四、ISO27001信息安全管理体系 合规性检查
符合适用法律法规的要求GB/22080-2008/ISO/IEC27001:2005的基本要求。合规性检查在初次审核的两个阶段都需要，目的是评价组织是否充分识别了适用的法律法规以及实际执行情况。合规性检查主要包括：
1．资格验证
包括但不仅限于在申请评审及第一阶段审核中对营业执照、特许经营许可、注册地址和办公地址（包括临时场所）、信息安全管理体系覆盖的人数、法定代表人身份等进行验证，验证可以通过查验证件原件、查验场地产权或租赁协议和核实人数等方式进行。对存在虚假信息的要进一步查明原因，及时妥善处理。
2．法律法规要求识别情况检查
首先审核员应了解受审核组织需遵守的法律法规，然后检查组织提供的已识别的法律法规清单，并通过沟通、查验相关材料和环境巡视等方式，检查组织是否存在违反法律法规的行为，进而评价组织的法律法规符合性。
3．保密检查
主要针对有保密要求的组织（例如涉及国家秘密或组织有需要保密的信息）进行检查。
应注意对有保密要求的组织在申请评审和任命审核组时就充分考虑其认证风险。原则上，审核组检查的是组织是否建立了相应的保密规程和实际执行情况，审核员一般不应接触保密信息；特殊情况下，确有必要接触保密信息的，应严格按组织的保密规程办理相关手续。
4．知识产权保护检查
知识产权保护是合规性的重要方面，也是标准附录A专门列出的合规性检查项目。合规性检查中需要特别组织是否识别了需要保护的知识产权并落实了保护措施，是否识别了组织的正版化状态，是否落实了正版化策略。例如，检查组织所使用的工具、系统、设备及生产中所采用的技术有没有违反知识产权保护的规定，一旦发现违规则应向组织明确指出。
