ISO9001-2026标准“9.2内部审核”条款（过程）风险管理应用专业操作指南（雷泽佳编制）

ISO9001-2026“9.2内部审核”条款（过程）风险管理应用专业操作指南(雷泽佳编制)ISO9001-2026“9.2内部审核”条款（过程）风险管理应用专业操作指南(雷泽佳编制)9绩效评价9.2内部审核9.2.1条款目的和意图9.2.1.1条款目的本指南旨在指导组织将基于风险的思维和基于机遇的思维融入“9.2内部审核”条款（过程）的实施：确保组织通过内部审核从公正视角获取质量管理体系绩效与有效性的信息，评价策划的安排已得到落实且体系得到有效实施和保持；建立“确立目标→确定和评价方案风险和机遇→建立→实施→监视→评审和改进”的审核方案管理闭环；使审核聚焦于对组织重要且对实现审核方案目标至关重要的事项，并为管理评审、纠正措施和持续改进提供关键输入，防止内部审核退化为“机械排班式”的合规演练。9.2.1.2条款意图1）提供两类判定信息，防止“走过场”：内部审核应提供“是否符合（组织自身要求及本文件要求）”与“是否得到有效实施和保持”两类信息；审核不应只回答“有没有做”，更应回答“审得准不准、体系是否真的有效”——审核员应关注管理体系的预期结果，过程及其产出虽然重要，但结果及其绩效才是关键。2）建立审核方案全生命周期管理：审核方案是针对特定时间段、以评价质量管理体系绩效和有效性为目的，对一组一次或多次审核作出的策划安排；应策划、建立、实施和保持，并按审核方案管理的PDCA流程持续维护，防止“年初排计划、年中变了不调整”。3）应用基于风险的方法，打破“机械排班式内审”：基于风险的方法应对审核方案的策划和实施以及审核的策划、实施和报告产生实质性影响；2026版强调审核方案基于风险、动态调整——什么地方重要、什么地方出过问题、什么地方变了，就多审、深审；什么地方稳定，就少审、浅审；风险加权决定审核的频次与深度，而非是否审核。4）落实审核七项原则：诚实正直、公正表达、职业素养、保密性、独立性、基于证据的方法、基于风险的方法；遵循这些原则是得出相关且充分的审核结论的前提，也是使独立工作的审核员在相似情况下得出相似结论的前提。5）强化审核目标的显性化与针对性：2026版将“每次审核应有明确的审核目标”由隐含要求变为显性要求——每次审核均应在策划阶段想明白、写下来“这次要确认什么”，审核员不再只看“有没有做内审”，更看“审得有没有针对性”。6）衔接治理与改进：评价与审核是组织治理、风险与合规方案的核心组成部分，为绩效改进举措提供输入；内部审核结果（含审核结果趋势）作为管理评审输入，支撑最高管理者循证决策；审核发现的不合格进入纠正措施管理流程，审核发现的改进机会和良好实践在全组织推广。9.2.2与相关条款的接口相关条款接口关系4.1理解组织及其环境审核方案应考虑组织目标、相关的外部和内部因素、相关方的需求和期望、数字工具等技术的应用、信息安全和保密要求；环境发生重大变化（包括气候变化相关考虑）时，应评审和更新审核方案。4.4质量管理体系及过程审核方案覆盖质量管理体系内所有过程；良好实践是按过程而非按标准条款策划和实施审核，完整评价过程从开始到结束的绩效及其相互关系。5.1、5.3领导作用及岗位职责最高管理者应展现对质量管理体系有效性的领导与承诺（包括促进质量文化和道德行为）；内部审核是验证该承诺与文化是否真实的主要工具之一；审核方案管理人员应提请审核委托方批准方案并获得领导层的支持。6.1应对风险和机遇的措施审核方案风险和机遇的识别、评价和应对；对风险和机遇确定与管理的审核应贯穿整个审核过程（包括与最高管理者面谈），不应作为一项独立活动开展。6.2质量目标审核方案目标应与战略方向、所处环境保持一致，并支持质量方针和质量目标；可评价管理体系目标与组织战略方向的相容性和一致性。7.2能力审核员能力评价（确定所需能力→建立评价准则→选择评价方法→实施评价）的结果用于审核组成员选择、能力提升需求确定和持续绩效评价，与人员能力管理衔接。7.5成文信息成文信息作为审核方案实施和审核结果的证据应可获取；应建立过程确保满足与审核记录相关的信息安全和保密需求。8.4外部提供的过程、产品和服务的控制供应链评价需求可纳入审核方案目标；供方更换、来料质量波动等变化应触发审核方案更新并在审核中重点关注。9.1监视、测量、分析和评价评价与审核方案应立足一线监视与测量方案、系统输出信息并以此为输入；审核抽样应适当地考虑管理体系的监视结果；内部审核结果进入分析与评价。9.3管理评审内部审核结果（含审核结果趋势）是管理评审输入；最高管理者在作出与质量管理体系相关的决策时应考虑内部审核结果。10改进审核发现的不合格按不合格与纠正措施管理流程（10.2）及时采取纠正和纠正措施；识别改进机会与良好实践并在组织内推广；第二方、第三方审核结果可作为纠正措施的反馈并用于监视相关计划的实施状况。ISO19011:2026注：管理体系审核指南见ISO19011（第四版，含远程审核方法和虚拟场所指南）；ISO/IECTS17012:2024为远程审核方法的使用提供专门指南。9.2.3关键术语与概念基础1）审核：为获取客观证据并对其进行客观评价，以确定满足审核准则的程度所进行的系统的、独立的和文件化的过程；内部审核（第一方审核）由组织自己或以组织的名义实施。2）结合审核与联合审核：结合审核是在单个受审核方同时对两个或多个管理体系实施的审核；联合审核是由两个或多个审核组织在单个受审核方实施的审核；实施一体化管理体系的组织可开展结合审核以减少重复工作。3）远程审核方法：在受审核方场所以外的任何地点实施审核活动所使用的方法；可与现场方法结合使用，也可用于虚拟场所的审核。4）审核方案：针对特定时间段并具有特定目的所策划的一组一次或多次审核的安排；审核方案不是单次审核的“日程表”，而是覆盖整个周期的安排。5）审核范围：审核的内容和界限，通常包括物理场所和虚拟场所、职能、组织单元、活动和过程以及所覆盖的时间段的描述。6）审核计划：对审核的活动和安排的描述（针对单次审核；与审核方案属于两个不同层级的成文信息，实施中常见两者混淆，宜注意区分）。7）审核准则：用于与客观证据进行比较的一组要求；可包括方针、程序、作业指导书、含目标的绩效准则、法律法规要求、合同义务、管理体系要求、关于环境以及风险和机遇的信息（含相关方要求）、行业行为准则等。8）审核证据、审核发现与审核结论：审核证据是与审核准则有关的并且能够验证的记录、事实陈述或其他信息；审核发现是将收集的审核证据对照审核准则进行评价的结果（表明合格或不合格，可导致识别风险、改进机会或记录良好实践）；审核结论是考虑了审核目标和所有审核发现后得出的审核结果。9）审核委托方、受审核方、审核组、审核员、技术专家、观察员：审核委托方是要求实施审核的组织或人员（内部审核的委托方也可以是受审核方或管理审核方案的人员）；受审核方是被审核的组织整体或其一部分；审核组是实施审核的一名或多名人员，需要时由技术专家提供支持；技术专家向审核组提供特定知识或专业技能，不作为审核员行事；观察员伴随审核组但不作为审核员或技术专家行事。10）独立性：审核公正性和审核结论客观性的基础；只要可行，审核员应独立于被审核的活动，且在任何情况下均应不带偏见、不存在利益冲突；当内部审核员无法独立于被审核的活动时，应尽一切努力消除偏见并体现客观。11）基于风险的方法：考虑风险和机遇的审核方法；应对审核方案的策划和实施以及审核的策划、实施和报告产生实质性影响，以确保审核聚焦于对审核委托方重要且对实现审核方案目标至关重要的事项。12）审核的增值定位：内部审核是识别问题、不符合、风险和机遇的有效工具，也是监视解决以前所发现问题和不符合的进展状况的有效工具；内部审核还能重点识别良好实践和改进机会。9.2.4总则9.2.4.1基本原则组织应用本指南宜遵循：a）诚实正直与公正表达原则：审核员和审核方案管理人员应以诚实、负责任的道德精神从事工作，仅承担有能力完成的审核活动，以不偏不倚的态度从事工作，对可能影响其判断的任何因素保持警觉；审核发现、审核结论和审核报告应真实、准确地反映审核活动，应报告在审核过程中遇到的重大障碍以及审核组与受审核方之间未解决的分歧意见。b）独立性与客观性原则：审核员应独立于被审核的活动，不带偏见、不存在利益冲突；审核发现和结论应仅建立在审核证据的基础上；内部审核员无法独立时，应尽一切努力消除偏见并体现客观（如由另一名审核员监督、同行或管理者评审审核结果）。c）基于证据的方法原则：审核证据应是可验证的；由于审核是在规定时限内并在有限资源条件下进行，审核证据应基于可获得信息的样本，应合理运用抽样方法；只有能够得到一定程度验证的信息方可作为审核证据接受。d）基于风险的方法原则：将基于风险的思维和基于机遇的思维贯穿审核方案和每次审核的策划、实施、报告与后续活动，使审核资源投向最重要、最需要关注的过程与事项。e）保密与信息安全原则：审核员应审慎使用和保护在审核过程中获取的信息，不应为个人利益不适当地使用审核信息，或以损害受审核方合法利益的方式使用审核信息；对敏感或保密信息妥善处理，未经批准不得向任何其他方泄露审核期间获得的信息或审核报告。f）全员参与与主动预防文化原则：避免恐惧与追责文化（其导致员工隐瞒信息或提供误导性答案以逃避惩罚，阻碍开展真实客观的评价）；培育基于风险和机遇的思维，聚焦于优化做事方式、全面改进工作开展模式；管理层的参与和资源保障是审核有效性的基本保证。g）持续改进原则：持续监视、评审和改进审核方案；从审核中获得的经验教训可用于识别风险和机遇；审核输出用于处理问题、不符合和风险，识别机会，推广良好实践，增进对过程间相互作用的理解。9.2.4.2组织与职责1）审核委托方与最高管理者：确保建立审核方案目标（与战略方向、所处环境保持一致，并支持质量方针和质量目标）；确保审核方案获得领导层的支持并提请批准；建立对所有内部审核报告进行评审的过程，以识别可能需要在整个组织中采取纠正措施的趋势以及改进机会；在作出与质量管理体系相关的决策时考虑内部审核结果。2）审核方案管理人员：确保维护审核方案的完整性、确保不对审核方案施加不当影响；确定审核方案的详略程度、范围和资源需求；建立所有相关过程（审核的目标、范围和准则及方法确定、审核组选择、协调和日程安排、审核员能力评价、沟通、争议解决和投诉处理、审核后续活动、报告）；编制并保持适当的成文信息（含审核方案记录）；持续监视、评审和改进审核方案；向审核委托方及适当时向相关方沟通审核方案并提请批准；宜具备审核原则方法过程、管理体系标准、受审核方及其环境、法律法规要求等知识，以及风险管理、项目和过程管理及信息通信技术方面的知识。3）审核组与审核员：审核组长应采用基于风险的方法策划审核，在审核期间有效利用资源、管理实现审核目标的不确定性、指导审核组成员、必要时预防和解决冲突，并编制审核报告；审核员应遵守七项审核原则并展现职业素养（有道德、思想开明、善于外交、观察敏锐、有感知力、适应力强、坚韧不拔、明断、独立自主、乐于改进、文化敏感、协作精神）；不应审核其自身的工作；应通过持续专业发展和定期参与审核培养、保持和提高能力。4）受审核方（各过程与部门）：配合审核（协助确定参加访谈的人员并确认时间和地点、安排访问特定场所、确保遵守场所的访问与健康安全等规定）；对审核结果需要采取的纠正、纠正措施或改进机会，在商定的时限内决定并实施，并将措施状态告知审核方案管理人员和/或审核组。5）技术专家、观察员与向导（适当时）：技术专家向审核组提供特定知识或专业技能支持，但不作为审核员行事；观察员不得影响或干扰审核工作的实施，无法保证时审核组长有权拒绝其出席某些审核活动；由受审核方指定的向导协助审核组。6）监督与制约（参考实践）：关键环节设置独立和相互制约的决策和批准职能；设置特定且独立的监督职能；建立风险防控奖惩制度，将意识能力、行为表现和工作绩效与薪酬、奖罚、职业发展机会关联；各层级定期进行风险形势分析，定期汇总疑难案例并再评估当时处理方式的适宜性。9.2.4.3工作程序组织宜按下列步骤开展：a）明确审核委托方和审核方案管理人员，建立组织与职责（见9.2.4.2）；b）确立审核方案目标（与战略方向、所处环境一致，支持质量方针和目标）（见9.2.6.1）；c）确定和评价审核方案的风险和机遇，策划应对措施并向审核委托方报告（见9.2.6.2）；d）建立审核方案（范围、详略程度、频次、方法、职责、资源、审核组选择准则、记录要求），提请审核委托方批准并向相关方沟通（见9.2.6.3、9.2.6.4）；e）实施审核方案（逐次审核：审核启动→审核活动准备→审核活动实施→审核报告编制和分发→审核完成→审核后续活动）；f）监视审核方案（日程执行与目标实现、审核组绩效、各方反馈、成文信息充分性）（见9.2.6.5）；g）评审和改进审核方案（经验教训、变更触发、持续专业发展评审）（见9.2.6.5）；h）保留成文信息并输出（管理评审输入、纠正措施、改进与良好实践推广）（见9.2.7.3～9.2.7.5、9.2.9）。注：审核方案管理是一个PDCA过程——“确立审核方案的目标→确定和评价审核方案的风险和机遇→建立审核方案→实施审核方案→监视审核方案→评审和改进审核方案”；审核后续活动并非始终适用。组织宜参照ISO19011:2026建立该流程并保持其持续有效。9.2.5按策划的时间间隔开展内部审核（对应“9.2.1总则”要求）9.2.5.1判定信息与审核准则1）两类判定信息：内部审核应提供有关质量管理体系的下列信息：a）是否符合——1）组织自身的质量管理体系要求；2）本文件（ISO9001-2026）的要求；b）是否得到有效的实施和保持。两类问题相互独立——仅检查“程序是否存在、记录是否有”只回答了第一类问题，还必须回答“体系是否有效运行”。2）审核的信息范围与工具定位：内部审核适用于质量管理体系内的所有过程；通过一套方案开展，组织借此评价其各过程的运行状态以及这些过程对实现质量管理体系目标的贡献；内部审核可指出体系中需要纠正或改进的方面，并可识别改进机遇。3）审核准则的内容：审核准则可包括适用的方针、过程、程序、包括目标在内的绩效准则、法律法规要求、管理体系要求、由审核委托方确定的关于环境以及风险和机遇的信息（包括相关的内外部相关方要求）、行业行为准则或其他策划的安排；审核覆盖的准则宜确保年度方案覆盖全部适用条款，不出现“无人认领的条款”。4）关注预期结果：虽然过程及其产出很重要，但管理体系的结果及其绩效才是关键；在高风险或复杂的组织中，成文信息的缺失可能很重要，但在其他组织中则不那么显著——审核员应运用专业判断评价条款意图是否得到满足。9.2.5.2审核频次与时间间隔的确定1）按策划的时间间隔：标准没有规定最低审核频次，而是要求“按策划的时间间隔”开展；审核频次和范围的确定受组织对相关风险的评估以及内外部因素变化的影响；确定频次是风险决策——应避免“每年按部门轮一遍”的机械排班。2）频次考虑因素（包括但不限于）：a）过程的重要性；b）过程的成熟度与复杂程度；c）管理优先级；d）过程绩效；e）影响组织的变更；f）以往审核结果（如问题历史）；g）顾客投诉趋势；h）法定与监管事项。3）风险加权与覆盖基线：在为审核方案分配资源和方法时，应优先考虑管理体系中固有风险较高且绩效水平较低的事项；风险加权决定审核的频次与深度，而非是否审核——每一过程和适用要求均须在规定周期内获得覆盖（常见的覆盖基线为认证周期，如三年）；一个可辩护的审核方案宜先设定覆盖基线，再在此基础上缩放频次与深度；单一管理体系通常可识别15～40个可审核过程；频次决策的风险评估依据应形成记录，以便回答“为什么这样安排频次”。4）差异化与滚动安排：对KPI超出基准线、引入新产品、连续发现3项及以上不合格（或发生重大、重复不符合）的过程追加安排审核；稳定、低风险的过程可降低频次、简化深度；可采用“滚动式”（全年分批实施）或“集中年度审核”模式；多场所组织可针对每个场所制定审核方案，也可制定覆盖全部场所的审核方案；宜为临时追加审核预留能力（如预留一部分审核资源），以应对重大顾客投诉、重大变更、事故等触发情形。5）变更触发与动态调整：重大或重复不符合、重大过程或系统变更、法规变化、关键人员变动、供方变更、事件、技术变化、管理评审决定等情形发生时，宜对相关过程立即重新评分并调整审核安排；审核方案不是“年初排定、年底归档”的静态文件，而应作为动态管理的活文件持续维护。9.2.5.3基于风险的思维应用要点1）明确内审的风险保证定位：内部审核应从公正视角获取质量管理体系绩效与有效性的信息，评价策划的安排已得到落实且体系得到有效实施和保持；审核方案目标应与审核委托方的战略方向、其所处环境保持一致，并支持其质量方针和质量目标。2）评价体系实现预期结果的有效性与韧性：审核应评价质量管理体系的实施状况、有效性和效率；基于风险的思维通过确定并实施适宜的措施，使体系即使在中断事件（对产品和服务的计划交付产生负面影响的各类事件）发生时仍能持续实现预期结果，内部审核宜对相关韧性安排（如应急预案、业务连续性措施）的实施有效性予以验证。3）以客观证据为审核基础：审核判定可能引发识别风险、改进机会或记录良好实践；应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件化的风险管理过程，组织可根据需要选择更全面的方法（如按GB/T24353-2022/ISO31000建立框架）；按GB/T23694-2024统一“风险”“风险源”“可能性”“后果”等术语口径，防止因术语歧义导致审核研判偏差。4）防范审核自身失效：宜避免四类问题——过于严苛、覆盖范围过大的内部审核导致过度控制、官僚主义和资源浪费；仅关注文件化程序或在检查表上逐项打勾，而不理解运行背景、不观察实际执行情况，导致评价流于表面；客观证据缺失导致结论错误（仅依赖陈述、观点、传闻或管理层保证，而不结合其他可验证的数据和记录对信息进行佐证）；恐惧与追责文化导致员工隐瞒信息或提供误导性答案以逃避惩罚。5）对风险和机遇的审核贯穿全程：作为单次审核任务的一部分，可包括对组织风险和机遇的确定与管理的审核，其核心目标是对风险和机遇识别过程的可信度提供保证、对风险和机遇已得到正确确定和管理提供保证、评审组织如何应对其已确定的风险和机遇；该审核不应作为一项独立活动开展，而应贯穿于管理体系的整个审核过程（包括与最高管理者面谈时）；审核员应收集相应客观证据（组织确定风险和机遇的输入，如内外部因素分析、战略方向、相关方信息、潜在风险源；风险和机遇的评价方法），并运用专业判断。9.2.5.4基于机遇的思维应用要点1）同步识别内审蕴含的有益效应（机遇源）：内部审核还能重点识别良好实践和改进机会；应使审核超越合规演练——审核方案与审核活动应同时寻找改进机会（而不只是问题）；内部审核输出可用于：a）处理问题、不符合和风险；b）识别机会；c）在组织内推广良好实践；d）增进对过程间相互作用的理解。2）将评价机遇应对能力纳入审核信息范围：审核方案目标可包括“评价受审核方确定风险和机遇以及识别并实施有效措施以应对这些风险和机遇的能力”；每次审核目标可包括“评价管理体系在变化的环境中建立和实现目标、有效应对风险和机遇的能力，包括相关措施的实施情况”，实现风险与机遇通过各自独立的过程分别确定和审核验证。3）应用机遇识别输入确定审核关注点：机遇可通过对组织内外部环境的评估予以识别，评估维度包括相关方的需求和期望、组织的能力、容量与胜任力以及监视和测量活动的结果和相关绩效指标；组织可利用内部绩效数据确定审核重点与改进领域。4）借审核培育主动预防文化：应用基于风险和机遇的思维有助于组织建立主动预防的文化，聚焦于优化做事方式、全面改进工作开展模式；意识能引导人员将两种思维融入日常活动，内部审核宜对此予以验证。5）基于机遇策划审核安排：可把握的机遇包括——允许在一次访问中实施多项审核、最大限度减少前往各场所的时间和行程、使审核组的能力与实现审核目标所需的水平相匹配、选择与信息通信技术的能力和可获得性相适应的审核方法；实施一体化管理体系的组织可开展结合审核以减少重复工作。9.2.5.5输出与衔接内部审核结果（含审核结果趋势）作为管理评审输入和最高管理者循证决策的依据；发现的不合格进入纠正措施管理流程（10.2）；识别出的改进机会纳入持续改进（10）；良好实践在全组织推广；第二方、第三方审核结果作为纠正措施的反馈，并可利用它们来监视为解决不符合或落实已识别改进机会的相关计划的实施状况。9.2.6内部审核方案的策划、建立、实施和保持（对应“9.2.2内部审核方案”要求）9.2.6.1审核方案的目标与范围1）方案目标：审核委托方应确保建立审核方案目标，以指导审核的策划和实施；审核方案目标应与审核委托方的战略方向、其所处环境保持一致，并支持其管理体系方针和目标；可基于以下考虑：a）内外部相关方的需求和期望；b）过程、产品、服务和项目的特性和要求以及对它们的任何变更；c）管理体系要求（包括结合审核所涵盖的不同特定要求）；d）对供应链中各组织进行评价的需求；e）受审核方的绩效水平和管理体系的成熟度水平（如相关绩效指标、不合格或事件的发生情况或相关方的投诉所反映的）；f）已识别的受审核方的风险和机遇；g）以往审核的结果。2）方案目标示例：识别管理体系及其绩效的改进机会；评价受审核方确定其所处环境的能力；评价受审核方确定风险和机遇以及识别并实施有效措施以应对这些风险和机遇的能力；确定对所有相关要求的符合性；建立对供应链中某一组织能力的信任程度；确定受审核方管理体系的持续适宜性、充分性和有效性；评价管理体系目标与组织战略方向的相容性和一致性。3）方案范围：审核方案的范围可根据审核委托方或受审核方提供的关于其环境的信息而变化；影响因素可包括——每次审核的目标、范围和持续时间及拟实施的审核次数与报告方法；管理体系标准；拟审核活动的数量、重要性、复杂程度、相似性和场所；影响管理体系有效性的因素；适用的审核准则；以往内部或外部审核以及管理评审的结果；以往审核方案评审的结果；语言、文化和社会问题；相关方的关注点（如顾客投诉、供应链问题）；受审核方的环境或其运行以及相关风险和机遇的重大变化；信息通信技术的可获得性；外部和内部事件的发生；业务风险和机遇包括应对这些风险和机遇的措施等。4）方案形式与详略程度：可策划单次审核以评价所有质量管理体系过程对全部适用要求的符合性，也可针对特定过程和部分要求策划审核；审核方案的详略程度应基于受审核方的规模和性质，以及待审核管理体系的功能、复杂程度、风险和机遇的类型、范围和成熟度水平；在小型组织中，每年开展一次全面审核即可，且可采用口头方式向组织传达；当存在多个场所或重要职能由外部提供时，管理体系的功能可能更为复杂，应特别关注重要决策的制定地点以及审核方案的设计、策划和评审。9.2.6.2审核方案风险和机遇的识别、评价与应对1）识别与评价要求：管理审核方案的人员应在制定审核方案和资源需求时识别风险和机遇，并向审核委托方报告，以便这些风险和机遇得到适当应对；实施措施以应对这些问题、风险和机遇时，适当时应将这些措施融入所有相关的审核活动。2）审核方案风险类别（包括但不限于）：a）策划（未能制定相关且适宜的审核目标，以及确定审核的范围、数量、持续时间、场所和日程安排）；b）资源（为制定审核方案或实施审核分配的时间、设备和/或培训不足；缺乏有能力的审核员；审核员流失或审核员无法到位）；c）审核组的选择（整体能力不足以有效实施审核，审核员缺乏独立性和公正性）；d）审核方法的选择（现场、远程，需考虑所选方法实现既定审核目标的能力）；e）沟通（沟通过程/渠道无效）；f）实施（审核方案内各项审核的协调无效，未按照审核方案实施审核，或未考虑信息安全和保密要求）；g）成文信息的控制（未能有效确定审核员和相关方所需的必要成文信息，未能充分保护审核记录）；h）审核方案的监视、评审和改进（对审核方案结果的监视无效）；i）领导支持（未能获得领导层的参与以确保审核方案的有效实施）；j）受审核方的配合程度和可获得性，以及拟抽样证据的可获得性；k）信息通信技术方法的安全性（平台选择无效或不安全）。3）应对措施设计：针对识别出的风险和机遇，明确为应对实现审核目标的风险所需采取的特定措施，并融入相关审核活动；例如——资源类风险可通过提前规划审核时间与培训、建立审核员后备安排和交叉培训予以缓解；独立性类风险可通过审核员与被审核领域的回避与轮换机制、聘请外部审核员、安排监督或同行评审予以缓解；受审核方配合与证据可获得性风险可通过提前沟通审核安排、预留备选证据来源予以缓解。4）风险分级与差异化管控（参考实践）：可运用风险矩阵/坐标图法，按“可能性×后果”测算风险指数并进行分级——对不可容许/重大风险建立特别管理目标，围绕关键因素进行机制和制度设计、人员意识和能力培养，必要时暂停相关活动并立即纠正；对中度风险明确责任主体，将风险识别结果和选择的控制措施通报有关责任主体执行；对可容许风险按组织自身情况和风险偏好进行控制；行业实践中亦有对受管理对象按评价结果分级（如A、B、C三级）并差异化安排监督评审周期、见证项目抽样、关键场所抽样量及现场评审人日数（如按60%、70%～80%、90%差异化执行），并每年动态评价、出现重大问题时及时调整的做法，值得内部审核方案借鉴。9.2.6.3审核方案要素与建立1）方案基本要素：审核方案应包括审核频次、方法、职责、策划要求和报告；方案内容还应包括——审核方案的目标；与审核方案相关的风险和机遇以及应对措施；审核方案内每项审核的范围（程度、边界、场所）；审核的日程安排（审核次数/持续时间/频次）；审核类型（如内部审核或外部审核）；审核准则；拟采用的审核方法（包括远程审核方法）；审核组的选择准则（审核组长、审核员，必要时包括技术专家）；适用时观察员的参与准则；基于外部和内部因素的组织环境；相关的成文信息。2）按过程策划与实施：作为良好实践，组织宜按过程而非按标准条款策划和实施审核；审核在很大程度上是审核组织的过程及其与标准相关的相互作用；相互关联的过程需要作为一个协调一致的体系运行，审核员应关注过程从开始到结束的绩效及其相互关系。3）建立与批准过程：审核方案管理人员应建立所有相关过程，包括用于以下方面的过程——审核的目标、范围和准则及审核方法的确定与审核组的选择；审核方案内所有审核的协调和日程安排；审核员能力的评价；适当时，外部和内部沟通；争议的解决和投诉的处理；适用时，审核后续活动；适当时，向审核委托方和相关方报告；应确保编制和保持适当的成文信息（包括审核方案记录），并提请审核委托方批准审核方案。4）审核方案与审核计划的区分：审核方案覆盖整个周期，回答“哪些过程接受审核、何时、由谁、多久一次以及为什么这样安排”；审核计划针对单次审核，回答“日期、审核员、受审核方、覆盖的过程、准则及审核目标”；实施中常见两者混淆，组织宜在成文信息中明确区分。9.2.6.4审核方案资源与人员能力1）资源确定：在确定审核方案的资源时，应考虑——建立、实施、管理和改进审核活动所需的财务和时间资源；审核方法；具备与特定审核方案目标相适应能力的审核员和技术专家的个人和整体可获得性（包括译员）；审核方案的详略程度以及审核方案的风险和机遇；旅行时间、旅行费用、住宿和其他审核需求；不同时区和语言的影响；信息通信技术的可获得性；所需的任何工具、技术和设备的可获得性；必要成文信息的可获得性；与设施相关的要求（包括安全许可和设备要求、个人防护装备等）。2）审核方案管理人员的能力：宜具备审核原则、方法和过程，管理体系标准及其他相关标准与参考文件，受审核方及其环境的相关信息，适用于受审核方业务活动的法律法规要求和其他要求等方面的知识；适当时可考虑具备风险管理、项目和过程管理以及信息通信技术方面的知识；应参加适当的持续专业发展活动以保持能力。3）审核组选择：应识别实现审核目标所需的能力并据此选择审核组成员，使审核组具备必要的能力；确定审核组规模和组成时考虑——实现审核目标所需能力的确定、审核的复杂程度、审核是结合审核还是联合审核、所选择的审核方法、以客观和公正方式实施审核、审核组成员与受审核方代表及相关方有效工作和沟通的能力、相关的内外部问题（语言、社会和文化特点）、审核的类型和复杂程度（时区、场所数量、待审核过程）、旅行许可等；若审核组中的审核员不具备必要能力，应配备具有补充能力的技术专家；实习审核员可纳入审核组但应在审核员指导和引导下参与审核；审核期间如需变更审核组组成（如出现利益冲突或能力问题），应在作出任何变更前与相关方协商解决。4）审核员能力评价与保持：审核员能力评价应予以策划、实施和成文，包括四个主要步骤——a）确定满足审核方案需求所需的能力；b）建立评价准则（定性和定量）；c）选择适当的评价方法（应使用两种或多种方法的组合）；d）实施评价；评价结果用于审核组成员的选择、能力提升需求的确定以及审核员的持续绩效评价；审核员应通过持续专业发展和定期参与审核来培养、保持和提高其能力，持续专业发展活动应考虑个人和组织的需求变化、审核实践的发展（包括技术的应用）、相关标准的变化、领域或行业的变化以及来自受审核方和相关方的反馈分析。9.2.6.5审核方案的监视、评审与改进1）监视内容：应确保对以下内容进行评价——a）日程安排是否执行以及审核方案目标是否实现；b）审核组成员的绩效（包括审核组长和技术专家）；c）审核组实施审核计划的能力；d）审核委托方、受审核方、审核员、技术专家和其他有关各方的反馈；e）整个审核过程中成文信息的充分性和适宜性。2）变更触发因素：某些因素可能表明需要修改审核方案，可包括以下内容的变化——审核发现；经证实的受审核方管理体系的有效性水平和成熟度等级；审核方案的有效性；审核范围或审核方案范围；受审核方的管理体系；标准以及组织所承诺的其他要求；外部供方；已识别的利益冲突；审核委托方的要求。3）评审与改进：审核方案管理人员和审核委托方应评审审核方案，以评估其目标是否已经实现；从审核方案评审中得到的经验教训应作为方案改进的输入；评审应考虑——a）审核方案监视的结果和趋势；b）与审核方案过程和相关成文信息的符合性；c）有关相关方不断变化的需求和期望；d）审核方案记录；e）可替代的或新的审核方法；f）可替代的或新的审核员评价方法；g）应对与审核方案有关的风险和机遇以及内部和外部因素的措施的有效性；h）与审核方案有关的保密和信息安全事宜；应评审审核员的持续专业发展；报告审核方案的结果并适当时与审核委托方和有关相关方进行评审。9.2.7每次审核的策划、实施与结果处置（对应“9.2.2”的a）～d）项及成文信息要求）9.2.7.1规定每次审核的审核目标、准则和范围（对应a）项）1）审核目标：每次审核均应基于已确定的审核目标、范围和准则，且与审核方案的总体目标保持一致；一个可用的审核目标应至少回答三件事——确认什么（关注的过程或风险）、基于什么（审核准则）、达成什么（结论如何使用）；审核目标可包括：a）确定待审核的管理体系或其部分与审核准则的符合程度；b）评价管理体系协助组织满足相关法律法规要求和组织承诺遵守的其他要求的能力；c）评价管理体系实现其预期结果的有效性；d）识别管理体系的改进机会；e）评价管理体系相对于组织的环境和战略方向的适宜性和充分性；f）评价管理体系在变化的环境中建立和实现目标、有效应对风险和机遇的能力（包括相关措施的实施情况）；g）考虑任何特定行业的管理体系审核标准。2）防止目标失准：每次审核未规定审核目标、准则和范围，会导致审核内容与界限模糊、审核结果无法与审核方案总体目标保持一致；宜避免“按XX条款审核一遍”式的空泛目标，防止审核目标空置导致审核停留于表面——外审关注点已从“做了没有”转向“审得准不准（针对性与有效性）”。3）审核准则与范围：审核准则用作确定符合性的依据，可包括适用的方针、过程、程序、包括目标在内的绩效准则、法律法规要求、管理体系要求、由审核委托方确定的关于环境以及风险和机遇的信息（包括相关的内外部相关方要求）、行业行为准则或其他策划的安排；审核范围应与审核方案和审核目标保持一致，包括待审核的场所（物理和虚拟）、职能、组织单元、活动和过程以及所覆盖的时间段；实施一体化管理体系的组织可开展结合审核以减少重复工作。4）审核计划与准备：受指派的审核员或审核组应制定并传达审核计划，内容包括审核准则、审核范围、审核组、日期、受审核的过程与场所及明确的审核日程；筹备审核时可编制检查表作为保障评价一致性与完整性的辅助工具；对审核计划的任何异议应在审核组长、受审核方以及必要时审核方案管理人员之间予以解决；如果审核目标、范围或准则发生任何变更，必要时应修改审核方案，并适当时向相关方沟通以获得批准。9.2.7.2选择审核员并实施审核，以确保审核过程客观公正（对应b）项）1）独立性保障：在指派审核人员时，组织应确保审核人员不审核其自身工作，且不存在偏见；审核员应独立于被审核的活动，在任何情况下均不带偏见、不存在利益冲突；当内部审核员无法独立于被审核的活动时，应尽一切努力消除偏见并体现客观。2）小型组织的替代安排（参考实践）：在规模极小的组织中这一要求可能难以实现，组织可考虑聘请外部审核员；当需要特定岗位专业知识且无独立审核员可用时，可安排内部审核员在另一名审核员监督下开展工作，或由同行、管理者对审核结果进行评审；也可采用交叉审核（如生产主管审核采购、质量负责人审核生产）、培训操作骨干审核其部门以外的过程、与无竞争关系的同行组织交换审核、由最高管理者审核其不日常运行的过程等做法，并在必要时对质量部门自身职能实施外包审核。3）能力与行为准则：审核组的整体能力应足以实现审核目标；审核员应具备通用的审核知识和技能（审核原则、过程和方法，管理体系标准，组织及其环境，适用的法律法规要求和其他要求）以及与特定领域、特定行业相适应的能力（包括与特定领域和行业相关的原则、方法和技术，以便能够确定和评价与审核目标相关的风险和机遇）；审核期间可能需要变更审核组的组成（例如出现利益冲突或能力问题时），应在作出任何变更前与相关方协商解决。4）基于风险的审核策划：审核组长应采用基于风险的方法策划审核——基于风险方法的实际应用可包括根据产品/过程的复杂性、顾客投诉、以往的审核发现以及法规或运行环境的变化确定审核重点的优先顺序；策划时应考虑——审核组的组成及其整体能力；适当的抽样技术；审核策划不当给实现审核目标带来的风险；提高审核活动有效性和效率的机遇；实施审核给受审核方带来的风险（如审核组成员的存在对受审核方的健康安全、环境和质量安排以及其产品、服务、人员或基础设施产生的不利影响）；审核计划的详细程度应反映审核的范围和复杂程度；必要时基于风险和机遇的考虑分配适当资源。5）现场实施与取证：良好实践包括——召开首次会议（介绍审核组成员及组织参与审核的人员，说明审核目标与流程，并评审审核计划）；采用开放式提问、积极倾听与观察、保持开放心态以避免主观假设；事实陈述应得到其他证据佐证；一旦识别出偏差，宜尽快向组织代表通报，以便其澄清并确认所收集的证据；审核员应确保自主选择抽样样本、不受引导；完整记录所有收集到的证据；审核结束时召开末次会议通报并讨论审核结果。信息验证宜考虑信息是否——完整（成文信息包含所有预期内容）、正确（内容符合其他可靠来源）、一致（自身一致且与相关成文信息一致）、现行有效（内容是最新的）；应特别注意数据的安全性。6）抽样方法：审核抽样宜包括确定抽样目标、确定待抽样总体的范围和构成、选择抽样方法、确定样本量、实施抽样活动、汇总评价报告和记录结果等步骤；可使用判断抽样（基于审核组能力和经验，考虑以往审核经验、要求复杂程度、过程复杂性及相互作用、变化程度、以往识别的重大风险和机遇、管理体系的监视结果等因素；其缺点是难以对不确定性影响进行统计估计）或统计抽样（属性抽样或变量抽样；审核员愿意接受的抽样风险水平是重要考虑因素，如5%的抽样风险对应95%的可接受置信水平）；使用统计抽样时应记录拟抽样总体的描述、抽样准则、统计参数和方法、样本数量及结果。7）远程与混合审核：审核可在现场实施、远程实施或两者结合实施；远程审核方法的使用可能给审核过程带来额外的风险和机遇，应确保具备适当的资源（商定的远程访问协议、审核前技术检查、应急预案如访问中断与替代技术使用，必要时预留额外审核时间）；审核员能力应包括在审核过程中使用适当技术的技能以及有效实施远程审核的知识和技能；使用远程审核方法时还应考虑数据安全与管理、保密性、使用远程场所平面图或电子信息的映射、防止背景噪音干扰、事先征得许可后再截图或记录、确保审核休息期间的保密性和隐私等事项；策划阶段中，对任何特定审核有效应用审核方法的责任由审核方案管理人员或审核组长承担。8）对领导作用、质量文化与风险机遇的专项审核关注（2026版重点）：审核员应获取客观证据，证明最高管理者参与与管理体系相关决策的程度以及其如何展现对确保管理体系有效性的承诺（可通过评审方针、目标、可用资源、最高管理者沟通、管理评审等过程结果以及与人员面谈实现，并宜与最高管理者面谈确认其责任意识）；宜验证组织质量文化和道德行为要求的落实情况——可采用行为观察（观察管理者对质量问题的实时反应）、分层访谈采样（如“发现问题时会发生什么”“提出质量关切时管理者如何回应”）、不符合趋势分析（不符合是否总是未经真正根因分析即关闭）、管理评审参与度评估等审核技术。9.2.7.3确保将审核结果报告给相关管理者（对应c）项）1）报告内容：审核报告通常包含与指定准则的符合程度、不符合和改进机会的信息；对于符合性记录，宜考虑——对证明符合性所依据的审核准则的描述或引用、支持符合性和有效性（适当时）的审核证据、符合性声明（适当时）；对于不符合记录，宜考虑——对审核准则的描述或引用、审核证据、不符合声明（包括说明未满足审核准则原因的描述）、相关的审核发现（适当时）、采用分级时不符合的等级。2）报告编制、批准与分发：审核方案管理人员应确保评价审核方案内每次审核的目标的实现情况、评审和批准关于审核范围和目标达成情况的审核报告、评审为应对审核发现所采取措施的有效性、向预先确定的相关方分发审核报告、确定任何后续审核的必要性；适当时，应考虑将审核结论和良好实践向组织的其他区域沟通。3）报告的真实与保密：审核发现、审核结论和审核报告应真实、准确地反映审核活动；应报告在审核过程中遇到的重大障碍以及审核组与受审核方之间未解决的分歧意见；未经审核委托方的明确批准（适当时未经受审核方的批准），审核组和审核方案管理人员不得向任何其他方泄露审核期间获得的任何信息或审核报告。4）与治理的衔接：内部审核完成后，应将审核结果报告给相关管理者；最高管理者应建立对所有内部审核结果进行评审的过程，以识别可能需要在整个组织中采取纠正措施的趋势以及改进机会；内部审核结果用作管理评审的输入。9.2.7.4及时采取适当的纠正和纠正措施（对应d）项）1）处置时限与流程：根据审核结果，需在规定期限内采取适当的纠正和纠正措施处置发现的不合格，并遵循组织的不合格与纠正措施管理流程（10.2）；审核结果表明需要纠正、纠正措施或存在改进机会的，此类措施通常由受审核方在商定的时限内决定并实施；审核员和管理人员宜避免“报告签发即终止”的做法，防止问题重复发生（重复发现属于应升级处理的严重情况）。2）调查深度与记录：组织应根据自身环境与需求确定处置不合格的方式（包括调查的深度和所采用的方法），在决定是否采取纠正措施时考虑再发生风险、潜在或实际影响以及顾客和其他相关方的要求；记录宜包括不合格的情况描述与严重程度、根本原因分析与不合格延伸分析结果以及措施有效性评价结论。3）验证与关闭：应验证这些措施的完成情况和有效性，该验证可作为后续审核的一部分；验证结果应向审核方案管理人员报告，并向审核委托方报告以供管理评审；对未按商定时限完成整改或整改无效的事项，宜提级处理并纳入后续审核的必查内容。4）责任落实与追溯（参考实践）：对审核发现的重大问题或风险事件，机构宜开展调查分析、界定责任主体，实施内部责任追溯与纠正，保留风险事件处理过程、问题分析和责任界定（含结果）的文件化信息；建立并运行风险防控奖惩制度，将意识能力、行为表现和工作绩效与薪酬、奖罚、职业发展关联；绩效评价可采用风险责任事件发生比率、重大风险责任事件的数量和损失金额、机构接受外部检查数量及发生风险事件数量的比率等指标监测风险防控成效。9.2.7.5成文信息作为审核方案实施和审核结果的证据应可获取1）成文信息范围：用以证实审核方案实施及审核结果的成文信息可包括——策划的审核安排、指派的审核组、审核计划、审核报告、针对不合格所采取的纠正、原因分析或纠正措施的证据。2）审核记录三类：a）与审核方案有关的记录（审核日程安排；审核方案的目标和范围；应对审核方案风险和机遇以及相关外部和内部因素的记录；审核方案有效性的评审记录）；b）与每次审核有关的记录（审核计划和审核报告；审核证据和审核发现；受审核方、审核员和相关方的相关反馈；不符合报告；纠正和纠正措施报告；审核后续活动记录）；c）与审核组有关的记录（审核组成员的能力和绩效评价；审核组及审核组成员的选择准则和审核组的组成；能力的保持和改进）；记录的形式和详细程度应能证实审核方案的目标已经实现。3）保护、保密与保存处置：成文信息应可获得，作为审核方案实施和审核结果的证据；应建立过程以确保满足与审核记录相关的信息安全和保密需求；审核过程中产生的涉及机密或专有信息的成文信息（包括图像和视听记录）应始终由审核组成员妥善保护；与审核有关的成文信息应按照参与各方的约定并根据审核方案和适用要求予以保留或处置；如果法律要求披露审核文件的内容，应尽快通知审核委托方和受审核方。9.2.8常见风险防范组织宜防范下列常见问题：a）审核缺位与覆盖不全：未按策划的时间间隔开展内部审核，组织无从判定体系符合性与有效性，管理评审失去关键输入；仅审核部分过程或仅对照部分准则，符合性判定出现盲区；b）机械排班与频次失配：不考虑风险、不考虑变化、不考虑历史结果，纯粹按部门轮流安排审核（“机械排班式内审”）；高风险过程与低风险过程“一刀切”安排频次，如新生产线、新工艺未纳入、外审有不符合的过程未加审、连续多年零问题的过程仍按“年度一轮”排列；c）目标失准与方案缩水：每次审核未规定审核目标、准则和范围，或审核目标空置（如仅写“按XX条款审核”）；把审核方案简化成一张“月度审核日程表”，未体现频次、方法、职责、策划要求和报告；d）独立受损与能力不足：审核员审核其自身工作或存在偏见（如质量部员工审核其自身负责的过程）；审核组整体能力不足以实现审核目标，缺乏有能力的审核员或审核员流失、无法到位；e）实施失范与表面化评价：未制定并传达审核计划；抽样受受审核方引导而非审核员自主选择；事实陈述未得到其他证据佐证、证据记录不完整；检查表照抄条款，审核退化为文件核对（只问“有没有程序、有没有记录”，不问执行细节、不看现场、不追数据来源）；f）力度错配与文化障碍：过于严苛、覆盖范围过大的内部审核导致过度控制、官僚主义和资源浪费；恐惧与追责文化导致员工隐瞒信息或提供误导性答案以逃避惩罚，阻碍开展真实客观的评价；g）证据失据：仅依赖陈述、观点、传闻或管理层保证，而不结合其他可验证的数据和记录对信息进行佐证，审核判定失真；未区分“不符合”与“观察项”，以怀疑或臆测代替客观证据；h）输入失新与职责虚化：未考虑影响组织的变更（组织重组、新产品导入、新技术应用、法规变化等），审核方案与组织实际脱节；未指定审核方案管理人员、未分配职责权限、未获得领导层支持，方案实施失去保障；i）报告失达与整改迟滞：审核结果未报告给相关管理者，最高管理者决策时未考虑内部审核结果，审核信息沉睡；未及时针对发现的不合格采取适当的纠正和纠正措施，未遵循不合格与纠正措施管理流程，问题重复发生；j）信息失护与证据缺失：未审慎使用和保护审核过程中获取的敏感或保密信息，审核信息被为个人利益不适当地使用或以损害受审核方合法利益的方式使用；未保留审核方案实施和审核结果的成文信息，审核活动无法追溯。9.2.9成文信息与记录9.2.9.1建议的成文信息组织宜建立并保持：a）审核方案（含目标、风险和机遇及应对措施、频次、方法、职责、审核组选择准则、报告要求与资源安排）；b）审核日程安排（年度或多年度周期）；c）单项审核计划（含审核目标、准则、范围、审核组、日程，适当时含检查表与抽样方案）；d）审核报告与不符合报告；e）纠正、纠正措施及有效性验证记录；f）审核员能力评价与审核组绩效评价记录；g）审核方案监视、评审和改进记录（含经验教训管理）。9.2.9.2证据链与审核佐证1）成文信息应可获得，作为审核方案实施情况和审核结果的证据；审核记录的形式和详细程度应能证实审核目标与审核方案目标已经实现。2）管理评审记录中宜体现内部审核结果（含趋势）及其引发的决定；内部审核结果的处理和使用情况（报告、整改、验证、关闭）构成完整的审核闭环证据链。3）审核记录宜按信息安全和保密需求实施保护，明确保留期限及保留期满后的处置方式；涉及机密或专有信息的记录（包括图像和视听记录）应妥善保护。9.2.10应用工具与方法9.2.10.1风险识别与评价类工具1）风险识别技术：头脑风暴、调查法、SWOT或PESTLE等分析技术；失效模式与影响分析（FMEA）、失效模式、影响及危害性分析（FMECA）、结构化假设分析技术（SWIFT）等风险识别技术（按GB/T27921-2023选择适用技术）。2）简便评价技术：后果-可能性矩阵、风险指数、蝴蝶结分析等；矩阵法/风险坐标图（风险=损害发生的概率×损害的后果，按“可能性×后果”测算风险指数并按等级评价）；风险分级评价（评分与直接评价结合、分级差异化管控、动态调整）等方法可用于审核方案风险和机遇的评价及受审核过程的风险分级。3）审核方案风险清单：将策划、资源、审核组选择、审核方法选择、沟通、实施、成文信息控制、方案监视评审和改进、领导支持、受审核方配合与证据可获得性、信息通信技术安全性等风险类别纳入清单管理，逐项明确应对措施与责任人。9.2.10.2审核过程类工具1）检查表：作为保障评价一致性与完整性的辅助工具，宜围绕过程编写（按输入、活动、输出、资源、准则、监测、改进的流程提问），避免“有/无”式打勾，防止审核退化为文件核对。2）抽样技术：判断抽样与统计抽样（属性抽样、变量抽样）；抽样步骤（确定目标→确定总体范围构成→选择方法→确定样本量→实施抽样→汇总评价报告和记录结果）；统计抽样中明确可接受置信水平并记录抽样详情。3）信息验证方法：按完整、正确、一致、现行有效四个维度验证信息；访谈、现场观察、成文信息评审（记录、数据分析）等方法综合运用；沿一条业务主线走通全程取证（如从一份合同出发，追到评审、采购、生产、检验、放行、交付和顾客反馈）。4）远程审核工具：支持远程协作的技术资源、远程访问协议、技术检查与应急预案；ISO/IECTS17012:2024为远程审核方法提供专门指南。9.2.10.3审核方案与绩效评价类工具1）内部审核有效性自评指标：针对不合格所采取纠正措施的关闭率（百分比）、不合格重复发生率、审核计划执行率等，实现“用审核改进审核”。2）成熟度自评：采用成熟度等级评价内部审核的成熟程度（如从“被动应对问题的内审”到“建立对所有内审报告的评审过程、识别全组织趋势、吸收其他相关方参与审核”的渐进式等级）。3）审核风险矩阵：区别于组织风险登记表——风险登记表回答“业务上可能出什么问题、正在如何处置”（输出为处置行动、责任人和日期）；审核风险矩阵回答“审核注意力应投向哪里、投入多少”（输出为审核间隔、审核人日分配和审核员安排）；矩阵宜至少每年随方案周期评审一次，并在出现触发情形（重大或重复不符合、重大过程或系统变更、法规变化、关键人员变动、供方变更、事件、技术变化、管理评审决定）时立即重新评分。9.2.10.4改进与知识管理类工具1）根本原因分析：不符合与纠正措施管理中的根本原因分析及延伸分析；防止不符合“未经真正根因分析即关闭”。2）良好实践与经验教训管理：将审核结论和良好实践向组织其他区域沟通；将审核中获得的经验教训用于识别风险和机遇、修订审核方案。3）结合审核与联合审核安排：实施覆盖多个领域的一体化管理体系的组织可开展结合审核以减少重复工作；结合审核应特别关注运行过程之间的相互作用以及不同管理体系要求可能存在的相互冲突的目标和优先事项。9.2.10.5工具的选择与组合应用1）采用多种不同审核方法并加以组合，可优化审核过程及其结果的效率和有效性；为某项审核选择的方法取决于规定的审核目标、范围和准则，以及审核持续时间和地点，还应考虑现有审核员能力以及应用方法可能产生的任何不确定性。2）理解使用信息通信技术工具以及新兴技术实施审核的适宜性和后果（例如基于人工智能的评价工具），防止技术依赖带来的新风险。3）审核方案的详略程度、工具与方法的复杂程度应随组织规模、复杂程度和成熟度水平调整；对新增或变化剧烈的过程及高风险过程，优先采用更深入的方法与更密集的关注。附件A（资料性）年度内部审核方案策划表附件A.1年度内部审核方案策划表（模板）序号受审核过程（部门/场所）频次确定依据（过程重要性/变化/以往审核结果及风险评分）拟安排频次与时间审核方法（现场/远程/结合）审核组审核准则备注123456注：宜设置“为什么安排这个频次”说明栏并从上一年度审核发现中取值；先设定覆盖基线（每一过程和适用要求均须在规定周期内获得覆盖），再按风险缩放频次与深度；宜规定触发临时追加审核的情形（重大顾客投诉、重大变更、事故、外审前薄弱条款等）。附件B（资料性）单项内部审核计划与实施记录表附件B.1单项内部审核计划与实施记录表（模板）序号审核环节内容要点实施方式/方法责任人员时间安排记录与输出1审核目标、准则和范围确定明确“确认什么、基于什么、达成什么”2文件评审与审核准备评审核准则文件；编制检查表与抽样方案3首次会议介绍审核组与参与人员；说明目标与流程；评审审核计划4现场审核访谈、观察、成文信息评审、自主抽样取证、过程主线追溯5末次会议通报并讨论审核结果；确认客观证据；说明不符合与改进机会6审核报告编制、批准与分发符合程度、不符合与改进机会；向相关管理者报告7纠正与纠正措施跟踪原因分析、措施制定与实施（按10.2流程）8后续活动验证与关闭验证完成情况与有效性；作为后续审核的一部分注：本表与审核报告配套使用；“时间安排”栏可填写计划时间与实际完成时间。附件C（资料性）不符合报告与纠正措施跟踪表附件C.1不符合报告与纠正措施跟踪表（模板）序号不符合事实描述（时间、地点、客观证据）审核准则及条款不符合等级原因分析与延伸分析纠正与纠正措施责任人及完成期限验证方式与结果关闭状态123注：不符合声明宜包括“依据的要求、客观证据、不符合陈述”三要素；客观证据具体到时间、地点、文件编号、批次或设备号，避免“据了解”“一般来说”等表述；重复发现宜提级处理。附件D（资料性）内部审核成文信息清单附件D.1内部审核成文信息清单（模板）序号成文信息名称类型（保持/保留）载体与格式来源活动用途（证据链环节）保存期限责任部门/岗位1审核方案（含目标、风险机遇及应对措施）保持（定期更新）2审核日程安排保持3单项审核计划与检查表保留4审核报告与不符合报告保留5纠正、纠正措施及验证记录保留6审核员能力评价与审核组绩效评价记录保留7审核方案监视、评审和改进记录保留注：宜规定成文信息的保留期以及保留期结束时的处置方法；涉及机密或专有信息的记录应妥善保护。附件E（资料性）“9.2内部审核”条款（过程）风险和机遇清单附件E9.2条款（过程）风险和机遇清单9.2条款（过程）9.2条款（过程）对应风险清单9.2条款（过程）对应机遇清单9.2.1总则（组织应按照策划的时间间隔进行内部审核，以提供有关质量管理体系是否符合组织自身要求及本文件要求、是否得到有效实施和保持的信息）（1）审核缺位风险：本条款旨在确保组织通过内部审核从公正视角获取质量管理体系绩效与有效性的信息，评价策划的安排已得到落实且体系得到有效实施和保持；未按策划的时间间隔开展内部审核，组织无从判定体系符合性与有效性，管理评审失去关键输入；

（2）覆盖不全风险：仅审核部分过程或仅对照部分准则，未覆盖组织自身质量管理体系要求及标准全部要求，符合性判定出现盲区；

（3）方式失当风险：仅关注文件化程序或在检查表上逐项打勾，而不理解运行背景、不观察实际执行情况，导致评价流于表面；

（4）证据失据风险：客观证据缺失会导致结论错误——仅依赖陈述、观点、传闻或管理层保证，而不结合其他可验证的数据和记录对信息进行佐证，审核判定失真；

（5）文化障碍风险：恐惧与追责文化导致员工隐瞒信息或提供误导性答案以逃避惩罚，阻碍开展真实客观的评价；

（6）力度错配风险：过于严苛、覆盖范围过大的内部审核导致过度控制、官僚主义和资源浪费（1）判定框架机遇：按策划的时间间隔系统开展内部审核，为体系提供“是否符合组织自身要求及标准要求”和“是否得到有效实施和保持”两类判定信息，使组织从公正视角掌握体系运行状态；

（2）方法工具机遇：综合运用对过程、基础设施及其他资源的直接观察，与相关人员的面谈，以及对成文信息（程序、图纸、规范、适用要求、记录、报告、信息系统及应用程序）的审查等审核方法，适当时规定并实施远程审核或混合审核；

（3）审核有效性自评机遇：采用针对不合格所采取纠正措施的关闭率（百分比）、不合格重复发生率、审核计划执行率等指标评价内部审核自身的有效性，实现“用审核改进审核”；

（4）标准支撑机遇：依据ISO19011:2026《管理体系审核指南》关于审核、审核员能力和审核方案的指南，以及ISO/TC176发布的ISO9001审核实践组文件、ISO/IECTS17012:2024远程审核指南，保障审核过程的一致性和规范性9.2.2审核方案（组织应策划、建立、实施和保持审核方案，包括审核频次、方法、职责、策划要求和报告；建立方案时应考虑有关过程的重要性、以往审核结果以及影响组织的变化）（1）方案缺失风险：未策划、建立、实施和保持审核方案（未明确审核频次、方法、职责、策划要求和报告），内审活动随意化、无章可循；

（2）频次失配风险：确定审核频次时未应用基于风险的思维和基于机遇的思维，未考虑过程的重要性、成熟度与复杂程度、管理优先级、过程绩效、影响组织的变更、以往审核结果（如问题历史）、顾客投诉趋势、法定与监管事项等因素，高风险过程与低风险过程“一刀切”安排频次；

（3）输入失新风险：未考虑影响组织的变更