💡 先搞懂問題
內部稽核或驗證稽核結束後，手上會多出一份清單：哪裡沒照規定做、哪裡紀錄不完整、哪裡值得改進。很多組織處理這份清單的方式很直覺，缺紀錄就補紀錄，帳號沒停用就把它停掉，然後在追蹤表上寫「已完成」。表面上問題都消失了，但造成問題的流程一點也沒變，幾個月後換個系統、換個人，同樣的事又發生一次。
ISO/IEC 27001 第 10.2 條「不符合事項與矯正措施」（10.2 Nonconformity and corrective action）就是為了打斷這個循環。不符合（nonconformity）是沒有滿足某項要求，要求可能來自標準本身、組織自己的政策程序，或法規與合約。條文要組織分兩層處理：先處理眼前的狀況與後果，這叫改正（correction，也有人譯作更正）；再找出原因、消除原因，讓它不再發生、也不在別處發生，這叫矯正措施（corrective action），最後還要確認措施真的有效。
生活比喻：天花板漏水
下大雨那晚，客廳天花板開始滴水。你先拿水桶接住、把地板擦乾、把沙發推開，這些動作很必要，但都只是處理眼前的狀況。隔天你上樓查看，發現是頂樓排水孔被落葉塞住，雨水積在樓板上滲下來。再往下想：排水孔為什麼會塞？因為大樓的清潔合約只寫「打掃公共區域」，沒人負責頂樓，而且頂樓門一直鎖著，沒有人會上去看。
於是你在管委會提案：清潔合約加上「每月清頂樓排水孔」，並在颱風季前加做一次檢查，鑰匙交給清潔公司保管。下一場大雨後，你特別去看天花板有沒有再滲水，也順便問了其他住戶家裡有沒有類似的水漬。
這個比喻有兩個地方要小心。第一，漏水的源頭通常是一個實體的破洞，找到就結束；ISMS 的不符合多半出在流程、責任分工或監督機制，看不見也摸不到，所以更容易停在「某某人沒注意」這種表面原因。第二，不是每個不符合都要像修屋頂一樣大動干戈，標準要求矯正措施的力度和不符合造成的影響相稱，一筆簽核漏簽和整套備份失效，處理規模本來就不同。
🎮 互動實驗室一：發現分級台
每張卡片是一則原創的虛構稽核發現，來源可能是內部稽核或驗證稽核。請判斷它比較接近主要不符合、次要不符合，還是觀察／改善機會。判斷的關鍵不是「錯了幾筆」，而是這個問題會不會讓 ISMS 達不到它該有的結果。
🎮 互動實驗室二：5 Whys 根因追問
下面是一則虛構的內部稽核發現。請一層一層回答「為什麼」，每一層選出最站得住腳、而且能往下追的原因；選到表面或猜測的原因時，會說明它哪裡不夠。追到底之後，再把各種行動分到改正、清查、矯正措施或不建議，最後選擇怎麼確認有效。
把每個行動放進它所屬的格子。桌機可以直接拖曳；手機請先點一下行動，再點要放的格子。
改正
清查類似問題
矯正措施
不建議
🎮 互動實驗室三：矯正措施計畫評分器
延續實驗室二的發現，假設你要交一份矯正措施計畫給驗證機構或內部稽核主管。每個欄位挑一個寫法，分數框（桌機在右側，手機固定在上方）會即時更新，每個欄位下方也會說明稽核員看到這種寫法通常會怎麼回應。分數與權重是示意，用來看出哪些欄位最常讓計畫被退件。
📘 原理補完
稽核發現的四種常見分類
稽核發現（audit findings）是把稽核證據拿來和稽核準則對照的結果，可能是符合，也可能是不符合或值得改進的地方。ISO/IEC 17021-1 是驗證機構必須遵守的標準，它只定義了主要與次要不符合兩級；「觀察」「改善機會」這些名稱由各驗證機構自己決定，所以拿到報告時要先看該機構的定義說明。
| 分類 | 判斷重點 | 虛構例子 | 驗證稽核中的後果 |
|---|---|---|---|
| 主要不符合 major nonconformity | 影響 ISMS 達成預期結果的能力；整條要求沒做、關鍵控制長期失效，或多個次要不符合指向同一系統性問題 | 完全沒有內部稽核；風險評鑑沒有驅動控制選擇；備份失敗數月無人知 | 初次驗證時必須完成改正與矯正措施並經驗證機構確認，才能做出發證決定 |
| 次要不符合 minor nonconformity | 違反要求，但不影響 ISMS 達成預期結果的能力；偶發、單點 | 25 筆權限申請中 1 筆漏簽；1 份保密協議過期 2 週 | 通常提交矯正措施計畫並經接受，下次稽核確認效果 |
| 觀察 observation／area of concern | 目前沒有違反要求，但有潛在風險，放著不管可能變成不符合 | 權限審查有做，但紀錄只寫「已審查」看不出審查了什麼 | 通常不要求正式矯正措施，下次可能回頭看 |
| 改善機會 OFI | 可以讓 ISMS 更有效率或更成熟的方向 | 把人工比對弱點清單改成工單系統追蹤 | 由組織評估是否採納，建議留下決定紀錄 |
驗證機構依公正性要求不能當顧問，所以改善機會通常只指出方向，不會告訴你該買哪套產品或該怎麼寫文件。內部稽核也可以開改善機會，但要和不符合清楚分開，否則受稽部門容易把建議當成強制要求而產生抗拒。
第 10.2 條要組織做的事
用自己的話整理，10.2 的要求可以拆成下面幾步。標準規定了「要做什麼」與「要留下什麼紀錄」，但根因分析用什麼工具、矯正措施單長什麼樣子、內部發現的完成期限多長，都由組織自行決定。
- 對不符合做出反應：適用時採取行動管制並改正它，並處理它造成的後果。
- 評估是否需要採取行動消除原因：審查這項不符合、找出原因，並確認別處是否也存在或可能發生類似的不符合。
- 實施需要的行動，也就是矯正措施，力度要與不符合造成的影響相稱。
- 審查所採取矯正措施的有效性。
- 必要時修改 ISMS 本身，例如更新風險評鑑、程序或指標。
- 以文件化資訊保存證據：不符合的性質、後續採取的行動，以及矯正措施的結果。
驗證稽核開出的不符合，回覆與完成期限依驗證機構規定，常見做法是稽核後一定天數內先提交改正與矯正措施計畫。ISO/IEC 17021-1 另有一條硬規定：初次驗證時，若主要不符合的改正與矯正措施無法在第二階段最後一天起 6 個月內被驗證，驗證機構要在發證前再做一次第二階段。重新驗證時，主要不符合則必須在證書到期前完成並被驗證。
根因分析的兩個常用工具
五個為什麼（5 Whys）是連續追問「為什麼」，直到碰到可以改變的流程或制度，五次只是習慣說法，三層或六層都可以。魚骨圖（Ishikawa diagram）則是把可能原因依人員、方法、系統工具、環境、管理等面向攤開，適合原因不只一條的情況，再挑有證據支持的分支往下追。不論用哪一種，有兩個檢驗：每一層原因都要有證據（日誌、紀錄、訪談），不能用猜的；以及「如果針對這個原因採取行動，同樣的事還會不會發生在別人身上」，答案是會，就代表還沒追到底。
人為疏失可以是直接原因，但很少是根本原因。追問下去通常會碰到「流程沒有這一步」「工具沒有提醒」「責任沒有指派」「訓練沒有涵蓋」「監督看不到」這類制度缺口，矯正措施要改的就是那個缺口。
不符合描述怎麼寫才追得下去
稽核報告（audit report）裡的每一則不符合，最好包含三個部分：要求是什麼（準則與條號，例如 27001 第 9.2 條或組織的備份程序）、看到什麼（證據，含樣本編號與日期）、兩者的落差在哪裡。只寫「備份管理需加強」的描述，受稽部門不知道要改什麼，矯正措施也無從驗證。報告最後的稽核結論是稽核小組的建議，驗證決定則由驗證機構內未參與該次稽核的人員做出；內部稽核的報告與矯正追蹤，則會成為第 9.3 條管理審查的輸入。
2013 年版與 2022 年版的差別
2022 年版第 10 章把順序對調，10.1 改成持續改善（continual improvement），10.2 才是不符合事項與矯正措施，用意是強調改善是常態，不是出錯才做。內容上兩版的要求大致相同。另外從 2013 年版起，標準就不再另列「預防措施」，預防的概念改由第 6.1 條處理風險與機會的規劃來承擔。
常見誤解與稽核常見的不符合
把改正當結案：帳號停用了、紀錄補上了就關單，沒有根因與矯正措施，這是 10.2 最常見的不符合。
根因寫「人員疏失」、措施寫「加強宣導」：幾乎一定會被要求補充。宣導可以是措施的一部分，但只有宣導時，換一個人來做還是會犯同樣的錯。
沒有清查：一台主機的帳號沒停用，卻沒有檢查其他系統是否也一樣，稽核員很常追問這一點。
有效性確認只寫「已完成」：完成不等於有效。要寫明何時、用什麼方法、看什麼證據確認，例如三個月後抽樣檢查。
逾期沒有紀錄：矯正措施延期本身不一定是問題，但沒有核准的延期與理由，會被視為管控失效。
重複出現：同一類不符合連續出現，代表前一次的根因找錯或矯正無效，驗證機構可能把它升級為主要不符合，並質疑整個矯正機制。
✅ 自我檢測
以下 6 題都是原創情境題，選完會立即顯示對錯與解析。目前得分：0 / 6