没有认证经验的企业在做 ISO27001 认证时，可能会遇到以下困难：
一、理解标准方面
标准内容复杂
ISO27001标准涵盖了众多领域和专业术语，对于没有认证经验的企业来说，理解标准的要求可能存在一定难度。例如，标准中涉及的信息安全风险评估方法、控制措施的选择和实施等内容，需要企业投入时间和精力去学习和领会。
标准的不断更新也可能给企业带来挑战。企业需要及时了解标准的变化，并调整自身的信息安全管理体系以满足新的要求。
缺乏专业知识
企业内部可能缺乏对信息安全管理和 ISO27001认证有深入了解的专业人员。这使得企业在解读标准、制定信息安全策略、进行风险评估等方面可能会出现偏差或不准确的情况。
没有专业知识的支持，企业在应对认证过程中的各种问题时可能会感到力不从心，不知道如何正确地采取措施。
二、体系建设方面
资源投入有限
建立和实施信息安全管理体系需要一定的资源投入，包括人力、物力和财力。对于没有认证经验的企业来说，可能难以准确评估所需的资源，导致资源投入不足或不合理分配。
例如，企业可能在人员培训、技术设备升级、咨询服务等方面缺乏足够的预算，影响信息安全管理体系的建设质量和进度。
组织协调困难
信息安全管理体系的建设涉及企业的各个部门和岗位，需要进行有效的组织协调。没有认证经验的企业可能在协调各部门之间的工作、明确职责分工等方面遇到困难。
不同部门可能对信息安全的重视程度和理解存在差异，导致在体系建设过程中出现推诿、扯皮等现象，影响工作效率和质量。
三、审核准备方面
不符合项整改
在认证审核过程中，企业可能会被发现存在不符合项。对于没有认证经验的企业来说，整改不符合项可能是一个艰巨的任务。企业需要准确理解不符合项的性质和要求，制定切实可行的整改措施，并在规定的时间内完成整改。
整改过程中可能需要涉及多个部门的协作和资源调配，企业如果缺乏有效的管理机制，可能会导致整改工作进展缓慢或无法达到审核要求。
审核应对策略
没有认证经验的企业可能不了解认证审核的流程和重点，不知道如何有效地应对审核。例如，在审核过程中如何与审核员进行沟通、如何展示企业的信息安全管理体系的有效性等方面，企业可能缺乏经验和策略。
审核应对不当可能会导致审核结果不理想，甚至影响企业的认证进程。
