内审要证明什么
内部审核用于验证体系的符合性与有效性：策划的方案是否覆盖关键条款与控制、执行是否按制度进行、发现的问题是否闭环。ISO/IEC 27001 第 9.2 条要求审核方案考虑过程的重要程度与以往结果，并强调审核员不应审核自己的工作。审核结论不是终点，不符合项要跟踪到关闭，并作为管理评审的输入。
基本信息
| 依据 | ISO/IEC 27001:2022 第 9.2 条内部审核 |
|---|---|
| 独立性要求 | 审核员不应审核自己的工作或所在部门 |
| 覆盖要求 | 年度至少一次覆盖体系全范围与关键条款 |
| 输出 | 不符合项与观察项、纠正措施、管理评审输入 |
| 时间安排 | 认证或监督审核前完成，并留出整改窗口 |
典型使用场景
- 年度内审：按方案覆盖全部条款与控制措施
- 认证前准备：确认内审与管理评审已完成
- 专项内审：针对高风险域或新上线系统单独策划
- 问题跟踪：验证纠正措施的有效性并关闭不符合项
- 体系改进：把高频问题反馈到制度与培训
内审流程
内审流程
1 年度审核方案（范围、准则、频次、审核员）
2 编制检查表并提前通知受审部门
3 现场取证：访谈 + 抽样记录 + 观察
4 出具不符合项（分级）与观察项
5 责任部门制定纠正措施与期限
6 跟踪验证并关闭；结果输入管理评审阶段与产出
| 阶段 | 产出 |
|---|---|
| 策划 | 审核方案与检查表 |
| 实施 | 访谈记录与抽样清单 |
| 报告 | 不符合项清单与分级 |
| 跟踪 | 纠正措施与关闭验证记录 |
审核方案要点
- 频次与时机：至少每年一次，并在认证或监督审核前完成
- 准则与范围：覆盖体系全部条款与关键控制，注明排除项及理由
- 审核员安排：选择与被审活动无直接责任关系的人员
- 检查表：按条款与控制编号编写，便于抽样与记录
- 报告与跟踪：不符合项分级、责任部门与关闭验证缺一不可
- 输入闭环：审核结论与管理评审输入形成完整链条
认证审核前应完成至少一次覆盖全范围的完整内审与管理评审；时间安排要留出整改窗口，否则会出现「刚发现不符合就要现场复核」的被动局面。