P14 内部审核

责任部门：内审组、体系管理部门

过程流程

审核策划；实施；报告；整改；验证

审核要点

是否明确内部审核过程的职责、权限及工作流程。
是否建立内部审核管理要求。
是否根据组织的实际情况制定内部审核方案。
内部审核方案是否考虑过程的重要性、风险、变化及以往审核结果。
是否确定内部审核的范围、准则、频次、方法及审核对象。
是否覆盖管理体系所需的过程及适用的管理体系要求。
是否根据组织实际情况合理安排审核频次。
对重要过程、关键岗位及风险较高的活动，是否安排适宜的审核。
发生重大变化、重大事故、信息安全事件或服务故障时，是否根据需要调整内部审核安排。
以往审核发现较多问题的部门或过程，是否适当增加审核关注。
是否明确内部审核人员的资格和能力要求。
审核员是否具备相应的管理体系知识、审核知识及专业能力。
涉及信息安全、IT服务、环境及职业健康安全等专业领域时，是否具备相应的专业知识。
是否对内部审核人员进行必要的培训和能力评价。
审核员是否保持客观、公正和独立性。
是否避免审核员审核自己的工作。
对跨部门过程是否采用适宜的审核方式进行审核。
是否根据审核目的和范围编制审核计划。
审核计划是否明确审核时间、审核人员、审核部门、审核过程及审核内容。
是否根据实际情况准备审核检查表或其他审核工作文件。
审核检查表是否覆盖适用要求及实际过程。
是否避免内部审核简单按照标准条款逐条询问。
是否关注实际过程、职责、活动、输入、输出及过程绩效。
是否通过人员访谈、现场观察、文件查阅、记录抽查等方式获取审核证据。
审核证据是否具有客观性和可追溯性。
是否抽查实际项目、合同、订单、生产记录、服务记录及其他业务证据。
是否对审核发现进行事实确认。
审核发现是否有充分的客观证据支持。
不符合项是否明确对应的审核准则。
不符合项描述是否包含事实、证据及不符合要求之间的关联。
是否避免将审核员个人意见直接作为不符合。
是否区分不符合、观察事项、改进建议及一般沟通事项。
是否及时与受审核部门确认审核发现。
是否对审核发现进行必要的沟通。
是否形成内部审核报告。
内部审核报告是否包括审核目的、范围、准则、审核过程、审核发现及审核结论等适用信息。
是否将审核结果报告给相关管理人员。
重要审核结果是否向最高管理者报告。
是否对审核发现制定纠正措施。
纠正措施是否针对不符合的原因进行分析。
是否明确纠正措施责任人和完成期限。
是否对纠正措施实施情况进行跟踪。
是否验证纠正措施的实施情况及有效性。
对未达到预期效果的纠正措施，是否采取进一步措施。
是否对重复发生的不符合进行分析。
是否关注不同部门、不同过程之间重复出现的共性问题。
是否将内部审核结果作为管理体系绩效评价的输入。
是否将审核结果作为管理评审的输入。
是否根据审核结果识别风险、改进机会及资源需求。
是否对质量管理体系运行情况实施内部审核。
是否对环境管理体系运行情况实施内部审核。
是否对职业健康安全管理体系运行情况实施内部审核。
是否对信息安全管理体系运行情况实施内部审核。
是否对IT服务管理体系运行情况实施内部审核。
信息安全内部审核是否关注信息安全控制措施的实施及有效性。
信息安全审核是否关注访问控制、资产管理、供应商安全、数据保护等实际控制活动。
IT服务内部审核是否关注服务管理过程及服务目标的实际运行情况。
IT服务内部审核是否关注事件、问题、变更、配置、服务连续性等过程。
环境内部审核是否关注重要环境因素及运行控制的实际实施情况。
职业健康安全内部审核是否关注危险源、风险控制及员工参与等实际情况。
是否通过内部审核发现体系运行与实际业务之间的脱节。
是否根据审核结果持续改进内部审核过程本身。

审核记录示例

现场与内部审核管理人员沟通内部审核过程，结合年度内部审核方案、审核计划、检查表、审核记录及审核报告了解内部审核的策划和实施情况。组织能够根据管理体系运行情况制定内部审核安排，明确审核范围、审核准则、审核频次及审核人员，并按照计划实施内部审核。
抽查年度内部审核方案，组织能够结合过程的重要程度、风险、变化情况及以往审核结果确定审核安排，对重点过程及管理体系运行情况实施相应审核。抽查××年度审核计划，相关审核范围及审核时间能够覆盖主要管理体系过程。
结合近期组织机构、业务流程及管理体系变化情况进行了解，组织能够根据重大业务变化、管理体系调整及实际运行情况对内部审核安排进行适当调整。
抽查质量管理体系内部审核资料，审核内容涉及销售与合同评审、采购、生产和服务提供、检验及绩效评价等实际过程，审核人员能够通过文件查阅、人员访谈、现场观察及记录抽查等方式获取审核证据。
抽查环境管理体系内部审核资料，审核人员能够结合重要环境因素及相关运行控制要求开展审核，并通过现场查看、记录抽查及人员访谈等方式验证环境管理要求的实际实施情况。
抽查职业健康安全管理体系内部审核资料，审核内容涉及危险源识别、风险控制、安全培训、现场作业及应急管理等实际活动，审核人员能够结合现场情况验证相关控制措施的实施情况。
抽查信息安全管理体系内部审核资料，审核人员能够结合组织实际信息安全风险及控制措施开展审核，对资产管理、访问控制、信息保护、供应商管理及相关安全运行活动进行抽查，并通过系统记录、管理文件及人员访谈获取审核证据。
结合程序源代码、技术资料及信息系统访问管理情况进行了解，内部审核能够根据实际信息安全管理活动抽查相关权限、访问记录及资料管理情况，而不是仅对信息安全制度文件进行审核。
抽查IT服务管理体系内部审核资料，审核人员能够结合服务管理过程开展审核，对服务台、事件管理、问题管理、变更管理、服务连续性及服务级别等实际活动进行抽查，并结合服务记录验证相关要求的实施情况。
结合近期IT服务故障进行追溯，内部审核能够抽查××故障事件记录，从事件发现、响应、处理、恢复及关闭等环节验证服务管理过程的实施情况，并关注重复发生的问题。
现场查看内部审核人员能力管理情况，组织能够根据内部审核岗位要求确定审核人员能力，对审核人员进行相关标准、审核方法及专业知识培训。抽查××审核员培训及审核经历资料，相关人员具备开展内部审核所需的基本能力。
抽查内部审核员分工情况，审核人员能够按照审核安排实施审核，组织能够避免审核人员直接审核自己的工作，审核过程基本保持客观和公正。
现场抽查内部审核检查表及审核记录，审核人员能够结合实际过程、岗位职责、业务活动及相关记录进行审核，审核证据能够通过访谈、现场观察、文件及记录抽查等方式获取，审核记录能够反映实际审核过程。
抽查××不符合项，审核记录能够描述实际发现的事实、相关客观证据及对应审核准则，审核发现能够与实际业务活动建立对应关系，相关不符合项经受审核部门确认。
结合审核发现整改情况进行追溯，组织能够针对内部审核发现的问题制定纠正措施，明确责任部门及完成期限，并对措施实施情况进行跟踪。抽查××纠正措施记录，相关措施能够针对发现的问题采取处理和改进。
抽查纠正措施有效性验证记录，组织能够根据问题性质通过现场检查、记录抽查、数据分析或再次审核等方式验证措施实施效果，对措施未达到预期效果的问题能够采取进一步处理。
结合重复发生的不符合项进行分析，组织能够对内部审核中重复出现的问题进行归类和分析，并从人员、流程、资源、管理要求等方面查找原因，将相关结果用于后续改进。
现场查看内部审核结果报告情况，组织能够形成内部审核报告，对审核范围、审核过程、审核发现及审核结论等进行汇总，并将审核结果向相关管理人员报告。
结合管理评审资料进行追溯，内部审核结果能够作为管理评审的重要输入，管理层能够结合审核发现、体系绩效及改进情况对管理体系运行情况进行评价。
现场抽查内部审核过程总体运行情况，组织能够根据管理体系范围、过程重要程度、风险、变化及以往审核结果策划内部审核，通过文件查阅、人员访谈、现场观察及记录抽查等方式获取客观证据，并对审核发现实施纠正和有效性验证。内部审核结果能够用于绩效评价、管理评审及持续改进，内部审核过程总体运行基本符合实际管理要求。

高频问题

内部审核只是为了满足认证要求，没有真正发挥审核作用。
年度审核方案每年完全一样，没有考虑组织变化及以往审核结果。
审核频次没有考虑过程的重要程度和风险。
重大变化发生后没有调整审核计划。
发生重大事故、信息安全事件或IT服务故障后没有开展针对性审核。
内部审核没有覆盖全部管理体系过程。
某些关键过程长期没有接受内部审核。
审核范围和实际管理体系范围不一致。
审核准则不明确。
审核计划过于简单，无法反映实际审核安排。
审核员能力不足，对专业过程不了解。
信息安全内部审核人员不具备必要的信息安全专业能力。
IT服务内部审核人员不了解实际IT服务过程。
环境或职业健康安全审核人员缺少相关专业知识。
审核员审核自己的工作。
部门负责人自己审核本部门。
内部审核人员多年不轮换，容易形成审核惯性。
审核只看文件，不看现场和实际工作。
审核员只按照标准条款逐条提问。
检查表问题很多，但没有形成有效的审核证据。
审核记录大量使用“符合”“正常”“已建立”等结论性语言。
没有抽查实际业务项目和运行记录。
审核证据缺少具体的文件、记录、项目或现场事实。
审核发现没有明确客观证据。
不符合项描述只有结论，没有事实。
将审核员个人意见作为不符合项。
将改进建议写成不符合项。
不符合项与审核准则之间缺少明确联系。
审核发现没有与受审核部门进行确认。
内部审核报告内容简单，不能反映真实审核情况。
审核结束后才补做审核记录。
审核计划、检查表、审核记录和审核报告之间相互矛盾。
内审报告没有向最高管理者报告。
审核发现没有及时制定纠正措施。
纠正措施只是“加强培训”“加强管理”，没有针对原因。
纠正措施没有明确责任人和完成期限。
纠正措施完成后没有进行有效性验证。
同类问题反复发生，但没有进行原因分析。
内部审核发现的问题没有纳入绩效评价。
内部审核结果没有作为管理评审输入。
信息安全审核只审核制度文件，没有审核实际控制措施。
信息安全审核没有抽查账号、权限、日志、备份等实际证据。
IT服务审核只查看服务报告，没有追踪实际事件、故障和变更记录。
环境审核只看制度和记录，没有查看现场环境控制。
职业健康安全审核只看培训记录，没有验证现场风险控制措施。
五个体系分别开展审核，存在重复审核，过程之间缺少融合。
内部审核发现的问题与实际经营和业务过程脱节。