前言與背景

2007年，ISO內部成立了一個跨委員會小組，成員來自各管理系統標準委員會；這個小組花了五年時間，在2012年完成一套所有管理系統標準都必須遵循的共同架構，稱為Annex SL，在此之前，ISO 9001、ISO 14001、ISO 27001各自使用不同的章節編號、不同的詞彙，企業如果同時導入兩張以上的證書，等於要維護兩套邏輯完全不同的文件系統；「文件化資訊」（Documented Information）正是在這套改造中誕生的共同語言，2012年隨ISO 22301首次出現，隔年ISO 27001改版跟進，直到2015年ISO 9001、ISO 14001改版，才真正被市場廣泛認識。這個詞底下，原本「文件」與「紀錄」的差異，收斂成「維持」（maintain）與「保留」（retain）兩種控制動作；維持對應過去的文件，保留對應過去的紀錄。

 

即戰力觀點

文件化資訊，容易被單純理解成把「文件」跟「紀錄」兩個詞合併，一種文字上的整併；這個理解有一部分是對的，企業確實還是要準備政策、程序、表單，也還是要保留稽核紀錄、教育訓練記錄，合併用詞本身，並沒有增加或減少任何一份具體文件的份量。

但如果只停在這個層次理解，會漏掉這次改造真正想解決的問題；過去「文件」與「紀錄」是兩套獨立的控制邏輯，一套講版本更新，一套講證據保存；企業內部往往因此分別建立文件管理部門與稽核紀錄系統，兩邊各自為政，遇到跨標準整合或外部查核時，經常出現同一件事情、兩套說法。Annex SL把這兩套邏輯收進同一個定義底下，要求企業回答一個更根本的問題：這份資訊，究竟是用來指引現在的行為（維持，maintain），還是用來證明過去發生過什麼（保留，retain）；這個提問本身，就是一種治理設計，逼著企業把文件系統從行政作業，提升到決策與證據鏈的位置。

這也是為什麼ISO 42001的AI治理要求、金融監理機關對內部控制文件的期待、以及資本市場對ESG揭露可追溯性的要求，會不約而同走向同一種語言；不是要企業寫更多紙本，而是要企業說得出，每一項決策背後有沒有可被檢視的資訊鏈，文件化資訊這個詞，厲害的地方不在字面，而在它把一個原本容易被當成行政瑣事的環節，重新定義成治理骨架的一部分。

 

解決方案

實務上，我們會建議企業先把手上既有的文件與紀錄，依維持（maintain）與保留（retain）兩種性質重新分類，而不是急著把舊有的文件庫全部改名重編；維持型的文件負責回答現在該怎麼做，保留型的紀錄負責證明過去做了什麼，兩者控制方式不同，前者關注版本與核准，後者關注防止竄改與保存年限。

其次，是把文件化資訊的管理，跟組織的風險與決策路徑對齊，而不是單獨交給文管人員維護；一項AI模型的風險評估紀錄，如果只被當成ISO 42001稽核用的表單，很容易流於形式，但如果被設計成董事會與業務單位都能追溯決策依據的資訊鏈，它同時滿足了治理揭露、監理問詢與內部管理三種需求，一份資訊，三種用途。

最後，是善用Annex SL帶來的共同架構，讓不同標準之間的文件化資訊互相銜接。企業如果同時持有ISO 9001、27001、42001等多張證書，理論上不需要三套獨立的文件系統，因為它們共用同一套定義與控制邏輯；真正需要投入心力的，是設計一套能同時服務多重目的的資訊治理架構，而不是重複建置。

 

結語

文件化資訊這個詞，從2012年走到今天，經歷了十多年的擴散與延伸；不同組織對這個詞的掌握程度落差很大，有些組織很快理解，重點在於資訊本身的可追溯性，有些組織仍停留在準備給稽核員看的文件夾這個階段。這兩種狀態沒有絕對的對錯，只是反映出每家企業目前所在的治理成熟度不同；這個詞會不會真正改變一家企業看待資訊的方式，最終還是取決於企業自己願意走到哪一步。