CCRC 现场审查开了不符合项怎么办？30 天内要改完的 6 类问题

杭州一家做安全运维的公司，审查组上午离场，留下一张问题单，3 条一般不符合项。老板第一反应是这证要黄。没黄。30 天从审查组离场那天开始倒着走，整改完还要通过验证，过了这道线，评价结论才写推荐[1]。

三十天不算短。真要动手，光把三条问题的原因查清楚，就够质量负责人忙上一周。审查员写的不是「你这里不行」，他写的是「某年某月那个项目，验收报告没有验收结论」。这种话得先把项目档案翻出来，才知道他指哪一页。

三十天从哪天算，超了会怎样

起点是现场审查结束那天。问题单寄到手里那天不算，你决定开始改的那天更不算。这条差出去三五天，不少公司就栽在这上面。

超了会怎样。评价结论直接变不推荐[1]。整改没做完算逾期，做完了没通过验证也算逾期，两种都归到同一个结果。已经交的审核费不退，重新报一轮还要再付一次，审核费还是按人日重新算一遍。

有家公司拖到最后两天才把验收报告补齐，材料到中心已经过了线，只能重报。钱还是小事，招标那个节点错过了，标就没法投。

严重和一般，处理方式完全两样

现场开了严重项，结论当场就定成不推荐，没有 30 天窗口[1]。一般项才有整改机会，改完验证通过，结论回到推荐。

这个区分不是文字游戏。严重项通常指向整个体系没跑起来，比如保密协议一份没签，项目档案一份拿不出来。一般项指向个别项目少了一页证据。要是现场被开了严重项，先别急着补材料，先问清审查员的判定依据，看能不能改成一般项。

办理流程本身怎么走，另一篇里拆过（分五步讲流程）。

审查员怎么抓到问题

4 样一起用，不是挑一样。站在现场看，翻你的文件，找人来问，核项目材料[1]。

现场看 2 处，办公场所和工具。固定场所有没有，工位够不够，扫描器装在谁机器上，走一圈就看明白。翻文件看四个程序有没有真在跑，文档管理，项目管理，保密管理，供应商管理[2]。问人问技术负责人和项目工程师，问的是「这个项目你怎么做的」，答不上来基本就定了。核材料最狠，合同，验收报告，人员证书这三样对不上，条子就开出来了。

服务特性测评的人日不少于服务管理审核的人日[1]。翻译成人话，至少一半时间耗在你的项目上。

最常被开的不符合项，集中在这 6 类

规范的通用要求分成 6 块，从办公场所一直排到服务技术[2]。现场开出来的条子，九成落在这六块里。逐块对一遍，比临审前抱佛脚管用。

哪一块	现场最常看到的样子	怎么改才算过
办公场所	注册地址和实际办公地不一致，或者人全在客户现场，自己没有固定场所	补租赁合同和场地照片，实际办公地写进申请书
人员能力	名单上十个人，技术负责人答不出本类别的服务流程，附录 H 的考试没有记录	换人不如补能力证据：培训记录，考试合格证明，项目里的角色分工
业绩	近 3 年项目数够，可是合同签了没验收，或者类别对不上	三级要有 1 个已签约并完成的本类别项目[2]，验收结论必须有人签字
服务管理	四个程序都有文件，拿不出运行记录	补记录：风险台账，保密协议，供应商评价，文档发放登记
技术工具	工具清单手写在一张纸上，机器上没装，一级的关键工具没有第三方证明	清单和实物要对得上，一级的关键软硬件工具要有第三方评价或证明[2]
服务技术	流程和规范是抄来的模板，现场操作跟文件写的两样	按本类别改流程，让工程师照文件做一遍，留过程记录

表格看一遍就明白，一半问题出在文件有、记录没有。审查员不看你文件写得多漂亮，他看你有没有照文件做过。

整改单怎么写，才叫改完并通过验证

3 栏。问题，原因，纠正措施。少一栏都容易被退回来。

问题那栏照抄审查员原话，别自己概括。他写「验收报告无验收结论」，你就写这一句，不要改写成「项目文档不完善」，一改就变成另一个问题。

原因那栏写到管理动作上。「人员疏忽」不算原因，「项目结项时没有验收环节，交付即结项」才算。

纠正措施要落到人，时间和文件。谁负责，哪一天做完，改哪一份文件，留什么证据，4 项写全。证据附在后面，程序文件修订页，签到表，补签的验收页，工具清单和实物照片。

有一条容易漏，同类项目一起改。审查员在一个项目上发现的问题，往往在别的项目里同样存在。只改他翻到的那一个，验证时抽查到另一个，等于没改。

书面验证和现场验证，差别在哪

规则给了两种，书面或者现场，由审查组定[1]。多数一般项走书面，交材料，看证据。指向场所和工具的问题，会再来一趟。

所以整改材料要经得起「不看现场也能判断」这一关。照片要能看出拍的是哪台设备，拍在哪，什么时候拍。补签的文件要有签字日期，日期落在整改期里才算整改，落在现场审查之前就成补造。

监督审查也会开不符合项，后果比初次重

拿证以后每年还有 1 次现场审查，一个单元算 1 人日，每增加一个单元再添 0.25 人日[1]，两年把全部条款走一遍。

监督里开严重不符合项，评价结果同样是不推荐。一般不符合项也是 30 天，逾期不推荐[1]。监督结果不合格，认证决定就是暂停或者撤销这张证书，通知你并公示[1]。暂停最长 3 个月，期内可以申请恢复，期满没申请，没整改，或者整改后仍不合格，就撤销[1]。

证书一撤销，CCRC 信息安全服务资质认证在招标文件里那一栏就填不了。有的项目还要求附证书状态截图，截出来是撤销，比没证更难看。

结论写了不推荐，这张证还有救吗

这一轮结束了。整改到位可以重新提交申请，已经交的费用不退。要是对结论本身有异议，先打中心电话或者写邮件申诉，对处理结果还有意见，收到结果后 15 个工作日内还能再申诉一次[1]。

重报之前，把上一轮问题单拿出来逐条对。审查员下一轮还会看同一批项目，问题没改干净的，第二次照样开。

常见问题

三十天改不完，能申请延期吗

规则里没有延期条款，只写了 30 天内完成整改并通过验证[1]。能压缩的是整改范围，先把证据补齐，把记录补上，制度文件的大改放到监督审查前做。

一条不符合项要准备多少材料

看问题指向什么。指向记录的，补记录加照片。指向文件的，文件修订页加发布记录。指向人的，培训记录加考试证明。一条配 2 到 3 份，够审查员判断就行，堆一摞没人看。

换个类别重新报，能不能绕开这次的记录

绕不开。每个类别都算一个独立认证单元，各自评价，材料也各自准备[1]。报之前再对一遍申请条件，四条里有一条不满足，材料连审查都进不去。上一轮的问题在新类别里照样在，因为查的是同一套管理动作。

证书快到期了，还要再走一遍审查吗

证书有效期 3 年[1]。上一次监督审查结果合格，且届满前 30 天内没有提出终止使用，中心换发新证书[1]。上一次监督不合格的，先把问题处理掉再谈换发。

现场审查那天，老板本人要到场吗

规则没点名老板必须到场，人员访谈问的是技术负责人和项目工程师[1]。技术负责人答不出本类别的服务流程，这一条就归到人员能力上。所以到场的人得真懂业务，光是职位高没用。

参考来源

• 信息安全服务资质认证实施规则 CCRC-ISV-R01:2026，2026-3-30 发布 2026-5-1 实施，初次现场审查一个单元 3 人日 每增一个单元 0.5 人日，服务特性测评人日不低于服务管理审核，严重不符合项评价结论为不推荐，一般不符合项现场审核结束后 30 天内完成整改并通过验证 逾期未完成或验证未通过为不推荐，审查组通过书面或现场方式验证，监督审查每年一次 1 人日 每增单元 0.25 人日 两年完成全部条款，监督不合格暂停或撤销证书，暂停最长 3 个月，证书有效期 3 年 届满前 30 天内未提出终止且上次监督合格换发，申诉后 15 个工作日内可再提争议，认证单元按服务类别划分 ｜ 2026-03-30
• 信息安全服务规范 CCRC-ISV-C01:2025，通用评价要求分六块 办公场所 人员能力 业绩 服务管理 技术工具 服务技术，服务管理要求文档管理程序 项目管理程序 保密管理程序 供应商管理程序，三级近 3 年至少 1 个已签订并完成的本类别项目 二级 6 个 一级 10 个，一级关键软硬件工具和设备安全性应获得第三方评价或者证明 ｜ 2025-11-13