SHARE NEWS UPDATES
实时推送国内外认证标准更新、合规政策新规、招投标资质要求、体系年审须知及企业管理干货，同步发布企业服务升级动态。便于客户及时掌握行业变化，提前规划体系维护与资质升级事宜。
177-1813-8201
|
|
|
【技术答疑】ISO27001认证范围怎么定？ISO认证范围不仅是“经营范围”在给软件企业的ISO27001认证咨询过程中，经常遇到企业是做软件开发的，顺便做运维，想要在ISO证书的认证范围上也加入软件运维的认证范围，为什么我说：要看情况评估：因为这是一个需要基于事实和证据进行评估的过程。 很多企业容易陷入一个误区，认为认证范围可以参照营业执照的经营范围来定，或者认为“我们有这个能力，就应该可以写”。但实际上，ISO认证范围的核心逻辑是：你实际在做什么业务，认证范围才能覆盖什么业务。
首先：企业营业执照经营范围内必须有覆盖到相关运维范围，确保不是超范围经营； 认证范围首先不能超出企业营业执照载明的经营项目。如果营业执照上没有“软件运维”相关的类别，那在认证范围中加入运维，本身就存在合规风险。这是第一道门槛，但不是充分条件。 其次：企业是在真的在做运维业务，比如业务合同、运维人员、远程还是线上运维的、运维记录等等，需要提供完整的运行记录证据才可以； 而不是企业想要什么范围就能给到什么范围； 我们遇到过不少企业，确实签过几个运维类的合同，但合同内容可能只是“阶段性现场支持”或“bug修复响应”，并没有形成系统化的运维服务能力。 ISO认证要审查的是：你是否建立了与运维业务相匹配的过程管理、服务交付、问题响应和变更控制机制。如果这些体系文件、记录表单、过程证据缺失，光靠一两份合同，无法支撑起一个“认证范围”。 所以，我们给企业的建议始终是：认证范围不是“想要什么就能写什么”，而是“做了什么，能证明什么，才能申请什么”。 与其追求范围大而全，不如聚焦在你真正成熟、有控制力的业务领域。范围写得再好看，经不起现场审核，不仅影响拿证进度，也可能给后续监督审核带来风险。 如果企业确实正在拓展运维业务，我们也会建议先积累至少一个完整服务周期（比如一个季度或半年）的运行记录，再考虑扩项申请。这样既符合认证规则，也能让证书真正为业务赋能，而不是成为一张“看起来很全但经不起查”的纸面文件。 如有具体项目需要评估，欢迎携带实际材料与我们上海极证信息的技术团队沟通，我们会基于业务现状给出客观、可行的认证路径建议。 （本文由上海极证信息技术公司的咨询团队根据日常审核经验整理，供企业参考。） |
