pzppp.com
ISO45001：2018标准“7.1 资源”条款的审核方式
S7.1的理解：
一）资源的范围：
2011版注1：资源包括人力资源和专项技能、组织基础设施、技术和财力资源。
28002：在确定建立、实施和保持职业管理体系所需资源时，组织宜考虑：
——运行特需的财力、人力和其他资源；
——运行特需的技术；
——基础建设和设备；
——信息系统；
——专业技能和培训的需求。
综上：资源可以包括：人力资源（含人员的能力、资质和组织的知识管理）；基础设施（符合策划的专用建筑、设备、设施、ICT信息通信和技术）；资金。
二）如何确定是否“所需”（必须、适宜）：
1.合规性要求：生产法律法规（如评价、排污许可证、特种设备等）、职业法律法规（如职业卫生三同时、职业病危害因素评估和检测、职业病防治、有毒物品、个体防护等）等法规要求，以及与相关方签署的法律义务（如劳动时间、非歧视性申明）。——弹性较小。
2.与体系战略、经营计划、方针、目标、风险、危险源及相关的管理措施相对应的能力及其保持。——弹性较大。
3.与相关方满意为衡量标准的评价：顾客满意、雇员满意、合作方满意、股东满意、社区满意、工会满意、上级满意等。——弹性较大。
三）如何提供：
1.采购和配置所需资源，并列入公司资产统一管理；
2.租借部分资源（人或物，通常包含技能等）；
3.采用外包、承包的方式，由外部供方提供部分资源（人或物，通常包含技能等）并对资源实施管理；
4.财务部门提供资金预算和资金供给。
四）体系对S7.1的管理要求：
通过目标管理、内审、管理评审及日常运行监视，持续评审资源的充分性。“宜对资源及其配置通过管理评审来进行定期评审，以确保其足以实施包括绩效测量和监测在内的职业方案和活动。对于已建立职业管理体系的组织，通过比较计划实现的职业目标与实际结果，至少可对资源的充分性进行部分地评估。在评估资源的充分性时，还宜考虑到计划的改变和（或）新的项目和运行的出现。”——28002
如何审核S7.1：——基于认证风险的审核和评价
一）基于合规性要求的评价：
在管理层审核企业经营许可（评价、三同时、特种设备、职业危害因素检测等）、合规义务、合规性评价、不符合整改（包含外部验厂）等管理要素时，以正面取证与反面取证相结合的方式，获取企业的资源信息。评价标准：如果没有或失效，企业违法违规。
二）与方针、目标、风险、危险源及相关的管理措施相对应的能力评价：
在管理层及各现场审核时，在评价风险的控制能力时应关注资源提供的充分性及资源的有效性。评价标准：如果没有、不充分或失效，导致风险控制失效。
三）基于相关方满意（抱怨、投诉、事故事件、社会形象）的评价：
反面取证的方法：因相关方不满意，分析出体系资源不充分。
四）记录：
1）现场审核记录：
在管理层描述概貌；在各现场描述其充分性和能力的保持。
2）审核报告：4资源配置
管理体系运行过程所需资源配置情况评价，包括人员的能力/意识/满足能力，基础设施设备和特种设备管理，工作环境和知识等。资源变化情况（监督）。
可以描述：1）与合规义务相对应的资源的充分性、合规性（如特种设备安检、职业病防治等），以及资源保持的风险（如租赁或许可到期）；2）与人力资源有关的组织机构和职责、能力、意识，以及与运行有关的专业技能（资质）、知识等是否充分；3）企业的经营状态和资金保证能力（如体系资金预算）。
ISO27000认证体系建立和运行步骤
ISO27001标准要求组织建立并保持一个文件化的信息管理体系，其中应阐述需要保护的资产、组织风险管理的渠道、控制目标及控制方式和需要的保证程度。
不同的组织在建立与完善信息管理体系时，可根据自己的特点和具体情况，采取不同的步骤和方法。但总体来说，建立信息管理体系一般要经过下列四个基本步骤：信息管理体系的策划与准备；信息管理体系文件的编制；信息管理体系运行；信息管理体系审核与评审。
如果考虑认证过程其详细的步骤如下：
1. 现场诊断；
2. 确定信息管理体系的方针、目标；
3. 明确信息管理体系的范围，根据组织的特性、地理位置、资产和技术来确定界限；
4. 对管理层进行信息管理体系基本知识培训；
5. 信息体系内部审核员培训；
6. 建立信息管理组织机构；
7. 实施信息资产评估和分类，识别资产所受到的威胁、薄弱环节和对组织的影响，并确定风险程度；
8. 根据组织的信息方针和需要的保证程度通过风险评估来确定应实施管理的风险，确定风险控制手段；
9. 制定信息管理手册和各类必要的控制程序 ；
10. 制定适用性声明；
11. 制定商业可持续性发展计划；
12. 审核文件、发布实施；
13. 体系运行，有效的实施选定的控制目标和控制方式；
14. 内部审核；
15. 外部 阶段认证审核；
16. 外部第二阶段认证审核；
17. 颁发；
18. 体系持续运行/年度监督审核；
19. 复评审核（三年有效）。
至于应采取哪些控制方式则需要周密计划，并注意控制细节。信息管理需要组织中的所有雇员的参与，比如为了防止组织外的第三方人员非法进入组织的办公区域获取组织的技术机密，除物理控制外，还需要组织全体人员参与，加强控制。此外还需要供应商，顾客或股东的参与，需要组织以外的专家建议。信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。
当前，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的威胁，诸如计算机病毒、计算机入侵、DoS攻击等手段造成的信息灾难已变得更加普遍有计划而不易被察觉。组织对信息系统和信息服务的依赖意味着更易受到威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。
许多信息系统本身就不是按照系统的要求来设计的，所以仅依靠技术手段来实现信息有其局限性，所以信息的实现必须得到管理和程序控制的适当支持。确定应采取哪些控制方式则需要周密计划，并注意细节。信息管理至少需要组织中的所有雇员的参与，此外还需要供应商、顾客或股东的参与和信息的专家建议。
各单位准备及配合事项
a.公司之品质方针（含目标与承诺）全员应理解并熟记．
b.各单位 对照相关文件要求，查核本单位是否有部分工作仍未完成，如有应尽快完成．
c.公司审核期内的生产安排应顺畅，机器设备应确保正常，不可出 现生产不顺或长时间修机的现象．
d.各单位人员应提前安排好工作 ，并在本单位待命，不可未经同意随便外出或离开工作岗位．
e.各 单位应核查自己使用的各文件是否有不符合.
f.各单位应检 查各物的标识及检验与测试状况，特别是仓库及制造现场．
g.全公 司应彻底实施５Ｓ，特别注意墙角内部死角．认证
h.各单位的不合 格物料应做到有标识，有记录，有数量，若无法做到，应集中划区标识处理．
i.各单位的文件及记录应标识整理好，以便需要时随时可以找到．
j.查找资料及记录时应不紧不慢，胸有成竹，充满信心．
k.各员回答问题时应＂三清楚＂（听清楚、想清楚、答清楚）．
l.有问必答，有问才答，不可主动谈吐问题．
m.各单位应主动配合，礼貌接待（如审核到下班或休息时审核员未 离开，亦应配合.）
n.应谦虚接受指导，在审核现场不可与审核人员 强辨．
o.审核时应各行其是，避免大堆人闲聊，以免引起误会．
p.审核发现的问题，各单位应及时改正，以便在末次会议前顺利关 闭．
ISO14064认证咨询如何进行？
一、ISO14064推行目 的:
降低温室气体(GHG)的排放和排放贸易，促进温室气体的量化、监测、报告和验证的一致性、透明度和可信性；保证组织识别和管理与温室气体相关的责任、资产和风险；促进温室气体限额 或信用贸易；支持可比较的和一致的温室气体方案或程序的设计、研究和实施。
二、ISO14064推行意义:
1、管理温室气体风险并找出减量机会，编撰一份性 的温室气体排放清册可以让企业了解本身的温室气体排放状况，以及可能的责任与风险。同时也能透过温室气体排放的估算、会计，协助企业将 有成本有效性的减量机会挖掘出来；
2、提 升能源与物料使用效率，降低营运成本。更藉由开发新的商品与服务，来降低客户或供货商的温室气体排放。
3、树立良好社会责任形象：随着对气候变迁的关注愈来愈 多，愈来愈多的非政府组织、投资人或其它的利害相关者都要求公司披露更多的温室气体排放相关信息。公开披露企业的温室气体排放信息可以强化与利害相关者间的良好关系，来建立企业在顾客和一般大众间的“社会责任，环境经营”声望。
4、加入温室气体排放权交易市场：近年来在一些地区开始 实行具备市场机制的方法，用以进行温室气体排放的抵减。这些交易方案需要较实际的排放与既定的排放目标或上限，来决定是否要购买或可卖出排放权，且通常都会要求仅估算直接排放的部份。同时，为了协助进行独立查验的工作，这些排放交易系统都要求参加 的企业，对其提报的温室气体信息，建立一个可供认证的线索。
5、规避未来温室气体总量超标限额风险：实施ISO14064将是企业能源使用效率，降低成本，满足客户环保要求，展现社会责任形象的必由之路，可以预见不远的将来，越来越多的企业将 在温室气体排放量及报告方面力求获得第三方认证，以增强在全球“绿色”采购中的竞争力，尽早在全球贸易中获得 “绿色”通行证。
三、ISO14064的推行方法：
1、针对目前公司的实际运作和现有文件架构，找出公司与 ISO14064:2006标准间的差距，并按整体咨询计划所有差距；进行更详细的环境评估列出GHG清单；
2、针对公司的业务特点来确定环境管理体系的内容和实施 计划确保系统的建立和运行能符合贵公司实际运作的需要；
3、从中可以了解到，ISO14064:2006对硬件、管理和人员的素质要求较高，但如何系统化的去管理、怎样进行内部验证审核的方法、怎样体现PDCA循环和持续改进，这些方面比较薄弱，会通过持续地培训贵公司的人员，使贵公司具备建立、维护和持续改善体系的能力。
GHG的管理包含5项基本原则，即相关性(Relevance)、完整性(Completeness)、一致性(Consistency)、透明度(Transparency)及度(Accuracy)
四、ISO14064温 室气体量化实施步骤流程:
组织与运行边界 设定----拟定基准年----识别排放源----排放量量化与计算----建立GHG清单----报告与记录----报告制作----内部审核与改善---- 高层评审----内部审核报告
（一）实施步骤说明
1、温室气体清册的设计和开发
1.1组织边界
1.2 运营边界
1.3温室气体排放和移除的量化
2、温室气体清册组成
2.1温室气体 排放和移除
2.2减少温室气体排放量和增加温室气体移除量的组织活动
2.3基准年的温室气体清册
2.4不确定性评估和降低
3、温室气体清册质量管理
3.1温室气体信息管理
3.2文件保留与记录保存
4、温室气体报告
4.1总则
4.2温室 气体报告计划
4.3温室气体报告内容
4.4组织在神恶化活动中的作用
5、审核/认证
5.1总则
5.2审核 准备
5.3审核管理
（二）重点部分简介
1、边界范围
这部分包括组织边界以及营运边界 。组织边界的定义主要是从企业集团的角度着眼，须涵盖旗下子公司、转投资公司、合资企业等各项握有权益的独立法人或非法人机构。而营运边界主要就公司的营运活动，以及将之区分为直接排放与外购电力、蒸汽、热之使用的间接排放，以及其它间接排放（如 委 外作业或商务旅行等）三个类别。
2、温室气体量化计算
2.1温室气体活动强度数据收集及汇总
搜集与统计企业内各项活动数据如 各种燃料或原料使用单据、电费单、商务旅行或货品运输车辆行驶里程数、废水操作测量数据等。温室气体活动强度数据收集过程中，应尽量查询是否有可重复核对之数据以作为对比。有时某些温室气体的年度活动强度数据可能同时存在于不同的部门，在统计过程 中应评估其差异性，并选取较正确的数据作为代表。若不同活动/设施有相同的排放源而又无法分开纪录时，则可采用合并纪录的方式 作为替代方案。
2.2温室气体排放系数收集及汇总
由于排放系数是将每单位原燃物料使用量换算成产生温室气体排放量的重要依据，因此在量化过程中为十分重要的因子。一般而言，排放系数应使用现场或本土化的数据较为适当，而对于排放系数来源的识别与 使用的适当性，即为本阶段首要工作。
2.3温室气体排放量计算
在收集汇总包含活动强度及排放系数等所有温室气体排放源数据后，即可进行温室气体 的量化计算。六种不同温室气体中，由于CO2与其它五种气体有造成不同温室效应的特点，为了校正这种差距，需要利用全球暖化潜势（Global Warming Potential，GWP），将其换算为实际的CO2当量；即以特定气体的排放量乘以此气体的全球暖化潜势 而计算得出。 汇总完成整个计算。在计算过程中，应特别注意活动强度及排放系数之单位是否能够匹配；此外由于CO2以外之五种 温室气体有不同之GWP值，在换算成CO2当量时亦应特别注意，若引用错误则可能造成量化结果数千甚至数万倍的差异。
五 、认证流程
审核准备----文件与资料评审----现场审核----提出审核发 现----验证RAR修正----验证CAR改善----审核报告----发放审核申明书
