ISO45001 體系推行步驟 階段 文件制定與發(fā)行 1.任命管代，任命員工代表 2.成立推行小組，確定EHS體系組織構(gòu)架3.方針確立，目標指標確定 4.體系文件機構(gòu)確立，程序文件清單制定 5.管理手冊編寫，發(fā)布 6.程序文件編寫并發(fā)行 7.制定修改制度類文件并培訓(xùn)發(fā)行 第二階段 體系運行1.其他相關(guān)方資料的收集 2.法律法規(guī)的識別與評價3.危險源的識別與評價 4.職業(yè)危害因素的識別與檢測5.年度職業(yè)衛(wèi)生，，特種設(shè)備，大樓防雷接地，消防等檢測 6.有職業(yè)危害作業(yè)人員，未成年工定期體檢報告7.重大危險源的管控8.急救設(shè)施，急救藥箱的配備 9.應(yīng)急預(yù)案的制定，培訓(xùn)，演練 10.勞保用品的采購，發(fā)放，佩戴，設(shè)施設(shè)備必要的防護措施 11.危險化學(xué)品的管理 12.職業(yè)危害標示的張貼 13.目標達成和未達成對策14.新改擴建項目評估和驗收（有新改擴建項目時） 15.職業(yè)相關(guān)培訓(xùn)教育和記錄 第三階段 內(nèi)審以及管理評審1.內(nèi)審員資格認定 2.內(nèi)審實施3.管理評審 第四階段 體系維持和持續(xù)改進1.各程序文件和制度的持續(xù)實施 2.各程序文件和制度的不斷優(yōu)化 IATF 16949 體系推行步驟 一、湖北武漢準備階段1.1 領(lǐng)導(dǎo)決策，統(tǒng)一思想 公司 領(lǐng)導(dǎo)作出IATF16949貫標和認證的決策，任命管理者代表，授權(quán)其按IATF16949推行小組。 1.2 設(shè)立IATF16949推行小組 小組成員須懂專業(yè)技術(shù)、湖北武漢同城質(zhì)量管理，具有較強的分析能力及文字能力，一般為各部門的骨干。應(yīng)為小組配備輔助人員，進行打字、湖北武漢本地文件傳遞等工作。 1.3 編制工作計劃 應(yīng)包含宣傳教育、湖北武漢培訓(xùn)人員、湖北武漢體系分析、湖北武漢標準條款的選擇、湖北武漢附近過程展開、湖北武漢附近責(zé)任分派、湖北武漢本地文件編制和體系建立等方面。計劃中應(yīng)明確各工作項目的承擔(dān)部門和完成期限。 1.4 學(xué)習(xí)培訓(xùn) a.管理人員應(yīng)了解標準的由來、湖北武漢本地掌握標準的主要內(nèi)容和用途、湖北武漢附近理解貫標的意義。 b.IATF16949推行小組應(yīng)對系列標準有較的掌握，掌握標準的選擇、湖北武漢附近剪裁和應(yīng)用方法。 c.普通員工學(xué)習(xí)IATF16949基礎(chǔ)知識。 二、湖北武漢附近質(zhì)量體系設(shè)計2.1 制定質(zhì)量方針，確定質(zhì)量目標。 2.2 確定質(zhì)量管理體系應(yīng)包含的IATF16949條款。 根據(jù)產(chǎn)品的特點和客戶要求對IATF16949的條款進行取舍必要時做必要的補充。 2.3 公司現(xiàn)狀診斷。 將公司現(xiàn)有質(zhì)量體系的要求與選取的IATF16949的有關(guān)要求進行對照，找出它們之間的差距，進而確定需進行修改的內(nèi)容。 2.4 質(zhì)量責(zé)任分配及資源配備。 a.根據(jù)需要對組織結(jié)構(gòu)進行調(diào)整； b.將各項質(zhì)量活動責(zé)任分配落實到各職能部門，編制職能分配矩陣表。 c.識別資源要求，配置必需的資源。為了實現(xiàn)IATF16949標準要求，應(yīng)確保質(zhì)量體系擁有必需的資源，對短缺的資源應(yīng)及時地進行補充。 三、湖北武漢附近確定要編制的文件清單3.1 整理現(xiàn)有的各類質(zhì)量體系文件，并與IATF16949的條款進行對照，以確定要新編與修訂的文件清單。 3.2 ?編寫指導(dǎo)性文件。 就質(zhì)量體系文件的要求、湖北武漢同城內(nèi)容、湖北武漢本地格式作出規(guī)定。 3.3? 制定文件編寫計劃 針對需要編寫的文件，制定編寫計劃、湖北武漢附近規(guī)定： a.編寫、湖北武漢本地討論、湖北武漢同城審核、湖北武漢本地批準的人員 b.編寫、湖北武漢當(dāng)?shù)赜懻?、湖北武漢當(dāng)?shù)貙徍?、湖北武漢當(dāng)?shù)嘏鷾实倪M度、湖北武漢同城要求和完成日期。 四、湖北武漢同城文件編寫、湖北武漢同城討論、湖北武漢同城審核與批準4.1?各部門完成文件制作4.2 按照計劃進行跨部門評審4.3 完成文件的批準? 五、湖北武漢當(dāng)?shù)刭|(zhì)量體系的實施運行5.1試運行前的培訓(xùn)； 5.2試運行前的準備； 5.3宣布試運行。 將質(zhì)量體系由不完善到完善，由不配套到配套，由不習(xí)慣到習(xí)慣，由沒有記錄到記錄完整，由不符合到符合過渡。試運行中的問題應(yīng)及時采取措施，從而保證質(zhì)量體系正常的運行。 6? 內(nèi)部質(zhì)量管理體系審核請輸入正文 六、湖北武漢當(dāng)?shù)貎?nèi)部質(zhì)量管理體系審核認證前至少進行一次內(nèi)審，對審核中的不合格項采取糾正措施加以解決。 七、湖北武漢管理評審認證前至少進行一次管理評審，確保質(zhì)量管理體系的充分性、湖北武漢當(dāng)?shù)剡m宜性和有效性。 八、湖北武漢本地審核認證8.1 向認證機構(gòu)提交質(zhì)量手冊及有關(guān)文件。 8.2 ?認證機構(gòu)評定公司的體系文件對不符合的地方進行修正或補充。 8.3 ?預(yù)審：通過預(yù)審，可以使員工對認證過程有所了解，減少神秘感和恐懼心理及減少正式認證時的風(fēng)險。 8.4? 正式現(xiàn)場審核 a.首次會議； b.現(xiàn)場參觀； c.現(xiàn)場檢查、湖北武漢本地開具不合格報告； d.內(nèi)部評定； e.末次會議。 九、湖北武漢當(dāng)?shù)貙徍酥械牟缓细耥棽扇〖m正措施9.1 制訂糾正措施計劃并實施； 9.2 對糾正措施的有效性并給出結(jié)論 IATF16949體系是一個很大的體系，如果你對IATF16949沒有足夠的了解，建立起來是有相當(dāng)大的難度的，里邊會涉及到很多問題。 以下是給你列出的IATF16949第二階段審核所需資料清單： a. 質(zhì)量手冊。 b. 程序文件。 c. 公司所識別的過程模式圖及過程清單（三種類型COP,SP,MP）。 d. 所識別流程與條文的關(guān)系，請記錄于附件表格中； e. 對應(yīng)各流程所制定的目標的一覽表，及其過去12月的績效/趨勢圖。 f. 文件的清單或一覽表。 g. 客戶特別規(guī)定的清單或一覽表，及其文件(與過程的矩陣)。 h. 客戶所提供的績效信息或成績表，及客戶滿意度調(diào)查的結(jié)論報告。 i. 客戶抱怨的一覽表及相關(guān)資料。 j. 內(nèi)部審核結(jié)果及報告。 k. 合格內(nèi)部審核員的清單或一覽表。 l. 管理審查計劃、湖北武漢當(dāng)?shù)貓蟾妗?m. 事先確認公司每一個廠址的員工數(shù)、湖北武漢附近生產(chǎn)班次及其時間。 n. FMEA(包括DFMEA，如有需要時)。如果你所在的公司還需要推行其它ISO體系，也不用著急，看看下面這個ISO體系的推行通用流程，根據(jù)它來設(shè)計你需要推行體系的具體推行計劃吧！ ISO體系推行通用流程 一、湖北武漢附近體系策劃階段（P）?準備階段 1.成立推行小組1) 任命管理者代表（非必須）2) 組建體系推行團隊體系推行團隊成員應(yīng)為各部門主管或業(yè)務(wù)骨干為主的，并且能保證相對充足的時間來完成推行過程中的各項活動。 2.體系診斷和分析公司現(xiàn)有體系狀況與將要建立的體系要求之間的差異有哪些？哪些活動需要新建立，哪些需要廢除，哪些可以優(yōu)化和整合等，體系診斷的目的是為制定推行計劃提供依據(jù)。 3.制定推行計劃體系推行的各項工作應(yīng)采用甘特圖的形式反映，推行負責(zé)人應(yīng)時刻關(guān)注推行進度是否按照計劃實施。推行計劃一般包括以下內(nèi)容：體系診斷（現(xiàn)狀調(diào)查、湖北武漢本地識別）、湖北武漢附近成立ISO推行小組并組織相關(guān)培訓(xùn)、湖北武漢附近體系文件結(jié)構(gòu)策劃、湖北武漢附近程序文件編寫、湖北武漢附近質(zhì)量手冊編寫、湖北武漢當(dāng)?shù)厝A文件編寫、湖北武漢同城體系文件審查發(fā)布、湖北武漢當(dāng)?shù)伢w系文件宣傳培訓(xùn)、湖北武漢附近系統(tǒng)試運行、湖北武漢本地內(nèi)部稽核培訓(xùn)、湖北武漢 次內(nèi)稽會議、湖北武漢同城管理審查會議、湖北武漢補審（關(guān)于內(nèi)部審核和管理評審）、湖北武漢質(zhì)量體系完善和改進、湖北武漢認證申請、湖北武漢同城現(xiàn)場審核、湖北武漢附近外審不合格項糾正、湖北武漢附近拿到。 4.召開啟動大會體系推行啟動大會參與人員應(yīng)包括：管理者代表、湖北武漢同城 管理者（職位越高越好）、湖北武漢當(dāng)?shù)伢w系涉及的所有部門負責(zé)人、湖北武漢當(dāng)?shù)赝菩薪M成員。啟動大會上應(yīng)說明體系推行的時間安排，重要的時間節(jié)點，以及簡單介紹各推行活動的大概內(nèi)容。 5.標準培訓(xùn)介紹將要推行的管理體系標準知識，此處可以和內(nèi)審員培訓(xùn)一起開展，培訓(xùn)講師可以是公司內(nèi)部人員也可以請外部機構(gòu)。（1） 全員貫標培訓(xùn)（ISO9000標準知識為主）（2） 管理層培訓(xùn)（管理者職能為主）（3） 質(zhì)量管理層培訓(xùn)（有關(guān)質(zhì)量的各項文件、湖北武漢記錄、湖北武漢當(dāng)?shù)刈鳂I(yè)方法為主）（4） 基層員工培訓(xùn)（質(zhì)量意識、湖北武漢本地體系流程、湖北武漢如何按體系要求作業(yè)為主）（5） 文件編寫小組培訓(xùn)（體系文件編寫為主）對ISO小組的成員進行培訓(xùn)，由ISO推行小組組長對成員進行培訓(xùn)（有些是請咨詢公司進行外部培訓(xùn)）。通過培訓(xùn)宣傳，讓全公司上下都感受到推行ISO現(xiàn)在已經(jīng)開始，形成一種氛圍。同時讓成員清楚ISO推行過程中所做哪些工作，每個人的工作內(nèi)容，怎么配合總體進度，遇到問題通過什么途徑解決等等。 6.規(guī)范組織架構(gòu)按照體系的管理范圍，重新梳理公司的組織架構(gòu)，并規(guī)定各部門職責(zé)。 7.明確體系方針和目標如果已有體系方針和目標，應(yīng)評審其適宜性，如沒有應(yīng)建立。 8.過程識別分析、湖北武漢同城識別和確定組織內(nèi)輸入與輸出都直接與外部顧客相關(guān)的過程（顧客導(dǎo)向過程）以及實現(xiàn)這些過程所需要的支持過程和管理過程。 9.文件編寫培訓(xùn)該培訓(xùn)的目的使文件編寫人了解文件格式、湖北武漢同城文件編號、湖北武漢當(dāng)?shù)匚募刂频纫螅苊馕募念l繁修訂。 ?文件建立階段1.制定文件編寫計劃按照推行總計劃制定文件編寫計劃，將需要新增或修訂的文件分配到各編寫人員，規(guī)定具體的完成日期。一是確定整個體系文件的編寫計劃及進度，二是確定質(zhì)量管理體系文件內(nèi)容（要編哪些程序，哪些規(guī)范，有什么表單等）。一般情況下，已經(jīng)成立有一段時間的公司，各類表單及流程都已經(jīng)完善，收集起來即可。但如果剛成立的公司則需全部整套文件進行編寫，這樣任務(wù)很重， 的辦法就是參照同行業(yè)中其它企業(yè)的體系文件。 2.文件編寫按照文件編寫計劃對文件進行編寫、湖北武漢本地修訂，包括但不限于以下文件：a) 手冊文件（如質(zhì)量手冊、湖北武漢當(dāng)?shù)丨h(huán)境手冊等）b) 程序文件c) 三級文件（作業(yè)規(guī)范、湖北武漢本地工藝規(guī)程等）d) 各級文件涉及的表格、湖北武漢標簽格式等體系文件有幾個方面需確定：1. 質(zhì)量手冊、湖北武漢本地程序文件封面；2.質(zhì)量手冊、湖北武漢程序文件、湖北武漢當(dāng)?shù)匾?guī)范的內(nèi)頁格式＜包括表頭樣式、湖北武漢文件層次（目的、湖北武漢同城適用范圍、湖北武漢定義、湖北武漢本地職責(zé)、湖北武漢附近程序、湖北武漢同城質(zhì)量記錄、湖北武漢相關(guān)文件、湖北武漢當(dāng)?shù)馗戒洠?、湖北武漢附近字體格式（包括字體大小、湖北武漢本地字體類型、湖北武漢當(dāng)?shù)匦芯唷⒑蔽錆h當(dāng)?shù)厥仔锌s進等）；3.程序文件修訂頁格式；4. 的方式是編寫一份《體系文件編寫導(dǎo)則》，規(guī)定好相關(guān)內(nèi)容。 3.文件評審所有的文件必須經(jīng)評審才能發(fā)行，參與評審的人員為該文件涉及的各部門責(zé)任人，評審的結(jié)果是文件所有爭議的地方得以解決。 4.文件會簽文件編寫完后，應(yīng)先確認文件格式和編號是否符合要求，然后提交給相關(guān)授權(quán)人審核和批準。注意以下事項：檢查各文件的格式是否符合要求；檢查各文件的內(nèi)容是否符合標準要求；檢查各文件之間的是否沖突、湖北武漢當(dāng)?shù)仃P(guān)聯(lián)內(nèi)容是否銜接得上；對應(yīng)的表單及相關(guān)支撐性文件是否合理；質(zhì)量手冊要作為審查的重點。文件發(fā)布時要嚴格按照文件管理程序進行管理。 5.文件受控與發(fā)行 二、湖北武漢同城試運行階段（D）?文件培訓(xùn)與實施階段 1.文件培訓(xùn)文件編寫人安排文件涉及的所有人參加培訓(xùn)，力求使文件的要求讓所有人理解并執(zhí)行。 2.文件實施各部門各文件使用人按文件規(guī)定的要求實施相關(guān)活動，必要時，尋求文件編寫人進行現(xiàn)場指導(dǎo)，實施過程中要求的記錄應(yīng)予以保存。 3.文件實施效果確認文件編寫人或指定人員應(yīng)對文件實施的狀況進行確認，出現(xiàn)與文件規(guī)定不符的情況時，應(yīng)及時要求責(zé)任人改善或修訂文件。 ?內(nèi)審員培訓(xùn)內(nèi)審員應(yīng)參加審核技能的培訓(xùn)，應(yīng)具備的技能知識有：過程方法內(nèi)審能力、湖北武漢本地審核的策劃、湖北武漢本地體系標準審核要點、湖北武漢當(dāng)?shù)夭环享椗卸?、湖北武漢同城改進措施/驗證、湖北武漢附近審核員的素質(zhì)、湖北武漢同城案例分析。培訓(xùn)完后，應(yīng)對內(nèi)審員進行合格內(nèi)審員資格認定，并簽發(fā)合格內(nèi)審員資格，所有合格內(nèi)審員應(yīng)匯總成合格內(nèi)審員清單。 三、湖北武漢附近檢查與改進階段（C,A）?內(nèi)部審核 體系試運行一段時間后，按照總推行計劃的時間安排實施內(nèi)部審核。本次審核應(yīng)全過程、湖北武漢當(dāng)?shù)厝块T、湖北武漢同城全場所和班次對質(zhì)量管理體系進行審核，以驗證體系的符合項和有效性。 內(nèi)審員按照審核實施計劃、湖北武漢當(dāng)?shù)貎?nèi)審檢查表規(guī)定的檢查內(nèi)容，通過交談、湖北武漢本地查閱文件、湖北武漢現(xiàn)場檢查、湖北武漢當(dāng)?shù)卣{(diào)查驗證等方法收集客觀證據(jù)并逐項實事求是地記錄，記錄應(yīng)清楚、湖北武漢當(dāng)?shù)匾锥?、湖北武漢本地，便于查閱和追溯；應(yīng)準確、湖北武漢附近具體，如文件名稱、湖北武漢合同號、湖北武漢附近記錄的編號、湖北武漢設(shè)備的編號、湖北武漢當(dāng)?shù)貓蟾娴木幪柡凸ぷ鲘徫坏?。審核時，審核員應(yīng)及時與被審核方溝通和反饋審核中的發(fā)現(xiàn)，并對事實證據(jù)進行確認。 內(nèi)部審核要嚴格按照內(nèi)部審核程序。具體內(nèi)容及步驟如下：1、湖北武漢附近編寫年度內(nèi)部審核計劃；2、湖北武漢本地編寫當(dāng)次內(nèi)部審核計劃；3、湖北武漢本地分發(fā)當(dāng)次內(nèi)部審核計劃到各相關(guān)部門（一般須提前一周時間）；4、湖北武漢本地編寫內(nèi)部審核檢查表；5、湖北武漢附近實施內(nèi)部審核（首次會議、湖北武漢本地現(xiàn)場審核、湖北武漢末次會議）；6、湖北武漢本地填寫內(nèi)部審核不符合報告及內(nèi)部審核分布表（包括條款及部門）；7、湖北武漢同城內(nèi)部審核結(jié)案報告。 內(nèi)審報告是內(nèi)審活動結(jié)束后出具的一份關(guān)于內(nèi)審結(jié)果的正式文件，審核報告應(yīng)如實反映本次管理體系審核的方法、湖北武漢附近審核過程情況、湖北武漢本地觀察結(jié)果和審核結(jié)論。 審核報告內(nèi)容：審核的目的、湖北武漢附近范圍、湖北武漢同城方法和依據(jù)；審核組成員、湖北武漢本地受審部門；審核實施情況（包括審核的日期、湖北武漢審核過程概況簡述等）；審核發(fā)現(xiàn)問題的描述和不符合項統(tǒng)計分析；對存在的主要問題的分析及改進意見；上次審核主要不符合項糾正情況；審核中有爭議問題及處理建議；審核結(jié)論（對質(zhì)量管理體系運行狀況的綜合評價，評價實施管理體系的有效性和符合性，肯定優(yōu)點，指出不足，作出審核結(jié)論）；審核報告的批準及發(fā)放范圍。 ?管理評審由 管理者主持，針對管理體系運行的適宜性/有效性/充分性進行評審。管理評審活動主要包括以下活動：年度管理評審計劃（跟年度內(nèi)部審核計劃差不多，只是周期為一年一次，間隔不能大于12個月）、湖北武漢附近當(dāng)次管理評審計劃、湖北武漢本地管理評審會議通知單（在做管理評審前一周送達相關(guān)部門，以便于其準備相關(guān)資料）、湖北武漢管理評審輸入報告、湖北武漢各部門運作情況報告、湖北武漢各部門相關(guān)質(zhì)量目標（包括分目標）達成情況統(tǒng)計、湖北武漢同城管理評審輸出報告。 ?改進內(nèi)審不符合項以及管理評審輸出的改善項目應(yīng)按擬定的改善計劃進行，對改善效果應(yīng)及時確認和關(guān)閉。審核結(jié)束后，各部門對審核發(fā)現(xiàn)的不符合項和體系中存在的薄弱環(huán)節(jié)，進行分析研究找出原因，制定糾正、湖北武漢同城和改進措施計劃，明確完成日期并組織實施。內(nèi)審員按計劃對受審核部門所采取的糾正措施進行評審、湖北武漢附近驗證，并對糾正結(jié)果進行判斷、湖北武漢附近評價和記錄。 ?體系預(yù)審（外部認證機構(gòu)）外部預(yù)審的目的是為了確認企業(yè)的管理體系與標準要求之間是否存在較大的差距，符不符合認證條件，企業(yè)的認證工作是否已準備就緒等。如未準備好，可能會推遲認證日期或不予認證。 四、湖北武漢當(dāng)?shù)卣J證階段? 階段認證審核（文件審核） 文審一般較現(xiàn)場審核提前，就是把自己公司的質(zhì)量管理體系文件給認證公司，提交其審核。本階段主要確認企業(yè)是否按照標準的要求建立了相應(yīng)的文件；一些重要的過程是否按照文件的要求在實施；企業(yè)的績效指標是否在統(tǒng)計、湖北武漢當(dāng)?shù)胤治龊透纳频取，F(xiàn)場審核前，認證公司會把相關(guān)的審核計劃發(fā)到受審公司，受審公司做好外審準備工作，包括接待等。 ?第二階段認證審核（現(xiàn)場審核）認證機構(gòu)對組織的所有過程、湖北武漢附近部門、湖北武漢同城場所、湖北武漢同城班次和支持場所進行現(xiàn)場審核，現(xiàn)場了解作業(yè)流程是否與程序文件相符，所用的圖紙、湖北武漢指導(dǎo)書、湖北武漢本地標準是否為 版本，現(xiàn)場的區(qū)域劃分產(chǎn)品狀態(tài)的標識是否清晰，產(chǎn)品的可追溯性是否清晰，對發(fā)現(xiàn)的證據(jù)進行判定，開出不符合項報告。二階段審核的關(guān)鍵是審核組能否結(jié)合過程審核的內(nèi)在聯(lián)系，從整體上對組織的管理體系運行情況做出準確的判斷。通過一階段審核，審核組基本了解組織的生產(chǎn)服務(wù)過程、湖北武漢同城過程業(yè)績、湖北武漢附近生產(chǎn)服務(wù)存在的主要風(fēng)險及管理層對認證審核的期望等，二階段審核計劃可以包含部門和過程，主要關(guān)注以下幾點：①對設(shè)計開發(fā)、湖北武漢附近生產(chǎn)服務(wù)、湖北武漢當(dāng)?shù)劁N售、湖北武漢附近采購管理（含倉庫管理）、湖北武漢當(dāng)?shù)貦z驗、湖北武漢資源（設(shè)備）管理、湖北武漢附近人事管理、湖北武漢附近方針目標管理、湖北武漢本地風(fēng)險管理等過程的控制實施現(xiàn)場審核。②確認每個過程及支持性子過程的輸入、湖北武漢同城輸出是否充分、湖北武漢準確。③其策劃的職責(zé)權(quán)限、湖北武漢當(dāng)?shù)剡^程目標、湖北武漢附近資源配置、湖北武漢工藝方法、湖北武漢本地作業(yè)環(huán)境等是否與實際生產(chǎn)（服務(wù)）相符合。④是否對相關(guān)過程進行檢查。⑤發(fā)現(xiàn)不合格如何處置。⑥是否落實相應(yīng)改進措施等。 ?改進企業(yè)對認證機構(gòu)開出的不符合項按其規(guī)定時間回復(fù)糾正措施以及改善證據(jù)。糾正必須包括：原因分析、湖北武漢附近糾正、湖北武漢附近糾正措施等。如果沒有嚴重不符合項，一般情況下糾正的日期是一周到30天時間。 ?簽發(fā)認證機構(gòu)對企業(yè)提交的不符合項糾正措施報告進行確認，適當(dāng)時，會到現(xiàn)場進行確認，符合要求后擬定簽發(fā)體系認證。 ?后續(xù)的監(jiān)督審核通常，認證機構(gòu)會在接下來的 年、湖北武漢本地第二年進行監(jiān)督審核，確認體系的維持狀況，每三年一個循環(huán)，重新簽發(fā)體系。除定期監(jiān)督審核外，在獲證方質(zhì)量管理體系發(fā)生重大變化、湖北武漢本地產(chǎn)品發(fā)生重大質(zhì)量事故、湖北武漢當(dāng)?shù)仡櫩屯对V涉及質(zhì)量管理體系或認證依據(jù)發(fā)生變化時，認證公司將增加監(jiān)督審核次數(shù)；根據(jù) 要求實施 輯查審核或非例行監(jiān)督審核。俗話說“打江山難守江山更難”，體系也是如此，后續(xù)的維護才是重要的，這些離不開公司全員的支持與理解。

　ISO27001認證體系建設(shè)分為四個階段：實施風(fēng)險評估、規(guī)劃體系建設(shè)方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環(huán)PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業(yè)信息系統(tǒng)的，確保信息的持續(xù)發(fā)展。 　　1、確立范圍 　　首先是確立項目范圍，從機構(gòu)層次及系統(tǒng)層次兩個維度進行范圍的劃分。從機構(gòu)層次上，可以考慮 內(nèi)部機構(gòu)：需要覆蓋公司的各個部門，其包括總部、事業(yè)部、制造本部、技術(shù)本部等;外部機構(gòu)：則包括 公司信息系統(tǒng)相連的外部機構(gòu)，包括供應(yīng)商、中間業(yè)務(wù)合作伙伴、及其他合作伙伴等。 　　從系統(tǒng)層次上，可按照物理環(huán)境：即支撐信息系統(tǒng)的場所、所處的周邊環(huán)境以及場所內(nèi)保障計算機 系統(tǒng)正常運行的設(shè)施。包括機房環(huán)境、門禁、監(jiān)控等;網(wǎng)絡(luò)系統(tǒng)：構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的線路介質(zhì) ，設(shè)備和軟件;服務(wù)器平臺系統(tǒng)：支撐所有信息系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、客戶機及其操作系統(tǒng)、數(shù)據(jù)庫 、中間件和Web系統(tǒng)等軟件平臺系統(tǒng);應(yīng)用系統(tǒng)：支撐業(yè)務(wù)、辦公和管理應(yīng)用的應(yīng)用系統(tǒng);數(shù)據(jù)：整個信息 系統(tǒng)中傳輸以及存儲的數(shù)據(jù);管理：包括策略、規(guī)章制度、人員組織、開發(fā)、項目管理 和系統(tǒng)管理人員在日常運維過程中的合規(guī)、審計等。 　　2、風(fēng)險評估 　　企業(yè)信息是指保障企業(yè)業(yè)務(wù)系統(tǒng)不被非法訪問、利用和篡改，為企業(yè)員工提供、可信的服 務(wù)，保證信息系統(tǒng)的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內(nèi)容： 　　2.1、企業(yè)管理類的評估 　　通過企業(yè)的控制現(xiàn)狀調(diào)查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業(yè)的經(jīng)驗上 進行“差距分析”，檢查企業(yè)在控制層面上存在的弱點，從而為措施的選擇提供依據(jù)。 　　評估內(nèi)容包括ISO27001所涵蓋的與信息管理體系相關(guān)的11個方面，包括信息策略、組 織、資產(chǎn)分類與控制、人員、物理和環(huán)境、通信和操作管理、訪問控制、系統(tǒng)開發(fā)與維護、安 全事件管理、業(yè)務(wù)連續(xù)性管理、符合性。 　　2.2、企業(yè)技術(shù)類評估 　　基于資產(chǎn)等級的分類，通過對信息設(shè)備進行的掃描、設(shè)備的配置，檢查分析現(xiàn)有網(wǎng)絡(luò) 設(shè)備、服務(wù)器系統(tǒng)、終端、網(wǎng)絡(luò)架構(gòu)的現(xiàn)狀和存在的弱點，為加固提供依據(jù)。 　　針對企業(yè)具有代表性的關(guān)鍵應(yīng)用進行評估。關(guān)鍵應(yīng)用的評估方式采用滲透測試的方法，在應(yīng)用 評估中將對應(yīng)用系統(tǒng)的威脅、弱點進行識別，分析其和應(yīng)用系統(tǒng)的目標之間的差距，為后期改造提 供依據(jù)。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優(yōu)點 ，同時結(jié)合企業(yè)自身的特點，建立風(fēng)險評估模型： 　　在風(fēng)險評估模型中，主要包含信息資產(chǎn)、弱點、威脅和風(fēng)險四個要素。每個要素有各自的屬性，信 息資產(chǎn)的屬性是資產(chǎn)價值，弱點的屬性是弱點在現(xiàn)有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產(chǎn)帶來影響的嚴重程度，威脅的屬性是威脅發(fā)生的可能性及其危害的嚴重程度，風(fēng)險的屬 性是風(fēng)險級別的高低。風(fēng)險評估采用定性的風(fēng)險評估方法，通過分級別的方式進行賦值。 　　3、規(guī)劃體系建設(shè)方案 　　企業(yè)信息問題根源分布在技術(shù)、人員和管理等多個層面，須統(tǒng)一規(guī)劃并建立企業(yè)信息體系 ，并終落實到管理措施和技術(shù)措施，才能確保信息。 　　規(guī)劃體系建設(shè)方案是在風(fēng)險評估的基礎(chǔ)上，對企業(yè)中存在的風(fēng)險提出建議，增強系統(tǒng)的安 全性和抗攻擊性。 　　在未來1-2年內(nèi)通過信息體系制的建立與實施，建立組織，技術(shù)上進行審計、內(nèi)外網(wǎng)隔 離的改造、產(chǎn)品的部署，實現(xiàn)以流程為導(dǎo)向的轉(zhuǎn)型。在未來的 3-5 年內(nèi)，通過完善的信息體系 和相應(yīng)的物理環(huán)境改造和業(yè)務(wù)連續(xù)性項目的建設(shè)，將企業(yè)建設(shè)成為一個注重管理，為主，防治結(jié)合 的先進型企業(yè)。 　　4、企業(yè)信息體系建設(shè) 　　企業(yè)信息體系建立在信息模型與企業(yè)信息化的基礎(chǔ)上，建立信息管理體系核心可以更 好的發(fā)揮六方面的能力：即預(yù)警(Warn)、保護(Protect)、檢測(Detect)、反應(yīng)(Response)、恢復(fù) (Recover)和反擊(Counter-attack)，體系應(yīng)該兼顧攘外和安內(nèi)的功能。 　　體系的建設(shè)一是涉及管理制度建設(shè)完善;二是涉及到信息技術(shù)。首先，針對管理制 度涉及的主要內(nèi)容包括企業(yè)信息系統(tǒng)的總體方針、技術(shù)策略和管理策略等?？傮w方針 涉及組織機構(gòu)、管理制度、人員管理、運行維護等方面的制度。技術(shù)策略涉 及信息域的劃分、業(yè)務(wù)應(yīng)用的等級、保護思路、說以及進一步的統(tǒng)一管理、系統(tǒng)分級、網(wǎng)絡(luò)互 聯(lián)、容災(zāi)備份、集中監(jiān)控等方面的要求。 　　其次，信息技術(shù)按其所在的信息系統(tǒng)層次可劃分為物理技術(shù)、網(wǎng)絡(luò)技術(shù)、系統(tǒng)技 術(shù)、應(yīng)用技術(shù)，以及基礎(chǔ)設(shè)施平臺;同時按照技術(shù)所提供的功能又可劃分為保護類、檢 測跟蹤類和響應(yīng)恢復(fù)類三大類技術(shù)。結(jié)合主流的技術(shù)以及未來信息系統(tǒng)發(fā)展的要求，規(guī)劃信息 技術(shù)包括：