽核員判定不懂標準	提到 Annex A 一律加標準編號：ISO 9001:2026 的 Annex A 是引指性質、ISO 27001 的 Annex A 是 normative
9	以為整合後稽核時間一定變少，排程只留一套時間	時間不足，稽核品質下降、缺失變多，反而拉長補件	用「T 先加總、再調整、減少上限 20%」跟驗證機構談時間

九項裡面，前三項屬於「文件內容」的錯，中間三項屬於「稽核安排」的錯，後三項屬於「觀念」的錯。觀念的錯最難修，因為它會讓前面六項看起來都很合理。

台灣的驗證機構怎麼看整合？（TAF 與 IAF MD 11）

台灣這一層要分兩段看，因為「TAF 認可」與「IAF 強制文件」是兩個層次：

可以寫進文章的結論是這一句：台灣的驗證機構是在 TAF 認可下運作，而 TAF 對整合性管理系統稽核，採用的就是 IAF MD 11 這份強制文件（有中文版）。所以整合稽核在台灣不是各機構自己發明的做法，是有共同依據的。

但要小心一個誤推：不能因此寫成「TAF 規定可以只發一張證書」。TAF 採用的是稽核層的強制文件，證書張數與範圍敘述仍屬各機構的作業，這一點在上一節已經講過。

整合跟「多系統整合轉版」哪裡不同？

這兩個詞經常被混用，但講的是不同的事：

• 整合：同時維持兩套（或多套）不同標準的要求，重點在共用的管理流程與文件。系統範圍不變，變的是「怎麼管」。
• 轉版：同一個標準從舊版換到新版，換的是條文版本。管理系統範圍不變，變的是「依據哪一版」。例如 ISO 9001:2015 換成 ISO 9001:2026。

兩件事可以同時發生，9001 轉版期間順便把 27001 整合進來是常見的情境，但不是同一件事，排程的邏輯也不同：整合看的是「哪幾套流程可以合、稽核怎麼排」；轉版看的是「期限到什麼時候、哪些條文改了、什麼時候完成轉換稽核」。

給你一句判斷句：你現在要解決的是「兩套標準怎麼共用一套管理」，還是「同一套標準換版本」？前者是整合，後者是轉版。兩個都要做，就得分開排，不能當成一個專案處理。

本文寫到這裡為止。轉版排程、各標準的過渡期限、多系統的先後順序，全部由站上多系統整合轉版那一篇處理（上一節已給連結），這裡不重複，也不宣稱那篇談過 27001 的整合。

ISO 27001 與 ISO 9001 整合 常見問題 FAQ

結語：先分層，再談整合到哪一層

回到最初的問題：ISO 27001 與 ISO 9001 可以整合嗎？可以，但整合有層級，每一層的價值與代價不同。文件層最省事，把同一套管制動作寫一次、編號一次；流程層最實際，內稽與管理審查各開一次；稽核層要有能力與時間的前提；驗證層則回到驗證機構的作業，你能控制的是範圍講清楚。

順序上可以這樣走：先把現有 9001 文件分成「共用層」與「品質專屬層」，再判斷 27001 要補哪幾份。分完會發現，要新寫的東西集中在三處：資安風險評鑑、風險處理方案與 SoA、Annex A 的控制措施證據；其餘多半是既有文件的欄位增修。這個順序也讓你先跟主管溝通「要補什麼」，而不是等到稽核前才發現少一整層。

驪鑫是 ISO 輔導顧問公司，輔導為主、可協助企業走完驗證流程，本身不做驗證發證。若你要先確認自己的情況適合整合到哪一層，或想先看顧問與驗證機構怎麼分工，可以從站上這篇開始：

ISO 27001 輔導常見問題：導入、認證、TAF 與 CNS 說明

下一步｜與我們聯絡

不確定企業是否需要導入 ISO，或想了解輔導範圍、費用與時程？

歡迎先與我們聯繫，先了解您的需求與現況，再依實際情況安排電話討論、線上會議或到廠訪談。

全台皆可洽詢，北、中、南均提供 ISO 輔導服務。

聯絡方式

• 免付費專線：0800-695-996
• 各區電話：台北 02-6604-4178｜台中 04-2327-0352｜高雄 07-334-2260
• LINE 官方帳號：@zgs9595e
• 線上表單：與我們聯絡

延伸閱讀

• ISO 9001 程序書要寫幾份？文件清單、必備紀錄與精簡判準
• CNS 認證是什麼？CNS 12681 與 ISO 9001 差在哪、該驗哪一個
• ISO 27001 認證怎麼申請？流程、導入與輔導重點

參考資料

本篇引用的官方文件與查詢入口（查閱日 2026-11-04）：

• ISO/IEC 27001:2022（標準原文與版本以標準公告為準）
• ISO 19011:2026（標準原文與版本以標準公告為準）
• ISO 9001:2026（標準原文與版本以標準公告為準）
• ISO/IEC 17021（標準原文與版本以標準公告為準）
• ISO/IEC 27001（標準原文與版本以標準公告為準）
• ISO/IEC 27006（標準原文與版本以標準公告為準）
• iso.org 管理系統標準頁：ISO 標準查詢
• Global ACI 過渡文件
• iso.org 管理系統標準頁，）：ISO 標準查詢