监督审核的目的是：验证获证组织的信息安全管理体系是否持续满足认证标准的要求，或考察组织运行引起的信息安全管理体系的变化是否符合认证的要求。

监督审核的要求：

□ 对组织信息安全管理体系监督的频次和深度应视组织信息安全管理因素的复杂性及信息安全影响程度等情况决定，通常至少一年一次；

□ 每次监督审核应派出正式审核组按初始审核的程序进行。一般监督审核的成员中应包含参加过该组织认证审核的审核组成员，其中必须有熟悉受审核行业的人员，而不能由实习审核员单独组成；

□ 监督审核可采用抽样的方式进行。如果获证组织分部于几个不同的场所，每次监督审核可以对不同的现场进行抽查，但应确保在三年中覆盖全部现场，其中每年对其总部的审核应至少一次；

□ 每次监督审核应涉及全部信息安全管理体系要素，三年内不同次监督审核对每个要素审核的深度和广度可各有侧重；

□ 较之初始审核，监督审核的要求不仅不应放松，反而应适度从严，如发现与上次审核相同的问题，应考虑不符合性质的升级；

□ 监督审核之后，审核组应为认证评审提供审核记录及报告，以便对受审核方信息安全管理体系做出保持认证证书，认证暂停或认证撤消的决定。