南京ISO认证审核

深圳汉墨管理咨询有限公司

审核要点 审核方法
是否有证据表明组织对其所处的内外部问题进行分析 查：组织内外部问题清单
查：组织针对内外部问题进行的评审会议记录
查：针对内外部问题制定的纠正和预防错措施
是否有证据表明组织理解相关方的需求和期望 查：组织相关方的需求和期望清单
查：组织针对相关方的需求和期望进行的评审会议记录
组织是否对职业健康安全管理体系的边界和适用性进行确定 查： 组织是否在职业健康安全管理手册中对职业健康安全管理体系的边界和适用性进行说明
查：针对职业健康安全管理体系边界和适用性评审的会议记录
查：影响职业健康安全绩效组织的活动、产品和服务是否被涵盖在其中
组织是否建立、实施、保持和持续改进职业健康安全管理体系 查：组织是否编制职业健康安全管理体系手册
查：组织职业健康安全管理体系的评审记录以及更新记录
查：组织是否制定持续改进计划来不断改进职业健康安全管理体系
实施步骤实施步骤   —  文件编制        根据步骤  4之“文件编制计划”顾问师将会和公司负责文件编制的相关人员针对每一份文件研讨文件内容，并监督在预订的时间完成，每一份文件都将会经过顾问老师确认完成。 6.实施步骤 8 — 期中检讨A         在文件编制的适当阶段，顾问师会召集相关人员开会，检讨工作的进度，适当时做必要的调整。7.实施步骤9—文件说明会议及考试     文件的内容涉及到很多部门，所以在文件完成后顾问师会安排“文件说明会议”以使各部门都了解文件的内容和要求，顾问师会协助公司视需进行测验考试。所有的文件顾问师都将会安排给相关的所有人员培训。 8.实施步骤10—全面实施和检讨修正      当在“文件说明会议”将所有和各部门相联系的文件定案后，各部门需全面按文件的要求实施相应的工作。顾问师会不间断地做全面的核对和仿真的认证，以保证文件的要求被完全实施。9.实施步骤11—顾问内部审核及检讨修正   在全面实施之后，顾问师会按文件的要求全面核对实施的结果，并监督修正有问题的文件或工作人员修正错误的工作方式。

Q：1）是否对从事影响质量活动的部门、层次、人员进行了识别？
2）是否确定了从事影响产品质量工作人员所必需的能力？是否对影响产品质量工作的人员能力胜任与否进行了评价和考核？经理、质量检查人员、特种作业人员是否按照法律法规的要求持证上岗？
Q：3、组织在质量/环境/职业健康安全体系策划和为实现产品/服务过程策划中是否确定和提供并维护为实现产品符合性所需的基础设施？
4、基础设施包括建筑物、工作场所和相关设施、过程设备（硬件和软件）等是否进行了适当的维护？并能保持实现产品的符合性？
5、支持如运输或通讯等是否能确定和提供？

Q：1、高管理者是否制定、实施和保持质量、环境、职业健康安全管理方针？                   
2、在考虑质量、环境、职业健康安全管理方针时是否考虑如下内容：                        -基于组织使命，愿景，原则及建立的战略方向         
-组织成功所需的改进程度及类型     
-期望或渴望达到的顾客满意度     
-相关利益相关方的需求及期望       
-达成预计结果所需资源            
-利益相关方的潜在贡献
E/S:查看管理方针的内容是否规定保护环境、履行合规义务、持续改进？
E/S:管理方针的内容是否与组织的宗旨和环境相适应，并支持战略方向？是否满足要求和持续改进质量/环境/职业健康安全体系有效性承诺？是否提供制定和评审目标的框架？是否履行保护环境及其合规义务的承诺？是否传达给员工并可为相关方获取？是否定期评审？
Q：1、质量、环境、职业健康安全管理方针是否形成文件？      
2、是否有对组织员工、职能人员及利益相关方进行质量、环境、职业健康安全管理方针的沟通，确保质量、环境、职业健康安全管理方针被清晰地理解并贯穿于整个组织。

可行性分析
可行性分析通常可包含投资必要性、组织可行性、技术可行性、财务可行性、经济可行性、社会可行性、风险因素及对策等部分。由于各类型项目因行业特点而差异很大，具体到ISO20000认证，通常需要从管理基础和效益两方面进行考虑和分析。
    首先是管理基础分析。需要对组织自身的管理基础，包括ITIL体系实施的基础、当前的组织架构和当前管理体系在认证过程中的风险进行全面的评估。
    IT服务管理体系的建设，首先是管理问题，其次才是技术问题，成功和失败的经验都表明，需要首先解决管理体质和机制的问题，建立以客户为中心的理念，培养服务意识和质量意识，建立可行、科学的服务模式；其次才是借助软件工具将管理流程固话和优化，利用自动化工具和提升管理效率，实现技术和管理的有效结合。因此，在认证可行性分析时应更关注管理上的可行性，其次才是技术上的可行性。
    对于那些已经成功实施基于ITIL的管理方法的组织来说，需要更标准化的成熟IT服务质量管理体系来确保与国际接轨。ISO20000的持续改进机制也确保其管理流程几倍的生命力。
    其次是效益分析，可以从资源配置的角度衡量认证项目的收益，评价认证项目在现实组织发展目标、有效配置IT资源、改善运行环境、提高流程效率、减少人员工作量、提升盈利能力等方面的效益。
虽然对于不同的组织来说可能带来的效益各有不同，单通常ISO20000可能为组织带来的效益包括以下内容：
(1) 在IT服务提供中有更多的管理手段，并能持续地改进。
(2) 改进服务交付的能力，为关键业务服务提供稳定的、高质量的、低成本的、可靠的服务。
(3) 通用的服务表达方式，方便不同的组织之间的对话。
(4) 为组织内部运营过程提供一个管理和沟通的平台。
(5) 采纳之间，提高组织内部服务水平以及服务级别的持续保持。
(6) 减少服务交付中的时间成本。
(7) 有效管理供应尚的方法。
(8) 提高人员利用率，改善激励，降低人员流失。
(9) 有价值的管理数据，更好的决策支持。
为建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系，确定信息安全方针和目标，对信息安全风险进行有效管理，确保全体员工理解并遵照执行信息安全管理体系文件、持续改进信息安全管理体系的有效性，特制定本手册。
本《信息安全管理体系手册》采用了ISO/IEC27001:2013标准正文的全部内容，对附录A的删减及理由详见《信息安全适用性声明SoA》。