灌南QC080000认证(海南)认监委可查

IATF16949+ISO14001整合一化体系认证的好处？ IATF16949 (汽车 供应链 品质标准，QMS与 ISO 14001 ( 环境管理体系 标准，EMS) 与) 已渐渐成为供货商需要符合的两大主要标准，不少汽车制造商及主要的 线供应商，如福特、戴姆勒克莱斯勒和Visteon， 均已将环境管理体系 要求加进他们的客户特定要求之中。 究竟这两套标准有没有重叠的地方呢？如有的话，又是否可以将他们共通的部分组合为一个体系，而不是分别推行两个独立的体系去处理环境管理和品质管理 呢？ 其实，只要通过策略性的规划和协调，加上适当的组织架构，机构是可以把 品质管理 体系和 环境管理体系 组合，从而资源利用效率。本文会就ISO 14001:2004和IATF16949:2016的主要共通处进行分析，同时找到推行综合管理体系共同处的机会。 到底在什么地方可以找到 综合管理体系 的机会？其实几乎在所有的重要条文中都能找到两个体系标准的共通处。这里通过比较ISO 14001:2004和IATF6949:2016的相关条文，举例了主要的可组合领域。 文件管理TIATF16949的4.2.3条和ISO 14001的4.4.4.c条 两套标准均要求要有体系来管理所有用来阐明政策、程序和方法的文件，而TS 的要求已完全将ISO 14001的要求包含在内，即在TS的体系内推行ISO 14001文件管理，也会符合ISO 14001的要求。 要注意的地方，是核准这两套文件的负责人或许会不相同，但两套标准都允许机构自行决定核准人。对核准 质量管理 体统和环境管理体系文件并不要求一定是同一个人。 记录管理TIATF16949的4.2.4.1条和ISO 14001的4.5.4条 两套标准都要求将记录标识和保存。虽然两套体系的记录显然会不同，但却可共享一套方法和程序去阐明如何推行记录管理。 信息传递 IATF16949的5.1 及5.5.3条和ISO 14001的4.4.3条 两者也强调将客户要求、法规要求、品质政策和环境政策在内部和外部进行有效的沟通。其实只要通过协调，便可利用相同的渠道或媒体，将环境及品质管理 体系的信息传送出去。现实情况是，对普通的公司来讲，可用的沟通渠道就只有有限的几种。很多公司试着通过管理评审、创办公司刊物、小组会议等方式来贯彻标准中对信息传递的要求。但经常会出现一种无序状态，如明明一份刊物已经足够传递信息，还会有第二份刊物的出台。 目的、目标、方案、监察及测量IATF16949的5.1.1、5.4.1条和ISO 14001的4.4.3及4.5.1条 监控及测量品质管理体系和环境管理体系运作绩效的指标虽有分别，但也可共享一套体系及流程将绩效信息向 管理层和其它有关人士或组织汇报。 规划IATF16949的5.4.2条和ISO 14001的4.3条 品质管理体系和环境管理体系的目的，都是将会对机构造成影响的挑战识别出来；同时妥善处理任何体系上的变动，使另一体系不致受影响。如设立综合管理体系，评估及推行变动时便可同时考虑到对品质管理体系和环境管理体系的潜在影响。 管理评审IATF16949的5.6.1条和ISO 14001的4.6条 两套标准都确定了介定管理评审流程输入及输出的资料的必要性。虽然输入及输出的资料会有不同，但方法却基本上没有分别。此外，若把两个独立的管理评审组合为一，而评审报告也包含对品质管理体系和环境管理体系的成效评估，便可协助企业同时符合营运目的和客户的要求。 能力、培训及意识 TS 16949的6.2.2条和ISO 14001的4.4.2条 两套标准都提出了对员工能力的要求，都希望有受过培训的人员来胜任各自的工作要求。尽管两套标准的条款文字表述有所不同，但定义资格认定和胜任要求、确保能力、评估有效性和持续培训等方面所采用的方法，实质都是相同的。 内部审核TS 16949的8.2.2条和ISO 14001的4.5.5条 对两套体系用同样的内部审核体系进行审核是组合体系中省时有效的领域之一。 虽然内部审核员的要求资格有分别，但内部审核的目的却相同，所以只要在流程中找出TS 和ISO 14001的共通要求，便可共享一个内部审核体系，也只需执行一次内部审核，便能同时符合两套标准的要求，主要可从如下几大问题着手： 这个过程的目的，目标，对象是什么？实现这些目的应该如何做？ 谁是客户、相关方和政府机构？他们的要求是什么？ 有没有和这个过程相关的环境要素、影响和程序？ 你在这个过程中的角色、职责是什么？ 如何测量、监控和跟踪这个过程？ 你曾经接受过哪些培训？你清楚的了解这些要求吗？遇到环境相关的突发事件是怎么处理的？ 这个过程是否有相关的文件和记录要求？ 建议改进的过程是什么？你是否有参与到这个过程中？ 方针是什么？为完成方针，做了什么？ 是如何汇报或记录产品和环境的不符合项的？ TS 16949对环境方面的相关要求 除了以上可以在两套体系中找到对应的条文进行组合之外，ISO/TS 16949:2002的部分条文也涵盖了环境管理体系的要求在内： 6.4.1条 组织必须考虑产品和员工潜在风险小化的方法，特别是在设计和开发过程和制造过程的活动中。 7.2.1(C)条 注2和3说明了在循环、考虑环境影响、政府、和环境适用于材料的获得、存储、搬运 、和处理。 7.3.2.1条 考虑在车辆报废等方面的环境问题，组织必须对产品设计输入要求进行识别、形成文件并进行评审。在环境管理体系相关条款中的顾客特殊要求，和ISO 14001 4.3.2条的"其他"要求一致，而用"其他"要求评估符合性与ISO 14001中的4.5.2条一致。 7.3.2.2条 这一条包含了环境管理在制造过程设计活动需要考虑的方面。 7.4.1.1条 这一条要求所有采购的产品或材料，均必须满足使用的法规要求，在ISO 14001的第4.4.6(C)条有所提及。当与供方存在合并、兼并或从属关系时，组织应该验证供方质量管理 体系的延续性和有效性。 效率节约成本 由此可见，把品质管理体系和环境管理体系组合起来的机会可说是很多；至于能否成功推行，关键却在于组织的管理架构和汇报体系。很多组织认为环境管理体系的功能促使组织实践符合法律、法规的承诺；而品质管理体系则针对客户产品和机构的运作，所以故意让品质管理体系和环境管理体系独立运作。 但退一步看，品质管理体系和环境管理体系却是互有关连、互相影响的，如果将它们组合起来，便可用一个宏观的方法来作决策，所作的决定亦能同时符合不同层面的要求，包括环境管理、品质管理、机构目标和客户要求等

虽然风险管理不需要一个程序，但有一个过程来确定风险评估的谁、什么、地点、原因和方式，将确保这个过程在您的公司中正确地发生。过程中风险评估由谁负责？？当风险被识别时需要发生什么？在这个过程中风险评估将发生在哪里？风险评估何时需要发生，何时不需要发生？为什么你要进行风险评估（这会大大影响所需的细节）？风险评估是如何进行的，风险处理是如何记录、控制和沟通的？与贵公司的所有程序一样，风险评估和管理程序应包括一些重要信息，如程序的识别和描述（例如标题、日期、作者或参考编号），以便员工知道程序是关于什么的，如果他们需要澄清，可以与谁交谈。同样，有一种格式可以确保很容易地找到程序的谁、什么、在哪里、何时、为什么以及如何，这样就可以使员工很容易地知道他们需要在组织中做什么来进行风险管理。认证

肺炎疫情下的质量、环境和职业管理体系运行建议 2020年新年伊始，新型冠状病毒肺炎的疫情在武汉暴发，全国各地展开疫情保卫战。截止2020年2月2日12时11分52秒，全国确诊14414例，疑似病例19544例，治愈人数335人，死亡304人。其中浙江累计确诊661例。无疑，疫情及其防控已经成为各单位面临的内外部环境。 那么可以从哪些方面考虑对我们的管理体系的影响，以及如何应对呢？以下列出了我的一些建议： 1）合同订单的影响。 虽然刚好处于春节假期前后，很多企业还没有开工，但开工日期已经越来越临近。需要提前确认： a) 与顾客沟通，原有的合同订单是否仍然有效。是否需要变更（数量、交货期等），以及协商这些变更产生的影响。应充分评估疫情形势下顾客的结算能力。 b) 自我评估交付能力，如有交付风险，应尽早与顾客沟通，以尽可能降低双方风险。必要时，应将单位的状态及应对策略告知顾客。交付风险还包括交通运输、及相关方停工等导致的异常。 c) 主动调查外部供方的供货和交付能力，了解他们及他们的供方面临的较大风险，采取必要的措施降低外部供方异常（如出现感染）导致的风险。 以上协商和沟通应考虑人员间往来的不便，以及相互的疫情防控要求。 2）生产和运营的影响。 生产和运营领导层，要考虑： a) 劳动力是否能如期地配置到位。如无法满员，如何弥补。新员工、换岗人员的能力培训如何组织。 b) 疫情防控要求下的生产和运营的组织方式是否需要变更，如降低人员密度、减少接触机会、临时取消部分会议等。必要时在征得顾客同意的情况下变更产品/订单要求，以降低风险。 c) 是否需要对产品采取防止污染的措施，防止病毒通过产品或包装物传播。 3）环保工作的影响。 由于疫情防控的要求，各单位通常需要采用适当地杀菌灭虫措施。应控制疫情防控产生的污染和废弃物。 4）职业工作的影响。 各单位应考虑本地政府、专业机构的要求，在单位管辖范围内采取必要的疫情防控措施，辨识感染风险，策划和控制措施。这可能要考虑员工返厂如何排查状态（排查的场所、设施、时机、工作人员配置、沟通和报告、应急措施等），如何控制外部人员，如何内部人员受到感染，失控的紧急情况及应急措施等。 肺炎疫情下的质量、环境和职业管理体系运行建议 管理层应为体系运行提供充足的资源。 针对疫情的重大风险，应形成文件化的管理方案和记录。 5）内审、管理评审、迎接外部审核等体系工作的影响。 管理层、管理者代表、体系专员应考虑疫情形势下的人员聚集导致的风险，采用互联网技术、文件评审等方式来组织内审和管理评审。也可以变更体系运行计划，推迟这些活动。 应建立疫情应对的组织机构，落实责任。针对关键场所、关键时期安排必要的监督检查。 各单位应与合作的认证机构保持沟通，讨论并确定外部审核的时间和方式。 6）经营计划和目标的调整。 因全国疫情对本单位的影响，需要考虑年前或年初编制的2020年经营计划或质量、环境和职业专项计划是否需要修订，以适应形势的需要。这些调整包括经营目标指标及实现的具体措施、考核评价等。 7）机遇辨识及灾后恢复计划。 虽然全国疫情对单位的生产经营可能是灾难性的，但仍然要考虑是否存在体系改进的机遇。这些机遇可能有： a) 生产和经营的组织方式的优化。如机器人技术、互联网技术、外包等。 b) 有充足的时候审视管理体系，整理和改进管理体系文件，管理体系的适宜性。 c) 疫情可能会产生一些新的市场需求，可能会改变供应链关系，也可能会淘汰一些无法应对疫情形势的竞争对手，从而出现战略机遇。 调整经营计划时要考虑灾后如何恢复。恢复工作可能涉及异常期间的工作补救措施（如对产品质量的回访、补充内审等）、人员培训、市场开拓、外部供方优化（如淘汰一些能力低下的供应商）、体系的反省和改进等（可能需要考虑重新组织环境因素和危险源的排查，重新评价风险，评估原有措施的有效性等）

　ISO27001认证体系建设分为四个阶段：实施风险评估、规划体系建设方案、建立信息管理 体系、体系运行及改进。也符合信息管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保护企业信息系统的，确保信息的持续发展。 　　1、确立范围 　　首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑 内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等;外部机构：则包括 公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。 　　从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机 系统正常运行的设施。包括机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质 ，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库 、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息 系统中传输以及存储的数据;管理：包括策略、规章制度、人员组织、开发、项目管理 和系统管理人员在日常运维过程中的合规、审计等。 　　2、风险评估 　　企业信息是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供、可信的服 务，保证信息系统的可用性、完整性和保密性。 　　本次进行的评估，主要包括两方面的内容： 　　2.1、企业管理类的评估 　　通过企业的控制现状调查、访谈、文档研读和ISO27001的 实践比对，以及在行业的经验上 进行“差距分析”，检查企业在控制层面上存在的弱点，从而为措施的选择提供依据。 　　评估内容包括ISO27001所涵盖的与信息管理体系相关的11个方面，包括信息策略、组 织、资产分类与控制、人员、物理和环境、通信和操作管理、访问控制、系统开发与维护、安 全事件管理、业务连续性管理、符合性。 　　2.2、企业技术类评估 　　基于资产等级的分类，通过对信息设备进行的扫描、设备的配置，检查分析现有网络 设备、服务器系统、终端、网络架构的现状和存在的弱点，为加固提供依据。 　　针对企业具有代表性的关键应用进行评估。关键应用的评估方式采用渗透测试的方法，在应用 评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的目标之间的差距，为后期改造提 供依据。 　　提到评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点 ，同时结合企业自身的特点，建立风险评估模型： 　　在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信 息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威 胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属 性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。 　　3、规划体系建设方案 　　企业信息问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息体系 ，并终落实到管理措施和技术措施，才能确保信息。 　　规划体系建设方案是在风险评估的基础上，对企业中存在的风险提出建议，增强系统的安 全性和抗攻击性。 　　在未来1-2年内通过信息体系制的建立与实施，建立组织，技术上进行审计、内外网隔 离的改造、产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息体系 和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，为主，防治结合 的先进型企业。 　　4、企业信息体系建设 　　企业信息体系建立在信息模型与企业信息化的基础上，建立信息管理体系核心可以更 好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复 (Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。 　　体系的建设一是涉及管理制度建设完善;二是涉及到信息技术。首先，针对管理制 度涉及的主要内容包括企业信息系统的总体方针、技术策略和管理策略等。总体方针 涉及组织机构、管理制度、人员管理、运行维护等方面的制度。技术策略涉 及信息域的划分、业务应用的等级、保护思路、说以及进一步的统一管理、系统分级、网络互 联、容灾备份、集中监控等方面的要求。 　　其次，信息技术按其所在的信息系统层次可划分为物理技术、网络技术、系统技 术、应用技术，以及基础设施平台;同时按照技术所提供的功能又可划分为保护类、检 测跟踪类和响应恢复类三大类技术。结合主流的技术以及未来信息系统发展的要求，规划信息 技术包括：