总部、软件和专业服务企业要证明交付过程，而不是套用工厂表格
北京企业的认证场景常见于软件开发、信息服务、咨询设计、科研技术、集团总部和项目管理。没有生产车间并不意味着没有可审核过程；合同评审、人员能力、项目计划、版本与权限、成果复核、供应商和客户反馈都能形成真实证据。延泉科技从申请主体、共享职能、项目团队和客户现场的关系入手，判断ISO9001、信息安全或其他体系的实际边界。
软件开发与平台服务
需求、架构或方案、开发测试、发布变更、故障、权限、云资源和客户验收应贯穿一个真实项目。
咨询设计等专业服务
人员资质、合同边界、项目策划、成果复核、知识管理、保密和客户确认比制造记录更重要。
集团总部与共享职能
人力、采购、信息化、法务或质量等共享部门应说明服务对象、权限、数据和对分支的监督方式。
科研技术与项目制业务
立项、技术评审、里程碑、外部合作、试验数据、变更、成果交付和风险管理需与合同责任一致。
按交付责任判断ISO9001、ISO27001和多场所边界
ISO9001适用于产品和服务质量管理。软件、咨询和技术服务企业可以围绕客户需求、项目策划、人员配置、成果评审、交付验收和投诉改进建立体系，不需要虚构生产设备、来料检验或仓库台账。
ISO27001关注组织的信息资产和风险。涉及客户数据、源代码、账户、云平台、远程访问、备份、供应商和安全事件时，应明确资产责任、风险处置及控制运行；仅有保密协议和权限制度不足以证明体系有效。
总部型企业应先确认申请主体及共享职能。集团制度、品牌和办公地点相同，不代表所有关联公司自动进入一张证书；需要说明总部为哪些主体提供哪些职能、哪些活动属于认证范围、绩效和问题如何汇总。
客户驻场和外地项目要按持续性、活动重要性及控制关系判断。即使驻场不作为固定场所列示，项目交付、人员、设备、权限、安全和客户沟通仍应进入体系并接受抽样。
服务型企业可用一个项目准备六类证据
- 合同与需求：客户目标、范围、成果、时间、验收、保密、数据及变更要求的评审。
- 项目策划：负责人、成员能力、阶段、风险、沟通、外部合作、质量准则和资源安排。
- 开发或交付：需求跟踪、设计或方案、版本、评审、测试、成果复核、配置和变更记录。
- 信息与权限：资产清单、账户审批、访问复核、备份恢复、日志、安全事件和离职交接。
- 供应商和外包：云服务、外包开发、专家、数据或设备供应方的选择、协议、权限和绩效。
- 验收与改进：客户确认、服务故障、投诉、复盘、目标、内审、管理评审和纠正措施。
办公室、集团分支和客户现场之间必须划清责任
同一办公楼可能存在多个法人，集团团队也可能跨城市为各公司提供人力、采购、技术或信息化服务。认证边界应以法律主体和实际控制活动为基础，说明人员隶属、合同签署、数据归属和过程责任。客户现场或远程办公人员要遵守哪些项目、信息和安全规则，也应在体系内定义，而不是因没有固定工位就忽略。
先评审一个项目，再检查横向管理机制
第一步访谈管理层和交付岗位，确认客户、业务模式、主体与场所；第二步选择一个近期软件、咨询或科研项目做完整穿行；第三步横向检查人员、供应商、信息安全、目标和问题改进；企业运行后组织内审和管理评审，再按审核范围进行抽样准备。已有项目系统、代码平台、工单和电子审批可作为证据，重点是权限、完整性和闭环。
服务边界
咨询可协助标准理解、范围判断、项目流程与证据整理，不代替专业人员作出技术结论，不读取或编造客户敏感数据、源代码和项目成果，也不能代表认证机构承诺审核结果。
按北京服务与科技企业的实际问题继续查看
北京ISO认证准备常见问题
公司没有工厂，ISO9001审核会看什么？
会关注客户需求、合同评审、人员能力、项目或服务过程、成果验证、供应商、客户反馈和持续改进，不要求虚构制造过程。
集团总部能否把子公司都写在同一张证书上？
需要核对法律主体、控制关系、共同体系、场所和活动，不能仅因同一品牌或办公地点就自动纳入。具体范围和审核方案应由认证机构确认。
全部使用云服务，还需要管理信息安全吗？
需要。企业仍负责账户权限、配置、数据、供应商协议、备份、事件和退出机制；云服务商承担的控制与企业自身责任应划分清楚。
顾问可以代企业准备客户项目记录吗？
不能编造或代替真实项目执行。咨询可以帮助识别应保留的证据、整理现有系统和改进流程，实际记录应由责任岗位形成。
张经理微信扫码添加，咨询认证方案