ISO 27001 管理審查怎麼開？議程與紀錄範例

2026/11/14 企業指南 14 次瀏覽閱讀約 8 分鐘

ISO 27001 管理審查是標準第 9.3 條的要求：由最高管理階層在規劃好的時間點審查資訊安全管理系統（ISMS），確認它仍然適切、充分且有效。會議要逐項涵蓋第 9.3.2 條列出的七項輸入，做出改善與變更的決定，並保存紀錄作為證據。

很多企業的管理審查只是一場報告會，資訊部報完數字、主管說「持續推動」，紀錄一頁就結束。驗證稽核時，稽核員要看的是主管有沒有依據這些輸入做決定。下面依開會的順序，整理要準備的資料、議程範例與紀錄範本；正在準備驗證的企業，也可參考我們的 ISO 27001 驗證輔導。從準備資料到紀錄核定，實務上約需 3 到 4 週。

ISO 27001 管理審查會議，資訊主管報告後總經理指派改善事項 — 輸入看資料，輸出看決定

第 9.3 條對管理審查要求什麼？

ISO 27001 管理審查的條文是第 9.3 條，分成三段：9.3.1 要求最高管理階層定期審查 ISMS；9.3.2 規定審查必須考量的輸入；9.3.3 規定審查結果要包含哪些決定，並以文件化資訊保存。標準沒有規定一年要開幾次，只要求「在規劃的期間」進行。

雖然沒有固定頻率，但要取得驗證，至少要完成一次。驗證機構依 ISO/IEC 17021-1 執行第一階段稽核時，會確認內部稽核與管理審查是否已規劃並執行；我們在 ISO 27001 導入流程中也建議，兩者都在驗證稽核前完成並保留紀錄。

管理審查和內部稽核常被混在一起。內部稽核（第 9.2 條）是由不稽核自己工作的人，檢查制度有沒有照規定運作；管理審查是主管拿著稽核結果與其他資料，決定接下來要改什麼、給多少資源。前者找問題，後者做決定。

管理審查輸入：七項要準備什麼？

ISO/IEC 27001:2022 第 9.3.2 條列出 a 到 g 七項輸入，每一項都要在會議中被討論，不能只附在資料裡。其中 c 項「利害關係人需求與期望的變化」是 2022 年版新增的。

輸入	要準備的資料	通常由誰提供
a. 上次管理審查決議的處理狀態	決議追蹤表：已完成、進行中、延誤原因	資安推動小組
b. 內外部議題的變化	新法規、新威脅、組織或系統變動；依 2024 年增修，也包括氣候變遷是否相關	資安推動小組、法務
c. 利害關係人需求與期望的變化	客戶新增的資安條款、主管機關新要求、員工意見	業務、法務、人資
d. 資安績效的回饋與趨勢	不符合事項與矯正措施、監督量測結果、稽核結果、資安目標達成情形	資安推動小組、稽核員
e. 利害關係人的回饋	客戶問卷與抱怨、供應商與稽核員意見	業務、採購
f. 風險評鑑結果與風險處理計畫狀態	新增或升高的風險、處理計畫進度	風險負責人
g. 持續改善的機會	稽核、事故、員工建議中可改進的項目	各部門

d 項要的是「趨勢」，不是單一數字。實務上，報告「本季發生 3 件資安事件」不如「近四季分別為 1、2、2、3 件，原因集中在帳號權限」，後者才能讓主管判斷要不要投入資源。

還有一個常見缺口：不少企業的程序書是依 2013 年版寫的，輸入只有六項。我們看過民國 115 年才核准的公開程序文件，列出的輸入仍少了 c 項。如果公司的程序書還是舊版，管理審查前先補上這一項。

管理審查輸出：會議要做出哪些決定？

第 9.3.3 條要求管理審查的結果，至少包括與持續改善機會有關的決定，以及 ISMS 是否需要變更的決定，並保存文件化資訊作為證據。換句話說，紀錄裡要看得到「主管決定了什麼」，而不是只有「與會人員知悉」。

常見的決定類型包括：增加預算或人力、修訂資安目標或量測指標、調整風險接受準則、更新政策與程序、擴大或縮小驗證範圍。每一項決定都要指定負責人與完成期限，下一次管理審查的 a 項，就是追蹤這些決定。

實務上，有的組織會把核定後的決議列為下一次內部稽核的稽核項目，讓追蹤不只靠開會時口頭回報。這個做法不是標準硬性要求，但能讓決議真的被執行。

管理審查會議議程範例

議程照 a 到 g 的順序排，最不容易漏項。以下是中小企業一年一次、約 90 分鐘的議程範例，時間與報告人可依公司規模調整。

順序	議題（對應輸入）	報告人	建議時間
1	上次決議追蹤（a）	資安推動小組	10 分鐘
2	內外部議題與利害關係人需求變化（b、c）	資安推動小組、法務	15 分鐘
3	資安績效：事件、量測、稽核、目標（d）	資安推動小組、內部稽核員	20 分鐘
4	客戶、供應商與稽核員回饋（e）	業務、採購	10 分鐘
5	風險評鑑結果與處理計畫（f）	風險負責人	15 分鐘
6	改善機會與資源需求（g）	各部門	10 分鐘
7	決議確認：負責人與期限	主席	10 分鐘

會前約 3 週開始蒐集資料，2 週前完成會議簡報，1 週前把議程與資料寄給與會者，讓主管有時間先看。會後 1 到 2 週內完成紀錄並由主席核定，這是實務上常見的節奏，不是標準規定。

管理審查紀錄怎麼寫？附紀錄範本

ISO 27001 管理審查紀錄要能單獨說明三件事：哪些人在什麼時間審查了哪些輸入、各項輸入的結論是什麼、做了哪些決定與由誰執行。稽核員通常會拿紀錄對照第 9.3.2 條逐項檢查，再抽一兩項決議去看有沒有完成。

欄位	填寫內容	範例
會議資訊	日期、時間、地點或線上、主席、出席與缺席人員	115 年 12 月 10 日 14:00，總經理主持
輸入討論	a 到 g 每一項的報告重點與結論	c 項：兩家客戶新增供應商資安評估要求
決議事項	編號、內容、屬於改善或 ISMS 變更	決議 3：採購流程加入供應商資安評估
執行安排	負責人、完成期限、所需資源	採購部，116 年 3 月 31 日前
核定	主席簽核與日期	總經理簽核

表中範例只示範寫法。紀錄可以是會議紀錄、簡報加決議表，或系統中的會議紀錄，標準沒有規定格式，但要納入文件管制，並能讓稽核員找到。

管理審查最常出錯的 4 個地方

稽核時最常被開不符合或觀察事項的，不是資料不夠漂亮，而是程序上的缺口。以下是實務上最常見的四種情況。

第一，紀錄只有「持續推動」「與會人員知悉」，看不出主管做了什麼決定，等於沒有第 9.3.3 條要的結果。第二，漏掉 c 項或 b 項，常見於沿用 2013 年版程序書的公司。第三，最高管理階層沒有出席，只由資訊主管開會後送簽，紀錄裡也看不出主管參與討論。第四，決議沒有負責人或期限，下一次會議的 a 項就無從追蹤。