什么是"三年两审"：一张证书三年里必须经历的全部审核

"刚拿到 ISO 证书，就收到了监督审核通知？""三年两审具体审什么？和初次审核有什么区别？"

不少获证企业对审核节奏一知半解，收到通知时手足无措。这篇把证书有效期内的审核安排讲清楚。

一、"三年两审"到底指什么

ISO 管理体系证书的有效期通常是三年。在这三年里，企业要接受两次监督审核——这就是"三年两审"。

具体节奏一般是：

• 第 0 年：初次认证审核（通常分一阶段与二阶段）；

• 第 1 年：第一次监督审核；

• 第 2 年：第二次监督审核；

• 第 3 年：换证审核（再认证），通过后证书进入下一个三年周期。

所以严格的说是"三年两审 + 一次换证"。监督审核和换证审核是两回事，不能混为一谈。

二、为什么要有监督审核

这是企业最常问的问题：初次认证都通过了，为什么还要年年查？

逻辑很简单：证书证明的是"当时"的状态，而企业需要证明的是"持续"的状态。

初次认证审核只能确认企业在审核的那个时间点上体系符合要求。但体系可能在之后的两年里逐渐失效——人员流动、流程变更、管理松懈，这些都会让体系名存实亡。

如果没有监督审核，一张证书可以挂三年，而企业在这三年里可能早就不再按体系运行了。对客户来说，这张证书就没有参考价值。

监督审核的存在，正是为了让"持证"这件事具有持续的意义。这也是为什么客户在审厂时往往会看证书的监督审核记录——一张从未接受过监督审核的证书，可信度会大打折扣。

三、监督审核和初次认证的四点区别

区别一：范围不同。 初次认证是全面审查，覆盖所有条款、所有部门；监督审核是抽样检查，每次只查一部分，三年累计覆盖全部要求。

区别二：深度不同。 初次认证要验证体系从建立到运行的全过程；监督审核重点验证"体系是否还在运行"。

区别三：人日不同。 监督审核的审核人日通常少于初次认证，时间更短。

区别四：后果不同。 初次认证不通过就是拿不到证；监督审核发现严重问题，可能导致证书暂停或撤销。

四、监督审核必查什么

虽然每次抽样范围不同，但有几项是必查的：

上次审核不符合项的闭环情况。 无论是上次监督审核还是初次认证开出的不符合项，都会逐条复查。

体系运行的常规动作。 内审是否按期完成、管理评审有没有开、目标指标是否在监控。

关键过程的运行记录。 生产或服务过程的控制记录、检验记录。

证书与标志的使用。 证书范围是否与实际相符、认证标志的使用是否规范（不能超范围使用、不能用于产品本身）。

投诉与事故处理。 客户投诉、质量事故的处理记录。

变更情况。 一年内是否发生重大变更及其管理记录。

五、不去会怎样

有些企业因为各种原因想"跳过"某次监督审核。后果比想象中严重：

证书会被暂停。 认证机构在无法实施监督审核的情况下，会按规定暂停证书。暂停期间企业不得使用认证证书和标志进行宣传。

暂停有期限。 暂停状态通常不能超过规定期限（一般几个月），逾期未恢复则证书被撤销。

撤销后要重新来。 证书被撤销，企业想再次获得认证，需要重新走初次认证流程，成本远高于一次监督审核。

还有一个隐性损失：证书状态在认证机构的公示系统里可查。客户查到证书处于暂停或撤销状态，对企业信誉的影响远大于审核本身的花费。

六、企业需要主动做的三件事

一是记住时间。 证书上会标注有效期，监督审核通常在获证后第 10—12 个月进行第一次。建议在企业日历里设置提醒，不要等机构通知才想起。

二是主动沟通变更。 企业发生重大变更（搬迁、扩产、股权变更、产品结构调整）时，应主动告知认证机构。隐瞒变更在审核中被发现，后果比变更本身严重。

三是提前准备档期。 监督审核需要排期，尤其年底机构档期紧张。建议提前两到三个月与机构联系，避免因为排不上档期导致证书超期。

七、常见疑问

Q：监督审核可以延期吗？

可以，但有条件。通常允许在规定窗口期内适当调整，超出窗口期则证书状态会受影响。延期申请要提前提出并说明理由。

Q：两次监督审核可以合并做吗？

一般不可以。标准要求每年至少一次监督审核，合并做等于跳过了一次。

Q：换证审核和第二次监督审核冲突吗？

不冲突。换证审核在第三年进行，其深度接近初次认证。有些企业会在换证审核前再做一次内审，这是合理做法。

Q：换了新的认证机构，之前的监督审核记录算数吗？

转机构时，新机构会评估原有证书状态与审核记录。如果原证书处于正常状态且记录完整，通常可以衔接，但可能需要补充审核。