pzppp.com
iso9001:2015认证中的外部供方有哪些要求?
ISO 9001：2015标准中给出的例子包括为组织提供产品或服务的供应商、承包方、生产商、分销商、零售商或小商小贩。外包机构是执行组织的部分职能或过程的外部组织。
ISO 9001：2015的8.4条款是有关外部提供过程、产品和服务控制的相关要求。但与外部供方的相关活动在本标准的其他条款也有提及或意指。
4.1条款“理解组织及其所处环境”要求“组织应确定与其宗旨和战略方向相关并影响其实现质量管理体系预期结果的能力的各种外部和内部因素”。
这个条款指出的情况可能是个问题，也可能是个积极的因素。组织的关键外部供方可能处于整合、能力扩张或探索新领域的不同发展阶段。这种情况可能是积极的，因为它可能有助于组织的发展或提升顾客满意度。
如果您的组织在技术发展和收入上长期依赖外部供方，那么您的组织必须对相关的因素保持适当的关注和评价。因为这是4.1条款的要求。
外部供方也可能是4.2条款涉及的相关方，“组织应对相关方及其要求的相关信息进行监控和评审”。
有些人会问，“对外部供方有哪些要求”？这方面应考虑诸如是否有公正而透明的招标及付款程序，供方的产品和服务的质量，或者它的生命周期管理等内容。
5.2.2.C条款要求组织所制定的质量方针“可为相关方所获取”。许多组织在与其相关方签署的合约中包括了对外部供方的质量要求。组织的质量方针可以在这些文件中明确，也可以在其官网上显示。这仅是满足本条款要求的两种可参考方法。
这个条款旨在确保外部供方了解组织的质量追求和组织的意图，因此，如果您的组织在方针中提出“世界 品质”或“卓越绩效”之类的方向，那么外部供方就更理解在双方协议中强调的质量、可靠性和按时交货的高期望值。
外部供方要求
ISO 9001：2015 8.4.1条款要求“组织应确保由外部供方提供的过程、产品和服务符合要求”。这意味着组织在做出采购决定时，组织已经进行了全盘的考虑，对需要采购的商品或外购的服务非常清楚，并且明白使用外部供方的风险和机遇。
供方的风险和机遇可能因交付产品或服务方式的不同而有所区别。可能有以下情形：
供方的产品或服务作为组织的整体报价一部分的，比如，作为产品清单中的一部分零部件，或作为咨询服务，或第三储服务；
以组织的名义将产品或服务直接提供给客户，比如现场产品安装服务，或运营服务，或维修服务；
向客户提供的过程，比如维修服务的过程之一——在保修替换服务时回收有缺陷零部件的工作。
识别并应用准则
在编制对外部供方的评价和选择准则时，考虑的重要因素宜包括诸如质量、按时交货、成本或供方的环境可持续性等内容。决定使用一个供方时，应考虑在整个生命周期的使用成本而不仅仅是初始成本，这是非常重要的。
在外购产品或服务的时候考虑相关的风险和机遇，可以思考以下问题：“对哪些外部供方需要采取这种控制措施？”“不采取任何措施的风险是否可接受？”“与该供方建立长期的合作关系是否能带来机遇，比如能够带来技术的进步或者有合作创新的潜力？”
评价和选择
可以用一个跨部门的团队对外部供方进行现场评价，去判定供方是否具备满足当前和未来需求的能力。
在评价未来需求时一定要考虑灵活性。在满足需求方面大部分的外部供方都有一定的弹性，但是有可能他们的产品或服务质量会受到很大影响。
进行评价的结果应体现在对外部供方的选择或资格状态做出的结论，如批准，有条件的批准或不批准。评价小组可能需要完成其他的尽职调查工作，比如由客户要求的或由于商品的特殊性决定的生产件批准程序。
绩效监视
对外部供方的先期评价和选择需要明确供方是否具备交付组织需要的产品或服务的能力并建立了相关流程。对供方绩效的监视则将之前的评价和实际结果联系起来。没有结果的流程是无用的，而没有流程的结果则是不可持续的。
对供方进行的定期绩效评价能确保一致的表现和持续改进。这种评价不能仅仅停留在文件审核上。在评价时组织必须深入了解供方，并提供切实有助于供方改进的反馈信息。对风险和机遇进行定期评价以确保及时采取相关措施也是必要的，这样能够确保及时发现新情况并纳入监视范围。这种全面的监视有助于确保减少风险、有效改进并且避免因供方组织内部原因造成产品和服务质量的下降。
再评价
供方的情况可能发生各种变化。供方的管理、工作优先重点可能会有变化，有时产品或者流程方面的调整也可能未及时与组织沟通。根据绩效指标，供方的业务成熟度以及产品或服务的关键急迫程度，组织可以选择对供方实施再评价的安排；再评价可以是完整的评价，也可以是针对某些领域的评价。
新版标准8.4.2 D条款要求组织“确定必要的验证或其他活动，以确保外部提供的过程、产品和服务满足要求”。为了满足这项要求，组织需要实施定期的现场审核，控制进货质量，实行持续的可靠性测试，采用严谨的变更批准制度并确保持续和有效的沟通。
财产控制
8.5.3 条款扩展了财产控制的外延，现在的范围已不仅仅包括组织的顾客，也将外部供方包括在内。
这种控制可以是双向的， 可以是外部供方对发包方组织财产的控制，也可以是组织对外部供方财产的控制。组织可能把以下财产委托给外部供方：原料；专有工具的运输；组织的产品或服务使用到的软件。
外部供方的财产可以是有形的，比如设备、原料、工具、装置或图纸；也可以是无形的，比如提供知识产权类信息。组织必须按照合同约定明确责任和义务，并且妥善保管外部供方的财产。
对于安装或使用在组织的产品或服务上的外部供方财产，组织也需要明确对其进行识别、核查、保护并保全的责任，这也包括明确定期维修的责任。组织还要确保制定了财产丢失、财产损毁或发现不合用情况下的报告流程。
9.1.3条款和9.3条款的“分析与评价”及“管理评审”也涉及了外部供方的内容。9.1.3要求进行适当的数据信息分析与评价，且这些数据和信息是来自对供方绩效的监视与测量活动。9.3.2.C7管理评审应考虑将关注外部供方的绩效作为输入内容之一，这方面信息可以包括基于对供方的监视和测量得到的风险与机遇的相关信息。
城市管理的体制、机制上要不 断创新与改革。城市管理需要规范运作，更要保证城市管理的结果和效果。但从何保证却成为一道难题。引入ISO9001标准建立 质量管理体系，通过控制“过程”从而发达“结果”。意味着城市管理工作将从此全面进入规范化、专业化、 标准化、常态化管理的新阶段。这是政府工作解放思想、勇于创新的结晶。跳出固有模式来看待新时代的城市管理工作，大胆借用和 导入ISO质量管理体系这一理念，建立起一套城市管理新的运行、评价机制。
提升工作水平的客观需要。城 市管理的规范化、标准化和常态化是提升城管工作水平的主要方向，ISO9001质量管理体系包含一系列质量管理方法和科学标准 ，可以在行政执法、市政养护、队伍建设等工作中，建立符合自身改革和发展需要的质量目标、管理体系和控制方法，能够避免以往 制度管理中拍脑袋、凭经验的情况，将目标管理和过程管理有机地结合起来。让每个人都明白自己的职责是什么、上级的要求是什么 、完成的标准是什么。通过对每个岗位、每项工作的科学策划，并实施有效的“过程管理”，从而使城市管理各项工作快 速、全面地实现规范化、标准化、常态化认证。
ISO27001认证信息安全风险评估
目的：实施风险评估，识别不可接受风险，明确管理目标。
内容：风险评估是整个风险管理的基础，本阶段将根据前期策划的风险评估方法。
包括：a. 根据业务要求及信息的密级划分，对信息资产的重要程度进行判定，识别对关键核心业务具有关键
作用的信息资产清单;对重要信息资产从内部及外部识别其所面临的威胁;
b. 根据威胁，从管理和技术两方面识别重要信息资产所存在的薄弱点;
c. 根据风险评估的方法指南，对威胁利用薄弱点对重要信息资产所产生的风险在保密性、完整性、可 用性三方面所造成的影响进行评价;评价威胁利用薄弱点引发安全风险事件的可能性;
d. 根据风险影响及发生的可能性评价风险等级;
e. 根据信息安全方针，各核心业务流程的安全要求，与管理层进行沟通，确定不可接受风险等级的标 准;
f. 针对不可接受的高风险，制定风险处理计划，从ISO27002及顾问的行业经验来选择适宜的风险管
控措施;实施所选择的控制措施，降低、转移或消除安全风险;
g. 编写风险评估报告。
ISO27001认证体系信息安全业务连续性审核示便供参考。
ISO27001认证体系业务连续性审核目的
1）组织是否进行了关键业务分析;
2）组织是否分析了关键业务对信息资产的依赖程度;
3）组织是否建立了业务连续性框架;
4）组织确定的业务连续性信息安全管理方面的管理流程是否完整;
5）组织是否针对关键业务分别制定了业务连续性计划;
6）组织是否针对与关键业务密切相关的高风险信息资产制定了完整的信息安全业务连续性计划;
7）组织是否针对业务连续性计划制定了演练计划;
8）组织是否针对信息安全业务连续性计划制定了演练计划;
9）组织是否组织了业务连续性演练;
10）组织是否组织了信息安全业务连续性演练;
11）组织进行的信息安全业务连续性演练是否满足三年全覆盖要求;
12）组织是否进行了业务连续性演练分析;
13）组织是否进行了信息安全业务连续性分析;
14）组织是否依据信息安全业务连续性分析结果，对信息安全业务连续性演练计划、信息安全业务连续性计划、业务连续性信息安全管理方面的管理流程进行适当的调整;
15）组织是杏出现过引起关键业务中断的信息安全事件;如出现，是否依据信息、安全业务连续性计划实现了关键业务的恢复目标，特别是有没有关联信息资产影响恢复目标实现
上述内容既是ISO27001认证机构审核的目的，也应是企业实施ISO27001认证体系及内审参考。以下审核步骤
1.ISO27001认证体系业务连续性程序检查
a) 业务连续性管理程序完整性;
b) 关键业务分析报告、业务连续性计划、业务连续性演练计划等的发布与控制
2.ISO27001认证体系业务连续性报告检查
a) 关键业务进行了分析;
b) 关键业务对信息与信息系统的依赖程度分析;
c) 信息安全对关键业务的连续性影响因素分析;
d) 对所有影响因素制定了可操作的具体业务连续性保证计划;
c)各种演练记录完整性;
f) 各种演练分析报告完整性合理抽样审
3.ISO27001认证体系业务连续性演练检查
a) 演练计划;
b) 演练方式;
c) 演练内容;
d) 演练记录;
e) 演练分析
4.ISO27001认证体系业务连续性事件检查
a) 事件记录；
b) 事件处理方式;
c)事件影响分析:
d) 业务连续性恢复记录
