出版和版权信息本文中的 BSI 版权通告表明文档最新发布的时间英国标准协会 2012 BSI Standards Limited 2012 年出版 ISBN ICS 未经 BSI 允许不能复制除非版权法允许 出版历史 2006 年 8 月第一次

Transcription

1 整合管理体系的框架 通用管理体系要求的规范

2 出版和版权信息本文中的 BSI 版权通告表明文档最新发布的时间英国标准协会 2012 BSI Standards Limited 2012 年出版 ISBN ICS 未经 BSI 允许不能复制除非版权法允许 出版历史 2006 年 8 月第一次出版 2012 年 9 月第二次出版

3 目录 前言... ii 引言... iii 1 范围 规范性引用文件 术语和定义 组织的情境 领导作用 策划 支持 运行 绩效评价 改进 附录附录 A( 资料性附录 ) 本规范的背景和使用指南 附录 B( 资料性附录 ) PAS 99 条款具体的补充指南 附录 C( 资料性附录 ) 与其他管理体系标准的关系 附录 D( 资料性附录 )PAS 99:2012 与 PAS 99:2006 对照表 参考文献 图目录图 1- 说明如何将多个管理体系标准 / 规范的通用要求整合为一个通用体系.. iv 图 2- 管理体系要求的架构... v 图 A.1- 管理体系标准的结构 图 B.1- 应考虑的利益相关方和私有部门的示例 表目录表 B.1- 风险矩阵 表 C.1- 条款与条款之间的对照表 表 D.1-PAS 99:2012 与 PAS 99:2006 对照表 i

4 前言 本规范 (PAS) 的发展由 BSI Standards Limited 推进, 且在英国标准协会的许可 下进行了发布 本规范已于 2012 年 9 月 28 日生效 在此特别感谢如下单位作为指导委员会成员参与本规范的起草 ABCB( 英国认证机构协会 ) CBA ( 化工行业协会 ) IIOC ( 国际独立认证机构 ) IMS Risk Solutions LRQA ( 劳氏质量认证 ) NEN ( 荷兰标准化研究所 ) UCL ( 伦敦大学学院 ) 指派的其他单位 BSI 从其他相关方收集了更广泛的评价 特别感谢在起草本规范时这些组织的专家的贡献和个别的询问 英国标准协会拥有本规范的所有权和版权, 除了从 ISO/IEC 指令第一部分中摘取的原文, 这些复制是经过国际标准化组织 ISO 的允许的 这些从 ISO/IEC 指令第一部分复制的原文的版权仍然属于 ISO, 且将这些内容明显的放在了方框中, 以区别其与本规范 (PAS) 的其他内容 BSI Standards Limited 作为本规范的发布者保留收回和修改本规范的权利, 当收到权威的建议, 适当时会进行收回和修改 本规范 (PAS) 将在不超过 2 年的间隔内进行评审, 任何在评审中提出的修改都会作为 PAS 修订进行发布和通过 标准更新 进行发表 组织应使用本规范 (PAS) 与管理体系标准的特殊要求进行关联, 如 BS EN ISO 9001, BS EN ISO 14001, BS ISO/IEC 27001, BS EN ISO 22000, BS ISO/IEC 20000,BS ISO 和 BS OHSAS 或组织所自愿遵守的规范 本规范 (PAS) 预期不是为了认证的目的而建立独立的文件 依附于本规范 (PAS) 不能确保符合任何管理体系标准 表达习惯 本规范条款用罗马 ( 竖体字 ) 字体表示 句中主要的助动词 shall 表示要求 注释 解释和通用信息性资料用更小的斜体字表示, 并不构成规范的要素 合同和法律的考虑 本规范没有被当作英国标准 一旦基于本规范的内容在或作为英国标准发布, 本规范将被收回 此出版物没有意图包括所有合同的必要条款 用户有责任正确使用本规范 符合可公开获取规范 (PAS) 并不免除其法律义务 当文件最新发布时,BSI 版权布告会显示在本文件标示中 ii

5 引言 许多组织已经或正在采用正式的管理体系标准 (MSSs), 例如 BS EN ISO 9001, BS EN ISO 14001, BS ISO/IEC 27001, BS EN ISO 22000, BS ISO/IEC 20000, BS ISO 和 BS OHSAS 通常这些体系都各自为政 其实, 所有的管理体系都包含能够以整合的方法进行通用要求的管理 ; 同时能够识别存在于公司全部管理体系内的各个管理体系的本质, 并最大程度地加以利用 因此组织需要质疑单独地运行管理体系的方法 PAS 99:2006 旨在使组织能够将管理体系 (MS) 通用要求整合在一个框架里 自从 PAS 99:2006 初版以来, 国际标准已经有很多的发展, 在修订 PAS 99:2012 时已经考虑了这些变化, 特别是 ISO 新导则的采用, 最新和正在发布 ISO 指令的 ISO 补充, 第一部分 (ISO 程序的特性 ),Annex SL( 规范 ) 关于整合管理体系标准方案,SL.8 指南关于流程的开发和 MSS 的结构化再加上附录 2-4( 从今以后参照 Annex SL ) 注当起草 Annex SL 指南时, ISO 导则 83 草稿已众所周知, 在管理体系标准中, 其使用高层次结构, 识别核心内容和通用条款, 核心定义 PAS 99:2012 希望已经实施两个或更多管理体系标准 (MSSs) 的组织能够采用 采用 PAS 99 旨在简化多体系标准的实施, 且从长远来看, 组织引入在 ISO Annex SL 概述中提到的管理体系的新原则时, 需要满足联合的符合性审核 采用本规范 (PAS) 的组织应该将组织自愿遵守的具体的管理体系要求作为输入, 如 BS EN ISO 9001, BS EN ISO 14001, BS ISO/IEC 27001, BS EN ISO 22000, BS ISO/IEC 和 BS OHSAS 这些可以成为每个准则技术方面的特殊输入 符合规范本身并不确保符合其他管理体系标准 在寻求认证时, 仍然需要阐述和满足单一管理体系的特殊要求 本规范旨在帮助组织获益固化所有管理体系通用要求和有效管理这些要求, 这些收益包括 : a) 更好地关注经营 ; b) 建立管理经营风险的整体方法 ; c) 减少单独管理体系间的冲突 ; d) 减少重复和官僚 ; e) 更有效和效率更高地实施内部审核和外部审核 ; f) 更加容易的简化任何组织期望导入的新管理体系标准的要求 尽管 Annex SL 旨在编制国际化标准, 但是它提供了在原 PAS 99:2006 中使用的框架和原文基础上进一步发展的模板 自从 PAS 99:2006 发布, 参照它的一些管理体系也已经发生了一些变化, 这些变化提供了改进流程整合, 这些已经与此新版本相适应了 因此本次修订的 PAS 是基于 Annex SL 提供的结构且包含文字, 这些在引入新的管理体系标准时, 正如他们产生时一样, 可以适当的提供进一步证实过的方法 在不久的将来 BS EN ISO 9001 和 BS EN ISO 还不可能以此新版式出现,PAS 99:2012 的使用者们可能会发现独特的收益, 使他们能够提升其当前的整合方法 那么当 BS EN ISO 9001 和 BS EN ISO 后续的版本出现时, 将对内部存在的运营管理体系产生极少的影响 在 2012 年以后, 许多当前正在评审或起草中的标准可能会以这种格式出现, 且本规范 PAS 应帮助组织以管理体系标准未来可能的模式容纳通用要求 iii

6 本规范 (PAS) 中使用的许多要素和条款会被 MSSs 的用户认可 然而, 框架正式延伸包括那些过去不是 MSSs 必要的特点, 但是对管理体系的成功很重要的要素 新的结构如下显示, 且对于熟悉 PDCA 方法的人来说,Annex SL 中管理体系和 PDCA 的关系如下 : a) 组织情境 b) 领导作用策划 c) 策划 d) 支持 e) 运行实施 f) 绩效评价检查 g) 改进改进 PAS 99 本次修订包括 : 1) 正如在本规范 (PAS) 的应用,Annex SL 定义中增加了整合管理体系的定义 ; 2) 在本规范 (PAS) 中,Annex SL 核心文字包括少数的修订用斜体字显示 对于核心的要求是显示在从条款 4 起的每个条款开始的文本框中 ; 3) 在 PAS 99:2006 中提到的要求, 但没有在 Annex SL 中包括的内容, 但仍有增值作用的 ; 4) 识别出多于一个标准的通用要求对整合是有帮助的 ; 5) 就条款的含义的解释信息 - 当前使用的 MSSs 中没有明显提到的地方 如 : 情境和领导作用 补充的指南已经提供了关于新要素, 如情境和领导帮助组织实施这些要求 正如 Annex SL 结构中对于通用管理体系要求, 本规范 (PAS) 使用相同的分类 对于每个主题, 在那些感觉有附加的要求或所要求的指南的地方, 在本规范 (PAS) 的课程中将考虑更多的细节 另外,Annex A 提供了关于实施本规范 (PAS) 的进一步指南信息, 特别是对那些还没有以新格式发布的标准 许多标准的要求是通用的, 且在实践中能够以一个通用的管理体系阐述这些要求, 如图 1 所示 希望以此方法合并两个或更多体系, 显著减少管理体系的总体规模, 改善体系的效果和效率 如图 1 所示, 不同的管理体系要求能够组合到一个架构中, 整合通用要求是可能的 这应该以对组织最合适的方式进行 图 1- 说明如何将多个管理体系标准 / 规范的通用要求整合为一个通用体系 环境的特殊要求 E 职业健康安全的特殊要求 O 质量的特殊要求 Q 其他的特殊要求 OM E O Q OM 通用要求 通用要求 通用要求 通用要求 PAS 99 通用要求 E O Q OM 环境职业健康安全质量其他管理体系标准 iv

7 在一个大的或复杂的组织中, 在两个或多个整合体系之间组合所有管理体系应该是恰当的, 而不是强制他们必须变成一个体系 虽然如此, 通过组合 MSSs 的架构, 正如在本规范 (PAS) 中描述的, 组织应确保方法的通用性 组织应以结构化的方法策划和实施体系的整合 通常迫于外部压力, 如客户要求实施某一质量标准或职业健康安全管理体系 许多组织都已经实施了管理体系标准 但纯粹追求经营的利益时, 并无外部压力要求整合管理体系 因此首先需要识别经营的需求, 否则便无益于管理体系的整合, 即使很难想象组织没有从整合中获得利益 即使是通用要素, 可能在单个标准里有微妙的差别 为了满足具体管理体系的要求, 有必要对照已经完成整合的管理体系, 详细分析这些要求 Annex SL 并不指定使用过程方法或者 PDCA, 或者纳入到所提供的高层次结构中 简单来说, 图 2 所提供的图显示了循环的过程和各条款间的关系 图 A.1 显示了 Annex SL 方法融入到过程方法的模型中 图 2 管理体系要求的架构 改进 不符合和纠正措施 10.2 持续改进 领导作用 领导作用和承诺 5.2 方针 5.3 组织的作用, 职责和权限 领导作用 改进 改进 组织的情境 4 策划 策划 4.1 理解组织和组织的情境 4.2 理解利益相关方的需求和期望 绩效评价 4.3 确定整合管理体系的范围 4.4 整合管理体系 (IMS) 策划 定位风险和机会的措施 6.2 目标和实现的策划 支持 支持 7 绩效评价 监视 测量 分析和评价 9.2 内部审核 9.3 管理评审 检查 运行 实施 7.1 资源 7.2 能力 7.3 意识 7.4 沟通 7.5 成文的信息 运行 运行的策划和控制 v

8 This page deliberately left blank. vi

9 1 范围 本公众可获取规范 (PAS) 描述通用管理体系要求, 旨在为以整合的方法实施两个或更多管理体系提供框架, 并基于由 ISO 提供的新标准编写导则 (Annex SL), 将通用管理要求纳入管理体系标准 Annex SL 和附录提供了宏观层次的结构和共有的原文, 将应用于新 MSSs 和现有标准的修订版本中 本规范适用于所有规模和形式的组织 除了准备引入其他的系统或标准, 本规范不适用于运行单一管理体系标准的组织 符合本规范并不保证符合其他管理体系标准 尽管本规范 PAS 99 初衷是用于整合诸如 BS EN ISO 9001, BS EN ISO 14001, BS ISO/IEC 27001, BS EN ISO 22000, BS ISO/IEC 20000, BS ISO 和 BS OHSAS 管理体系标准, 但它同样适用于其他的国家和国际管理体系标准 2 规范性引用文件 只有组织声称自愿遵守的和组织需要与本规范整合的标准应当被用作规范性引用文件 下面列举的是组织使用的一些主要标准 凡是注日期的引用文件, 仅注日期的版本适用于本文件, 凡是不注日期的引用文件, 其最新版本适用于本文件 ( 包括所有的修改单 ) BS ISO/IEC :2011, 信息技术 - 服务管理 - 第一部分 : 服务管理体系要求 BS ISO/IEC 27001:2005, 信息技术 - 安全技术 - 信息安全管理体系 - 要求 BS OHSAS 18001:2007, 职业健康安全管理体系 - 要求 BS EN ISO 9001:2008, 质量管理体系 - 要求 BS EN ISO 14001:2004, 环境管理体系 - 要求及使用指南 BS EN ISO 22000:2005, 食品安全管理体系 食品链上任一组织的要求 BS ISO 22301:2012, 社会安全 业务连续性管理体系 - 要求 1

10 3 术语和定义 下列术语和定义用于本规范 注 : 除了整合管理体系 (3.1) 和增加了风险 (3.10) 的定义, 所有的术语和定义均来自于 Annex SL 的附录 整合管理体系 (IMS) 将组织体系和过程的多个因素整合成一个完整的框架的管理体系, 并能够使组织满足多个管理体系标准的要求 3.2 组织 为了实现目标形成的具有自身职能, 按照一系列职责 职权和关系安排起来的个人或一群人注 1: 组织的概念包括但不限于个体商户 公司 企业 机关 合伙人企业 慈善团队或机构, 或上述组织的部分或组合, 组织可以是注册或非注册, 上市或私营的 3.3 利益相关方 可能对一个决定或活动产生影响 被影响或认为被影响的个人或组织 3.4 要求 明示的, 通常隐含的或必需履行的需求或期望注 1: 通常隐含的 是指组织 顾客和其他利益相关方的惯常或一般性作法, 所考虑的需求或期望是不言而喻的 注 2: 规定要求是经明示的要求, 比如在成文的信息中 3.6 最高管理者 在最高层指挥和控制组织的一个人或一组人注 1: 最高管理者有权力在组织内进行授权, 并提供资源 注 2: 如果管理体系的范围只包括组织的一部分, 那么最高管理者指的是那些能够指导和控制这部分组织的人 3.7 有效性 完成策划的活动并得到策划结果的程度 3.8 方针 最高管理者正式表达的组织意图和方向 3.9 目标 达成的结果注 1: 目标可以是战略层面, 战术层面或操作层面的 注 2: 目标可以与不同的规范要求相关 ( 例如 : 财务 健康和安全, 以及环境目标 ) 也可以应用于不同的层面 例如 : 战略 组织范围 项目 产品和过程 (3.13) 注 3: 目标可以采用其他方式来表达, 如 : 预期的结果, 目的, 运行准则,IMS 目标或者用其它的具有相近意思的词汇 ( 如 :aim, goal, 或者 target) 注 4: 在 IMS 的情境下,IMS 目标是由组织设定, 与 IMS 方针一致, 用于达成特定的结果 3.5 管理体系 建立方针 目标和过程以实现这些目标的相互关联或相互作用的一组要素注 1: 一个管理体系可以关注一个或多个规范的要求 注 2: 管理体系的元素包括组织结构 作用和职责 策划和运行等 注 3: 管理体系的范围可包括整个组织, 组织内某些特定的职能, 特定的部分, 或者是跨越多个组织的一个或多个职能 2

11 3.10 风险 对目标的影响的不确定性 [BS ISO 31000:2009, 2.1] 注 1: 影响与期望是偏离的 可以是正面的或负面的影响 注 2: 不确定性是一个事态, 或它的后果和发生可能性方面的信息和知识不完全或者部分缺乏的状态 注 3: 风险的特点经常指潜在的事件 (ISO/IEC Guide 73:2009, ) 和后果 (ISO/IEC Guide 73:2009, ), 或他们的组合 注 4: 风险通常被表述为事件的后果 ( 包括环境的变化 ) 和发生的可能性 (ISO/IEC Guide 73:2009, ) 的组合 注 5: 目标可以有不同方面的 ( 如财务 健康和安全 环境目标 ), 也可以应用于不同的层级 ( 如战略 组织范围 项目 产品和过程 ) 3.11 能力 运用知识和技能获得预期结果的能力 3.12 成文的信息 需要被组织控制和维护的信息及其承载媒介注 1: 成文的信息可以是来自任何来源的任何格式和任何承载媒介的信息 注 2: 成文的信息可以指 : 管理体系, 包括相关的流程 ; 为组织运行所生成的信息 ( 文件 ); 实现结果的证据 ( 记录 ) 3.13 过程 一组将输入转化为输出的相互关联或相互作用的活动 3.14 绩效 可测量的结果注 1: 绩效可以与定量或定性地发现相关 3.15 外包 ( 动词 ) 安排外部组织来实现组织的一部分职能或过程 注 : 一个外部组织在管理体系范围之外, 虽然外包出去的职能或过程在范围之内 3.16 监视 确定一个系统 过程或活动的状态 注 : 为了确定状态可能需要检查 监督或者密切观察 3.17 测量 确定一个量值的过程 3.18 审核 为获得审核证据并对其进行客观的评价, 以确定满足审核准则的程度所进行的系统地 独立的并形成文件的过程 注 1: 审核可以是内部审核 ( 第一方审核 ) 或者外部审核 ( 第二方或第三方审核 ), 也可以是结合审核 ( 结合两个或两个以上的规范要求 ) 注 2: 审核证据 和 审核准则 在 EN ISO 中有定义 3.19 符合 满足要求 3.20 不符合 未满足要求 3.21 纠正 为消除已发现的不符合所采取的措施 3.22 纠正措施 为消除不符合的原因所采取的措施以避免再次发生 3.23 持续改进 为提高绩效所采取的循环活动 注 2: 绩效可以与管理活动 过程 产品 ( 包括服务 ), 系统或组织相关 3

12 4 组织的情境 4.1 理解组织和组织的情境 组织应确定与目标和影响整合管理体系 (IMS) 达到预期结果能力相关的内部和外部的问题 组织在实施 IMS 时, 应当考虑识别与它运行的 环境 有关的内外部的因素 对组织外部情境评价时可以包括 : a) 国际 国内 地区或当地的社会和文化 政治 法律 法规 金融 技术 经济 自然环境和竞争环境 ; b) 影响该组织目标实现的关键因素和变化趋势 ; c) 与外部利益相关方的诉求和价值观之间的关系 注 1:4.1 条款的 a)-c) 引用自 BS ISO 对组织内部情境评价时可以包括 : 1) 治理 组织架构 作用和责任 ; 4.2 理解利益相关方的需求和期望 组织应确定 a) 与整合管理体系相关的利益相关方 ; b) 利益相关方的要求 组织应当确定受组织活动影响的利益相关方和需要满足的可控的合理的要求 这些要求应当与整合的方法和 IMS 要求的范围相适应 对于质量, 重点是顾客满意和以顾客为关注焦点, 对于职业健康和安全, 重点是员工, 对于环境是社会责任, 等等 组织应当建立 实施和保持一个过程用以确定与整合管理体系范围有关的活动 产品和服务的相关法律要求 组织建立 实施和保持其 MSS 时, 应当考虑这些要求 ( 和任何必要的合规 ) 组织应当针对法律法规和其它要求的相关信息与组织控制下的工作人员和其他相关的利益相关方进行沟通 ( 见图 B.1) 2) 方针 目标和实现它们的战略 ; 3) 能力, 资源 技能和知识方面的理解 ( 如资金 时间 人力 过程 系统和技术 ); 4) 信息系统 信息流和决策流程 ( 包括正式和非正式 ); 5) 与内部利益相关方间诉求和价值观的关系 ; 6) 组织文化 ; 7) 组织所采用的标准 指南 模型 ; 8) 合同关系的形式和程度 ; 注 2:4.1 条款 1)-8) 引用自 BS ISO ) 识别体系之间的关键接口, 引起的潜在冲突和解决冲突的流程 已经建立了质量管理体系的组织应当发现 BS EN 9001:2008 中 4.1 的要求并将此要求增强为识别流程时阐明一些情境问题 4

13 4.3 确定整合管理体系的范围 组织应确定 IMS 的边界适用性以建立其范围, 组织应考虑 : a) 在 4.1 中所述的外部和内部的问题 ; b) 4.2 中所述的要求 范围应为成文的信息并可获取 相对于特殊的原则和其他要求和运营的边界, 组织应当确定 IMS 将要覆盖的范围 为了在运营层面的简化, 推荐 IMS 的范围反映 MS 最广泛要求的范围, 例如,BS EN ISO9001 可能限制范围, 反之这个限制通常不适用于 BS EN ISO 14001:2004 和 BS OHSAS 18001:2007 的用户 ( 见两个标准的 4.4.1), 其覆盖所有的活动 使用过程方法的管理体系可发现 BS EN ISO 9001:2008 中 4.1 要求的顺序和相互作用的信息可以有助于确定范围 4.4 整合管理体系 (IMS) 依照本规范 (PAS) 和正如 IMS 范围中组织所自愿遵守的管理体系标准的要求, 组织应建立 实施 保持和持续改进管理体系, 包括所需的过程和过程之间的相互作用 此项子条款的目的强调 IMS 是有生命的系统, 应当保持关注改进体系和绩效 为了达到要求, 组织应 : a) 确定管理体系实施 运行和保持所需的过程及其在整个组织中的应用 ; b) 确定这些过程的顺序和相互作用, 及其这些过程整合的应用 ; c) 确定所需的准则和方法, 以确保这些过程的运行和控制有效 ; d) 确保可以获得必要的资源和信息, 以支持这些过程的运行和监视 ; e) 监视 测量和分析这些过程, 实施必要的措施, 以实现所策划的结果和对组织的整体绩效的持续改进 5

14 5 领导作用 5.1 领导作用和承诺 最高管理者应通过以下活动, 对领导作用和承诺提供证据 : a) 确保 IMS 的方针和目标的制定, 且与组织的战略方向相适应 ; b) 确保将 IMS 的要求纳入到组织的经营过程中 ; c) 确保 IMS 所需的资源的获得 ; d) 向组织传达有效管理和符合 IMS 要求的重要性 ; e) 确保 IMS 达到其预期的结果 ; f) 指导和支持人员致力于 IMS 效率 ; g) 促进持续改进 ; h) 支持其他相关管理角色在其职责领域内展示其领导作用 注 : 本规范中的经营的概念被广义地解释为那些对组织存在的目的具有核心意义的活动 条款 5.1b) 反应了本规范的目的是为了将整合的要求纳入到组织的经营过程中 条款 5.1a) 和 c) 到 d) 重点是最高管理者承担的角色和他们为确保 IMS 达到其预期结果所采取的活动 5.2 方针 最高管理者应建立 IMS 方针, 该方针应 a) 与组织的宗旨相适应 ; b) 为 IMS 目标的制定提供框架 ; c) 包含对满足适用要求的承诺 ; d) 包含对 IMS 持续改进的承诺 ; 应注意 5.2 c) 包括本组织所自愿遵守的适用的法律法规和其他要求,5.2 的 2) 包括在组织控制下工作的所有人员 方针和目标应评审, 以确保其持续的适宜性, 特别是当发生变更和也包括在任何管理评审之后发现的任何方面的不足 组织可以为应自愿遵守的每一个管理体系标准设定一个专门的方针, 或者可以将所有的方针合并为一个方针 5.3 组织的作用 职责和权限 最高管理者应确保组织内的相关作用的职责和权限得到规定和沟通 最高管理者应授予职责和权限, 以 : a) 确保其 IMS 符合本规范 (PAS) 的要求 ; b) 向最高管理层报告 IMS 的绩效 如果此项管理原则被认为对组织和它的成功是重要的, 那么组织应任命最高管理者中的成员承担全部的职责, 无论他 ( 们 ) 是否还负有其他方面的职责, 都应明确界定如下作用 职责和权限 : a) 确保按本规范 (PAS) 和组织所自愿遵守的 MSS 的要求建立 实施和保持管理体系 ; b) 向最高管理者提交管理体系绩效报告, 以供评审, 并为改进管理体系提供依据 组织应当确定 文件化和沟通与管理体系有关的作用 职责和权限, 以及在组织内他们之间的相互关系 从最高管理者到每个人应当知道他们各自的和集体的责任 IMS 方针应 : 1) 成文的信息并可获取 ; 2) 在组织内得到沟通 ; 3) 适当时为利益相关方所获取 ; 6

15 6 策划 6.1 定位风险和机会的措施 当对 IMS 进行策划时, 组织应考虑 4.1 提到的问题和 4.2 提到的要求, 并确定所要定位风险和机会的措施 : a) 确保 IMS 能够获得预期的结果 ; b) 预防或减少不期望的结果 ; c) 实现持续改进 组织应策划 : 1) 定位风险和机会的措施 ; 2) 如何 : 将这些措施在 IMS 过程中进行整合和实施 ; 评价这些措施的有效性 本条款的目的是当组织确定管理其风险和机会的安排时, 确保组织应对这些 4.1 和 4.2 中定位的问题 组织在确定风险和机会时, 应考虑 IMS 的范围内包括的专门的原则和管理体系要求 期望包括环境管理 (BS EN 14001) 的组织, 需要识别其环境管理体系覆盖范围内的活动 产品和服务中能够控制和能够施加影响的环境因素, 此时应考虑到已纳入计划的或新的开发, 新的或修改的活动 产品和服务的因素 包括 OHS 的组织识别危险源和风险的优先次序, 且与 BS OHSAS 18001:2007, 规定的分级一致 组织建立并保持一个或多个过程, 用以识别和响应任何突发事件 潜在的紧急情况和灾难, 并形成文件 这些程序应寻求预防和减少伴随的影响, 并考虑经营运行的连续性 组织应当定期评审其应急准备和响应程序, 必要时对其进行修订 6.2 IMS 目标和实现的策划 组织应在相关职能和层次建立 IMS 目标 IMS 目标应 : a) 与 IMS 方针一致 ; b) 可测量 ( 可行性 ); c) 考虑适用的要求 ; d) 可监视的 ; e) 可沟通的 ; f) 适当时进行更新 组织应将 IMS 目标信息成文, 并予以保留 当策划实现 IMS 目标时, 组织应确定 : 1) 需要做什么 ; 2) 将需要什么样的资源 ; 3) 谁将负责 ; 4) 将于何时完成 ; 5) 将如何评价结果 在建立目标时, 组织应当考虑重要的风险和机会, 法律法规要求和应适用的其他要求和持续改进的承诺 为实现其目标, 组织应当实施和保持实现其目标一个或多个的方案 基于在 4.1, 4.2, 5.2, 5.3 和 6.1 中确定的要求建立有意义的目标, 以证实方针正在被实现 通过 SMART( 具体的 可测量的 可达到的 相关的, 基于时间的 ) 方法建立目标是有帮助的 组织应当确保目标的文件化, 沟通, 评审和必要时更新 BS ISO 22301:2012, 和 规定了识别经营影响分析和风险评估的特殊要求 许多已有的 MSS 有预防措施的要求, 其与解决组织的风险是同义的, 这些预防的要求应在此条款中体现 7

16 7 支持 7.1 资源 组织应确定并提供建立 实施和持续改进 IMS 所需的资源 首先, 组织应当确定管理体系各要素有效性的资源, 使用本规范 (PAS) 使组织能够整合和导致效率的公平性 7.2 能力 组织应 : a) 确定任何在其控制下工作的人员 ( 们 ), 影响其 IMS 绩效应具有的必要的能力 ; b) 这些人员的能力应依据适当的教育 培训或经历来确定 ; c) 适当时, 采取措施以获得所需的能力, 并评价所采取措施的有效性 ; d) 保持适当的成文的信息作为能力证据 注 : 适当的措施可以包括, 例如, 培训 辅导 或对现有雇员的调动, 或雇用或临时雇佣胜任人员 培训本身可能不能交付任务所需的必要的能力 应当确定针对任何特别的互动所需的能力 在委派任务前或过程中, 应当针对这些需求对员工进行评价 7.3 意识 在组织受控下工作的人员应了解 : a) IMS 方针 ; b) 他们对 IMS 有效性的贡献, 包括改进 IMS 绩效的益处 ; c) 偏离 IMS 要求的暗示 员工参与识别风险和开发有效的流程有助于提升工作场所的文化和鼓励全体员工参与改进活动 员工应当理解他们所从事的活动与实现组织目标之间的相关性和重要性 7.4 沟通 组织应确定 IMS 相关的内部和外部沟通的要求, 包括 : a) 沟通什么 ; b) 何时沟通 ; c) 同谁沟通 ; 组织应当建立和实施有效的安排 : a) 在组织内部不同层次和职能进行内部沟通 ; b) 接收 记录和回应来自利益相关方的相关沟通 组织应当建立 实施和保持一个或多个程序, 用于 : 1) 员工参与协商过程 ; 2) 与合同方的协商, 包括确保他们清楚地了解 IMS 范围内他们的职责 组织应当确保, 适当时, 与相关的外部利益相关方就 IMS 事务进行协商 7.5 成文的信息 总则组织的 IMS 应包括 : a) 本规范 (PAS) 所要求的成文的信息 ; b) 组织确定的为确保 IMS 过程有效策划所需的成文的信息. 不同组织的 IMS 成文的信息的多少与详略程度可以不同, 取决于 : 组织的规模和活动 过程 产品和服务的类型 ; 过程及其相互作用的复杂程度 ; 人员的能力 8

17 组织的 IMS 成文的信息应当包括 : a) 对管理体系范围的描述, 包括自愿遵守的管理体系 ; b) 组织的方针和目标 ; c) 描述管理体系主要要素及其相互关系的体系手册 ( 电子的或者纸板的 ), 包括通用方针, 过程和程序及其对相关文件的引用 ; d) 组织自愿遵守的管理体系标准 ( 各种准则会有保留记录的专门要求, 由于法律法规原因 保险等必须保留 ) 所要求的形成文件的程序和记录 ; e) 由组织确定的用于确保它的过程得到有效策划 实施和控制所需的文件 不同组织的 IMS 成文的信息的多少与详略程度可以不同, 取决于 : 1) 组织的规模和活动 过程 产品和服务的类型 ; 2) 过程及其相互作用的复杂程度 创建和更新在创建和更新文件化信息时, 组织应确保合适的 : a) 标识和描述 ( 比如标题 日期 作者, 或参考编号 ); b) 格式 ( 如语言 软件版本 图形 ) 和介质 ( 比如纸张 电子的 ); c) 进行评审和批准, 以确保其适宜性和充分性 成文的信息的控制 IMS 和本规范 (PAS) 所要求的成文的信息应受控, 以确保 : a) 其在需要时用的场合和时间是可用的和适宜的 ; b) 其受到充分的保护 ( 例如 : 防止机密性的丧失, 不正确的使用, 或者完整性的丧失 ) 为进行成文的信息的控制, 适用时, 组织应关注下列活动 : 1) 分发 访问 获取和使用 ; 2) 存贮和保存, 包括可读性的保持 ; 3) 变更控制 ( 如版本控制 ) 4) 保留和处置 ; 组织所确定的策划和运行 IMS 所需的外来成文的信息得到适当的识别, 并控制其分发 注 : 访问隐含着关于给予只读成文的信息的许可权限, 亦或给予查看和修改文件等的许可和授权的决定 新建和更新 (7.5.2) 的实施和文件化信息的控制的指南, 以如下方式 组织应当确定所需的控制方式 : a) 文件发布前得到批准, 以确保文件的充分性和适宜性 ; b) 必要时对文件进行评审 更新和再次批准 ; c) 确保文件的更改和现行修订状态得到识别 ; d) 确保在使用处可以获得使用文件的有关版本 ; e) 确保文件保持易读, 易于识别 ; f) 确保外来文件得到识别, 并控制其分发 ; g) 防止作废文件的非预期使用, 若因任何原因而保留作废文件时, 对这些文件进行适当的标识 ; h) 确保文件的识别和描述 ( 比如 : 标题, 日期, 作者, 或编号 ); i) 确保恰当的格式 ( 如 : 语言 软件 版本 图形 ) 和介质 ( 如纸张 电子的 ) 9

18 8 运行 8.1 运行的策划和控制 组织应通过以下方式计划 实施和控制为满足要求所需要的过程, 并实施在 6.1 中所确定的措施 : a) 为这些过程建立准则 ; b) 按照准则执行对这些过程的控制 ; c) 保留足以确信过程已经按计划实施的程度的成文的信息 组织应控制计划内的变更并评审非预期变更所带来的后果, 必要时, 采取措施以缓解任何不良影响 组织应确保外包过程受控 意指建立流程以应对风险和 6.1 中确定的机会 ( 从 4.1 和 4.2 中获得的 ), 也包括组织的方针, 目标和已识别的法律法规和其他要求 组织应当确保管理其组织内的变更或运行, 以确保引起的任何新风险是可控的 好的实践经验是, 实施文件化控制以覆盖因其缺乏而可能导致偏离管理体系方针和目标 9 绩效评价 9.1 监视 测量 分析和评价 a) 需要监视和测量什么 ; b) 监视 测量 分析和评价的方法, 适当时, 确保结果有效 ; c) 什么时候实施监视和测量 ; d) 什么时候分析和评价监视和测量的结果 ; 组织应保持适当的成文的信息作为结果的证据 组织应评价 IMS 的绩效和有效性 组织应当监视和测量, 以确保达到其方针和目标要求 检查 观察 记录偏差, 校准等都是有效监视和测量机制的要素 组织应 : 1) 适合组织需要的定性和定量测量 ; 2) 主动性绩效测量, 即监视符合性 ; 3) 被动性绩效测量, 能使得趋势得到监视 ; 4) 对管理体系控制措施有效性的监视 ; 5) 保持相关信息作为结果的证据 如果测量或监视绩效需要设备, 适当时, 组织应当建立并保持程序, 对此类设备进行校准和维护 应保持校准和维护活动及其结果的记录 10

19 为了履行自愿遵守的法律法规要求的承诺 ( 参见 4.2), 组织应当建立 实施和保持程序, 以定期评价法律法规和组织应遵守的适用的其他要求的遵守情况 9.2 内部审核 组织应按照计划的时间间隔进行内部审核, 以提供信息确定 IMS 是否 : a) 符合 : 组织自身对其 IMS 的要求 ; 本规范 (PAS) 的要求 ; b) 得到了有效的实施和保持 组织应 : 1) 策划 制定 实施和保持审核方案, 包括频次 方法 职责 策划的要求和报告 审核方案应考虑拟审核的过程的重要性和以往审核的结果 ; 2) 确定每次审核的审核准则和范围 ; 3) 审核员的选择和审核的实施应确保审核过程的客观性和公正性 ; 4) 确保向相关管理者报告审核结果 ; 5) 应保持审核过程和审核结果的成文的信息作为证据 当建立审核方案 策划和实施审核时, 应当考虑风险 ( 参见 6.1), 和应对这些风险的过程 ( 参见条款 8) 在一套整合的管理体系下, 审核不同的准则所采取的方法是一个审核员审核所有管理体系的通用要求 ( 本 PAS 所覆盖的 ) 基于过程的性质和复杂性, 在那些特殊的准则领域, 专家是必须的 审核指南参见 BS EN ISO 管理评审 最高管理者应按照计划的时间间隔, 对组织的 IMS 进行评审, 以确保其持续适宜性 充分性和有效性 管理评审应包括考虑 : a) 以往管理评审的后续措施的状态 ; b) 与 IMS 有关的外部和内部问题的变化 ; c) IMS 绩效的信息, 包括以下方面的趋势 : 不符合和纠正措施 ; 监视和测量结果 ; 审核结果 ; d) 持续改进的机会 管理评审输出应包括为持续改进机会和任何 IMS 修改所需而做出的决策 组织应保持文件化信息作为管理评审的证据 管理评审的输入至少应当包括如下信息 : a) 审核结果 ; b) 利益相关方的反馈 ; c) 预防 ( 在特殊管理体系中的要求 ) 和整改措施的状态 ; d) 以往管理评审后采取的后续措施 ; e) 内外环境的变化, 包括法律法规和其他要求的发展, 与组织有关的因素和有关联的风险 ; f) 改进建议 ; g) 组织绩效的数据和信息 ; h) 法律法规和其他要求的合规性评价结果 评审应包括评价改进的机会和对管理体系进行修改的需求, 包括方针和目标 管理评审的输出应包括任何有关的决策和行动 : 1) 管理体系有效性的改进 ; 2) 与利益相关方要求和 / 或期望相关的改进 ; 3) 管理体系及其过程改进所需的资源需求 11

20 10 改进 10.1 不符合和纠正措施 当发生不符合时, 组织应 : a) 对不符合做出反应且适当时 : 采取措施进行控制和纠正 ; 处理结果 b) 评价采取措施的需求, 以消除不符合的原因, 为了避免再次发生或在任何其他的地方发生, 通过 : 评审不符合 ; 确定不符合的原因 ; 确定是否存在相似或可能发生的不符合 ; c) 实施所需的任何措施 ; d) 评审任何所采取的纠正措施的有效性 ; e) 必要时, 对 IMS 进行修改 10.2 持续改进 组织应持续改进 IMS 的适宜性 充分性和有效性 持续改进是关键的, 应当考虑如下方面 : a) 整个 IMS; b) 任何运营交付的目标 (6.2); c) 一些通用的经营目的 持续改进周期可能在不同组织间变化, 取决于他们的规模, 性质和复杂程度, 且应该利用 IMS 方针 目标 审核结果 监视事件的分析, 纠正措施和管理评审推进持续改进 对因纠正措施而引起的变化, 组织应将其体现在 IMS 文件中 组织应规定和分派 IMS 改进的职责和权限 纠正措施应与所遇到的不符合所产生的结果相适应 组织应保持文件的信息作为证据 : 1) 不符合类型和所采取的任何后续措施 ; 2) 任何纠正措施的结果 注 : 在采用 Annex SL 之前发布的标准和本 PAS( 如. BS EN ISO 9001,BS EN ISO 14001, BS OHSAS 18001, 等等 ) 也包括 预防措施 本 PAS 的结构是所有不符合的所有风险应通过应用 6.1 的过程和采取预防发生的测量进行识别, 这个过程与在多数管理体系标准中详述的 预防措施 是相似的 尽管如此, 当不符合发生时, 本条款提出需采取纠正措施 实施解决不符合的过程也应在解决直接后果的同时, 减少影响 12

21 附录 A( 资料性附录 ) 本规范的背景和使用指南 A.1 总则 附录有助于理解本规范选择采用的方法, 并且附加必要的 说明 附录没有提供对那些自我解释的条款的附加指南 附录的目的不是指导组织如何实施多个管理体系的要求, 而通过各种有效的渠道, 组织可以收集如何实施单一管理 体系和整合管理体系的信息 A.2 过程方法 BS EN ISO 9001 使用过程方法识别需要控制的区域, 旨在提高高效的产品和服务 它形成了 ISO Annex SL 方法主要的部分 ( 如, 参见本规范 4.4) 图 A.1 显示过程方法应用于 Annex SL 高层次结构 MSSs 包括很多已经在 ISO Annex SL 中识别并格式化的通用要求 ISO Annex SL 和 Annex SL 附录提供核心文本, 通用术语和核心定义, 也有高层次结构 管理体系标准包含许多通用要求, 这些要求已经在 ISO Annex S 中所正式定义 ISO Annex SL 和 Annex SL 附录提供核心的文本, 通用的术语和核心定义, 也包括高层次结构 PAS 整合这些高层次结构和通用要求, 提供以 Annex SL( 附录 2-4) 为框架, 实施两个或更多的管理体系标准整合的方法 重要的是, 需要识别通用要求的框架内为涉及的专门要求 为满足组织应当自愿遵守的标准的要求, 需要另外规定这些专门的要求 本 PAS 采用了这个最恰当的框架, 整合本 PAS 范围内现有的所列出的适合标准, 有效地管理通用管理体系要求 13

22 图 A.1 管理体系标准的结构 管理体系 输入 组织的情境 客户和股东 要求和期望 领导作用 策划 改进 支持 绩效评价 运行 旨在实现 客户和股东 质量记录 输出 方针和期望的正确的管理决策 尽管其它管理体系标准没有过程方法要求, 且确实很多管理体系标准都是基于风险的, 但是过程方法可以用来识别所有的管理要求, 也可以识别需要控制的因素, 以避免缺乏有效控制对相关方的风险 名词 程序 经常用于管理体系标准中, 但什么是程序及其和过程的关系会导致混淆 简单的定义 : 过程是活动 ; 程序描述如何实施过程, 并规范化, 可能形成文件 A.3 风险 基于风险管理的方法 是现代管理标准的核心 正面的风险 是机会, 组织需要抓住它以确保能够兴盛, 而 负面的风险 则是威胁 因此, 逻辑上, 管理体系管理风险的目的是达成其目标 在某些要求上, 基于风险的方法和满足法律法规要求是紧密联系的 ( 例如安全 ), 显然, 这些要求都是必须要满足的 由于没有通用要求涉及质量关键特性的识别和评价,BS EN ISO9001 起初较少关注风险管理的方法, 然而作为评价基础, 需要识别客户和规章的要求, 包括控制和监视过程确保满足这些要求 许多组织在质量管理体系中应用像 FMEA( 失效模式影响分析 ) 方法作为风险管理方法 评价风险是职业健康安全 信息安全 食品安全管理体系的首要动因, 有望成为未来所有管理体系的动因 这可以从管理体系定义结合风险的定义看出 管理体系帮助组织建立方针和达成目标, 而风险可能从正面或负面影响上述目标 14

23 附录 B( 资料性附录 ) PAS 99 条款具体的补充指南 注 :Annex B 特别是 B.4 至 B.10, 对规范中的条文可能需要一些进一步的解释的地方提供指南 对本规范使用者采用或实施的各标准中已经明确和充分地解释了的条文, 没有附加的指南 B.1 范围 无附加指南 B.2 规范性引用文件 无附加指南 B.3 术语和定义 无附加指南 B.4 组织的情境 B.4.1 理解组织和组织的情境 ( 见 4.1) 本质上, 没有组织或单独的个人能够在真空中, 在日常运营中, 组织会与各方有许多的接口 这些接口本质会基于组织大规模而变化, 但是在某些阶段, 所有组织都可以是供方或客户网络的一部分 BS ISO 识别出这些接口可能发生在外部对组织间, 也会发生在组织内部群体间, 并发展出如下说法 : a) 外部情境, 组织试图实现其目标的外部环境 (BS ISO 31000:2009, 2.10); b) 内部情境, 组织试图实现其目标的内部环境 (BS ISO 31000:2009, 2.11); B.4.2 理解利益相关方的需求和期望 ( 见 4.2) 某种程度上, 当确定情境的时候, 应当已经识别利益相关方, 且也已经识别了他们的期望 图 B.1 可帮助确定那些影响组织的利益相关方和帮助开发对他们的需求和要求的理解 这些客户的需求必须落实到所有管理中, 不管是产品 / 服务的质量规范, 还是对社会的环境管理或员工安全的影响 在许多领域, 应识别和考虑客户要求的法律法规和一些规范, 例如 : a) 合同 ; b) 服务层面的协议 ; c) 保险环境 ; d) 当地政府要求 ; e) 对于 OH&S 和环境的排放限值要求 ; f) 法律要求 ; g) 组织所采用的法规 ; h) 工业法规实践应用到组织所承诺的活动 B.4.3 确定整合管理体系范围无附加指南 B.4.4 整合管理体系除 A.1 至 A.3 提到的介绍部分, 无附加指南 当识别所考虑的内部和外部因素时, 不仅考虑危险, 还要想到机会是重要的 术语风险经常联系到负面影响, 在组织内部理解风险的正面影响是重要的 在 ISO Annex SL 中风险定义为 不确定的结果, 也许这是最好的说明 15

24 图 B.1- 应考虑的利益相关方和私有部门的示例 其他相关方 公民 组织 竞争对手 顾客 批发商 股东 管理 最高管理者 对 IMS 方针和实施负责的人员 媒体 评论员 行业组织 投资方 邻居 物主 实施和维护 IMS 的人员 恶势力 保险公司 维护 IMS 和风险程序的人员 应急服务机构 政府 其他响应的机构 监管者 运输服务 恢复服务供应商 其他人员 其他合同方 员工抚养的家属 领导作用 ( 见条款 5) B.5.1 领导作用和承诺 ( 见 5.1) 大体上员工会受到他们对主管承诺的认知的影响 最高管理者是组织中最大的管理者, 且他们的领导作用应当通过对组织运营中的纯粹且持久的兴趣所显现 且他们的态度和行为应当贯彻到组织中 B.5.2 方针 ( 见 5.2 ) 在开始做之前, 明确做的目的是合情合理的, 阐述方针基本是确定组织的目的, 并通过每个管理体系标准阐述某一方面的要求 任何管理体系标准都清楚地规定了相应的要求, 例如 BS EN ISO 9001 要求 形成文件的质量方针,BS EN ISO 要求 最高管理者应指定组织的环境方针, 并且应包括污染预防的承诺 组织可以为管理体系制定单项方针, 或制定整合的方针覆盖每一个标准 提供的方针覆盖每个单独的标准要求是可接受的 a) 组织期望包括 BS EN ISO 应当评审 BS EN ISO 14001: 的要求的 b) 持续改进和污染预防的承诺 b) 组织期望包括 BS OHSAS 的附加要求, 应当参考 BS OHSAS 18001: 基于 ISO Annex SL 措辞的普遍适用性, 它可能覆盖其他具体的要素, 如行业最佳实践 阐述应该包括反映组织承诺的方针, 即对满足管理体系要求, 规划整体方向和行动原则的承诺, 同时应提供设定目标的框架 16

25 B.5.3 组织的作用, 职责和权限 ( 见 5.3) 一个 IMS 的有效实施需要依赖于最高管理者的承诺 最高管理者也需要指定一些人来负责 IMS 实施和运作 风险管理重要性意识的提升将帮助管理体系成为组织风险管理措施的基石 每位管理者和员工清楚其在体系实施中的角色是至关重要的, 应识别各个任务的能力要求, 在需要时提供培训 需要报告体系进展, 各个管理者在推进体系阶段应有详细的方案 在一些情况, 比如职业健康安全 (OHS), 对于一些特定的准则, 在最高管理层中指定一些人作为员工代表 ( 参见 BS OHSAS 18001:2007, 4.4.1) B.6 策划 ( 见条款 6) B.6.1 定位风险和机会的措施 ( 见 6.1) 有许多风险评价的方法, 但是一个简单的系统通常是最好的 复杂的系统常常添加很少的经验 组织在高风险因素运行时, 第一步, 已经找出一个基于 B6.1 中提到的有用的方法, 然后他们对已经识别出来的这些风险使用更加富有经验的方法, 如危险分析和可操作性研究 (HAZOPS), 危险分析和关键控制点 (HACCP),FMEA, 以显示出对组织和利益相关方最大的风险 注 1: 一个通用的风险评价方法使用的整体回顾和指南参见 ISO/IEC 所有显著的风险应当服从于管理体系内的一些形式的控制 另外, 最显著的风险应当也制定改进方案以帮助组织降低整体的风险情况 最重要的是各个层次管理层对开发体系的承诺 培训不仅帮助员工有能力运行体系, 而且使关键的员工有能力参加与危险和机会识别, 以及风险评价 策划过程本身有助于员工理解明白风险和风险管理的原则, 安全 质量的要求 完成阐述管理体系目的方针后, 下一步是策划如何付诸于实践 策划的框架应当包括 : a) 理解组织和组织的情境 ( 见 4.1); b) 理解利益相关方的需求和期望 ; c) 定位风险和机会的措施 ( 见 6.1); d) 目标和实现的策划 ( 见 6.2); e) 组织作用 职责和权限 ( 见 5.3) c) 条包括考虑关注应急计划, 且应当延伸至特定灾害复原和经营的连续性 注 2:BS ISO 31000:2009, 条款 6 描述了一个风险评估, 风险处理流程的确定和适用的风险控制有效性监视一般流程 在大型组织实施管理体系需要大量的时间和人力, 因此以正式的项目管理方法有助于实施管理体系 许多组织已经实施了正式的流程控制和基于流程的管理体系 着手整合的组织可以在 PAS99 中发现推荐的整合方法 ( 当然它不是唯一的方法 ) 如果组织决定使用过程方法, 就要开始识别组织内的过程和子过程 已实施了 BS EN ISO 9001 的组织至少已经识别了影响输出质量的过程 在组织内发布过程路线的价值在于帮助员工理解他们对组织目标的贡献 需要识别管理体系想要支持什么, 需要干什么, 谁来做, 如何做何什么时候做, 以及需要什么资源 17

26 对于每个过程, 应完成下列事项 : a) 识别过程的输入和输出 ; b) 识别过程相关的风险 ( 应当包括参与过程的人 ); c) 识别具有重大影响的风险, 并排序 ; d) 决定控制的方法并实施 识别各个过程的因素对整合管理体系涉及的各个管理范畴的影响是必要的, 例如 : a) 在输入阶段, 有无可能对以下带来重大影响 : 输出的质量? 环境? 员工或受组织活动影响的其他人员的职业健康安全? b) 在输出阶段, 有无可能对以下带来重大影响 : 输出质量? 环境? 职业健康安全? 表 B.1 中描述的简单的方法仅仅是个范例 无论如何, 采用上述风险评估方法避免仅考虑单一事项不考虑对其他事项的影响, 减少冲突 对于各个过程, 应考虑 : a) 什么会出错? b) 如果出错有何后果和影响? c) 可能如何发生? 排列的答案在通过表 B.1 矩阵划分风险等级 如果事件非常可能发生, 且有严重的后果, 那么具有高风险, 必须马上采取一些行动, 又可能需停止营运, 甚至疏散工厂 如果具有中等风险, 一些措施仍需采取, 但并不是非常紧急 如果事件不可能发生且无关紧要, 允许风险存在 这种方法展示了整合体系的优点之一 传统的体系内, 通常由不同部门的人在不同的时候分别考虑这些问题 在整合体系中所有的这些因素 ( 包括其它的如客户满意和信息安全 ) 由真正参与流程的人同时考虑 但并不要求以整合的方法识别因素和排序 表 B.1- 风险矩阵 非常不可能不太可能很少发生有时发生频繁发生没有影响可以忽略的影响轻微的影响相当的影响重大的影响非常重大的影响 符号 可容忍的风险高风险, 需要风险控制非常高风险, 降低风险的措施是必要的 18

27 此方法可以用于识别可能极大影响产品质量和客户满意的过程阶段 这些具有重大影响的因素应被高度重视 对组织有很少风险的因素被认为是可以容忍的, 除非组织认为可以从中获益, 在因素管理过程中不需要采取措施 经常未管理好的区域包括 : a) 合同方 ; 和 b) 组织的或工作方法的变更对代表组织工作的这些相关方的选择和管理应当有控制 合同方需要意识到组织控制下的风险, 和他们的活动会如何和在哪影响这些风险 通过这种方式, 他们能确保不将组织置于风险中 在组织职能中发生任何变更, 无论是管理结构, 还是运行的程序, 新设备等, 这些都应当进行由此引起的风险和机会的评估 这些都应当在实施任何变更前确定 识别出的风险和机会也应当是策划阶段流程的一部分, 见 6.1 中的描述 作为风险管理方案的一部分, 组织需要考虑任何可能发生的紧急情况的响应 包括灾难管理 例如 BS EN ISO 9001:2008, 8.3, 一些良好管理的制造型组织会制定产品召回策划 类似的, 可能造成业务中断的火灾及任何紧急情况均应列明 包括了可能发生的影响组织连续营运的全方位的事件 它包括重要客户 ( 或供应商 ) 的关系破裂, 火灾或洪水, 甚至于地震 B.6.2 IMS 目标和实现的策划 ( 见 6.2) 组织的管理层应决定如何选择和分级目标 选择的目标应当是相关的, 实际可实现的并考虑可用的资源 参与关键因素识别的员工, 会有助于制定关键目标 目标应当是正面的和有意义的 如 减少废弃物 这样的目标缺乏建设性, 只要知道当前的废弃物水平且具备有效的测量方法, 在 Y 个月内减少 X% 的废弃物 会更好些 通常, 识别一个关键的目标要展现许多先前已达到的辅助目标, 因为使用有限的资源可能产生冲突, 因此应小心选择目标 在 BS EN ISO 标准中, 同术语 目标 类似的有一个叫 指标 指标被看作是较低水平的目标( 它可以认为是组织希望获得的目标时间表的例证 ) 指标是组织希望的表述, 可以达成但对组织的未来不是关键 如果组织的指标不能达成, 需要评估目标 B.7 支持 B.7.1 资源 ( 见 7.1) 无必要的附加指南 B.7.2 能力 ( 见 7.2) 无必要的附加指南 B.7.3 意识无必要的附加指南 B.7.4 沟通 ( 见 7.4) 从管理层到员工应当有充分和有效的沟通, 使其能够执行相关体系要求的任务, 并理解原因 在相反的方向, 即从员工到管理层, 各层次都需要有一种联络手段以及高效率的沟通体系 记住劳方总是一种可以通过外部机构, 例如工会, 采取行动的利益相关方, 进而他们还是在工作场所关于因素和风险最好的信息来源 应当认识到沟通的方法和使用的语言应当是适于劳方的需要, 并且其形式应是他们容易理解提供的信息 19

28 与供方和合同方的安排可能需要比先前更正式, 以满足这一要求 B.7.5 成文的信息无必要的附加指南 B.8 运行 ( 见条款 8) 该术语 运行 在 BS EN ISO 9001 中并未出现, 但关于 PAS 99 的这一要求在 BS EN ISO 9001 中有相关的条款 特别是为保证产品受控的要求出现在 BS EN ISO 9001 的条款 6.4( 工作环境 ) 7.1( 产品实现的策划 ) 7.5.1( 生产和服务提供的控制 ),7.5.2( 生产和服务过程的确认 ) 在 BS EN ISO 和 BS OHSAS 两个标准中, 有与本规范 (PAS) 条款 8 更直接的对比, 正如在两个标准中, 都有一个条款 (4.4.6 运行控制 ) 是与条款 8 是平行的 在 BS ISO 中推荐了一个风险控制的方法用以确定措施 选项可包括如下 : a) 通过停止或退出可能导致风险的活动以避免风险 ; b) 增加风险或承担风险以寻求机会 ; c) 清除风险源 ; d) 改变可能性 ; e) 改变后果 ; f) 与其它相关方进行分担风险 ( 包括合约和风险融资 ); g) 通过知情决策保留风险 风险处理选项不是必须互斥的, 且应当注意到它不是在所有环境下都恰当的 风险处理包括一个循环的流程 : 1) 风险处理的评估 ; 2) 决定剩余风险水平是否是可容许的 ; 3) 如果是不可容许的, 产生一个新的风险处理 ; 4) 评估风险处置的有效性 B.9 绩效评价 ( 见条款 9) 一旦建立了体系并开始运行, 下一个要求就是关注体系绩效 这将包括 : a) 监视 测量 分析和评价 ( 见 9.1); b) 内部审核 ( 见 9.2) c) 管理评审 ( 见 9.3) B.9.1 监视 测量 分析和评价 ( 见 9.1) 为了确保体系按照预期的方式运行, 并作为展示持续改进的基础, 监视和测量是必要的 保证体系实施, 可以容易的评价绩效 监视必须既有主动的 ( 关于计划和目标的实现程度 ), 也有被动的,( 例如针对可报告的事故和严重事件的响应和报告 ) 除了识别利益相关方的需求和法律法规的要求 (4.2) 和建立交付安排之外, 应当有进行的流程以评价持续的合规 B.9.2 内部审核 ( 见 9.2) 审核的本质是为了确定体系在各个方面是否遵循, 并找到没有遵循的原因 这是每个管理体系标准的要求, 缺陷可能存在于员工或体系自身 审核经常被认为是必要的例行事务, 但是把它当作整合管理体系提供改进的机会更为适当 在 PAS 99 的情况下, 应当认识到整合审核有许多益处 那些共同的区域可以只被审核一次, 而不是根据采用的管理体系标准的数量审核两次或三次 规范的要求将显然需要明确, 并且专家的能力是必须的 使用经过多种培训的审核组将有益处, 例如取决于组织的复杂性及其风险 审核核心管理体系的专业人员和评价因素的控制情况的专家将是必须的, 这些因素使组织所采用的规范要求中应当被控制的 例如对于审核 BS EN ISO 22000, 食品卫生专家是非常必要的 20

29 BS EN ISO 提供了审核指南, 和一些特殊的专业对审核员的要求 当建立审核方案和安排单个的审核时, 风险和定位风险的过程两个方面都应当考虑 有一些组织提供进一步关于审核的信息, 包括国际认证委员会 (IAF) 和欧盟认可 (EA):EA 发布了当认证机构实施结合审核时,ISO/IEC 17021:2006 关于结合审核的应用指南 注 :ISO/IEC 在 2011 年修订, 将要展开进一步的修订 B.9.3 管理评审 ( 见 9.3) 无必要的附加指南 B.10 改进 ( 见条款 10) B.10.1 不符合和纠正措施 ( 见 10.1) 应当建立 实施和保持的安排, 以对事件 实际和潜在的不符合的调查 分析 学习和实施经验, 及采取纠正措施和预防措施 那些将质量 (BS EN ISO 9001) 要求嵌入到 IMS 中的组织应当考虑到诸如不能满足规格和客户要求等 B.10.2 持续改进 ( 见 10.2) 持续改进需要一个流程用来恰当地识别问题和不符合并纠正它们 这个流程应当在问题存在的范围内专注于问题和环境的本身 它也应当允许改变环境以确保问题不再发生 每一步应当基于前一步再建立和改进, 以确保比仅仅针对已识别的原始问题, 改进覆盖更多的方面, 有一个对组织更广泛, 更显而易见的效果 纠正措施的实施应当验证有效性 每个措施应当有一个估计完成的日期 在那个日期之后, 组织应当确保规定的措施已经完成并有效 如果评审显示措施不能按照计划成功, 应当对措施建立一个新的日期 持续改进流程应当按照整改措施所使用相同的基本流程, 应当 : a) 识别应定位什么和当前的条件 ( 不符合 ); b) 识别当前的流程和控制 ( 根本原因 ); c) 确定实施什么变化 ( 纠正措施 ); 在 IMS 中纠正措施处理缺失和确保它的职能如预期, 同时持续改进将 IMS 带到一个更有效和效率的水平 那些将环境 (BS EN ISO 14001) 管理体系嵌入的组织应当考虑到诸如不能满足放电限值 废物目标 能源使用的减少等 那些将职业健康安全 (BS OHSAS 18001) 管理体系嵌入的组织应当考虑到诸如不能降低暴露水平 合同方的不适当控制 结构和流程变更时的失效 21

30 附录 C( 资料性附录 ) 与其他管理体系标准的关系 表 C.1 提供了本规范 (PAS) 和其他 MSSs 条款与条款之间的对照表 表 C.1- 条款与条款之间的对照表 条款 PAS 99:2012 BS EN ISO 9001:2008 BS EN ISO 14001:2004 BS OHSAS 18001:2007 BS ISO 22301:2012 BS ISO/IEC :2011 BS ISO/IEC 27001:2005 BS EN ISO 22000: 组织的情境 理解组织和组织的情境 4.1* 4.3.1* 4.3.1* * 4.1* 4.2 理解利益相关方的需求和期望 * 确定整合管理体系的范围 4.2.2a) a) 整合管理体系 领导作用 领导作用和承诺 , 方针 b) 组织的作用 职责和权限 , 4.1.3, b) 5.4, 策划 5.4, 定位风险和机会的措施 4.1, 5.4.2, 7.1, , 8.2, , , 7.3, IMS 目标和实现的策划 5.4.1, 5.4.2, 7.2, 7.3, 7.4, , , 7.5, 7.6, 7.7,

31 表 C.1 条款与条款之间的对照表 ( 续 ) 条款 PAS 99:2012 BS EN ISO 9001:2008 BS EN ISO 14001:2004 BS OHSAS 18001:2007 BS ISO 22301:2012 BS ISO/IEC :2011 BS ISO/IEC 27001:2005 BS EN ISO 22000: 支持 , 资源 6.1, 6.2, , 能力 意识 沟通 5.5.1, 5.5.3, , , 成文的信息 总则 创建和更新 成文的信息控制 4.2.3, 运行 运行的策划和控制 , , , 7.6, 绩效评价 监视 测量 分析和评价 8.2, 8.2.1, 8.3, , , 8.2, 内部审核 管理评审 , 改进 不符合和纠正措施 8.5.2, , , 8.2, , 8.4.2, 持续改进 , * 在 PAS99:2006 中不是直接相关, 但是一些条款促成了此要求 23

32 附录 D( 资料性附录 ) PAS 99:2012 与 PAS 99:2006 对照表 表 D.1 提供了 PAS 99:2012 和前一个版本 PAS 99:2006 之间条款与条款之间的联系 表 D.1- PAS 99:2012 与 PAS 99:2006 对照表 条款 PAS 99:2012 PAS 99: 组织的情境 4.1 理解组织和组织的情境 4.3.1a)* 4.2 理解利益相关方的需求和期望 4.3.2, 4.4.4* 4.3 确定整合管理体系的范围 整合管理体系 (IMS) 4.1.2, 领导作用 5.1 领导作用和承诺 5.2 方针 组织的作用 职责和权限 策划 6.1 定位风险和机会的措施 4.3.1, IMS 目标和实现的策划 支持 7.1 资源 能力 , 4.4.2a) 7.3 意识 4.4.2b) 7.4 沟通 成文的信息 总则 创建和更新 , 成文的信息控制 , 运行 运行的策划和控制 绩效评价 监视 测量 分析和评价 4.5.1, 内部审核 管理评审 4.7.1, 4.7.2, 改进 不符合和纠正措施 4.5.4, 持续改进 * 在 PAS 99:2006 中不是直接相关, 但是一些条款促成了此要求 24

33 参考文献 标准出版物 合并 ISO 指令的补充, 第一部分 Annex SL( 标准的 ) 管理体系标准的提议,SL.8 一个管理体系标准结构和流程的发展的指南 BS EN ISO 19011, 管理体系审核指南 BS ISO 31000:2009, 风险管理 原则和指南 ISO 22313, 社会安全 经营连续管理体系 指南* ISO/IEC 31010, 风险管理 风险评估技术 ISO/IEC 导则 73, 风险管理 词汇表 标准使用的指南 其他出版物 EA-7/05, ISO/IEC 17021:2006 关于应用结合审核的 EA 指南 *准备中 25

34 关于 BSI BSI(British Standards Institution, 英国标准协会 ) 是一家全球领先的独立业务服务机构, 致力于为全球各类组织提供所需的解决方案, 将基于最佳实践的标准转化为追求卓越的组织文化 BSI 成立于 1901 年, 是世界上首家国家级标准机构, 同时也是国际标准化组织 (ISO) 创始成员之一 经过一个多世纪的发展,BSI 始终致力于帮助各类组织采用国际管理体系标准 ( 许多标准源自 BSI) 以此来提升业绩 降低风险和实现可持续发展, 进而促进全球的业务改进 1979 年,BSI 撰写了全球第一个质量管理体系标准 BS 5750, 后发展为 ISO 9001 质量管理体系标准, 现已成为全球最成功的标准, 被 178 个国家 / 地区的超过 100 万家组织采用 BSI 因其卓越标识 ( 包括被广泛认可的 Kitemark ) 而享有盛誉, 其影响遍及众多领域, 包括航空航天 建筑 能源 工程 金融 医疗 IT 和零售等 BSI 在全球 150 个国家 / 地区拥有超过 65,000 家客户, 其标准在全球范围内推动企业践行卓越 26

35

36 联系我们 : BSI 中国网站 : BSI 中国热线 : BSI 中国电邮 :infochina@bsigroup.com BSI 新浪微博 :@BSI 英国标准协会中国