研究的必要性
? ? ? ?隨著“互聯(lián)網(wǎng)+”的廣泛應用，組織管理的信息化程度逐漸提高，管理體系的實施也得到更多信息技術的支撐，特別是信息安全管理體系、信息技術服務管理體系、數(shù)據(jù)安全管理、業(yè)務連續(xù)性管理體系等更是因為信息技術的發(fā)展而存在，組織的管理過程也更多依賴信息技術來實現(xiàn)。但這會導致審核證據(jù)的體現(xiàn)更隱蔽，需要通過專業(yè)技術手段獲取且需要花費大量的時間，傳統(tǒng)的認證模式和審核員能力均無法滿足認證審核的需要。因此，需要考慮通過優(yōu)化認證模式來改善當前的認證現(xiàn)狀。
? ? ? ?新的認證模式增加自評價評審和技術驗證，可以更充分地獲取組織信息，也補充了審核人員技術能力的不足。除此之外，還可以提高認證信息的復用，降低申請認證組織的成本，提高認證的充分性，有助于組織管理能力的自主提升。
基于“互聯(lián)網(wǎng)+”的認證模式
? ? ? ?認證模式
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認證模式是在傳統(tǒng)認證模式的基礎上建立的綜合自評價評審、技術驗證、現(xiàn)場評審、證后監(jiān)督的認證模式，其中自評價評審和技術驗證是基于“互聯(lián)網(wǎng)+”的認證模式新增的兩種方式，下面分別加以介紹：
? ? ? ? 1.自評價評審
? ? ? ? 自評價評審是建立在組織自評價基礎上進行的評審活動。所謂自評價就是組織依據(jù)認證依據(jù)（管理體系認證標準）對自身符合標準的情況進行評價，自評價的材料組織在提交申請材料的時候一起提交給認證機構，自評價主要考慮以下幾個方面：
? ? ? （1） 組織的規(guī)范化程度是否滿足標準要求，包括針對標準要求建立規(guī)范化制度或工具是否充分和適宜，主要體現(xiàn)在提供制度和工具描述；
? ? ? （2） 組織的制度和工具的運行情況，包括制度和工具是否得到執(zhí)行，執(zhí)行是否規(guī)范和有效，主要體現(xiàn)在運行證據(jù)的提供；
? ? ? （3） 組織的資源保障情況，包括識別出所需要的資源和資源提供情況，主要體現(xiàn)在資源保障相關證據(jù)上；
? ? ? （4） 組織的技術應用情況，包括使用的系統(tǒng)、平臺、工具和技術方法，組織需要提供技術功能和配置描述。
? ? ? ?組織完成自評價后，將自評價材料同認證申請材料一同提交認證機構，認證機構將在申請評審后、現(xiàn)場審核之前安排自評價評審，對組織的管理體系建設運行情況進行初步了解。
? ? ? ?自評價評審是認證組織對自評價的結果和相關證據(jù)進行評審的活動，并給出評審結論。
通過自評價，組織可以了解自身體系的運行情況，可以促進組織管理能力的自主提升；通過自評價評審，認證機構可以更充分地了解和獲得審核證據(jù)，提高審核證據(jù)的充分性。
? ? ? ?2.技術驗證
? ? ? ?技術驗證通過人工或技術手段對認證申請組織的管理體系的技術實現(xiàn)情況進行審核，由專業(yè)的技術人員在現(xiàn)場審核之前獨立進行，形成技術驗證報告，在技術驗證過程中如果發(fā)現(xiàn)技術實現(xiàn)無法滿足管理目的甚至無法滿足管理要求，可以給組織一定的時間進行整改完善。技術驗證的結果可作為現(xiàn)場審核的輸入，由于技術驗證過程中，部分技術實現(xiàn)的管理要求已經(jīng)得到了驗證，同時技術驗證獲得的審核證據(jù)對后續(xù)的現(xiàn)場審核工作具有輔助作用（例如技術無法實現(xiàn)管理目的，可能是技術能力問題也可能是技術管理的問題），現(xiàn)場審核時審核員可以進一步跟蹤從而更具體和深入地獲得審核證據(jù)，從而可以充實審核組現(xiàn)場審核的取證內(nèi)容和減少取證時間，同時可以提高審核證據(jù)的充分性和效用。
? ? ? ?認證工具
? ? ? ?認證程序的變化需要得到認證工具的支持才能更好地實施，傳統(tǒng)的認證工具多以檢查表的方式出現(xiàn)，需要組織和認證審核人員進行填寫，由于時間精力有限，檢查表的內(nèi)容通常都比較簡單，很難實現(xiàn)審核結論的追溯，證據(jù)也不能很好地體現(xiàn)。為了解決這些問題，基于“互聯(lián)網(wǎng)+”的認證工具需要實現(xiàn)以下幾個目的：
? ? ? ?建立管理體系的組織容易理解和執(zhí)行的自評價；
? ? ? ?認證機構能夠對獲得的自評價信息進行評審和整理；
? ? ? ?自評價和審核信息能夠很好地得到復用，逐年降低自評價和審核的難度和復雜度；
? ? ? ?評價方式合理，能夠自動產(chǎn)生評價結果；
? ? ? ?易操作和使用。
? ? ? ?基于上述目的，我們設計了管理體系評價工具，由于組織信息的保密程度不同，工具考慮了云模式和內(nèi)網(wǎng)模式。
? ? ? ?工具的重點在知識庫的建立，包括：
? ? ? ?標準庫，也就是認證依據(jù)；
? ? ? ?自評價信息庫，用于指導組織完成自評價工作，自評價信息庫可以采用設置問題的方式，組織通過回答問題，提交證據(jù)來完成自評價；
? ? ? ?評價模型，通過對自評價的答案或審核結果進行評價，得出評價或審核結論，評價的方式可以是評分或者給出結論的方式進行。
? ? ? ?在知識庫的基礎上，工具需要實現(xiàn)以下主要功能：
? ? ? ?組織角色設置；
? ? ? ?組織自評價任務管理；
? ? ? ?組織自評價及評價結果匯總分析；
? ? ? ?自評價評審；
? ? ? ?審核計劃生成；
? ? ? ?審核記錄；
? ? ? ?審核信息匯總分析，形成結論；
? ? ? ?審核報告生成。
? ? ? ?云模式下的工具，上述功能生成的信息通過互聯(lián)網(wǎng)進行傳遞；內(nèi)網(wǎng)模式下的工具，可以通過其他加密的方式進行信息的傳遞。
? ? ? ?認證實施
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認證模式并不是從簡化認證的角度出發(fā)，更多是通過“互聯(lián)網(wǎng)+”的手段，提高認證的價值和意義，因此在認證實施過程中根據(jù)組織情況和涉及的體系不同，可以靈活增加更多的審核方式，以確保審核的充分性。
? ? ? ?1.認證程序
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認證模式的實施主要包括：認證申請、 申請評審、自評價評審、技術驗證、現(xiàn)場審核安排及實施、認證決定、證后監(jiān)督和再認證，其中監(jiān)督審核和再認證與初次認證的過程一致。
新認證模式的實施程序主要是增加了自評價評審和技術驗證，減少了傳統(tǒng)的一階段審核。
? ? ? ?2.自評價評審實施
? ? ? ?組織完成自評價后，需向認證機構提交自評價的結果和相關證據(jù)，由認證機構進行自評價評審，在自評價評審的過程中，評審人員可以根據(jù)組織提供信息準確程度、完整程度、可信程度和風險級別確定相關條款現(xiàn)場審核方式和程度，如果組織提供的信息準確、完整、可信且風險比較低，那么相關條款就可以不再進行現(xiàn)場審核，其他的證據(jù)可以根據(jù)情況分別進行補充取證、重新取證或現(xiàn)場驗證的方式進行現(xiàn)場審核。
? ? ? ?3.技術驗證實施
? ? ? ?技術驗證在自評價評審結束以后開展，認證機構根據(jù)組織在自評價材料中提供的信息，確定技術驗證的范圍和對象，確定技術驗證方案和指標，從而有針對性地進行技術驗證工作，形成技術驗證報告。
? ? ? ?4.現(xiàn)場審核實施
? ? ? ?通過自評價評審，認證機構已經(jīng)掌握了管理體系一階段審核除現(xiàn)場確認外要收集的所有信息，也為現(xiàn)場審核提供了充分的輸入，認證機構不必再分成兩個階段進行審核。對于一階段不去現(xiàn)場帶來的風險可以用兩種方式來解決：一種方式是認證組織可以通過聲明、合同等方式將風險轉移給申請組織，由此帶來的損失由組織承擔；另一種方式是組織可以建立誠信檔案，對于誠信度高的組織可以多采信從而降低費用的方式進行鼓勵。
? ? ? ?對于現(xiàn)場審核，由于已經(jīng)獲取了大量的證據(jù)，認證機構可以根據(jù)自評價評審的結論對不同條款選擇不同方式進行審核，包括以下幾種：
? ? ? ?直接采用組織的證據(jù)不再審核；
? ? ? ?在組織提供證據(jù)的基礎上，補充取證；
? ? ? ?在組織提供證據(jù)的基礎上，對證據(jù)進行現(xiàn)場驗證；
? ? ? ?在組織提供證據(jù)的基礎上，重新進行審核，獲取證據(jù)。
? ? ? ?通過上述方式，可以不同程度地減少現(xiàn)場審核的內(nèi)容，申請認證的組織和認證機構都可以從中獲益。
對基于“互聯(lián)網(wǎng)+”的管理體系認證模式的思考
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認證模式還存在著一定的不足，其便利性和安全性是下一步考慮的重點。目前各種監(jiān)控系統(tǒng)和數(shù)據(jù)抓取工具已經(jīng)相對比較成熟，如果認證工具能夠更好地與這些工具結合，通過數(shù)據(jù)獲取和分析，可以更好地對組織的管理體系運行情況進行了解和提供服務。當然這對于認證機構和受審核組織來說都將是很大的挑戰(zhàn)，如何設計數(shù)據(jù)獲取的方式和內(nèi)容，如何保證數(shù)據(jù)的安全性，如何避免組織的商業(yè)秘密泄露，無疑將成為認證機構和受審核組織雙方需要考慮的問題。推動改革的是認證機構服務的對象，但改革的引導責任還應該在認證機構身上，因此，基于“互聯(lián)網(wǎng)+”的管理體系認證模式的發(fā)展任重而道遠。
? ? ? ?技術的發(fā)展不僅改變了管理體系的認證模式，也將改變管理體系認證的意義。隨著互聯(lián)網(wǎng)和大數(shù)據(jù)的發(fā)展，作為傳遞信任的認證行業(yè)也將迎來變革，基于“互聯(lián)網(wǎng)+”的管理體系認證模式的探索僅僅是個開始，隨著應用和推廣、優(yōu)化和改進，一定可以更好地服務社會。