ISO認證每年都要做年度審核嗎？一次看懂監督審核、再認證與證書維持方式
ISO認證每年都要做年度審核嗎？一次看懂監督審核、再認證與證書維持方式
ISO認證取得後，通常每年都要接受認證機構的審核，但並不是每年重新申請一次認證。
一般管理系統認證採三年週期：取得證書後，第一年與第二年進行監督審核，第三年在證書到期前完成再認證審核。
這項規則適用於取得ISO 9001、ISO 14001、ISO 45001、ISO 13485、ISO/IEC 27001等管理系統認證的企業。
年度審核若未依規定完成，證書可能被暫停或撤銷，進而影響客戶驗廠、供應商資格及投標。因此，取得證書只是開始，後續維持才是企業真正需要管理的工作。
ISO認證每年都要做年度審核嗎？
結論：在一般認可管理系統認證架構下，每年都需要安排審核，但第三年進行的是再認證審核，而不是一般監督審核。
ISO/IEC 17021-1要求認證機構規劃完整的三年認證週期，包括初次認證、第一年監督審核、第二年監督審核，以及第三年證書到期前的再認證審核。
監督審核原則上至少每個日曆年進行一次；初次認證後的第一次監督審核，距離初次認證決定日期不得超過12個月。
ISO三年認證週期如何安排？
| 階段 | 常見時間 | 審核類型 | 主要目的 |
|---|---|---|---|
| 初次認證 | 第0年 | 第一階段＋第二階段審核 | 確認管理系統已建立並有效運作 |
| 第一次年度審核 | 認證決定後12個月內 | 監督審核 | 確認系統持續運作 |
| 第二次年度審核 | 第二年 | 監督審核 | 檢查改善成果及持續符合性 |
| 證書到期前 | 第三年 | 再認證審核 | 重新評估整套系統並核發新週期證書 |
企業容易誤以為「證書有效期三年，所以三年內不用再審」。實際上，三年有效期的前提是企業按期接受監督審核，並持續符合認證要求。
年度監督審核與再認證審核有什麼差別？
監督審核是抽樣確認系統是否持續有效；再認證審核則是三年一次的全面重新評估。
監督審核通常不會在一次審核中重新查完所有條款，而是依風險、前次結果及年度計畫抽查部分流程。
再認證審核的範圍較完整，認證機構會評估企業三年期間的整體績效、內外部變化、不符合改善及管理系統的持續適用性。
| 比較項目 | 監督審核 | 再認證審核 |
|---|---|---|
| 進行頻率 | 第一、第二年各一次 | 第三年證書到期前 |
| 審核範圍 | 依年度計畫抽樣 | 較完整地重新評估系統 |
| 審核時間 | 通常較短 | 通常比監督審核長 |
| 是否核發新證書 | 通常維持原證書 | 通過後進入新週期 |
| 未完成的結果 | 可能暫停或撤銷證書 | 證書可能到期失效 |
| 審核重點 | 系統持續符合及有效運作 | 三年整體績效與持續適用性 |
以ISO 9001、ISO 14001及ISO 45001等常見系統為例，IAF MD 5提供的基準是：年度監督審核時間約為初次認證審核時間的三分之一；再認證審核通常約為當時重新辦理初次認證所需時間的三分之二。
實際人天仍須依人數、據點、製程複雜度、輪班、風險及認證範圍重新計算，不能只用固定比例報價。
年度審核主要會檢查哪些內容？
答案：認證機構不只檢查文件，還會確認企業是否真正依制度執行。
即使證書已經取得，企業仍須保留制度運作證據。只更新程序書卻沒有實際紀錄，通常無法通過年度審核。
每年通常必查的內容
監督審核一般會關注：
內部稽核是否依計畫完成
管理評審是否定期召開
前次不符合事項是否有效改善
客戶投訴及滿意度是否被追蹤
目標、績效指標及改善措施是否落實
法規與其他義務是否持續更新
認證標誌及證書是否正確使用
組織、人數、地址、產品及製程是否變更
除了上述固定項目，認證機構會按照三年審核方案輪流抽查各部門及條款，確保整個認證週期涵蓋完整管理系統。
不同ISO標準還會查什麼？
| 認證標準 | 年度審核常見重點 |
|---|---|
| ISO 9001 | 客戶要求、製程管制、不合格品、供應商管理 |
| ISO 14001 | 環境考量面、法規符合性、廢棄物、緊急應變 |
| ISO 45001 | 危害辨識、職安法規、事故調查、承攬商管理 |
| ISO 13485 | 醫療器材風險、追溯、客訴、法規通報及製程確效 |
| ISO 22000 | 危害分析、管制措施、追溯、召回及食品安全驗證 |
| ISO/IEC 27001 | 資訊安全風險、控制措施、事件管理及適用性聲明 |
不同產業方案可能另有更嚴格的審核頻率、期限或突擊審核要求，不能直接套用一般ISO 9001的安排。
年度審核可以延期或取消嗎？
可以在認證機構允許的時間範圍內調整日期，但不能由企業自行無限延期。
第一次監督審核距離初次認證決定日期不得超過12個月。後續監督審核原則上每個日曆年至少一次，再認證年度除外。
若因天災、重大事故或其他特殊情況無法如期進行，企業應立即向認證機構提出延期申請，由認證機構依程序評估。
延期不代表免審。若超出允許期限，認證機構可能採取附加審查、特殊監督、暫停證書或其他處置。
哪些理由通常不能直接免除審核？
以下情況通常不能作為取消年度審核的充分理由：
公司暫時沒有新客戶
本年度沒有使用ISO證書
生產量下降或部分停工
負責人離職，文件尚未整理
內部工作繁忙，無法安排人員
尚未支付認證或年度審核費用
如果企業已確定不再需要證書，可以正式向認證機構申請終止或撤銷，而不是直接不回覆年度審核通知。
沒有通過年度審核會發生什麼事？
年度審核發現問題不等於立即失去證書，關鍵在於問題的嚴重程度及企業是否按期改善。
一般不符合事項會要求企業提出原因分析、矯正措施及完成證據。認證機構確認改善有效後，證書通常可以繼續維持。
如果屬於重大不符合、系統長期未運作，或企業拒絕接受監督審核，證書可能被暫停。
常見處理結果
| 狀況 | 可能處理方式 |
|---|---|
| 輕微不符合 | 限期提出原因分析與改善證據 |
| 重大不符合 | 加強審查、補充稽核或暫停證書 |
| 未按期完成改善 | 暫停或撤銷認證 |
| 拒絕接受年度審核 | 暫停或撤銷認證 |
| 認證範圍已不符合現況 | 縮減或修改認證範圍 |
| 再認證未在期限內完成 | 證書到期或中斷 |
證書暫停期間，企業通常不得宣稱其管理系統仍處於有效認證狀態，也不應繼續在報價、網站或宣傳資料中使用相關認證聲明。
ISO年度審核需要準備哪些資料？
最有效的準備方式不是臨時補文件，而是先確認一年內的制度紀錄是否完整。
企業可以在審核前一至兩個月進行內部預查，優先確認高風險流程、前次不符合事項及重大變更。
年審前建議準備清單
| 類別 | 建議準備內容 |
|---|---|
| 組織變更 | 組織圖、人數、地址、班次及負責人變更 |
| 營運範圍 | 新產品、新製程、外包活動及認證範圍變化 |
| 內部稽核 | 稽核計畫、查檢表、報告及改善紀錄 |
| 管理評審 | 會議紀錄、輸入資料、決議及追蹤結果 |
| 績效管理 | 品質目標、環境目標、職安指標及趨勢資料 |
| 客戶管理 | 客訴、滿意度、退貨及重大品質問題 |
| 改善管理 | 不符合、原因分析、矯正措施及有效性確認 |
| 法規管理 | 最新法規清單、許可證及符合性評估 |
| 教育訓練 | 年度計畫、出席紀錄及能力評估 |
| 設備管理 | 保養、校正、點檢及異常處理紀錄 |
若公司有搬遷、增加廠區、員工人數大幅變動、增加新產品或重大製程變更，應提前通知認證機構，不宜等到審核當天才說明。
ISO年度審核需要多少時間？
多數中小企業約需一至數個稽核人天，但實際時間必須由認證機構計算。
認證機構會依有效人數、認證範圍、產業風險、據點數量、輪班方式及系統整合程度決定審核人天。
| 影響因素 | 對審核時間的可能影響 |
|---|---|
| 員工或班次增加 | 審核時間可能增加 |
| 增加廠區或臨時工地 | 可能增加抽樣據點及時間 |
| 高風險製程 | 通常需要更多現場查核 |
| 認證範圍擴大 | 可能增加人天或安排擴項審核 |
| 多套ISO整合運作 | 符合條件時可能減少重複審核 |
| 前次有重大不符合 | 可能增加追蹤時間 |
| 系統成熟且變更較少 | 認證機構評估後可能調整時間 |
整合ISO 9001、ISO 14001與ISO 45001的企業，可以申請整合審核，但不代表審核時間可以任意打折。認證機構仍須確認文件、流程、責任及管理機制的實際整合程度。
ISO年度審核費用如何計算？
年度審核沒有全球統一價格，主要依審核人天、認證標準與差旅成本計算。
企業不應只比較最低總價，還要確認認證機構的認可資格、認證範圍、報價包含項目及後續服務費。
年度費用通常包含哪些項目？
| 費用項目 | 常見內容 |
|---|---|
| 審核費 | 依稽核人天及稽核員人數計算 |
| 年度管理費 | 證書維護、資料管理及認證行政作業 |
| 差旅費 | 交通、住宿、簽證或跨國移動費用 |
| 翻譯費 | 需要翻譯員或雙語稽核員時產生 |
| 額外審核費 | 重大不符合追蹤、擴項或特殊審核 |
| 顧問服務費 | 年審準備、內稽、管理評審及改善協助 |
認證費與顧問費屬於不同服務。認證機構負責獨立審核及認證決定；顧問則協助企業建立、維護及改善管理系統。
若報價明顯低於市場，應確認是否少計差旅、證書費、追蹤審核費，或證書是否具有客戶要求的認可資格。
可以更換ISO認證機構嗎？
可以，但應依證書轉移程序辦理，不能直接跳過原本的年度審核。
新認證機構通常會查驗現有證書狀態、前次審核報告、不符合改善紀錄、客訴及目前認證範圍。
如果證書已被暫停、撤銷或失效，通常不能當作正常有效證書直接轉移，可能需要重新進行初次認證。
企業準備轉證前，應先比較認可資格、產業經驗、審核人天、年度費用及證書被客戶接受的程度。
延伸閱讀可參考：
ISO認證機構怎麼選？認可資格、證書效力與低價風險一次看懂。
多據點企業每個工廠都要每年審嗎？
不一定每個據點每年都會被抽到，但中央管理功能通常需要持續接受審核。
符合多據點抽樣條件的企業，認證機構可以依據點數量、風險及管理系統一致性制定抽樣方案。
並非所有企業都適用抽樣。如果不同工廠有不同管理制度、產品或法律責任，可能需要分別認證或增加審核範圍。
即使採用抽樣，一個據點出現嚴重問題，也可能影響整張多據點證書，而不只是該工廠。
常見問題FAQ
ISO證書不是三年有效嗎？為什麼每年還要付費？
三年是認證週期，不代表三年內免審。認證機構必須透過年度監督活動確認管理系統持續有效，才能維持證書資格。
年度審核可以完全採遠端方式嗎？
不一定。是否可使用遠端審核，須由認證機構依標準、產業方案、風險、資訊安全及現場查驗需求評估。
涉及製造現場、環境設施、職業安全、食品安全或醫療器材製程時，通常仍需要一定程度的現場審核。
年度審核前一定要做內部稽核嗎？
需要。企業應依自身規劃完成內部稽核，並確保認證範圍與相關流程在合理週期內均被涵蓋。
如果完全沒有內部稽核紀錄，通常會被判定不符合標準要求。
管理評審一定要每年做一次嗎？
多數標準要求管理評審按組織規劃的期間進行，未必直接寫明「每年一次」。但企業通常會安排每年至少一次，以配合績效週期及年度監督審核。
如果組織自行規定每年召開，卻未依規定執行，仍可能構成不符合。
年審發現不符合就會取消證書嗎？
不會立即取消。企業通常有机会在期限內完成原因分析及矯正措施。
但若問題嚴重、改善無效、逾期未回覆或拒絕接受審核，證書可能被暫停或撤銷。
公司今年沒有營業，還需要年度審核嗎？
只要希望繼續維持有效證書，原則上仍須接受認證機構評估。
如果公司長期停產，應主動說明實際狀況。認證機構可能調整審核安排，也可能判斷目前已不具備維持原認證範圍的條件。
再認證應該提前多久準備？
建議至少提前三至六個月確認報價、審核日期及資料完整性。
若再認證發現重大不符合，企業還需要保留改善、驗證及認證決定的時間，不宜等到證書到期前幾天才安排。
可以只做顧問年審，不做認證機構審核嗎？
不可以。顧問預審、文件檢查及內部稽核不能取代認證機構的監督審核。
顧問可以協助企業準備，但只有認證機構有權決定是否維持、暫停、縮減或撤銷證書。
下一步如何執行？
先查看ISO證書的有效日期與最近一次審核報告，再向認證機構確認下一次監督或再認證日期。
接著完成以下工作：
1. 確認組織、人數、產品、地址及製程是否變更。
2. 檢查前次不符合事項是否真正關閉。
3. 完成內部稽核及管理評審。
4. 整理績效、客訴、法規及改善紀錄。
5. 在正式審核前進行一次差距檢查。
6. 預留不符合改善及認證決定時間。不要等認證機構通知後才開始補資料。建議企業建立年度ISO維護行事曆，將內稽、管理評審、法規更新、教育訓練及年度審核分散安排。
ODI MORGAN服務推薦
ODI MORGAN可依企業現有證書及審核日期，提供ISO年度維護與再認證準備服務，包括：
年度文件與紀錄健檢
內部稽核規劃及執行
管理評審資料整理
不符合事項原因分析與改善
ISO 9001、ISO 14001、ISO 45001等整合管理
多據點及跨國工廠審核協調
再認證、轉證及認證範圍變更評估
新版標準轉版差距分析如果您的ISO證書即將年審、到期或已收到認證機構通知，可先提供證書、前次審核報告、員工人數及工廠據點，由ODI MORGAN協助確認應辦理監督審核、再認證、轉證或擴項，降低證書中斷與客戶驗廠風險。
