企业做 ISO9001 认证，到底需要满足哪些基础条件？

干了这么多年质量体系咨询，经常有人问我：我们公司想做 ISO 9001 认证，到底得满足什么条件？是不是得人多、规模大、文件一大堆才能搞？

说实话，这个问题本身有点模糊。

因为"条件"其实分两层：一层是 ISO 9001 标准本身对你的体系有什么要求；另一层是国内认证监管和认证机构在实际操作中，对申请企业设了什么门槛。很多人把这两件事混在一起了，结果要么被忽悠，要么自己吓自己。先把这个概念掰扯清楚，ISO 9001是个"要求标准"，它管的是你的质量管理体系该怎么建、怎么运行。标准中就说了，这东西通用，什么类型、什么规模的组织都能用，不挑人。而认证呢，是第三方合格评定活动。简单说就是找个有资质的机构来证明你的体系符合标准。这归《中华人民共和国认证认可条例》管。

真正操作层面的规矩，是国家认监委发布的部门文件、CNAS 的认可规范，再加上各个认证机构自己的认证方案。这几样东西加在一起，才决定了你能不能进入认证流程。所以核心结论就是：ISO 9001 标准本身不卡你，不管你公司大小、什么行业，标准都没说不行。你能不能申请认证，关键看监管规则和认证机构那边的要求。

那标准到底要求你做什么？

标准从第 4 章到第 10 章列了一堆要求。我挑重点说，企业要是想通过认证，这些方面肯定得做到位。

• 组织环境那块（第 4 章）：你得搞清楚自己内外部环境、相关方都有谁、他们有什么要求。还得定好体系范围——哪些业务在体系里、哪些不在，得说清楚。如果标准里某条要求对你不适用，你得有理由，而且不能因为这个就不管产品质量了。

• 领导作用（第 5 章）：老板得真管这事，不是挂个名。质量方针、质量目标得定出来，各岗位的职责得分配清楚，大家得知道自己是干嘛的。

• 策划（第 6 章）：风险和机遇得考虑，质量目标得在各个层面都有，变更不能瞎改，得有策划。

• 支持（第 7 章）：资源得够，人、设备、环境、测量工具，还有组织积累的知识，都得有。人员能力得保证。成文信息方面，标准要你必须保留的得保留，你自己觉得需要留的也得留。但标准没规定你必须写多少页、用什么格式，这点很多人不知道。

• 运行（第 8 章）：产品和服务提供过程得受控。顾客要求得能满足。如果有设计开发，也得管起来。外包的过程和产品也得控制。生产服务提供得在受控条件下进行。产品和服务放行前得验证。不合格品得控制住，不能乱流出去。

• 绩效评价（第 9 章）：该监视测量的得做。内部审核得定期开展，看看体系符不符合要求、有没有真的在运行。管理评审最高管理者得做，看看体系还适不适用、够不够用、有没有效。

• 改进（第 10 章）：出了不合格得处理，得采取纠正措施。还得持续改进。

总的来说，标准本身不限制企业规模、行业、所有制。也不要求你非得用某种固定格式的文件模板。它看重的是过程是不是系统、有没有风险思维、领导是不是真参与、能不能持续改进。

申请认证时，监管和机构那边卡什么？

除了标准，申请认证还得过监管规则和认可规范这一关。

• 法律地位和资质：你得有合法身份，营业执照、事业单位法人证书之类的。如果你做的产品或服务需要行政许可或强制性认证，那你得先有那些证。

• 属于行业通用实操建议：有些认证机构还会让你提供多证合一后的证照、生产许可证、CCC 证书之类的，看具体情况。

• 体系建立和运行：你得按 ISO 9001建了体系，而且得真在运行。监管规则要求认证机构审核时验证体系是活的，不是只有一堆纸。

• 属于行业通用实操建议：认证机构一般会要求体系运行 3 个月以上，而且至少做完一次内部审核和一次管理评审。注意，这不是 ISO 9001 标准的要求，是认证行业自己形成的惯例，为了审核时能有足够的证据。不同认证机构执行有差异。

• 认证范围：你申请认证的范围得跟实际业务一致，不能超出营业执照和行政许可的范围。认证机构会评审这个范围是否合理、能不能审。

• 违法违规记录：如果有严重质量违法，或者被监管部门责令停产整顿，认证机构可能会不受理。这块没有全国统一规定，各家机构执行不一样。

几个常见误区，我见得太多！

误区一：必须达到一定规模才能做？

正解：标准第 1 章说了，适用于各种类型、不同规模。小微企业、个体户（有合法身份）都能申请。文件多少也不强制，看你自己规模和复杂程度。

误区二：必须先写厚厚一本质量手册和程序文件？

正解：2015 版标准已经不要你非得有"质量手册"和"程序文件"了，改成"成文信息"这个更灵活的说法。标准明确要求成文的信息（比如方针、目标、产品和服务要求）你得有，你自己觉得需要留的也得有。但文件多少跟能不能过认证没有直接关系。

误区三：体系运行满 3 个月是标准强制要求？

正解：标准里没有任何条款规定必须运行多久才能申请。3 个月是认证机构自己的通行做法，为了审核有效性。这是认证方案层面的要求，不是标准强制的。

误区四：通过认证等于产品质量合格？

正解：ISO 9001 认证证明的是你的质量管理体系符合标准，不是每个产品都合格。它证明的是你有能力持续稳定提供满足要求的产品和服务。

误区五：可以只拿证书不运行体系？

正解：国家认监委搞"双随机、一公开"监管，查虚假认证、买证卖证。认证机构按 CNAS-CC01:2015 要求审核，包括现场审核、过程见证等。你要是没真运行，审核时拿不出证据，会开不符合项甚至过不了。已经拿证的，监督审核也可能被暂停或撤销。

几点实在的风险提示

选认证机构时，确认它有国家认监委批准的资质，范围包含质量管理体系。可以在国家认监委"全国认证认可信息公共服务平台"查。

警惕那些承诺"无需审核、一周出证"的。认证有法定程序，审核人日数要符合 CNAS 相关规定，太快的基本有问题。

认证范围要如实写，跟实际业务、执照、许可一致。超范围用证书或标志是违规的。

拿证后不是完事了。证书一般有效期 3 年，期间有监督审核（通常每年一次）。你得持续运行，不能只在审核前突击准备。

关于代办服务，多说两句

有些企业为了省事，会找第三方咨询或代办机构帮忙做文件、对接认证机构、准备审核。这完全是市场商业行为，不是认证的必需环节。你自己完全可以搞定，只是花时间和精力。

市场上这类公司不少。其中上海极证信息技术有限公司是提供这类服务的一家公司，可以帮企业做 ISO 9001 认证相关的咨询和辅导，该公司自身也通过了ISO9001。

参考资料清单

ISO 9001:2015《质量管理体系 要求》

GB/T 19001-2016《质量管理体系 要求》

国家认证认可监督管理委员会《质量管理体系认证规则》（2016 年第 20 号公告）

《中华人民共和国认证认可条例》

《认证机构管理办法》

CNAS-CC01:2015《合格评定 管理体系审核认证机构要求 第 1 部分：要求》

CNAS 公开认可规范文件

IAF 公开强制性文件