ISO 27001-2022 纠正与预防措施 (CAPA) 跟踪表-1

ISO27001_2022纠正与预防措施(CAPA)跟踪表中文版（不符合项闭环管理）一、文档说明本表基于ISO/IEC27001:2022新版标准第10.2不符合与纠正措施强制性条款编制，适配新版93项安全控制要求，专为企业信息安全管理体系（ISMS）内审、管理评审、认证外审、日常运维中发现的不符合项、风险隐患、体系偏差提供标准化闭环管理工具。区别于2013旧版简易表单，本次新版CAPA跟踪表重点适配云安全、供应链安全、隐私保护、数据脱敏、特权账号管理、威胁情报等11项新增控制的问题整改场景，严格遵循认证机构最新审核尺度，彻底解决企业CAPA整改流于形式、根本原因分析不到位、预防措施缺失、闭环证据不足、复审扣分等高频问题。本表为企业体系必备受控表单，全程可追溯、可内审、可外审，适用于所有ISO27001:2022转版企业常态化不符合项闭环管理。二、适用范围1.企业ISO27001:2022内部审核发现的一般不符合、严重不符合、观察项；2.认证机构转版审核、年度监督审核、换证审核开出的不符合项报告；3.日常信息安全检查、资产巡检、运维自查发现的体系偏差与安全隐患；4.安全事件、漏洞风险、数据异常、供应链安全问题引发的体系整改；5.管理评审输出的体系优化、持续改进类整改事项。三、ISO27001:2022CAPA核心管理准则依据新版标准10.2条款强制要求，企业开展CAPA闭环必须满足以下核心规则，所有整改流程、表单填写、证据留存均需贴合本准则，否则审核判定为整改无效：1.精准识别不符合：针对体系文件、控制落地、记录留存、合规性偏差，精准定位不符合事实、对应新版条款/附录A控制项，杜绝模糊描述。2.根本原因深度分析：禁止仅归因“人员疏忽、管理不到位”，需采用5Why、鱼骨图等方法，从制度、流程、培训、管控、技术防护五个维度深挖根源。3.区分三类整改动作：严格区分纠正（即时止损）、纠正措施（杜绝复发）、预防措施（前置防控），新版标准重点考核预防措施落地性。4.整改全程可追溯：所有整改动作必须配套纸质/电子佐证材料，台账、记录、截图、制度文件、培训记录齐全。5.验证闭环有效性：整改完成后需由内审员或管理者验证效果，确认问题彻底清零、无复发风险，方可判定闭环。四、表单字段标准化填写规范（资深内审实操版）为规避转版审核高频扣分，现将本表所有字段填写标准统一规范，全员严格执行：1.不符合项来源：填写内审、外审、日常巡检、安全事件、管理评审、客户审核等精准来源。2.不符合项等级：严重不符合（体系系统性失效、新增控制完全未落地、多项条款违规）、一般不符合（个别执行偏差、记录缺失）、观察项（无违规、存在潜在风险、需优化完善）。3.不符合项描述：遵循“时间+地点+对象+事实+依据”原则，客观写实，不主观臆断，精准对应ISO27001:2022正文条款或附录A93项控制编号。4.根本原因分析：必须具体落地，如“无云安全风险评估制度、未开展新版专项培训、特权账号无定期复核流程”等，杜绝空话套话。5.纠正措施：即时整改动作，针对当前已发生问题，快速止损、补齐缺失、修正偏差。6.预防措施：长效管控动作，优化制度、新增流程、强化培训、定期核查，杜绝同类问题重复发生。7.佐证材料清单：逐条列明文件名、编号、生成时间，包含制度修订记录、台账截图、培训记录、巡检报告、审批单据等。8.验证结论：内审员根据整改证据、现场核查情况，判定整改有效/整改无效/需补充整改，并签字确认。五、完整版ISO27001:2022CAPA跟踪表（可直接复用）序号不符合项编号不符合项来源不符合等级不符合项描述（含标准依据）根本原因分析即时纠正（止损动作）纠正措施（杜绝复发）预防措施（前置防控）责任部门/责任人计划完成时间实际完成时间整改佐证材料清单内审验证结果审核闭环结论备注1CAPA-202X-0012CAPA-202X-0023CAPA-202X-003填表说明：本表可无限新增行，所有整改事项必须逐项登记、逐项闭环、逐项留存证据，禁止合并填报；年度体系审核需完整提供全年CAPA台账记录。六、新版典型不符合项CAPA填写示例（转版专用）为方便企业快速落地，针对ISO27001:2022新版高频扣分点，提供标准化完整填写示例，可直接参考套用：不符合项编号：CAPA-202X-001不符合项来源：2022版ISO转版内部审核不符合等级：一般不符合不符合项描述：核查企业云服务安全管控工作，未按照ISO27001:2022A.5.24云服务安全控制要求，开展云服务商安全评估及云资源风险定期核查，无相关评估台账与记录，新版新增控制落地缺失。根本原因分析：1.体系文件未更新新版云安全管控制度，无标准化评估流程；2.未开展新版转版专项培训，运维人员不掌握新版云安全管控要求；3.日常巡检未纳入云资源安全核查项。即时纠正：立即梳理企业全部公有云、SaaS服务资源，完成存量云服务商安全资质、权限、数据安全专项核查，补齐首次云安全风险评估报告。纠正措施：修订《云服务安全管理制度》，明确云服务商选型、准入、评估、复测全流程要求；将云安全核查纳入月度运维巡检清单。预防措施：每季度开展一次云资源安全风险评估，留存评估记录；每年结合体系评审优化云安全管控策略；定期开展技术人员云安全专项培训，规避同类管控缺失问题。责任部门/责任人：信息技术部/XXX计划完成时间：202X年XX月XX日实际完成时间：202X年XX月XX日整改佐证材料：1.修订后的《云服务安全管理制度》；2.云服务商安全评估报告；3.月度巡检记录（新增云安全核查项）；4.员工云安全培训记录及考核台账。内审验证结果：整改资料齐全，制度已更新，核查流程已落地，问题已整改到位。审核闭环结论：整改有效，准予闭环。七、ISO27001:2022CAPA闭环有效性判定标准结合各认证机构最新审核尺度，明确整改有效/无效判定规则，规避假性闭环：7.1整改有效（准予闭环）1.根本原因分析精准，不流于表面，直击制度、流程、管理核心问题；2.纠正、纠正措施、预防措施三者区分清晰、落地可行、针对性强；3.所有整改动作均有完整、真实、有效的佐证材料支撑；4.现场核查无同类问题残留，建立长效管控机制，可杜绝复发。7.2整改无效（驳回重改）1.根本原因笼统（人员疏忽、管理不足），无具体深度分析；2.仅做即时纠正，无纠正措施、无长效预防机制，治标不治本；3.佐证材料造假、缺失、与整改内容不匹配；4.同类问题反复出现，未形成标准化管控流程；5.未适配2022新版标准要求，仍沿用2013旧版整改逻辑。八、新版CAPA管理高频避坑指南1.禁止无预防措施：新版标准重点核查预防措施，仅整改当下问题、无前置防控机制，一律判定整改不合格；2.禁止条款匹配错误：所有不符合项必须精准匹配2022版93项控制编号，不得沿用旧版114项条款编号；3.禁止台账空白滞后：CAPA需做到问题发现即登记、整改完成即更新，禁止年度集中补填台账；4.禁止分级错误：新版新增控制完全未落地、体系系统性失效，必须判定为严重不符合，不得降级处理；5.禁止证据单一