赛思威尔
上周三下午，滨江一家三十来人的软件公司老板发来一张客户审核表。第一行写着要有 ISO 9001 证书，第二行问生产场地。他没有厂房。
这种公司办得下来。审核盯的是你申报范围内的活动怎么管，跟有没有机器没关系。可是体系得先跑满 3 个月才受理，如果今天动手，拿证也得按季度算[1]。不过这三个月不是坐着等，文件得同步写起来。
没有车间，现场审核那两天看什么
办公区就是现场。按规则，初次审核要做，每年的监督审核和到期前再认证也要做，三场都应当在委托方现场实施[1]。写字楼里从需求评审到代码评审，从发布回滚到外包测试，再加上客户验收，全是现场审核要看的对象。审核员关心的是这个项目从签约到验收中间卡在哪一步，中间谁签字，出了问题怎么追。
审核计划会提前发给你确认，上面写清日期和时段，还有场所与审核组名单[1]。计划本身只是排期，要改得双方协商。名单里最该看的是那名专业审核员，他得跟你业务范围对得上，否则看不懂你交付的是什么。
一阶段通常也在现场。例外只有两种：你已持有同一家发证方别的领域的有效证书，或者持有其他被认可机构发的带认可标志证书[1]。除非拿得出这两类凭证，否则审核员会来一趟，看文件跟实际业务对不对得上。
一阶段结束会给你一份书面结论，写明能不能进二阶段，还有哪些地方二阶段可能被判不符合[1]。不过这份纸只写结论，不写承诺，二阶段能不能过，还得看现场那天。
进二阶段前有两件事必须跑完：内审和管理评审[1]。内审就是你自己按标准把各个过程查一遍，管理评审是老板主持、把体系绩效过一遍的会。这两件事没有记录，一阶段就过不去。
三个办公点，要不要都审
先分清这些点干的是不是同一件事。
做同样的事，比如三个研发中心流程一样，可以抽样。初审全数抽，监督阶段抽 60%，再认证再抽 80%[4]。要是几个点做的事不一样，比如一个写代码，一个跑数据中心运维，还有一个放货的仓库，那就不抽样。初审和再认证都得一个一个走，监督抽三成以上，每次都包含中心职能部门[4]。
| 场所情况 | 初审 | 监督 | 再认证 |
|---|---|---|---|
| 几个点做同样的事 | 全数审 | 抽 60% | 抽 80% |
| 几个点做的事不一样 | 逐个到场 | 抽 30% 以上 | 逐个到场 |
派到分场所的那几天，现场时间不能压到附表数字的一半以下[4]。审核员往返这些点路上花的时间不算审核时间[2]，所以点越散，排期越长。报价单上写的天数，得把这些路上时间也算进日程里。
证书上要把覆盖到的经营地址印全[1]。临时场所可以不上证书，上了就要注明是临时场所[1]。少报一个厂区，客户拿证去核地址时对不上，这活就得返工。这一条在有几个办公点的公司里最常被漏掉，报数时最好拿着租赁合同挨个对一遍。
认证范围那一行字，写窄了会怎样
范围是印在证书上那句话，它描述这次审过哪些业务。写「软件开发」，和写「计算机软件开发及相关技术服务」，差的是后面那半句。你给客户做过实施和运维，还做过培训，如果范围里没写这几样，评审时他就当你不覆盖。
可客户不会替你补这句话。写窄了代价不在证书，在你下一次投标。招标文件要信息系统运维业绩加证书，你手上只有开发，就得回头扩范围。
扩范围不是改一行字。要重新评审，还要做相应审核活动，这类审核可以跟监督审核合并做[1]。所以第一次就把三年内可能接的业务想清楚，比事后补省事。不然补一次，时间和人日都得再花一遍。
老板本人得到场，缺席会终止审核
这条最容易被忽略。规则要求审核组跟最高管理者面对面谈，问他公司质量方针和质量目标，还要看他有没有亲自推动体系。一旦答不上来，或者全推给下面人，审核不予通过[1]。这条问的不是管理知识，是他自己那摊生意的来龙去脉。这件事没法外包，也没法临时补，谈完的记录会直接写进审核报告里，后面谁都能翻到。
首末次会议也一样。最高管理者不到，得有书面授权的高级管理层成员到场，否则审核组要终止审核[1]。
可他要是真不管，体系就成了一份手下人写的作文。所以别把这件事全交给行政，或者交给新招的体系专员。他要听的是老板本人怎么讲这门生意，一份漂亮手册顶不了这次谈话。
人数怎么报，外包和兼职算不算
有效人数是审核时间的底数，它包含认证范围内涉及的所有人，含每个班次人员[2]。范围里覆盖的承包商人员和兼职人员也算在内[2]。要是把外包团队漏报了，到现场人头对不上，审核组只能按看到的重新算，排期跟着往后推。
非固定人员可以按实际工时折算成全职人数[2]。软件公司常见的外包测试团队、驻场实施人员，就落在这一档里。
人日表按人数分档：15 人以内 2.5 人日，16 到 25 人 3 人日，26 到 45 人 4 人日，46 到 65 人 5 人日[2]。46 人的公司比 30 人的公司多一个人日，就因为它跨了一档。所以报人数时别四舍五入，差一档就差出一天。
审核员在你公司待一天，算一个人日，一个人日就是 8 小时[1]。所以人日不是谁随口报的，它按人头和风险类型查表得出。压缩审核时间最多三成，现场审核时间不能低于确定时间 80%[1]。低风险业务最多减 10%，高风险至少加 10%[2]。
办理流程要等几个日子，从今天到拿证
第一件事是等。体系运行满 3 个月才受理[1]，从零搭起的软件公司，这三个月得实打实跑出来，中间还要留出写文件和跑第一次内审的时间。所以真正花时间的是这段准备，不是审核那两天。
受理之后分两阶段，两轮之间要隔开，最少 5 日，最多半年[1]。一旦超过半年还没进二阶段，一阶段就得重做[1]。
二阶段之后，认证决定最晚得在审核结束后 6 个月内给出[1]。认证证书最长 3 年有效[1]。
可证书到手不是结束。首次监督得在证书到手后 12 个月内完成，往后每次间隔不能超过 12 个月[1]。监督人日不少于初审 1/3，再认证不少于 2/3[1]。第一次监督的日期，从签发那天就开始算了。
现在办，要不要等新版
标准换版有过渡安排，现在申请按现行有效版本走。不过换版不等于旧证马上作废，具体看官方过渡文件。拿证前想确认依据的是哪一版，去全国标准信息公共服务平台查 GB/T 19001 的状态，看标准号后面印的年份。换版细节 ISO 9001:2026 换版时间表 那篇跟得比较紧。
等不等，看客户那张表上写的是哪个版本。不过他要的就是现行版本的话，你等新版反而自己拖自己。
投标里那张纸，评审会看哪几行
招标文件先翻两处：投标人资格要求、评标办法。前面那句决定你有没有资格进场投标，后面那句决定这张证在评分表里值几分。不然投进去才发现资格不够，标书白做。分档怎么给，ISO 认证证书和招投标 里按评分表拆过。
证书编号能自己读，一共 7 段，开头两段是发证机构代码和发证年份，中间一位字母 Q，然后是顺序号。再往后是认证周期，接着认可机构代码，最后是子证书号[3]。周期写 R0 是初次认证，R1 是第一次再认证[3]。认可机构代码写 00，说明这家没走认可，境外客户或涉外招标会盯这一栏[3]。
评审还会拿证书主体和地址，还有有效期，跟你投标文件逐项对。如果名称差一个字，或者地址少一个厂区，都可能被判无效。
杭州这块地上，行业不同要的证不一样
钱塘区医药和器械，主线是 ISO 13485，通用质量底子是 9001，两张不能互相顶。这两张证差在哪，站内 ISO 13485 认证要点 那篇拆得比较细，这里不铺开。
食品和配料走 ISO 22000 或 HACCP。可这两套审的重点不一样，别拿一套的文件去套另一套。两者怎么选，ISO 22000 和 HACCP 怎么选 讲过，这里不重复。
萧山做化纤，临平做家纺，富阳做造纸，这三类客户审核先看环保和安全。14001 查排污许可和环评，也查监测数据对不对得上。45001 查高温和粉尘，还有机械伤害这些风险有没有控住。
滨江和城西的软件公司，多数只要 9001 加客户自己那张审核表。可要是给银行做系统，27001 早晚躲不掉。做政务或医疗系统的，还常被点名加 20000，两张一起办比分开办省事。
不过跨境卖家是另一回事。平台入驻看营业执照和类目资质，跟体系认证不是一张清单。客户说要验厂，那是他自己派人来看现场，跟第三方发的证书也不是一回事。
怎么核实一家发证方
入口是全国认证认可信息公共服务平台 cx.cnca.cn，免费，当场出结果。不过免费查的是资质，查不出他给你干活的手艺。进认证机构查询，输营业执照上全称。要是图省事用简称，多半查不到结果。
看三栏：批准业务范围里有没有你要办的那套标准，批准信息在不在有效期内，分支网络里有没有给你办证那个点。三栏都对上，才能签合同。
信息技术在附录 A 表 A.1 里是第 33 类业务范围，发证方在每个业务范围上要有 2 名以上专业领域审核员[3]。谈的时候可以直接问：杭州这边谁是有信息技术类别的专业审核员。
监管那头也有要求。按市场监管总局 2026 年第 28 号公告，发证方要给公众一个免费、随时可查的查询方式，不得只把认监委网站当成自己的查询入口[5]。证书被暂停，被撤销，被注销，都要在 2 个工作日内报送[5]。
境外客户要看认可标志，去 cnas.org.cn 认可名录，按发证方名称加标准核一遍。平台上的信息由发证方自己报送，状态一变就得跟着变，截图不能当凭证。
常见问题
公司在写字楼里，没有车间，能办 ISO 9001 吗？
能。审核对象是你申报范围内的活动，办公区就是现场。审的是从需求评审到交付验收，加上投诉处理，这些过程有没有按文件跑，记录齐不齐。
三个办公点，是不是每个都要审？
看几个点干的是不是同一件事。做同样的事可以抽样，做的事不一样就逐个到场。
现在办，要不要等 ISO 9001 新版？
不用等。按现行有效版本申请，换版过渡按官方安排走。客户表上写哪个版本，就按哪个办。
客户说要验厂，跟这个证书是一回事吗？
不是。验厂是客户自己派人来看现场，看他关心那几项。可客户看完只给自己一个交代，不会给你一张能拿去投标的证书。体系认证是第三方按标准审整个体系，两边要的证据不一样。
证书上范围以后能加吗？
能，走扩大认证范围。不过要评审，还要做相应审核活动，这类审核可以跟监督审核合并做，不然就得多跑一趟。
参考来源
- 国家认监委 2025 年第 16 号公告发布新版质量管理体系认证规则 CNCA-QMS-01:2025，2025-08-31 发布，2026-01-01 实施。体系运行满 3 个月才受理。审核在委托方现场实施。两个阶段之间最少隔 5 日，最多半年。认证决定最晚得在审核结束后 6 个月内给出。认证证书最长 3 年有效。首次监督在证书到手后 12 个月内完成，往后每次间隔不能超过 12 个月。监督人日不少于初审的 1/3，再认证不少于 2/3，压缩审核时间最多三成，现场审核时间不低于确定时间 80%。最高管理者缺席首末次会议的，审核组应当终止审核。扩大认证范围可结合监督审核进行。｜ https://www.cnca.gov.cn/zwxx/gg/2025/art/2025/art_b10adde5119f42fab7cad959b757ccc7.html ｜ 2025-09-04
- 该规则附表给出的人数分档与审核人日。有效人数含每个班次人员，承包商人员和兼职人员也计入，可按实际工时折算。15 人以内 2.5 人日，16 到 25 人 3 人日，26 到 45 人 4 人日，46 到 65 人 5 人日。低风险业务最多减 10%，高风险业务至少加 10%。往返多个审核场所的路途时间不计入审核时间。现场审核需在日常运行状态下进行。｜ https://www.cnca.gov.cn/zwxx/gg/2025/art/2025/art_b10adde5119f42fab7cad959b757ccc7.html ｜ 2025-09-04
- 同一规则附录 A 与附录 C。信息技术为表 A.1 第 33 类业务范围，每个业务范围需 2 名以上专业领域审核员。证书编号分 7 段，R0 为初次认证，R1 为第一次再认证，未通过认可机构代码为 00。｜ https://www.cnca.gov.cn/zwxx/gg/2025/art/2025/art_b10adde5119f42fab7cad959b757ccc7.html ｜ 2025-09-04
- 同一规则 5.4.3 多场所抽样。相似场所初审做全数，监督阶段抽 60%，再认证阶段抽 80%。非相似场所不抽样，监督抽 30% 以上。分场所现场审核时间不少于按附表确定的一半。｜ https://www.cnca.gov.cn/zwxx/gg/2025/art/2025/art_b10adde5119f42fab7cad959b757ccc7.html ｜ 2025-09-04
- 市场监管总局 2026 年第 28 号公告，2026-09-14 发布。发证方须提供免费、随时可查的证书查询方式，不得只把认监委网站作为自己的查询方式。证书被暂停，被撤销，被注销，应在 2 个工作日内报送。｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_8714c8827adb4a21b5c83666110dd0a1.html ｜ 2026-09-14
冀公网安备13108202001398号