내부심사를 하지 못했는데 ISO 인증심사를 받을 수 있을까

“내부심사를 아직 못 했는데 다음 주에 ISO 인증심사를 받아도 될까요?”

결론부터 말하면 내부심사를 하지 않은 상태를 그대로 둔 채 최초인증 2단계 심사를 받는 것은 준비가 됐다고 보기 어렵습니다. 심사 신청이나 1단계 진행 가능 여부는 인증기관 절차와 현재 구현 상태에 따라 확인해야 하지만, 미실시 사실을 숨기거나 보고서만 급히 만들어 해결할 문제는 아닙니다.

ISO 9001의 내부심사는 인증심사 예행연습용 서류가 아닙니다. 조직이 자신의 품질경영시스템이 정한 기준과 표준 요구사항에 적합한지, 실제로 구현·유지되는지를 스스로 확인하는 과정입니다. 최초인증의 1단계 심사에서는 내부심사와 경영검토가 계획되고 수행되는지, 현재 구현 수준이 2단계 심사 준비도를 뒷받침하는지도 확인합니다.

따라서 지금 필요한 판단은 “보고서를 며칠 안에 만들 수 있는가”가 아니라 다음 세 가지입니다.

1. 실제 경영시스템이 얼마나 운영됐는가
2. 신청한 인증범위를 내부심사로 평가할 수 있는가
3. 발견된 문제를 고치고 효과를 확인할 시간이 있는가

내부심사와 인증심사는 서로 대신할 수 없습니다

두 심사는 수행 주체와 목적이 다릅니다.

구분	내부심사	인증심사
수행 주체	조직이 정한 적격한 내부 인력 또는 조직이 활용한 외부 인력	독립된 제3자 인증기관의 심사팀
주된 목적	자체 기준과 적용 표준에 대한 적합성·효과성 확인 및 개선	인증범위에 대한 적합성을 평가해 인증결정에 필요한 정보 제공
결과 활용	시정조치, 프로세스 개선, 경영검토 입력	인증의 부여·유지·갱신에 관한 독립적 절차
책임	경영시스템을 운영하는 조직	인증심사와 인증결정을 수행하는 인증기관

인증심사원이 외부에서 확인해 주므로 내부심사를 생략해도 된다고 생각할 수 있습니다. 그러나 인증심사는 조직의 자체 점검 기능을 대신하지 않습니다. 오히려 인증심사에서는 조직이 스스로 문제를 발견하고 조치하는 체계를 갖췄는지를 확인합니다.

반대로 내부심사 결과가 모두 적합이라고 해서 인증심사 결과가 보장되는 것도 아닙니다. 내부심사의 질문, 표본과 심사원 역량이 충분하지 않았다면 외부 심사에서 새로운 부적합이 발견될 수 있습니다.

최초인증 1단계에서 왜 문제가 됩니까

ISO 9001 Auditing Practices Group의 2단계 최초심사 안내는 1단계에서 조직과 경영시스템을 이해하고 2단계를 계획하며 준비도를 평가하는 취지를 설명합니다. 그 과정에는 내부심사와 경영검토가 계획되고 수행되는지, 경영시스템의 구현 수준이 2단계 진행을 뒷받침하는지 평가하는 내용이 포함됩니다.

내부심사가 전혀 수행되지 않았다면 다음 질문에 답하기 어렵습니다.

• 신청한 범위 안의 프로세스가 실제 절차대로 운영되는가
• 문서와 현장업무가 다른 부분을 조직이 발견했는가
• 고객불만·부적합·성과부진이 개선으로 연결되는가
• 변경된 조직·제품·공정이 경영시스템에 반영됐는가
• 문제 발견 후 원인분석과 시정조치가 작동하는가
• 경영진이 신뢰할 수 있는 자체 점검 결과를 받았는가

1단계에서 준비 부족이 확인되면 보완할 기회를 갖고 2단계 일정을 다시 검토할 수 있습니다. 구체적인 간격과 진행 조건은 인증기관 및 적용 인증스킴의 절차에 따라 달라질 수 있으므로, 임의로 “며칠이면 충분하다”고 단정하지 말고 담당 인증기관에 확인해야 합니다.

현재 상태를 세 가지로 구분하십시오

“내부심사를 못 했다”는 말에는 서로 다른 상태가 섞여 있습니다.

1. 계획도 없고 심사원도 정하지 않은 상태

가장 먼저 인증범위, 프로세스, 사업장과 적용 요구사항을 기준으로 심사 프로그램을 만들어야 합니다. 체크리스트 파일부터 내려받기보다 무엇을 왜 확인할지 정하는 것이 우선입니다.

2. 일부 부서만 심사한 상태

완료한 범위와 빠진 범위를 표시하십시오. 영업과 문서관리만 확인하고 핵심 생산·서비스 프로세스를 누락했다면 신청범위 전체의 구현 상태를 평가했다고 보기 어렵습니다.

3. 심사는 했지만 시정조치가 끝나지 않은 상태

심사보고서가 있다는 이유로 완료 처리해서는 안 됩니다. 발견사항별로 즉시 시정, 원인분석, 재발방지 조치, 담당자, 기한과 효과확인 상태를 구분해야 합니다. 중대한 시스템 공백이나 현장 개선이 필요한 문제라면 2단계 일정에 충분한 시간을 반영해야 합니다.

현재 상태	우선 조치	주의할 점
계획 미수립	범위·프로세스 기반 프로그램 수립	범용 체크리스트 복사로 끝내지 않기
일부만 실시	미심사 사이트·프로세스 식별	신청범위의 핵심 업무 누락 방지
보고서만 있음	인터뷰·현장·기록 표본 근거 확인	서명된 양식을 실시 증거로 오해하지 않기
부적합 미종결	원인·조치·효과확인 일정 수립	교육 한 번으로 모든 원인을 닫지 않기
경영검토 미실시	내부심사 결과와 성과자료 취합	회의록만 사후 작성하지 않기

ISO 9001이 ‘무조건 연 1회 일괄심사’를 정한 것은 아닙니다

ISO 9001은 내부심사를 계획된 주기로 수행하도록 요구합니다. 심사 프로그램을 정할 때는 프로세스의 중요도, 조직에 영향을 주는 변경과 이전 심사 결과를 고려해야 합니다. 모든 회사가 같은 날짜에 모든 조항을 한 번씩 확인하는 방식만 허용되는 것은 아닙니다.

예를 들어 다음과 같이 위험과 변화에 따라 주기를 나눌 수 있습니다.

• 신규 생산라인·신규 서비스: 안정화 기간에 더 자주 표본 확인
• 반복 고객불만이 발생한 프로세스: 시정조치와 효과성을 집중 확인
• 공급자 변경이 많은 구매·외주관리: 변경 발생 후 관리상태 확인
• 오랫동안 안정적으로 운영된 지원업무: 위험을 고려해 정기 프로그램에 배치
• 다중사업장: 공통체계와 사업장별 현장기록을 구분해 심사

다만 최초인증 전에는 “주기를 나눴다”는 말만으로 핵심 프로세스를 다음 해로 미뤄서는 안 됩니다. 신청한 인증범위의 시스템이 실제로 구현됐고 내부심사 프로그램이 필요한 범위를 다뤘다는 근거가 있어야 합니다.

심사 일정이 임박했을 때 정상적으로 보완하는 7단계

1. 인증기관에 현재 상태를 알립니다

내부심사 실시 여부, 남은 범위, 경영검토 상태와 1·2단계 예정일을 사실대로 공유하십시오. 필요한 보완 수준과 일정 조정 가능성은 인증기관 절차에 따라 확인합니다.

2. 인증범위와 프로세스 목록을 맞춥니다

인증서에 넣으려는 제품·서비스와 사업장부터 확인합니다. 그다음 고객 요구 확인, 설계, 구매·외주, 생산·서비스, 검사·납품, 고객 피드백과 지원 프로세스를 연결합니다.

ISO 심사원이 초기에 요청하는 자료를 기준으로 실제 기록의 위치도 함께 표시하면 심사범위 누락을 줄일 수 있습니다.

3. 심사원 역량과 객관성을 확보합니다

심사원은 적용 표준과 회사 프로세스를 이해하고 객관적으로 증거를 판단할 수 있어야 합니다. 자기 업무를 직접 심사하지 않도록 부서 간 교차심사를 배정하십시오.

직원이 적어 객관성 확보가 어렵다면 다른 사업장 인력이나 적격한 외부 인력을 활용할 수 있습니다. 외부 지원자가 내부심사를 수행하더라도 발견사항을 받아들이고 조치할 책임은 고객사에 남습니다.

4. 체크리스트보다 업무 흐름을 추적합니다

실제 주문이나 프로젝트 한 건을 선택해 다음처럼 연결해 보십시오.

고객 요구 → 계약검토 → 구매·외주 → 생산·서비스 → 검사·승인 → 납품 → 고객 피드백

각 단계에서 담당자 인터뷰, 현장 관찰, 시스템 기록과 문서 최신본을 확인합니다. ‘절차서 있음’에 체크하는 것만으로는 실제 구현 여부를 평가하기 어렵습니다.

5. 발견사항을 객관적 증거로 기록합니다

좋지 않은 예는 “문서관리가 미흡함”처럼 판단만 적는 것입니다. 좋은 기록에는 대상, 날짜, 표본과 충족하지 못한 기준이 드러납니다.

• 확인한 프로세스와 장소
• 확인한 기록의 기간과 표본
• 실제 관찰·인터뷰 내용
• 충족하지 못한 내부 기준 또는 적용 요구
• 담당자와 후속조치 기한

6. 시정조치를 끝까지 연결합니다

발견 즉시 빠진 서명을 보완하거나 파일을 옮기는 것은 즉시 시정일 수 있지만, 재발 원인을 없앤 것은 아닐 수 있습니다. 원인, 재발방지 조치와 효과확인 방법을 함께 정하십시오.

ISO 부적합 시정조치 작성 순서에서 원인과 효과성 확인을 연결하는 방법을 확인할 수 있습니다.

7. 경영검토에서 결과를 사용합니다

내부심사 보고서를 만든 뒤 파일을 닫지 마십시오. 경영진에게 주요 부적합, 반복 문제, 성과와 자원 부족, 미완료 조치를 보고하고 필요한 결정을 받아야 합니다. 내부심사 결과가 실제 경영검토와 개선으로 연결돼야 자체 점검 기능이 작동한다고 설명할 수 있습니다.

하면 안 되는 네 가지 지름길

과거 날짜로 보고서를 만드는 것

하지 않은 심사, 인터뷰와 현장확인을 과거에 수행한 것처럼 기록해서는 안 됩니다. 실제 수행일과 확인한 증거를 사용하십시오.

체크리스트에 일괄 ‘적합’을 표시하는 것

모든 항목이 적합일 수는 있지만, 질문과 표본 없이 같은 필체로 표시된 결과표만 있다면 심사의 깊이와 신뢰성을 설명하기 어렵습니다.

외부 컨설턴트에게 서명만 받는 것

외부 인력이 수행할 수 있는 것은 객관적 심사와 보고입니다. 실제로 확인하지 않은 결과에 이름만 빌리는 것은 내부심사가 아닙니다.

발견사항을 인증심사 뒤로 미루는 것

내부심사에서 확인한 문제를 숨기거나 아무 조치 없이 2단계를 받으면 경영시스템의 자체 개선 기능까지 의심받을 수 있습니다. 조치에 시간이 필요한 경우 미완료 상태, 임시 통제와 계획을 투명하게 관리하십시오.

인증심사 전 최종 점검표

• 인증범위의 법인·사업장·제품·서비스가 명확하다.
• 심사 프로그램에 주요 프로세스와 적용 요구가 연결돼 있다.
• 프로세스의 중요도, 변경과 이전 결과를 고려해 범위와 주기를 정했다.
• 심사원 역량을 확인했고 자기 업무 심사를 피했다.
• 문서 검토 외에 인터뷰·현장·운영기록 표본을 확인했다.
• 발견사항에 객관적 증거와 기준이 기록돼 있다.
• 부적합의 원인, 조치, 담당자와 기한을 정했다.
• 완료한 조치의 효과를 확인할 방법이 있다.
• 내부심사 결과가 경영검토 입력자료에 포함됐다.
• 미완료 사항과 실제 보완 일정을 인증기관에 사실대로 알렸다.

빠르게 만드는 것보다 실제로 한 번 돌리는 것이 중요합니다

내부심사를 하지 못했다면 가장 먼저 해야 할 일은 보고서 양식을 채우는 것이 아닙니다. 인증범위와 실제 프로세스를 기준으로 조직이 스스로 확인하고, 발견한 문제를 조치하며, 경영진이 필요한 결정을 내리는 흐름을 실제로 한 번 작동시키는 것입니다.

심사 일정이 촉박할수록 “며칠이면 인증 가능하다”는 답을 먼저 구하지 말고, 현재 운영기록과 미완료 조치를 확인해야 합니다. 필요하면 2단계 일정을 조정하는 편이 사실과 다른 기록을 만드는 것보다 안전합니다.

현재 내부심사 범위와 2단계 준비도를 확인하려면 ISO 준비도 자가진단을 이용해 보십시오. 신청범위, 심사 예정일, 내부심사·경영검토 상태를 함께 검토해야 한다면 DirectISO 상담에서 현재까지 실제로 완료한 범위와 남은 일정을 알려주시면 우선순위를 구분해 드립니다.

확인한 공식 자료

• ISO 9001:2015 공식 페이지 (확인: 2026-08-04)
• ISO 9001 Auditing Practices Group — Two-stage initial certification audit (확인: 2026-08-04)
• ISO 9001 Auditing Practices Group — Internal audit (확인: 2026-08-04)
• ISO — Certification (확인: 2026-08-04)

ISO 9001 Auditing Practices Group 자료는 인증심사 실무에 관한 공개 지침이며 표준 요구사항 자체를 대체하지 않습니다. 실제 심사 진행 조건과 일정은 적용 표준, 인증스킴과 인증기관 절차를 확인해야 합니다.