QMS 認證怎麼拿？ISO 9001 驗證流程、費用結構、時程，與稽核員一定會調的六類紀錄

QMS 認證在台灣多半指 ISO 9001 品質管理系統的第三方驗證：找一家經過認可的驗證機構，通過第一階段與第二階段稽核後拿到證書。證書效期三年，中間每年至少追查一次，三年到了再換證。費用主要由稽核人天決定，人天又看驗證範圍裡有多少人。整段準備期最花時間的是累積紀錄，寫文件反而快。

我們這半年把 QMS 這條線從四階文件、內部稽核一路寫到管理審查，過程中反覆讀驗證機構的公開說明和稽核缺失整理，看到一個很一致的規律：拿證那一天其實不難，難的是之後每一年的追查。客戶丟來一句「沒有 ISO 9001 就不給單」，工廠的第一反應通常是找顧問、買範本、趕文件；證書拿到了，隔年追查前一週才發現，矯正措施、校正紀錄、教育訓練紀錄一直是靠人在補。

下面依序拆五件事：QMS 認證到底指哪張證、驗證流程每一站在看什麼、費用怎麼算、時程怎麼排，以及稽核員進門後真正會調哪些紀錄。最後一段講紀錄用紙本、Excel、系統維護的差別，這段決定你第二年過不過得去。

「QMS 認證」通常指兩件事：先確認客戶要的是哪一張

先講結論：大多數情況下，客戶說的 QMS 認證就是 ISO 9001 證書。只有你在做醫療器材，才會碰到另一種由主管機關核發的 QMS，兩者的發證單位、強制程度、稽核方式都不一樣。

如果你做的是醫療器材，要準備的是依《醫療器材管理法》訂定的品質管理系統準則，它參照 ISO 13485，但發證的是主管機關、拿到的是製造許可，法律位置跟 ISO 9001 完全不同。適用範圍、精要模式、稽查常被開的缺失，整理在醫療器材品質管理系統準則導入指南，這篇就不重複。

另外兩種情況也要先問清楚。客戶如果是車廠或車用零件的一階供應商，他要的多半是 IATF 16949，ISO 9001 只是它的基礎；同時被要求好幾張證的工廠，可以先看ISO 9001、IATF 16949、ISO 13485 差在哪再決定順序。第二件是版本：ISO 9001:2026 已在 2026 年 9 月 16 日發布，過渡期安排還在核准流程中，驗證機構要先完成自己的轉版才能發新版證書。現在簽約的公司，直接問驗證機構「這次稽核依哪一版」，改版要動哪些文件可以參考ISO 9001 改版過渡期規劃。

ISO 9001 驗證流程：從選驗證機構到三年換證的六站

整條流程是六站：選驗證機構、第一階段、第二階段、發證、每年追查、三年換證。前三站讓你拿到證書，後三站決定證書保不保得住。

選驗證機構：先查認可，再比價

台灣的驗證機構由全國認證基金會 TAF或國外的認證機構認可。客戶在乎的是證書有沒有認可標誌、查不查得到，所以挑機構時先確認它的認可範圍涵蓋你的產業類別，再談價格。證書真偽可以在 IAF CertSearch 查。附帶一提，IAF 已在 2026 年 1 月 1 日與 ILAC 合併為 Global Accreditation Cooperation（Global ACI），NATA 給主管機關的說明寫得很清楚：既有認可在新組織下持續有效，所以手上的證書不受影響。

比價時拿同一份資料去問：驗證範圍（哪些產品、哪些廠區）、有效人數、班別數。三家的報價如果人天差很多，先問人天怎麼算出來的，下一段會講怎麼看。

第一階段：看文件，也看你準備好了沒

第一階段的目的是確認你的系統已經可以進第二階段。LRQA 的 ISO 9001 稽核客戶須知把它定位成「文件審查和規劃稽核」：稽核員會評審管理系統文件、了解你的組織與製程、排出第二階段的計畫，並把需要在第二階段前改善的弱點寫進報告。實務上，第一階段也會看內部稽核與管理審查有沒有在規劃、有沒有實際跑過一輪。

這一站最常被挑的是文件跟現場對不上。程序書寫的流程，現場根本沒人那樣做。文件怎麼分層、程序書寫到多細，ISO 四階文件怎麼寫有完整拆解；流程怎麼畫成稽核員看得懂的樣子，可以搭配品質管理系統流程圖與烏龜圖一起看。

第二階段：到現場，抽一件事追到底

第二階段才是真正的驗證稽核。稽核員會到現場訪談、抽樣、調紀錄，確認系統真的有在運作。他開出的發現分成兩級：嚴重不符合（某個條文要求整個失效，或系統沒辦法確保產品符合要求）和一般不符合（局部缺陷）。LRQA 的須知寫明，嚴重不符合要先矯正完成才會發證；一般不符合則提出矯正計畫，在後續稽核追蹤。

發證、每年追查、三年換證

證書效期三年。DQS 的說明寫的是追查稽核至少每年一次，LRQA 寫的是通常至少每十二個月一次；驗證機構要遵守的 ISO/IEC 17021-1 也規定，第一次追查不能晚於發證決定後十二個月。第三年做證書更新稽核。追查時如果開出嚴重不符合，證書有可能被暫停。換句話說，第一次追查就是證書拿到後的第一個考驗，那時你手上必須有一整年持續運作的紀錄。

表格最下面兩列是多數工廠失分的地方：拿證時有顧問陪著衝，追查時只剩品保自己。這件事我們做過一套原型：QMS 品質管理系統互動原型，替一家跨國電子零組件製造集團把 CAPA、CAR、8D、SCAR 四種表單收進同一套簽核骨架，跟催做到每一條對策。想先聊聊你們現在的紀錄怎麼管、哪一段最常斷，可以直接加 LINE 跟我們說。

QMS 認證費用怎麼算：驗證費、顧問費、內部人力三塊

驗證費看人天，顧問費看你要人家做多少，內部人力最容易被低估。公開資料查得到的是人天怎麼算，查不到可以當行情的公開價格，所以這裡只拆結構和影響因素，數字請拿下面的人天去跟驗證機構要報價。

人天不是驗證機構隨便喊的。國際認證論壇的強制文件 IAF MD 5:2019 規定了品質管理系統初次稽核（第一階段加第二階段）的起算人天，基準是驗證範圍內的「有效人數」：正職、臨時、兼職，各班別都算，範圍內的外包人員也要算進去。追查與換證的比例也寫在同一份文件裡。

這張表的初次人天直接取自 IAF MD 5 的 Table QMS 1；追查與換證欄是用文件裡「每年追查合計約三分之一、換證約三分之二」換算，並照文件規定進位到最接近的半天。文件也註明追查與換證通常不會少於 1 天。實際天數會再依製程複雜度、風險、廠區數往上或往下調，往下調的幅度最多 30%，見習稽核員與技術專家的時間不能算進去。

拿到報價時有三件事可以問。第一，人天怎麼算出來的，有效人數用了多少；MD 5 要求驗證機構留下有效人數的計算依據，客戶可以要求查看。第二，人天單價與行政費用分開列。第三，三年總成本，也就是初次加兩次追查加換證，只比初次費用很容易選到第二年開始變貴的那一家。

顧問費與內部人力沒有標準可以套。判斷方式很簡單：公司裡如果沒有人寫過程序書、沒有人受過內稽員訓練，顧問能省下的是摸索時間；已經有品保在跑 ISO 的公司，花錢的地方應該放在讓紀錄不靠人補。想先搞懂品質系統涵蓋哪些範圍，可以從QMS 品質管理系統是什麼開始。

QMS 認證時程：從客戶開口到證書到手怎麼排

能壓縮的是寫文件，壓縮不了的是紀錄累積、內稽管審跑一輪，以及驗證機構的排程。所以回覆客戶時，給「預計第二階段稽核月份」比給「拿證日期」實際。

系統試運行要多久，各驗證機構看法不一，常聽到的是希望看到兩三個月的實際運作紀錄，確切要求簽約前直接問清楚。內稽與管審是最常被排得太晚的兩項：內稽要有查檢表、缺失要追到結案，做法見內部稽核怎麼做；管理審查的輸入輸出項目與會議紀錄怎麼寫，見管理審查會議怎麼開。這兩份紀錄在第一階段就會被問到。

ISO 9001 稽核員實際會調哪些紀錄：六類紀錄與常見缺失

稽核員會挑一件事從頭追到尾，最常被調的是內部稽核、管理審查、矯正措施、供應商評鑑、量具校正、教育訓練這六類紀錄。文件有幾本反而次要，他要確認的是每個動作都留下了誰、什麼時候、根據什麼。

Glocert 2025 年 12 月整理的 ISO 9001 常見稽核發現很具體：最常見的缺失集中在第 8 章（運作）與第 9 章（績效評估），校正紀錄缺漏、能力紀錄不足、管理審查不完整長年排在前面，原因分析只處理表面症狀也是反覆出現的問題。下表把六類紀錄跟稽核員的問法對起來（條號依 2015 版）。

實際的追法通常從一件客訴或一張不合格單開始。稽核員會沿著它問：誰發現的、依據哪一版允收標準判定、原因分析怎麼做、對策有沒有驗證、誰核准結案。客訴走到 8D 的那一段，交出去前要檢查什麼可以看8D 報告怎麼寫，逐格範例在8D Report 範本怎麼填；原因分析問不到底的話，5why 怎麼問有完整範例。

這條線上任何一個環節的紀錄斷掉，就是一個不符合。最麻煩的是跨單位的斷點：客訴在業務的信箱、8D 在品保的資料夾、對策執行在製造的白板、供應商改善在採購的 Excel。每一份都存在，就是串不起來。

紀錄用紙本、Excel 還是系統：拿到 QMS 認證容易，每年追查撐住難

三種方式都拿得到證，差別在第二年以後：紙本靠記憶，Excel 靠紀律，系統靠設計。

我們的判斷是：員工三十人以下、只有一個廠區、一年客訴個位數的工廠，Excel 加上嚴謹的文件管制就夠用，不必急著上系統。花錢買系統、流程卻還沒想清楚，最後只是把紙本表單搬到螢幕上，該補的紀錄照樣要補。

該認真考慮系統的訊號有四個：同一張單要查兩三個地方才拼得完整；矯正措施逾期了沒有人知道，要等稽核前才發現；廠區或品質標準不只一套，同一件事要記好幾次；客戶開始要求批號層級的追溯或線上回覆 8D。中了兩個以上，紀錄的維護成本已經比系統貴了。

上圖是我們做的 QMS 品質管理系統互動原型畫面。那個案子的狀況很典型：八個廠區、十一套品質標準並行，品質異常紀錄散在紙本、Excel 和電子簽核三套系統裡，一張矯正措施從開單到結案要跨四段簽核、追蹤好幾個月。我們用十個工作天做出 13 個可點擊畫面，把跟催的單位做到每一條對策、每一批追蹤，管理者打開儀表板就看得到哪些對策逾期、分布在哪幾個單位。它目前是原型，用途是在需求訪談當天對著會動的畫面談規格，原型本身也成為後續報價的依據。

如果你已經在評估要不要做一套自己的品質系統，客製化 QMS 品質管理系統開發完整指南整理了六個關鍵決策和三個報價區間；想先比較套裝軟體、ERP 模組與客製開發三條路，可以看品質管理系統軟體怎麼選。

拿 QMS 認證前最常踩的五個坑

這五個坑跟條文看不看得懂關係不大，多半在規劃階段就埋下了。

• 驗證範圍沒跟客戶對齊：證書上寫的產品範圍要涵蓋客戶下單的品項。範圍寫太小，客戶不認；寫太大，人天和費用跟著放大。開始之前先把客戶的要求原文拿出來對。
• 選了客戶不認的證書：沒有認可標誌、查不到的證書，對要求供應商資格的客戶等於沒有。簽約前先在 IAF CertSearch 查這家機構發過的證書。
• 文件是範本改的，現場沒人照做：程序書寫的是理想流程，現場還是老方法。第一階段就會被問，第二階段一定會被追到。寫程序書時讓現場主管一起看，寫的就是他們真的在做的事。
• 內稽和管審排在第二階段前一週：倉促跑出來的內稽，缺失來不及矯正結案，管審也沒有足夠的資料當輸入。這兩件事至少要提前到可以完整收尾的時間。
• 拿證後就散掉：顧問合約到期、專案小組解散，紀錄開始斷。第一次追查最晚在發證決定後十二個月內，那時要拿出的是一整年的紀錄。

準備 QMS 認證，下一步先做什麼

先做三件事就好：把客戶要求的證書名稱與範圍原文找出來，確認是 ISO 9001 還是別張；用有效人數對照上面的人天表，估出三年的稽核天數，拿去跟兩三家驗證機構要報價；盤點六類紀錄現在各放在哪裡、誰在維護。第三件事做完，你就知道要花錢的是文件、人力還是工具。

盤點完發現紀錄散在好幾個地方，或是多廠區要管好幾套標準，我們很樂意聽你聊聊現在的流程，一起看哪一段最值得先整理，用 Excel 撐得住的我們也會直接說。