1 目的
为明确信息安全管理体系内审的实施方法，保证内审定期有效地实施，为管理评审和持续改进提供依据，确保信息安全管理体系的有效运行，特制定本程序。
2 范围
本程序适用于本公司信息安全管理体系内部审核(简称：内审)工作的实施和管理。
3 职责
3.1 信息安全小组
负责制定年度审核计划与每次的审核计划，制定内审检查表以供各部门检查各项活动是否在信息安全保障内；
3.2 信息安全小组
任命内部审核小组可以进行内审；
负责管理和监督内审的进行与内审结果的确认。
3.3 其他各部门
配合内部审核小组进行内审，对内审中发现的问题进行整改。
4 相关文件
《信息安全管理手册》
5 程序
5.1 年度内审计划
5.1.1 计划制定
信息安全小组制定年度审核计划，确认当年年度的审核的目的范围，受审部门及受审的时间安排。交由管理代表审批。内部审核计划和方案，应该评估审核过程中的风险，该审核方案应该考虑在执行的过程中信息安全的风险，审计方案应该得到管理者批准。
5.2 内审
5.2.1 内审时机
内部审核原则上每年进行1次，由信息安全小组制定《内部审核计划》，经管理者代表批准后实施；若在非内审期内发现特殊情况，如有重要信息安全事件发生，或公司重要业务发生变化，可由办公室申请增加内审的次数，由管理者代表决定是否进行内审。
5.2.2 任命
每次审核前，由信息安全小组组织内部审核人员参加信息安全审核工作。信息安全小组应制定《内部审核计划》及《内部审核方案》，经管理者代表批准，并由信息安全小组通知被审核部门，被审核部门到时应选派有关人员配合审核。
5.2.3 内部审核员
5.2.3.1 资格要求
内部审核员必须是熟悉本组织业务和信息系统情况，参加信息安全管理体系内部审核员培训并考核合格的本组织人员。
5.2.3.2 独立性要求
内部审核员应来自于不同的职能部门，审核人员应与被审活动无直接责任，以保持工作的独立性。
5.2.4 资格评定
信息安全小组选择符合内部审核条件的人员，派往相关机构进行培训合格后，填写《内部审核员评定表》，由办公室组织各部门代表评定合格后方可成为内部审核员。
5.2.5 评定要求
信息安全管理体系内部审核员为关键岗位，应按《信息安全重要岗位评定表》进行评定。
5.3 内部审核的实施
5.3.1 审核实施
内部审核员应按《内部审核计划》规定实施审核，各有关部门应积极配合。
5.3.2 不符合项
对审核中发现的不符合项，由内部审核员开出《不符合项报告及纠正报告单》
5.4 纠正措施与跟踪审核
5.4.1 纠正
所有不符合项应由不符合项的责任部门负责按以下要求制定纠正措施并认真实施：
- 检查本部门其他方面和其他各部门是否存在类似情况；
- 对所有存在的不符合的问题按有关规定改正过来；
- 调查产生该不符合项的原因，填入《不符合项报告及纠正报告单》的"产生不符合项的原因"栏内，调查人要签字，并写明日期；
- 列明消除不符合项产生原因的措施计划，并说明具体步骤及完成日期，填入《不符合项报告及纠正报告单》的“纠正措施”栏内，经部门领导批准，并写明日期；
- 按制定的纠正措施认真实施，并将实施结果记入《不符合项报告及纠正报告单》的“实施结果”栏内，记录人要签字，并写明日期。
5.4.2 跟踪
内部审核员在规定期限进行跟踪审核，对纠正措施的实施及有效性进行验证，并将验证结果记入《不符合项报告及纠正报告单》。
5.5 审核报告
5.5.1 审核报告
内部审核结束后，审核组长应起草《内部审核报告》，编制《不符合项报告及纠正报告单分布表》。
5.5.2 管理评审输入
内部审核的结果应作为管理评审输入的一部分。
5.5.3 记录保管
信息安全小组应妥善保存评审记录。
5.6外部审核
5.6.1 外部审核时机
当在如下情况下可能会邀请外部机构对公司进行审核：
1、当组织需要对信息安全体系进行评估审核时
2、当技术安全需要时，如研发的某些重要软件，需要邀请外部评估机构对系统的安全性做一些安全性方面的评估。
5.6.2外部审核要求
1、当要开展外部审核时，应该制定审核计划和方案，应该评估审核过程中的风险，该审核方案应该考虑在执行的过程中信息安全的风险，审计方案应该得到管理者批准。
2、需要同第三方审核单位签订相关保密协议。
5.6.3审计工具的使用
当在审计过程中，需要使用某些工具时（如漏洞搜索软件、软件等），这些审核工具的使用需要得到限制，除非授权的专业人员外，其他人员禁止安装和使用。