內部稽核怎麼做？ISO 9001 內稽計畫、查檢表與缺失追蹤，以及跟財務內控稽核的差別

「內部稽核」這四個字在台灣有兩種意思。一種是上市櫃與公開發行公司依法設置的財務內控稽核，稽核單位隸屬董事會，查的是銷售收款、採購付款這些營運循環有沒有照內控制度走；另一種是工廠品保每年都要辦的管理系統內稽，依 ISO 9001 第 9.2 條，按計畫查一次品質系統有沒有照自己寫的規定在跑。這篇講的是後者，財務內控只在第一張對照表帶過。

我們幫製造業估品質系統的時候，常會先請品保把去年的內稽報告拿出來看。報告本身多半寫得很完整，該查的過程都查了、缺失也都開了。真正卡住的在後半段：缺失開出去之後，矯正措施誰在追、追到哪一步、有沒有驗證過效果，要翻好幾個 Excel 才拼得出來。驗證機構來的時候，最常被追問的也就是這一段。

所以這篇的順序是照一輪內稽實際會走的路排的：先釐清 9.2 條要什麼，再排年度計畫、挑稽核員、設計查檢表，最後是缺失分級與矯正追蹤，以及什麼時候該把這整套從 Excel 搬進系統。先看一張速覽表：

內部稽核是什麼：ISO 內稽跟財務內控稽核差在哪

一句話分清楚：財務內控稽核看的是「錢跟資產有沒有被管好」，法源是證券法規；ISO 內稽看的是「品質系統有沒有照規定跑、跑得有沒有效」，依據是你自己通過驗證的管理系統標準。兩者都叫內部稽核，負責的人、法源、表單、報告對象全部不同。

財務內控這一邊，依據是《證券交易法》第 14 條之 1 授權訂定的《公開發行公司建立內部控制制度處理準則》（最新修正為 2024 年 4 月）。第 11 條要求設置隸屬於董事會的內部稽核單位、配置專任稽核人員；第 13 條規定年度稽核計畫要經董事會通過；第 16 條要求稽核人員超然獨立。這套是給上市櫃、公開發行公司的法定義務，未公開發行的中小企業沒有這條規定。

上市櫃製造業兩套通常都有，名詞會混用，人跟表單卻是分開的。比較常見的整合點在「缺失追蹤」：兩邊開出來的改善事項都要有人負責、有期限、有結案證據，這一段的系統邏輯其實一樣。下面開始只談 ISO 內稽。品質系統的全貌如果還不熟，可以先看 QMS 品質管理系統是什麼，內稽是裡面「績效評估」那一塊。

ISO 9001 第 9.2 條到底要求內部稽核做什麼

先講結論：9.2 條要你證明三件事：有計畫地查、查的人客觀、查到的問題有被處理。條文分兩小節，9.2.1 講為什麼要稽核，9.2.2 講稽核方案要具備哪些東西。以下用 ISO 9001:2015 的條文架構拆解，這也是目前多數工廠證書上的版本。

條文附註指向 ISO 19011（管理系統稽核指導綱要，現行版本為 2018 年版），裡面把稽核原則、稽核方案管理、稽核員能力講得更細，想把內稽程序書寫完整的人值得翻一次。內部稽核程序書在文件架構裡屬於二階程序文件，怎麼寫才接得上系統，在 ISO 四階文件是什麼 有整理。

要留意的是，ISO 9001:2026 已在 2026 年 9 月 16 日發布，各驗證機構陸續公告轉版安排。轉版期間內稽方案要能查到新版新增的要求，查檢表也要跟著更新，細節在 ISO 9001 改版了，你的品質文件與系統要動哪裡。汽車業的 IATF 16949 則在 9.2.2 底下另外加了三種稽核：品質系統稽核、製程稽核、產品稽核，要求在每三個日曆年內涵蓋所有過程與所有班別，內稽員能力也有 7.2.3 條專門規範；幾套標準怎麼一起跑，見 ISO 9001、IATF 16949、ISO 13485 差在哪。

六項裡最常斷的是第 e 項。條文只寫「不延誤」，實務上一張矯正措施要經過開單、對策回覆、效果追蹤、結案好幾關，任何一關沒人盯就會停在那裡。我們做過一套 QMS 品質管理系統互動原型，客戶是跨國電子零組件製造集團，品保最在意的正是這件事：單子簽完之後，對策做了沒、有沒有效，沒有地方看。如果你們的缺失追蹤也散在好幾個檔案裡，可以直接傳到 恆遠的 LINE 跟我們聊聊現在的做法。

年度內部稽核計畫怎麼排（附稽核方案範本）

先講結論：以「過程」為單位排，不要以「部門」或「條文」為單位；每個過程依重要性、這一年有沒有變更、上一輪查出多少問題，決定今年查幾次、派誰去查。條文本身只寫「依規劃的期間」，沒有規定一年一次，一年內把全部過程查完一輪是多數公司的實務做法，也比較容易在驗證機構追查時交代。

下面是一份可以直接拿去改的年度稽核方案範本。過程清單建議直接從品質手冊的過程地圖抄過來，畫法在 品質管理系統流程圖怎麼畫：

這張表有三個欄位最容易被省略，卻是 9.2.2 a 要的東西：「重要性／風險」「上一輪結果」「今年安排」。三欄放在一起，驗證機構一眼就看得出你的排法有依據。高風險、去年有主要缺失、今年有變更的過程排兩次；穩定、低風險的過程一年一次就夠。「管理審查與目標」這一項通常由外聘或管代以外的人查，因為管代自己主持管審。

時間點上，常見的安排是把最後一批稽核排在管理審查前一到兩個月，讓稽核結果剛好能當管審輸入。管審要準備哪些輸入、紀錄怎麼寫，可以對照 管理審查會議怎麼開。整個內稽循環接起來長這樣：

內稽員資格與獨立性：誰可以當內部稽核員

先講結論：ISO 9001 沒有規定內稽員一定要有外部證照，要求的是兩件事：你能證明這個人有能力稽核（7.2 條的能力與紀錄），而且他查的不是自己的工作（9.2.2 c 的客觀與公正）。外面的內稽員訓練課程結業證書是最常見的能力證據，但只有證書還不夠，最好再加上陪同稽核的紀錄與年度考核。

獨立性在中小企業最難做。三十人以下的工廠，品保可能就一個人，他不能查品保自己的過程，那品保這一塊誰查？常見的解法有三種：跨部門互查、跟同業或關係企業互派稽核員、這一塊外聘。哪一種都可以，重點是在稽核方案裡寫清楚誰查誰，讓獨立性一眼就看得出來。

內稽員通常是兼職，平常有本業。一個實際的建議：稽核員每年的稽核次數不要太少，一年只下場一次的人，查檢表都還沒熟就結束了，開出來的缺失品質很難穩定。

內部稽核查檢表怎麼設計：用流程與烏龜圖出題

先講結論：查檢表要依「過程」展開，每一題都要指向一個可以拿出來看的證據。把 ISO 條文從 4.1 抄到 10.3 變成一張大表，是最常見也最沒用的做法，因為現場的人聽不懂條文，稽核員也只能問「你們有沒有做」，對方回答「有」，題目就結束了。

比較好用的出題方法是先畫 烏龜圖：一個過程的輸入、輸出、用什麼資源、誰來做、照什麼方法、用什麼指標衡量，六格各問兩三題，查檢表就出來了。下面以「進料檢驗」這個過程為例，檢驗本身的三道關卡設計可以參考 進料檢驗怎麼設計：

每一題都用「怎麼」「哪一版」「什麼時候」開頭，對方必須拿東西出來給你看。抽樣也要寫進查檢表，最有用的抽法是「追一條線」：從一張不合格品處理單出發，往前追到收料、檢驗、量具，往後追到退貨與 供應商評鑑，一路上任何一張紀錄接不起來，就是缺失。量具那一格如果常出問題，校正週期與逾期管制的做法在 儀器校正法規怎麼看。

查檢表的結果欄建議分三種：符合、觀察事項、缺失。觀察事項是「目前沒違反規定，但照這樣下去會出事」，例如校正標籤快到期了還沒排程。這一欄讓稽核員可以把擔心寫下來，又不必硬開缺失。

內部稽核缺失分級與矯正措施：CAR、8D 跟內稽怎麼接

先講結論：缺失分三級（主要、次要、觀察），主要與次要缺失都要開矯正措施單（CAR），主要缺失還要做根因分析與效果確認。內稽開出來的 CAR 走的是 ISO 9001 第 10.2 條的不符合與矯正措施流程，跟客訴開出來的單子是同一條路。

10.2 條要求的步驟可以濃縮成四句話：先處理眼前的問題（改正）；找出原因，並看看別的地方有沒有一樣的問題；採取消除原因的措施（矯正）；最後確認措施有效。改正跟矯正最常被混在一起：「把漏簽的紀錄補簽」是改正，「找出為什麼會漏簽並讓它不再發生」才是矯正。CAR 上只寫了補簽，驗證機構看到就會再開一次缺失。

那 8D 跟內稽有什麼關係？8D 多半用在客訴，要交給客戶看，格式比內部的 CAR 完整，D1 到 D8 每一步都要寫，兩者差別在 8D 報告怎麼寫 有對照表。內稽開出的主要缺失如果牽涉產品，也可以直接升級用 8D 處理。根因分析常用的 5why 怎麼問才問得到真因，見 5why 怎麼問；整個矯正預防措施從開單到結案的四個階段，則在 CAPA 是什麼。

我們的看法比較直接：內稽報告上缺失件數的多寡，說明不了這套系統好不好。缺失開得少，有時只是稽核員不敢開；開得多，有時只是一堆漏簽。真正該看的指標是「上一輪開過的缺失，這一輪有沒有又出現」。同一個缺失連續兩年出現，代表前一次的矯正措施只做了改正，原因沒有被處理。這個數字用 Excel 很難算，因為上一輪的缺失跟這一輪的缺失通常在不同檔案裡。

用紙本和 Excel 管內部稽核，最常卡在哪裡

先講結論：Excel 可以管好「一次稽核」，很難管好「一整年的稽核方案加上所有 CAR 的追蹤」。三十人以下、一年開不到二十張 CAR 的公司，Excel 夠用；再往上，卡住的地方都一樣。

如果還想用 Excel 撐，有一個土法很有用：做一張「缺失總表」，每一筆缺失給一個唯一編號（例如 IA-2026-07-03），稽核報告、CAR、效果確認紀錄都引用這個編號，再加三個欄位：負責人、預定完成日、實際完成日。每週用篩選看「預定完成日已過、實際完成日空白」的列，逾期清單就出來了。這張表撐得住一個人管，撐不住五個部門同時在改。

表裡的每一項，背後都是同一個問題：Excel 存得了資料，存不了「誰在什麼時候該做什麼」。內稽的價值有一大半在後續追蹤，而追蹤靠的是提醒、權限與狀態，這三樣剛好是試算表最弱的地方。

內部稽核系統化：QMS 內稽模組要有哪些功能

先講結論：一套好用的內稽模組，要把「稽核方案、查檢表、缺失、CAR、效果確認」用同一個編號串起來，並且讓逾期自動跳出來。下面這張表可以直接拿去當選型或驗收清單，每一項都附上驗收時怎麼測：

要走套裝軟體、ERP 附帶的品質模組，還是客製開發，三條路的費用與判斷點在 品質管理系統軟體怎麼選；品質資料該放在 ERP、MES 還是 QMS，可以先看 ERP、MES、QMS 差在哪。內稽模組很少單獨存在，通常跟矯正措施、客訴、文件管制一起做，因為它們共用同一套簽核與追蹤。

這也是我們做 QMS 品質管理系統互動原型 時的設計方向。那個案子的客戶有八個廠區、十一套品質標準並行，我們把 CAPA、CAR、8D、SCAR 四種表單收進同一套四段簽核骨架（發起、對策回覆、效果追蹤、結案歸檔），跟催的單位做到每一條對策，所以通知可以寫出「你負責的第 2 條對策原訂上週五完成」。這套原型在十個工作天內做出 13 個可點擊畫面，目前是原型階段，作為後續報價的依據。內稽開出的缺失接進這套骨架，就是把上面表格的後半段做起來。

看到這裡，如果你也在想「我們的稽核方案和 CAR 放進系統會長什麼樣子」，我們很樂意 聽你聊聊現在的實際情況，一起看看從哪一段開始最划算；想先用手機問也可以直接傳 LINE。要自己評估客製開發的範圍與費用，可以先讀 客製化 QMS 品質管理系統開發完整指南。