企業第一次拿到 ISO 27001 證書時，最容易忽略的一件事是：認證不是一次性採購，而是一個需要持續維持的管理系統。
假設業務部拿新證書向大客戶交差，隔年客戶卻要求提供最新有效狀態，這時才發現監督稽核沒有安排、內部稽核紀錄也沒更新。證書能幫忙拿到採購資格；若管理中斷，下一次查驗又可能成為麻煩。
ISO 27001 證書通常有效多久？
在一般認可的管理系統驗證安排下，認證週期通常為三年，期間會安排監督稽核（surveillance），期滿前再辦理重新驗證（recertification）。
以驗證機構 SGS 公開的 ISO 27001 驗證流程為例，取得證書後通常每年進行監督稽核；首次監督應在第二階段稽核結束後 12 個月內進行。重新驗證則在原證書到期前完成必要審查與重大不符合事項處理。
這不是說每一家企業固定同一天稽核，也不能把任何供應商報價都視為統一費率。實際時程與安排仍依發證機構、驗證規模及認可要求而定。
第一年付完顧問費，後面還有哪些成本？
| 時點 | 要做的事 | 容易漏算的支出 |
|---|---|---|
| 初次驗證前 | 建立制度、完成內稽、管理審查與改善 | 顧問、驗證、系統改善、內部跨部門工時 |
| 第一年監督 | 回顧持續運作、風險變更與前次缺失 | 驗證機構、文件更新、訪談與抽樣準備 |
| 第二年監督 | 再確認管理系統仍在運作 | 新進與離職人員訓練、供應商複核、內部稽核 |
| 第三年換證 | 重新驗證管理系統與實際範圍 | 換證費用、重大缺口修正、必要系統重整 |
換句話說，拿證書的錢是一筆，讓證書三年後仍能被客戶接受又是一筆。
怎麼粗估三年預算？
不要只要一張「今年取得 ISO 27001」的報價單。可以要求驗證機構或輔導團隊分列初次稽核、兩次監督、重新驗證，並把每年內部稽核和管理審查所需要的工時納入企業自己的預算。
例如用假設情境比較：某公司首年驗證與輔導合計 28 萬，次年監督與內部工作各年粗估 8 萬，第三年換證與必要改善再編 15 萬。三年整體預算就不能仍寫成 28 萬。數字是示意算式，實際費用要以範圍與報價為準。
真正值得關注的不是有沒有省下一次訪查費，而是省掉的工作會不會讓客戶驗證資格、既有管理控制或證書有效性出現問題。
已經取證，公司還要做什麼？
每年常見工作包括風險評鑑更新、權限與供應商複查、內部稽核、管理審查、事故與不符合事項追蹤。系統、部門、據點有重大變動時，還要重新確認原認證範圍是否適用。
如果三年前證書涵蓋的是一個資訊部門，現在公司已將會員資料同步到新 CRM、外包客服中心，原本的風險和驗證邊界都可能需要重看。
ISO 27001 的成本不只在取得證書，而在持續證明組織真的按制度運作。這也是採購時應先問清楚的完整價格。
延伸閱讀：ISO 27001 驗證費與輔導成本、ISO 27001 管理審查。
資料來源：ISO 官方 ISO/IEC 27001、SGS ISO 27001 驗證流程。