ISO/IEC 27001 主導稽核員備考｜稽核員工作與取得途徑
ISO/IEC 27001 主導稽核員備考，先分清訓練合格、個人註冊與組織驗證。從規劃、訪談、取證及報告了解工作，再核對認可課程、線上考試及經驗要求。
本文目錄
證照名稱、用途與適合對象
ISO/IEC 27001 資訊安全管理系統主導稽核員，英文 ISO/IEC 27001:2022 Lead Auditor (Information Security Management Systems)，是本系列採用的證照長名說明。ISO 制訂標準，不直接發這張個人證照，也沒有全體系共用的單一考試。CQI/IRCA 認可課程、IRCA 個人註冊及替企業做的組織驗證，屬於不同程序。
稽核是把實際做法與適用要求核對；主導稽核員還負責規劃、分工、訪談取證與報告。這些能力可用於內稽、資安管理及顧問工作；驗證機構的任用仍另看能力及經驗。適合資訊維運、資訊稽核、內稽及 ISMS 推動人員。認可課程預期已有資安、管理系統與標準要求知識；看懂流程、問清經過、寫明證據是建議能力，不能當成跨體系統一學歷門檻。
本免費短課不是 CQI/IRCA 認可訓練，不發該訓練合格證書，不保證考過，也不能直接取得 IRCA 註冊。
取得三步驟與報名檢查
步驟1：查核課程認可與證書名稱，確認先備、身分姓名、應備文件、語言及實體／遠距／混成形式，再向開課單位報名繳費。CQI 路線的主導稽核員課程最低40小時，常見安排5天；文件、出席及持續評量門檻請向開課單位書面確認。
步驟2：完成課程評量與考試，由訓練單位核發成功完成課程的證書。出席證明與成功完成證書不同。訓練單位登錄線上考試並寄送練習及應試登入信；請先核對信件及本人資料。
步驟3：累積符合要求的稽核與帶隊經驗，再向 IRCA 申請個人註冊。訓練合格證明學習成果，個人註冊另審經驗。課程及重考費洽開課單位；申請費及年費查 IRCA，本文不列金額。各梯次資訊以官方或開課單位最新公告為準。
CQI線上考試範圍與設備
依 CQI Learner Guide v1.1（2023-11），主導稽核員線上考試40題、105分鐘。管理系統概念6題、稽核責任6題、規劃6題、執行14題、報告與結案8題；這是題數，不是公開分數權重。題型有單選、多選、填空、配對、排序與情境；練習24題不等於正式題數。
課程最後一天起30天內應試，採遠端錄影監考。先備妥照片證件、鏡頭、麥克風與螢幕錄製，完成系統測試；可查標準及允許筆記，不可上網查答案，送出下一題後不能回改。
線上數值及格門檻未核實，請向 CQI 或開課單位確認，不能套用舊紙筆63/90、每區50%或 PECB 的70%。當次語言、額外時間及特殊支持請事先向開課單位或官方確認。
成績交付與補考
無監考異常時，成績供訓練單位於10個英國工作天內下載；14個英國工作天仍未收到通知，可聯絡訓練單位。這不是保證證書交付日，證書何時交付請向開課單位確認。
未通過者僅1次 resit，由訓練單位於初次成績發出日起12個月內提出；「提出」不能改寫成保證在此期限內完成。重考費、再次未過程序及當次評量條件，請向開課單位或官方確認。
IRCA註冊等級、經驗與維護
等級包括 Associate Auditor、Internal Auditor、Auditor、Lead Auditor、Principal Auditor，依能力及經驗分開。經驗不足者可先核對 Associate 的適用條件，不代表訓練合格就自動取得該等級。
直接申請 Lead Auditor，依來源紀錄須在訓後5年內完成4次完整管理系統稽核，共20天、其中15天現場；另加帶隊3次，共15天、其中10天現場。合計7次35天、25天現場，至少3次帶領至少2人的團隊；遠端活動依條件認列。個案須由 IRCA 審查。
申請採認的訓練通常須在5年內；更早訓練按近期持續專業發展（CPD）等個案審查。這不是所有訓練證書一律5年失效，未查得共通固定效期。
IRCA 註冊每5年再認證，每年繳年費，首次另有申請費。維持稽核活動與 CPD 紀錄；CPD 重點是學習成果與反思，不沿用舊固定45小時。各等級續證稽核量、適用費表及個人證書效力請向 IRCA 或官方確認。
其他體系如何比較
PECB 有自己的課程、考試與分級；可依其規則直接應試。2026 MC手冊v1.5列80題、每題3選1、70%及格、開書。不要混用舊 essay 手冊12題／75分，也不套用 CQI 的補考上限。Lead Auditor 另需5年工作，其中2年 ISMS、300小時稽核與倫理承諾；經驗不足可核對 Provisional Auditor。個人證照3年效期，有 CPD 與年費；台灣實際語言、時間、形式及維護量請向 PECB 或官方確認。
Exemplar Global 人員認證另有訓練證據與經驗審查，訓練證據可為 TPECS AU／IS／TL 或 RTP。台灣當次課程、考試細節及最新維護量請向官方確認。各 TÜV 法人、各班課程認可需分別核實，品牌名稱不能當作統一發證體系，也不代表台灣普及率。
台灣認列與標準版次
資安署現行1150522清單收錄 ISO/IEC 27001:2022 稽核員／主導稽核員。適用資安法納管機關的資安專職人員，不能擴大成所有民間 IT 職務法定必考。須核發證來源、有效性與個別證書；主導稽核員另備當年度至少2次相關稽核證明，可依 FAQ 以稽核員或觀察員參與內稽、外稽、委外廠商稽核。符合條件的完整、轉版、轉換課程可認列，清單不是逐家課程白名單；報名前請交證書樣本由機關承辦認定。
ISO/IEC 27001:2022 須搭配2024修正，並非27001:2024新版。氣候變遷相關性及利害關係人要求要連回 ISMS 情境，不等於一律碳盤查。2013版組織驗證轉版已結束，台灣2013版證照亦停止認列；不能推成所有個人訓練證書的全球失效日。
ISO 19011 已出版2026版，CQI 方案仍有2018引用，教材與考試採哪版請向開課單位確認。ISO/IEC 27007:2020 為正式版，DIS 是草案；ISO/IEC 27006-1:2024 為驗證機構要求，舊27006-2屬 PIMS，由27706:2025接替，不當作本課個人考試規則。
備考與報名前檢查清單
核對目標用途、體系、認可課程、證書名稱及先備能力；向開課單位索取當次評量、線上評分及補考規則。確認設備、本人資料及登入信；另整理註冊經驗、CPD 與台灣認列證明。所有規則以官方或開課單位最新公告為準。
本系列後續整理標準要求與防護措施、稽核流程與訪談取證、不符合寫法與結案。短課未涵蓋完整標準、全部稽核原則、各類控制及完整認可課程訓練，需另外準備。
官方來源與版本核對
依2026-10-29來源查核紀錄整理。ISO/IEC 27001:2022 含2024修正；ISO 19011 已出2026版，考試引用版次請向開課單位確認。以官方或開課單位最新公告為準。
- 制度與名稱：官方來源、官方來源
- 標準27001：官方來源、官方來源、官方來源
- 標準19011：官方來源、官方來源
- 標準27006系列：官方來源、官方來源、官方來源
- 標準27007：官方來源、官方來源
- 2013轉版：官方來源、官方來源、官方來源
- 台灣納管要求：官方來源、官方來源、官方來源、官方來源
- 對象、資格與基本能力：官方來源、官方來源、官方來源
- 課程與報名取得：官方來源、官方來源、官方來源
- 線上測驗及範圍：官方來源、官方來源、官方來源、官方來源
- 及格、成績、重考：官方來源、官方來源
- IRCA等級及註冊：官方來源、官方來源、官方來源
- IRCA效期維護：官方來源、官方來源、官方來源、官方來源
- PECB差異：官方來源、官方來源、官方來源
- Exemplar Global差異：官方來源、官方來源、官方來源
更多 〈ISO/IEC 27001 主導稽核員〉 推薦好文
