沟通ISO9001认证体系质量方针 本条旨在确保质量方针在组织人员中得到沟通、理解和应用以使其能够为质量管理体系的有效性做出贡献并确保有关相关方可以获取质量方针。 组织应确保质量方针易于获取并保持成文信息。为使质量方针持续有效组织应定期进行评审以便确定质量方针是否仍与组织的宗旨相适应。例如可将这种评审作为管理评审过程的一部分(见ISO9001认证标准9.3)。 组织需要确保质量方针在整个组织内都能得到清晰的理解这可通过考虑组织内不同层次人员的意识(见ISO9001认证标准7.3)和沟通的要求(见ISO9001认证标准7.4)来实现。质量方针可通过不同的方法进行沟通如公告栏、屏保程序、组织的网站或例行会议等。 组织应在适宜时让有关相关方(如外部供方、合作伙伴、顾客和监管机构等)能够获取其质量方针。 组织可根据相关方的要求提供质量方针或在网站上发布质量方针。

ISO13485认证风险管理的新要求 1、产品定性或定量特征的判定: 1.1产品的预期用途和使用应规定产品预期在何种环境下使用、操作者应具有的技能和进行的培训。 1.2产品中使用的材料／部件应考虑的因素包括与性有关的特征是否已知。 1.3产品是否以无菌的形式提供应考虑的因素包括产品是预期一次性使用还是重复使用、采用何种包装、贮存寿命及使用的灭菌处理形式。 1.4产品是否有限定的贮存寿命 应考虑的因素包括贴标签或标志及此类产品的处置。 2、对产品可能造成伤害的潜在源，一般涉及以下方面： 2.1环境危害：因废物或器械处置的污染 2.2使用的危害： a)不适当的标签； b)不适当的使用前检查说明书； 2.3功能失效、维护及老化引起的危害： a)与预期用途不相适应的性能特征。 b)不适当的重复使用。 c)缺乏适当的寿命终止规定。 d)不适当的包装及存放环境 3、对每项危害的风险估计 3.1针对判定的每项可能的危害，利用可得到的有效数据/资料、 相关标准、医学证明、适当的调查结果，评估在正常和失效两种状态下的所有风险。 3.2评估时可采用定量或定性的方法进行根据需要可选用潜在失效模式和效应分析、故障树分析及危害和可操作性研究。 4、风险评审 4.1经过对危害的风险评估，确定其是否在可接受的水平。 4.2若某项危害风险超出了可接受水平，则应对此项危害采取措施，降低风险。 提交 4.3若危害仅在故障发生时才超出可接受水平，则应说明： a)危害发生前，使用者能否发现故障； b)故障能否通过生产控制或性维护； c)误用能否导致故障； d)能否增加报警。 5、风险降低及防范措施 风险可以通过以下适当手段得到降低并达到可以接受的水平。 5.1直接手段：即从设计开发方面予以控制。 5.2间接手段：即从防范措施方面予以控制。 5.3附有说明的方式：即从产品的使用时间和频次、限制用途、寿命或环境等方面进行控制。 6、其它危害的产生 确定在降低风险过程中是否会引起新的危害产生。 7、所有已判定危害的评估 若对所有的危害项都估计了风险并在可接受水平时，则可进8，否则退回至3。 8、风险分析报告 8.1应将风险分析的结果形成文件，从而可以在考虑到的产品的预期应用和用途的条件下，对已判定的危害是否可以接受作出决断。 8.2当有新的资料／数据可应用时，应考虑进行一次新的风险分析。如随时间的推移风险起了变化及快速发展的技术有可能、增加或降低任一特定危害的风险及新的风险可能出现或首次被判定，都应考虑进行一次新的风险分析。

　ISO27001认证体系建设分为四个阶段：实施风险评估、规划体系建设方案、建立信息管理 体系、体系运行及改进。也符合信息管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保护企业信息系统的，确保信息的持续发展。 　　1、确立范围 　　首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑 内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等;外部机构：则包括 公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。 　　从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机 系统正常运行的设施。包括机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质 ，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库 、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息 系统中传输以及存储的数据;管理：包括策略、规章制度、人员组织、开发、项目管理 和系统管理人员在日常运维过程中的合规、审计等。 　　2、风险评估 　　企业信息是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供、可信的服 务，保证信息系统的可用性、完整性和保密性。 　　本次进行的评估，主要包括两方面的内容： 　　2.1、企业管理类的评估 　　通过企业的控制现状调查、访谈、文档研读和ISO27001的 实践比对，以及在行业的经验上 进行“差距分析”，检查企业在控制层面上存在的弱点，从而为措施的选择提供依据。 　　评估内容包括ISO27001所涵盖的与信息管理体系相关的11个方面，包括信息策略、组 织、资产分类与控制、人员、物理和环境、通信和操作管理、访问控制、系统开发与维护、安 全事件管理、业务连续性管理、符合性。 　　2.2、企业技术类评估 　　基于资产等级的分类，通过对信息设备进行的扫描、设备的配置，检查分析现有网络 设备、服务器系统、终端、网络架构的现状和存在的弱点，为加固提供依据。 　　针对企业具有代表性的关键应用进行评估。关键应用的评估方式采用渗透测试的方法，在应用 评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的目标之间的差距，为后期改造提 供依据。 　　提到评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点 ，同时结合企业自身的特点，建立风险评估模型： 　　在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信 息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威 胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属 性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。 　　3、规划体系建设方案 　　企业信息问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息体系 ，并终落实到管理措施和技术措施，才能确保信息。 　　规划体系建设方案是在风险评估的基础上，对企业中存在的风险提出建议，增强系统的安 全性和抗攻击性。 　　在未来1-2年内通过信息体系制的建立与实施，建立组织，技术上进行审计、内外网隔 离的改造、产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息体系 和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，为主，防治结合 的先进型企业。 　　4、企业信息体系建设 　　企业信息体系建立在信息模型与企业信息化的基础上，建立信息管理体系核心可以更 好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复 (Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。 　　体系的建设一是涉及管理制度建设完善;二是涉及到信息技术。首先，针对管理制 度涉及的主要内容包括企业信息系统的总体方针、技术策略和管理策略等。总体方针 涉及组织机构、管理制度、人员管理、运行维护等方面的制度。技术策略涉 及信息域的划分、业务应用的等级、保护思路、说以及进一步的统一管理、系统分级、网络互 联、容灾备份、集中监控等方面的要求。 　　其次，信息技术按其所在的信息系统层次可划分为物理技术、网络技术、系统技 术、应用技术，以及基础设施平台;同时按照技术所提供的功能又可划分为保护类、检 测跟踪类和响应恢复类三大类技术。结合主流的技术以及未来信息系统发展的要求，规划信息 技术包括：

1 . 控制所有过程的质量 ISO9001认证标准是建立在“所有工作都是通过过程来完成的”这样一种认识基础上的。一家企业的质量管理就是通过对企业内各种过程进行管理来实现的，这是ISO9001关于质量管理的理论基础。当一家企业为了实施质量体系而进行质量体系策划时，首要的是结合本企业的具体情况确定应有哪些过程，然后分析每一家过程需要开展的质量活动，确定应采取的有效的控制措施和方法。 02 . 控制过程的出发点是不合格 在产品寿命周期的全部阶段，从开始的识别市场需求到***满足要求的全部过程的控制都充分体现为主的思想。比如： ---控制市场调研和营销的质量，在地确定市场需求的基础上，开发新产品，避免盲目开发而带来不适合市场需要而滞销，浪费人力、物力。 ---控制设计过程的质量。通过开展设计评审、设计验证、设计确认等活动，保证设计输出满足输入要求，保证产品符合使用者的需求。避免因设计质量问题，造成产品质量先天性的不合格和缺陷，或给日后的过程带来损失。 ---控制采购的质量。选择合格的供货单位并控制其供货质量，保证生产产品所需要的原材料、外购件、协作件等符合规定的质量要求，避免使用不合格外购产品而影响成品质量。 ---控制生产过程的质量。确定并执行适合的生产方法，使用适合的设备，保持设备正常工作能力和所需要的工作环境，控制影响质量的参数和人员技能，保证制造符合设计要求的质量要求，避免不合格品的生产。 ---控制检验、测量和实验设备的质量，保证使用合格的检测手段开展检验和试验，保证检验和试验结果的有效性，避免因检测手段不合格导致对产品质量不正确的判断公众号：体系管理。 ---控制文件和资料，保证所有的场所使用的文件和资料全是现行有效的，避免使用过时或作废的文件，导致产品或质量体系要素的不合格。 ---纠正和措施。当出现不合格(包括产品的或质量体系的)或顾客投诉时，即应查明原因，针对原因采用纠正措施以避免问题的再出现。还应根据各种质量信息的深入分析，积极主动地发现潜在的问题，避免问题的出现，进而改善产品的质量。 ---全员培训，对所有从事对质量有影响的工作人员都开展培训，保证他们能胜任本岗位的工作，避免因知识或技能的欠缺，导致产品或质量体系的不合格。 03 . 质量管理的中心任务是建立并实施文件化的质量体系。 质量体系是有影响的系统，具备较强的操作性和检查性。要求一个组织所建立的质量体系应形成文件并加以保持。典型质量体系文件的构成分成三个层次，即质量手册、质量体系程序和其它质量文件。质量手册是按组织规定的质量方针和适用ISO9000族标准描述质量体系的文件。质量手册可以包括质量体系程序，也可以指出质量体系程序在何处进行规定。质量体系程序是为了控制每个过程质量，对如何开展各项质量活动规定有效的措施和方法，是有关职能部门使用的文件。 04 . 持续的质量改进 质量改进包括产品质量改善和工作质量改进。争取使顾客满意和实现持续的质量改进应是组织各级管理者追求的永恒目标。没有质量改进的质量体系只能维持质量。质量改进旨在提高质量。 05 . 定期评价质量体系 其目的是确保各项质量活动的实施及其结果符合计划安排，确保质量体系持续的适宜性和有效性。评价时，必须对每一个被评价的过程提出如下三个基本问题： ??A、过程是否被确定?过程程序是否恰当地形成文件? ??B、过程是否被充分展开并按文件要求贯彻实施? ??C、在提供预期结果方面，过程是否有效? 质量的运用是至关重要的，在成都质量管理体系找我们就对了，我们专业、值得信赖。ISO质量、环境、职业三体系是比较完善的管理标准，适用各行各业。成都中联伟业认证有限公司服务质量、履行质量

---