认证范围界定与表述

认证范围的界定与表述是认证活动的核心环节，直接决定证书的法律效力、公信力以及组织管理体系覆盖的适宜性与充分性。本文从基本概念出发，逐条深度解析通用原则，并针对各管理体系（QMS、EMS、OHSMS、FSMS、HACCP、EnMS、ITSMS、ISMS）的特殊要求展开详述，为认证机构、审核员及组织提供的参考。

一、基本定义：审核范围与认证范围

审核范围（Audit Scope）

依据 GB/T 19011《管理体系审核指南》标准术语3.13及其注释，审核范围规定了审核的内容和界限，明确了审核拟覆盖的对象。描述审核范围通常包括四个要素：实际位置（审核所涉及的场所）、组织单元（审核所涉及的组织结构）、活动和过程（审核所涉及的业务活动和流程）、所覆盖的时期（审核所覆盖的时间段）。其中，活动和过程是核心要素，为其他三项要素的确定提供了依据。

认证范围（Certification Scope）

认证范围是认证机构在认证证书中正式声明的，组织管理体系所覆盖的产品、服务、活动、过程以及场所的集合。它是组织对外展示其管理体系认证状态的法定信息，须清晰、准确、合规地表述，并受法律法规、资质许可、合同约定等外部约束。

两者的关系与区别

审核范围是认证机构在审核实施中拟覆盖的具体内容，侧重于审核策划和实施的完整性与充分性；而认证范围是最终经认证决定确认后对外公布的，侧重于表述的规范性、合规性和商业适用性。认证范围应基于审核范围的充分验证，但其表述更简洁、更符合证书管理要求。通常，认证范围与审核范围在覆盖内容上保持一致，但认证范围需满足额外的表述规则（如不超营业执照、不超资质等）。

在界定认证范围时，需围绕组织管理控制下的活动和过程主线，识别并确定与之相关的组织单元、实际位置和覆盖时期。不同管理体系（质量、环境、职业健康安全等）关注对象不同，但界定逻辑相通。以下先阐述适用于所有管理体系的通用原则，再逐一分析各体系的特殊要求。

二、认证范围界定和表述通用原则（适用于所有管理体系）

以下十条原则，无论何种管理体系均须遵循。每条原则均从核心要求、操作要点、典型示例、常见错误四个维度展开。

①不超营业执照

核心要求：认证范围不得超出营业执照记载的经营范围。涉及行政许可、资质或强制性认证（如CCC、生产许可证、建筑资质等）的，亦不得超出其许可或资质证书限定的范围。

操作要点：

合同评审阶段须核对营业执照最新版本（含变更记录），确保认证范围中的每一项产品/服务均在经营范围内。若营业执照范围较宽泛，应以实际经营且管理体系覆盖的内容为准。

对于有行政许可或资质要求的行业（如食品生产、建筑业、特种设备制造、药品生产等），认证范围应严格依据资质证书上的许可范围进行描述，必要时加注“资质范围内……”的前缀。若认证范围内的产品已具体到资质证书上的产品名称/类别，则可不额外加注（但FSMS、HACCP、EnMS除外，这些体系有特殊要求）。

对于国家或行业已停止办理资质审批但相关标准仍然有效的情况（如部分船舶生产制造），仍需按原有资质证书或有效证明文件进行限定，不得自行扩大范围。

当营业执照范围与资质证书范围不一致时，应以资质证书范围为准，并确保两者不冲突。

📌正确示例资质范围内母线槽、低压成套开关设备的生产和销售

低压成套开关设备（配电箱PZ、配电柜GGD、动力柜XL）的生产和销售

❌常见错误电气设备的生产和销售（表述过于笼统，未体现资质限定）

⚠️特别提示：即使营业执照范围包含多项内容，认证范围也不得超出组织实际管理体系覆盖的能力和活动。例如，营业执照包含“软件开发”和“系统集成”，但认证范围仅为“系统集成服务”，则不得擅自将“软件开发”纳入。

②不超管理体系

核心要求：认证范围须与组织实际的管理体系覆盖范围一致，与提供的产品/服务、过程及活动相符。不得将组织实际承担的责任或活动排除在外，也不得将未覆盖的活动纳入范围。

操作要点：

界定范围时，应综合考虑组织的产品/服务实现过程（如设计、采购、生产、检验、交付）、支持过程（如设备维护、人力资源管理、文件控制）以及管理过程（如内部审核、管理评审）。

须确保范围覆盖了所有对产品/服务质量、环境因素、职业健康安全风险、食品安全等有影响的活动和过程。任何遗漏都可能导致审核不充分或认证风险。

特别注意组织所生产和服务所依据的标准是否存在对产品种类/名称的限定，范围描述应与标准中的名称保持一致。例如，若执行GB/T      13663《给水用聚乙烯（PE）管材》，则产品名称应使用该标准中的名称。

对于外包过程，若外包过程对产品/服务的符合性有影响，须在范围中明确说明或在审核中予以覆盖，但认证范围的主体仍应是组织自身承担的活动。

📌示例 某组织实际承担产品设计开发活动，但认证范围中未体现“设计开发”，且未声明8.3不适用——此种情况属于范围与体系实际不符，须予以纠正。 

⚠️提示：管理体系覆盖范围应与组织实际职能、权限和资源相匹配。范围过大（超出实际能力）或过小（遗漏重要活动）均不符合要求。

③聚焦实际业务

核心要求：应基于组织的主要产品/服务及管理需求确定认证范围，不宜盲目照搬营业执照所有内容，也不应无限扩大专业代码（如IAF代码）。

操作要点：

认证范围应聚焦于组织实际经营并提供管理体系覆盖的主要产品/服务，而非营业执照上的全部经营范围。组织不需要的认证范围，不应从产品/服务中无限识别且增加专业代码。

专业代码的选取应与认证范围的实际产品/服务相对应。不应因存在相关管理活动而随意增加代码。例如，宾馆/酒店认证范围可界定为“酒店管理服务”或“餐饮、住宿服务提供”，对应的专业代码为30.01.00“宾馆和类似的住宿”，不应因存在相关管理活动而额外增加35.04.02“商业和其他管理咨询活动”代码。

对于集团型组织或多元化经营的企业，应根据各业务板块的实际管理体系覆盖情况分别界定范围，避免“一刀切”式地将所有业务全部纳入。

📌示例 某企业营业执照包含“软件开发”“系统集成”“技术咨询”“电子产品销售”等多项内容，但认证范围仅为“计算机信息系统集成服务”，则不应将其他未覆盖的业务纳入范围。

④多场所分别界定

核心要求：若组织包含固定多场所（如分公司、生产基地、物业项目、连锁门店等），且各场所认证范围不同，应分别界定各场所的范围。

操作要点：

在认证证书中应包含组织总部的名称和地址，以及所有分支机构及固定多场所的相关信息（可以子证书或附件方式呈现）。

若分支机构的认证范围仅为整个组织认证范围的一部分，证书（或附件）应明确说明每个分支机构及固定多场所的适用范围，不得笼统表述。

对于物业公司等涉及多个项目现场的组织，每个项目现场的范围可能因服务内容不同（如住宅物业、商业物业、工业物业）而有所差异，须分别描述。

多场所审核时，审核方案应覆盖所有场所，并根据各场所的范围差异进行针对性的审核策划，确保每个场所的审核范围与其证书范围一致。

📌示例 某物业公司总部在北京，在上海、广州设有分公司。北京总部范围为“物业管理服务”，上海分公司范围为“住宅物业管理服务”，广州分公司范围为“商业物业管理服务”。证书主证体现总部，附件中分别列出各分公司及其对应范围。

⑤外销产品明确标注

核心要求：未取得国内销售资质的外销产品，认证范围应明确为“外销”或“出口”，不得使用模糊描述。此项要求不包括食品生产许可证相关产品（食品行业另有规定）。

操作要点：

对于从事外销产品生产的组织，即使具备生产所需的各类资质（如生产许可证），但若产品未取得在国内销售所必需的许可（如CCC认证、电信设备进网许可等），认证范围中应明确标注“外销”或“出口”。

此类情况下，范围描述中不应出现“在国内销售”“内销”或任何可能引起歧义的词语。

审核时须关注外销产品是否符合目标市场法规要求，以及组织是否具备相应的出口资质（如海关备案、出口许可证等）。

📌正确示例出口用电子连接器的生产（该产品未取得国内CCC认证）

外销LED灯具的组装

❌常见错误电子连接器的生产（未注明外销，可能引起歧义）

⑥表述具体、准确

核心要求：认证范围须具体到产品/服务的种类，必要时细化至规格型号，避免使用“系列”“等”等含糊词语，不得使用笼统、概念性语言（如“米面制品的制造”“化工原料的生产”“添加剂的生产”等）。

操作要点：

认证范围的表述应清晰界定组织所提供产品或服务的具体类别，而非泛泛而谈。

当产品种类较多时，可采用归纳描述方式，但须确保实际生产的产品覆盖对应类别2/3（含）以上，并附详细产品清单。

必要时，可在产品名称前增加用途、特性、结构等定语进行限制，以降低认证风险。例如，“供水用塑料（PE）管材”比“塑料管材”更具体、风险更低。

对于产品规格型号较多的组织，可选择代表性的规格型号在范围中列出，或附产品清单。

📌正确示例供水用塑料（PE）管材的生产

汽车用注塑件的生产

轿车轮胎、载重汽车轮胎和轮胎气门芯的设计开发和生产

❌常见错误塑料制品的生产（过于笼统）

化工原料的生产（概念性语言） 

⑦标准格式

核心要求：认证范围基本表达格式为：“具体的产品/服务名称” + “活动”。活动包括但不限于：设计、研发、开发、生产、加工、施工、安装、管理、咨询、销售、修理、出租、生产外包等。

操作要点：

产品/服务名称须具体，活动须明确组织的实际职能。若组织同时涉及多种活动（如生产和销售），应一并列出，如“xx产品的生产和销售”。

对于施工企业，格式可调整为“资质范围内的xx工程施工”等，但仍须体现“资质范围内”的限定。

对于服务业，应明确服务的具体内容，如“住宿服务”“餐饮服务”“物业管理服务”等。

不得在格式中遗漏必要信息或添加无关信息。

📌正确示例资质范围内的水利水电工程施工

聚酯树脂清漆的生产和销售

轿车轮胎的设计开发和生产

❌常见错误聚酯树脂清漆（缺少活动）

生产和销售聚酯树脂清漆（格式不规范） 

⑧服务须明确内容

核心要求：若认证范围包含“服务”，须明确具体服务类型（如维修、安装、技术咨询、销售、售后服务等），不可笼统写“服务”。

操作要点：

当认证范围包括“服务”时，应界定到服务的具体类别。例如，“维修服务”“安装服务”“环保技术服务”“消防咨询服务”“xx销售”等。

若组织仅有自身产品的销售及售后服务，一般不建议单独写“服务”，但若有需求，可描述为“销售及售后服务”（业务范围可不评到服务的具体类别，但审核时应充分覆盖）。

对于服务业组织（如宾馆、酒店、物业等），可按具体提供的服务内容来界定，如“住宿、餐饮、娱乐服务”。

📌正确示例电子产品的生产和售后维修服务

消防技术咨询服务

住宿、餐饮服务

❌常见错误电子产品生产和服务（服务类型不明确） 

⑨名称依据标准

核心要求：产品/服务名称宜按行业通用称谓，或依据国标/行标/备案企标、生产许可/CCC证书上的名称表述。

操作要点：

优先采用国家或行业标准中规定的产品名称。若产品执行多个标准，应选择最直接相关的标准名称。

若无国标/行标，可采用经备案的企业标准中的名称。企标名称应与标准内容一致。

对于有生产许可证或CCC认证的产品，应使用许可证或CCC证书上的产品名称，确保与官方文件一致，避免后续合规风险。

服务名称宜按行业惯例或相关标准确定。若无明确标准，可采用行业通用称谓。

📌示例 某企业生产的产品执行GB/T 13663《给水用聚乙烯（PE）管材》，则认证范围中的产品名称应使用“给水用聚乙烯（PE）管材”，而非“塑料管材”等笼统表述。

⑩分支机构信息完整

核心要求：认证证书应包含组织总部及所有分支机构/固定多场所的相关信息，可附子证书或附件，并明确各场所的适用范围。

操作要点：

认证证书主证书通常体现组织总部名称和地址。所有分支机构及固定多场所（含物业项目）的信息应以子证书或附件方式列出。

若分支机构的范围只是整个组织认证范围的一部分，附件中应清晰说明每个分支机构及固定多场所的适用范围，避免模糊或遗漏。

审核方案应覆盖所有列入范围的场所，且每个场所的审核范围应与附件描述一致。对于新增或变更的场所，应及时更新证书附件。

📌示例 某连锁餐饮企业总部在北京，在上海、广州、成都设有中央厨房。证书主证体现总部“餐饮服务”，附件列明各中央厨房地址及对应的认证范围（如“半成品加工”“冷链配送”等）。

三、质量管理体系（QMS）特殊要求

1. 设计开发（8.3 条款）不适用情形

可声明不适用的情况：若组织不承担产品/服务的设计开发活动，且不影响其确保产品合格及增强顾客满意的能力，并经确认理由充分时，认证范围不得包含“设计、开发”。此时应尽量细化产品类别（必要时细化至规格型号），并在审核记录和报告中清楚说明。

不可声明不适用的情况：若组织对设计开发负有责任或对设计更改负有责任，则不能声明8.3条款不适用。即便当前无实际设计开发活动（例如全部依据顾客图纸生产），但若组织有设计更改的权限或责任，仍应覆盖8.3。

服务组织的特殊处理：对于服务组织，若存在或可能开发新的服务项目，不能描述8.3不适用。若近一年内无新服务开发，经充分确认后可描述不适用，但每次审核仍应关注设计开发能力的变化及外包控制。

其他要素的不适用：其他要素（如7.1.3基础设施等）通常情况下均适用，特殊情况下存在不适用时，审核组在充分确认后可描述不适用，并在记录和报告中表述清楚，但范围中不体现。

2. “生产 / 制造 / 加工”的区分

“生产”：组织拥有自有加工场所，且所有生产管理（包括生产任务下达、现场管理、产品检验等）均由组织独立完成时，一般使用“生产”。

“制造”：仅当行业有惯例或特定要求时方可使用，通常不宜轻易给出“制造”范围。

“加工”：组织为指定的一家或多家顾客进行产品配套，产品的设计开发由顾客负责，且产品的检验由双方共同控制时，可使用“加工”范围。例如，某组织为海尔、松下配套电视机塑料外壳，原材料、模具、结构、尺寸等均由顾客给定，组织无权更改，且检验由顾客控制，则范围可描述为“电视机塑料外壳的加工”。

禁止叠加：“生产”“制造”“加工”不得在同一产品认证范围中同时出现，即不能出现“生产制造”“生产加工”“制造加工”等字样。

安装活动：若组织仅有安装活动，范围中应只能给“xx安装”（有资质要求时按资质证书上范围描述），不能给“生产”范围。若组织既有生产，又对自己的产品提供安装服务，范围中可描述为“xx产品的生产”或“xx产品的生产（包括安装服务）”或“xx产品的生产及安装服务”。

3. 产品名称的界定方式

按标准名称：以产品标准名称为依据，如“轿车轮胎、载重汽车轮胎和轮胎气门芯的设计开发和生产”。

加定语限制：为了降低风险，必要时在前面加用途、特性、结构等定语限制，如“供水用塑料（PE）管材”“汽车用注塑件”“硝基清漆和合成树脂乳液外墙涂料”。

归纳描述：根据实际情况，可以归纳阐述，但实际生产的产品必须超过对应类别的2/3（含）以上，并附上产品清单。例如，“塑料管材的生产”须提供证据包括PE、PVC、CPVC、ABS等材料中的大部分，且用途包括供水、排污等用途中的大部分。

4. 销售范围的特别要求

专业商贸组织：对专业从事批发、零售、代理服务的组织，在认证决定中可以根据其管理体系覆盖销售活动内容给定“销售”作为认证范围（对应QMS业务范围第29大类）。

非专业商贸组织：除专业从事批发、零售、代理服务组织外，一般情况下尽可能不要给“销售”范围。体系范围覆盖本组织所生产产品的销售服务活动时，应视为其产品生产过程的一部分，在8.5.1 h）的条款中予以审核确认。

特殊需求：若组织有特殊需求，其管理体系仅覆盖自身产品销售活动，审核时对销售过程审核充分，可以包含“销售”作为认证范围的一部分（专业类别可不译到第29大类）。若销售对象含非本组织生产产品时，应在合同受理时明确识别29大类专业代码，且在认证范围中描述“销售”。

商贸组织的范围：针对商贸组织的认证范围，要依据具体的活动及不超出组织营业执照上注册范围的描述给定。如销售、批发、零售、代理等进行确定，按其经营产品的习惯或惯例描述。

5. 建筑业（EC9000）认证范围表述

对于建筑业组织而言，认证证书认证范围的表述可参照《建筑业企业资质等级标准》等进行规范性描述，适当时可包括有关组织资质等级的相关信息。

施工总承包：可描述如“资质等级许可范围内的建筑工程施工总承包”或“资质等级许可范围内的建筑工程施工”。

专业承包：可描述如“资质等级许可范围内的建筑机电安装工程施工”或“资质等级许可范围内的建筑机电安装工程施工专业承包”。

部分范围限定：如组织实际范围仅包含资质等级许可范围内的一部分内容，则应在认证范围描述中进行限定，不得超出实际能力。

四、环境 / 职业健康安全管理体系（EMS / OHSMS）

须满足前述通用原则（第一章第3条）。

界定因素：应综合考虑被认证组织的活动范围、管理权限范围、现场区域和地理边界、法律法规的要求、组织的产品和服务范围等因素。

表述格式：可表述为“……（同QMS范围的描述要求）所涉及的相关环境管理活动”或“……所涉及的相关职业健康安全管理活动”。

活动范围覆盖：应包括与组织产品实现和服务提供相关的活动（管理活动、产品和服务实现活动、辅助支持性活动如动力提供等）、后勤管理活动、有害物排放控制和管理活动、异常状况下的应急活动、临时性活动和外来人员的活动等。

关注接口：应关注与未完全纳入组织管理体系范围内的活动的接口（如与公用能源和动力提供的接口、与公用污水处理设施运营的接口）。防止组织把应包含在体系中的某些活动剔除在外。

现场区域：包括生产、动力现场，各种原辅材料、过程产品的储藏区域和废料的存放场所，组织活动所需的设备（包括自有、租赁、外界提供的）和各类基础设施所处的位置和现场，组织管理权限所及的责任边界或接口，服务涉及的场所和地域范围，以及在组织统一管辖下从事相似活动的多个场所。

💡关键提示

环境与职业健康安全管理体系的范围不应仅局限于生产活动，还应涵盖辅助支持活动（动力、仓储、维修等）、后勤管理、应急响应、临时性活动等。应防止因范围界定过窄而导致重要环境因素或危险源未被覆盖。当不同的产品和服务实现活动中的环境因素/职业健康安全风险相互关联且不可分时，应防止将与某些产品和服务提供相关的活动剥离于审核范围之外。 

五、食品安全管理体系（FSMS / HACCP）

1. 有行政许可的申请组织

FSMS表述格式：XXX（产品类别/名称）的生产/加工及其所涉及场所的相关食品安全管理活动（服务类项目为“XXX服务及其所涉及场所的相关食品安全管理活动”）。

HACCP表述格式：XXX（产品类别/名称）的生产/加工及其所涉及场所的相关活动（服务类项目为“XXX服务以及所涉及场所的相关活动”）。

参照许可证的许可范围或产品名称，描述具体产品或活动（服务行业）的最小产品类别/名称。若实际生产的产品少于许可证中产品类别/名称，应依据实际生产产品进行范围界定，并按照许可证中产品类别/名称进行描述。

不得排除关键活动：认证范围不应将根据组织活动的法律责任确定的影响终产品食品安全的活动、过程、产品或服务排除在认证范围之外。例如，对于食品生产/加工企业，FSMS或HACCP不能仅给予销售和服务的认证范围。

禁止促销陈述：认证范围不应包括任何促销陈述、品牌或宣称。

产品较多时的处理：可直接在证书中列出全部具体产品名称；或以证书加附件形式，证书写大类，附件列详细清单。

📌示例（有行政许可） 某企业生产许可证：淀粉糖[麦芽糖、葡萄糖、异构糖、饴糖]，实际生产麦芽糖、葡萄糖、异构糖。

→ FSMS：淀粉糖（麦芽糖、葡萄糖、异构糖）的生产及其所涉及场所的相关食品安全管理活动。 

2. 无行政许可的申请组织

有相应国家/行业标准/备案的企业标准的申请认证产品，依据产品标准命名。

📌示例（无行政许可） 某企业生产啤酒瓶，执行GB4544-2020啤酒瓶标准。

→ FSMS：啤酒瓶的生产及其所涉及场所的相关食品安全管理活动。 

3. 特殊情况

如果资质许可范围内产品实际都生产、都在体系覆盖范围内，认证范围可表述为资质许可范围内产品类别/名称（按照生产许可证的最小产品类别/名称描述）的生产。

六、能源管理体系（EnMS）范围与边界

1. 概念理解

认证范围：是指组织通过能源管理体系管理的一系列活动的集合，重点要明确组织能源管理体系所涉及的活动过程有哪些，如组织与认证范围相关的产品、服务、过程等信息，即特定场所的能源管理体系控制下的具体活动，且组织确定的认证范围至少是能够单独进行能源核算的单元。

边界：是指获证组织能源管理体系覆盖的物理或组织界限，是用于修饰和界定体系认证范围过程的，如活动过程的物理边界、过程边界、涉及能源种类边界等，通常情况下与组织的能源绩效核算边界一致。

获证组织的能源管理体系范围和边界宜通过其组织名称、地理位置、生产/服务和活动等信息进行明确，应包括主要的能源生产、供应和使用场所。

2. 认证证书中的描述

认证证书中应包含组织能源管理体系认证范围和边界的描述，以此明确认证证书中组织能源绩效数据核算的边界。两者可以分别描述，也可以混合描述。如果涉及场所或产品较多，文字描述上很难整合，宜按场所/产品分别描述，反之宜采用混合描述。总体原则是在保证内容完整准确的前提下文字描述尽量简洁通顺（边界一般在证书附件表述）。

2.1 生产型组织

认证范围：xx公司（公司生产地址）xx产品（最好能明确产品的类型、设计产能）生产所涉及的能源管理活动。例如：xx公司（公司生产地址），一条日产5000吨熟料水泥生产线，带9MW余热发电，涵盖原料破碎、生料制备、熟料烧成、水泥制成、水泥包装/散装出厂所涉及的能源管理活动。

边界：应明确活动范围，包括主要生产系统、辅助生产系统、附属生产系统，以及综合能耗能源种类。     

主要生产系统：直接形成产品的过程，从原材料/配件离开仓库开始至成品加工合格入库为止的有关工序组成的完整工艺过程和设备。描述须明确边界内的主要生产加工过程/能源使用过程。

辅助生产系统：不直接形成产品，而是为主要生产系统服务而配置的工艺过程、设施、设备，包括供配电、机修、供水、供气/汽、采暖、制冷、仪表、厂内原料场地、成品仓库以及安全、环保装置等。需考虑能源、耗能功质的制备、输送、储存、转化、供给过程，以及产品的运输、储存过程。

附属生产系统：为主要生产系统服务而配置的指挥系统及边界内为生产系统服务的部门或单位。

2.2 服务型组织

认证范围：     

适用于服务输出型组织（如物业公司）：xx公司（公司办公地址）对xx场所（场所地址）xx服务所涉及的能源管理活动。

适用于如机场、学校、商场、酒店等相对固定场所经营的服务型组织：xx公司（公司经营服务地址）xx服务所涉及的能源管理活动。

适用于施工企业：xx公司（公司办公地址）对xx项目（项目部地址）施工所涉及的能源管理活动，或资质范围内XX工程施工总承包、XX工程专业承包的办公场所及施工现场所涉及的能源管理活动。

边界：应明确服务过程或工程施工管理过程，以及附属支持过程和综合能耗能源种类。

七、信息技术服务 / 信息安全管理体系（ITSMS / ISMS）

ITSMS（ISO/IEC 20000-1）

审核组应根据适用的认证要求审核所确定范围内受审核方的ITSMS，应确保根据业务特征、组织、组织的物理位置、资产和技术清晰界定了受审核方ITSMS的范围和边界，并考虑了认可制度要求。

ITSMS认证范围宜基于服务提供者对其ITSMS范围的描述界定。可通过下列参数描述其ITSMS的范围：     

提供服务的组织单元（例如单个部门、一组部门或所有）。

所提供的服务（例如单个一组或所有；金融、零售服务、电子邮件服务）。

服务提供者交付服务的物理场所（例如单一办公、一组办公场所、区域的、全国的或全球的）。

顾客及其地点（例如一个顾客、多个顾客、外部顾客或内部顾客）。

服务提供所使用的技术。

ITSMS范围的描述不能包括有助于服务交付的其他方名称。

📌ITSMS 描述示例[服务提供者的组织单元的名称]从[地理位置]向[顾客的组织和（或）组织单元的名称]交付[服务]的服务管理体系

或向外部顾客交付计算机信息系统集成运维服务所涉及的信息技术服务管理活动

服务提供者的组织单元的名称：XXX公司；地理位置：xxx 

ISMS（ISO/IEC 27001）

ISMS范围和适用性声明应体现：受审核方的信息安全风险评估和风险处置准确地体现了认证范围所界定的活动并扩展到活动的边界。每个认证范围至少应有一个适用性声明。

应确保与不完全包含在ISMS范围内的服务或活动的接口，已在寻求认证的ISMS中得到说明，并已包括在受审核方的信息安全风险评估中。与其他机构共享设施（如IT系统、数据库和通讯系统或外包一项业务职能）是这类情形的一个示例。

📌ISMS 描述示例与***（同QMS范围的描述要求）相关的信息安全管理活动（适用性声明编号：***，版本：***）

八、现场确认与记录要求

1. 现场确认

审核组长在进行现场审核时，必须按下达审核任务书的描述范围、描述方法和思路进行收集客观证据，验证认证范围与受审核方实际情况的符合性。例如：“塑料（PE、PVC、PP）管材的生产”，收集客观证据时应从PE、PVC、PP三种材料角度收集管材的生产、检验等证据。

审核组应在现场对受审核方认证范围的界定及表述进行确认。当认证范围缩小或仅对范围描述文字进行规范性和适宜性修订时，组长直接更改即可。

现场发现认证范围变更时应在审核记录及报告中予以说明，并收集相关证据。涉及扩专业、扩范围、范围变更等，应填写现场变更单，并现场与合同评审人员联系，确保后续流程一致。

2. 记录要求

合同评审、审核方案策划、现场审核记录、审核报告、认证评定等各环节，均应保留对认证范围进行确认的记录，确保可追溯。记录内容应包括范围确认的依据、确认结果、变更情况（如有）以及相关人员签字等。

📌总结 认证范围的界定与表述是一项系统性、专业性极强的工作，涉及法律法规、标准规范、行业惯例以及组织实际运营等多个维度。从基本概念的理解，到通用原则的遵循，再到各管理体系特殊要求的落实，每一环节均需严谨对待。核心要点可概括为：合规为基、覆盖全面、表述精准、过程留痕。希望本文的解析能为认证从业人员、审核员及各类组织提供切实有效的参考。