研究的必要性
? ? ? ?隨著“互聯(lián)網(wǎng)+”的廣泛應(yīng)用，組織管理的信息化程度逐漸提高，管理體系的實施也得到更多信息技術(shù)的支撐，特別是信息安全管理體系、信息技術(shù)服務(wù)管理體系、數(shù)據(jù)安全管理、業(yè)務(wù)連續(xù)性管理體系等更是因為信息技術(shù)的發(fā)展而存在，組織的管理過程也更多依賴信息技術(shù)來實現(xiàn)。但這會導(dǎo)致審核證據(jù)的體現(xiàn)更隱蔽，需要通過專業(yè)技術(shù)手段獲取且需要花費大量的時間，傳統(tǒng)的認(rèn)證模式和審核員能力均無法滿足認(rèn)證審核的需要。因此，需要考慮通過優(yōu)化認(rèn)證模式來改善當(dāng)前的認(rèn)證現(xiàn)狀。
? ? ? ?新的認(rèn)證模式增加自評價評審和技術(shù)驗證，可以更充分地獲取組織信息，也補充了審核人員技術(shù)能力的不足。除此之外，還可以提高認(rèn)證信息的復(fù)用，降低申請認(rèn)證組織的成本，提高認(rèn)證的充分性，有助于組織管理能力的自主提升。
基于“互聯(lián)網(wǎng)+”的認(rèn)證模式
? ? ? ?認(rèn)證模式
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式是在傳統(tǒng)認(rèn)證模式的基礎(chǔ)上建立的綜合自評價評審、技術(shù)驗證、現(xiàn)場評審、證后監(jiān)督的認(rèn)證模式，其中自評價評審和技術(shù)驗證是基于“互聯(lián)網(wǎng)+”的認(rèn)證模式新增的兩種方式，下面分別加以介紹：
? ? ? ? 1.自評價評審
? ? ? ? 自評價評審是建立在組織自評價基礎(chǔ)上進行的評審活動。所謂自評價就是組織依據(jù)認(rèn)證依據(jù)（管理體系認(rèn)證標(biāo)準(zhǔn)）對自身符合標(biāo)準(zhǔn)的情況進行評價，自評價的材料組織在提交申請材料的時候一起提交給認(rèn)證機構(gòu)，自評價主要考慮以下幾個方面：
? ? ? （1） 組織的規(guī)范化程度是否滿足標(biāo)準(zhǔn)要求，包括針對標(biāo)準(zhǔn)要求建立規(guī)范化制度或工具是否充分和適宜，主要體現(xiàn)在提供制度和工具描述；
? ? ? （2） 組織的制度和工具的運行情況，包括制度和工具是否得到執(zhí)行，執(zhí)行是否規(guī)范和有效，主要體現(xiàn)在運行證據(jù)的提供；
? ? ? （3） 組織的資源保障情況，包括識別出所需要的資源和資源提供情況，主要體現(xiàn)在資源保障相關(guān)證據(jù)上；
? ? ? （4） 組織的技術(shù)應(yīng)用情況，包括使用的系統(tǒng)、平臺、工具和技術(shù)方法，組織需要提供技術(shù)功能和配置描述。
? ? ? ?組織完成自評價后，將自評價材料同認(rèn)證申請材料一同提交認(rèn)證機構(gòu)，認(rèn)證機構(gòu)將在申請評審后、現(xiàn)場審核之前安排自評價評審，對組織的管理體系建設(shè)運行情況進行初步了解。
? ? ? ?自評價評審是認(rèn)證組織對自評價的結(jié)果和相關(guān)證據(jù)進行評審的活動，并給出評審結(jié)論。
通過自評價，組織可以了解自身體系的運行情況，可以促進組織管理能力的自主提升；通過自評價評審，認(rèn)證機構(gòu)可以更充分地了解和獲得審核證據(jù)，提高審核證據(jù)的充分性。
? ? ? ?2.技術(shù)驗證
? ? ? ?技術(shù)驗證通過人工或技術(shù)手段對認(rèn)證申請組織的管理體系的技術(shù)實現(xiàn)情況進行審核，由專業(yè)的技術(shù)人員在現(xiàn)場審核之前獨立進行，形成技術(shù)驗證報告，在技術(shù)驗證過程中如果發(fā)現(xiàn)技術(shù)實現(xiàn)無法滿足管理目的甚至無法滿足管理要求，可以給組織一定的時間進行整改完善。技術(shù)驗證的結(jié)果可作為現(xiàn)場審核的輸入，由于技術(shù)驗證過程中，部分技術(shù)實現(xiàn)的管理要求已經(jīng)得到了驗證，同時技術(shù)驗證獲得的審核證據(jù)對后續(xù)的現(xiàn)場審核工作具有輔助作用（例如技術(shù)無法實現(xiàn)管理目的，可能是技術(shù)能力問題也可能是技術(shù)管理的問題），現(xiàn)場審核時審核員可以進一步跟蹤從而更具體和深入地獲得審核證據(jù)，從而可以充實審核組現(xiàn)場審核的取證內(nèi)容和減少取證時間，同時可以提高審核證據(jù)的充分性和效用。
? ? ? ?認(rèn)證工具
? ? ? ?認(rèn)證程序的變化需要得到認(rèn)證工具的支持才能更好地實施，傳統(tǒng)的認(rèn)證工具多以檢查表的方式出現(xiàn)，需要組織和認(rèn)證審核人員進行填寫，由于時間精力有限，檢查表的內(nèi)容通常都比較簡單，很難實現(xiàn)審核結(jié)論的追溯，證據(jù)也不能很好地體現(xiàn)。為了解決這些問題，基于“互聯(lián)網(wǎng)+”的認(rèn)證工具需要實現(xiàn)以下幾個目的：
? ? ? ?建立管理體系的組織容易理解和執(zhí)行的自評價；
? ? ? ?認(rèn)證機構(gòu)能夠?qū)Λ@得的自評價信息進行評審和整理；
? ? ? ?自評價和審核信息能夠很好地得到復(fù)用，逐年降低自評價和審核的難度和復(fù)雜度；
? ? ? ?評價方式合理，能夠自動產(chǎn)生評價結(jié)果；
? ? ? ?易操作和使用。
? ? ? ?基于上述目的，我們設(shè)計了管理體系評價工具，由于組織信息的保密程度不同，工具考慮了云模式和內(nèi)網(wǎng)模式。
? ? ? ?工具的重點在知識庫的建立，包括：
? ? ? ?標(biāo)準(zhǔn)庫，也就是認(rèn)證依據(jù)；
? ? ? ?自評價信息庫，用于指導(dǎo)組織完成自評價工作，自評價信息庫可以采用設(shè)置問題的方式，組織通過回答問題，提交證據(jù)來完成自評價；
? ? ? ?評價模型，通過對自評價的答案或?qū)徍私Y(jié)果進行評價，得出評價或?qū)徍私Y(jié)論，評價的方式可以是評分或者給出結(jié)論的方式進行。
? ? ? ?在知識庫的基礎(chǔ)上，工具需要實現(xiàn)以下主要功能：
? ? ? ?組織角色設(shè)置；
? ? ? ?組織自評價任務(wù)管理；
? ? ? ?組織自評價及評價結(jié)果匯總分析；
? ? ? ?自評價評審；
? ? ? ?審核計劃生成；
? ? ? ?審核記錄；
? ? ? ?審核信息匯總分析，形成結(jié)論；
? ? ? ?審核報告生成。
? ? ? ?云模式下的工具，上述功能生成的信息通過互聯(lián)網(wǎng)進行傳遞；內(nèi)網(wǎng)模式下的工具，可以通過其他加密的方式進行信息的傳遞。
? ? ? ?認(rèn)證實施
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式并不是從簡化認(rèn)證的角度出發(fā)，更多是通過“互聯(lián)網(wǎng)+”的手段，提高認(rèn)證的價值和意義，因此在認(rèn)證實施過程中根據(jù)組織情況和涉及的體系不同，可以靈活增加更多的審核方式，以確保審核的充分性。
? ? ? ?1.認(rèn)證程序
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的實施主要包括：認(rèn)證申請、 申請評審、自評價評審、技術(shù)驗證、現(xiàn)場審核安排及實施、認(rèn)證決定、證后監(jiān)督和再認(rèn)證，其中監(jiān)督審核和再認(rèn)證與初次認(rèn)證的過程一致。
新認(rèn)證模式的實施程序主要是增加了自評價評審和技術(shù)驗證，減少了傳統(tǒng)的一階段審核。
? ? ? ?2.自評價評審實施
? ? ? ?組織完成自評價后，需向認(rèn)證機構(gòu)提交自評價的結(jié)果和相關(guān)證據(jù)，由認(rèn)證機構(gòu)進行自評價評審，在自評價評審的過程中，評審人員可以根據(jù)組織提供信息準(zhǔn)確程度、完整程度、可信程度和風(fēng)險級別確定相關(guān)條款現(xiàn)場審核方式和程度，如果組織提供的信息準(zhǔn)確、完整、可信且風(fēng)險比較低，那么相關(guān)條款就可以不再進行現(xiàn)場審核，其他的證據(jù)可以根據(jù)情況分別進行補充取證、重新取證或現(xiàn)場驗證的方式進行現(xiàn)場審核。
? ? ? ?3.技術(shù)驗證實施
? ? ? ?技術(shù)驗證在自評價評審結(jié)束以后開展，認(rèn)證機構(gòu)根據(jù)組織在自評價材料中提供的信息，確定技術(shù)驗證的范圍和對象，確定技術(shù)驗證方案和指標(biāo)，從而有針對性地進行技術(shù)驗證工作，形成技術(shù)驗證報告。
? ? ? ?4.現(xiàn)場審核實施
? ? ? ?通過自評價評審，認(rèn)證機構(gòu)已經(jīng)掌握了管理體系一階段審核除現(xiàn)場確認(rèn)外要收集的所有信息，也為現(xiàn)場審核提供了充分的輸入，認(rèn)證機構(gòu)不必再分成兩個階段進行審核。對于一階段不去現(xiàn)場帶來的風(fēng)險可以用兩種方式來解決：一種方式是認(rèn)證組織可以通過聲明、合同等方式將風(fēng)險轉(zhuǎn)移給申請組織，由此帶來的損失由組織承擔(dān)；另一種方式是組織可以建立誠信檔案，對于誠信度高的組織可以多采信從而降低費用的方式進行鼓勵。
? ? ? ?對于現(xiàn)場審核，由于已經(jīng)獲取了大量的證據(jù)，認(rèn)證機構(gòu)可以根據(jù)自評價評審的結(jié)論對不同條款選擇不同方式進行審核，包括以下幾種：
? ? ? ?直接采用組織的證據(jù)不再審核；
? ? ? ?在組織提供證據(jù)的基礎(chǔ)上，補充取證；
? ? ? ?在組織提供證據(jù)的基礎(chǔ)上，對證據(jù)進行現(xiàn)場驗證；
? ? ? ?在組織提供證據(jù)的基礎(chǔ)上，重新進行審核，獲取證據(jù)。
? ? ? ?通過上述方式，可以不同程度地減少現(xiàn)場審核的內(nèi)容，申請認(rèn)證的組織和認(rèn)證機構(gòu)都可以從中獲益。
對基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的思考
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式還存在著一定的不足，其便利性和安全性是下一步考慮的重點。目前各種監(jiān)控系統(tǒng)和數(shù)據(jù)抓取工具已經(jīng)相對比較成熟，如果認(rèn)證工具能夠更好地與這些工具結(jié)合，通過數(shù)據(jù)獲取和分析，可以更好地對組織的管理體系運行情況進行了解和提供服務(wù)。當(dāng)然這對于認(rèn)證機構(gòu)和受審核組織來說都將是很大的挑戰(zhàn)，如何設(shè)計數(shù)據(jù)獲取的方式和內(nèi)容，如何保證數(shù)據(jù)的安全性，如何避免組織的商業(yè)秘密泄露，無疑將成為認(rèn)證機構(gòu)和受審核組織雙方需要考慮的問題。推動改革的是認(rèn)證機構(gòu)服務(wù)的對象，但改革的引導(dǎo)責(zé)任還應(yīng)該在認(rèn)證機構(gòu)身上，因此，基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的發(fā)展任重而道遠(yuǎn)。
? ? ? ?技術(shù)的發(fā)展不僅改變了管理體系的認(rèn)證模式，也將改變管理體系認(rèn)證的意義。隨著互聯(lián)網(wǎng)和大數(shù)據(jù)的發(fā)展，作為傳遞信任的認(rèn)證行業(yè)也將迎來變革，基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的探索僅僅是個開始，隨著應(yīng)用和推廣、優(yōu)化和改進，一定可以更好地服務(wù)社會。