研究的必要性
? ? ? ?隨著“互聯(lián)網(wǎng)+”的廣泛應(yīng)用，組織管理的信息化程度逐漸提高，管理體系的實(shí)施也得到更多信息技術(shù)的支撐，特別是信息安全管理體系、信息技術(shù)服務(wù)管理體系、數(shù)據(jù)安全管理、業(yè)務(wù)連續(xù)性管理體系等更是因?yàn)樾畔⒓夹g(shù)的發(fā)展而存在，組織的管理過(guò)程也更多依賴信息技術(shù)來(lái)實(shí)現(xiàn)。但這會(huì)導(dǎo)致審核證據(jù)的體現(xiàn)更隱蔽，需要通過(guò)專業(yè)技術(shù)手段獲取且需要花費(fèi)大量的時(shí)間，傳統(tǒng)的認(rèn)證模式和審核員能力均無(wú)法滿足認(rèn)證審核的需要。因此，需要考慮通過(guò)優(yōu)化認(rèn)證模式來(lái)改善當(dāng)前的認(rèn)證現(xiàn)狀。
? ? ? ?新的認(rèn)證模式增加自評(píng)價(jià)評(píng)審和技術(shù)驗(yàn)證，可以更充分地獲取組織信息，也補(bǔ)充了審核人員技術(shù)能力的不足。除此之外，還可以提高認(rèn)證信息的復(fù)用，降低申請(qǐng)認(rèn)證組織的成本，提高認(rèn)證的充分性，有助于組織管理能力的自主提升。
基于“互聯(lián)網(wǎng)+”的認(rèn)證模式
? ? ? ?認(rèn)證模式
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式是在傳統(tǒng)認(rèn)證模式的基礎(chǔ)上建立的綜合自評(píng)價(jià)評(píng)審、技術(shù)驗(yàn)證、現(xiàn)場(chǎng)評(píng)審、證后監(jiān)督的認(rèn)證模式，其中自評(píng)價(jià)評(píng)審和技術(shù)驗(yàn)證是基于“互聯(lián)網(wǎng)+”的認(rèn)證模式新增的兩種方式，下面分別加以介紹：
? ? ? ? 1.自評(píng)價(jià)評(píng)審
? ? ? ? 自評(píng)價(jià)評(píng)審是建立在組織自評(píng)價(jià)基礎(chǔ)上進(jìn)行的評(píng)審活動(dòng)。所謂自評(píng)價(jià)就是組織依據(jù)認(rèn)證依據(jù)（管理體系認(rèn)證標(biāo)準(zhǔn)）對(duì)自身符合標(biāo)準(zhǔn)的情況進(jìn)行評(píng)價(jià)，自評(píng)價(jià)的材料組織在提交申請(qǐng)材料的時(shí)候一起提交給認(rèn)證機(jī)構(gòu)，自評(píng)價(jià)主要考慮以下幾個(gè)方面：
? ? ? （1） 組織的規(guī)范化程度是否滿足標(biāo)準(zhǔn)要求，包括針對(duì)標(biāo)準(zhǔn)要求建立規(guī)范化制度或工具是否充分和適宜，主要體現(xiàn)在提供制度和工具描述；
? ? ? （2） 組織的制度和工具的運(yùn)行情況，包括制度和工具是否得到執(zhí)行，執(zhí)行是否規(guī)范和有效，主要體現(xiàn)在運(yùn)行證據(jù)的提供；
? ? ? （3） 組織的資源保障情況，包括識(shí)別出所需要的資源和資源提供情況，主要體現(xiàn)在資源保障相關(guān)證據(jù)上；
? ? ? （4） 組織的技術(shù)應(yīng)用情況，包括使用的系統(tǒng)、平臺(tái)、工具和技術(shù)方法，組織需要提供技術(shù)功能和配置描述。
? ? ? ?組織完成自評(píng)價(jià)后，將自評(píng)價(jià)材料同認(rèn)證申請(qǐng)材料一同提交認(rèn)證機(jī)構(gòu)，認(rèn)證機(jī)構(gòu)將在申請(qǐng)?jiān)u審后、現(xiàn)場(chǎng)審核之前安排自評(píng)價(jià)評(píng)審，對(duì)組織的管理體系建設(shè)運(yùn)行情況進(jìn)行初步了解。
? ? ? ?自評(píng)價(jià)評(píng)審是認(rèn)證組織對(duì)自評(píng)價(jià)的結(jié)果和相關(guān)證據(jù)進(jìn)行評(píng)審的活動(dòng)，并給出評(píng)審結(jié)論。
通過(guò)自評(píng)價(jià)，組織可以了解自身體系的運(yùn)行情況，可以促進(jìn)組織管理能力的自主提升；通過(guò)自評(píng)價(jià)評(píng)審，認(rèn)證機(jī)構(gòu)可以更充分地了解和獲得審核證據(jù)，提高審核證據(jù)的充分性。
? ? ? ?2.技術(shù)驗(yàn)證
? ? ? ?技術(shù)驗(yàn)證通過(guò)人工或技術(shù)手段對(duì)認(rèn)證申請(qǐng)組織的管理體系的技術(shù)實(shí)現(xiàn)情況進(jìn)行審核，由專業(yè)的技術(shù)人員在現(xiàn)場(chǎng)審核之前獨(dú)立進(jìn)行，形成技術(shù)驗(yàn)證報(bào)告，在技術(shù)驗(yàn)證過(guò)程中如果發(fā)現(xiàn)技術(shù)實(shí)現(xiàn)無(wú)法滿足管理目的甚至無(wú)法滿足管理要求，可以給組織一定的時(shí)間進(jìn)行整改完善。技術(shù)驗(yàn)證的結(jié)果可作為現(xiàn)場(chǎng)審核的輸入，由于技術(shù)驗(yàn)證過(guò)程中，部分技術(shù)實(shí)現(xiàn)的管理要求已經(jīng)得到了驗(yàn)證，同時(shí)技術(shù)驗(yàn)證獲得的審核證據(jù)對(duì)后續(xù)的現(xiàn)場(chǎng)審核工作具有輔助作用（例如技術(shù)無(wú)法實(shí)現(xiàn)管理目的，可能是技術(shù)能力問(wèn)題也可能是技術(shù)管理的問(wèn)題），現(xiàn)場(chǎng)審核時(shí)審核員可以進(jìn)一步跟蹤從而更具體和深入地獲得審核證據(jù)，從而可以充實(shí)審核組現(xiàn)場(chǎng)審核的取證內(nèi)容和減少取證時(shí)間，同時(shí)可以提高審核證據(jù)的充分性和效用。
? ? ? ?認(rèn)證工具
? ? ? ?認(rèn)證程序的變化需要得到認(rèn)證工具的支持才能更好地實(shí)施，傳統(tǒng)的認(rèn)證工具多以檢查表的方式出現(xiàn)，需要組織和認(rèn)證審核人員進(jìn)行填寫(xiě)，由于時(shí)間精力有限，檢查表的內(nèi)容通常都比較簡(jiǎn)單，很難實(shí)現(xiàn)審核結(jié)論的追溯，證據(jù)也不能很好地體現(xiàn)。為了解決這些問(wèn)題，基于“互聯(lián)網(wǎng)+”的認(rèn)證工具需要實(shí)現(xiàn)以下幾個(gè)目的：
? ? ? ?建立管理體系的組織容易理解和執(zhí)行的自評(píng)價(jià)；
? ? ? ?認(rèn)證機(jī)構(gòu)能夠?qū)Λ@得的自評(píng)價(jià)信息進(jìn)行評(píng)審和整理；
? ? ? ?自評(píng)價(jià)和審核信息能夠很好地得到復(fù)用，逐年降低自評(píng)價(jià)和審核的難度和復(fù)雜度；
? ? ? ?評(píng)價(jià)方式合理，能夠自動(dòng)產(chǎn)生評(píng)價(jià)結(jié)果；
? ? ? ?易操作和使用。
? ? ? ?基于上述目的，我們?cè)O(shè)計(jì)了管理體系評(píng)價(jià)工具，由于組織信息的保密程度不同，工具考慮了云模式和內(nèi)網(wǎng)模式。
? ? ? ?工具的重點(diǎn)在知識(shí)庫(kù)的建立，包括：
? ? ? ?標(biāo)準(zhǔn)庫(kù)，也就是認(rèn)證依據(jù)；
? ? ? ?自評(píng)價(jià)信息庫(kù)，用于指導(dǎo)組織完成自評(píng)價(jià)工作，自評(píng)價(jià)信息庫(kù)可以采用設(shè)置問(wèn)題的方式，組織通過(guò)回答問(wèn)題，提交證據(jù)來(lái)完成自評(píng)價(jià)；
? ? ? ?評(píng)價(jià)模型，通過(guò)對(duì)自評(píng)價(jià)的答案或?qū)徍私Y(jié)果進(jìn)行評(píng)價(jià)，得出評(píng)價(jià)或?qū)徍私Y(jié)論，評(píng)價(jià)的方式可以是評(píng)分或者給出結(jié)論的方式進(jìn)行。
? ? ? ?在知識(shí)庫(kù)的基礎(chǔ)上，工具需要實(shí)現(xiàn)以下主要功能：
? ? ? ?組織角色設(shè)置；
? ? ? ?組織自評(píng)價(jià)任務(wù)管理；
? ? ? ?組織自評(píng)價(jià)及評(píng)價(jià)結(jié)果匯總分析；
? ? ? ?自評(píng)價(jià)評(píng)審；
? ? ? ?審核計(jì)劃生成；
? ? ? ?審核記錄；
? ? ? ?審核信息匯總分析，形成結(jié)論；
? ? ? ?審核報(bào)告生成。
? ? ? ?云模式下的工具，上述功能生成的信息通過(guò)互聯(lián)網(wǎng)進(jìn)行傳遞；內(nèi)網(wǎng)模式下的工具，可以通過(guò)其他加密的方式進(jìn)行信息的傳遞。
? ? ? ?認(rèn)證實(shí)施
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式并不是從簡(jiǎn)化認(rèn)證的角度出發(fā)，更多是通過(guò)“互聯(lián)網(wǎng)+”的手段，提高認(rèn)證的價(jià)值和意義，因此在認(rèn)證實(shí)施過(guò)程中根據(jù)組織情況和涉及的體系不同，可以靈活增加更多的審核方式，以確保審核的充分性。
? ? ? ?1.認(rèn)證程序
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的實(shí)施主要包括：認(rèn)證申請(qǐng)、 申請(qǐng)?jiān)u審、自評(píng)價(jià)評(píng)審、技術(shù)驗(yàn)證、現(xiàn)場(chǎng)審核安排及實(shí)施、認(rèn)證決定、證后監(jiān)督和再認(rèn)證，其中監(jiān)督審核和再認(rèn)證與初次認(rèn)證的過(guò)程一致。
新認(rèn)證模式的實(shí)施程序主要是增加了自評(píng)價(jià)評(píng)審和技術(shù)驗(yàn)證，減少了傳統(tǒng)的一階段審核。
? ? ? ?2.自評(píng)價(jià)評(píng)審實(shí)施
? ? ? ?組織完成自評(píng)價(jià)后，需向認(rèn)證機(jī)構(gòu)提交自評(píng)價(jià)的結(jié)果和相關(guān)證據(jù)，由認(rèn)證機(jī)構(gòu)進(jìn)行自評(píng)價(jià)評(píng)審，在自評(píng)價(jià)評(píng)審的過(guò)程中，評(píng)審人員可以根據(jù)組織提供信息準(zhǔn)確程度、完整程度、可信程度和風(fēng)險(xiǎn)級(jí)別確定相關(guān)條款現(xiàn)場(chǎng)審核方式和程度，如果組織提供的信息準(zhǔn)確、完整、可信且風(fēng)險(xiǎn)比較低，那么相關(guān)條款就可以不再進(jìn)行現(xiàn)場(chǎng)審核，其他的證據(jù)可以根據(jù)情況分別進(jìn)行補(bǔ)充取證、重新取證或現(xiàn)場(chǎng)驗(yàn)證的方式進(jìn)行現(xiàn)場(chǎng)審核。
? ? ? ?3.技術(shù)驗(yàn)證實(shí)施
? ? ? ?技術(shù)驗(yàn)證在自評(píng)價(jià)評(píng)審結(jié)束以后開(kāi)展，認(rèn)證機(jī)構(gòu)根據(jù)組織在自評(píng)價(jià)材料中提供的信息，確定技術(shù)驗(yàn)證的范圍和對(duì)象，確定技術(shù)驗(yàn)證方案和指標(biāo)，從而有針對(duì)性地進(jìn)行技術(shù)驗(yàn)證工作，形成技術(shù)驗(yàn)證報(bào)告。
? ? ? ?4.現(xiàn)場(chǎng)審核實(shí)施
? ? ? ?通過(guò)自評(píng)價(jià)評(píng)審，認(rèn)證機(jī)構(gòu)已經(jīng)掌握了管理體系一階段審核除現(xiàn)場(chǎng)確認(rèn)外要收集的所有信息，也為現(xiàn)場(chǎng)審核提供了充分的輸入，認(rèn)證機(jī)構(gòu)不必再分成兩個(gè)階段進(jìn)行審核。對(duì)于一階段不去現(xiàn)場(chǎng)帶來(lái)的風(fēng)險(xiǎn)可以用兩種方式來(lái)解決：一種方式是認(rèn)證組織可以通過(guò)聲明、合同等方式將風(fēng)險(xiǎn)轉(zhuǎn)移給申請(qǐng)組織，由此帶來(lái)的損失由組織承擔(dān)；另一種方式是組織可以建立誠(chéng)信檔案，對(duì)于誠(chéng)信度高的組織可以多采信從而降低費(fèi)用的方式進(jìn)行鼓勵(lì)。
? ? ? ?對(duì)于現(xiàn)場(chǎng)審核，由于已經(jīng)獲取了大量的證據(jù)，認(rèn)證機(jī)構(gòu)可以根據(jù)自評(píng)價(jià)評(píng)審的結(jié)論對(duì)不同條款選擇不同方式進(jìn)行審核，包括以下幾種：
? ? ? ?直接采用組織的證據(jù)不再審核；
? ? ? ?在組織提供證據(jù)的基礎(chǔ)上，補(bǔ)充取證；
? ? ? ?在組織提供證據(jù)的基礎(chǔ)上，對(duì)證據(jù)進(jìn)行現(xiàn)場(chǎng)驗(yàn)證；
? ? ? ?在組織提供證據(jù)的基礎(chǔ)上，重新進(jìn)行審核，獲取證據(jù)。
? ? ? ?通過(guò)上述方式，可以不同程度地減少現(xiàn)場(chǎng)審核的內(nèi)容，申請(qǐng)認(rèn)證的組織和認(rèn)證機(jī)構(gòu)都可以從中獲益。
對(duì)基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的思考
? ? ? ?基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式還存在著一定的不足，其便利性和安全性是下一步考慮的重點(diǎn)。目前各種監(jiān)控系統(tǒng)和數(shù)據(jù)抓取工具已經(jīng)相對(duì)比較成熟，如果認(rèn)證工具能夠更好地與這些工具結(jié)合，通過(guò)數(shù)據(jù)獲取和分析，可以更好地對(duì)組織的管理體系運(yùn)行情況進(jìn)行了解和提供服務(wù)。當(dāng)然這對(duì)于認(rèn)證機(jī)構(gòu)和受審核組織來(lái)說(shuō)都將是很大的挑戰(zhàn)，如何設(shè)計(jì)數(shù)據(jù)獲取的方式和內(nèi)容，如何保證數(shù)據(jù)的安全性，如何避免組織的商業(yè)秘密泄露，無(wú)疑將成為認(rèn)證機(jī)構(gòu)和受審核組織雙方需要考慮的問(wèn)題。推動(dòng)改革的是認(rèn)證機(jī)構(gòu)服務(wù)的對(duì)象，但改革的引導(dǎo)責(zé)任還應(yīng)該在認(rèn)證機(jī)構(gòu)身上，因此，基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的發(fā)展任重而道遠(yuǎn)。
? ? ? ?技術(shù)的發(fā)展不僅改變了管理體系的認(rèn)證模式，也將改變管理體系認(rèn)證的意義。隨著互聯(lián)網(wǎng)和大數(shù)據(jù)的發(fā)展，作為傳遞信任的認(rèn)證行業(yè)也將迎來(lái)變革，基于“互聯(lián)網(wǎng)+”的管理體系認(rèn)證模式的探索僅僅是個(gè)開(kāi)始，隨著應(yīng)用和推廣、優(yōu)化和改進(jìn)，一定可以更好地服務(wù)社會(huì)。