ISO 27001/20000 审核阶段逐个拆：每个阶段看什么

四阶段速览

先看全局。这张表建议打印出来贴在体系负责人的工位上——不是当流程看，而是当“这个阶段我该拿出什么”的对照表看。

一、一阶段审核：看的是“你有没有准备好”

审什么

一阶段是文件与准备情况的审核，功能是判断“能不能进现场”。它通常不追求全面取证，而是确认四件事：体系文件是否成形（方针、目标、手册、程序、作业文件与记录表单，版本与审批齐全）；范围与场所是否说清楚（认证范围写的是哪些业务、覆盖哪些部门与场地）；核心专业动作是否已经发生（27001 侧的风险评估与处置计划、适用性声明；20000 侧的服务目录、SLA 与服务台运行痕迹）；内审与管理评审是否做过一轮，并且有输入、有输出、有整改。

所以一阶段不过，通常不是文件缺，而是关键记录没有，或者风险评估没做完。文件缺是写作问题，改一版就能补；记录没有是运行问题，补不出来——它意味着这件事当时没人做。这也是为什么一阶段被退回时，真正要动的是排期，不是文档。

谁参与

体系负责人主讲，管理者代表或分管领导在场，IT、安全、服务台、人事、采购等关键岗位的负责人待命。顾问可以在准备阶段帮你梳理，但审核现场由企业内部人员应答——咨询与认证是两个独立角色，这条边界不要试探。

人数不必多，关键是坐在那里的人能回答三个问题：这份文件谁批的、这条记录什么时候产生的、这个决定谁做的。答“这个是我们顾问写的”，等于把这一条判成空的。

证据怎么组织

• 文件：一套受控文件清单，版本、生效日期、审批人齐全，能看出“谁在用哪一版”。双体系合并建设的，要能分清共用骨架（手册、文件控制、内审、管审）与各自专业文件（27001 的风险评估程序与 SoA，20000 的服务目录与 SLA 管理办法）。
• 记录：内审计划、检查表、不符合项报告与整改验证，管理评审的输入输出与会议纪要；风险评估报告、处置计划与 SoA；服务目录、SLA 文本与工单样本。记录的价值在“时间点”，不在厚度。
• 访谈：一阶段问的多是“谁负责、多久做一次、上一次是什么时候”。三个问题里有一个答不出具体时间，这一条就很难站住。
• 现场：一阶段一般不深入巡查，但会看办公区、机房与门禁的基本情况，判断申报的场所与场地是否真实对应。

常见退回或不符合项

• 运行时间不够，记录只有很短一段。体系要运行满 3 个月才受理申请，这是硬门槛；拿一两个月的记录去证明“跑过一轮”，本身就说不通。
• 风险评估没做完，或做完没有下文。27001 的驱动逻辑就是风险：识别了资产与威胁，却没有处置计划、没有 SoA、没有责任人，这条链在一阶段就断了。
• 内审与管理评审没做，或做了零发现。一份“没有不符合项、没有问题”的内审记录，比一份写了三个问题的记录更让人追问——体系刚建立就毫无问题，只能说明没认真审。
• 范围写得过大。认证范围盖住了实际不做的业务、不控的场地、没有人员的分支，一阶段就会被要求收窄；范围一改，后面的文件与记录都要跟着改。

二、二阶段审核：看的是“你是不是真的在做”

审什么

二阶段是现场与实施有效性的审核。一句话概括：拿一阶段看过的文件，到现场去对。对什么？对流程是否照文件走、控制措施是否落地、记录是否能支撑“这件事确实发生过”、目标是否真的在度量并在被使用。

两个标准的取证路线不同。27001 顺着资产—风险—控制—记录走：资产清单里挑几项，看它的风险处置措施是什么、落在哪条控制上、有没有执行证据（权限审批、备份验证、日志检查、事件处置）。20000 顺着服务—工单—SLA—改进走：服务目录里挑一项服务，看它的 SLA 承诺、工单是否走完受理到关闭、月度报告有没有统计、不达标有没有改进动作。20000 侧还特别看工具：服务台与 ITSM 工具里的数据是不是真实的运行数据，而不是演示数据。

二阶段常见的翻车点不是“没做”，而是“做了两套”：给审核准备一套，平时跑另一套。文件写变更要审批，实际群里说一声就改；制度写每季度评审供应商，实际一年没开过会。这种不一致在现场几乎藏不住，因为审核员只要把文件和系统界面对在一起看就够了。

谁参与

管理层参加开场与结论，讲体系投入与决策；各部门负责人接受本部门的访谈；被抽到项目的执行人必须到场——谁做的事谁答；服务台与运维值班人员、人事（培训与劳动关系）、采购（供应商与外包）按需在场。

一个实务提醒：不要让体系负责人把所有问题都接过去答。代答一多，审核组会转向“那具体做的人知不知道”，而现场的执行人往往答不出文件里的措辞。让做事的人用自己的话讲他手上的动作，比背制度原文可信得多。

证据怎么组织

• 文件：现场用的文件必须是现行版本，且与受控清单一致。审核员会随手翻工位上的表单，看它是不是清单里那一版——这一条常被忽略，却很容易扣分。
• 记录：按业务链归档，不要按部门归档。一条事件从受理、分级、处置、恢复到关闭，四份记录放在一起；一次变更从申请、评估、审批、实施到回退预案，也是同一叠。按部门放的记录，现场要花很久才能拼出一条链，拼不出来就等于没有。
• 访谈：执行人讲得出时间、对象、结果三要素。讲“我们一般是按规定做的”是空话，讲“上月哪台设备告警，谁处理的，多久恢复”才是证据。
• 现场：机房、工位、值班台、监控与工单界面。要求现场打开系统看，而不是只看打印件；打印件可以整理，系统里的时间戳整理不了。

常见退回或不符合项

• 文件与现场两套做法。制度写审批，实际口头决定；流程写分级，实际不分青红皂白全走一条路。这是二阶段占比很高的一类问题。
• 记录断档在闭环那一步。不符合项开了，整改做了，没有验证关闭；风险处置计划列了措施，没有执行证据。开头有、结尾没有，等于没闭环。
• 工具买了不用，或用了不录。ITSM 有工单系统，派单还在群里；27001 侧有日志平台，告警没人看。20000 特别容易在这里被问住，因为服务台数据是它的核心证据。
• 目标定了却不度量。方针里写了目标，问这个月达成多少，答不出来；或者目标三年不变、年年都达成，看不出体系在起作用。
• 多场所申报，部分场所没有痕迹。范围里列了几个场地，其中一个没有体系文件、没有记录、没有人知道审核这回事。

三、监督审核（每年）：看的是“你有没有一直做”

审什么

监督审核不是把二阶段重做一遍，而是看持续符合与变化管理。固定几条主线：上次审核的不符合项是否闭环并验证；这一年认证范围内的变更有没有纳入体系（业务调整、场地搬迁、组织重组、核心系统更换、运维外包）；内审与管理评审这一年有没有照做；目标有没有度量、达成情况如何；关键记录是否连续——这一年的安全事件、服务工单、变更、培训、供应商评价，能不能排成一条不断的线。

监督审核的抽样会更集中：上次的问题点、这一年变化的部分、以及范围里风险较高的业务会上调权重。这也意味着，去年被开过不符合项的地方，今年大概率还会被翻到。

谁参与

体系负责人主责；当年发生变更的部门必须有人在场（换了系统、搬了场地、新增业务线、换了外包商）；上次不符合项的责任部门要能讲清整改怎么做的、验证谁做的。管理层不必全程陪同，但管理评审的结论要有人能讲明白。

这里有个现实问题：很多企业拿证后团队就散了，年审时临时找人对接。人换了不是问题，交接没有留下痕迹才是问题——上一任为什么这么定，这一任答不上来，审核就会怀疑体系是否还在被理解。

证据怎么组织

• 文件：这一年改过的文件，要有版本变更记录与发放痕迹。文件一年没动过不一定是坏事，但要能解释“为什么不需要改”。
• 记录：这一年的内审与管审、事件与变更、培训、供应商评价、上次不符合项的整改与验证。连续性比完整性重要：十二个月里缺两个月，比全年都只有简版记录更难解释。
• 访谈：核心问题是“这一年有什么变化，体系怎么跟着变”。答“没什么变化”，在一个业务正常运转的企业里通常不成立。
• 现场：重点看变更过的区域与上次问题点，不必把全公司再走一遍；但如果范围里有新增场所，需要能进去看。

常见退回或不符合项

• 拿证即收工。日常不积累，年审前集中补一批记录，日期、笔迹、内容对不上，越补越显眼。
• 上次不符合项只改了文件。文件条款改了，现场做法没改；或者整改做了，没有验证关闭的证据。这一类在监督审核里出现频次很高。
• 变更没纳入体系。换了核心系统、搬了办公场地、新增一条业务线、把运维整体外包，风险没重评、范围没更新、文件没修订。
• 内审与管审照抄去年。问题清单年年一样，改进措施年年相同，说明这两个动作已经形式化。
• 记录断档无法解释。某几个月没有任何事件与工单记录，既没说明是业务停了，也没有解释数据为什么缺失。

四、再认证（3 年到期前）：看的是“三年下来有没有持续改进”

审什么

再认证不是“续期”，而是按初次认证的完整逻辑重新看一遍，只是重心从“有没有”移到“三年下来怎么样”。它看四件事：体系是否持续适宜（业务变了，体系跟上了没有）；目标三年是否达成、是否被调整过；改进有没有痕迹——不是“没有问题”，而是“问题被发现过、被解决过、解决后有验证”；认证范围是否仍然准确（三年前写的那条业务，现在还在做吗）；以及上一轮监督审核的问题是否全部闭环。

再认证的翻车点通常是时间：不是能力不够，而是启动太晚。证书 3 年有效期，到期前要完成再认证，逾期未完成就是失效，只能按初次认证重来。而重来意味着重新走一遍一阶段与二阶段，前面三年的记录再完整也接不上。

谁参与

管理层必须在场，而且要讲的是“这三年体系改变了什么决策”——投了什么、停做了什么、哪次风险评审改变了业务安排。体系团队负责串起三年的记录；全部纳入范围的部门都要准备，因为再认证的覆盖面回到初次认证的量级，不是监督审核的抽样量级。

证据怎么组织

• 文件：现行版本＋三年的版本更迭记录。要能看出文件是“被修订过的活文件”，而不是三年前定稿后一直没动。
• 记录：三年的内审与管审、历次监督审核报告与整改、目标达成趋势、事件与变更趋势、培训与供应商评价。建议做成一张三年对照表，让趋势自己说话。
• 访谈：问管理层三年的投入与取舍，问执行层三年前的做法和现在有什么不同。两个层面答得上同一个变化，改进才是真的。
• 现场：覆盖面接近初次认证，重点看三年里新增或变化的部分：新系统、新场地、新业务、新外包安排。

常见退回或不符合项

• 三年材料只在到期前突击整理。中间年度断档，拿不出持续运行的证据，只能按初次认证重走。
• 范围与实际业务脱节。业务已经转向，认证范围还写着三年前的业务；或者反过来，新增业务没纳入范围，却在实际交付。
• 改进说不出具体内容。问“三年里改了什么、为什么改、改完效果如何”，只答“一直在完善”。改进要有对象、有动作、有结果。
• 上一轮监督审核的不符合项仍未闭环。这是再认证里比较硬的一条，因为它同时说明监督环节失效。

五、两个标准的差异：27001 看信息安全，20000 看服务管理

四个阶段的骨架是同一副，因为两个标准同属 ISO 管理体系族，共用 PDCA 与文件化结构。但同一个阶段，取证的方向不同。这一点在双体系项目里尤其重要：审核分别安排、结论各自独立，准备时不能拿一套材料去对两张证书。

用一句话区分：27001 的证据指向“信息没有出事，是因为哪些控制在做”；20000 的证据指向“服务没有断供，是因为哪些流程在做”。 前者关心资产、威胁、脆弱性与控制措施，后者关心服务目录、SLA 与事件管理。

能合并的部分也要说清楚：文件与记录控制、内部审核、管理评审、人员能力与培训、供应商与外包管理，这五块可以只做一遍，用一套骨架承载两套专业内容。但风险评估与 SoA、安全控制落地、服务目录与 SLA、服务台与 ITSM 工具，必须各做各的。审核本身也不能合并成一次：两张证书、两套认证规则，能否协调在同一时间段由同一组审核员承担，需要向认证机构确认。这部分展开在 ISO 27001 + 20000 双体系：一起做省在哪 里。

六、时间线：从启动到拿证再到复评

把四个阶段放回一条线上，顺序是这样的。注意这条线上真正占时间的不是审核本身，而是审核之前的运行与记录积累。

几个容易排错的地方：

• 把审核当起点。 审核是检查，不是建设。所有能决定结论的动作（风险评估、内审、管审、记录）都在审核之前完成，审核当天只能解释，不能补做。
• 把运行期当缓冲。 体系运行满 3 个月是受理条件，倒排期时被压缩的常常就是这一段，结果是记录不足或者申请退回。
• 把双体系的审核当一次。 两张证书分别安排，内部计划要按两轮准备，不要按“一次拿两张”来排人。
• 把年审当临时项目。 监督审核每年一次，把内审、管审、归档做成固定节奏，年审就只是取一次材料。
• 把再认证当续费。 再认证的覆盖面回到初次认证的量级，只提前很短时间启动，通常来不及。

七、行动清单：按阶段对齐，不要一次准备四遍

下面这份清单按阶段排列。用法的关键是分段打勾：一阶段的勾没打完，不要急着准备二阶段的现场应答；监督审核的勾，应该在你拿证那天就开始打。

• ⬜定范围：用一句话写下认证范围覆盖的业务、部门与场地，确认每一处都有人、有记录、有体系痕迹
• ⬜定人：体系负责人、管理者代表、各关键岗位接口人各是谁；拿证后谁继续维护，写下来
• ⬜一阶段自检：文件清单是否受控、风险评估与处置是否完成、内审与管审是否跑过一轮且有不符合项
• ⬜一阶段自检：27001 侧看 SoA 是否逐条有结论；20000 侧看服务目录与 SLA 是否可度量、服务台是否有运行数据
• ⬜二阶段自检：抽两条业务链，从发起到关闭只用材料复述一遍，中途不需要口头补充
• ⬜二阶段自检：让实际做的人（不是体系负责人）讲一遍他手上的流程，看与文件是否一致
• ⬜二阶段自检：确认现场用的表单、系统界面、记录版本与受控清单一致
• ⬜监督审核：建立一张变更台账，业务、场地、组织、系统、外包五类变化随时记
• ⬜监督审核：上次不符合项单独跟踪到“验证关闭”，不要停在“已整改”
• ⬜再认证：做一张三年趋势表（目标、事件、不符合项、风险处置），让改进看得见
• ⬜再认证：提前确认范围是否仍准确，业务变了就先改范围，再谈审核安排
• ⬜全程：所有时间点、场所、审核顺序，以认证机构安排为准，内部计划留出解释与调整的余地

四个阶段拆到这一步，其实是同一句话的四种时态：一阶段是将来时（准备好了没有），二阶段是现在进行时（正在做没有），监督审核是完成进行时（一直在做没有），再认证是过去三年时（做完之后有没有变好）。 时态不同，要拿的东西就不同。想清楚每个阶段在问什么，准备就不会做四遍，也不会在错误的阶段用错力。

▍不确定自己现在该准备哪个阶段？留言备注“审核阶段自检”，我发你一份按四个阶段分栏的自检表。

普华智科 / CertFastLine 普华认证｜出口认证 & 检测 & 管理体系咨询 本文为合规科普参考，非法律意见；审核阶段划分、证书有效期与受理条件以认证机构现行规则为准