審核發現升級流程圖（逾期整改）
審核發現升級流程圖範本：發現定級、具名負責人與限期、有異議的發現、逾期回應、升級至流程負責人、管理層檢討、風險接受與結案。
甚麼是審核發現升級流程圖（逾期整改）流程
大部分審核發現都會靜靜地結案。這張圖講的是那些結不到案的。觸發是審核報告中開具的一項發現，而當議定的糾正措施遲遲不到位時，要爬的正是這道階梯：一次催辦和一個最後限期，升級到真正掌握資源的流程負責人，然後是管理層檢討——機構在那裏或者撥款把措施做完，或者正式接受這項風險。全圖跟隨一項發現走完全程：由報告出發，經過定級、指派和異議通道，經過議定的措施及其限期，走過逾期分支和兩級升級，直到證據的驗證與結案，並把一項已驗證發現的去向告訴委員會。
這裏畫的既不是審核本身，也不是日常跟進。編訂審核方案、核查審核員的獨立性、抽樣查閱紀錄、寫出不符合事項，屬於內部審核流程。跟進一項按計劃推進的措施、驗證它、檢驗它是否真的奏效，屬於糾正措施跟進流程，那條流程以成效驗證收尾，而不是以升級收尾。它亦不是一般意義上的風險升級通道：這道階梯只有爬到最高一級才觸及風險決策，而項目風險升級與企業風險升級都是由風險登記冊出發的。本圖由一項發現已經存在、負責人已經具名的地方開始，它的價值恰恰體現在日常跟進失靈之後。這條邊界很重要，因為畫成跟進流程裏一根旁枝的升級，永遠是無人維護的那根旁枝。請把這裏的定級、寬限期和兩級升級當作起點，按你們自己的審核程序、管理系統的要求，以及在適用某個認證或監管制度時該制度本身關於結束發現的規則去作調整。
四個判斷撐起整套流程。「定級為嚴重、一般還是觀察事項？」啟動回應時鐘，並決定最高管理層是在第一日就聽到這項發現，還是等到下一份報告；它放在審核組長手裏，因為定級是一項審核判斷，而不是一場談判。「負責人對發現有異議嗎？」給受審方留下一條真正可以申辯的通道，正是它擋住了一場分歧日後以沉默的形式重新浮現。「證據是否在限期內提交？」是全圖升級那一半的觸發點，它下面的每一級都掛在這一個檢驗上。「強制執行措施還是接受風險？」被刻意放在最高管理層的泳道而不是審核員的泳道：審核員報告風險敞口，機構決定拿它怎麼辦，而只有一位負有問責的高層才可以在風險接受上簽署。
本流程圖涵蓋的內容
本範本包含
- 五條泳道（審核組長、整改負責人、流程負責人、最高管理層、品質經理／審核委員會）橫跨六個階段：開具發現、指派與議定、跟進回應、首次升級、管理層檢討，以及驗證與結案
- 一個三分的定級判斷「定級為嚴重、一般還是觀察事項？」啟動回應時鐘：嚴重會先走「就嚴重發現通報最高管理層」，然後才指派負責人；而觀察事項則離開這道階梯，落到改善登記冊上，定期向委員會呈報，而不是被追着一個限期催辦
- 一條大部分升級圖都省掉的異議通道：「負責人對發現有異議嗎？」把它交給品質經理去「對照證據覆核異議」，隨後「覆核後維持發現嗎？」或者把發現放回階梯，或者連同存檔的理由撤回它
- 驗證與逾期的分岔：「證據是否在限期內提交？」把已提交的回應送到「證據足以令發現結案嗎？」，其中證據不足會重新開啟這項措施；逾期的回應則被送到「催辦負責人並訂出最後限期」
- 寬限期與第一級：「負責人在寬限期內回應嗎？」在繼續推進和「連同全程紀錄升級給流程負責人」之間作選擇，而一份兩次栽在「整改計劃是否足夠？」上的計劃同樣會走到這裏；在這一級，「受阻於資源還是權限？」把一個動作慢的負責人與一項沒有資源的措施區分開
- 階梯頂端兩條誠實的出路：「強制執行措施還是接受風險？」或者為措施撥款並把計劃退回重新議定，或者記錄一份已簽署的風險接受，以一個覆審日期收尾
何時使用本範本
- 上一輪審核的發現仍然開着，卻沒有人說得清每一項現在停在升級階梯的哪一級
- 你們正在編寫審核程序裏的升級章節，需要把催辦、寬限期和兩級升級都寫明白，而不是靠默契
- 審核員問過逾期發現是怎樣升級的，而今日誠實的答案是：要看是誰在催
- 管理層檢討一次又一次收到同樣的發現，你們需要指出它們在進入議程之前卡在了哪裏
- 你們正在引入正式的風險接受，希望把簽署、範圍和覆審日期畫成一個步驟，而不是留在一封電郵裏
運作方式
把泳道改成你們的角色
用你們機構中真正存在的角色取代審核組長、整改負責人、流程負責人、最高管理層與品質經理／審核委員會。在小型品質部門裏，審核組長與品質經理往往是同一個人：把這兩條泳道合併，而不要畫一次從來不會發生的交接。
把你們的定級定義寫在第一個判斷上
「定級為嚴重、一般還是觀察事項？」在每一級都有成文的判定準則和回應時限之前都是空的。ISO 9001 只講不符合；大部分審核方案採用的嚴重與一般之分來自 ISO/IEC 17021-1，即管理系統認證機構所依據的標準，其中嚴重不符合是指影響管理系統達成預期結果的能力的那一類。然後寫明每一級各給多少日。
訂定限期、催辦與寬限期
為「催辦負責人並訂出最後限期」和「負責人在寬限期內回應嗎？」配上真實的數字。決定由誰發出催辦、寬限期有多長，以及它是否對每一級都一樣。一段從來沒有寫下來的寬限期會靜靜地變成無限期，而這正是一項發現可以拖上一年卻沒有任何人違反規定的原因。
指名兩級升級各是誰
先決定第一級究竟是誰。通常是整改負責人的直屬上司，但在一項跨部門的發現上，是掌握資源的流程負責人，本圖正是這樣畫的。然後指名坐在第二級上的組織，無論它是管理層檢討、審核委員會還是風險委員會，並寫明一項發現在兩次會議之間如何進入它的議程。
界定一份風險接受需要甚麼
「記錄經高層簽署的風險接受」背後需要一張表格：誰可以簽、這項接受涵蓋多大範圍、在此期間有哪些補償性控制，以及它何時屆滿。再決定獲接受的風險其後由哪裏承載，通常是風險登記冊，以及到了你們訂下的覆審日期該由誰重新看它一眼。
議定甚麼樣的證據才可以結束一項發現
「證據足以令發現結案嗎？」是大部分後期分歧的落點。寫明審核員對每一類措施分別接受甚麼：一份帶版本號的修訂程序、一條培訓紀錄、一批變更之後處理的業務樣本。再決定結案是否只由審核員一人說了算，以及其後是否還要按你們的跟進流程做一次成效驗證。
拿三項真實發現走一遍
由過去一年裏挑三項發現：一項準時結案的、一項逾期的、一項最後以接受風險收場的。讓它們各自在圖上走一遍。凡是大家口中描述卻沒有畫出來的一級，或者畫了卻在實際中被跳過的一級，都是值得在發佈流程、開始據此考核之前先改掉的地方。
常見問題
審核發現升級流程包含哪些步驟？
一項發現在審核報告中被定級為嚴重、一般或觀察事項；嚴重的送到最高管理層，觀察事項進入改善登記冊。發現獲指派給一位具名負責人，負責人接受它或提出異議；有異議的發現經覆核後或者獲維持，或者連同存檔的理由被撤回。負責人議定糾正措施和限期，審核員檢驗計劃是否足夠，然後負責人一邊執行一邊更新進度。證據在限期內到達就進入驗證；沒有到達，負責人會被催辦並獲一個最後限期，寬限期一過就升級到流程負責人，由他議定補救計劃和硬性限期。受阻於資源或權限的情況會走到管理層檢討，由它撥款把措施做完，或者記錄一份已簽署的風險接受。經過驗證的證據連同發現狀態呈報審核委員會，發現隨之結案，紀錄保存。
升級一項發現與跟進一項發現有甚麼分別？
跟進是正常狀態：措施有負責人也有日期，進度看得見，證據準時到達，審核員驗證它，並在一段訂定的時間之後檢驗這次改動是否真的守得住。沒有出問題，所以誰也不必被驚動。升級是跟進不再產生任何移動之後發生的事，它是另一條流程，裏面坐着另一批角色。它問的是誰有權把這項措施解開，它把發現沿着一道具名的階梯遞上去，並且逼出一個決定，而不是再發一次提示。把兩者畫在一起很有吸引力，卻會把每一級都藏進一張主線假定一切順利的圖裏。日常循環請用糾正措施跟進圖，例外走本圖，並把接縫寫明：本圖裏的逾期判斷，就是日常那張圖收尾時的同一個判斷。
誰來決定一項審核發現應該升級？
升級由審核部門觸發，而不是由負責人觸發。審核組長掌握時鐘和催辦，而把一項發現送到最高管理層面前的決定，屬於內部審計主管或品質經理。國際內部審計師協會（IIA）的 2024 版《全球內部審計準則》自 2025 年 1 月 9 日起生效，把這一點交給首席審計執行官：當他認定管理層接受的風險水平已經超出機構的風險胃納或容忍度，該事項必須與最高管理層商討，若在那裏未獲解決，就必須升級至董事會。這套準則同樣明確寫着，處置這項風險並不是內部審計的職責。在品質管理系統裏，對應的通道是管理層檢討，見 ISO 9001:2015 第 9.3 條。無論適用哪一條，都請把名字寫進圖裏，而不是留給任何自認為有資格提出的人。
一項發現在升級之前應該給負責人多長時間？
沒有通用的數字，本圖亦刻意一個都不帶：限期、寬限期和每一級的時點都是佔位符，由你們用自己的數值取代。請按定級來訂定，而不是用一個全機構統一的數字，好讓嚴重發現跑在一個短時鐘上，也不讓觀察事項佔用同樣多的注意力。如果你們已通過認證，認證機構的規則在這裏是有牙齒的，而且不由你們改動：按 ISO/IEC 17021-1，嚴重不符合的糾正與糾正措施必須在作出認證決定之前獲評審、接受並驗證，而一般不符合需要一份獲接受的糾正措施計劃，並在其後一次審核時驗證。一段跑得比這些限期還長的內部寬限期，一文不值。
一項獲升級的發現需要留下哪些紀錄？
一項獲升級的發現，最終是靠它留下的痕跡來評斷的，所以要記錄：對照要求和證據寫下的發現、具名負責人和議定的措施及其日期、每一次催辦和它發出的時間、每一次升級和它的接收人、管理層檢討作出的決定，以及結案時獲接受的證據。如果風險獲接受，就把已簽署的接受連同它的範圍、補償性控制和屆滿日期一併保存，並註明這項風險其後由哪裏承載。ISO 9001:2015 第 10.2 條要求把不符合、所採取的措施以及任何糾正措施的結果作為成文資訊保留；而審核指引標準 ISO 19011:2018 在第 6.7 條把跟進單列為一個步驟，在那裏驗證完成情況與成效——通常作為下一次審核的一部分。在實務上，真正能決定一場爭論的紀錄往往最沉悶：誰在甚麼時候獲通知。