Microsoft Word - F3272B6E5B6476F E40009BD41BODY.doc

Size: px

Start display at page:

Download "Microsoft Word - F3272B6E5B6476F E40009BD41BODY.doc"

固梓凌
4 years ago
Views:

1 国认标委函号关于征求国家标准合格评定管理体系审核认证机构要第 6 部分 : 业务连续性管理体系审核和认证能力要求 ( 征求意见稿 ) 意见的函各位委员观察员及有关单位 : 全国认证认可标准化技术委员会 (SAC/TC 261) 正在实施国家标准化管理委员会下达的合格评定管理体系审核认证机构要第 6 部分 : 业务连续性管理体系审核和认证能力要求国家标准制定项目 ( 计划编号 : T-469) 现将合格评定管理体系审核认证机构要第 6 部分 : 业务连续性管理体系审核和认证能力要求 ( 征求意见稿 ) 编制说明以及意见反馈表提供给你们, 望认真研究并提出宝贵意见请于 2019 年 5 月 22 日以前将意见反馈表以电子文本发送至标准起草组联系人 : 王轶亮电话 : 电子邮件 :wangyl@isccc.gov.cn 附件 :1. 合格评定管理体系审核认证机构要第 6 部分 : 业务连续性管理体系审核和认证能力要求 ( 征求意见稿 ) 2. 编制说明

2 3. 意见反馈表国认标委 2019 年 4 月 22 日 - 2 -

附件 1 ICS 点击此处添加 ICS 号点击此处添加中国标准文献分类号 GB/T XXXXX XXXX 中华人民共和国国家标准合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求 Conformity assessment requirements for bodies providing audit and certification of

3 附件 1 ICS 点击此处添加 ICS 号点击此处添加中国标准文献分类号 GB/T XXXXX XXXX 中华人民共和国国家标准合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求 Conformity assessment requirements for bodies providing audit and certification of management systems part 6: conpetence requirements for auditing and certification of business continuity management systems 点击此处添加与国际标准一致性程度的标识 ( 征求意见稿 ) XXXX - XX - XX 发布 XXXX - XX - XX 实施 - 3 -

4 目次前言...II 引言...III 1 范围规范性引用文件术语和定义通用能力要求业务连续性管理体系审核员复核审核报告并做出认证决定的人员的能力要求总则业务连续性管理 (BCM) 术语组织环境适用法律法规和其他要求业务连续性管理过程中的关系业务影响分析和风险评估业务连续性策略事件管理业务连续性计划业务连续性演练业务连续性管理体系绩效评价实施申请评审以确定所需的审核组能力选择审核组成员并确定审核时间的人员的能力要求总则业务连续性管理术语组织环境业务连续性管理过程中的关系... 3 附录 A( 资料性附录 ) 业务连续性管理体系审核及认证的知识... 4 参考文献... 5

5 前言本标准按照 GB/T 和 GB/T 给出的规则起草本标准使用翻译法等同采用国际标准 ISO/IEC TS :2014 合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求本标准由全国认证认可标准化技术委员会 (SAC/TC 261) 提出并归口请注意本文件的某些内容可能涉及专利, 本文件的发布机构不承担识别这些专利的责任本标准起草单位 : 中国网络安全审查技术与认证中心中国合格评定国家认可中心山东省标准化研究院海关总署中国认证认可协会广东康云科技有限公司广州海关信息中心中国兵工物资集团有限公司广州云润大数据服务有限公司四川省电子产品监督检验所广东鸿威展览集团广东联结电子商务有限公司上海安言信息技术有限公司广东智信信息科技股份有限公司南方电网传媒有限公司本标准主要起草人 : 王轶亮魏军尤其杨哲王曙光张芳王茜李家康茶国吉曲晖晋彤王照云陶宇冯丽蔡立群王永基石磊秦峰 - 5 -

6 引言本标准是对 ISO/IEC 17021:2011 的补充, 特别是明确了 ISO/IEC 17021:2011 附录 A 所述的认证过程涉及人员的能力要求 ISO/IEC 17021:2011 的第 4 章的指导原则是本文件中要求的基础对于相关方 ( 包括认证机构的客户和获得管理体系认证的组织的顾客 ), 认证机构有责任确保业务连续性管理体系 (BCMS) 认证是可靠的仅使用相关能力得到证实的认证人员 BCMS 认证人员需要具有 ISO/IEC 17021:2011 所述的通用能力, 也具有本文件所述的 BCMS 特定知识认证机构需要针对每个 BCMS 审核的范围识别审核组所需的特定能力本技术规范中使用下列助动词 : 应表示要求 ; 宜表示建议 ; 可以表示允许 ; 能表示能够进一步内容参见 ISO/IEC 指令第 2 部分 - 6 -

7 合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求 1 范围本文件对 ISO/IEC 17021:2011 的现有需求进行了补充本文件包括对业务连续性管理体系 (BCMS) 认证过程中所涉及人员的特定能力要求 2 规范性引用文件下列文件对于本文件的应用是必不可少的凡是注日期的引用文件, 仅所注日期的版本适用于本文件凡是不注日期的引用文件, 其最新版本 ( 包括所有的修改单 ) 适用于本文件 ISO/IEC 17021:2011 管理体系认证机构要求 GB/T 合格评定词汇和通用原则 (ISO/IEC 17000,IDT) GB/T 公共安全业务连续性管理体系要求 (ISO 22301,IDT) ISO 公共安全 - 术语 3 术语和定义 ISO/IEC 17021:2011 ISO GB/T 和 GB/T 中给出的术语和定义适用于本文件 4 通用能力要求认证机构应对 ISO/IEC 17021:2011 表 A.1 中的每一项认证职能定义能力要求在定义这些能力要求时, 认证机构应考虑 ISO/IEC 17021:2011 中规定的所有要求, 以及本文件第 5 章至第 6 章中规定的所有要求注 1: 附录 A 提供了对特定的认证职能所涉及人员能力要求的信息摘要注 2:GB/T 提供了审核原则的信息 5 业务连续性管理体系审核员复核审核报告并做出认证决定的人员的能力要求 5.1 总则所有 BCMS 审核员复核审核报告并做出认证决定的人员应具备一定程度的能力, 包括 ISO/IEC 17021:2011 中所描述的通用能力, 以及本文件 5.2 到 5.11 所描述的 BCMS 知识注 1: 审核组中的每位审核员不必具备同样的能力, 然而审核组的整体能力需要足以实现审核目标注 2: 尽管知识要求的基本要素都一样, 但应该承认对审核员复核审核报告并做出认证决定的人员而言, 知识要求的细节程度可能不尽相同这由每个独立的认证机构负责确定 5.2 业务连续性管理 (BCM) 术语审核组复核审核报告并做出认证决定的人员应具备 BCM 及风险的术语定义和概念的知识 5.3 组织环境 - 7 -

8 审核组复核审核报告并做出认证决定的人员应具备组织运行所处相关环境的知识 5.4 适用法律法规和其他要求审核组复核审核报告并做出认证决定的人员应具备相关知识, 以确定组织是否识别并评价了其与适用法律法规和其他要求的符合性注 1: 法律法规要求可以表述为法律要求注 2: 其他要求可以包括自愿性的国家国际和特定行业的协议 5.5 业务连续性管理过程中的关系审核组复核审核报告并做出认证决定的人员应具备 BCM 各要素间相互关系的知识 5.6 业务影响分析和风险评估审核组复核审核报告并做出认证决定的人员应具备业务影响分析 (BIA) 的知识, 包括 : 方法学和技巧 ; 对产品和服务交付活动的识别 ; 时间上的影响评估, 当影响变得不可接受时应能予以识别 ; 对重启设定具有优先排序的时间表 ; 对附属及支持资源的识别审核组复核审核报告并做出认证决定的人员应具备风险评估和风险管理的知识, 包括 : 方法学和技巧 ; 中断事件相关风险的识别分析和评价 ; 现有控制措施的有效性 ; 对适当的风险处置的识别 5.7 业务连续性策略审核组复核审核报告并做出认证决定的人员应具备策略和方法学的知识, 以降低中断事件的影响及其发生的可能性, 包括 : 策略制定 ; 已准备措施 ; 对可选性策略的选择 ; 连续性策略的成本收益分析 ; 和外部股东的协调方法 ; 事件响应 ; 沟通 ; 命令和控制 ; 协调响应部门 ; 恢复和重建 5.8 事件管理审核组复核审核报告并做出认证决定的人员应具备事件管理措施的知识, 以确定组织是否识别了对中断事件的适当响应, 包括预警和沟通需求审核组复核审核报告并做出认证决定的人员应具备相关知识以评价组织测试其事件管理能力的有效性 5.9 业务连续性计划 - 8 -

9 审核组复核审核报告并做出认证决定的人员应具备业务连续性计划的知识, 包括业务连续性计划的建立更新维护目的格式结构以及程序细节 5.10 业务连续性演练审核组复核审核报告并做出认证决定的人员应具备策划和执行业务连续性演练的知识, 包括业务连续性演练的类型过程技巧以及组织满足其恢复优先级别与恢复目标的能力的评价准则 5.11 业务连续性管理体系绩效评价审核组复核审核报告并做出认证决定的人员应具备 BCMS 绩效评价的知识, 包括指标和绩效标准的知识, 以确定组织的 BCMS 绩效是否实现其管理层确定的目的和目标 6 实施申请评审以确定所需的审核组能力选择审核组成员并确定审核时间的人员的能力要求 6.1 总则其他认证职能涉及的小组或个人应具备的能力包括 ISO/IEC 17021:2011 中描述的通用能力, 以及本文件 6.2 到 6.4 描述的 BCMS 知识 6.2 业务连续性管理术语其他认证职能涉及的小组或个人应具备 BCM 术语的知识 6.3 组织环境其他认证职能涉及的小组或个人应具备组织运行所处相关环境的知识 6.4 业务连续性管理过程中的关系其他认证职能涉及的小组或个人应具备 BCM 要素间相互关系的知识 - 9 -

10 A A 附录 A ( 资料性附录 ) 业务连续性管理体系审核及认证的知识表 A.1 提供了一个 BCMS 审核及认证所需知识的摘要, 该表是资料性的, 仅标明了特定认证功能所需的知识范围每个认证职能的能力要求见本文件正文表 A.1 中, 表示认证机构宜对知识的准则和程度进行定义知识表 A.1 知识表实施申请评审, 以确定审核组的能力要求选择审核组成员并决定审核时间认证职能复核审核报告并做出认证决定审核和领导审核组业务连续性管理术语 ( 见 6.2) ( 见 5.2) ( 见 5.2) 组织环境 ( 见 6.3) ( 见 5.3) ( 见 5.3) 适用法律法规和其他要求 ( 见 5.4) ( 见 5.4) 业务连续性管理过程中的关系 ( 见 6.4) ( 见 5.5) ( 见 5.5) 业务影响分析和风险评估 ( 见 5.6) ( 见 5.6) 业务连续性策略 ( 见 5.7) ( 见 5.7) 事件管理 ( 见 5.8) ( 见 5.8) 业务连续性计划 ( 见 5.9) ( 见 5.9) 业务连续性演练 ( 见 5.10) ( 见 5.10) BCMS 绩效评价 ( 见 5.11) ( 见 5.11) 审核组宜具有专门知识和技能, 或在必要时由技术专家补充当审核由一个审核组实施时, 宜由审核组整体具有相应程度的必备技能, 而不必由组内每位独立成员具有

11 参考文献 [1] GB/T 管理体系审核指南 [2] GB/T 公共安全 - 业务连续性管理体系 - 指南 [3] ISO 公共安全 - 演练指南 [4] ISO 风险管理 - 原则和实施指南 [5] ISO Guide 73 风险管理 - 词汇 [6] IEC 风险管理 - 风险评估方法

12 附件 2 国家标准合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求编制说明一任务来源本标准的制定由中国网络安全审查技术与认证中心提出, 中国合格评定国家认可中心山东省标准化研究院等机构共同参与编制, 本标准列入国家标准委 2018 年国家标准制修订计划, 项目编号 T- 469, 项目名称为合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求二目的和意义 ISO/IEC TS :2014 合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求国际标准已于 2014 年 12 月 1 日发布, 该标准是对已发布的国际标准 ISO/IEC 17021:2011 的补充, 特别是明确了 ISO/IEC 17021:2011 附录 A 所述的, 在业务连续性管理方面的认证过程涉及人员的能力要求为了使我国业务连续性管理体系认证审核活动能够与国际要求保持一致, 我们特申请将该标准等同转化为国家标准, 以对国内实施业务连续性管理体系认证审核的机构提供一致性要求, 同时, 该标准也可适用于认可同行评审或其他审核过程, 作为实施或评价的准则三起草工作组的组成中国网络安全审查技术与认证中心负责本标准的制订工作标准起草工作组的组成考虑了认证机构认可机构标准使用单位等方面主要起草单位和人员包括 : 中国网络安全审查技术与认证中心 : 王轶亮魏军尤其中国合格评定国家认可中心 : 杨哲山东省标准化研究院 : 王曙光海关总署 : 张芳

13 中国认证认可协会 : 王茜广东康云科技有限公司 : 李家康广州海关信息中心 : 曲晖中国兵工物资集团有限公司 : 茶国吉广州云润大数据服务有限公司 : 晋彤四川省电子产品监督检验所 : 冯丽广东鸿威展览集团 : 王照云广东联结电子商务有限公司 : 陶宇上海安言信息技术有限公司 : 石磊秦峰广东智信信息科技股份有限公司 : 蔡立群南方电网传媒有限公司 : 王永基四编制原则 1) 本标准的编写遵守国家标准 GB/T 标准化工作导则第 1 部分 : 标准的结构和编写 2) 本标准编制依据 ISO/IEC 导则第 1 部分附录中对管理体系标准框架结构一致性的最新要求 3) 本标准中的术语和定义尽可能与我国现行相关国家标准保持一致和连贯五标准的编制过程中国网络安全审查技术与认证中心在 2015 年提出合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求国家标准起草项目, 并列入国家标准委 2018 年国家标准制修订计划, 具体过程如下 : 1)2014 年 5 月, 在全国认证认可标准化技术委员会秘书处的正式确立下, 成立了 ISO/CASCO/JWG 40 国际标准对口工作组, 开始跟踪 ISO/IEC TS 国际标准的制修订过程, 并针对 ISO/IEC DTS 提出了我国的修订意见 2)2015 年 3 月, 在前期国际标准跟踪的基础上, 完成了合

14 格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求草案的编制, 同时正式向全国认证认可标准化技术委员会秘书处提出该标准立项申请 3)2018 年 12 月, 标准起草组对合格评定管理体系审核认证机构要求第 6 部分 : 业务连续性管理体系审核和认证能力要求 ( 草案 ) 进行了第一次公开征求意见 4)2019 年 3 月, 根据标准草案征求意见修订情况进行研究, 形成国家标准公开征求意见稿草案六有关问题的说明 1) 标准的适用范围 : 本标准为要求类标准, 适用于按照 GB/T 公共安全业务连续性管理体系要求开展以业务连续性管理体系 (BCMS) 审核和认证为目的认证机构, 也可适用于认可同行评审或其他审核过程, 作为实施或评价的准则 2) 标准的技术特点 : 本标准为等同采用国际标准 ISO/IEC TS :2014, 在标准的起草过程中仅做了编辑性的修改, 除此之外, 未对原国际标准进行任何修改标准起草组二一九年四月十日

15 附件 3 合格评定管理体系审核认证机构要第 6 部分 : 业务连续性管理体系审核和认证能力要求国家标准意见反馈表序号标准条款号意见或建议修改原因填写单位 : 姓名 : 联系方式 :

16 抄送 : 国家市场监督管理总局认可检测司, 存档 (2) 全国认证认可标准化技术委员会 2019 年 4 月 22 日印发

<4D F736F F D20434E41532D A3BA A1B6D6CAC1BFB9DCC0EDCCE5CFB5C9F3BACBBCB0C8CFD6A4B5C4C4DCC1A6D2AAC7F3A1B7A3A D322D32302DB7A2B2BCC7E5B8E5A3A92E646F63>

<4D F736F F D20434E41532D A3BA A1B6D6CAC1BFB9DCC0EDCCE5CFB5C9F3BACBBCB0C8CFD6A4B5C4C4DCC1A6D2AAC7F3A1B7A3A D322D32302DB7A2B2BCC7E5B8E5A3A92E646F63> CNAS-CC131 质量管理体系审核及认证的能力要求 Competence Requirements for Auditing and Certification of Quality Management Systems 中国合格评定国家认可委员会第 1 页共 9 页目次前言... 2 引言... 3 1 范围... 4 2 规范性引用文件... 4 3 术语和定义... 4 4 通用能力要求...