HSE認證管理體系建立過程 南陽（濮陽）HSE認證企業(yè)開展HSE體系認證工作通常要進行兩階段工作：建 立和運行HSE管理體系； HSE管理體系認證審核。 (一)南陽（濮陽）HSE認證建立和運行HSE管理體系 1．領(lǐng)導決策和準備 首先需要 管理者做出承諾，即遵守有關(guān)法律、法規(guī)和其它要求的承諾和 實現(xiàn)持續(xù)改進的承諾。在體系建立和實施期間 管理者必須為此提供必要的資 源保障。 建立和實施HSE管理體系是一個十分復雜的系統(tǒng)工程， 管理者應任命HSE管理 者代表，來具體負責HSE管理體系的日常工作。 管理者還應授權(quán)管理者代表成立一個專門的工作小組，來完成企業(yè)的初始狀 態(tài)評審以及建立HSE管理體系的各項任務。 2.教育培訓 HSE管理體系標準的教育培訓，是開始建立HSE管理體系十分重要的工作。培 訓工作要分層次、分階段、循序漸進地進行，并且必須是全員培訓。 3．擬訂工作計劃 通常情況下，建立HSE管理體系需要一年以上的時間，因此需要擬訂詳細的 工作計劃。在擬訂工作計劃時要注意：目標明確、控制進程、突出重點。總計劃 表批準后，就可制定每項具體工作的分計劃。與此同時，還要注意制定計劃的另 一項重要內(nèi)容是提出資源的需求，報 管理層批準。 4．初始狀態(tài)評審 初始狀態(tài)評審是建立HSE管理體系的基礎，其主要目的是了解企業(yè)的HSE管理 現(xiàn)狀，為企業(yè)建立HSE管理體系搜集信息并提供依據(jù)。 5．危險辨識和風險評價 危險辨識是整個HSE管理體系建立的基礎。主要分為：危害識別、風險評價 和隱患治理。 6．體系的策劃和設計 主要任務是依據(jù)初始評審的結(jié)論，制定HSE方針、目標、指標和管理方案， 并補充、完善、明確或重新劃分組織機構(gòu)和職責。 7．編寫體系文件 HSE管理體系是一套文件化的管理制度和方法，因此，編寫體系文件是企業(yè) 建立HSE管理體系不可缺少的內(nèi)容，是建立并保持HSE管理體系重要的基礎工作， 也是企業(yè)達到預定的HSE方針、評價和改進HSE管理體系、實現(xiàn)持續(xù)改進和事故預 防必不可少的依據(jù)。 8．體系的試運行和正式運行 體系文件編制完成以后，HSE管理體系將進入試運行階段。試運行的目的就 是要在實踐中檢驗體系的充分性、適用性和有效性。試運行階段，企業(yè)應加大運 作力度，特別是要加強體系文件的宣貫力度，使全體員工了解如何按照體系文件 的要求去做，并且通過體系文件的實施，及時發(fā)現(xiàn)問題，找出問題的根源，采取 措施予以糾正，及時對體系文件進行修改。 經(jīng)過一段時間的試運行后，體系文件得到了進一步完善，這時就可以進入正 式運行階段了。在正式運行階段發(fā)現(xiàn)的體系文件不適宜之處，就需要按照規(guī)定的 程序要求來進行。 9．內(nèi)部審核 內(nèi)部審核是企業(yè)對其自身的HSE管理體系所進行的審核，是對體系是否正常 運行以及是否達到預定的目標等所做的系統(tǒng)性的驗證過程，是HSE管理體系的一 種自我保證手段。內(nèi)部審核一般是對體系全部要素進行的審核，可采用集中 式和滾動式兩種方式。應有與被審核對象無直接責任的人員來實施，以保證審核 的客觀、公正和獨立性。 10．管理評審 管理評審是由企業(yè)的 管理者定期對HSE管理體系進行的系統(tǒng)評價，一般 每年進行一次，通常發(fā)生在內(nèi)部審核之后和第三方審核之前，目的在于確保管理 體系的持續(xù)適用性、充分性和有效性，并提出新的要求和方向，以實現(xiàn)HSE管理 體系的持續(xù)改進。 (二)HSE管理體系的認證 對于建立了HSE管理體系的企業(yè)，經(jīng)過一段時間的運作后，企業(yè)可以根據(jù)內(nèi) 部需要開展HSE管理體系認證，由于HSE管理體系認證可以與 職業(yè)衛(wèi)生管 理體系認證一并進行，企業(yè)則可依據(jù) 經(jīng)貿(mào)委第983號文件《關(guān)于開展職業(yè)安 全衛(wèi)生管理體系認證工作的通知》的有關(guān)精神，開始策劃HSE管理體系的認證工 作。 申請認證企業(yè)首先向集團公司HSE管理部門提出認證審批報告，下面就認證 審核過程中的具體要求予以介紹。 1．HSE管理體系認證前的準備 為了保證順利通過HSE管理體系認證，除要按照HSE認證中心的要求準備一系 列技術(shù)文件外，還需進行認證前的迎檢培訓和組織安排等工作。認證前的充分準 備，可以穩(wěn) 定組織各級員工的情緒，做到胸有成竹，忙而不亂，是審核人員感 受到一種良好的合作氣氛，這也是通過認證的一個重要因素。 2．HSE管理體系認證審核過程 根據(jù)審核的層次和深度上的差異，可以將認證審核的過程大體分為兩個階段 ：即初始審核和正式審核。 對審核通過的企業(yè)，HSE認證中心向其頒發(fā)認證和認證標志。 認證的有效期為三年，獲證企業(yè)應在認證有效期屆滿時，重新提出 認證申請，HSE認證中心受理后，重新對企業(yè)進行復評

江門ISO13485認證風險管理的新要求 1、產(chǎn)品定性或定量特征的判定: 1.1產(chǎn)品的預期用途和使用應規(guī)定產(chǎn)品預期在何種環(huán)境下使用、操作者應具有的技能和進行的培訓。 1.2產(chǎn)品中使用的材料／部件應考慮的因素包括與性有關(guān)的特征是否已知。 1.3產(chǎn)品是否以無菌的形式提供應考慮的因素包括產(chǎn)品是預期一次性使用還是重復使用、采用何種包裝、貯存壽命及使用的滅菌處理形式。 1.4產(chǎn)品是否有限定的貯存壽命 應考慮的因素包括貼標簽或標志及此類產(chǎn)品的處置。 2、對產(chǎn)品可能造成傷害的潛在源，一般涉及以下方面： 2.1環(huán)境危害：因廢物或器械處置的污染 2.2使用的危害： a)不適當?shù)臉撕灒? b)不適當?shù)氖褂们皺z查說明書； 2.3功能失效、維護及老化引起的危害： a)與預期用途不相適應的性能特征。 b)不適當?shù)闹貜褪褂谩? c)缺乏適當?shù)膲勖K止規(guī)定。 d)不適當?shù)陌b及存放環(huán)境 3、對每項危害的風險估計 3.1針對判定的每項可能的危害，利用可得到的有效數(shù)據(jù)/資料、 相關(guān)標準、醫(yī)學證明、適當?shù)恼{(diào)查結(jié)果，評估在正常和失效兩種狀態(tài)下的所有風險。 3.2評估時可采用定量或定性的方法進行,根據(jù)需要可選用潛在失效模式和效應分析、故障樹分析及危害和可操作性研究。 4、風險評審 4.1經(jīng)過對危害的風險評估，確定其是否在可接受的水平。 4.2若某項危害風險超出了可接受水平，則應對此項危害采取措施，降低風險。 提交 4.3若危害僅在故障發(fā)生時才超出可接受水平，則應說明： a)危害發(fā)生前，使用者能否發(fā)現(xiàn)故障； b)故障能否通過生產(chǎn)控制或性維護； c)誤用能否導致故障； d)能否增加報警。 5、風險降低及防范措施 風險可以通過以下適當手段得到降低并達到可以接受的水平。 5.1直接手段：即從設計開發(fā)方面予以控制。 5.2間接手段：即從防范措施方面予以控制。 5.3附有說明的方式：即從產(chǎn)品的使用時間和頻次、限制用途、壽命或環(huán)境等方面進行控制。 6、其它危害的產(chǎn)生 確定在降低風險過程中是否會引起新的危害產(chǎn)生。 7、所有已判定危害的評估 若對所有的危害項都估計了風險并在可接受水平時，則可進8，否則退回至3。 8、風險分析報告 8.1應將風險分析的結(jié)果形成文件，從而可以在考慮到的產(chǎn)品的預期應用和用途的條件下，對已判定的危害是否可以接受作出決斷。 8.2當有新的資料／數(shù)據(jù)可應用時，應考慮進行一次新的風險分析。如隨時間的推移風險起了變化及快速發(fā)展的技術(shù)有可能、增加或降低任一特定危害的風險及新的風險可能出現(xiàn)或首次被判定，都應考慮進行一次新的風險分析。

　ISO27001認證體系建設分為四個階段：實施風險評估、規(guī)劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環(huán)PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業(yè)信息系統(tǒng)的，確保信息的持續(xù)發(fā)展。 　　1、確立范圍 　　首先是確立項目范圍，從機構(gòu)層次及系統(tǒng)層次兩個維度進行范圍的劃分。從機構(gòu)層次上，可以考慮 內(nèi)部機構(gòu)：需要覆蓋公司的各個部門，其包括總部、事業(yè)部、制造本部、技術(shù)本部等;外部機構(gòu)：則包括 公司信息系統(tǒng)相連的外部機構(gòu)，包括供應商、中間業(yè)務合作伙伴、及其他合作伙伴等。 　　從系統(tǒng)層次上，可按照物理環(huán)境：即支撐信息系統(tǒng)的場所、所處的周邊環(huán)境以及場所內(nèi)保障計算機 系統(tǒng)正常運行的設施。包括機房環(huán)境、門禁、監(jiān)控等;網(wǎng)絡系統(tǒng)：構(gòu)成信息系統(tǒng)網(wǎng)絡傳輸環(huán)境的線路介質(zhì) ，設備和軟件;服務器平臺系統(tǒng)：支撐所有信息系統(tǒng)的服務器、網(wǎng)絡設備、客戶機及其操作系統(tǒng)、數(shù)據(jù)庫 、中間件和Web系統(tǒng)等軟件平臺系統(tǒng);應用系統(tǒng)：支撐業(yè)務、辦公和管理應用的應用系統(tǒng);數(shù)據(jù)：整個信息 系統(tǒng)中傳輸以及存儲的數(shù)據(jù);管理：包括策略、規(guī)章制度、人員組織、開發(fā)、項目管理 和系統(tǒng)管理人員在日常運維過程中的合規(guī)、審計等。 　　2、風險評估 　　企業(yè)信息是指保障企業(yè)業(yè)務系統(tǒng)不被非法訪問、利用和篡改，為企業(yè)員工提供、可信的服 務，保證信息系統(tǒng)的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內(nèi)容： 　　2.1、企業(yè)管理類的評估 　　通過企業(yè)的控制現(xiàn)狀調(diào)查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業(yè)的經(jīng)驗上 進行“差距分析”，檢查企業(yè)在控制層面上存在的弱點，從而為措施的選擇提供依據(jù)。 　　評估內(nèi)容包括ISO27001所涵蓋的與信息管理體系相關(guān)的11個方面，包括信息策略、組 織、資產(chǎn)分類與控制、人員、物理和環(huán)境、通信和操作管理、訪問控制、系統(tǒng)開發(fā)與維護、安 全事件管理、業(yè)務連續(xù)性管理、符合性。 　　2.2、企業(yè)技術(shù)類評估 　　基于資產(chǎn)等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現(xiàn)有網(wǎng)絡 設備、服務器系統(tǒng)、終端、網(wǎng)絡架構(gòu)的現(xiàn)狀和存在的弱點，為加固提供依據(jù)。 　　針對企業(yè)具有代表性的關(guān)鍵應用進行評估。關(guān)鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統(tǒng)的威脅、弱點進行識別，分析其和應用系統(tǒng)的目標之間的差距，為后期改造提 供依據(jù)。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優(yōu)點 ，同時結(jié)合企業(yè)自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產(chǎn)、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產(chǎn)的屬性是資產(chǎn)價值，弱點的屬性是弱點在現(xiàn)有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產(chǎn)帶來影響的嚴重程度，威脅的屬性是威脅發(fā)生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規(guī)劃體系建設方案 　　企業(yè)信息問題根源分布在技術(shù)、人員和管理等多個層面，須統(tǒng)一規(guī)劃并建立企業(yè)信息體系 ，并終落實到管理措施和技術(shù)措施，才能確保信息。 　　規(guī)劃體系建設方案是在風險評估的基礎上，對企業(yè)中存在的風險提出建議，增強系統(tǒng)的安 全性和抗攻擊性。 　　在未來1-2年內(nèi)通過信息體系制的建立與實施，建立組織，技術(shù)上進行審計、內(nèi)外網(wǎng)隔 離的改造、產(chǎn)品的部署，實現(xiàn)以流程為導向的轉(zhuǎn)型。在未來的 3-5 年內(nèi)，通過完善的信息體系 和相應的物理環(huán)境改造和業(yè)務連續(xù)性項目的建設，將企業(yè)建設成為一個注重管理，為主，防治結(jié)合 的先進型企業(yè)。 　　4、企業(yè)信息體系建設 　　企業(yè)信息體系建立在信息模型與企業(yè)信息化的基礎上，建立信息管理體系核心可以更 好的發(fā)揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內(nèi)的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術(shù)。首先，針對管理制 度涉及的主要內(nèi)容包括企業(yè)信息系統(tǒng)的總體方針、技術(shù)策略和管理策略等。總體方針 涉及組織機構(gòu)、管理制度、人員管理、運行維護等方面的制度。技術(shù)策略涉 及信息域的劃分、業(yè)務應用的等級、保護思路、說以及進一步的統(tǒng)一管理、系統(tǒng)分級、網(wǎng)絡互 聯(lián)、容災備份、集中監(jiān)控等方面的要求。 　　其次，信息技術(shù)按其所在的信息系統(tǒng)層次可劃分為物理技術(shù)、網(wǎng)絡技術(shù)、系統(tǒng)技 術(shù)、應用技術(shù)，以及基礎設施平臺;同時按照技術(shù)所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術(shù)。結(jié)合主流的技術(shù)以及未來信息系統(tǒng)發(fā)展的要求，規(guī)劃信息 技術(shù)包括：