一、ISO 45001:2018 9.2 标准原文

二、条款解读说明

2.1 内部审核是组织自我诊断和纠偏机制

内部审核是ISO体系最核心的自我保障机制之一。9.2要求组织定期审视体系是否符合、是否有效运行。与日常检查不同，内审关注的是系统性问题：流程是否设计合理、控制是否一致执行、记录是否真实完整、改进是否持续有效。

2.2 9.2同时回答“审什么”和“怎么审”

2.3 风险导向是内审增值的关键

内审资源有限，不可能平均覆盖所有过程。9.2要求建立审核方案，应结合风险等级、历史问题、变更频度、事故事件趋势确定重点。高风险过程、高频偏差区域、重大变更后过程应提高审核频次和深度。

2.4 审核证据应强调“事实链”而非“印象”

高质量内审需要基于证据：文件记录、现场观察、人员访谈、数据趋势、样本追溯。单一证据容易产生偏差，多源交叉验证才能准确判断问题性质。审核结论应可复核、可追溯、可解释，避免“感觉型审核”。

2.5 内审独立性决定审核公信力

标准要求确保客观性和公正性。若审核员审自己负责过程，结论容易偏软。组织应设置回避机制、交叉审核和必要的外部支持，确保审核敢于揭示真实问题。没有独立性，内审会沦为程序性活动。

2.6 9.2与10.2共同构成问题治理闭环

9.2负责发现和确认问题，10.2负责事件与不符合纠正。若两者脱节，内审发现的问题会反复出现。成熟组织会把内审问题分级管理、纳入纠正措施系统，并通过复审验证真正关闭。

三、实施要点

3.1 制定风险导向年度审核方案

• 基于风险、合规变化、事件趋势、管理评审关注点确定审核计划。
• 对高风险和变化频繁过程增加专项审核或加密频次。
• 计划中明确审核目标、准则、范围、方法和资源配置。

3.2 建立高质量审核实施机制

• 审核前开展文件评审和样本抽样设计。
• 审核中结合现场观察、访谈、记录追溯验证执行一致性。
• 审核后形成事实清楚、证据充分、结论明确的报告。

3.3 保障审核员能力与独立性

• 建立审核员能力标准，覆盖标准理解、审计技巧、行业风险认知。
• 采用交叉审核和回避机制，避免利益冲突。
• 定期开展审核员复训和一致性校准，提升判断质量。

3.4 对审核发现进行分级管理

• 按风险和影响分级：重大不符合、一般不符合、观察项、改进建议。
• 重大不符合应立即触发升级处理和管理层关注。
• 不同级别设置不同整改时限和验证要求。

3.5 强化整改有效性验证

• 验证不只看“措施完成”，还要看“问题是否不再发生”。
• 采用复审、抽样、趋势对比验证整改效果。
• 对复发问题开展根因再分析并升级措施。

3.6 将内审结果用于系统改进

• 按季度汇总共性问题，识别系统性短板。
• 将关键发现输入管理评审，推动流程和资源优化。
• 把有效改进做法标准化，复制到类似过程。

四、常用工具与实施方法

五、典型案例

案例1：制造企业通过风险导向内审发现高风险过程系统漏洞

1. 背景：企业按固定轮次内审，长期未发现冲压区域重复险肇根因。
2. 做法：调整审核方案，增加高风险工序专项审核并开展证据链追溯。
3. 结果：识别出许可制度执行断层和设备联锁维护缺失，系统性整改后问题明显收敛。

案例2：工程企业通过审核员回避机制提升结论公信力

1. 背景：过去由本部门人员互审，问题发现偏轻、整改动力不足。
2. 做法：实行跨项目交叉审核和利益冲突回避制度。
3. 结果：审核问题更客观，整改质量与管理层信任度提升。

案例3：物流企业用复审机制解决问题反复

1. 背景：同类不符合多次重复，整改多为表面修补。
2. 做法：对复发问题实施根因再分析和复审验证，不达标不得关闭。
3. 结果：问题复发率下降，内审真正成为改进抓手。

六、成文信息管理要求

9.2明确要求保留审核方案实施和审核结果的成文信息。证据应支持“策划、实施、发现、整改、验证”全流程可追溯。

1. 建议重点保留的成文信息
   • 年度/阶段审核方案与调整记录
   • 审核准则、范围、方法和审核计划
   • 审核员资格与独立性证明记录
   • 审核证据、发现项和审核报告
   • 整改计划、执行记录和验证记录
   • 共性问题分析与改进跟踪记录
2. 管控要求
   • 审核结论应有证据支持，避免主观判断。
   • 整改关闭应以有效性验证为准，而非时间到期自动关闭。
   • 重大不符合应保留升级处理和管理决策记录。
   • 相关记录应按7.5要求受控管理。

七、常见误区及踩坑提醒