1 范圍

      對(duì)于依據(jù)管理體系規(guī)范和標(biāo)準(zhǔn)（例如ISO 28000）提供供應(yīng)鏈安全管理體系審核與認(rèn)證的機(jī)構(gòu)，本標(biāo)準(zhǔn)給出了原則和要求。

      本標(biāo)準(zhǔn)規(guī)定了對(duì)認(rèn)證機(jī)構(gòu)及其相關(guān)審核員的最低要求，識(shí)別了審核和認(rèn)證客戶組織時(shí)對(duì)保密性的獨(dú)特要求。

      對(duì)供應(yīng)鏈安全管理體系的要求可能來(lái)自多個(gè)方面，本標(biāo)準(zhǔn)的制定旨在幫助對(duì)符合ISO 28000《供應(yīng)鏈安全管理體系規(guī)范》和其他供應(yīng)鏈安全管理體系國(guó)際標(biāo)準(zhǔn)要求的供應(yīng)鏈安全管理體系實(shí)施認(rèn)證。

      本標(biāo)準(zhǔn)的內(nèi)容也可用于支持基于其他特定的供應(yīng)鏈安全管理體系要求的供應(yīng)鏈安全管理體系認(rèn)證。

      本標(biāo)準(zhǔn)：

      ——對(duì)應(yīng)用ISO28000（或其他特定的供應(yīng)鏈安全管理體系要求）的認(rèn)證機(jī)構(gòu)認(rèn)可提供了一致的指導(dǎo)；

      ——明確了適用于依據(jù)供應(yīng)鏈安全管理體系標(biāo)準(zhǔn)要求（或其他特定的供應(yīng)鏈安全管理體系要求）實(shí)施供應(yīng)鏈安全管理體系審核與認(rèn)證的規(guī)則；

      ——向客戶提供關(guān)于其供方獲得認(rèn)證的方式的必要信息和信心。

      注1：供應(yīng)鏈安全管理體系認(rèn)證有時(shí)也稱為“注冊(cè)”，認(rèn)證機(jī)構(gòu)有時(shí)稱為“注冊(cè)機(jī)構(gòu)”。

      注2：認(rèn)證機(jī)構(gòu)可以是非政府的或政府的（具有或不具有法定權(quán)力）。

      注3：本標(biāo)準(zhǔn)可作為認(rèn)可、同行評(píng)審或其他審核過(guò)程的準(zhǔn)則文件。

2 規(guī)范性引用文件

      下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修訂版）適用于本文件。

      ISO/IEC 17000：2004 合格評(píng)定 詞匯和通用原則（Conformity assessment-Vocabulary and general principles)

      ISO 19011：2002 管理體系審核指南（Guidelines for quality and/or environmental management systems auditing)

      ISO 28000 供應(yīng)鏈安全管理體系規(guī)范（Specification for security management systems forthe supply chain)

3 術(shù)語(yǔ)和定義

      ISO/IEC 17000界定的以及下列術(shù)語(yǔ)和定義適用于本文件。

3.1

      獲證客戶 certified client

      供應(yīng)鏈安全管理體系已獲得有資格的第三方認(rèn)證的組織。

3.2

      公正性 impartiality

      實(shí)際存在的并被認(rèn)識(shí)到的客觀性。

      注1：客觀性意味著利益沖突不存在或已解決，不會(huì)對(duì)認(rèn)證機(jī)構(gòu)的后續(xù)活動(dòng)產(chǎn)生不利影響。

      注2：其他可用于表示公正性的要素的術(shù)語(yǔ)有：客觀、獨(dú)立、無(wú)利益沖突、沒(méi)有成見(jiàn)、沒(méi)有偏見(jiàn)、中立、公平、思想開(kāi)明、不偏不倚、不受他人影響、平衡。

3.3

      管理體系咨詢和/或相關(guān)的風(fēng)險(xiǎn)評(píng)估 management system consultancy and/or associated risk as-sessments

      參與設(shè)計(jì)、實(shí)施或保持供應(yīng)鏈安全管理體系，以及實(shí)施風(fēng)險(xiǎn)評(píng)估。

      示例：

      a）籌劃或編制手冊(cè)或程序；

      b）對(duì)供應(yīng)鏈安全管理體系的建立和實(shí)施提供具體的建議、指導(dǎo)或解決方案；

      c）實(shí)施內(nèi)審；

      d）實(shí)施風(fēng)險(xiǎn)評(píng)估與分析。

      注：如果與供應(yīng)鏈安全管理體系或?qū)徍擞嘘P(guān)的培訓(xùn)課程僅限于提供可在公共場(chǎng)合自由獲取的通用信息，那么組織培訓(xùn)并作為培訓(xùn)者參與培訓(xùn)不被視為咨詢，即培訓(xùn)者不針對(duì)特定的公司提出解決方案。

4 認(rèn)證機(jī)構(gòu)的原則

4.1 總則

4.1.1 本章所述原則是本標(biāo)準(zhǔn)中后續(xù)的特定績(jī)效要求和說(shuō)明性要求的基礎(chǔ)。本標(biāo)準(zhǔn)未就所有可能發(fā)生的情況給出特定要求。在出現(xiàn)未預(yù)料到的情況時(shí)，宜應(yīng)用這些原則作為決策的指南。這些原則不是要求。

4.1.2 認(rèn)證的總體目標(biāo)是使所有相關(guān)方相信供應(yīng)鏈安全管理體系、過(guò)程或產(chǎn)品（包括服務(wù)）滿足規(guī)定要求。認(rèn)證的價(jià)值取決于第三方通過(guò)對(duì)管理體系、過(guò)程或產(chǎn)品（包括服務(wù)）進(jìn)行公正、有能力的評(píng)定所建立的公信力的程度。認(rèn)證的利益相關(guān)方包括（但不限于）：

      a）認(rèn)證機(jī)構(gòu)的客戶；

      b）獲證客戶的顧客；

      c）政府部門；

      d）非政府組織；

      e）消費(fèi)者和其他公眾。

4.1.3 建立信任的原則包括：

      a) 公正性；

      b）能力；

      c）責(zé)任；

      d）公開(kāi)性；

      e）保密性；

      f）對(duì)投訴的處理。

4.2 公正性

4.2.1 公正，并被認(rèn)為公正，是認(rèn)證機(jī)構(gòu)提供可建立信任的認(rèn)證的必要條件。

4.2.2 客戶支付的認(rèn)證費(fèi)用是認(rèn)證機(jī)構(gòu)的收入來(lái)源，也是對(duì)公正性的潛在威脅，這一點(diǎn)得到公認(rèn)。

4.2.3 為獲得和保持信任，認(rèn)證機(jī)構(gòu)必須能夠證明其認(rèn)證決定是基于所獲得的符合（或不符合）的客觀證據(jù)，且不受其他利益或其他各方的影響。

4.2.4 對(duì)公正性的威脅包括：

      a）自身利益：此類威脅源于個(gè)人或機(jī)構(gòu)依其自身利益行事。在認(rèn)證中，財(cái)務(wù)方面的自身利益是一種對(duì)公正性的威脅。

      b）自我評(píng)審：此類威脅源于個(gè)人或機(jī)構(gòu)評(píng)審自己所做的工作。認(rèn)證機(jī)構(gòu)對(duì)由其進(jìn)行供應(yīng)鏈安全管理體系咨詢的客戶實(shí)施供應(yīng)鏈安全管理體系審核屬于此類威脅，因此不可接受。

      c）熟識(shí)（或信任）：此類威脅源于個(gè)人或機(jī)構(gòu)對(duì)另外一人過(guò)于熟悉或信賴，而不去尋找審核證據(jù)。

      d）脅迫：此類威脅源于個(gè)人或機(jī)構(gòu)察覺(jué)受到公然或暗中的強(qiáng)迫，如威脅用他人取而代之或向主管告發(fā)。

4.3 能力

      認(rèn)證機(jī)構(gòu)的組織架構(gòu)所支撐的人員能力是認(rèn)證提供信任的必要條件。能力是經(jīng)證實(shí)的有效應(yīng)用適當(dāng)知識(shí)和技能的本領(lǐng)。

4.4 責(zé)任

4.4.1 符合認(rèn)證要求的責(zé)任在于客戶組織而不是認(rèn)證機(jī)構(gòu)。

4.4.2 認(rèn)證機(jī)構(gòu)有責(zé)任對(duì)足夠的客觀證據(jù)進(jìn)行評(píng)價(jià)，并在此基礎(chǔ)上做出認(rèn)證推薦。根據(jù)審核推薦，如果符合性的證據(jù)充分，認(rèn)證機(jī)構(gòu)做出授予認(rèn)證的決定；如果符合性的證據(jù)不充分，則不授予認(rèn)證。

      注：審核證據(jù)應(yīng)可以驗(yàn)證。由于審核的時(shí)間和資源有限，審核證據(jù)基于對(duì)可獲取信息的抽樣，對(duì)審核結(jié)論的信任程度是與抽樣的恰當(dāng)使用密切相關(guān)的。

4.5 公開(kāi)性

4.5.1 為獲得對(duì)認(rèn)證的誠(chéng)信性與可信性的信任，認(rèn)證機(jī)構(gòu)需要提供獲取有關(guān)審核過(guò)程、認(rèn)證過(guò)程和所有組織認(rèn)證狀態(tài)（即認(rèn)證的授予、暫停、縮小范圍或撤消）的適當(dāng)、及時(shí)信息的公開(kāi)渠道，或公布這些信息。公開(kāi)性是指可以獲取或公布信息。

4.5.2 為獲得或保持對(duì)認(rèn)證的信任，認(rèn)證機(jī)構(gòu)需向特定利益相關(guān)方提供獲取特定審核（如為回應(yīng)投訴而做的審核）結(jié)論的非保密信息的適當(dāng)渠道，或公布這些信息。

4.6 保密性

      為了享有獲取充分評(píng)價(jià)與認(rèn)證要求的符合性所需信息的特權(quán)，認(rèn)證機(jī)構(gòu)需對(duì)任何關(guān)于組織供應(yīng)鏈安全管理體系的敏感信息、專有信息和/或與漏洞相關(guān)的信息予以保密。

4.7 對(duì)投訴的處理

      依賴認(rèn)證的各方期望投訴得到調(diào)查。在投訴經(jīng)查明有效時(shí)，認(rèn)證機(jī)構(gòu)宜使依賴認(rèn)證的各方相信，認(rèn)證機(jī)構(gòu)將對(duì)投訴進(jìn)行適當(dāng)?shù)奶幚?，并為解決投訴做出適當(dāng)?shù)呐Α?/p>

      注：為了向認(rèn)證的所有用戶證明認(rèn)證的誠(chéng)信性與可信性，需要在公開(kāi)性和保密性（包括對(duì)投訴的處理）等原則之間取得適當(dāng)?shù)钠胶狻?/p>

5 通用要求

5.1 法律與合同事宜

5.1.1 法律責(zé)任

      認(rèn)證機(jī)構(gòu)應(yīng)為一個(gè)法律實(shí)體，或一個(gè)法律實(shí)體內(nèi)有明確界定的一部分，以便認(rèn)證機(jī)構(gòu)能夠?qū)ζ渌姓J(rèn)證活動(dòng)承擔(dān)法律責(zé)任。政府的認(rèn)證機(jī)構(gòu)因其政府地位而被視為法律實(shí)體。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購(gòu)買標(biāo)準(zhǔn)正版。