审核发现升级流程图（逾期整改）
审核发现升级流程图模板：发现定级、具名责任人与期限、有异议的发现、逾期响应、升级至过程负责人、管理评审、风险接受与关闭。
什么是审核发现升级流程图（逾期整改）流程
大多数审核发现都会安安静静地关闭。这张图讲的是那些关不掉的。触发是审核报告中开具的一条发现，而当议定的纠正措施迟迟不到位时，要爬的正是这道阶梯：一次催办和一个最后期限，升级到真正掌握资源的过程负责人，然后是管理评审——组织在那里要么拨款把措施做完，要么正式接受这项风险。全图跟随一条发现走完全程：从报告出发，经过定级、指派和异议通道，经过议定的措施及其期限，走过逾期分支和两级升级，直到证据的验证与关闭，并把一条已验证发现的去向告诉委员会。
这里画的既不是审核本身，也不是常规跟踪。编制审核方案、核查审核员的独立性、抽样查阅记录、写出不符合项，属于内部审核流程。跟踪一条按计划推进的措施、验证它、检验它是否真的奏效，属于纠正措施跟踪流程，那条流程以有效性验证收尾，而不是以升级收尾。它也不是一般意义上的风险升级通道：这道阶梯只有爬到最高一级才触及风险决策，而项目风险升级和企业风险升级都是从风险登记册出发的。本图从一条发现已经存在、责任人已经具名的地方开始，它的价值恰恰体现在常规跟踪失灵之后。这条边界很重要，因为画成跟踪流程里一根旁枝的升级，永远是没人维护的那根旁枝。请把这里的定级、宽限期和两级升级当作起点，按你们自己的审核程序、管理体系的要求，以及在适用某个认证或监管方案时该方案自己关于关闭发现的规则去做调整。
四个判断撑起整个流程。“定级为严重、一般还是观察项？”启动响应时钟，并决定最高管理者是在第一天就听到这条发现，还是等到下一份报告；它放在审核组长手里，因为定级是一项审核判断，而不是一场谈判。“责任人对发现有异议吗？”给受审方留下一条真正可以申辩的通道，正是它挡住了一场分歧日后以沉默的形式重新浮现。“证据是否在期限内提交？”是全图升级那一半的触发点，它下面的每一级都挂在这一个检验上。“强制执行措施还是接受风险？”被刻意放在最高管理者的泳道而不是审核员的泳道：审核员报告风险敞口，组织决定拿它怎么办，而只有一位负有问责的高管才能在风险接受上签字。
本流程图涵盖的内容
本模板包含
- 五条泳道（审核组长、整改责任人、过程负责人、最高管理者、质量经理／审计委员会）横跨六个阶段：开具发现、指派与议定、跟踪响应、首次升级、管理评审，以及验证与关闭
- 一个三分的定级判断“定级为严重、一般还是观察项？”启动响应时钟：严重会先走“就严重发现通报最高管理者”，然后才指派责任人；而观察项则离开这道阶梯，落到改进登记册上，按期向委员会报告，而不是被追着一个期限催办
- 一条大多数升级图都省掉的异议通道：“责任人对发现有异议吗？”把它交给质量经理去“对照证据复核异议”，随后“复核后维持发现吗？”要么把发现放回阶梯，要么连同记录在案的理由撤销它
- 验证与逾期的分岔：“证据是否在期限内提交？”把已提交的响应送到“证据足以关闭发现吗？”，其中证据不充分会重新打开这项措施；逾期的响应则被送到“催办责任人并设定最后期限”
- 宽限期与第一级：“责任人在宽限期内回应吗？”在继续推进和“连同全程记录升级给过程负责人”之间做选择，而一份两次栽在“整改计划是否充分？”上的计划同样会走到这里；在这一级，“受阻于资源还是权限？”把一个动作慢的责任人和一项没有资源的措施区分开
- 阶梯顶端两条诚实的出路：“强制执行措施还是接受风险？”要么为措施拨款并把计划退回重新议定，要么记录一份签批过的风险接受，以一个复审日期收尾
何时使用本模板
- 上一轮审核的发现还开着，却没有人说得清每一条现在停在升级阶梯的哪一级
- 你们正在编写审核程序里的升级章节，需要把催办、宽限期和两级升级都写明白，而不是靠默契
- 审核员问过逾期发现是怎么升级的，而今天诚实的回答是：要看是谁在催
- 管理评审一次又一次收到同样的发现，你们需要指出它们在进入议程之前卡在了哪里
- 你们正在引入正式的风险接受，希望把签批、范围和复审日期画成一个步骤，而不是只留在邮箱的往来里
运作方式
把泳道改成你们的角色
用你们组织中真正存在的角色替换审核组长、整改责任人、过程负责人、最高管理者与质量经理／审计委员会。在小型质量部门里，审核组长和质量经理往往是同一个人：把这两条泳道合并，而不要画一次从不发生的交接。
把你们的定级定义写到第一个判断上
“定级为严重、一般还是观察项？”在每一级都有成文的判定标准和响应时限之前都是空的。ISO 9001 只讲不符合；大多数审核方案使用的严重与一般之分来自 ISO/IEC 17021-1，即管理体系认证机构所依据的标准，其中严重不符合是指影响管理体系实现预期结果的能力的那一类。然后写明每一级各给多少天。
确定期限、催办与宽限期
给“催办责任人并设定最后期限”和“责任人在宽限期内回应吗？”配上真实的数字。决定由谁发出催办、宽限期有多长，以及它是否对每个级别都一样。一段从来没有写下来的宽限期会悄悄变成无限期，而这正是一条发现可以拖上一年却没有任何人违反规定的原因。
指名两级升级各是谁
先决定第一级到底是谁。通常是整改责任人的直属上级，但在一条跨职能的发现上，是掌握资源的过程负责人，本图正是这样画的。然后指名坐在第二级上的机构，无论它是管理评审、审计委员会还是风险委员会，并写明一条发现在两次会议之间如何进入它的议程。
定义一份风险接受需要什么
“记录经高管签批的风险接受”背后需要一张表单：谁可以签、这项接受覆盖多大范围、在此期间有哪些补偿性控制，以及它何时失效。再决定被接受的风险随后由哪里承载，通常是风险登记册，以及到了你们设定的复审日期该由谁重新看它一眼。
议定什么样的证据才能关闭一条发现
“证据足以关闭发现吗？”是大多数后期分歧的落点。写明审核员对每一类措施分别接受什么：一份带版本号的修订程序、一条培训记录、一批变更之后处理的业务样本。再决定关闭是否只由审核员一人说了算，以及之后是否还要按你们的跟踪流程做一次有效性验证。
拿三条真实发现走一遍
从过去一年里挑三条发现：一条按时关闭的、一条逾期的、一条最后以接受风险收场的。让它们各自在图上走一遍。凡是大家口中描述却没有画出来的一级，或者画了却在实际中被跳过的一级，都是值得在发布流程、开始据此考核之前先改掉的地方。
常见问题
审核发现升级流程包含哪些步骤？
一条发现在审核报告中被定级为严重、一般或观察项；严重的送到最高管理者，观察项进入改进登记册。发现被指派给一位具名责任人，责任人接受它或提出异议；有异议的发现经复核后要么被维持，要么连同记录在案的理由被撤销。责任人议定纠正措施和期限，审核员检验计划是否充分，然后责任人一边执行一边更新进展。证据在期限内到达就进入验证；没有到达，责任人会被催办并给出最后期限，宽限期一过就升级到过程负责人，由他议定补救计划和硬性期限。受阻于资源或权限的情形会走到管理评审，由它拨款把措施做完，或者记录一份签批过的风险接受。经过验证的证据连同发现状态送到审计委员会，发现随之关闭，记录留存。
升级一条发现和跟踪一条发现有什么区别？
跟踪是正常状态：措施有责任人也有日期，进展看得见，证据按时到达，审核员验证它，并在一段设定的时间之后检验这次变更是否真的稳住了。没有出问题，所以谁也不必被惊动。升级是跟踪不再产生任何移动之后发生的事，它是另一条流程，里面坐着另一批角色。它问的是谁有权把这项措施解开，它把发现沿着一道具名的阶梯递上去，并且逼出一个决定，而不是再发一次提醒。把两者画在一起很有诱惑力，却会把每一级都藏进一张主干假定一切顺利的图里。常规循环请用纠正措施跟踪图，例外走本图，并把接缝写明：本图里的逾期判断，就是常规那张图收尾时的同一个判断。
谁来决定一条审核发现应该升级？
升级由审核部门触发，而不是由责任人触发。审核组长掌握时钟和催办，而把一条发现送到最高管理者面前的决定，归内部审计负责人或质量经理。国际内部审计师协会（IIA）的 2024 版《全球内部审计准则》自 2025 年 1 月 9 日起生效，把此事交给首席审计执行官：当他认定管理层接受的风险水平已经超出组织的风险偏好或容忍度，该事项必须与最高管理者讨论，若在那里没有解决，就必须升级到董事会。这套准则同样明确写着，处置这项风险并不是内部审计的职责。在质量管理体系里，对应的通道是管理评审，见 ISO 9001:2015 第 9.3 条。无论适用哪一条，都请把名字写进图里，而不是留给任何自认为有资格提出的人。
一条发现在升级之前应该给责任人多长时间？
没有通用的数字，本图也刻意一个都不带：期限、宽限期和每一级的时点都是占位符，由你们用自己的数值替换。请按定级来设定，而不是用一个全组织统一的数字，好让严重发现跑在一个短时钟上，也不让观察项占用同样多的注意力。如果你们通过了认证，认证机构的规则在这里是有牙齿的，而且不由你们改动：按 ISO/IEC 17021-1，严重不符合的纠正和纠正措施必须在作出认证决定之前得到评审、接受并验证，而一般不符合需要一份被接受的纠正措施计划，并在随后一次审核时验证。一段跑得比这些期限还长的内部宽限期，一文不值。
一条被升级的发现需要留下哪些记录？
一条被升级的发现，最终是靠它留下的痕迹来评判的，所以要记录：对照要求和证据写下的发现、具名责任人和议定的措施及其日期、每一次催办和它发出的时间、每一次升级和它的接收人、管理评审作出的决定，以及关闭时被接受的证据。如果风险被接受了，就把签批过的接受连同它的范围、补偿性控制和失效日期一起保存下来，并注明这项风险随后由哪里承载。ISO 9001:2015 第 10.2 条要求把不符合、所采取的措施以及任何纠正措施的结果作为成文信息保留；而审核指南标准 ISO 19011:2018 在第 6.7 条把跟踪单列为一个步骤，在那里验证完成情况与有效性——通常作为下一次审核的一部分。在实践中，真正能决定一场争论的记录往往最枯燥：谁在什么时候被告知过。