上个月帮一家制造业客户做内审，对方内审组长是个质量出身的老员工，很认真，提前两周就开始准备检查表。
审核进行到第二天下午，他拿着一沓检查记录过来找我：”周老师，我感觉我们内审开的不符合项，和您今天开的重复了好多。是不是我们内审没做到位？”
我翻了一下他们的内审报告，果然——5个不符合项里，有3个和业务部门实际执行脱节，另外2个描述太笼统，根本没法整改。
这件事让我意识到：很多企业内审做了，但做得不对。下面这5个坑，我几乎每家都见过。
坑1：内审员全是”自己人”，没有独立性
很多企业内审员就是各部门主管互相审，今天审品质部，明天品质部审工程部。
问题在哪： 审核员和被审核方是同事，发现问题不好意思开不符合项，或者开了也是”轻描淡写”——”建议整改”而不是”不符合”。
正确做法：
- 内审员至少要有1-2名不直接参与被审核部门业务的人
- 如果公司人数少，可以请外部顾问做一轮示范内审，让内部人员跟着学
坑2：检查表照抄标准条款，和重点业务脱节
这是最常见的。内审检查表直接把ISO 27001条款原文复制一遍，变成”是否建立了XXX程序””是否保留了XXX记录”。
审核员看着检查表问，业务部门听不懂，答非所问。
| 错误问法（抄条款） | 正确问法（结合业务） |
|---|---|
| 是否建立了访问控制策略？ | 请演示一下，新员工入职后，他的系统账号是怎么申请的？ |
| 是否对信息安全事件进行了处理？ | 去年有没有发生过恶意软件感染？当时怎么处理的，有记录吗？ |
| 是否对供应商进行了安全评估？ | 你们用的云存储服务，合同里有安全规定吗？ |
核心原则： 内审不是”查文件”，是”查执行”。问法要从业务场景出发，而不是从条款出发。
坑3：不符合项描述太笼统，整改没法落地
典型错误描述：
“部分员工信息安全意识不足。”
“访问控制存在漏洞。”
“供应商管理有待加强。”
这些问题描述，业务部门看了也不知道改什么。不符合项必须要有”三个明确”：
- 明确的证据：在哪天、哪个部门、发现了什么具体现象
- 明确的条款依据：对应ISO 27001哪个条款
- 明确的可验证的整改要求：整改后怎么验证关闭
正确描述示例：
2026年3月15日抽查发现，离职员工张某（原研发部，离职日期2026年2月10日）的OA账号截至3月15日仍未注销，与《用户访问管理程序》第4.2条”离职人员账号应在离职当日注销”的要求不符。
要求：2026年3月20日前完成所有离职超过1个月的账号清理，并建立离职账号注销签字确认记录。
坑4：内审只开不符合项，不做”亮点识别”
很多企业内审报告，通篇都是问题，没有一条正面的。
这样有几个副作用：
- 业务部门觉得”内审就是来找茬的”，配合度低
- 管理评审时，高层看不到体系运行的有效证据
- 审核员来监督审核时，企业拿不出”我们做得好的地方”的证据
正确做法： 内审报告里，建议增加”良好实践”或”亮点”章节，每条亮点也要有具体证据，比如：
研发部在代码安全管理方面，建立了本地代码仓库+自动备份机制，过去一年未发生代码泄露事件，值得在其他部门推广。
坑5：内审发现的问题，没有跟踪到”真正关闭”
我见过最夸张的一家，内审开了8个不符合项，下次内审时，有5个还是”整改中”。
问题根源： 没有建立不符合项跟踪表，或者跟踪表只有”整改计划”，没有”整改证据验证”。
建议的跟踪表字段：
| 字段 | 说明 |
|---|---|
| 不符合项编号 | 唯一标识，便于追踪 |
| 责任部门 | 明确到具体部门，不能写”各部门” |
| 整改计划 | 具体的动作、完成时间、验证标准 |
| 整改证据 | 整改完成后提交的材料（截图、记录、新文件版本） |
| 验证结果 | 内审员或信息安全负责人签字确认是否关闭 |
| 关闭日期 | 实际关闭日期，用于统计整改周期 |
关键： 验证人必须是没有直接参与整改的人，否则就是”自己验自己”。
内审质量自查表
| 序号 | 检查内容 | 是否合格 |
|---|---|---|
| 1 | 内审员具备独立性，不是”互相审” | ☐ |
| 2 | 检查表结合业务场景，不是照抄条款 | ☐ |
| 3 | 不符合项描述具体，有证据、有依据、有可验证的整改要求 | ☐ |
| 4 | 内审报告有亮点识别，不只讲问题 | ☐ |
| 5 | 不符合项有跟踪表，整改证据经过独立验证 | ☐ |
内审是体系的”自检机制”，如果内审都走形式，监督审核时审核员一定会开不符合项。内审严一点，外审就轻松一点，这个道理，很多企业要交了学费才明白。
周知ISO，专注于ISO 27001/9001/20000-1审核实务，持续分享企业ISO管理体系经验。
