準備 ISO 27001 時，「要做幾階文件」常被誤認成最重要的問題。但文件層級是企業採用的管理方式之一；有文件，不表示控制已執行。
文件、紀錄、證據是三件事
| 類型 | 例子 | 查核時回答什麼 |
|---|---|---|
| 管理制度 | 資安政策、風險評鑑程序、存取控制原則 | 公司原本規定應怎麼做？ |
| 作業程序 | 離職停權 SOP、事件通報流程、委外審核流程 | 由誰、何時、依什麼步驟完成？ |
| 執行紀錄 | 簽核、工單、權限複查、內稽改善 | 這些步驟是否真的發生？ |
| 查核證據 | 截圖、匯出報表、系統日誌與版本紀錄 | 能否重建事實並讓他人驗證？ |
四階文件或其他分層架構可協助管理，但不能把每家公司都要求同一套固定文件張數。文件需求應依認證範圍、標準要求與組織風險決定。
一份可用的文件索引至少需要
- 文件／紀錄名稱與唯一識別碼。
- 適用流程、系統與組織範圍。
- 負責人與核准人。
- 生效日、版本與修訂紀錄。
- 保存位置、可存取角色與保存期限。
- 對應稽核要求及上次查核狀態。
如果只建立雲端資料夾叫「ISO 專案」，把 PDF 全丟進去，通常無法回答最新版本是什麼、誰核准或哪一份已失效。
電商情境：文件齊了，卻仍有缺口
假設一間品牌有完整的「員工離職停權流程」，但客服 CRM、會員資料匯出和第三方簡訊平台分屬三套系統。人資簽核了停權單，卻只有購物車帳號被停用。
缺口不在於 SOP 寫得不夠漂亮，而是系統清單與責任分工沒有覆蓋全部存取點。此時應補的是帳號對照、停權工單與複核紀錄，而非再寫一份泛用的資安政策。
如何避免 AI 生成文件造成假合規？
AI 很適合協助整理條文、編寫程序草案和檢查版本一致性；但不能把尚未發生的查核、演練或簽核，生成成已完成的歷史紀錄。應用「草案／待確認」狀態標示，再由真正負責的人完成執行與簽核。
三分鐘自查
拿出任意一份你覺得最重要的制度，試著找出：最近一次實際執行紀錄、負責人的確認、相關系統的佐證，以及最近一次因異常而修正的版本。如果四項都找得到，制度才開始具有可驗證性。
發現文件與現場不一致時，先修哪一個？
若制度要求離職日停權，現場卻總在一週後才回收外部工具權限，不能簡單修改制度成「一週內完成」來讓稽核表變得漂亮。應先了解風險、契約及人資流程，決定合理要求，再修正作業方式並保留核准與實際證據。
文件管制的一個低成本做法： 在雲端檔案管理建立「有效版、草稿、作廢版」三種狀態，指定唯一負責人；每次新版發布保留修訂摘要和受影響的執行窗口。文件內若引用其他制度，改版時一併檢查，避免客服照新 SOP、門市卻還使用舊權限表。
來源：ISO/IEC 27001:2022。本篇提供文件管理方法，並非聲稱任何一份示例文件可直接通過驗證。
可操作的文件驗收：不是放進雲端資料夾就算完成
「有制度文件」與「證據支持制度持續執行」之間，至少隔著兩道驗證。公司可以用以下抽樣表在內部檢查，不必等正式驗證當天才找資料。
| 文件／紀錄 | 文件存在的判定 | 執行證據怎麼查 | 典型紅旗 |
|---|---|---|---|
| 資產與資料清冊 | 有權責、範圍與更新版次 | 抽一個新上線系統，看是否被納入 | 系統已使用半年，清冊沒有 |
| 風險評鑑與處理 | 有方法、清冊、責任人 | 抽重大風險比對處理期限與追蹤 | 只剩五級顏色，沒有判定理由 |
| 內部稽核紀錄 | 有稽核計畫與結果 | 是否追蹤不符合事項改善 | 只有「全部合格」的勾選表 |
| 管理審查 | 有議題、決策與負責人 | 上次決議是否有後續進度 | 開過會卻沒有決定事項 |
| 權限控管 | 有角色定義與離職流程 | 比對人資異動與帳號停權 | SOP 正常，離職帳號仍有效 |
注意：這是企業內部查核範本，不宣稱這五項就是 ISO/IEC 27001 的全部強制文件清單。正式需要哪些文件、紀錄與控制，仍須依組織適用範圍、標準要求與風險處理結果判斷。ISO/IEC 27001 官方標準頁。
同主題延伸閱讀：ISO 27001 適用性聲明 SoA 怎麼寫？從風險到控制措施的對照範例、ISO 27001 附錄 A 是什麼？93 項控制措施、四大類與查核證據。