漳州ISO认证材料-咨询到位 审核顺畅

申请ISO9001认证各部门需要准备哪些文件资料呢？
一、行政部需要准备的资料有：
1、公司人员清单
2、人员入职登记表
3、年度培训计划
4、培训/会议签到表
5、职务职责说明书，每个岗位一份
6、人员需求申请表
7、培训需求申请表
8、文件清单（一、二、三阶文件）
9、文件分发记录表（部门主管签名）
10、外来文件清单（贵公司产品的行业标准）
11、环境、质量、安全管理体系记录表格清单
12、法律法规清单、评价记录
13、公司地理位置图、公司平面图
14、关健岗位资质证书（特种岗位，如电焊工、叉车工）
15、用水、用电、用纸的用量情况统计需同时与上年底进行比对
二、安全管理部门需要准备的资料有：
1.消防器材清单及点检记录
2.消防演习计划、实施记录、总结。
3.安全装置清单、检查记录
4.危险源识别、评估、重大危险源清单。
5.安全管理体系的目标，方案。
6.日常安全检查记录
三、管理者代表准备的文件
1、目标达成情况、近三个月的达成记录
2、年度审核计划表
3、内部审核通知书
4、内审检查表
5、内审不合格报告
6、纠正预防措施报告
7、管理评审计划
8、管理评审报告
9、管理评审各部门输入报告
四、业务部门要准备的资料有：
1.建立客户清单
2.客户投诉一览表
3.纠正及预防措施处理单
4.合约/订单审查记录表
5.客户满意度调查表及调查分析报告
6.客户财产清单
7.近三个月的客户订单，每种产品各一份，每月至少3次客户订单
8.以上对应订单的送货单
五、采购部要准备的资料包括：
1.供应商清单
2.供应商评价）
3.供应商资质
4.供应商业绩统计
5.采购月或周计划表
6.近三个月的采购订单
六、生产部需准备的资料
1.生产设备清单
2.生产设备保养计划
3.生产设备点检记录
4.生产计划表
5.不良品处理记录
6.每个工位、步骤或机台的操作书
七、品质部要准备的资料有：
1.进货检验报告
2.制程验验报告
3.出货检验报告
4.检验作业书
5.量测设备清单
6.量测设备校正记录
7.近期的纠正预防处理单
权限
因工作需要，借阅其他部门的秘密记录，应获得记录保管部门经理授权后方可借阅，并填写《记录借阅登记表》，留下授权记录。
控制
借阅者在借阅期内不得改动记录,借阅完毕后,保管部门经理其访问阅读权限。
记录的销毁
废弃
**过保管期限的记录，应填写《记录销毁记录表》，经本部门高管批准后，由保管部门作为秘密文件处理废弃。

1 计划
导出《信息安全风险处置计划》。
2 报告
风险评估小组导出《信息安全风险评估报告》,陈述信息安全管理现状，分析存在的信息安全风险，提出信息安全管理（控制）的建议与措施，提交总经办进行审核。
3 审核
总经办考虑成本与风险的关系，对《信息安全风险评估报告》及《信息安全风险处置计划》的相关内容审核，对认为不合适的控制或风险处理方式等提出说明，由风险评估小组协同相关部门重新考虑总经办的意见，选择其他的控制或风险处理方式，并重新提交总经办审核，由管理者代表批准实施。
4 实施
各责任部门按照批准后的《信息安全风险处置计划》的要求采取有效安全控制措施，确保所采取的控制措施是有效的。

不符合和预防措施信息来源
a) 组织内、外部审核中发现的问题；
b) 日常信息安全管理检查、及技术检查中指出的不符合项；
c) 突发的信息安全事件；
d) 相关方的建议或抱怨；
e) 风险评估报告。
f) 相关方的建议或抱怨；
g) 组织内外安全事件记录、事故报告、薄弱点报告；
h)
不符合项分析
各部门对本部门产生的不符合，应分析产生的原因，评价纠正预防措施的需求。
纠正预防措施
采取纠正预防措施应与问题的影响程度相适应，对于信息系统发现报告的重大安全隐患（安全薄弱点)，办公室应组织有关部门进行原因分析，采取预防措施，对于以下情况的不符合应采取纠正措施：
a) 可能造成信息安全事故；
b) 可能影响顾客满意程度、造成顾客抱怨与投诉；
c) 可能影响本公司的企业形象与经济利益；
d) 可能造成生产经营业务中断。
重大事件范畴
对于信息系统的重大事件，办公室应进行原因分析，采取纠正预防措施，以下事件属于重大事件范畴：
a) 网络遭受大规模病毒攻击；
b) 组织信息资产被盗用。
纠正预防措施批准
需制定纠正预防措施时，应将不符合原因填入《不符合项报告及纠正预防报告单》，制定纠正预防措施对策，经办公室批准后予以实施。
纠正措施结果记录
实施纠正预防措施的部门应按照《不符合项报告及纠正预防报告单》要求认真执行，并将执行结果记入相应《不符合项报告及纠正预防报告单》中。

1 要求
应对所有的重要资产进行风险评估，评估应考虑威胁、脆弱性、威胁事件发生的可能性和威胁事件发生后对资产造成的影响程度及已经采取的措施等方面因素。
2 识别威胁
威胁是对组织及其资产构成潜在破坏的可能性因素，造成威胁的因素可分为人为因素和环境因素。威胁作用形式可以是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、等，在保密性、完整性或可用性等方面造成损害；也可能是偶发的、或蓄意的事件。
威胁可基于表现形式分类。例如可分为软硬件故障、物理环境威胁、无作为或操作失误、管理不到位、恶意代码和病毒、越权或滥用、网络攻击、攻击技术、物理攻击、泄密信息、篡改、抵赖等。
各部门根据资产本身所处的环境条件，识别每个资产所面临的威胁。
3 识别脆弱性
脆弱性是对一个或多个资产弱点的总称。脆弱性是资产本身存在的，如果没有相应的威胁发生，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，再严重的威胁也不会导致安全事件，并造成损失。即，威胁总是要利用资产的弱点才可能造成危害。
资产的脆弱性具有隐蔽性，有些弱点只有在一定条件和环境下才能显现，这是脆弱性识别中为困难的部分。需要注意的是，不正确的、起不到应有作用的或没有正确实施的安全措施本身就可能是一个脆弱性。
脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的脆弱性，并对脆弱性的严重程度进行评估。脆弱性识别时的数据应来自于资产的所有者、使用者，以及相关业务领域的和软硬件方面的人员。
脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。
ISO分内审和外审，内审是公司内部人员，要做的就是在外审的要求下使企业达到ISO的标准，ISO有一套完整的书面的要求，内审照着做就行。然后找一家有资质的认证机构，他们会给你派来外审，外审会经常来给你看看和（当然要钱的，而且挺贵，但没办法，一定要花），验收，就完事了。认证这个对内部来说可以提升企业的质量等管理，对外来说提升了企业形象，多少有用。你不*于紧张，应该可通过。
http://lsjsqd.b2b168.com