认证机构常见问题

软件企业申请 ISO27001、ISO20000：范围、资料与机构核验

北京恩格威认证中心有限公司上海分公司面向软件开发、SaaS、系统集成和 IT 运维企业，提供认证申请沟通与审核安排衔接。申请 ISO27001 时先说明系统、数据与安全责任；申请 ISO20000 时先说明提供哪些 IT 服务、服务对象和交付边界。

本文为恩格威上海分公司的服务说明。具体受理范围、审核安排和认证决定以认证机构的现行资质、适用程序及正式评审为准。业务联系：18901851510。

软件企业申请

两个体系分别关注什么？

软件研发、测试、发布、云资源和客户数据处理涉及哪些人员、系统、场所及外包方，需要先明确。审核会结合申请范围关注风险评估、适用性声明、访问控制、安全事件等实际运行证据。

先说明软件维护、SaaS 支持或运维服务的对象、服务目录和服务级别约定，再对应事件、问题、变更、配置与服务报告。企业的真实服务活动决定申请范围，不能只凭“软件公司”名称判断。

可以在申请沟通时提出组合审核需求，并提供招标条款、截止日期和已有证书。是否具备联合安排条件，由认证机构结合范围、人员能力及适用规则评审；不能据此承诺固定天数获证或投标必过。

首次沟通

先准备企业法定名称、主营业务与拟认证范围、人员及场所、系统与数据或服务目录、外包活动、已有证书和客户要求。涉及客户名称、合同或系统细节时，可先提供脱敏摘要；正式资料按受理要求提交。

例如，SaaS 企业需要区分自有研发、客户支持和第三方云服务的责任。云服务由供应商提供，不代表企业不必说明自身账号权限、数据处理及供应商管理职责。此处为申请信息示例，不代表客户案例或审核结论。

审核费用与人日由申请评审确定，受范围、人员、场所、复杂程度和审核安排等因素影响。询价时应分别确认初次审核、差旅、监督及变更费用的口径。报价、受理和获证是不同环节，最终结果取决于审核及独立认证决定。

主体与公开信息

本站主体为北京恩格威认证中心有限公司上海分公司。申请前应核对签约主体、认证机构批准状态和拟申请项目范围，并按正式文件确认认证决定及证书签发主体，不能把分公司联系方式视为独立发证资质。

在全国认证认可信息公共服务平台按“北京恩格威认证中心有限公司”查询机构信息，并核对目标认证项目。证书应按实际签发主体、证书编号、获证组织、范围、标准和状态核验。如客户要求认可标识，还需核对相应认可范围，不能将批准与认可混为一谈。

认证机构应保持公正，不为同一认证客户提供可能影响公正性的管理体系咨询。企业可自主建立体系或自行选择咨询服务；咨询合同不等于认证受理，也不能替代审核或保证获证。

标准信息：ISO/IEC 27001 · ISO/IEC 20000-1。标准介绍说明体系要求，不代表对本站机构资格的认可或推荐。

说明主营业务、拟申请体系和目标日期，先确认受理信息与评审安排。