ISO 9001 내부심사 체크리스트 — 인증심사 전 확인할 20가지

ISO 9001 내부심사, 무엇을 확인해야 하나요?

ISO 9001 내부심사는 인증심사 직전에 서류를 정리하는 행사가 아닙니다. 조직의 품질경영시스템(QMS)이 다음 두 질문에 답할 수 있도록 하는 경영 도구입니다.

1. 조직이 정한 업무 기준과 ISO 9001 요구사항에 적합한가?
2. 계획한 시스템이 실제로 실행되고 유지되며 의도한 결과를 내는가?

ISO 9001의 내부심사 요구사항은 단순한 ‘조항 점검’을 넘어섭니다. 심사 프로그램에는 빈도, 방법, 책임, 계획과 보고 방식이 포함되어야 하며, 프로세스의 중요도와 조직에 영향을 주는 변화, 이전 심사 결과를 고려해야 합니다. 심사원 선정에서는 객관성과 공정성이 확보되어야 하고, 결과 보고 이후에는 시정과 시정조치를 지체 없이 진행해야 합니다.

따라서 좋은 체크리스트는 “절차서가 있습니까?”에서 끝나지 않습니다. 실제 업무 흐름과 성과, 기록 사이에 모순이 없는지를 확인해야 합니다.

내부심사와 인증심사는 어떻게 다른가요?

구분	내부심사	인증심사
수행 주체	조직 내부의 적격한 인원 또는 조직이 활용한 외부 인력	독립된 제3자 인증기관
주된 목적	시스템의 적합성·효과성 확인과 개선	인증 요구사항 충족 여부 평가 및 인증 결정에 필요한 정보 제공
심사 기준	ISO 9001과 조직의 절차·방침·계획	ISO 9001, 인증범위와 관련 인증 요구사항
결과 활용	프로세스 개선, 시정조치, 경영검토 입력	인증의 부여·유지·갱신 여부에 대한 독립적 결정

내부심사 결과가 모두 ‘적합’이라고 해서 준비가 잘됐다고 단정할 수는 없습니다. 여러 해 동안 발견사항이 전혀 없고 질문과 표본 기록도 매번 같다면, 오히려 내부심사가 형식적으로 운영되는지 살펴볼 필요가 있습니다.

인증심사 전 공통 준비사항은 ISO 인증심사 준비 체크리스트에서 함께 확인할 수 있습니다.

심사 전에 확인할 6가지

1. 내부심사 목적이 명확한가?

‘연 1회 실시’만으로는 목적이 충분하지 않습니다. 신규 공정의 안정화, 반복 고객 불만의 원인 확인, 공급업체 변경 후 관리 상태 또는 인증심사 준비 등 이번 심사에서 무엇을 확인할지 정해야 합니다.

2. 심사 범위와 기준이 정해져 있는가?

범위에는 대상 부서만 적기보다 프로세스, 사업장, 제품·서비스와 기간을 구체적으로 표시하는 것이 좋습니다. 심사 기준에는 적용되는 ISO 9001 요구사항뿐 아니라 조직이 스스로 정한 절차, 작업표준, 고객 요구사항도 포함될 수 있습니다.

3. 심사 프로그램에 리스크와 변화가 반영됐는가?

모든 부서를 같은 시간과 깊이로 심사할 필요는 없습니다. 다음 영역에는 더 많은 시간이나 표본을 배정할 근거가 있습니다.

• 최근 고객 불만이나 반품이 증가한 프로세스
• 설비, 원자재, 공급업체 또는 핵심 인력이 변경된 영역
• 목표를 지속해서 달성하지 못한 프로세스
• 이전 심사에서 부적합 또는 반복 관찰사항이 나온 영역
• 제품·서비스 적합성에 미치는 영향이 큰 공정

ISO 9001은 내부심사 빈도를 일률적으로 ‘연 1회’라고 규정하지 않습니다. 조직이 정한 빈도와 범위가 합리적인 이유를 심사 프로그램으로 설명할 수 있어야 합니다.

4. 인증범위 내 프로세스가 누락되지 않았는가?

영업, 설계·개발, 구매, 생산·서비스 제공, 검사, 출하와 고객 대응 등 QMS 프로세스의 연결관계를 기준으로 심사 범위를 살펴봅니다. 지원부서만 심사하고 핵심 운용 프로세스가 빠지거나, 외부 사업장과 교대조가 반복해서 제외되지 않도록 해야 합니다.

ISO 9001의 인증범위와 조직이 정하는 QMS 적용범위의 차이는 ISO 인증범위와 적용범위 안내를 참고하시기 바랍니다.

5. 심사원의 역량을 확인했는가?

내부심사원에게 특정 자격증이 반드시 필요한 것은 아니지만, 조직은 다음 역량을 어떻게 확인했는지 설명할 수 있어야 합니다.

• ISO 9001 요구사항에 대한 이해
• 심사 원칙과 질문·표본추출·증거평가 방법
• 대상 프로세스와 제품·서비스의 기본 지식
• 발견사항과 부적합을 명확하게 작성하는 능력

교육 수료증만 보관하기보다 참관심사, 공동심사, 보고서 검토와 정기 평가를 통해 실제 수행능력을 확인하는 편이 효과적입니다.

6. 객관성과 공정성이 확보됐는가?

심사원은 자신의 업무를 직접 심사하지 않아야 합니다. 소규모 조직이라면 부서 간 교차심사, 다른 사업장 인력 또는 적격한 외부 인력을 활용할 수 있습니다. 외부 인력이 심사를 지원하더라도 내부심사 결과를 이해하고 개선하는 책임은 조직에 남습니다.

심사 중 확인할 10가지

7. 프로세스의 입력·활동·출력이 연결되는가?

부서별 문서 목록 대신 업무 흐름을 따라가 보십시오. 예를 들어 수주 프로세스라면 고객 요구사항 접수, 검토, 변경관리, 생산 또는 서비스 부서로의 전달, 납품 후 피드백까지 추적합니다.

8. 담당자가 실제 업무 기준을 알고 있는가?

문서의 문구를 암기했는지가 아니라 자신의 역할, 승인 권한, 이상 발생 시 조치와 사용해야 할 기록을 이해하는지 질문합니다. 절차서의 내용과 인터뷰 답변, 현장 실행이 서로 일치해야 합니다.

9. 기록 표본이 계획한 활동의 실행을 보여주는가?

최근 기록 한 건만 확인하면 우연히 잘된 사례를 선택할 수 있습니다. 기간, 품목, 담당자, 교대조 또는 사업장을 달리해 표본을 선정하고 다음 내용을 비교합니다.

• 필수 정보가 빠짐없이 기록됐는가?
• 정해진 권한자가 검토·승인했는가?
• 기준을 벗어난 결과가 정상으로 처리되지 않았는가?
• 기록의 수정·보관·검색 방식이 관리되는가?

표본심사는 전체 기록을 보증하는 활동이 아니므로, 표본을 선택한 근거와 확인한 범위를 남겨두는 것이 좋습니다.

10. 리스크와 기회에 대한 조치가 업무에 반영됐는가?

리스크 목록만 작성돼 있는지보다 결정한 조치가 실제 프로세스에 반영되고 효과를 평가했는지 확인합니다. 고객 요구 변경, 공급망 문제, 인력 부족과 설비 고장 등 현재 조직 상황과 리스크 평가가 연결되어야 합니다.

11. 품질목표가 프로세스 성과와 연결되는가?

목표에는 측정방법, 책임자, 기한과 필요한 자원이 정해져 있어야 합니다. 미달성 목표는 수치만 보고하는 데 그치지 않고 원인, 후속조치와 일정이 관리되는지 살펴봅니다.

12. 고객 요구사항과 변경사항을 통제하는가?

계약 또는 주문을 받기 전에 요구사항을 검토했는지, 구두 요청과 도면·사양 변경이 관련 부서에 정확히 전달됐는지 확인합니다. 변경 전후 버전이 혼용되거나 납기·검사조건이 현장에 전달되지 않는 문제는 실제 부적합 출력으로 이어질 수 있습니다.

13. 외부 공급자 관리가 위험도에 맞는가?

모든 공급업체를 같은 방식으로 평가하기보다 제품·서비스 적합성에 미치는 영향을 고려해야 합니다. 승인 기준, 정기평가, 입고검사, 성과 모니터링과 문제 공급업체 후속조치가 일관되게 연결되는지 확인합니다.

14. 생산·서비스 제공 조건이 관리되는가?

현장에 최신 작업표준과 승인 기준이 제공되는지, 필요한 설비와 작업환경이 유지되는지, 식별·추적 요구사항이 지켜지는지 살펴봅니다. 특수공정이나 서비스 결과를 나중에 완전히 검증하기 어려운 활동은 사전 유효성 확인과 재확인이 필요한지 검토합니다.

15. 부적합 출력이 의도하지 않게 사용·인도되지 않는가?

부적합품, 잘못된 서비스 결과 또는 기준 미달 산출물이 식별·격리되고 권한에 따라 처리되는지 확인합니다. 재작업이나 특채 후에는 요구사항 충족 여부를 다시 검증하고 관련 기록을 남겨야 합니다.

16. 고객 만족과 불만이 개선으로 이어지는가?

설문조사만이 고객 만족 정보의 전부는 아닙니다. 재구매율, 반품, 납기 준수, 고객 불만, 계약 해지와 서비스 재요청 등 조직에 적합한 정보를 분석하고 필요한 조치를 했는지 확인합니다.

심사 후 확인할 4가지

17. 발견사항이 객관적 증거와 심사 기준에 연결되는가?

좋지 않은 부적합 문장은 “관리가 미흡함”처럼 무엇이 문제인지 재현할 수 없습니다. 다음 세 요소를 포함하면 명확해집니다.

1. 요구 기준: 어떤 표준 요구사항 또는 내부 기준을 적용했는가?
2. 객관적 증거: 어떤 기록·현장·인터뷰에서 무엇을 확인했는가?
3. 불충족 내용: 기준과 실제 상태 사이에 어떤 차이가 있는가?

심사원이 해결책을 대신 처방하기보다 조직이 원인을 분석하고 적절한 조치를 결정하도록 해야 합니다.

18. 결과가 관련 경영자에게 보고됐는가?

심사보고서는 품질담당자 폴더에만 보관하는 문서가 아닙니다. 해당 프로세스를 책임지고 자원을 결정할 수 있는 경영자에게 결과가 전달되어야 합니다. 반복 문제, 중요한 리스크와 자원 부족은 경영검토의 입력으로 연결하는 것이 좋습니다.

19. 시정과 시정조치를 구분했는가?

시정은 발견된 문제를 바로잡는 활동이고, 시정조치는 문제의 원인을 제거해 재발을 방지하는 활동입니다. 누락된 서명을 추가하는 것은 시정일 수 있지만, 왜 승인 단계가 반복해서 누락됐는지 분석하고 업무 흐름이나 통제를 개선해야 재발방지로 이어집니다.

다음 순서로 관리하면 누락을 줄일 수 있습니다.

• 발견된 부적합의 영향과 확산 범위 확인
• 즉시 시정 또는 통제
• 원인 분석
• 유사 프로세스에서의 재발 가능성 검토
• 시정조치 실행
• 일정 기간 후 효과성 확인

20. 후속조치와 내부심사 기록을 유지하는가?

조치가 완료됐다는 회신만으로 종료하지 말고 이후 표본에서 같은 문제가 재발하지 않는지 확인합니다. 내부심사 프로그램, 계획, 체크리스트 또는 심사 메모, 보고서, 부적합과 후속조치 기록은 심사가 계획대로 이행됐음을 보여주는 문서화된 정보입니다.

바로 사용할 수 있는 내부심사 기록 구성

조직 규모에 맞춰 다음 항목을 하나의 양식 또는 연결된 기록으로 관리할 수 있습니다.

구분	기록할 내용
심사 기본정보	일자, 목적, 범위, 기준, 대상 프로세스와 사업장
심사원 정보	심사팀, 역할, 역량 확인 근거, 독립성 검토
심사 표본	인터뷰 대상, 확인한 문서·기록, 현장과 표본 기간
발견사항	적합, 부적합, 개선기회와 각각의 객관적 증거
결과 보고	피심사부서 확인, 관련 경영자 보고 일자
후속조치	시정, 원인, 시정조치, 담당자, 완료기한
효과성 확인	확인 방법, 확인 일자, 결과와 종료 승인

형식적인 내부심사를 피하는 5가지 방법

1. 전년도 체크리스트를 날짜만 바꿔 사용하지 않습니다.
2. 조항 순서보다 고객 요구부터 결과물까지 프로세스 흐름을 따라갑니다.
3. 최근 변경, 불만과 성과 악화 영역의 표본을 늘립니다.
4. 문서 존재 여부와 함께 실행 결과와 효과를 확인합니다.
5. 발견사항 수가 아니라 중요한 문제를 찾아 개선으로 연결했는지 평가합니다.

ISO 9001 내부심사는 인증심사에서 부적합을 피하기 위한 모의시험에 그쳐서는 안 됩니다. 조직이 스스로 문제를 발견하고 경영자에게 신뢰할 수 있는 정보를 제공하며, 재발 방지까지 추적하는 체계여야 합니다. 체크리스트는 그 과정을 빠짐없이 수행하도록 돕는 도구로 활용하시기 바랍니다.

공식 근거 및 참고자료

• ISO 9001:2015 공식 표준 안내
• ISO 9001 Auditing Practices Group — Internal Audits
• ISO 19011 경영시스템 심사 가이드라인 공식 안내
• ISO 19011:2026 개정과 내부심사 대응

본 글은 2026년 7월 20일 확인한 ISO 및 ISO 9001 Auditing Practices Group 공개자료를 바탕으로 작성한 실무 안내입니다. 실제 내부심사 프로그램은 조직의 규모, 프로세스, 인증범위와 적용 요구사항에 맞게 설계해야 합니다.