认证审核流程是什么
认证审核通常分两阶段推进：阶段一做文件与范围审查、识别差距；阶段二做现场访谈、抽样测试并出具不符合项与观察项；之后是不符合项的整改与验证，通过后发证，并进入年度监督审核。最常见的两种失败是文件体系与实际两张皮——文件写得很完整，二阶段现场一访谈就暴露差距；以及整改证据拼凑，验证时发现根本没有实际运行记录。
基本信息
| 阶段一 | 文件与范围审查、识别差距 |
|---|---|
| 阶段二 | 现场访谈、抽样测试、出具不符合项 |
| 后续 | 不符合项整改验证 → 发证 → 年度监督 |
| 范围 | 覆盖的场所、系统与业务边界要先界定清楚 |
| 证据 | 访谈说法要与记录、日志相互印证 |
典型使用场景
- 首次申请管理体系或安全认证，需要评估前置差距
- 年度监督审核前做内部预检，减少现场不符合项
- 换版审核，需要验证新要求是否已落到流程
- 客户要求提供认证证书，需要按周期维持有效性
- 上期不符合项需要提交整改与验证材料
不符合项示例
不符合项示例
观察项：部分新员工培训在入职 30 天后完成 # 观察项有风险但未构成不符合
不符合：风险评估未覆盖云上资产 # 不符合项需限期整改并提供证据
整改：补充评估并于 30 日内提交证据 # 整改要有明确交付物与日期
验证：审核方复核材料或再次现场确认 # 未通过验证则不能关闭
监督：下一年度审核抽查同一控制是否持续有效 # 整改不是一次性动作阶段与准备
| 阶段 | 审核方动作 | 被审方准备 |
|---|---|---|
| 阶段一 | 审查文件与认证范围 | 梳理现状、界定范围、补齐文件缺口 |
| 阶段二 | 现场访谈与抽样测试 | 安排访谈人、整理证据目录、预演取证路径 |
| 出具结论 | 判定不符合与观察项 | 确认事实、明确整改责任人与期限 |
| 整改验证 | 复核证据或现场复查 | 提交整改材料与运行记录 |
| 年度监督 | 抽查部分控制持续有效性 | 保持日常运行与记录连续性 |
不要为审核临时补记录：抽样会交叉比对日期、人员与系统日志，临时拼凑的材料往往自相矛盾，反而引出更严格的核查；按控制日常运行并留痕才是最省成本的准备。