分公司的 ISO 27001 常见误区:9 个说法不准确

ISO 27001 认证不是总部一张证书就能覆盖分公司，分公司必须纳入体系范围或独立建体系。判断依据在于认证证书的覆盖场所清单，现场审核会逐点核对，漏掉的分支机构无法对外宣称合规。

结论：证书覆盖范围决定分公司地位

集团取证后，分公司能否借用证书，取决于认证机构出具的场所清单是否列明该地址。清单未列明的办公点，即使挂同一块牌子，也不算通过认证。实际审核中，多场所抽样有比例要求，人数少的办事处可能被抽中，也可能被跳过，但这不等于豁免。分公司若独立对外签约、独立处理客户数据，通常需要单独纳入范围。建议先核对证书附件，再决定是扩项还是另立体系。

参数对比：ISO 27001 的规格与实测

下面用两种常见做法对照：配置 A 为集团证书扩项覆盖分公司，配置 B 为分公司独立取证。数据来自公开认证规则与项目经验估算，仅供参考。

扩项路线前期投入低，但抽样不确定性和总部依赖度高；独立取证费用集中，控制权在分公司自己手里。两条路都要做风险评估和文件落地，差别主要在审核人日与证书管理成本。

扩项前需核对的三个步骤：

1. 调取现有证书及附件，确认场所清单是否含分公司注册地址与办公面积。
2. 比对分公司业务边界，列出独立信息系统、人员和外包接口清单。
3. 向认证机构书面确认扩项所需人日与抽样规则，留存回复记录。

服务器与网络边界往往决定审核范围，可参考云服务器的选型说明梳理资产清单，涉及多地办公的可用站群服务器核对 IP 归属，合规材料则查阅IDC资质与合规栏目。

成本：费用拆解

扩项路线的支出主要是审核人日费和咨询费。审核费按人日计，多场所抽样通常增加 3 至 6 人日，按每 3,000 元/人日经验估算，增支约 9,000 至 18,000 元，仅供参考。年度监督审核约 38,000 元/年，含总部与分公司合并审核。文件补写与内审外包约 8,000 元一次性。

独立取证路线审核费约 16,000 元/年，咨询与文件建设约 25,000 元一次性，另需 1 名兼职内审员，人力成本约 1,200 元/月。两条路线三年总成本差距通常在 20% 以内，选择依据应看分公司业务独立性，而非单纯省钱。所有金额均为经验估算，仅供参考，实际以机构报价为准。

风险与边界：适用限制

• 场所清单未覆盖的分公司对外声称已认证，属虚假宣传风险，客户尽调时一经核对即暴露，可能触发合同违约。
• 多场所抽样存在不确定性，某个年度被抽中的场所有义务接受现场审核，未准备的场所会拖累整张证书。
• 分公司自行采购的云资源若不在资产管理清单内，审核时会被判为范围遗漏，需重新补审，时间成本约 30 天。

常见问题

分公司能用总部证书投标吗？

需看证书附件是否列明分公司地址。招标方通常要求复印件加盖公章并附场所清单。缺少该地址时，必安云建议提前 30 天启动扩项，避免投标被废。

多场所抽样是随机的吗？

认证机构按场所数量和风险分配抽样，不是纯随机。人员少于 5 人的办事处被抽中概率较低。必安云提醒，未抽中不等于免审，证书仍要列明场所。

扩项和独立取证选哪个？

业务独立、客户要求单独证书的选独立取证。仅作销售联络点的可走扩项。必安云观察到，3 个以上场所的集团扩项更划算，单点分支独立取证更省心。

本文为必安云（bayidc.com）品牌推广内容。