软件企业在通过前期文件准备后进入现场审核阶段，部门负责人往往是审核组访谈的重点对象。很多人把注意力放在技术文档上，却忽略了审核现场对职责履行、记录一致性和上次问题跟踪的追问。本文结合软件企业的日常开发、运维和交付场景，梳理部门负责人在ISO 27001现场审核时最常被问到的问题，帮助你在回答时更有条理。
ISO 27001强调信息安全管理体系的有效运行，审核不只是核对文件有没有，更看重职责是否落地、记录是否和现场一致、风险有没有持续改进。部门负责人如果能提前把常问问题想清楚，现场作答会更从容。如需了解整体认证要求，可先看ISO 27001认证体系页。
部门负责人在ISO 27001现场审核中的核心任务，是把体系要求与本部门实际工作对应起来，用具体场景讲清职责、记录和风险控制怎么做。
审核访谈通常围绕几条主线展开，部门负责人可以先用下表对照自己部门的情况。
| 判断项 | 常见做法 | 容易出问题的做法 | 怎么判断 |
|---|---|---|---|
| 职责分工 | 岗位职责明确到具体信息安全动作 | 只写部门职责不落到岗位 | 能讲出谁负责哪项资产和风险控制 |
| 记录一致性 | 记录与现场执行一致可追溯 | 文档与现场两张皮 | 抽查记录能找到对应的人和事 |
| 上次问题跟踪 | 不符合项有整改证据并验证有效 | 只写整改没验证效果 | 能说明问题为何不再发生 |
| 风险控制 | 按风险等级落实控制措施 | 控制措施停留在纸面 | 能举例说明控制动作在日常出现 |
对照这张表，部门负责人基本能判断自己准备得是否充分。
审核组会抽取代表性业务过程做现场巡查，比如开发环境的访问权限、测试数据的保护、运维变更的执行。部门负责人要能陪同说明每个环节是谁在做、依据什么流程。
抽样的重点往往放在有信息安全风险的环节上，比如第三方代码、外包开发、日志留存。建议负责人提前梳理本部门高风险过程，把控制措施讲清楚。
审核组会对照程序文件检查现场记录是否一致。例如文件要求定期备份，现场就应能看到备份计划、执行记录和恢复测试结果。
记录要能对应到具体的人和日期，不能只停留在模板。负责人要能回答记录由谁填写、多久更新一次、保存在哪里这类细节。
审核组会访谈一线员工，确认他们是否了解岗位职责和安全要求。负责人答得清楚还不够，团队也要能讲出日常怎么做。
建议负责人提前组织本部门做一次内部分工梳理，让每位成员都知道自己负责的信息资产和风险控制动作。
如果前次审核或内审开过不符合项，审核组会重点回访。负责人要能讲清问题整改进度、纠正措施和验证结果。
跟踪要闭环，即问题发生后既有纠正也有防止再发生的措施，并留下验证证据。软件企业可结合发布流程、审批记录来呈现改进效果。
通常在审核计划中会列明访谈安排，软件企业一般提前一到两个工作周收到计划，建议按计划做好准备。
回答不足本身不直接开不符合，但若暴露职责不清或记录缺失，审核组可能据此判定不符合项。
视部门涉及过程多少而定，通常二十分钟到一小时不等，需要讲清职责、记录和风险控制。
常见有访问权限、备份与恢复、日志留存、变更管理、容量管理记录，具体以审核计划为准。
部门负责人在ISO 27001现场审核中的表现，直接影响审核组对体系运行有效性的判断。只要提前把职责、记录和问题跟踪梳理清楚，面对访谈就不会慌乱。
同创云长期从事ISO体系认证咨询与审核辅导，可结合软件企业的实际业务帮助梳理访谈要点和证据准备。更全面的答疑可参考体系认证常见问题栏目，也可先看软件企业编写ISO 27001体系文件哪些内容容易和现场脱节与软件企业做ISO 27001认证前期差距分析覆盖哪些条款。具体审核安排和证书状态，以认证机构及国家认监委（CNCA）官方最新通知为准。
本文由同创云体系认证研究中心整理，内容参考相关管理体系标准与认证认可通用规则；具体政策以认证机构和监管部门官方最新通知为准。