管理評(píng)審控制程序制定單位：信息安全部制定日期：2021年11月18日序號(hào)修訂日期修訂條款修訂內(nèi)容12021年11月18日制訂V1.0修訂為/2年月日章條款修訂為3年月日章條款修訂為4年月日章條款修訂為5年月日章條款修訂為6年月日章條款修訂為修訂記錄注：制度的修訂直接于正文完成，“修訂記錄”僅記錄修訂痕跡。管理評(píng)審控制程序文件編號(hào)：ISMS-2013第一條范圍本程序?qū)π畔踩芾眢w系中要求進(jìn)行的管理評(píng)審的實(shí)施程序作規(guī)定。第二條目的為確保公司信息安全管理體系持續(xù)的適宜性、充分性和有效性，評(píng)估公司信息安全管理體系改進(jìn)和變更的需要，包括信息安全方針、目標(biāo)，特制定本程序。第三條職責(zé)（一）管理者代表負(fù)責(zé)組織內(nèi)部審核活動(dòng)，牽頭成立內(nèi)審小組。（二）各職能部門(mén)配合內(nèi)部審核工作的進(jìn)行。（三）內(nèi)審小組負(fù)責(zé)內(nèi)部審核工作的實(shí)施、不符合項(xiàng)跟蹤與驗(yàn)證及審核資料的管理。第四條實(shí)施程序（一）實(shí)施頻率、時(shí)期管理評(píng)審每年至少進(jìn)行一次，間隔時(shí)間不得超過(guò)12個(gè)月。（二）召集和參加評(píng)審者1.由單位負(fù)責(zé)人指示信息安全管理體系的管理者代表（以下簡(jiǎn)稱管理者代表）召開(kāi)管理評(píng)審會(huì)議。2.參加管理評(píng)審會(huì)議者包括最高管理者、管理者代表及相關(guān)部門(mén)的負(fù)責(zé)人。受召集的人員因不得已的理由而無(wú)法出席時(shí)，可讓其副領(lǐng)導(dǎo)代其出席。3.除了每年定期召開(kāi)一次管理評(píng)審會(huì)議外，最高管理者還可在發(fā)生以下情況時(shí)，指示管理者代表召開(kāi)管理評(píng)審會(huì)議。(1)當(dāng)本公司的產(chǎn)品、過(guò)程、系統(tǒng)、組織機(jī)構(gòu)、人員和資源等有重大變化時(shí)；(2)當(dāng)連續(xù)出現(xiàn)重大信息安全事故時(shí)；(3)當(dāng)相關(guān)方有重大投訴或抱怨時(shí)；(4)內(nèi)部審核、客戶審核或ISO27001：2013外部審核時(shí)，發(fā)現(xiàn)了對(duì)全公司有影響，屬信息安全管理體系上的重大不符合事項(xiàng)時(shí)；(5)ISO27001：2013標(biāo)準(zhǔn)修訂的情況下。（三）評(píng)審程序1.管理者代表和各相關(guān)部門(mén)負(fù)責(zé)人準(zhǔn)備以下資料，在管理評(píng)審中向最高管理者說(shuō)明。管理輸入包括：(1)ISMS審核和評(píng)審的結(jié)果、方針適用性和目標(biāo)完成情況；(2)相關(guān)方的反饋；(3)與信息安全管理體系相關(guān)的外部和內(nèi)部情況的變化；(4)不符合和糾正措施；(5)風(fēng)險(xiǎn)評(píng)估結(jié)果及風(fēng)險(xiǎn)處置計(jì)劃的狀態(tài)；(6)監(jiān)視和測(cè)量結(jié)果；(7)以往管理評(píng)審要求采取措施的狀態(tài)；(8)可能影響ISMS的任何更改；(9)持續(xù)改進(jìn)的機(jī)會(huì)。2.最高管理者接收了上述報(bào)告后，根據(jù)需要確認(rèn)詳細(xì)內(nèi)容，對(duì)信息安全體系的有效性和運(yùn)用狀況進(jìn)行評(píng)價(jià)，對(duì)以下管理評(píng)審輸出作指示。管理評(píng)審輸出：(1)ISMS有效性的改進(jìn)；(2)修改影響信息安全的程序文件，必要時(shí)，對(duì)可能影響ISMS的內(nèi)外事件發(fā)生的變更進(jìn)行對(duì)應(yīng)；這些變更包括：a)業(yè)務(wù)要求；b)安全要求；c)影響現(xiàn)存業(yè)務(wù)要求的業(yè)務(wù)過(guò)程；d)法律法規(guī)環(huán)境；e)風(fēng)險(xiǎn)水平和/或風(fēng)險(xiǎn)接受水平。f)資源的需求。（四）跟蹤1.總裁辦公室編寫(xiě)管理評(píng)審的會(huì)議記錄，經(jīng)過(guò)最高管理者批準(zhǔn)后，發(fā)給各相關(guān)部門(mén)。同時(shí)，通過(guò)文件將最高管理者的指示內(nèi)容發(fā)給處置責(zé)任部門(mén)，委托推進(jìn)糾正措施；2.管理者代表確認(rèn)糾正和預(yù)防措施的實(shí)施日程和進(jìn)度狀況，并將結(jié)果書(shū)面報(bào)告給最高管理者；3.最高管理者針對(duì)上述報(bào)告，作適當(dāng)?shù)闹甘尽＃ㄋ模┕芾碓u(píng)審的記