认证周期的整体节奏
ISO/IEC 27001 认证周期通常为三年：准备期完成差距分析与体系建设，随后进行阶段一审核（核查体系文件与准备就绪度）与阶段二审核（核查实施的有效性），整改合格后发证；证书有效期内每年一次监督审核，到期前完成再认证。审核人日数与范围、场所数量与人员规模相关，多场所需要提前申报。
基本信息
| 准备期 | 视基础而定，通常数月，含差距分析与体系建设 |
|---|---|
| 阶段一 | 审核体系文件与认证准备就绪度 |
| 阶段二 | 现场审核：抽样访谈、观察与记录核验 |
| 监督审核 | 证书有效期内每年一次 |
| 再认证 | 到期前完成复审换证；多场所需提前申报 |
典型使用场景
- 立项排期：把认证周期与业务节奏对齐
- 范围确认：确定认证覆盖的组织、场所与系统
- 阶段一准备：核对文件齐备度与内审完成情况
- 阶段二准备：组织访谈演练与抽样证据整理
- 监督审核准备：保持体系持续运行的证据链
时间线参考
时间线参考
准备期：差距分析 → 体系建设 → 内审与管理评审
阶段一：审核体系文件与认证准备就绪度
阶段二：现场审核（抽样访谈、观察、记录核验）
不符合：一般不符合限期整改，严重不符合需现场复评
证书有效期：3 年，监督审核每年一次
再认证：到期前完成复审换证阶段与重点
| 阶段 | 重点 |
|---|---|
| 准备 | 范围、风险处置、制度与记录配套 |
| 阶段一 | 文件齐备度与体系运行时间证明 |
| 阶段二 | 实施有效性与员工实际执行情况 |
| 监督审核 | 持续运行证据与改进闭环 |
审核范围、场所与人数影响审核人日数；分支、机房等多场所应提前申报，临时追加场所会影响排期与费用。