9.2 内部审核

ISO/IEC 27001:2022　9 绩效评价

条款正文

9.2.1 总则
组织应按计划的时间间隔进行内部审核,以提供信息,确定信息安全管理体系:
a) 是否符合:
1）组织自身对信息安全管理体系的要求;
2）本标准的要求。
b) 是否得到有效实施和维护。
9.2.2 内部审核方案
组织应规划、建立、实现和维护审核方案(-个或多个),包括审核频次、方法、责任、规划要求和报告。
在制定内部审核方案时，组织应考虑相关过程的重要性和以往审核结果。
组织应:
a) 定义每次审核的审核准则和范围。
b) 选择审核员并实施审核,确保审核过程的客观性和公正性。
c) 确保将审核结果报告至相关管理层。
保留文件化信息作为审核方案和审核结果的证据。

审核要点

• 建立内审程序
• 制定审核计划
• 审核范围完整
• 审核员具备能力
• 审核保持独立性
• 形成审核报告

审核证据示例

• 内部审核程序
• 年度审核计划
• 审核检查表
• 审核实施记录
• 审核报告

审核记录示例

查阅内部审核程序1份。
查阅年度内部审核计划1份。
查阅审核检查表2份。
查阅内部审核报告1份。

高频问题清单

• 未按计划实施内审
• 审核范围不完整
• 风险评估未审核
• SoA未审核
• 审核员能力不足
• 审核员审核自己工作

审核公式

内审计划提前定，
覆盖体系查运行；
发现问题促改进，
体系提升见真功。

审核链条

审核策划 → 审核实施 → 问题发现 → 不符合整改 → 效果验证 → 管理层报告 → 持续改进

不符合项（NC）格式

• 跟踪整改
• 验证整改效果
• 保留审核记录
• 整改记录
• 效果验证记录
• 审核员资格证书
• 管理层汇报记录
• 整改未验证
• 审核记录不完整
• 内审流于形式
查阅整改记录3份。
查阅整改验证记录3份。
查阅审核员资格证书2份。
访谈内审员1名。
经核实，组织按照计划开展内部审核，审核覆盖信息安全管理体系范围，发现的问题能够及时整改并验证整改效果。
审核抽查内部审核活动，发现组织本审核周期未开展信息安全管理体系内部审核。
无法证实组织已按照计划开展内部审核。
不符合ISO/IEC 27001:2022第9.2条有关：
“组织应按计划的时间间隔进行内部审核。”
的要求。
审核抽查内部审核管理活动，发现组织未制定内部审核方案。
无法证实组织已建立内部审核计划安排机制。
不符合ISO/IEC 27001:2022第9.2条有关：
“组织应策划、建立、实施和保持审核方案。”
的要求。
审核抽查内部审核活动，发现内部审核未覆盖风险评估、风险处置等重要过程。
无法证实组织已确保内部审核覆盖信息安全管理体系范围和要求。
不符合ISO/IEC 27001:2022第9.2条有关：
“组织应确定审核准则和审核范围。”
的要求。
审核抽查内部审核活动，发现审核员审核本人负责的信息安全管理过程。
无法证实组织已确保审核活动客观、公正。
不符合ISO/IEC 27001:2022第9.2条有关：
“应选择审核员并实施审核，以确保审核过程的客观性和公正性。”
的要求。
审核抽查内部审核活动，发现内部审核发现的问题长期未整改。
无法证实组织已对内部审核结果采取适当措施。
不符合ISO/IEC 27001:2022第9.2条有关：
“管理者应确保采取适当纠正措施且不延误。”
的要求。
审核抽查内部审核活动，发现组织无法提供内部审核计划、审核报告及整改验证记录。
无法证实组织已保持内部审核活动相关成文信息。
不符合ISO/IEC 27001:2022第9.2条有关：
“组织应保留成文信息作为审核方案实施和审核结果的证据。”
的要求。
审核抽查内部审核活动，发现组织已制定内部审核计划，但实际未按计划实施审核。
无法证实组织已按计划时间间隔开展内部审核活动。
不符合ISO/IEC 27001:2022第9.2条有关：
“组织应按计划的时间间隔进行内部审核。”
的要求。

常见问题清单

• 是否建立内部审核程序？
• 是否制定年度内审计划？
• 是否覆盖ISMS全部范围？
• 审核员是否具备能力？
• 是否保证审核独立性？
• 是否形成审核报告？
• 是否跟踪整改情况？
• 是否验证整改效果？
• 是否向管理层报告审核结果？
• 如何利用内审促进改进？

加入检查表 →