ISO/IEC 27001主導稽核員備考｜不符合寫法與結案重點
ISO/IEC 27001主導稽核員備考的報告與結案，須寫清要求、證據及差距。用不符合範例、分級判準與結案清單，練習區分眼前改正及防止再發的矯正措施。
本文目錄
本篇對應的官方考試範圍
對應CQI五範圍中的「報告與結案」（8題），並連結執行稽核所蒐集的事實；題數不是公開分數權重，本文沒有涵蓋該範圍所有內容。
CQI五範圍為管理系統概念、稽核責任、規劃、執行及報告結案；本文僅涵蓋其中部分觀念。
必懂觀念
沒有達到適用要求，叫不符合。報告先寫應達到的要求，再列可核對的證據，最後說明差距。「權限管理不佳」無法讓他人追查個案。
可照用的不符合範例（虛構）：公司程序規定離職當日停權。帳號U017於9月3日離職；9月5日查核狀態紀錄仍為啟用。依據為離職清單與帳號狀態紀錄。因此，U017未依公司程序按時停權。此日期為教學事實，離職當日停權為公司內規，不是標準對所有公司的統一期限。證據支持時，可連結存取權限控制A.5.18與運作控制8.1。
第三方驗證分級看是否影響管理系統達成預期結果的能力。整套風險評鑑未建立可能影響重大；局部偏差須核對範圍與系統影響後判斷。改善機會適用於要求已達成、仍有提升空間，不能拿來淡化已證實的不符合。筆數、資料敏感或是否外洩都不能單獨決定分級，依適用驗證方案判定。
報告讓受稽方（被查核的公司）看懂準則、證據、範圍及結論。核對事實，有歧見則留下紀錄；稽核員提出查核結果，正式驗證決定由驗證機構依程序辦理，兩者不能混同。
先停用漏關帳號，是改正；查明人資通知漏接原因並改善交接以防再發，是矯正措施。結案檢查四問：問題與後果已處理嗎？原因與相似問題已查明嗎？責任與措施已落實嗎？後續新個案是否證實有效？簽核、日期及工單可以證明進度或改正，不能單獨代替效果驗證。（2022版10.2）
常見誤判
- 已補正就改列改善機會：補正不會抹去曾違反要求的事實。
- 涉及敏感資料就一律判主要：仍須查制度能力及影響。
- 收到措施計畫就結案：還須查落實與有效性。
- 把正式驗證決定當成稽核員現場承諾：應依機構程序辦理。
練習題與完整解析
以下為自編教學題，非官方原題；用於練習題目條件與行動的對應。
Q4-01｜程序規定離職當日停權。抽查20個離職帳號，一個晚2天停權，其餘按時。程序與覆核仍正常運作，沒有系統性影響。哪個結論最適當？
- 甲 主要不符合，因涉及薪資敏感資料。
- 乙 次要不符合，因制度仍有效運作。
- 丙 改善機會，因個案偏差已經補正。
- 丁 風險接受，因帳號已完成停用處理。
答案是乙。已違反當日停權要求，但查證制度仍有效運作，可判次要不符合。甲以資料敏感就判主要，沒有看制度能否達成保護目標。丙把已違反要求的問題當改善機會，補正不會抹去不符合。丁把事後停用當風險接受，也不能取代不符合紀錄。
Q4-02｜公司提供工單，證實漏關帳號已停用。要確認矯正措施有效，下一步選哪項？
- 甲 補齊工單簽核，確認歸檔格式。
- 乙 彙整完成日期，確認追蹤進度。
- 丙 核對原因處理，抽查後續個案。
- 丁 核對帳號狀態，確認停用結果。
答案是丙。原因處理與後續個案，才能支持防止再發的效果。還要核對相似帳號是否一起處理。甲的簽核與歸檔，證明行政紀錄完整。乙的日期與進度，證明追蹤情形。丁的停用結果，支持眼前改正。這三項都不能代替成效查核。
備考檢查清單
- 能以要求、證據、差距寫出完整句。
- 能說明分級為何不能只數筆數。
- 能區分改正與矯正措施。
- 能以原因處理、相似問題及新個案查成效。
本篇未涵蓋、需另外準備的範圍
另外準備完整報告要素、稽核結論、爭議處理、矯正措施追蹤及適用驗證方案的完整程序。各機構時限與分級規則須另核，不套用單一歷史個案期限。下一步：挑公司的離職流程，寫一個目標、兩項準則，列三筆要查的紀錄。
本系列為短課，不取代認可訓練，不保證考過或取得IRCA註冊；需另依適用教材與標準完整準備。
官方來源與版本核對
依2026-10-29來源查核紀錄整理。ISO/IEC 27001:2022含2024修正；ISO 19011已出2026版，考試引用版次請向開課單位確認。以官方或開課單位最新公告為準。
- 標準27001：官方來源、官方來源、官方來源
- 線上測驗及範圍：官方來源、官方來源、官方來源、官方來源
- 核心條文及控制編號佐證：官方來源、官方來源
- 稽核流程及發現報告：官方來源、官方來源、官方來源、官方來源、官方來源
更多 〈ISO/IEC 27001主導稽核員〉 推薦好文
沒看到有興趣的職缺嗎？
