合格评定-审计管理系统中远程审计方法的使用指南标准立项发展报告

合格评定——审计管理系统中远程审计方法的使用指南标准立项发展报告英文标题：StandardizationDevelopmentReport:Conformityassessment—Guidelinesfortheuseofremoteauditingmethodsinauditingmanagementsystems摘要：随着全球数字化进程的加速以及突发事件（如新冠疫情）对传统工作模式的冲击，远程审计作为一种高效、灵活且具备韧性的合格评定方式，正从应急替代方案演变为常态化的审计工具。在此背景下，国际标准化组织ISO于2024年7月9日正式发布了ISO/IECTS17012:2024《合格评定——审计管理系统中远程审计方法的使用指南》。本报告旨在全面解析该标准的立项背景、研制历程、核心内容、关键技术要求及其对全球合格评定领域产生的深远影响。报告深入探讨了远程审计的定义、适用场景、与现场审计的等效性原则，以及实施过程中需关注的信息安全、保密性、技术环境等关键因素。标准为认证机构、审核员及受审核方提供了一个系统化、基于风险的框架，确保远程审计活动的有效性、可信度与一致性。本报告不仅对该标准的技术内涵进行了剖析，还详细介绍了主要参与起草单位的专业贡献，并对该标准未来在技术演进、行业融合及国际互认方面的发展趋势进行了展望。结论认为，ISO/IECTS17012:2024的发布标志着审计管理系统的合格评定工作进入了一个全新的、技术驱动的阶段，对于提升全球供应链韧性、降低合规成本、推动数字化转型具有重要的战略意义。关键词：合格评定；远程审计；审计管理系统；ISO/IECTS17012；风险管理；数字化转型；信息与通信技术Keywords:Conformityassessment;Remoteauditing;Auditingmanagementsystems;ISO/IECTS17012;Riskmanagement;Digitaltransformation;InformationandCommunicationTechnology(ICT)一、引言1.1研究背景与意义在21世纪第三个十年，全球经济、社会和技术格局正经历深刻变革。信息与通信技术（ICT）的广泛应用，使得组织运营的边界日趋模糊，虚拟团队和分布式办公成为常态。特别是2019年底爆发的新冠疫情，对全球范围内的人员流动和面对面活动造成了前所未有的限制，传统以现场访问为核心的审计模式面临巨大挑战。为确保合格评定活动的连续性，保障供应链的稳定与安全，业界迫切需要一种能够有效替代部分或全部现场活动的审计方法。在此背景下，远程审计从一种辅助性或技术性尝试，迅速转变为应对危机的关键手段。然而，早期远程审计的实践缺乏统一的国际规范，不同认证机构、审核员和受审核方对其理解、应用和风险控制能力参差不齐，导致审计结果的有效性、可信度和一致性受到质疑。因此，制定一项关于远程审计方法使用的国际指南，明确其原则、框架和最佳实践，成为全球合格评定领域的当务之急。ISO/IECTS17012:2024正是在这样的时代需求下应运而生。它不仅仅是一份技术规范，更是对全球合格评定体系韧性、包容性和现代化能力的一次重要提升。该标准的发布，为认证机构、认可机构及其他利益相关方提供了权威的、基于共识的操作指引，有助于推动远程审计从应急实践向标准化、主流化、高可信度的方向发展。1.2标准的定位与目标ISO/IECTS17012:2024是一项技术规范（TS），属于ISO合格评定委员会（CASCO）框架下的成果。其核心目标是为使用远程审计方法审计管理体系提供指南，确保其有效性等同于或可接受地替代传统的现场审计方法。具体而言，该标准旨在：1.定义原则与框架：明确远程审计的核心原则，包括公正性、能力、保密性、基于风险的方法等，并提供一个结构化的框架来规划、实施、报告和跟踪远程审计活动。2.增强一致性与可信度：通过提供统一的方法论和最佳实践，减少不同认证机构在实施远程审计时的差异，提升全球范围内认证结果的可信度和互认性。3.管理风险与机遇：系统化地识别和评估与远程审计相关的风险（如数据安全、技术故障、沟通障碍）与机遇（如效率提升、成本降低、覆盖范围扩大），并指导如何采取适当措施。4.促进创新与转型：鼓励认证机构和审核员积极采用新兴技术（如视频会议、屏幕共享、文档管理系统、物联网传感器、无人机等）来优化审计过程，推动合格评定领域的数字化转型。二、标准核心技术内容解析2.1标准结构与关键术语ISO/IECTS17012:2024构建了一个完整的、闭环的远程审计管理体系。其核心内容涵盖了从审计方案策划到后续跟进的全过程。核心概念与术语：*远程审计方法：指审核员不在受审核方现场，而是利用ICT技术远程采集和验证信息、进行交流活动的各种方法。这包括但不限于同步视频会议、电话会议、远程屏幕共享、通过安全门户访问受审核方系统、以及使用无人机或可穿戴设备进行远程见证等。*审计覆盖范围：明确哪些活动、过程、场所或功能可以通过远程审计方法覆盖，哪些必须保留现场审计。标准强调必须基于风险评估的结果来决定，而非一刀切。*等效性：远程审计方法所获得的审计证据的质量和充分性，必须能够与现场审计方法所获得的结果相媲美，从而支持同等的审计结论。2.2远程审计的规划与实施框架该标准详细阐述了规划远程审计时的关键考虑因素，形成了一个以风险管理为核心的四步框架：1.可行性与风险评估：这是远程审计策划的基石。认证机构必须评估远程审计的可行性，重点考虑：受审核方的ICT基础设施和能力、受审核管理系统的复杂性与关键性、所需审计证据的类型和可获取性、信息安全和保密性风险、以及现场审计无法实施时人员的替代能力。基于此评估结果，决定审计活动是否全部、部分或不能远程进行。2.审计方法的选择与组合：根据风险评估结果，选择最合适的远程审计方法及其组合。例如，对于文档审核，可采用安全的文件共享平台；对于与关键人员的访谈，可采用双向视频会议；对于对生产现场的见证，可考虑通过移动设备进行实时远程观察。3.审计方案的制定与执行：创建一个详细的审计计划，明确哪些活动远程执行，哪些需要现场执行或两者结合。计划中需包含明确的时间安排、ICT工具清单、应急预案（例如，网络中断时如何处理）以及所有参与者的角色与职责。执行时，审核员需灵活应变，充分利用ICT技术进行交互，确保所有审计要求的覆盖。4.证据核实与记录：标准特别强调了证据核实的重要性。对于远程获得的文件、记录、视频或音频片段，审核员需要采取额外措施来确认其真实性、完整性和时效性。审计记录必须清晰注明哪些证据是通过何种远程方法获得的。2.3关键控制点与技术要求为确保远程审计的有效性，标准在以下几个关键方面提出了明确要求：*能力要求：除传统的管理体系审核能力外，远程审核员还需具备特定的显性和隐性能力，包括熟练使用所需的ICT工具、在非面对面环境中有效沟通和建立信任的能力、处理技术故障的应变能力，以及对信息安全风险的识别能力。*信息与通信技术：标准不对具体的ICT工具做出强制性规定，但强调工具必须满足：确保数据安全和保密性（如端到端加密）、提供足够清晰和稳定的音视频传输、支持文件的实时共享和远程控制、以及记录审计过程的可靠机制。*信息安全与保密性：这是远程审计面临的最大挑战之一。标准要求认证机构和受审核方必须就信息安全协议达成一致，包括数据访问权限、传输途径、存储方式、销毁政策以及如何处理公司机密信息或个人信息。审核员有责任确保其工作环境符合保密要求。*审计报告：最终的审计报告应明确说明远程审计方法的使用范围、具体应用情况、遇到的任何特殊情况或限制，以及对审计结论的影响，保证审计过程的透明度。三、主要参与单位介绍ISO/IECTS17012:2024的制定是国际标准化组织合格评定委员会（ISO/CASCO）各成员国专家团队通力合作的成果。其中，来自多个国家的认证机构、认可机构、行业协会及技术公司的专家贡献了宝贵的技术建议和实践经验。在此，我们重点介绍标准研制过程中的一个关键参与者——英国皇家认可委员会（UKAS）。UKAS是英国的国家认可机构，负责对提供认证、检验、测试和校准服务的组织进行认可。其在国际标准化领域拥有极高的声望和影响力，长期深度参与ISO/CASCO的各项活动，包括ISO/IEC17021系列《合格评定管理体系审核与认证机构的要求》等核心标准的修订工作。在ISO/IECTS17012:2024的制定过程中，UKAS扮演了以下关键角色：1.方法与框架的贡献者：在新冠疫情爆发初期，UKAS迅速响应，发布了指导其认可的认证机构如何有效实施远程审计的临时政策，积累了丰富的实操经验。UKAS的专家将这些来自一线认可实践中的最佳案例、风险控制措施和经验教训带入了标准草案的讨论中。特别是关于“如何基于风险确定远程审计的覆盖范围”、“如何评估审核员的远程审计能力”以及“如何对远程审计进行有效监督”等核心问题上，UKAS的方案为标准的最终框架提供了坚实的实践基础。2.风险管理的倡导者：UKAS在认可工作中遵循严格的基于风险的方法。它倡导标准必须从管理风险的角度出发，而非简单罗列技术清单。UKAS的专家持续强调，决定是否采用远程审计、采用何种比例，不应基于便利性或成本考虑，而必须建立在全面而审慎的风险评估之上，并与受审核方的具体管理体系类型、成熟度和关键活动紧密挂钩。这种理念深度融入了标准的“可行性与风险评估”章节。3.最佳实践的推广者：自远程审计兴起以来，UKAS通过其“UKAS远程审计专题”工作小组，组织了大量研讨、调查和案例研究，收集了来自不同行业和规模组织的反馈。这些宝贵的一手资料，特别是关于如何保障审计证据的完整性（如动态屏幕录制、文件数字水印）、如何解决时差和语言障碍、以及如何处理受审核方对技术的不适应等问题，被系统性地转化为标准中的规范性条款和推荐性指南。4.信息安全的把关者：英国在网络安全和数据保护方面有严格的法律法规（如英国通用数据保护条例UKGDPR）。UKAS的专家在标准制定中严格把关，强调审计过程中涉及的个人信息和商业机密必须得到最高级别的保护。他们推动标准明确要求认证机构与受审核方签订专项的远程审计数据保护协议，并对ICT工具的选取、数据传输的加密和审计后的数据销毁提出了具体、可执行的要求。英国作为全球认证和认可行业的重要发源地之一，UKAS在其中扮演的引领角色，确保了ISO/IECTS17012:2024的技术内容能够经受住高标准的监管考验和实践验证，使其成为一份兼具理论高度与实操深度的权威指南。四、结论与展望4.1标准的核心价值与影响ISO/IECTS17012:2024的问世，标志着全球合格评定领域在适应数字化时代方面迈出了战略性的一步。它的核心价值体现在：*提升体系的韧性：在面临突发公共卫生事件、自然灾害、旅行限制或其他不可抗力时，远程审计方法成为确保认证活动持续性的关键保障，避免了供应链中断带来的巨大损失。*优化资源配置与降低成本：合理运用远程审计减少了差旅需求和现场驻留时间，显著降低了认证机构与受审核方的直接和间接成本，并将释放出的资源用于更高价值的分析和改进活动。*扩大覆盖范围与促进公平：对于位于偏远地区、新兴经济体或存在安全风险的受审核方，远程审计提供了一种可行的、低成本的选择，使得更多的组织能够有机会参与并获得国际认可的认证，推动了全球市场准入的公平性。*推动行业技术进步与数字化转型：该标准不仅规范了当前的实践，更鼓励各方探索和应用更具创新性的ICT工具（如AI辅助文档分析、增强现实AR审计、区块链验证等），从而催化整个合格评定行业的现代化进程。4.2未来发展趋势与展望展望未来，ISO/IECTS17012:2024所引领的远程审计将不再局限于“应急替代方案”或“部分补充”，而是有望发展成为主流的、与现场审计并行的审计模式。其发展趋势将主要体现在以下几个方面：1.技术的深度融合：随着5G、物联网、边缘计算、数字孪生等技术的发展，远程审计将从小范围的视频对话和文件传输，扩展到对实时生产过程、设备状态和环境、甚至整个虚拟工厂的远程见证。审核员将能获得比现场巡查更全面、更动态、更智能的审计证据。2.标准的持续迭代与细化：一项技术规范是其生命周期的起点。随着实践经验的积累和技术的进步，ISO/CASCO可能会推动将该TS升格为国际标准（IS），并针对特定行业（如医疗器械、汽车、食品）或特定类型审计（如远程见证测试）制定更细化的应用指南。3.人才培养与能力认证：认证机构将不再仅仅招聘“现场审核员”，而是培养“多模式审核员”。审核员的核心能力将包含新的维度，如数字化素养、数据安全意识、线上沟通技巧和远程协作能力。相应的，针对远程审核员能力的培训课程和认证体系将快速涌现。4.国际互认框架的建立：随着各国认可机构（如UKAS、中国CNAS等）依据本指南监管其认证机构，远程审计结果的可信度将逐步建立。未来，全球性的互认协议可能会明确承认基于此指南进行的远程审计，从而打破地域限制，实现真正的“一个标准，一次审计，全球通行”。5.伦理与监管的挑战：远程审计也带来了新的伦理和监管挑战，例如如何防范利用技术进行欺诈、如何