表A

Size: px

Start display at page:

Download "表A"

鹄蓬栾
5 years ago
Views:

1 CNAS-SC143 业务连续性管理体系认证机构认可方案 Accreditation scheme for bodies providing audit and certification of business continuity management systems 中国合格评定国家认可委员会

2 第 1 页共 12 页目次前言范围规范性引用文件术语和定义 BCMS 认证机构认可规范的构成... 3 R 部分... 4 R.1 预访问... 4 R.2 认证业务范围的认可... 4 R.3 其他... 4 C 部分... 5 C.1 审核方案 (CNAS-CCO1 条款 9.1.3)... 5 G 部分... 5 G.1 能力需求分析与评价系统 (CNAS-CC01 条款 7.1.2)... 5 G.2 审核时间 (CNAS-CCO1 条款 9.1.4)... 5 附录 A( 规范性附录 )BCMS 认证业务范围分类表... 6 附录 B( 资料性附录 )BCMS 能力需求分析与评价... 7 附录 C( 资料性附录 )BCMS 认证审核时间确定指南... 9

3 第 2 页共 12 页前言本文件由中国合格评定国家认可委员会 (CNAS) 制定本文件是 CNAS 对业务连续性管理体系 (BCMS) 认证机构提出的特定要求和指南, 并与相关认可规则和认可准则共同用于 CNAS 对 BCMS 认证机构的认可本文件中, 用术语应表示相应条款是强制性的, 用术语宜表示建议本文件附录 A 为规范性附录, 附录 B 和 C 为资料性附录本文件 2018 年首次发布

4 第 3 页共 12 页业务连续性管理体系认证机构认可方案 1 范围 1.1 为确保中国合格评定国家认可委员会 (CNAS) 对实施 ISO 公共安全业务连续性管理体系要求认证的业务连续性管理体系 (BCMS) 认证机构实施评审和认可的一致性, 指导申请和获得认可的 BCMS 认证机构理解和实施认可规范要求, 特制定本文件 1.2 本文件包括对 BCMS 认证机构认可规范的补充和指南, 适用于 CNAS 对 BCMS 认证机构的认可本文件 R 部分和 C 部分分别是对相关认可规则和认可准则的补充本文件 G 部分是对相关认可准则的应用指南 2 规范性引用文件下列文件中的条款通过本文件的引用而成为本文件的条款注明日期的引用文件, 仅该版本适用于本文件 ; 未注明日期的引用文件, 其最新版本 ( 包括任何修订 ) 适用于本文件 CNAS-RC01 认证机构认可规则 CNAS-RC03 认证机构信息通报规则 CNAS-CC01 管理体系认证机构要求 3 术语和定义 CNAS-CC01 和 ISO 中的术语和定义以及下列术语和定义适用于本文件 4 BCMS 认证机构认可规范的构成 4.1 主要规则和准则 : CNAS-RC01 认证机构认可规则是 BCMS 认证机构认可活动的基本程序规则 ; CNAS-CC01 管理体系认证机构要求是 BCMS 认证机构的基本认可准则 ; CNAS-CC143 业务连续性管理体系审核及认证的能力要求是 BCMS 认证机构的专用认可准则 4.2 其他适用的认可规则包括 : a) CNAS-R01 认可标识使用和认可状态声明规则 ; b) CNAS-R02 公正性和保密规则 ;

5 第 4 页共 12 页 c) CNAS-R03 申诉投诉和争议处理规则 ; d) CNAS-RC02 认证机构认可资格处理规则 ; e) CNAS-RC03 认证机构信息通报规则 ; f) CNAS-RC04 认证机构认可收费管理规则 ; g) CNAS-RC05 多场所认证机构认可规则 ; h) CNAS-RC07 具有境外场所的认证机构认可规则 4.3 其他适用的认可准则包括 : a) CNAS-CC11 多场所组织的管理体系审核与认证 b) CNAS-CC12 已认可的管理体系认证的转换 ; c) CNAS-CC14 计算机辅助审核技术在获得认可的管理体系认证中的使用 d) CNAS-CC106 CNAS-CC01 在一体化管理体系审核中的应用 R 部分 R.1 预访问必要时,CNAS 可在受理申请过程中安排预访问, 以了解申请方是否已满足认可申请条件, 以及是否基本具备接受认可评审的条件 R.2 认证业务范围的认可 CNAS 按照本文件附录 A 来管理 BCMS 认证机构的认证业务范围通常,CNAS 按认证业务范围的大类进行认可初次认可时,CNAS 需见证 1 次认证机构对同一个客户实施的第一阶段审核和第二阶获得认可之后,CNAS 将每年见证 1 次认证机构的现场审核活动在选择被见证的认证审核项目时,CNAS 将考虑认证机构的发证数量认证项目的典型性 / 风险程度 / 组织规模审核类型以往的见证评审情况等因素 R.3 其他 R.3.1 CNAS-RC03 条款 5.2 中获证组织发生重大事故 / 事件是指获得 BCMS 认证的客户发生具有下列之一影响的服务质量事故 : a) 已经或可能严重损害国家安全社会秩序公共利益或获证客户及其相关方的合法权益 ; b) 可能损害颁证机构或 CNAS 的公信力声誉, 或使颁证机构或 CNAS 承担连带责任发生上述情况时, 颁证机构应及时采取相应措施并向 CNAS 通报相关情况 R.3.2 如果 CNAS 可能需要在评审中接触认证机构的客户的相关信息, 认证机构应向相关客户询问是否同意 CNAS 接触这些信息如果客户同意, 认证机构应识别

6 第 5 页共 12 页 CNAS 接触这些信息时须满足的所有要求, 并告知 CNAS 如果客户不同意或 CNAS 无法满足相关要求,CNAS 将根据评审所受的影响采取相应的措施 C 部分 C.1 审核方案 (CNAS-CCO1 条款 9.1.3) BCMS 审核方案宜包含对客户演练活动的现场观察, 以便为确定客户 BCMS 的有效性建立充分的信心审核方案中对现场观察客户演练活动的安排, 宜与客户的业务影响分析 (BIA) 结果和认证机构对客户 BCMS 的风险与绩效的评估结果相适宜注 : 对客户 BCMS 的演练活动的现场观察, 宜不晚于获证后的第一次监督审核活动 G 部分 G.1 能力需求分析与评价系统 (CNAS-CC01 条款 7.1.2) 附录 B 为认证机构建立 BCMS 的能力需求分析与评价系统提供了指南 G.2 审核时间 (CNAS-CCO1 条款 9.1.4) 附录 C 为认证机构确定 BCMS 认证审核时间提供了指南

7 第 6 页共 12 页附录 A( 规范性附录 ) BCMS 认证业务范围分类表大类编号大类名称 1 制造业 2 电力热力燃气及水生产和供应业 3 交通运输仓储和邮政业 4 信息传输软件和信息技术服务业 5 金融业 6 其他注 : 1) 该分类表基于 GB/T 国民经济行业分类, 重点关注了那些组织发生业务中断时将造成较大影响的行业, 同时也考虑了现有的 BCMS 认证市场 ; 2) 基于对 BCMS 认证机构认可市场的分析,CNAS 目前仅在编号为 1-5 的大类内开展认可

8 第 7 页共 12 页附录 B( 资料性附录 ) BCMS 能力需求分析与评价 B.1 引言 BCMS 认证机构的能力需求分析宜 : a) 包括 BCMS 认证机构能力管理系统构建和扩展 ( 如增加新的技术领域 ) 时进行的能力需求分析, 以及在申请评审和审核方案管理中根据特定客户具体情况进行的能力需求分析 ; b) 覆盖与 BCMS 认证与审核活动相关的各类人员, 包括认证机构的管理人员行政支持性人员相关委员会的成员以及技术专家等 c) 能够根据业务连续性管理理论与实践适用标准与法规和认证机构的 BCMS 认证实践 ( 如认证范围认证经验等 ) 的变化及时更新 ; 对特定技术领域的能力需求分析, 宜考虑相应的业务活动的典型流程业务连续面对的特定风险所使用的信息通信技术 (ICT) 与业务连续性有关的法律法规和标准业务连续性计划的演练技术等 B.2 能力准则对于复核审核报告和做出认证决定的人员和审核和领导审核组的人员, 还宜知晓相应业务所使用的信息通信技术 (ICT) 和业务影响分析 (BIA) 方法 B.3 能力评价 BCMS 认证机构在对认证人员的能力进行评价时宜 : a) 获取与能力准则的内容相关的被评价人信息 ; b) 将被评价人信息与能力准则进行比较, 判断被评价人员是否满足能力准则 BCMS 认证机构宜保留上述被评价人信息比较和判断的记录, 这些记录宜足以支持能力评价的结论 B.4 能力的持续改进 BCMS 认证机构在组织审核员持续专业发展时宜考虑 : a) 能力准则的更新 ; b) 通过能力评价发现的人员实际能力与能力准则的差距 ; c) 本机构 BCMS 审核和认证实践的发展 BCMS 认证机构宜根据认证人员的持续专业发展情况复核其能力 BCMS 认证机构宜确保审核员知晓现行的业务影响分析技术业务连续性管理理论与实践以及适用标准和法律法规 BCMS 认证机构宜组织和促进认证人员之间的经验交流和技术研讨, 以总结和推广 BCMS 审核和认证的经验方法技巧必要时,BCMS 认证机构宜根据上述交流和研讨的成果制定或修订相关文件, 例如 :

9 第 8 页共 12 页 a) BCMS 审核和认证的程序或作业指导文件 b) BCMS 审核检查单 ; c) BCMS 审核和认证的能力需求分析能力准则能力评价过程或评价方法上述交流和研讨的频次范围规模宜与下列方面相适宜 : a) BCMS 认证机构审核和认证活动的范围规模和绩效 b) BCMS 认证机构审核和认证人员的数量能力范围与水平工作量和绩效

10 第 9 页共 12 页附录 C ( 资料性附录 ) BCMS 认证审核时间确定指南 C.1 引言本附录用于认证机构确定对不同规模不同复杂程度从事各类活动的客户实施审核所需时间本附录没有规定审核时间的最小值和最大值, 但提供了认证机构计划安排审核任务时宜采用的根据拟审核客户具体情况确定适宜审核时间的框架认证机构宜根据本附录确定对每个申请方或获证客户实施第一阶段和第二阶段初次审核监督审核和再认证审核所需的审核时间 C.2 定义 C.2.1 审核时间各类审核的审核时间是指按审核人日度量的实施审核活动所需的有效时间 C.2.2 审核人日一个审核人日通常为 8 小时, 是否可以包括旅途时间或午饭时间以当地法定要求为准但往返于审核场所之间所花费的时间不计入审核时间注 : 我国除香港特别行政区澳门特别行政区台湾地区外, 审核时间通常不包括旅途时间和午饭时间 C.2.3 有效人数有效人数包括认证范围内涉及的所有全职人员 ( 含每个班次的工作人员 ) 审核时将在场的非固定人员 ( 季节性人员临时人员分包商和合同人员 ) 和兼职人员也宜包括在有效人数内 C.2.4 临时场所临时场所是组织为在有限的时期内进行特定工作或服务而设立的, 且不会成为常设场所的场所 ( 例如施工现场 ) C.3 应用 C.3.1 审核时间所有类型审核的审核时间包括在客户场所的现场时间, 以及在现场以外实施策划文件审查与客户人员之间的相互活动和编写报告等活动的时间在分配这些组合活动 ( 不论这些活动是在现场或非现场实施 ) 的审核时间时, 通常不宜使现场总审核时间少于本附录 C.4 中计算出的 80% 对于任何审核, 不宜以需要增加策划和 ( 或 ) 编写报告的时间为理由减少现场审核时间 C.3.2 审核人日人日数的审核时间是以每天 8 小时为基础计算为了符合当地关于旅途时间午饭时间和工作小时数的法律规定, 可能需要调整审核人日数, 以达到审核总小时

11 第 10 页共 12 页数在策划阶段, 认证机构不宜通过增加每个工作日的工作小时数来减少审核人日数 C.3.3 有效人数本附录以有效人数为基础来计算审核时间在计算有效人数时, 1) 兼职人员的数量可以根据其实际工作小时数予以适当减少, 或换算成等效的全职人员数量 ; 2) 如果企业由于技术和自动化水平较低, 可能雇佣大量临时的非熟练人员, 这种情况下宜适当减少这些人员的数量 ; 3) 如果相当大一部分员工从事相似的简单职能, 例如 : 运送流水线工作装配线现场值守等, 同样宜适当减少人员的数量 ; 4) 为使计算的审核时间充分覆盖所有的业务范围, 可能需要包括正常工作时间之外的审核或者适合倒班的工作模式表 C.1 员工有效人数与审核时间的关系有效人数初次认证审核时间 ( 第 1 阶段 + 第 2 阶段 ) ( 天 ) 有效人数初次认证审核时间 ( 第 1 阶段 + 第 2 阶段 ) ( 天 ) >10700 遵循上述递进规律注 1: 表中的人数宜视为连续变化的, 而不是阶梯式变化的

12 第 11 页共 12 页 C.4 审核时间的确定方法 Step1: 认证机构宜按照拟审核客户的有效人数按照表 C.1 确定基准审核时间, 作为计算审核时间的起始点 Step2: 给适用于该客户的每个重要因素 ( 参见 C.7) 赋予一个对基准审核时间的增加量或减少量, 根据这些因素对基准审核时间进行调整认证机构对表 C.1 所列审核时间进行调整时, 减少量不宜超过 30% 在各种情况下, 认证机构宜记录确定审核时间 ( 包括审核时间的调整 ) 的依据 C.5 初次认证审核 ( 第 1 阶段 + 第 2 阶段 ) 通常情况下, 第一阶段现场审核所需的审核员时间不宜少于 0.5 个审核人日, 不多于初次认证审核总的现场审核时间的 30% 第二阶段的审核时间通常情况下不会少于 1 个人日, 否则可能影响审核有效性 C.6 监督与再认证在策划监督和再认证审核时, 认证机构宜可获得对客户 BCMS 有关的更新信息通常的做法是 : 假设基于更新后的客户 BCMS 信息对组织实施初次认证审核, 监督审核时间约为该初次审核所需时间的 1/3, 再认证审核时间约为该初次审核所需时间的 2/3 注 : 对管理体系绩效评价本身并不作为再认证审核时间的一部分 C.7 调整审核时间的考虑因素在调整审核时间时, 还需要考虑下列因素 ( 但不限于这些因素 ): 1) 增加审核时间的考虑因素 : 认证机构在进行多场所审核时 ; 在业务连续方面, 受法规管制的程度较高 ( 例如金融电力电信公共服务领域 ); 在认证审核过程中, 工作语言超过一种的 ( 需要翻译或影响审核员个人独立工作 ); 复杂的后勤条件, 在体系范围内涉及到不止一座建筑物或一处工作地点 ; 体系覆盖了高度复杂的过程或相对数量大或独特的活动 ; 审核活动中需要访问临时场所, 以确定固定场地的管理体系达到认证的要求 2) 减少审核时间的考虑因素 : 体系成熟 ; 业务过程低风险 ; 对客户管理体系已有的了解 ( 例如本中心已依据另一标准认证了该客户 ); 客户为认证所作的准备 ( 例如已经获得另一个第三方合格评定制度的认证或承认 ); 活动的复杂程度低, 例如

13 第 12 页共 12 页过程仅包含单一的一般性活动 ( 例如仅包含服务 ); 以往审核 ( 内部审核和认证机构审核 ) 显示, 所有班次都实施相同的活动, 且有适当证据表明所有班次的表现相同 ; 相当一部分员工从事相似的简单职能 ; 有一部分员工在组织的场所外工作, 例如销售人员司机服务人员等, 并且有可能通过记录审查来对其活动是否符合体系要求进行充分地审核

CNAS 认证机构认可规范文件清单基 14 本准 CNAS-CC03:2014 则序类发布日期实施日期被代替文件文件编号文件名称号别注 : 有效文件发布实施日期文件编号 / 文件名旧文件废止时间备注 1 CNAS-R01:2017 认可标识使用和认 CNAS-R01:201

CNAS 认证机构认可规范文件清单基 14 本准 CNAS-CC03:2014 则序类发布日期实施日期被代替文件文件编号文件名称号别注 : 有效文件发布实施日期文件编号 / 文件名旧文件废止时间备注 1 CNAS-R01:2017 认可标识使用和认 CNAS-R01:201 CNAS 认证机构认可规范文件清单基 14 本准 CNAS-CC03:2014 2019-6-30 序类发布日期实施日期被代替文件文件名称号别注 : 有效文件发布实施日期 / 文件名旧文件废止时间备注 1 CNAS-R01:2017 认可标识使用和认 CNAS-R01:2018 认可标识使用和认可状态声明规 2018-3-30 2018-3-30 通可状态声明规 2018-3-30 2 用 CNAS-R02:2015