ISO 27005与ISO 27001第6.1条：风险评估产出认证证据的对应与审核动作

ISO27005与ISO27001第6.1条

风险评估产出认证证据的对应与审核动作本文档提供：27005过程步骤与27001子条款的映射表（表1）；证据链两层判定规则（表2）；Stage1与Stage2审核动作对照表（表3）；方法论与登记册不一致的断链排查表（表4）；重复评估可比性的抽样校验步骤（表5）；风险处置与SoA追溯检查表（表6）；四条决策规则与两组矛盾处置；完整认证证据包示例（表7）；三套场景操作序列（表8）；数据来源与时效说明表（表9）。2026-11-02表0目录与定位这一节的标题读完你能拿到什么这一节在全文中的功能一、审核员要“可比的结果”时，先翻登记册的哪两列量表一致性的一分钟自检动作启动动作，在Stage1之前发现最容易被追问的断链二、27005的每一步对应27001的哪一条，产出哪份记录27005步骤与27001子条款的映射表锁定每个过程步骤的锚点记录，不把27005当认证依据三、方法论写了“高/中/低”，登记册里是1—5，这算不算可比证据链两层判定规则与可比性校验步骤区分声明层与执行层，给出可比性的抽样检查方法四、Stage1看文件，Stage2抽记录，各抽什么Stage1与Stage2审核动作对照表把审核动作翻译成打开哪份文件、看哪一列五、风险处置计划和SoA对不上，先查这六处断链排查表在认证审核前定位处置与SoA之间的追溯断裂六、什么时候停用某个评估方法：四条决策规则与两组矛盾决策规则与矛盾处置在方法选择与可比性冲突时给出退路七、一份能过Stage2的风险评估证据包长什么样完整证据包示例与变量表展示锚点记录齐全的状态八、完整版、精简版、极简版分别跑什么三套场景操作序列按场景选择最小证据集按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。审核员在Stage1翻完风险评估方法论，问了一句“上一次评估和这一次，同一个风险的可能性为什么从3变成了4”，手里只有一份方法论文档和一份风险登记册，方法论里写着“可能性分为低、中、高”，但登记册的“可能性”列填的是1到5的整数，两个东西对不上，回答不出变动的依据。一、审核员要“可比的结果”时，先翻登记册的哪两列打开风险登记册，找到“可能性”列和“影响”列。逐行看这两列的取值，再打开风险评估方法论中关于量表的段落，检查方法论声明的刻度与登记册实际填写的取值是否属于同一套体系。方法论写“低/中/高”，登记册填1—5，属于两套体系，可比性在Stage1就会被质疑。检查的产出是一句话结论：“方法论量表与登记册取值一致”或“不一致，不一致的具体表现是___”。这句话交给内审负责人或认证对接人，用于决定Stage1之前是否需要先修订方法论或重填登记册。只查这两列，不查威胁库、不查控制映射。量表的错位会让后续所有评分的变动都无法解释，而审核员追问可比性时第一个打开的就是这两列。二、27005的每一步对应27001的哪一条，产出哪份记录ISO/IEC27005本身不含要求，不用于认证。认证依据是ISO/IEC27001:2022第6.1.2条和第6.1.3条。27005的功能是给出“怎么做”的指导，帮助组织产出27001所要求的文件化信息和记录。映射表的每一行必须落到27001的一个具体子条款上，不能落到27005的章节号上。表127005过程步骤与27001子条款的映射表27005:2022的过程步骤对应的27001:2022子条款该步骤应产出的锚点记录（文件名与关键列）审核员打开它回答什么建立背景与风险准则（定义范围、评估准则、接受准则）6.1.2a)《风险评估方法论》中的“范围”段与“风险接受准则”段；准则须包含“什么水平的风险可以接受”的数值或描述范围是否明确排除了什么、排除理由是什么；接受准则是否在评估之前就已批准风险识别（事件法或资产法，识别风险并指定负责人）6.1.2c)1)与c)2)风险登记册的“风险描述”列（含触发条件与后果）、“负责人”列（人名，非部门名）风险是否落在ISMS范围内；每个风险是否有一个可以对其接受或处置的人风险分析（判断后果与可能性，得出风险等级）6.1.2d)1)与d)2)风险登记册的“可能性”列、“影响”列、“风险等级”列；方法论中与这三列对应的量表描述量表是否与方法论声明一致；两个不同的人对同一类风险打分是否落在同一档风险评价（将分析结果与准则比较，排定处置优先级）6.1.2e)风险登记册中按“风险等级”降序排列的视图；或一份《风险评价记录》，含“与接受准则比较”列高于接受准则的风险是否被识别出来并排在了处置顺序的前面风险处置选项选择（降低、规避、转移、接受）6.1.3a)与b)《风险处置计划》的“处置选项”列（四选一）与“理由”列每一个高于阈值的风险是否有一个明确的处置选项，而不是留空或只写“加强管理”将选定的控制与AnnexA对照，编制SoA6.1.3c)与d)《适用性声明》（SoA）的“控制编号”“是否适用”“理由”三列；理由须能追溯到风险登记册中的行号或风险类别每一个“不适用”的控制是否有基于风险评估结果的排除理由，而不是“未使用”或“不涉及”残余风险接受与处置计划批准6.1.3e)与f)《风险处置计划》中“残余风险等级”列与“风险负责人批准”列（人名和日期）残余风险的接受是否由风险负责人本人批准，而非安全团队代签表1只保留与认证证据直接相关的七组映射。27005中关于“风险沟通与协商”“监控与评审”的步骤对应27001第7.4条和第9.1条，不在第6.1条的认证追问焦点内，不放入此表。把27005的每一个步骤都塞进映射表，会让读者误以为27005的章节号是审核依据；审核员翻的是27001的条款，27005只是组织内部设计流程时的参考。三、方法论写了“高/中/低”，登记册里是1—5，这算不算可比27001第6.1.2b)条要求重复的风险评估产生一致、有效、可比的结果。这个要求不规定使用哪一套量表，但规定方法论声明的量表与登记册实际使用的量表必须是同一套，且重复评估之间的变动可以解释。可比性的证据分两层，缺任何一层都会在审核中被追问。表2证据链两层判定规则层级这一层是什么回答审核员的哪个问题合格判定（打开什么、看到什么）常见断链第一层：方法论声明层经批准的风险评估方法论，写明量表定义、接受准则、评估频率“你的规则是什么，谁批准的”打开《风险评估方法论》，看到“可能性”每一档的文字描述和数值对应，“影响”同理；看到接受准则的具体阈值；看到批准人和日期方法论只写“高/中/低”，没有数值对应；接受准则写“根据情况判断”；批准人是安全经理而非管理层第二层：执行记录层登记册中实际填写的取值，以及两次评估之间变动的记录“你按自己写的规则做了吗，变动有依据吗”打开风险登记册，看到“可能性”列的值落在方法论定义的取值范围内；打开版本历史或上次评估快照，看到同一风险行的评分变动附有一句理由登记册用1—5，方法论写低/中/高；评分变动没有记录理由；两次评估之间方法论被改过但没有版本记录两层都满足时，可比性成立。只有第一层，审核员的判断是“规则写了但没执行”。只有第二层，审核员的判断是“有记录但没有规则，结果不可重复”。Stage2的抽样会同时检查这两层：审核员不会只读方法论，也不会只看登记册，而是拿方法论中的量表描述去核对登记册的实际列。可比性被追问时，回答不靠解释“为什么变了”，靠出示变动记录。变动记录的最小形式：在风险登记册中加一列“上次评分”或保留每次评估的登记册快照，变动时在“评分变动理由”列写一句依据，指向一个可观察的事件、数据或准则条款。没有这一列，审核员追问“为什么从3变成4”时，任何口头解释都无法构成认证证据。四、Stage1看文件，Stage2抽记录，各抽什么Stage1检查文件之间的内部一致性，不深挖执行深度。Stage2抽样测试记录，验证ISMS在实际运行。两个阶段的追问焦点不同，准备的证据也不同。表3Stage1与Stage2审核动作对照表审核阶段审核员打开什么看哪一列或哪个对应关系什么样算通过常见不符合的触发点Stage1《风险评估方法论》与风险登记册并排方法论的“量表定义”段与登记册的“可能性”“影响”列两处的取值体系是同一套；登记册的列名能对应到方法论的步骤方法论写五档，登记册只有三档；方法论没有“接受准则”段Stage1《风险处置计划》与SoA并排处置计划的“控制编号”列与SoA的“控制编号”列处置计划中引用的每个控制编号能在SoA中找到；SoA中每个“不适用”的控制有基于风险的排除理由SoA把几乎全部AnnexA控制标为“适用”，没有排除理由；处置计划中的控制不在SoA中Stage2风险登记册的版本历史或两次评估的快照同一风险行在两次评估中的“可能性”“影响”取值变动有理由记录；未变动的行保持取值一致两次评估之间方法论被修改，但没有版本记录说明修改内容和批准人Stage2一份《风险处置计划》中的具体行动行“负责人”“截止日期”“状态”“残余风险批准”四列负责人是人名；截止日期是具体日期；残余风险由该负责人批准负责人是部门名；状态列全为“已计划”没有执行痕迹；残余风险由安全团队代签Stage2SoA中随机抽取的一条“不适用”控制“不适用理由”列理由指向风险评估结果中的具体风险行或风险类别，且说明该控制不适用的条件理由写“不涉及”“未使用”“由供应商负责”但没有供应商评估记录Stage2管理层批准风险接受或处置计划的记录批准人、日期、批准对象批准发生在该计划执行之前；批准人是风险负责人或更高层级批准日期晚于计划中行动的开始日期；批准记录只有邮件回复没有正式签署Stage1不通过时，Stage2通常不会进行。Stage1最常见的停止点是方法论与登记册的量表对不上，以及SoA缺少基于风险的排除理由。这两个点在Stage1阶段就可以用表3的前两行做自检。五、风险处置计划和SoA对不上，先查这六处表4断链排查表第一检查点看到什么信号先查什么换哪条路1.打开SoA，逐行看“不适用理由”列超过三分之一的“不适用”理由只有“不涉及”或“未使用”查这些控制在风险登记册中是否真的没有任何风险行需要它对每一条“不适用”，在理由列写一句“当前范围内无风险行涉及_类事件，依据为登记册第行至第__行的风险描述”；找不到依据的控制改为“适用”，或补一条风险行2.打开《风险处置计划》，看“控制编号”列有控制编号，但SoA中找不到对应编号查是编号写错还是该控制未纳入SoA编号写错的更正；未纳入SoA的，在SoA中补行并写适用理由3.打开风险登记册，随机抽五行高风险行这五行的“处置选项”列全空或只写“加强管理”查处置计划中是否有与这五行对应的行动为每一行选择一个处置选项（降低/规避/转移/接受），并在处置计划中写对应的第一个动作4.打开《风险处置计划》的“残余风险批准”列批准人是安全团队人员，不是该行的风险负责人查该风险负责人是否知道并同意残余风险水平由风险负责人本人补签批准；负责人拒绝签的，该行退回处置选项重新选择5.对比方法论中的“风险接受准则”与登记册中高于阈值的行有行高于接受准则，但处置计划中没有对应的处置行动查这些行是否被遗漏，还是被错误地标为“已接受”高于阈值的行必须有处置选项和第一个动作；标为“已接受”的，须有风险负责人的接受记录和理由6.打开最近一次管理评审记录，搜索“风险处置”评审记录中没有提到处置计划的进展或残余风险查管理评审是否把风险评估结果作为输入下次管理评审议程中加入“高于阈值的风险行及其处置状态”一页，附行号和状态第1行是SoA最常见的认证不符合来源：排除理由没有风险依据，审核员无法判断排除是基于评估结果还是为了避免填表。第4行的“残余风险由负责人批准”直接对应6.1.3f)，批准人不是负责人时，该行在Stage2会被抽为不符合。第5行暴露的是接受准则写了但没有用于筛选处置对象。六、什么时候停用某个评估方法：四条决策规则与两组矛盾决策规则一：如果方法论声明的量表与登记册实际使用的取值连续两次评估不一致，则暂停使用该登记册进行认证申报；先统一量表，再重填受影响的行。如果统一量表需要改变已批准的方法论，重新批准后方可继续。决策规则二：如果SoA中“不适用”控制的理由无法指向风险登记册中的任何一行或一个风险类别，该控制改为“适用”，或补一条支撑该排除的风险行；在完成之前，SoA不作为认证证据提交。决策规则三：如果同一风险行在两次评估之间的评分变动没有书面理由，该行的“可比性”在Stage2抽样中视为不成立；如果抽到的变动行超过三行无理由，整份登记册的可比性证据需要重做，而不是逐行补理由。决策规则四：如果风险处置计划中的控制编号与SoA的对应率低于100%，在补齐对应关系之前，不宣称6.1.3c)至d)的符合性；补齐动作是逐行建立“风险行号—处置选项—控制编号—SoA行”的四列对照。矛盾一：27005的方法选择自由与27001的可比性要求矛盾陈述：27005:2022提供多种评估方法（定性、半定量、定量）和两种识别路径（事件法、资产法），组织可以按自身数据质量选择；270016.1.2b)要求重复评估产生一致、有效、可比的结果。方法越灵活，跨次、跨人的可比性越难维持。实质分析：可比性不要求全组织只用一种方法。它要求同一风险类别在重复评估中使用同一套量表。事件法识别的风险可以配定性量表，资产法识别的关键系统风险可以配半定量量表，但两种量表之间的转换规则必须写进方法论。审核员追问的是“同一行在不同时间是否可比”，不是“全组织是否只用一个数字”。权衡规则：风险登记册中增加“评估方法标识”列，标明该行使用的是哪一套量表。方法论中为每一套量表写明定义和适用范围。同一行在后续评估中不得切换量表；确需切换时，旧量表和新量表的对应关系写进变动理由。退路：如果切换量表后无法建立对应关系，该行在切换当期保留旧量表评分，同时用新量表并行评一次，下一次评估起只保留新量表，旧评分作为历史快照存档。矛盾二：SoA的完备性与排除理由的可追溯性矛盾陈述：SoA需要覆盖全部AnnexA控制，对每一项声明适用或不适用；排除理由越简短，SoA越容易填完，但理由越难追溯到风险登记册。理由越详细，追溯性越强，但SoA篇幅膨胀，维护成本上升。实质分析：270016.1.3d)要求SoA包含排除的理由，审核员检查的是理由能否在风险登记册中找到依据。理由的长度不决定证据强度，理由中是否含一个可核对的指向决定证据强度。权衡规则：每条排除理由控制在两句话以内：第一句写“当前ISMS范围内的风险评估结果中，无风险行涉及类事件或类资产”，第二句写“依据为风险登记册中风险类别为的行，最近一次评估日期为”。两句话中含一个可核对的类别或行号即可。退路：如果某条排除控制在登记册中确实找不到对应类别，说明要么风险评估的覆盖范围有缺口，要么该控制不应被排除。先补风险评估范围或补一条风险行，再定SoA的适用性。七、一份能过Stage2的风险评估证据包长什么样示例案例，细节为合理设定。某组织在认证审核前整理第6.1条的证据包。起点：《风险评估方法论》声明的可能性量表是“低/中/高”，但风险登记册的“可能性”列填的是1—5。SoA中“不适用”控制的理由有一半写着“业务不涉及”。风险处置计划列出了控制编号，但SoA中有三项控制找不到对应的处置行动。分步操作：第一步，按表3Stage1的前两行自检，确认量表错位和SoA理由缺失是当前最明显的断链。第二步，修订方法论，将“低/中/高”改为与登记册一致的1—5五档，每档补一句可观察的描述，由原批准人重新批准。第三步，对登记册中已填的1—5取值不重填，但在版本历史中注明“方法论量表描述已修订，取值体系不变，历史评分可比”。第四步，打开SoA的“不适用理由”列，逐条补一句指向风险登记册风险类别或行号的依据；找不到依据的三项控制改为“适用”，并在处置计划中补对应的第一个动作。第五步，按表4第4行检查残余风险批准人，将安全团队代签的两行退回风险负责人补签。第六步，在登记册中加“上次评分”和“评分变动理由”两列，为下一次评估的可比性留下执行记录。不顺利环节一：修订方法论时，原批准人已经离岗，没有人能重新批准。当时的判断是找现任分管负责人补批。试了让安全经理代签，Stage1模拟中被指出“批准人层级不足”。换的路是：由现任信息安全管理委员会负责人批准修订版，并在版本记录中写明“原批准人离岗，本次修订由现任负责人批准，修订内容限于量表描述的文字化，未改变取值体系”。不顺利环节二：为SoA中三项控制补“适用”后，发现这三项控制实际上已经在运行，只是之前被错误地标为“不适用”。当时的判断是“标错了改过来就行”。试了只改SoA的适用性标记，审核员追问“这三项控制对应的风险行在哪里”。发现登记册中没有明确对应这三项控制的风险描述。换的路是：在登记册中补三条风险行，分别描述这三项控制所针对的事件场景，负责人和截止日期同步补齐。SoA的适用理由改为指向这三条新行。不顺利环节三：补“上次评分”列时，发现上一次评估的登记册快照没有保存，无法填写。当时的判断是从邮件和会议记录中拼凑旧评分。试了拼出五行，其中两行的旧评分来源互相矛盾。换的路是：这五行的“上次评分”列标注“无可核对的旧快照”，并在“评分变动理由”列写“首次建立可核对基线，本次评分为基线”。下一次评估起，当前版本作为可比基线。审核员在模拟抽查中接受这一处理，因为基线声明本身构成了可比性的起点。不顺利环节四：残余风险补签时，一位风险负责人拒绝签，理由是“这个风险我没有能力处置，不应该由我接受”。当时的判断是负责人不配合。试了由上级代签，但审核逻辑要求接受残余风险的人与负责处置的人一致。换的路是：将该行拆为两个风险：一个在該负责人权限内可以处置，由该负责人签残余风险接受；另一个上升到更高层级，由有权分配资源的人作为新的风险负责人并签接受。拆分后两行各有负责人和接受记录。终点：证据包包含：经现任负责人批准的修订版方法论（量表1—5、接受准则、评估频率）；风险登记册（含“上次评分”“评分变动理由”列，基线声明，补充的三条风险行）；SoA（每一项“不适用”的理由含风险类别指向，三项改为“适用”并有处置行动）；风险处置计划（控制编号与SoA对应，残余风险由风险负责人本人签署）。Stage2模拟抽样未发现6.1.2和6.1.3的不符合。表5变量与处置变化变量案例中情形如果变量不同处置变化方法论批准人是否在岗原批准人离岗批准人在岗由原批准人批准修订，版本记录只写修订内容，不写批准人变更说明上次评估快照是否保存未保存，仅五行可部分拼凑完整保存“上次评分”列全部可填，变动理由逐行写；不需要“基线声明”SoA排除理由的可追溯比例约一半不可追溯全部不可追溯不逐条补，先重做风险识别，补齐风险类别后再统一修订SoA残余风险负责人是否拒签一位拒签全部签署不拆分风险行，维持原行，补签即可补充风险行数3条超过10条检查是否原登记册范围过窄；在管理评审中说明范围调整原因SoA排除理由的可追溯比例在本案例中权重较高：它决定Stage1是否放行。低于50%可追溯时，逐条补理由的工作量可能超过重做一轮风险识别，应先评估是否回到风险识别阶段。八、完整版、精简版、极简版分别跑什么表6三套场景操作序列版本适用判定操作序列不能妥协的底线完整版认证审核或监督审核按表1逐行确认七个锚点记录存在→按表3跑Stage1自检（方法论与登记册量表、处置计划与SoA对应）→按表4排查六处断链→按表2第二层检查评分变动记录→按表3Stage2行准备抽样行方法论量表与登记册取值属于同一体系；SoA每条排除理由指向登记册中的一个可核对类别或行号；残余风险批准人是风险负责人本人精简版内部评审或认证前预审只查三处：方法论量表和登记册“可能性/影响”列是否一致→SoA中随机五条“不适用”理由能否指向登记册→处置计划中控制编号是否全部在SoA中量表一致；五条排除理由中至少四条可指向；控制编号对应率100%极简版个人准备或非认证岗位初查打开风险登记册，找一行高风险行，检查四件事：负责人是不是人名、截止日期是不是具体日期、处置选项是否四选一之一、残余风险批准人是否与负责人同一人四件事全部满足，这一行才能作为6.1.3的临时锚点；任何一项不满足，先补这一行，不继续查其他行极简版的不符排查规则具体为：四件事中“负责人是人名”和“残余风险批准人与负责人同一人”两项权重最高。负责人是部门名时，处置行动在截止日期无人核对；批准人不是负责人时，6.1.3f)在Stage2抽到即不符合。两项中任何一项不满足，不继续检查其他行，先把这一行改到满足，再判断这一行能否作为证据包的最小样本。附录表7差异化增补汇总增补项所在板块对应缺口类型解决什么问题明确27005不是认证依据，映射表只落27001子条款第二节多数资料把27005当合规清单逐条勾选避免把27005的章节号误当作审核员翻的条款可比性的两层判定与“评分变动理由”列第三节多数资料只写“要可比”，不写可比性在登记册里长什么样审核