每季開會、每季簽名，半年後卻發現上次答應修的高風險項目根本沒人處理。會議費用照付，降低風險的收益卻沒有發生。
管理審查不是為了湊會議紀錄，而是讓最高管理階層對資訊安全管理系統是否有效做出決策。 若會議只有「本季沒有事故，繼續保持」，通常還不足以呈現實際管理活動。
管理審查要看什麼？
可以先把輸入分成四塊：風險有沒有變、控制有沒有運作、前次問題有沒有改善，以及下階段需要投入什麼資源。
| 審查資料 | 具體可查項目 | 希望決定的事情 |
|---|---|---|
| 風險變化 | 新上線 SaaS、外包廠商、會員資料流改變 | 是否重做風險評鑑 |
| 稽核與缺口 | 上季內稽發現、改善期限、複查證據 | 哪項逾期要升級處理 |
| 事件與演練 | 資安事件、回復時間、通報失誤 | 是否增加控制或教育訓練 |
| KPI 與資源 | 特權帳號數、離職停權延遲、備份驗證 | 預算、負責人與目標調整 |
PDCA 不等於四張表
- Plan（規劃）： 明確界定範圍、風險、目標及控制方案。
- Do（執行）： 在真正的系統和流程中落實控制。
- Check（檢查）： 用抽樣、數據、內稽及事件資訊檢查效果。
- Act（改善）： 對不符合或風險變化採取修正，並確認改善有用。
這是一個循環。沒有證據的「Do」，下一輪也不可能產生有品質的「Check」。
可落地的管理審查決議寫法
錯誤寫法：「會議決議持續提升資安意識。」
更好的寫法：「本季抽樣發現 3 件離職帳號停權延遲；由資訊主管於下月第 2 週前完成跨系統帳號清冊，並以最近 20 件離職流程重新抽查；人資主管在次次管理審查報告逾期數與改善率。」
後者讓責任、期限與驗收條件可追蹤；上述數字僅為示例，不代表某企業真實紀錄。
KPI 要不要越多越好？
不必。指標應該能促成決策，不是展示資料漂亮。例如「教育訓練完成率 100%」不能證明員工理解匯出會員資料的風險；可以搭配情境演練和抽樣操作，觀察錯誤是否真的減少。
對中小型品牌，與其一開始訂 40 個指標，不如把少數高風險流程量化並能追蹤：帳號停權時差、權限複查完成率、委外審查有效性、重大缺口改善逾期數。
決議追蹤清單要跟得上下一次會議
| 決議欄位 | 記錄內容 | 檢查時怎麼看 |
|---|---|---|
| 議題與風險 | 哪個控制失效或外部情境改變 | 能否對上稽核、事件或風險評鑑 |
| 決策與資源 | 核准什麼改善與所需人力／預算 | 是否有明確核准人 |
| 責任人與期限 | 誰負責，何時回報 | 有沒有逾期及升級處理 |
| 效果驗證 | 用什麼證據確認改善有效 | 不是只靠完成率或口頭回報 |
管理審查最好能形成有權決策者真正採納或拒絕的決議。若風險被接受，也應留下接受範圍、理由與授權角色；不能把「無預算」直接當成控制措施已充分的證明。
來源：ISO 27001 資訊安全管理系統要求。本文為管理實務範例，實際審查輸入仍應依正式標準及組織制度確認。
管理審查會議怎麼開才不是簽到表？
會議資料應幫高階管理者做決策，而不只是聽資訊部門報告工單數量。
| 會議輸入 | 管理階層需要回答 | 形成的輸出 |
|---|---|---|
| 上次決議追蹤 | 上次要求改善的高風險有沒有完成？ | 完成／延後理由與責任人 |
| 風險與事故趨勢 | 重要控制有沒有失效？是否改變風險接受？ | 必要的控制改善與資源決定 |
| 內部稽核與不符合事項 | 反覆發生的根因是什麼？ | 矯正措施、期限與驗收窗口 |
| 業務變更 | 新平台、新委外或跨境業務是否改變原範圍？ | 更新管理系統與風險清冊 |
| 資源充足性 | 現有人員、工具與預算能否達成要求？ | 資源配置與優先順序 |
範例不是 ISO 條文逐項抄寫，而是可操作的議程格式。管理審查最有價值的不是會議紀錄多厚，而是能否追蹤哪些決定改變了組織的風險。
同主題延伸閱讀：ISO 27001 BCP、BIA 與災難復原怎麼分？從營運中斷算回復需求、ISO 27001 內部稽核怎麼做？抽樣、發現、改善與複查範例。