除了组织自身投入之外，ISO27001 认证审核费用主要体现在聘请第三方认证机构及审核员方面了。在组织向认证机构提出申请之后，认证机构会初步了解组织现状，确定审核范围，提出审核报价。认证机构的报价通常是根据其投入的时间和人员来确定的，决定因素包括：

1、受审核组织的员工数量；

2、纳入审核范围的信息量；

3、场所数量；

4、组织与外界的关联；

5、组织 IT 的复杂性；

一、总则

 

为保证公司信息安全管理体系持续有效运行，按照ISO/IEC 27001:2013《信息安全管理体系要求》的要求，依据本公司《信息安全和信息技术服务信息安全管理手册》及《内部审核管理程序》的规定，制定本《内部审核方案》。

 

二、审核范围

 

2.1本公司信息安全管理体系覆盖的软件开发所需的重要信息系统和服务系统；与所述信息系统有关的活动；与所述信息系统有关的部门和所有正式员工；所述活动、系统及支持性系统包含的全部信息资产。

 

2.2组织信息安全管理体系的方法及其实施（例如信息安全的控制目标、控制措施、策略、过程和程序）

三、审核准则

3.1ISO/IEC 27001:2013《信息安全管理体系要求》；

3.2本公司信息安全和信息技术服务信息安全管理手册、信息安全方针、信息安全目标及程序；

3.3相关的法律法规及其它要求；

四、资源

 

4.1公司的管理体系内审员-共3名，具备一定的s业知识和信息安全管理体系内审工作能力。

 

4.2信息安全小组组长，经过管理者代表任命授权，直接领导并主持公司信息安全管理体系的内审工作。

五、内部审核的管理活动

 

信息安全小组组长主持内审工作，公司信息安全内审委员会负责内审的具体事务和资料管理。公司内审活动包括：

5.1组织内审员 学习法规、标准、规范、和体系文件；

5.2制定公司内审计划；

5.3组织内审员做好内审前的准备工作（了解背景资料，写出检查大纲，准备记录表格等）；

5.4内审实施过程（按照内审计划执行）；

5.5内审结果-纠正措施的跟踪与验证；

5.6内审资料的汇总及归档；

5.7将内审报告输入管理评审。

六、内审的时间安排

 

6.1 两次内审之间隔期不得超过12个月；

6.2每年至少进行一次内审；当遇到下列情况时，可以增加内审的次数：一，公司内外情况发生重大变化时；二，局部薄弱环节；三，对于外审的准备。

6.3每一次内审活动，必须查看相关的现场；当遇到特殊情况时，可以间隔式地安排内审日程。

七、内审方案的评审与更新

7.1内审方案须经评审、批准后，方可实施；

7.2当公司内外环境、采用的管理标准发生变化时，对审核方案须进行更新