稽核員抽查一名已離職員工，發現他的 CRM 帳號仍可登入。
IT 立即把帳號關掉，填上「已改善」，以為事情結束了。
但稽核員接著問：「下一個離職員工，還會不會發生同樣的事？」
這就是「修好眼前問題」與「真正完成矯正措施」的差別。
ISO 27001 不符合事項是什麼？
不符合（nonconformity）是指發現管理系統的要求沒有被滿足。它可能出現在風險評鑑、權限管理、文件紀錄、供應商管理或內部稽核等不同環節。
正式驗證中，驗證機構會依自己的稽核程序與適用要求分類、要求矯正及追蹤。不同等級不符合事項的處理期限與發證影響，不應自行套用網路上流傳的單一固定天數。
尤其不要把「稽核員指出缺口」直接等同「公司一定發生個資外洩」。兩者是不同的事實。
同一個案例：只補做停權，還少了什麼？
以離職帳號未停權為例：
| 階段 | 該做的工作 | 驗收應看什麼 |
|---|---|---|
| 立即處置 | 停用該帳號、評估是否有非授權存取 | 停權時間、登入紀錄、初步風險評估 |
| 原因分析 | 追查為何人資離職單沒有觸發 CRM 停權 | 系統清冊、交接流程、責任分工 |
| 矯正措施 | 新增停權對帳、例外追蹤和複核機制 | 新流程、負責人、完成期限 |
| 效果驗證 | 抽查最近離職與調職人員是否都正確回收權限 | 抽樣名單、比對結果、再發生紀錄 |
如果只把那一名員工的帳號停用，就無法證明整個管理流程已經修好。
反過來，如果公司已做流程修正，卻找不到後續抽查紀錄，也難以說明措施是否真的有效。
矯正、矯正措施和預防重複發生，不是一句話
「矯正」是把已發現的問題先控制或改正；「矯正措施」則要評估原因、確認是否有相似問題，並採取合適做法降低再發可能性。
例如網站缺少會員匯出權限審核，立即停用危險權限可以降低眼前暴露；但後續仍要明確設定角色、核准流程和審核頻率，否則過幾個月又會回到原點。
國際管理系統標準對不符合與矯正措施的通用規劃，也重視對原因、可能再發與改善效果的評估。
改善成本怎麼估？
不少企業以為補文件是最便宜的處理方式。事實上，稽核當天缺的可能是一段根本不存在的歷史紀錄。
公司可以今天建立新的控制流程，卻不能合法地補造半年前從未發生過的審核證據。結果可能得調整驗證排程、補做抽樣查核，還要讓多個部門重新執行工作。
真正節省成本的方法，不是把報告上的紅色變成綠色，而是讓同一個問題不要再花第二次錢處理。
改善完成後，至少留下哪四樣東西？
缺口的原始描述、原因判斷、實際採取的措施，以及驗證措施有效的證據。若部分歷史資料無法取得，就誠實標記限制，不要假裝完成。
下次管理審查時，也應回頭看同類缺失是否又出現，或者因為新系統、新供應商而重新發生。
延伸閱讀：ISO 27001 內部稽核實務、ISO 27001 管理審查與改善追蹤。
資料來源：ISO 官方 ISO/IEC 27001、ISO 管理系統不符合與矯正措施原則。