2.現場調查

現場調查是現場審核的關鍵活動，包括從信息源收集信息和驗證信息等。由于審核受時間和資源的限制，現場收集信息只能基于抽樣檢查，而不可能調查所有人員和所有點。

現場調查的目的應是收集和積累相關的、充分的、有說服力的和有用的證據，以得出正確的審核結論。只有能夠證實的信息方可作為審核證據。審核證據應當予以記錄。

信息源根據審核的范圍和復雜程度而不同，在信息源選擇上應注意抽樣要求，特別對部門和關鍵崗位需要覆蓋，通常可以包括：

(1)與員工及其他人員的面談；

(2)對活動、周圍工作環境和條件的觀察；

(3)對信息系統及支撐環境的了解；

(4)對業務的了解；

(5)對風險評估的情況了解和分析；

(6)對風險處置計劃的驗證；

(7)對適用性聲明的分析；

(8)對控制措施驗證；

(9)文件，例如方針、目標、計劃、程序、標準、指導書、執照和許可證、規范、圖樣、合同和訂單；

(10)記錄，例如：檢驗記錄、會議紀要、審核報告、方案監視的記錄和測量結果；

(11)數據的匯總、分析和績效指標；

(12)受審核方抽樣方案的信息，抽樣和測量過程控制程序的信息；

(13)其他方面的報告，例如顧客反饋、來自外部和供方等級的相關信息；

(14)計算機數據庫和網站。