(2020年最新版本)管理评审控制程序.pdfVIP

文件名称 管理评审控制程序 版 次 A/0 页码 文件编号 日 期 1 /5 1 目的 为确保信息安全管理体系持续的适宜性、充分性、有效性，对信息安全管理体系、信息安全方针 / 服务 方针和信息安全管理目标 / 服务目标进行定期评审，并保证与法律、法规、公司其他制度、原则性文件不 相悖的前提下制定本程序。 信息安全体系： ISO27001 体系 2 适用范围 本程序适用于最高管理者对信息安全管理体系的评审。 3 职责与权限 3.1 公司高管 主持召开管理评审大会； 批准《管理评审报告》 3.2 管理者代表 批准《管理评审计划》 ； 组织召开管理评审会； 组织撰写《管理评审报告》 3.3 主管体系建设部门（人事部） 制定《管理评审计划》 ； 负责搜集并提供管理评审资料； 负责对评审后的纠正、预防措施进行跟踪和验证 3.4 各部门 准备、提供与本部门工作相关的评审所需资料； 负责实施管理评审中提出的相关的纠正、预防措施 文件名称 管理评审控制程序 版 次 A/0 页码 文件编号 日 期 2 /5 4 程序和工作流程 4.1 制定年度管理评审计划 4.1.1 年度管理评审计划 组织主管部门根据信息安全管理体系 /IT 服务管理体系的运营情况，根据《信息安全管理手册》以 及 ISO27001 的标准要求，于每年年初制定《年度管理评审计划》 。 管理评审计划由管理者代表审批后方可生效。 4.1.2 年度管理评审计划的内容 管理评审计划的主要内容包括：审核目的、审核范围、审核准则、审核组的组建、审核员的资质 等的要求、审核的时间、参与评审的部门等。 4.1.3 管理评审的频次 管理评审一般每年进行一次，一般在同一年度最后一次内部审核完成后进行。也可根据需要安排。 当出现下列情况之一时可适当增加管理评审频次： ① 公司组织机构、服务范围、资源配置发生重大变化时； ② 发生重大信息安全事故或关于信息安全有严重投诉或投诉连续发生时； ③ 当法律、法规、标准及其他要求有变化时； ④ 市场需求发生重大变化时； ⑤ 即将进行第二、三方审核时； ⑥ 审核中发现严重不合格时。 4.2 管理评审的准备 4.2.1 《管理评审计划》 管理评审实施计划由主管体系建设部门组织制定。 主管体系建设的部门于每次管理评审前一个月编制《管理评审计划》 ，报管理者代表审批。计划主要内 容包括： 文件名称 管理评审控制程序 版 次 A/0 页码 文件编号 日 期 3 /5 ① 评审时间； ② 评审目的； ③ 评审依据； ④ 评审内容； ⑤ 评审范围及评审重点； ⑥ 参加评审部门（人员）； ⑦ 各部门应该准备的资料以及提交时间。 4.2.2 资料准备 预定评审前一周，主管体系建设的部门组织、指导、督促各部门完成本部门应该提交的 资料，以书面形式向管理者代表汇报。管理者代表认为资料准备不全，信息不够充分的，主 管体系建设的部门组织相关责任部门按照管理者代表的要求进一步补充完善。 4.3 管理评审输入 对于信息安全管理体系，管理评审时主要应考虑如下内容： ① 信息安全方针的适宜性； ② 内部审核