ISO 27001 为什么比 ISO 9001 贵？同样是 40 人的厂，审核天数差了一倍

宁波一家做软件外包的公司，40 来号人，去年刚拿到 ISO 9001。今年一个大客户在供应商表里加了一栏，要 ISO 27001。老板把两份报价摆在一起，问的是同一句：同样是 40 个人，为什么这家报的价能翻一倍。

翻倍的地方在人日表。40 人的厂，9001 初审四个审核人日，27001 要八点五个。审核员在你公司待一天，算一个人日，一天按八小时计。人日差出四个半，单价再一乘，光审核这一项就差出一大截。

五个体系的人日表，摊开就能对上

下面这张表算的是初审时间，第一阶段加第二阶段，人数按有效人数。

有效人数	ISO 9001	ISO 45001（中风险）	ISO 20000	ISO 50001（中等复杂）	ISO 27001
15 人及以下	2.5	3.5	3.5	6	6
16 到 25 人	3	4.5	4.5	7	7
26 到 45 人	4	5.5	5.5	8	8.5

同样 40 人，最便宜的和最贵的差一倍多。所以有的公司办一张证便宜，换一张要贵出一大截，不是谁在敲竹杠[2]。

表里那一列叫有效人数，不是花名册上的人头。两班倒的车间按班次算，临时工与外包按工时折算成全职，完全碰不到体系的人不计。这一项报错，后面所有报价都跟着错。

贵出来的那几天，花在哪

27001 的人日不只按人数走。规则附录 A 把业务范围分成风险级别，做支付与政务云的公司落在高风险那一档，人数不变，人日还得往上加[2]。

50001 多绕一层。它要先算一个复杂程度值，把有效人员，年度综合能耗，主要能源使用数量，能源种类四项加权。年综合能耗超过六万八千吨标煤的厂，这一项权重给到 1.6，人数一样也按高复杂走[2]。

45001 看的是风险类型。建筑施工和化工这类落在高风险，写字楼里的贸易公司落在低风险，同一档人数能差出一个半人日[2]。9001 只算人数，所以最便宜。

如果公司既有车间又有软件团队，这几张表都得对一遍，别拿 9001 的数去估 27001 的钱。

现场待几天，比例也不一样

审核时间不等于现场时间。认证机构还要做方案策划，做文件评审，写审核报告，这些都在现场以外完成[2]。

27001 的现场部分不少于确定时间的七成。八点五个人日，至少六天要站在你公司里翻记录，跟人谈话，还要看系统[2]。

其余四个体系要八成。差这十个点，多一个分公司就多跑一趟，差旅和驻场天数都会跟着涨。

报价单拿回来，跟人日表对一遍

审核费大致等于人日乘单价，这一行能算得出来。剩下的申请费，审定与注册费，年金按证书张数走，跟人数没关系。

要是报价单只给一个总价，问一句人日数和单价是多少。答不出来的，多半中间还夹着别的账。各体系的单价区间可以对照ISO 27001 认证费用那篇里的数。

想把总价压下来，四个动作能用

先把有效人数算清。 27001 的有效人数包含外包开发与驻场运维，按工时折算成全职。反过来，完全不碰体系的前台、保洁不计入。人数卡在档位边界上，报准一点就能降半档。

几个体系凑一次审。 结合审核的总时间不低于各体系分开算之和的八成[2]，省下来的是审核员往返与文件评审。想谈到对折，认证机构不会接。

减时最多减三成，且不许靠加班压人日。 规则写明一个人日八小时，不能用延长工作日的方式减少人日数[3]。45001 还有三种情形不许减时：一年内出过死亡事故，一年内挨过安全处罚，或者存在重大危险源[2]。

范围别写宽。 范围写得越宽，监督审核要覆盖的典型过程越多，年年都要翻一遍，人日和差旅一起涨。

三年总账：初审只是第一笔

证书有效期最长三年[2]。监督审核不少于初审的三分之一，再认证不少于三分之二。

40 人的厂，9001 三年合计八个人日，27001 是十七个。人日差一倍，三年这笔钱也跟着差出一倍。第二笔钱不提前算，第二年收到监督报价，就会觉得被临时加价。

办理节奏按ISO 27001 认证流程那六个阶段排。五套规则今年 3 月起才换新版，旧的能源管理体系认证规则同日废止[1]。换版不影响已经发出去的证书，下一次监督或者再认证按新规则走。

常见问题

有 ISO 20000 了，能不能顶 27001

不能。20000 审的是服务交付能力，27001 审的是信息安全风险，两张人日表也不一样。客户表里写 27001，就得有 27001 的证。两张证的分工，ISO 27001 和 ISO 20000 有什么区别里拆过。

40 人的厂，8.5 个人日能减吗

能减。上限是三成，现场那部分还不能低于七成，这两条都写在规则里。减掉的理由要写进审核记录，认证机构不写就是不规范。

三个体系一起办，省哪一笔钱

省审核员往返和文件评审，总时间不低于分开算的八成。省不到一半，别按对折谈价。

人日单价一般多少

公开价目表里各家报的单价不在一个水平上，含税与否要问清，差旅食宿另计。

中间这两年还要花几次钱

两次监督加一次再认证，各按初审的三分之一与三分之二算。

参考来源

• 国家认监委 2026 年第 2 号公告，环境与职业健康安全，信息安全，信息技术服务，能源这五套认证规则 2026 年 3 月 1 日施行，旧版能源管理体系认证规则同日废止，过渡期到 2 月 28 日 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
• 五套规则附录 B 人日表与现场比例，信息安全 26 至 45 人 8.5 人日，15 人及以下 6 人日，现场不低于 70%，能源 26 至 65 人中等复杂 8 人日，年综合能耗分档权重 1.6，职业健康安全中风险 26 至 45 人 5.5 人日，信息技术服务 26 至 45 人 5.5 人日，减时不超过 30%，风险级别与复杂程度分档见各规则附录 A 与附录 B ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ 2026-01-21
• 质量管理体系认证规则附录 B，15 人及以下 2.5 人日，16 至 25 人 3 人日，26 至 45 人 4 人日，监督不少于初审三分之一，再认证不少于三分之二，1 人日 8 小时，现场不低于 80%，减时不超过 30% ｜ https://scjg.jl.gov.cn/fw/wnfw/jyjcfw/tzgg/202512/P020251217323737056989.pdf ｜ 2025-12