有机认证要求公示后付款

《IATF-16949介绍》由会员分享，可在线阅读，更多相关《IATF-16949介绍（112页珍藏版）》请在人人文库网上搜索。1、IATF16949-2016版版基本情况介绍基本情况介绍目录目录简单诠释简单诠释ISO9001ISO9001和和IATF16949IATF16949的区别的区别o俗称的俗称的1694916949，全称，全称“IATF16949:2016IATF16949:2016技术技术规范规范”o它实际是：它实际是：“质量管理体系质量管理体系-汽车生产件汽车生产件及相关服务件组织及相关服务件组织应用应用ISO9001ISO9001：20152015的的特别要求特别要求””o就像菜里加了辣椒，成了川菜，特殊要求嘛！就像菜里加了辣椒，成了川菜，特殊要求嘛！一个条款诠释一个条款诠释ISO2、9001ISO9001和和IATF16949IATF16949的区别：的区别：oISO90012015ISO90012015o6.2.26.2.2组织策划如何组织策划如何实现质量目标时，应确实现质量目标时，应确定：定：oa)a)采取的措施；采取的措施；ob)b)需要的资源；需要的资源；oc)c)由谁负责；由谁负责；od)d)何时完成；何时完成；oe)e)如何评价结果。如何评价结果。oIATF16949IATF16949：20162016，o6.2.26.2.2组织策划如何实现质量目标组织策划如何实现质量目标时，应确定：时，应确定：oa)a)采取的措施；采取的措施；ob)b)需3、要的资源；需要的资源；oc)c)由谁负责；由谁负责；od)d)何时完成；何时完成；oe)e)如何评价结果。如何评价结果。o6.2.2.16.2.2.1质量目标及其实现的策划质量目标及其实现的策划补充补充o 管理者应确保为整个组织内的相关职能、过程和 管理者应确保为整个组织内的相关职能、过程和级别，明确、建立并保持符合顾客要求的质量目标。级别，明确、建立并保持符合顾客要求的质量目标。o组织在建立其年（至少每年一次）质量目标和相关性组织在建立其年（至少每年一次）质量目标和相关性能指标（内部和外部）时，应考虑组织相关方及其有能指标（内部和外部）时，应考虑组织相关方及其有关的要求的评审结果。4、关的要求的评审结果。就加这点补充！就加这点补充！注意：注意：oISO9001ISO9001修订结束，形成修订结束，形成ISO9001:2015ISO9001:2015版。版。紧随着修订出来紧随着修订出来IATF169492016IATF169492016版。版。o宣贯、执行宣贯、执行ISO9001:2015ISO9001:2015和宣贯、执行和宣贯、执行“IATF16949IATF16949：20162016版版”，并不矛盾。，并不矛盾。o“IATF16949IATF16949：2016”2016”框架结构和框架结构和“ISOISO9001:2015”5、9001:2015”完全相同。完全相同。内容提要内容提要oIATF16949IATF16949简介简介o0.0.引言引言o1.1.范围范围o2.2.规范性引用标准和参考性引用标准规范性引用标准和参考性引用标准o3.3.术语和定义术语和定义o4.4.组织的环境组织的环境一、一、IATF16949:2016IATF16949:2016目录目录构架构架o4.14.1理解组织及其环境理解组织及其环境o4.24.2理解相关方的需求和期望理解相关方的需求和期望o4.34.3质量管理体系的范围质量管理体系的范围o4.44.4质量管理体系及其过程质量管理体系及其过程o556、领导作用领导作用o5.15.1领导作用和承诺领导作用和承诺o5.25.2方针方针o5.35.3组织的作用、职责和权限组织的作用、职责和权限o66策划策划o6.16.1应对风险和机遇的措施应对风险和机遇的措施o0.0.引言引言o0.10.1总则总则o0.20.2质量管理原则质量管理原则o0.30.3过程方法过程方法o0.40.4与其他管理体系标准的与其他管理体系标准的关系关系o11范围范围o22规范性引用标准和参考规范性引用标准和参考性引用标准性引用标准o33术语和定义术语和定义o44组织的环境组织的环境一、一、IATF16949:27、016IATF16949:2016目录目录构架构架o6.26.2质量目标及其实施的策划质量目标及其实施的策划o6.36.3变更的策划变更的策划o77支持支持o7.17.1资源资源o7.27.2能力能力o7.37.3意识意识o7.47.4沟通沟通o7.57.5形成文件的信息形成文件的信息o88运行运行o8.18.1运行策划和控制运行策划和控制o8.28.2产品和服务的要求产品和服务的要求o8.38.3产品和服务的设计和开发产品和服务的设计和开发o8.48.4外部提供过程、产品和服务外部提供过程、产品和服务的控制的控制8、o8.58.5生产和服务提供生产和服务提供o8.68.6产品和服务放行产品和服务放行o8.78.7不合格输出的控制不合格输出的控制o99绩效评价绩效评价o9.19.1监视、测量、分析和评价监视、测量、分析和评价o9.29.2内部审核内部审核o9.39.3管理评审管理评审一、一、IATF16949:2016IATF16949:2016目录目录构架构架o1010改进改进o10.110.1总则总则o10.210.2不合格和纠正措施不合格和纠正措施o10.310.3持续改进持续改进o她教会我们如何从事质量管理！她教会我们如何从事质量管理9、！o相比以前的版本，更科学更严密！相比以前的版本，更科学更严密！o改动较大，可以说，根本目标和方向没变，但思维方改动较大，可以说，根本目标和方向没变，但思维方式做了明显的变化。式做了明显的变化。o为未来十年或更长时间，提供一套稳定的核心要求！为未来十年或更长时间，提供一套稳定的核心要求！引入一个小故事，诠释引入一个小故事，诠释ISO9001/IATFISO9001/IATF1694916949o小故事：小故事：o现在还有人不明白现在还有人不明白ISOISO质量管理体系质量管理体系吗？事事追求质量，时时体现管理，吗？事事追求质量，时时体现管理，每个过程背后都有一套管理体系在支每个过程背10、后都有一套管理体系在支撑着，而撑着，而TS16949TS16949就是针对产品和过就是针对产品和过程管理的一套体系。程管理的一套体系。o好了，我们现在就从头分享好了，我们现在就从头分享“IATF16949:2016IATF16949:2016新版质量标准新版质量标准”。前言前言标准原文标准原文历史历史标准原文标准原文2021-11-15Shinan13引言引言标准原文标准原文引言引言理解理解o本标准的思想：采用将本标准的思想：采用将PDCAPDCA循环与基于风险的思维循环与基于风险的思维方式相结合的过程方法。方式相结合的过程方法。o过程方法的宗旨：提高实现目标的有效性和效率。过程方法的宗11、旨：提高实现目标的有效性和效率。o作用：作用：分清产品和服务实现的过程分清产品和服务实现的过程理清过程与过程的关系（流程、作用）理清过程与过程的关系（流程、作用）理清每一过程的预期输出结果理清每一过程的预期输出结果理清每一过程所需的资源、控制方法理清每一过程所需的资源、控制方法充分考虑过程运行风险充分考虑过程运行风险抓住过程运行中的每一次改进机会，实施改进。抓住过程运行中的每一次改进机会，实施改进。引言引言标准原文标准原文引言引言标准原文标准原文引言引言理解理解o1.1.以顾客为关注焦点以顾客为关注焦点o11）含义：组织依存于顾客，只有赢得顾客和相关）含义：组织依存于顾客，只有赢得顾客12、和相关方的信任，才有助于组织的持续成功。方的信任，才有助于组织的持续成功。o22）理解：）理解：质量标准取决于顾客，必须同顾客沟通。质量标准取决于顾客，必须同顾客沟通。o将顾客明示的、隐含的要求转换为具体的技术条件将顾客明示的、隐含的要求转换为具体的技术条件和相应的质量标准。和相应的质量标准。o注重顾客的合理要求和不太合理的要求，注重顾客的合理要求和不太合理的要求，尤其是临尤其是临界要求界要求吸引顾客的关键吸引顾客的关键。o注重顾客群体中关键个体的人文要求。注重顾客群体中关键个体的人文要求。o顾客的要求要与经济杠杆（货款的回收）相结合。顾客的要求要与经济杠杆（货款的回收）相结合。引13、言引言理解理解o1.1.以顾客为关注焦点以顾客为关注焦点o33）落地：）落地：o公司是一个价值交换的平台，遵循价值链和价值交换的原则。公司是一个价值交换的平台，遵循价值链和价值交换的原则。o谁是顾客：接收我们产品和服务的人（价值链上、内部、外谁是顾客：接收我们产品和服务的人（价值链上、内部、外部）。部）。o顾客关注什么：品质、数量、交期、价格、服务顾客关注什么：品质、数量、交期、价格、服务o我们关注什么：价值交换我们关注什么：价值交换o如何关注：将顾客的需求转化成我们具体（过程、岗位）的如何关注：将顾客的需求转化成我们具体（过程、岗位）的工作内容、技术指标、质量指标、服务指标。14、去实现工作内容、技术指标、质量指标、服务指标。去实现它！它！!!o44）形成质量价值观：顾客是对的。（案例：。）形成质量价值观：顾客是对的。（案例：。）引言引言理解理解o1.1.以顾客为关注焦点以顾客为关注焦点o55）核心：）核心：o和顾客实现价值交换，在买方市场，只有满和顾客实现价值交换，在买方市场，只有满足了顾客的要求，才能价值交换的顺利，只足了顾客的要求，才能价值交换的顺利，只有满足了顾客未来预期的要求，才有更多价有满足了顾客未来预期的要求，才有更多价值交换的机会，形成良性循环，才能有助于值交换的机会，形成良性循环，才能有助于公司的持续发展和成功！公司的持续发展和成功！o15、66）必须进行测量、评价：内部、外部顾客）必须进行测量、评价：内部、外部顾客满意度满意度交付结果的满意度。交付结果的满意度。引言引言理解理解o2.2.领导作用领导作用o11）含义：各层领导建立统一的宗旨和方向，并且创）含义：各层领导建立统一的宗旨和方向，并且创造全员积极参与条件，以实现组织的质量目标。造全员积极参与条件，以实现组织的质量目标。o22）理解：）理解：o领导决定方向、战略、目标和政策。领导决定方向、战略、目标和政策。o领导提供资源和环境。领导提供资源和环境。o领导培育诚信正直的质量文化（端正质量认识、执行领导培育诚信正直的质量文化（端正质量认识、执行质量纪律）质量16、纪律）o领导履行：指挥（命令）、指导、监督、协调、培训、领导履行：指挥（命令）、指导、监督、协调、培训、关爱、激励员工职能、问题处理、事故处理、改善创关爱、激励员工职能、问题处理、事故处理、改善创新、执行纪律。新、执行纪律。引言引言理解理解o2.2.领导作用领导作用o33）落地）落地o会议宣贯、提供支持、执行纪律、树立榜样、善待会议宣贯、提供支持、执行纪律、树立榜样、善待员工，利益分配。员工，利益分配。正确评估企业的各阶层的员工，对员工的贡献给予充分的肯定。正确评估企业的各阶层的员工，对员工的贡献给予充分的肯定。建立彼此的信任及排除员工的恐惧心理。建立彼此的信任及排除员工的恐惧心理。17、促进诚实开放的沟通方式。促进诚实开放的沟通方式。能够听取员工的意见。能够听取员工的意见。为员工提供适当的教育、训练和辅导，使其明白其自身工作与为员工提供适当的教育、训练和辅导，使其明白其自身工作与满足顾客要求的相关性和重要性。满足顾客要求的相关性和重要性。提供必须的资源。提供必须的资源。引言引言理解理解o2.2.领导作用领导作用o44）核心：）核心：o质量绩效的评价，领导自身的评价质量绩效的评价，领导自身的评价o坚持坚持引言引言理解理解o3.3.全员积极参与全员积极参与o11）含义：整个组织内各级人员的胜任、授权、激励和参与，是）含义：整个组织内各级人员的胜任、授权、激励和参与，是提高18、组织创造价值和提供价值能力的必要条件。提高组织创造价值和提供价值能力的必要条件。o22）理解）理解o影响产品质量的因素：人、机、料、法、环、测、时、信。人的影响产品质量的因素：人、机、料、法、环、测、时、信。人的因素排 位。因素排 位。七大因素，皆由人定七大因素，皆由人定。o全员质量意识。全员质量意识。o全员尽质量职能。全员尽质量职能。o全员尽质量责任。全员尽质量责任。o-实现以顾客为关注焦点的前提条件之一实现以顾客为关注焦点的前提条件之一o各阶层员工是企业之本各阶层员工是企业之本o只有他们的充分参与，才能使他们的才干为企业带来 的收益只有他们的充分参与，才能使他们的才干为19、企业带来 的收益2021-11-15Shinan24引言引言理解理解o3.3.全员积极参与全员积极参与o33）落地：）落地：o同员工沟通，以增进他们对个人贡献的重要性认识同员工沟通，以增进他们对个人贡献的重要性认识o促进整个组织的协作促进整个组织的协作o提倡公开讨论提倡公开讨论，分享知识经验，分享知识经验o让员工确定工作中的制约隐私，毫不犹豫的主动参与让员工确定工作中的制约隐私，毫不犹豫的主动参与o赞赏和表彰员工的贡献、钻研精神的进步赞赏和表彰员工的贡献、钻研精神的进步o针对个人目标进行绩效的自我评价针对个人目标进行绩效的自我评价o为评估员工的满意度和沟通结果进行调查20、，并采取适为评估员工的满意度和沟通结果进行调查，并采取适当的措施当的措施2021-11-15Shinan25引言引言理解理解o3.3.全员积极参与全员积极参与o44）核心：）核心：o和顾客交换价值的共享和顾客交换价值的共享薪酬、薪酬、激励的动态方案和持续执行！激励的动态方案和持续执行！2021-11-15Shinan26引言引言理解理解o4.4.过程方法过程方法o11）含义：将活动和相关的资源作为过程进行管理）含义：将活动和相关的资源作为过程进行管理,,可可以更地得到期望的结果。以更地得到期望的结果。o22）理解）理解o识别公司实现产品和服务所需要的所有过程，如：设21、识别公司实现产品和服务所需要的所有过程，如：设计策划、采购、生产、仓储、交付、服务、支持等。计策划、采购、生产、仓储、交付、服务、支持等。o关注每一个过程的输入和输出（交付的结果），提供关注每一个过程的输入和输出（交付的结果），提供输入资源，进行结果管理。输入资源，进行结果管理。o解决每一个过程中做什么、怎么做、谁来做、做的怎解决每一个过程中做什么、怎么做、谁来做、做的怎么样四大要点。么样四大要点。2021-11-15Shinan27引言引言理解理解o4.4.过程方法过程方法o33）落地：）落地：o将公司的经营活动划分成若干过程。将公司的经营活动划分成若干过程。定过程定过程o将22、所有过程按质量实现顺序串起来，确定相互之间将所有过程按质量实现顺序串起来，确定相互之间的作用（输入输出的关系、协调作业、支持作的作用（输入输出的关系、协调作业、支持作业）业）建流程。建流程。o领导负责过程间作用领导负责过程间作用关注交叉关注交叉。o过程质量负责人负责过程内部管控过程质量负责人负责过程内部管控管内部管内部o以结果交付以结果交付交结果交结果，o评价过程的结果、评价过程的效率评价过程的结果、评价过程的效率评绩效评绩效。2021-11-15Shinan28引言引言理解理解o4.4.过程方法过程方法o44）核心：）核心：o将需要输出的将需要输出的“交付的结果交付的结果”23、转化成过程中转化成过程中具体的技术、工艺、工作等指标，并加以测具体的技术、工艺、工作等指标，并加以测评，考察绩效。评，考察绩效。2021-11-15Shinan29引言引言理解理解o5.5.改进改进o11）含义：成功的公司，总是致力于持续改进。）含义：成功的公司，总是致力于持续改进。o22）理解）理解o运用运用PDCAPDCA循环，建立持续改进机制。循环，建立持续改进机制。o监督、检查，评审考核监督、检查，评审考核o内部审核、监督审核、跟踪审核、管理评审。内部审核、监督审核、跟踪审核、管理评审。o发现问题，采取纠正措施。发现问题，采取纠正措施。o发现隐含问题，采取措施24、。发现隐含问题，采取措施。o8D8D整改模式是一个不错的模板。整改模式是一个不错的模板。2021-11-15Shinan30引言引言理解理解o5.5.改进改进o33）落地：）落地：o建立各过程层次的改进目标建立各过程层次的改进目标o培训员工，掌握改进的培训员工，掌握改进的方法方法和工具和工具o确保员工有能力制定改进项目，并完成改进项目确保员工有能力制定改进项目，并完成改进项目o部署需要改进的项目部署需要改进的项目o评审、跟踪、评价改进项目的计划、实施、结果评审、跟踪、评价改进项目的计划、实施、结果o赞赏、表彰改进赞赏、表彰改进2021-11-15Shinan31引言25、引言理解理解o5.5.改进改进o44）核心：）核心：o改进的对象改进的对象方针、目标、结果的交付情方针、目标、结果的交付情况、效率的实现情况、。况、效率的实现情况、。o部署时机：品质例会部署时机：品质例会o工具：工具：8D8D模版模版2021-11-15Shinan32引言引言理解理解o6.6.以证据为决策依据以证据为决策依据o11）含义：以数据、信息、评价、测量的结果为依据，）含义：以数据、信息、评价、测量的结果为依据，决策更有可能产生期望的结果。决策更有可能产生期望的结果。o22）理解）理解o质量管理的所有决策工作，均要建立在组织运营事实质量管理的所有决策工作，均26、要建立在组织运营事实的基础之上。的基础之上。o方针、目标的设定；体系的建立；质量标准的建立。方针、目标的设定；体系的建立；质量标准的建立。o质量工具的运用；统计方法的运用。质量工具的运用；统计方法的运用。o决策过程、决策能力、决策的有效性证实（评价）决策过程、决策能力、决策的有效性证实（评价）2021-11-15Shinan33引言引言理解理解o6.6.以证据为决策依据以证据为决策依据o33）落地：）落地：o收集决策信息、数据、评价的结果收集决策信息、数据、评价的结果各级岗位提各级岗位提供决策信息（一定要养成通报信息的习惯）供决策信息（一定要养成通报信息的习惯）o分析决策的证27、据分析决策的证据o建立决策的过程建立决策的过程o制定决策的方法制定决策的方法o权衡经验和直觉权衡经验和直觉o决策决策o证实决策的有效性证实决策的有效性2021-11-15Shinan34引言引言理解理解o6.6.以证据为决策依据以证据为决策依据o44）核心：）核心：o透过现象看本质透过现象看本质o权衡经验和直觉权衡经验和直觉o组织原则很重要组织原则很重要o验证决策有效性验证决策有效性引言引言理解理解o7.7.关系管理关系管理o11）含义：价值链，各相关方相互依存，互利）含义：价值链，各相关方相互依存，互利的关系可增加双方创造价值的能力。的关系可增加双方创造价值的28、能力。o22）理解）理解o合作伙伴、雇员、供方、顾客、投资者、政合作伙伴、雇员、供方、顾客、投资者、政府、商协、社区府、商协、社区o这些关系均影响到公司的绩效，管理这些关这些关系均影响到公司的绩效，管理这些关系，以 限度的发挥在绩效方面的作用，系，以 限度的发挥在绩效方面的作用，尤其是价值链上供方及合作伙伴的关系网。尤其是价值链上供方及合作伙伴的关系网。2021-11-15Shinan36引言引言理解理解o33）落地：）落地：o识别所有关系方：合作伙伴、雇员、供方、顾客、投识别所有关系方：合作伙伴、雇员、供方、顾客、投资者、政府、商协、社区资者、政府、商协、社区o明确价值29、链关系，优先管理的顺序，建立短期权衡和明确价值链关系，优先管理的顺序，建立短期权衡和长期考虑的关系。长期考虑的关系。o收集相关方共享的信息、资源和专业知识。收集相关方共享的信息、资源和专业知识。o拟定关系管理的方式、方法拟定关系管理的方式、方法o实施拟定的的方式方法，履行关系管理实施拟定的的方式方法，履行关系管理o评价、测量相关方绩效，并报告相关方，增加改进的评价、测量相关方绩效，并报告相关方，增加改进的主动性主动性o开展积极的改进活动开展积极的改进活动o承认、鼓励、表彰相关方的价值绩效、改进成果承认、鼓励、表彰相关方的价值绩效、改进成果2021-11-15Shinan37引言引30、言理解理解o特别的，供应商（服务商）的管理：特别的，供应商（服务商）的管理：o建立稳定的供应体系，非体系内不采购。建立稳定的供应体系，非体系内不采购。o确立管理的原则、方式、方法确立管理的原则、方式、方法确保有利，准确保有利，准时付款，遵循游戏规则；交新朋友不忘老朋友。时付款，遵循游戏规则；交新朋友不忘老朋友。o共建价值链，共同发展：战略同盟。共建价值链，共同发展：战略同盟。o共商处理问题的方式、方法。共商处理问题的方式、方法。o建立供应体系的机制，建立供应体系的机制，QSTCQSTC模板是一个不错模板是一个不错的方案。的方案。o评价、测量绩效（供应、服务），表彰、鼓励。31、评价、测量绩效（供应、服务），表彰、鼓励。2021-11-15Shinan38引言引言理解理解o7.7.关系管理关系管理o44）核心：）核心：o建立价值交换准确、及时的互利规则建立价值交换准确、及时的互利规则2021-11-15Shinan39引言引言标准原文标准原文2021-11-15Shinan40引言引言标准原文标准原文2021-11-15Shinan41引言引言理解理解o1.过程方法旨在提高公司实现既定目标的有过程方法旨在提高公司实现既定目标的有效性和效率。效性和效率。通常的职能层级结构：垂直管理，终顾通常的职能层级结构：垂直管理，终顾客、相关方并不总是很明确。边32、界接口问题客、相关方并不总是很明确。边界接口问题不如本部门短期目标优先考虑。（不如本部门短期目标优先考虑。（措施关注措施关注职能职能）过程方法：识别过程，过程的输出结果便过程方法：识别过程，过程的输出结果便是过程与过程间的作用（输入、输出）是过程与过程间的作用（输入、输出）见下页图：见下页图：2021-11-15Shinan42引言引言理解理解2021-11-15Shinan43引言引言理解理解o2.2.过程方法确保实现公司预期的结果和避免过程方法确保实现公司预期的结果和避免非预期结果非预期结果过程方法教会了我们如何基过程方法教会了我们如何基于风险的思维对过程进行管理。于风险的思维对过程33、进行管理。o需注意：需注意：必须从增值的角度考虑过程必须从增值的角度考虑过程理解并持续满足要求理解并持续满足要求获得过程绩效获得过程绩效在评价数据和信息的基础上改进过程在评价数据和信息的基础上改进过程2021-11-15Shinan44引言引言理解理解o3.3.单一过程要素的作用如图单一过程要素的作用如图11所示，可采用所示，可采用SIAORSIAOR法分析法分析画出图来，俗称画出图来，俗称“乌龟乌龟图图”，或，或“章鱼图章鱼图”oSS输入源（前过程的输出结果）输入源（前过程的输出结果）oII输入（资源）输入（资源）oAA活动（实现、检测）活动（实现、检测）oOO输出（结果：物34、资、能量、信息）输出（结果：物资、能量、信息）oRR输出接受方（后续过程）输出接受方（后续过程）2021-11-15Shinan45引言引言标准原文标准原文引言引言理解理解PDCAPDCA循环是一种动态的方法，教会了我们工作的方法，循环是一种动态的方法，教会了我们工作的方法，处理问题的过程和方法处理问题的过程和方法本标准的结构就是一个典型的本标准的结构就是一个典型的PDCAPDCA应用，如下图所示：应用，如下图所示：2021-11-15Shinan46引言引言标准原文标准原文2021-11-15Shinan47引言引言理解理解2021-11-15Shinan48引言引言标准原文标准原35、文2021-11-15Shinan49引言引言理解理解o1.1.风险：不确定性的影响。风险：不确定性的影响。针对目标针对目标影响：偏离预期（目标），可以是正面，也可以影响：偏离预期（目标），可以是正面，也可以是负面的。是负面的。表现为：参考潜在事件或结果、或两者结合，发表现为：参考潜在事件或结果、或两者结合，发生的可能性。负面时，称生的可能性。负面时，称“危机危机”；正面时，称；正面时，称“机遇机遇”。o2.2.应对风险和利用机遇应对风险和利用机遇建立并持续运行体系的目的之一：不合格。建立并持续运行体系的目的之一：不合格。工具。工具。2021-11-15Shinan5036、引言引言标准原文标准原文o同其他质量管理标准（同其他质量管理标准（ISO9000ISO9000族）互相支持。族）互相支持。o同其他管理体系兼容，但不包含其他管理体系的特同其他管理体系兼容，但不包含其他管理体系的特殊要求。殊要求。引言引言理解理解2021-11-15Shinan51引言引言标准原文标准原文2021-11-15Shinan52引言引言理解理解o指出了，建立、实施指出了，建立、实施IATF16949IATF16949的目标：的目标：o针对汽车主机厂的供应商（一级、二级、三级针对汽车主机厂的供应商（一级、二级、三级等），主机厂自己并不通过等），主机厂自己并不通过IA37、TF16949IATF16949认证。认证。o要求供应商在建立质量体系时，核心关注要求供应商在建立质量体系时，核心关注“持持续改进续改进”，强调，强调“缺陷，减少变差和浪缺陷，减少变差和浪费费”。就是说，坚持改进，注重，保证产。就是说，坚持改进，注重，保证产品的一致性，从减少浪费方面控制成本。品的一致性，从减少浪费方面控制成本。oIATF16949IATF16949是汽配行业的一个通用质量标准，是汽配行业的一个通用质量标准，为汽车主机厂和客户服务的。为汽车主机厂和客户服务的。2021-11-15Shinan531.1.范围范围标准原文标准原文2021-11-15S38、hinan541.1.范围范围理解理解o本本标准的适用范围标准的适用范围，有哪些需求的组织可以，有哪些需求的组织可以采用本标准，采用本标准可以得到什么结果。采用本标准，采用本标准可以得到什么结果。组织：为实现目标的一组人，有职能、职组织：为实现目标的一组人，有职能、职责、权限和相互关系责、权限和相互关系公司、单位公司、单位需要证明产品、服务质量稳定的公司需要证明产品、服务质量稳定的公司需要持续保证产品、服务质量稳定的公司需要持续保证产品、服务质量稳定的公司o注意：同质量管理注意：同质量管理体系的范围体系的范围，别混淆了。，别混淆了。2021-11-15Shinan551.1.范围范围标39、准原文标准原文本标准为有下列需求的组织规定了质量管理体系要求：a)需要证实其具有稳定地提供满足顾客要求和适用法律法规要求的产品和服务的能力；b)通过体系的的有效应用，包括体系持续改进的过程，以及保证符合顾客和适用的法律法规要求，旨在增强顾客满意。注1：在本标准一中，术语“产品”仅适用于：a)预期提供给顾客或顾客所要求的商品和服务；b)运行过程所产生的任何预期输出。注2：法律法规要求可称作为法定要求。2021-11-15Shinan561.1.范围范围理解理解2021-11-15Shinan5722规范性引用文件规范性引用文件标准原文标准原文2规范性引用文件规范性引用文40、件下列文件中的条款通过本标准的引用而构成本标准的条款。凡是注日期的引用文件，只有引用的版本适用。凡是不注日期的引用文件，其 版本（包括任何修订）适用于本标准。GB/T19000：2015质量管理体系基础和术语2021-11-15Shinan5822规范性引用文件规范性引用文件理解理解o引用文件的适用性引用文件的适用性o本标准中的一些术语和概念，搞不懂，可以本标准中的一些术语和概念，搞不懂，可以查阅查阅GB/T19000GB/T19000：20152015o注意版本时间哦注意版本时间哦2021-11-15Shinan593.3.术语和定义术语和定义标准原文标准原41、文GB/T190002015GB/T190002015界定的术语和定义适用于本界定的术语和定义适用于本文件。文件。3.3.术语和定义术语和定义理解理解IATF16949:2016IATF16949:2016使用使用GB/T190002015GB/T190002015界定界定的术语和定义。的术语和定义。术语和概念，搞不懂，可以查阅术语和概念，搞不懂，可以查阅GB/T19000GB/T19000：201520152021-11-15Shinan60介绍一些术语和定义介绍一些术语和定义ISO9000术语（136）序号分类数量内容1有关人员的术语6 管理者、质量管理体系咨询师42、、参与、积极参与、管理机构、争议解决者2有关组织的术语9组织、组织环境、相关方、顾客、供方、外部供方、争议解决过程提供方、协会、计量职能3有关活动的术语12改进、持续改进、管理、质量管理、质量策划、质量改进、质量控制、质量保证、技术状态管理、更改控制、活动、项目管理、技术状态项4有关过程的术语8过程、项目、质量管理体系实现、能力获得、程序、外包、合同、设计和开发5有关体系的术语12体系（系统）、基础设施、管理体系、质量管理体系、工作环境、计量确认、测量管理体系、方针、质量方针、愿景、使命、战略6有关要求的术语15客体、质量、等级、要求、质量要求、法律要求、法规要求、产品技术状态信息、不合格（不43、符合）、缺陷、合格（符合）、能力、可追溯性、可信性、创新7有关结果的术语11目标、质量目标、成功、持续成功、输出、产品、服务、绩效、风险、效率、有效性8有关数据、信息和文件的术语15数据、信息、客观证据、信息系统、文件、形成文件的信息、规范、质量手册、质量计划、记录、项目管理计划、验证、确认、技术状态记实、特定情况9有关顾客的术语6反馈、顾客满意、投诉、顾客服务、顾客满意行为规范、争议10有关特性的术语7特性、质量特性、人为因素、能力、计量特性、技术状态、技术状态基线11有关确定的术语8确定、评审、监视、测量、测量过程、测量设备、检验、试验、进展评价12有关措施的术语10措施、纠正措施、纠44、正、降级、让步、偏离许可、放行、返工、返修、报废13有关审核的术语17审核、多体系审核、联合审核、审核方案、审核范围、审核计划、审核准则、审核证据、审核发现、审核结论、审核委托方、受审核方、向导、审核组、审核员、技术专家、观察员介绍一些术语和定义介绍一些术语和定义ISO9001关键术语（28）2021-11-15Shinan61序号分类数量内容1有关人员的术语6 管理者、质量管理体系咨询师、参与、积极参与、管理机构、争议解决者2有关组织的术语9组织、组织环境、相关方、顾客、供方、外部供方、争议解决过程提供方、协会、计量职能3有关活动的术语12改进、持续改进、管理、质量管理、质量策划、质量改45、进、质量控制、质量保证、技术状态管理、更改控制、活动、项目管理、技术状态项4有关过程的术语8过程、项目、质量管理体系实现、能力获得、程序、外包、合同、设计和开发5有关体系的术语12体系（系统）、基础设施、管理体系、质量管理体系、工作环境、计量确认、测量管理体系、方针、质量方针、愿景、使命、战略6有关要求的术语15客体、质量、等级、要求、质量要求、法律要求、法规要求、产品技术状态信息、不合格（不符合）、缺陷、合格（符合）、能力、可追溯性、可信性、创新7有关结果的术语11目标、质量目标、成功、持续成功、输出、产品、服务、绩效、风险、效率、有效性8有关数据、信息和文件的术语15数据、信息、客观证据、46、信息系统、文件、形成文件的信息、规范、质量手册、质量计划、记录、项目管理计划、验证、确认、技术状态记实、特定情况9有关顾客的术语6反馈、顾客满意、投诉、顾客服务、顾客满意行为规范、争议10有关特性的术语7特性、质量特性、人为因素、能力、计量特性、技术状态、技术状态基线11有关确定的术语8确定、评审、监视、测量、测量过程、测量设备、检验、试验、进展评价12有关措施的术语10措施、纠正措施、纠正、降级、让步、偏离许可、放行、返工、返修、报废13有关审核的术语17审核、多体系审核、联合审核、审核方案、审核范围、审核计划、审核准则、审核证据、审核发现、审核结论、审核委托方、受审核方、向导、审核组、47、审核员、技术专家、观察员2021-11-15Shinan623.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan633.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan643.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan653.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Sh48、inan663.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan673.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan683.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan693.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan703.3.术语和定义术语和定义标准原49、文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan713.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan723.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan733.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan743.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术50、语）行业专用术语）2021-11-15Shinan753.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan763.3.术语和定义术语和定义标准原文（特别介绍汽车标准原文（特别介绍汽车行业专用术语）行业专用术语）2021-11-15Shinan773.3.术语和定义术语和定义理解理解o3.1.13.1.1控制计划：控制计划：o对所需要控制的产品，该产品满足客户要求所需要对所需要控制的产品，该产品满足客户要求所需要的系统和过程，进行描述的文件。的系统和过程，进行描述的文件。o核心含义：核心含义：确定产品确定51、产品确定产品的要求（满足客户的要求）确定产品的要求（满足客户的要求）策划需要的系统策划需要的系统目标、过程、方法、评价目标、过程、方法、评价策划所需要的过程策划所需要的过程目标（含实现的产品特性）、目标（含实现的产品特性）、人机料法环、验证、、反应。基于失效模式分人机料法环、验证、、反应。基于失效模式分析析2021-11-15Shinan783.3.术语和定义术语和定义理解理解o3.1.2有设计责任的组织：有设计责任的组织：o有权建立产品规范、或者对产品规范进行更改的组有权建立产品规范、或者对产品规范进行更改的组织。织。o例：一般指功能件的生产组织，有设计责任，能够例：一般指功52、能件的生产组织，有设计责任，能够自己起草或修改产品标准。如：车桥、发动机、制自己起草或修改产品标准。如：车桥、发动机、制动器等等。其功能满足顾客要求，内部技术自行设动器等等。其功能满足顾客要求，内部技术自行设计，当有可能影响功能时，需要向车厂备案。计，当有可能影响功能时，需要向车厂备案。o例：对于车身件、结构件，无设计责任，一般按照例：对于车身件、结构件，无设计责任，一般按照车厂设计要求（需要修改设计，需请示车厂），进车厂设计要求（需要修改设计，需请示车厂），进行过程设计。行过程设计。o例：内饰件、附件，功能不等，参照而定，是否有例：内饰件、附件，功能不等，参照而定，是否有设计责任。设计责53、任。2021-11-15Shinan793.3.术语和定义术语和定义理解理解o3.1.33.1.3防错：防错：o为防止不合格产品的产生，而进行的产品和为防止不合格产品的产生，而进行的产品和制造过程的设计和开发。制造过程的设计和开发。o涵盖了，系统、过程、规范、标准、指导书，涵盖了，系统、过程、规范、标准、指导书，以及工装、装备、模夹检、工量辅具等的策以及工装、装备、模夹检、工量辅具等的策划以及所采取的措施。划以及所采取的措施。2021-11-15Shinan803.3.术语和定义术语和定义理解理解o3.1.43.1.4实验室：实验室：o进行检验、试验或校准的设施。进行检验、试验或54、校准的设施。o含义：所有用于产品检验、试验、验证，以含义：所有用于产品检验、试验、验证，以及设备设施量检具的校准等的资源（设备设及设备设施量检具的校准等的资源（设备设施环境等）施环境等）o测量、化验、分析、校准、功能性试验、测量、化验、分析、校准、功能性试验、型式试验（寿命试验）、路试（可靠性试验）型式试验（寿命试验）、路试（可靠性试验）等等2021-11-15Shinan813.3.术语和定义术语和定义理解理解o3.1.53.1.5实验室范围：实验室范围：o受控文件，包含：受控文件，包含：o资格资格能做哪些特定的试验、评价、能做哪些特定的试验、评价、校准等。校准等。o能55、够做哪些测量、化验、分析、校准、功能能够做哪些测量、化验、分析、校准、功能性试验、型式试验（寿命试验）、路试（可性试验、型式试验（寿命试验）、路试（可靠性试验）等靠性试验）等o开展工作活动的设备清单开展工作活动的设备清单o开展工作活动的规范、作业指导书、标准等开展工作活动的规范、作业指导书、标准等2021-11-15Shinan823.3.术语和定义术语和定义理解理解o3.1.63.1.6制造：制造：o这个好理解，就是制作或加工过程。这个好理解，就是制作或加工过程。o如生产材料的制备过程如生产材料的制备过程o生产过程、维修过程生产过程、维修过程o装配过程装配过程o热处理、焊接56、、喷漆、电镀、其他表面处理热处理、焊接、喷漆、电镀、其他表面处理过程。过程。2021-11-15Shinan833.3.术语和定义术语和定义理解理解o3.1.73.1.7预见性维护预见性维护o基于过程数据，通过预测可能的失效模式以避免维基于过程数据，通过预测可能的失效模式以避免维护性问题的活动。护性问题的活动。o理解：避免维护维修所采取的维护措施。理解：避免维护维修所采取的维护措施。o举例：设备维护中，常常需要紧固已经松动的螺栓、举例：设备维护中，常常需要紧固已经松动的螺栓、或者检查螺栓是否松动。或者检查螺栓是否松动。提前在螺栓的紧固装配过程中，采取有效的放松提前在螺栓的紧固装配过程57、中，采取有效的放松措施；或者在维护过程中，采取有效的防松措施。措施；或者在维护过程中，采取有效的防松措施。避免了维护和下次维护问题的发生。避免了维护和下次维护问题的发生。2021-11-15Shinan843.3.术语和定义术语和定义理解理解o3.1.83.1.8性维护：性维护：o为设备失效和生产计划外中断的原因而为设备失效和生产计划外中断的原因而策划的措施。策划的措施。制造过程设计的一项输出。制造过程设计的一项输出。o防止设备失效、工作出现意外，而采取的措防止设备失效、工作出现意外，而采取的措施。施。o体现在控制计划里。体现在控制计划里。2021-11-15Shin58、an853.3.术语和定义术语和定义理解理解o3.1.93.1.9超额运费超额运费o合同约定的交付之外，产生的附加成本或费用。合同约定的交付之外，产生的附加成本或费用。o不仅仅指运输费用哦不仅仅指运输费用哦o采用了约定之外的运输方法、装车数量采用了约定之外的运输方法、装车数量o计划变更、延迟交付等计划变更、延迟交付等o核心：防止产生超额运费，一旦产生怎么办，有哪核心：防止产生超额运费，一旦产生怎么办，有哪方承担。方承担。o工作中、商务谈判中引起重视。工作中、商务谈判中引起重视。2021-11-15Shinan863.3.术语和定义术语和定义理解理解o3.1.103.1.1059、外部场所：外部场所：o支持现场、且不存在生产过程的场所。好理解，支持现场、且不存在生产过程的场所。好理解，如发货场、仓库如发货场、仓库o3.1.113.1.11现场：现场：o发生增值的制造过程的场所。好理解，如加工、发生增值的制造过程的场所。好理解，如加工、装配等现场装配等现场注意：必须区分增值、必须但不增值、不是必须注意：必须区分增值、必须但不增值、不是必须也不增值。三种过程现场，重视增值过程现场、也不增值。三种过程现场，重视增值过程现场、优化必须但不增值现场、删掉不是必须也不增优化必须但不增值现场、删掉不是必须也不增值的过程现场。值的过程现场。2021-11-15Shinan87360、.3.术语和定义术语和定义理解理解o3.1.123.1.12特殊特性：特殊特性：o可能影响产品的性、法律法规的符合性、可能影响产品的性、法律法规的符合性、配合、功能、性能或后续过程的产品特性或配合、功能、性能或后续过程的产品特性或制造过程参数。制造过程参数。o如：外观特征、安装尺寸、配合尺寸、重要如：外观特征、安装尺寸、配合尺寸、重要的工艺尺寸、功能尺寸、功能（性能）指标、的工艺尺寸、功能尺寸、功能（性能）指标、寿命指标、可靠性指标。寿命指标、可靠性指标。2021-11-15Shinan884.4.组织环境组织环境标准原文标准原文2021-11-15Shinan894.14.61、1理解组织及其环境理解组织及其环境理解理解o公司确定的了目标和发展战略，必须识别外公司确定的了目标和发展战略，必须识别外部因素、内部因素影响质量管理体系达成预部因素、内部因素影响质量管理体系达成预期结果的能力。期结果的能力。o同时注意到内外部因素的不断变化，所以要同时注意到内外部因素的不断变化，所以要对外部因素、内部因素进行监控和评审。对外部因素、内部因素进行监控和评审。o建立获得外部因素的信息渠道。建立获得外部因素的信息渠道。o环境影响的分析法：环境影响的分析法：SWOTSWOT分析法。分析法。o那么具体有哪些环境因素呢？那么具体有哪些环境因素呢？2021-11-15Shinan62、904.14.1理解组织及其环境理解组织及其环境理解理解o内部因素：内部因素：o总体表现，如财务总体表现，如财务o资源因素，如设施、过程资源因素，如设施、过程运行、知识运行、知识o人力因素，如人员、文化、人力因素，如人员、文化、工会工会o运营因素，如工艺过程、运营因素，如工艺过程、生产交付能力、体系绩效、生产交付能力、体系绩效、顾客评价顾客评价o治理因素，如决策的规则，治理因素，如决策的规则，组织构架组织构架o外部因素：外部因素：o宏观经济，如汇率，经济宏观经济，如汇率，经济布局，通货膨胀布局，通货膨胀o社会因素，如失业率，教社会因素，如失业率，教育水平，公共假日育水平，公共63、假日o政治因素，如稳定、贸易、政治因素，如稳定、贸易、基础设施基础设施o技术因素，如行业、 技术因素，如行业、 o竞争力，如市场占有率，竞争力，如市场占有率，替代性替代性o影响工作环境的因素：如影响工作环境的因素：如法律要求法律要求2021-11-15Shinan914.14.1理解组织及其环境理解组织及其环境落地落地o组织环境具有综合性、复杂性和不确定性的组织环境具有综合性、复杂性和不确定性的特点。特点。o对组织环境的理解是一个过程，这个过程确对组织环境的理解是一个过程，这个过程确定了影响组织的目的、目标和可持续性的各定了影响组织的目的、目标和可持续性的各种因素。种因素。内64、部、外部内部、外部o组织的形成是为了实现某一特定目的，该目组织的形成是为了实现某一特定目的，该目的驱使组织去做每一件事。的驱使组织去做每一件事。o我们的任务：将我们的任务：将各。各。转化成一件一件转化成一件一件的具体事。的具体事。2021-11-15Shinan924.14.1理解组织及其环境理解组织及其环境落地落地o准确的说：公司要知己知彼知环境准确的说：公司要知己知彼知环境知己：形成自己的质量价值观、质量文化、质量绩知己：形成自己的质量价值观、质量文化、质量绩效、质量目标效、质量目标知道竞争对手：知道竞争对手：知道供方、社区、政府、国际等等政治、经济、文知道供方、社区、政府、国际等65、等政治、经济、文化的影响，并采取措施。化的影响，并采取措施。o展现在：展现在：企业的网站、宣传资料企业的网站、宣传资料新业务、新产品开发的可行性报告新业务、新产品开发的可行性报告企业年度社会责任报告企业年度社会责任报告企业的经营发展规划企业的经营发展规划等等方面等等方面动态的哦！动态的哦！2021-11-15Shinan934.4.组织环境组织环境标准原文标准原文2021-11-15Shinan944.24.2理解相关方的需求和期望理解相关方的需求和期望理解理解o1.不仅关注顾客的要求，还要对质量利益相不仅关注顾客的要求，还要对质量利益相关方的要求进行确定，并监视和评审所确定关方的要66、求进行确定，并监视和评审所确定的要求。的要求。o2.潜在相关方：潜在相关方：顾客、终用户或受益人、业主（股东）、顾客、终用户或受益人、业主（股东）、银行、外部供应商、雇员及其他为组织工作银行、外部供应商、雇员及其他为组织工作者、法律法规及监管、地方社区团体、者、法律法规及监管、地方社区团体、非政府组织等非政府组织等2021-11-15Shinan954.24.2理解相关方的需求和期望理解相关方的需求和期望理解理解o3.3.相关方的要求，可能表现在：相关方的要求，可能表现在：顾客对事物的要求：符合性、价格、性等顾客对事物的要求：符合性、价格、性等已与顾客或外部供应商达成的合同已与顾客或外部供应商达成的合同行业规范及标准行业规范及标准许可、执照及其他授权形式许可、执照及其他授权形式条约、公约及草案条约、公约及草案和公共机构及顾客的协议和公共机构及顾客的协议组织契约合同的承担义务组织契约合同的承担义务2021-11-15Shinan964.24.2理解相关方的需求和期望理解相关方的需求和期望理解理解o4.4.可开展的工作：可开展的工作：o11）收集信息）收集

ISO27001认证控制要求 文章导读：表 A.1 控制目标和控制措施 A.5 方针 A.5.1 信息方针 目标：依据业务要求和相关法律法规提供管理指导并支 持信息。 A.5.1.1 信 息 方针 文件 信 息 方针 的评审 控制... 表 A.1 控制目标和控制措施 A.5 方针 A.5.1 信息方针 目标：依据业务要求和相关法律法规提供管理指导并支持信息。 A.5.1.1 信 息 方针 文件 信 息 方针 的评审 控制措施 信息方针文件应由管理者批准、发布并传达给所有员工和外部相 关方。 A.5.1.2 控制措施 应按计划的时间间隔或当重大变化发生时进行信息方针评审，以 确保它持续的适宜性、充分性和有效性。 A.6 信息组织 A.6.1 内部组织 目标：在组织内管理信息 A.6.1.1 信息的管 理承诺 信息协调 控制措施 管理者应通过清晰的说明、可证实的承诺、明确的信息职责分配 及确认，来积极支持组织内的。 A.6.1.2 控制措施 信息活动应由来自组织不同部门并具备相关角色和工作职责的 代表进行协调。 A.6.1.3 A.6.1.4 A.6.1.5 信息职责 的分配 信息处理设施 的授权过程 保密性协议 控制措施 所有的信息职责应予以清晰地定义。 控制措施 新信息处理设施应定义和实施一个管理授权过程。 控制措施 应识别并定期评审反映组织信息保护需要的保密性或不泄露协议的 要求。 A.6.1.6 A.6.1.7 A.6.1.8 与政府部门的 联系 与特定利益团 体的联系 信息的独 立评审 控制措施 应保持与政府相关部门的适当联系。 控制措施 应保持与特定利益团体、其他专家组和专业协会的适当联系。 控制措施 组织管理信息的方法及其实施（例如信息的控制目标、控制 措施、策略、过程和程序）应按计划的时间间隔进行独立评审， 当安 全实施发生重大变化时，也要进行独立评审。 A.6.2 外部各方 目标：保持组织的被外部各方访问、处理、管理或与外部进行通信的信息和信息处理设施的。 A.6.2.1 与外部 各方相 关风险的识别 处理与顾客有 关的问题 控制措施 应识别涉及外部各方业务过程中组织的信息和信息处理设施的风险， 并在允许访问前实施适当的控制措施。 A.6.2.2 控制措施 应在允许顾客访问组织信息或资产之前处理所有确定的要求。 A.6.2.3 处理第三方协 议中的问 题 控制措施 涉及访问、处理或管理组织的信息或信息处理设施以及与之通信的第 三方协议，或在信息处理设施中增加产品或服务的第三方协议， 应涵 盖所有相关的要求。 A.7 资产管理 A.7.1 对资产负责 目标：实现和保持对组织资产的适当保护。 A.7.1.1 A.7.1.2 资产清单 资产责任人 控制措施 应清晰的识别所有资产，编制并维护所有重要资产的清单。 控制措施 与信息处理设施有关的所有信息和资产应由组织的指定部门或人员 1 承担责任 。 A.7.1.3 资 产 的 合 格 使 控制措施 用 与信息处理设施有关的信息和资产使用允许规则应被确定、形成文件 并加以实施。 A.7.2 信息分类 目标：确保信息受到适当级别的保护。 A.7.2.1 A.7.2.2 分类指南 信息的标记和 处理 控制措施 信息应按照它对组织的价值、法律要求、敏感性和关键性予以分类。 控制措施 应按照组织所采纳的分类机制建立和实施一组合适的信息标记和处 理程序。 A.8 人力资源 2 A.8.1 任用 之前 目标：确保雇员、承包方人员和第三方人员理解其职责、考虑对其承担的角色是适合的，以降 低设 施被窃、欺诈和误用的风险。 A.8.1.1 角色和职责 控制措施 雇员、承包方人员和第三方人员的角色和职责应按照组织的信息 方针定义并形成文件。 A.8.1.2 审查 控制措施 关于所有任用的候选者、承包方人员和第三方人员的背景验证检查应 按照相关法律法规、道德规范和对应的业务要求、被访问信息的 类别 和察觉的风险来执行。 A.8.1.3 任用条款和条 件 控制措施 作为他们合同义务的一部分，雇员、承包方人员和第三方人员应同意 并签署他们的任用合同的条款和条件，这些条款和条件要声明他 们和 组织的信息职责。 A.8.2 任用中 目标：确保所有的雇员、承包方人员和第三方人员知悉信息威胁和利害关系、他们的职责和义 务、并准备好在其 正常工作过程中支持组织的方针，以减少人为过失的风险。 1 解释：术语“责任人”是被认可，具有控制生产、开发、保持、使用和资产的个人或实体。术语“责 任人”不指实际上对资产具 有财产权的人。 2 解释：这里的“任用”意指以下不同的情形：人员任用（暂时的或长期的） 、工作角色的指定、工作角色 的变化 、合同的分配及所有这些安排的终止。 A.8.2.1 管理职责 控制措施 管理者应要求雇员、承包方人员和第三方人员按照组织已建立的方针 策略和程序对尽心尽力。 A.8.2.2 信息意识、 控制措施 教育和培训 组织的所有雇员，适当时，包括承包方人员和第三方人员，应受到与 其工作职能相关的适当 的意识培训和组织方针策略及程序的定期更 新培训。 纪律处理过程 A.8.2.3 控制措施 对于违规的雇员，应有一个正式的纪律处理过程。 A.8.3 任用的终止或变化 目标：确保雇员、承包方人员和第三方人员以一个规范的方式退出一个组织或改变其任用关系。 A.8.3.1 A.8.3.2 终止职责 资产的归还 控制措施 任用终止或任用变化的职责应清晰的定义和分配。 控制措施 所有的雇员、承包方人员和第三方人员在终止任用、合同或协议时， 应归还他们使用的所有组织资产。 A.8.3.3 撤销访问权 控制措施 所有雇员、承包方人员和第三方人员对信息和信息处理设施的访问权 应在任用、合同或协议终止时删除，或在变化时调整。 A.9 物理和环境 A.9.1 区域 目标：防止对组织场所和信息的未授权物理访问、损坏和干扰。 A.9.1.1 物理边界 控制措施 应使用边界 （诸如墙、 卡控制的入口或有人管理的接待台等屏障） 来保护包含信息和信息处理设施的区域。 A.9.1.2 物理入口控制 控制措施 区域应由适合的入口控制所保护，以确保只有授权的人员才允许 访问。 A.9.1.3 办公室、 房间和 控制措施 设 施 的 安 全 保 应为办公室、房间和设施设计并采取物理措施。 护 外部和环境威 胁的防 护 在区域工 作 A.9.1.4 控制措施 为防止火灾、洪水、地震、爆炸、社会动荡和其他形式的自然或人为 灾难引起的破坏，应设计和采取物理保护措施。 A.9.1.5 A.9.1.6 控制措施 应设计和运用用于区域工作的物理保护和指南。 公共访问、 交接 控制措施 区 访问点（例如交接区）和未授权人员可进入办公场所的其他点应加以 控制，如果可能，要与信息 处理设施隔离，以避免未授权访问。 A.9.2 设备 目标：防止资产的丢失、损坏、失窃或危及资产以及组织活动的中断。 A.9.2.1 设备安置和保 护 控制措施 应安置或保护设备，以减少由环境威胁和危险所造成的各种风险以及 未授权访问的机会。 A.9.2.2 支持性设施 控制措施 应保护设备使其免于由支持性设施的失效而引起的电源故障和其他 中断。 A.9.2.3 布缆 控制措施 应保证传输数据或支持信息服务的电源布缆和通信布缆免受窃听或 损坏。 A.9.2.4 A.9.2.5 设备维护 控制措施 设备应予以正确地维护，以确保其持续的可用性和完整性。 组 织 场 所 外 的 控制措施 设备 应对组织场所的设备采取措施，要考虑工作在组织场所以外的不 同风险。 设备的 处 置或再利用 资产的移动 A.9.2.6 控制措施 包含储存介质的设备的所有项目应进行检查，以确保在销毁之前，任 何敏感信息和注册软件已被删除或重写。 A.9.2.7 控制措施 设备、信息或软件在授权之前不应带出组织场所。 A.10 通信和操作管理 A.10.1 操作程序和职责 目标：确保正确、的操作信息处理设施。 A.10.1.1 A.10.1.2 A.10.1.3 文件化 的操作 程序 变更管理 责任分割 控制措施 操作程序应形成文件、保持并对所有需要的用户可用。 控制措施 对信息处理设施和系统的变更应加以控制。 控制措施 各类责任及职责范围应加以分割，以降低未授权或无意识的修改或者 不当使用组织资产的机会。 A.10.1.4 开发、测试和 运行设施分离 控制措施 开发、测试和运行设施应分离，以减少未授权访问或改变运行系统的 风险。 A.10.2 第三方服务交付管理 目标：实施和保持符合第三方服务交付协议的信息和服务交付的适当水准。 A.10.2.1 服务交付 控制措施 应确保第三方实施、运行和保持包含在第三方服务交付协议中的 控制措施、服务定义和交付水准。 A.10.2.2 第三方服务的 监视和评审 第三方服务的 变更管理 控制措施 应定期监视和评审由第三方提供的服务、报告和记录，审核也应定期 执行。 A.10.2.3 控制措施 应管理服务提供的变更，包括保持和改进现有的信息方针策略、 程序和控制措施，要考虑业务系统和涉及过程的关键程度及风险 的再 评估。 A.10.3 系统规划和验收 目标：将系统失效的风险降至小。 A.10.3.1 容量管理 控制措施 资源的使用应加以监视、调整，并应作出对于未来容量要求的预测， 以确保拥有所需的系统性能。 A.10.3.2 系统验收 控制措施 应建立对新信息系统、升级及新版本的验收准则，并且在开发中和验 收前对系统进行适当的测试。 A.10.4 防范恶意和移动代码 目标：保护软件和信息的完整性。 A.10.4.1 控制恶意代码 控制措施 应实施恶意代码的监测、和恢复的控制措施，以及适当的提高用 户意识的程序。 A.10.4.2 控制移动代码 控制措施 当授权使用移动代码时，其配置应确保授权的移动代码按照清晰定义 的策略运行，应阻止执行未授权的移动代码。 A.10.5 备份 目标：保持信息和信息处理设施的完整性及可用性。 A.10.5.1 信息备份 控制措施 应按照已设的备份策略，定期备份和测试信息和软件。 A.10.6 网络管理 目标：确保网络中信息的性并保护支持性的基础设 施。 A.10.6.1 网络控制 控制措施 应充分管理和控制网络，以防止威胁的发生，维护系统和使用网络的 应用程序的，包括传输中的信息。 A.10.6.2 网络服务的安 全 控制措施 特性、服务级别以及所有网络服务的管理要求应予以确定并包括 在所有网络服务协议中，无论这些服务是由内部提供的还是外包 的。 A.10.7 介质处置 目标：防止资产遭受未授权泄露、修改、移动或销毁以及业务活动的中断。 A.10.7.1 A.10.7.2 A.10.7.3 可移动 介质的 管理 介质的处置 信息处理程序 控制措施 应有适当的可移动介质的管理程序。 控制措施 不再需要的介质，应使用正式的程序可靠并地处置。 控制措施 应建立信息的处理及存储程序，以防止信息的未授权的泄漏或不当使 用。 A.10.7.4 系统文件 控制措施 应保护系统文件以防止未授权的访问。 A.10.8 信息的交换 目标：保持组织内信息和软件交换及与外部组织信息和软件交换的。 A.10.8.1 信息交换策略 和程序 控制措施 应有正式的交换策略、程序和控制措施，以保护通过使用各种类型通 信设施的信息交换。 A.10.8.2 A.10.8.3 交换协议 运输中的物理 介质 电子消息发送 业务信息系统 控制措施 应建立组织与外部团体交换信息和软件的协议。 控制措施 包含信息的介质在组织的物理边界以外运送时，应防止未授权的访 问、不当使用或毁坏。 A.10.8.4 A.10.8.5 控制措施 包含在电子消息发送中的信息应给予适当的保护。 控制措施 应建立并实施策略和程序，以保护与业务信息系统互联相关的信息。 A.10.9 电子商务服务 目标：确保电子商务服务的及其使用。 A.10.9.1 电子商务 控制措施 包含在使用公共网络的电子商务中的信息应受保护，以防止欺诈活 动、合同争议和未授权的泄露和修改。 A.10.9.2 在线交易 控制措施 包含在在线交易中的信息应受保护，以防止不完全传输、错误路由、 未授权的消息篡改、未授权的泄露、未授权的消息复制或重放。 A.10.9.3 公共可用信息 控制措施 在公共可用系统中可用信息的完整性应受保护，以防止未授权的修 改。 A.10.10 监视 目标：检测未经授权的信息处理活动。 A.10.10.1 审核日志 控制措施 应产生记录用户活动、异常和信息事态的审核日志，并要保持一 个已设的周期以支持将来的调查和访问控制监视。 A.10.10.2 A.10.10.3 监视系统的使 用 日志信息的保 护 管理员和操作 员日志 故障日志 时钟同步 控制措施 应建立信息处理设施的监视使用程序，监视活动的结果要经常评审。 控制措施 记录日志的设施和日志信息应加以保护，以防止篡改和未授权的访 问。 A.10.10.4 A.10.10.5 A.10.10.6 控制措施 系统管理员和系统操作员活动应记入日志。 控制措施 故障应被记录、分析，并采取适当的措施。 控制措施 一个组织或域内的所有相关信息处理设施的时钟应使用已设的 时间源进行同步。 A.11 访问控制 A.11.1 访问控制的业务要求 目标：控制对信息的访问。 A.11.1.1 访问控制策略 控制措施 访问控制策略应建立、形成文件，并基于业务和访问的要求进行 评审。 A.11.2 用户访问管理 目标：确保授权用户访问信息系统，并防止未授权的访问。 A.11.2.1 用户注册 控制措施 应有正式的用户注册及注销程序，来授权和撤销对所有信息系统及服 务的访问。 A.11.2.2 A.11.2.3 A.11.2.4 特殊权限管理 用户口令管理 用户访问权的 复查 控制措施 应限制和控制特殊权限的分配及使用。 控制措施 应通过正式的管理过程控制口令的分配。 控制措施 管理者应定期使用正式过程对用户的访问权进行复查。 A.11.3 用户职责 目标：防止未授权用户对信息和信息处理设施的访问、危害或窃取。 A.11.3.1 A.11.3.2 A.11.3.3 口令使用 无人 值守的用 户设备 清空桌面和屏 幕策略 控制措施 应要求用户在选择及使用口令时，遵循良好的习惯。 控制措施 用户应确保无人值守的用户设备有适当的保护。 控制措施 应采取清空桌面上文件、可移动存储介质的策略和清空信息处理设施 屏幕的策略。 A.11.4 网络访问控制 目标：防止对网络服务的未授权访问。 A.11.4.1 A.11.4.2 A.11.4.3 A.11.4.4 A.11.4.5 A.11.4.6 使用网络 服务 的策略 外部连接的用 户鉴别 网络上的设备 标识 远程诊断和配 置端口的保护 网络隔离 网络连接控制 控制措施 用户应仅能访问已获专门授权使用的服务。 控制措施 应使用适当的鉴别方法以控制远程用户的访问。 控制措施 应考虑自动设备标识，将其作为鉴别特定位置和设备连接的方法。 控制措施 对于诊断和配置端口的物理和逻辑访问应加以控制。 控制措施 应在网络中隔离信息服务、用户及信息系统。 控制措施 对于共享的网络，特别是越过组织边界的网络，用户的联网能力应按 照访问控制策略和业务应用要求加以限制（见 11.1）。 A.11.4.7 网络路由控制 控制措施 应在网络中实施路由控制，以确保计算机连接和信息流不违反业务应 用的访问控制策略。 A.11.5 操作系统访问控制 目标：防止对操作系统的未授权访问。 A.11.5.1 A.11.5.2 登录程序 用户标识和鉴 别 控制措施 访问操作系统应通过登录程序加以控制。 控制措施 所有用户应有 的、 其个人使用的标识符（用户 ID），应选择 一种适当的鉴别技术证实用户所宣称的身份。 A.11.5.3 A.11.5.4 口令管理系统 系统实用工具 的使用 会话超时 联机时间的限 定 控制措施 口令管理系统应是交互式的，并应确保优质的口令。 控制措施 可能超越系统和应用程序控制的实用工具的使用应加以限制并严格 控制。 A.11.5.5 A.11.5.6 控制措施 不活动会话应在一个设定的休止期后关闭。 控制措施 应使用联机时间的限制，为高风险应用程序提供额外的。 A.11.6 应用和信息访问控制 目标：防止对应用系统中信息的未授权访问。 A.11.6.1 信息访问限制 控制措施 用户和支持人员对信息和应用系统功能的访问应依照已确定的访问 控制策略加以限制。 A.11.6.2 敏感系统隔离 控制措施 敏感系统应有专用的（隔离的）运算环境。 A.11.7 移动计算和远程工作 目标：确保使用可移动计算和远程工作设施时的信息。 A.11.7.1 移动计算和通 信 远程工作 控制措施 应有正式策略并且采用适当的措施，以防范使用移动计算和通信 设施时所造成的风险。 A.11.7.2 控制措施 应为远程工作活动开发和实施策略、操作计划和程序。 A.12 信息系统获取、开发和维护 A.12.1 信息系统的要求 目标：确保是信息系统的一个有机组成部分。 A.12.1.1 要 求分析 和说明 控制措施 在新的信息系统或增强已有信息系统的业务要求陈述中，应规定对安 全控制措施的要求。 A.12.2 应用中的正确处理 目标：防止应用系统中的信息的错误、遗失、未授权的修改及误用。 A.12.2.1 A.12.2.2 输入数据验证 内部处理的控 制 消息完整性 控制措施 输入应用系统的数据应加以验证，以确保数据是正确且恰当的。 控制措施 验证检查应整合到应用中，以检查由于处理的错误或故意的行为造成 的信息的讹误。 A.12.2.3 控制措施 应用中的确保真实性和保护消息完整性的要求应得到识别，适当的控 制措施也应得到识别并实施。 A.12.2.4 输出数据验证 控制措施 从应用系统输出的数据应加以验证，以确保对所存储信息的处理是正 确的且适于环境的。 A.12.3 密码控制 目标：通过密码方法保护信息的保密性、真实性或完整性。 A.12.3.1 A.12.3.2 使用密码控制 的策略 密钥管理 控制措施 应开发和实施使用密码控制措施来保护信息的策略。 控制措施 应有密钥管理以支持组织使用密码技术。 A.12.4 系统文件的 目标：确保系统文件的 A.12.4.1 A.12.4.2 A.12.4.3 运行软件的控 制 系统测试数据 的保护 控制措施 应有程序来控制在运行系统上安装软件。 控制措施 测试数据应认真地加以选择、保护和控制。 对 程 序 源 代 码 控制措施 的访问控制 应限制访问程序源代码。 A.12.5 开发和支持过程中的 目标：维护应用系统软件和信 息的。 A.12.5.1 变更控制程序 控制措施 应使用正式的变更控制程序控制变更的实施。 A.12.5.2 操作系统变更 后应用的技术 评审 软件包变更的 限制 信息泄露 外包软件开发 控制措施 当操作系统发生变更后，应对业务的关键应用进行评审和测试，以确 保对组织的运行和没有负面影响。 A.12.5.3 控制措施 应对软件包的修改进行劝阻，限制必要的变更，且对所有的变更加以 严格控制。 A.12.5.4 A.12.5.5 控制措施 应防止信息泄露的可能性。 控制措施 组织应管理和监视外包软件的开发。 A.12.6 技术脆弱性管理 目标：降低利用公布的技术脆弱性导致的风险。 A.12.6.1 技 术 脆 弱 性 的 控制措施 应及时得到现用信 息系统技术脆弱性的信息，评价组织对这些脆弱性 控制 的暴露程度，并采取适当的措施来处理相关的风险。 A.13 信息事件管 理 A.13.1 报告信息事态和弱点 目标：确保与信息系统有关的信息事态和弱点能够以某种方式传达，以便及时采取纠正措施 。 A.13.1.1 A.13.1.2 报告信息 事态 报告弱点 控制措施 信息事态应该尽可能快地通过适当的管理渠道进行报告。 控制措施 应要求信息系统和服务的所有雇员、承包方人员和第三方人员记录并 报告他们观察到的或怀疑的任何系统或服务的弱点。 A.13.2 信息事件和改进的管理 目标：确保采用一致和有效的方法对信息事件进行管理。 A.13.2.1 职责和程序 控制措施 应建立管理职责和程序，以确保能对信息事件做出快速、有效和 有序的响应。 A.13.2.2 A.13.2.3 对信息事 件的总结 证据的收集 控制措施 应有一套机制量化和监视信息事件的类型、数量和代价。 控制措施 当一个信息事件涉及到诉讼（民事的或刑事的），需要进一步对 个人或组织进行起诉时，应收集、保留和呈递证据，以使证据符 合相 关诉讼管辖权。 A.14 业务连续性管理 A.14.1 业务连续性管理的信息方面 目标：防止业务活动中断，保护关键业务过程免受信息系统重大失误 或灾难的影响，并确保它们的 及时恢复。 A.14.1.1 业务连续性管 理过程中包含 的信息 业务连续性和 风险评估 制定和实施 包 含信息的 连续性计划 业务连续性计 划框架 测试、维护和 再评估业务连 续性计划 控制措施 应为贯穿于组织的业务连续性开发和保持一个管理过程，以解决组织 的业务连续性所需的信息要求。 A.14.1.2 控制措施 应识别能引起业务过程中断的事态，这种中断发生的概率和影响，以 及它们对信息所造成的后果。 A.14.1.3 控制措施 应制定和实施计划来保持或恢复运行，以在关键业务过程中断或失败 后能够在要求的水平和时间内确保信息的可用性。 A.14.1.4 控制措施 应保持一个 的业务连续性计划框架，以确保所有计划是一致的， 能够协调地解决信息要求，并为测试和维护确定优先级。 A.14.1.5 控制措施 业务连续性计划应定期测试和更新，以确保其及时性和有效性。 A.15 符合性 A.15.1 符合法律要求 目标：避免违反任何法律、法令、法规或合同义务，以及任何要求。 A.15.1.1 可用法律的 识 别 控制措施 对每一个信息系统和组织而言，所有相关的法令、法规和合同要求， 以及为满足这些要求组织所采用的方法，应加以明确地定义、形 成文 件并保持更新。 A.15.1.2 知 识 产 权 （IPR） 保护组织的记 录 数据保护和个 人信息的隐私 控制措施 应实施适当的程序，以确保在使用具有知识产权的材料和具有所有权 的软件产品时，符合法律、法规和合同的要求。 A.15.1.3 控制措施 应防止重要的记录遗失、毁坏和伪造，以满足法令、法规、合同和业 务的要求。 A.15.1.4 控制措施 应依照相关的法律、法规和合同条款的要求，确保数据保护和隐私。 A.15.1.5 A.15.1.6 防止滥用信息 处理设施 密码控制措施 的规则 控制措施 应禁止用户使用信息处理设施用于未授权的目的。 控制措施 使用密码控制措施应遵从相关的协议、法律和法规。 A.15.2 符合策略和标准以及技术符合性 目标：确保系统符合组织的策略及标准。 A.15.2.1 符合策略 和标准 技术符 合性检 查 控制措施 管理人员应确保在其职责范围内的所有程序被正确地执行，以确 保符合策略及标准。 A.15.2.2 控制措施 信息系统应被定期检查是否符合实施标准。 A.15.3 信息系统审核考虑 目标：将信息系统审核过程的有效性 化，干扰小化。 A.15.3.1 信息系统审核 控制措施 信息系统 审核 工具的保护 控 制措施 涉及对运行系统检查的审核要求和活动，应谨慎地加以规划并取得批 准，以便小化造成业务过程中断的风险。 A.15.3.2 控制措施 对于信息系统审核工具的访问应加以保护，以防止任何可能的滥用或 损害。