ISO27001認(rèn)證體系建設(shè)分為四個(gè)階段：實(shí)施風(fēng)險(xiǎn)評(píng)估、規(guī)劃體系建設(shè)方案、建立信息管理 體系、體系運(yùn)行及改進(jìn)。也符合信息管理循環(huán)PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護(hù)企業(yè)信息系統(tǒng)的，確保信息的持續(xù)發(fā)展。 　　1、確立范圍 　　首先是確立項(xiàng)目范圍，從機(jī)構(gòu)層次及系統(tǒng)層次兩個(gè)維度進(jìn)行范圍的劃分。從機(jī)構(gòu)層次上，可以考慮 內(nèi)部機(jī)構(gòu)：需要覆蓋公司的各個(gè)部門(mén)，其包括總部、事業(yè)部、制造本部、技術(shù)本部等;外部機(jī)構(gòu)：則包括 公司信息系統(tǒng)相連的外部機(jī)構(gòu)，包括供應(yīng)商、中間業(yè)務(wù)合作伙伴、及其他合作伙伴等。 　　從系統(tǒng)層次上，可按照物理環(huán)境：即支撐信息系統(tǒng)的場(chǎng)所、所處的周邊環(huán)境以及場(chǎng)所內(nèi)保障計(jì)算機(jī) 系統(tǒng)正常運(yùn)行的設(shè)施。包括機(jī)房環(huán)境、門(mén)禁、監(jiān)控等;網(wǎng)絡(luò)系統(tǒng)：構(gòu)成信息系統(tǒng)網(wǎng)絡(luò)傳輸環(huán)境的線路介質(zhì) ，設(shè)備和軟件;服務(wù)器平臺(tái)系統(tǒng)：支撐所有信息系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、客戶(hù)機(jī)及其操作系統(tǒng)、數(shù)據(jù)庫(kù) 、中間件和Web系統(tǒng)等軟件平臺(tái)系統(tǒng);應(yīng)用系統(tǒng)：支撐業(yè)務(wù)、辦公和管理應(yīng)用的應(yīng)用系統(tǒng);數(shù)據(jù)：整個(gè)信息 系統(tǒng)中傳輸以及存儲(chǔ)的數(shù)據(jù);管理：包括策略、規(guī)章制度、人員組織、開(kāi)發(fā)、項(xiàng)目管理 和系統(tǒng)管理人員在日常運(yùn)維過(guò)程中的合規(guī)、審計(jì)等。 　　2、風(fēng)險(xiǎn)評(píng)估 　　企業(yè)信息是指保障企業(yè)業(yè)務(wù)系統(tǒng)不被非法訪問(wèn)、利用和篡改，為企業(yè)員工提供、可信的服 務(wù)，保證信息系統(tǒng)的可用性、完整性和保密性。 　　本次進(jìn)行的評(píng)估，主要包括兩方面的內(nèi)容： 　　2.1、企業(yè)管理類(lèi)的評(píng)估 　　通過(guò)企業(yè)的控制現(xiàn)狀調(diào)查、訪談、文檔研讀和ISO27001的 實(shí)踐比對(duì)，以及在行業(yè)的經(jīng)驗(yàn)上 進(jìn)行“差距分析”，檢查企業(yè)在控制層面上存在的弱點(diǎn)，從而為措施的選擇提供依據(jù)。 　　評(píng)估內(nèi)容包括ISO27001所涵蓋的與信息管理體系相關(guān)的11個(gè)方面，包括信息策略、組 織、資產(chǎn)分類(lèi)與控制、人員、物理和環(huán)境、通信和操作管理、訪問(wèn)控制、系統(tǒng)開(kāi)發(fā)與維護(hù)、安 全事件管理、業(yè)務(wù)連續(xù)性管理、符合性。 　　2.2、企業(yè)技術(shù)類(lèi)評(píng)估 　　基于資產(chǎn)等級(jí)的分類(lèi)，通過(guò)對(duì)信息設(shè)備進(jìn)行的掃描、設(shè)備的配置，檢查分析現(xiàn)有網(wǎng)絡(luò) 設(shè)備、服務(wù)器系統(tǒng)、終端、網(wǎng)絡(luò)架構(gòu)的現(xiàn)狀和存在的弱點(diǎn)，為加固提供依據(jù)。 　　針對(duì)企業(yè)具有代表性的關(guān)鍵應(yīng)用進(jìn)行評(píng)估。關(guān)鍵應(yīng)用的評(píng)估方式采用滲透測(cè)試的方法，在應(yīng)用 評(píng)估中將對(duì)應(yīng)用系統(tǒng)的威脅、弱點(diǎn)進(jìn)行識(shí)別，分析其和應(yīng)用系統(tǒng)的目標(biāo)之間的差距，為后期改造提 供依據(jù)。 　　提到評(píng)估，一定要有方法論。我們以ISO27001為核心，并借鑒國(guó)際常用的幾種評(píng)估模型的優(yōu)點(diǎn) ，同時(shí)結(jié)合企業(yè)自身的特點(diǎn)，建立風(fēng)險(xiǎn)評(píng)估模型： 　　在風(fēng)險(xiǎn)評(píng)估模型中，主要包含信息資產(chǎn)、弱點(diǎn)、威脅和風(fēng)險(xiǎn)四個(gè)要素。每個(gè)要素有各自的屬性，信 息資產(chǎn)的屬性是資產(chǎn)價(jià)值，弱點(diǎn)的屬性是弱點(diǎn)在現(xiàn)有控制措施的保護(hù)下，被威脅利用的可能性以及被威 脅利用后對(duì)資產(chǎn)帶來(lái)影響的嚴(yán)重程度，威脅的屬性是威脅發(fā)生的可能性及其危害的嚴(yán)重程度，風(fēng)險(xiǎn)的屬 性是風(fēng)險(xiǎn)級(jí)別的高低。風(fēng)險(xiǎn)評(píng)估采用定性的風(fēng)險(xiǎn)評(píng)估方法，通過(guò)分級(jí)別的方式進(jìn)行賦值。 　　3、規(guī)劃體系建設(shè)方案 　　企業(yè)信息問(wèn)題根源分布在技術(shù)、人員和管理等多個(gè)層面，須統(tǒng)一規(guī)劃并建立企業(yè)信息體系 ，并終落實(shí)到管理措施和技術(shù)措施，才能確保信息。 　　規(guī)劃體系建設(shè)方案是在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，對(duì)企業(yè)中存在的風(fēng)險(xiǎn)提出建議，增強(qiáng)系統(tǒng)的安 全性和抗攻擊性。 　　在未來(lái)1-2年內(nèi)通過(guò)信息體系制的建立與實(shí)施，建立組織，技術(shù)上進(jìn)行審計(jì)、內(nèi)外網(wǎng)隔 離的改造、產(chǎn)品的部署，實(shí)現(xiàn)以流程為導(dǎo)向的轉(zhuǎn)型。在未來(lái)的 3-5 年內(nèi)，通過(guò)完善的信息體系 和相應(yīng)的物理環(huán)境改造和業(yè)務(wù)連續(xù)性項(xiàng)目的建設(shè)，將企業(yè)建設(shè)成為一個(gè)注重管理，為主，防治結(jié)合 的先進(jìn)型企業(yè)。 　　4、企業(yè)信息體系建設(shè) 　　企業(yè)信息體系建立在信息模型與企業(yè)信息化的基礎(chǔ)上，建立信息管理體系核心可以更 好的發(fā)揮六方面的能力：即預(yù)警(Warn)、保護(hù)(Protect)、檢測(cè)(Detect)、反應(yīng)(Response)、恢復(fù) (Recover)和反擊(Counter-attack)，體系應(yīng)該兼顧攘外和安內(nèi)的功能。 　　體系的建設(shè)一是涉及管理制度建設(shè)完善;二是涉及到信息技術(shù)。首先，針對(duì)管理制 度涉及的主要內(nèi)容包括企業(yè)信息系統(tǒng)的總體方針、技術(shù)策略和管理策略等?？傮w方針 涉及組織機(jī)構(gòu)、管理制度、人員管理、運(yùn)行維護(hù)等方面的制度。技術(shù)策略涉 及信息域的劃分、業(yè)務(wù)應(yīng)用的等級(jí)、保護(hù)思路、說(shuō)以及進(jìn)一步的統(tǒng)一管理、系統(tǒng)分級(jí)、網(wǎng)絡(luò)互 聯(lián)、容災(zāi)備份、集中監(jiān)控等方面的要求。 　　其次，信息技術(shù)按其所在的信息系統(tǒng)層次可劃分為物理技術(shù)、網(wǎng)絡(luò)技術(shù)、系統(tǒng)技 術(shù)、應(yīng)用技術(shù)，以及基礎(chǔ)設(shè)施平臺(tái);同時(shí)按照技術(shù)所提供的功能又可劃分為保護(hù)類(lèi)、檢 測(cè)跟蹤類(lèi)和響應(yīng)恢復(fù)類(lèi)三大類(lèi)技術(shù)。結(jié)合主流的技術(shù)以及未來(lái)信息系統(tǒng)發(fā)展的要求，規(guī)劃信息 技術(shù)包括：

ISO9001：2008標(biāo)準(zhǔn)的0.2條款用較大篇幅闡明了過(guò)程方法在質(zhì)量管理體系中的應(yīng)用，強(qiáng)調(diào)了過(guò)程方法的重要性，并提出了具體要求。4.1"總要求"的"注"指出，"質(zhì)量管理體系所需的過(guò)程應(yīng)當(dāng)包括與管理活動(dòng)、資源提供、產(chǎn)品實(shí)現(xiàn)和測(cè)量有關(guān)的過(guò)程。"該條款要求組織"應(yīng)按本標(biāo)準(zhǔn)的要求管理這些過(guò)程。"按照《質(zhì)量管理體系的過(guò)程方法指南（ISO/TC176/SC2/N544R）》所述，ISO9001：2008標(biāo)準(zhǔn)4.1a)~f的要求就是實(shí)施過(guò)程管理方法的具體內(nèi)容和要求。這充分說(shuō)明，新標(biāo)準(zhǔn)的思路、理念及其總要求都以過(guò)程為基礎(chǔ)，其基本原則之一是采用過(guò)程方法管理組織。 　　如果采用過(guò)程方法管理過(guò)程，就抓到了要害和質(zhì)量管理活動(dòng)的本質(zhì)?？梢?jiàn)，只有抓好過(guò)程的管理和控制，把質(zhì)量管理體系的有效性落實(shí)到產(chǎn)品上，才是ISO9001：2008標(biāo)準(zhǔn)的終目的。按過(guò)程方法管理組織由質(zhì)量管理的基本理念所決定，是質(zhì)量管理工作深化的具體體現(xiàn)。 　　采用過(guò)程方法管理質(zhì)量管理體系有很多優(yōu)越性：有利于對(duì)過(guò)程進(jìn)行連續(xù)的控制；有利于識(shí)別過(guò)程和顧客的需求，更好地體現(xiàn)"以顧客為關(guān)注焦點(diǎn)"的原則；有利于開(kāi)展質(zhì)量策劃活動(dòng)，明確過(guò)程的目標(biāo)和要求；有利于了解、協(xié)調(diào)和確定過(guò)程內(nèi)部和過(guò)程之間的相互關(guān)聯(lián)、相互作用、從而明確過(guò)程的流程和程序；有利于明確過(guò)程中的職責(zé)和權(quán)限，加強(qiáng)協(xié)調(diào)合作和溝通；有利于確定過(guò)程所需的文件，增強(qiáng)文件的實(shí)用性；有利于加強(qiáng)對(duì)過(guò)程的監(jiān)視、測(cè)量、數(shù)據(jù)分析和控制；有利于實(shí)施PDCA動(dòng)態(tài)循環(huán)管理，實(shí)施持續(xù)改進(jìn)，確程增值；有利于增強(qiáng)顧客滿意，使組織得到發(fā)展。 　　一、組織如何采用過(guò)程方法建立質(zhì)量管理體系 　　1、按照4.1條款的要求，認(rèn)真開(kāi)展對(duì)過(guò)程、體系的策劃。策劃的內(nèi)容應(yīng)涉及體系的全部過(guò)程。要識(shí)別過(guò)程，明確過(guò)程的輸入、輸出及活動(dòng)，明確需求及其流程；確定過(guò)程的作用及其指職責(zé)的分配；確定過(guò)程所需的資源、信息及其所需的文件；確定對(duì)過(guò)程實(shí)施監(jiān)視、測(cè)量及有效控制的方法；按組織的方針確定過(guò)程的目標(biāo)及如何評(píng)價(jià)過(guò)程的有效性，實(shí)施持續(xù)改進(jìn)。通過(guò)策劃活動(dòng)識(shí)別需求，是應(yīng)用過(guò)程方法的前提和基礎(chǔ)。 　　2、要采用以過(guò)程管理為主導(dǎo)的方法，對(duì)現(xiàn)行質(zhì)量管理體系進(jìn)行評(píng)審，確定要達(dá)到過(guò)程管理模式而需要進(jìn)行的改進(jìn)和提高。必要時(shí)，采用以過(guò)程管理為主導(dǎo)的方法重新設(shè)計(jì)管理體系。 　　3、按標(biāo)準(zhǔn)要求制定、修改質(zhì)量管理體系文件。體系是通過(guò)文件表述的，文件使體系運(yùn)行的重要依據(jù)。過(guò)程分析應(yīng)成為確定質(zhì)量管理體系所需文件數(shù)量的途徑，不應(yīng)以文件來(lái)決定過(guò)程，而應(yīng)由過(guò)程來(lái)決定文件，把過(guò)程、體系的策劃作為制定、修改文件的基礎(chǔ)?？衫眠^(guò)程圖、流程圖方法加深對(duì)過(guò)程的理解，加強(qiáng)對(duì)過(guò)程有效運(yùn)行的控制。應(yīng)將采用過(guò)程方法管理組織的理念體現(xiàn)在體系文件中。 　　4、開(kāi)展以過(guò)程管理體系為主導(dǎo)的培訓(xùn)工作。應(yīng)確定以過(guò)程管理為主導(dǎo)的培訓(xùn)項(xiàng)目，增強(qiáng)全員的顧客意識(shí)、過(guò)程意識(shí)、尤其要提高運(yùn)用過(guò)程方法的意識(shí)，自覺(jué)按過(guò)程方法的要求對(duì)體系實(shí)施管理。 　　5、進(jìn)行質(zhì)量管理體系試運(yùn)行，進(jìn)行內(nèi)部審核。按過(guò)程管理要求，并通過(guò)符合性的證據(jù)評(píng)價(jià)過(guò)程、體系的有效性。 　　二、組織如何采用過(guò)程方法保持質(zhì)量管理體系 　　1、組織的領(lǐng)導(dǎo)應(yīng)按標(biāo)準(zhǔn)的思路和理念，以過(guò)程管理為主導(dǎo)建立體系，確保資源的獲得，確保體系所需的過(guò)程得到建立、實(shí)施和保持，并提供相應(yīng)的組織保證。應(yīng)明確標(biāo)準(zhǔn)第4～8章是實(shí)施過(guò)程方法的范圍，0.2條款在a)~d)中強(qiáng)調(diào)的四個(gè)方面，是實(shí)施過(guò)程方法、保持質(zhì)量管理體系的要求。 　　2、對(duì)每一個(gè)過(guò)程（包括產(chǎn)品實(shí)現(xiàn)所需的過(guò)程、質(zhì)量管理體系體系實(shí)施所需的過(guò)程），都應(yīng)按照標(biāo)準(zhǔn)4.1條款a)~f)提出的具體要求實(shí)施連續(xù)的控制。應(yīng)使過(guò)程達(dá)到期望的結(jié)果，以體現(xiàn)過(guò)程管理的連續(xù)性。 　　3、將以過(guò)程為基礎(chǔ)的質(zhì)量管理體系模式，作為一個(gè)體系的大過(guò)程實(shí)施系統(tǒng)的管理，把各過(guò)程有機(jī)地聯(lián)系起來(lái)。將相互關(guān)聯(lián)的過(guò)程作為系統(tǒng)加以識(shí)別和理解，有利于實(shí)現(xiàn)組織的方針和目標(biāo)。過(guò)程方法應(yīng)與管理的系統(tǒng)方法結(jié)合實(shí)施，以體現(xiàn)過(guò)程管理的系統(tǒng)性。 　　4、突出過(guò)程間的相互作用。應(yīng)用過(guò)程方法拓寬了標(biāo)準(zhǔn)的內(nèi)容和要求，如以顧客為關(guān)注的焦點(diǎn)、顧客滿意、質(zhì)量管理體系的策劃、職責(zé)權(quán)限與溝通、資源管理、過(guò)程的監(jiān)視和測(cè)量、數(shù)據(jù)分析、持續(xù)改進(jìn)等。這些內(nèi)容都是過(guò)程方法應(yīng)用中不可缺少的重要環(huán)節(jié)，互相之間具有緊密的聯(lián)系，體現(xiàn)了過(guò)程管理的關(guān)聯(lián)性。 　　5、實(shí)現(xiàn)過(guò)程管理的程序化和定量化。管理過(guò)程和過(guò)程中的每一個(gè)環(huán)節(jié)要有符合運(yùn)行對(duì)象需要的合理程序，這樣過(guò)程才能有效運(yùn)行。所以，程序具有十分重要的作用。為此，應(yīng)加強(qiáng)監(jiān)視和測(cè)量，通過(guò)數(shù)據(jù)分析反映過(guò)程中各種因素之間的動(dòng)態(tài)關(guān)系，反映過(guò)程的輸入和輸出特性及其活動(dòng)和業(yè)績(jī)，實(shí)現(xiàn)過(guò)程的量化管理。這是進(jìn)行過(guò)程管理和控制的兩個(gè)重要環(huán)節(jié)，體現(xiàn)了過(guò)程管理的可控性。 　　6、對(duì)過(guò)程實(shí)施PDCA動(dòng)態(tài)循環(huán)管理，促進(jìn)過(guò)程增值。要對(duì)每個(gè)過(guò)程循環(huán)開(kāi)展策劃－實(shí)施－檢查－改進(jìn)活動(dòng)，及時(shí)對(duì)質(zhì)量目標(biāo)的實(shí)現(xiàn)情況、產(chǎn)品質(zhì)量、過(guò)程能力、顧客滿意度進(jìn)行考核，促進(jìn)組織持續(xù)進(jìn)行改進(jìn)過(guò)程的能力和業(yè)績(jī)，以體現(xiàn)過(guò)程管理的有效性。 　　三、組織如何采用過(guò)程方法改進(jìn)質(zhì)量管理體系認(rèn)證 　　1、開(kāi)展過(guò)程的評(píng)價(jià)，識(shí)別改進(jìn)的區(qū)域。對(duì)過(guò)程進(jìn)行評(píng)價(jià)，應(yīng)回答ISO9001：2008標(biāo)準(zhǔn)2.8.1條款提出的四個(gè)基本問(wèn)題：過(guò)程已被識(shí)別并適當(dāng)規(guī)定；職責(zé)是否已被分配；程序是否得到實(shí)施和保持；在實(shí)現(xiàn)所要求的結(jié)果方面，過(guò)程是否有效。通過(guò)過(guò)程評(píng)價(jià)，尋找改進(jìn)的輸入。 　　2、通過(guò)對(duì)數(shù)據(jù)的收集和分析，識(shí)別改進(jìn)產(chǎn)品、過(guò)程、體系的機(jī)會(huì)。其中，顧客（包括內(nèi)部和外部）對(duì)過(guò)程輸出滿意與否的反饋，是持續(xù)改進(jìn)過(guò)程的根本輸入，也是做出準(zhǔn)確決策的依據(jù)。 　　3、完善質(zhì)量方針，實(shí)施目標(biāo)管理。明確產(chǎn)品、過(guò)程、體系的質(zhì)量目標(biāo)要求，建立目標(biāo)管理體系。應(yīng)不斷改進(jìn)、完善、充實(shí)、提高質(zhì)量方針、目標(biāo)的要求，以實(shí)施改進(jìn)。 　　4、建立有內(nèi)部審核、管理評(píng)審、糾正和措施三個(gè)環(huán)節(jié)組成的自我完善機(jī)制，實(shí)施有序的管理。要以過(guò)程那為基礎(chǔ)，按照過(guò)程方法的要求，以過(guò)程的有效性為目的開(kāi)展內(nèi)部審核活動(dòng)。通過(guò)故管理評(píng)審做出科學(xué)、合理的改進(jìn)決策。通過(guò)糾正和措施提高組織滿足要求的能力。

iso45001認(rèn)證和ISO14001體系有從標(biāo)準(zhǔn)上看很多共同點(diǎn)，能夠互相兼容，有效地實(shí)現(xiàn)體系的一體化。 一、ISO14001與OHSAS18001體系的共同性 1、兩個(gè)體系均屬于規(guī)范化、文件化、系統(tǒng)化的管理體系：ISO14001環(huán)境管理體系是國(guó)際標(biāo)準(zhǔn)化組織（ISO）在1996年9月發(fā)布的認(rèn)證標(biāo)準(zhǔn)，后經(jīng)我國(guó)有關(guān)部門(mén)等同轉(zhuǎn)化為我國(guó) 標(biāo)準(zhǔn)。OHSAS18001是英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)（BS1）等12個(gè)組織在1999年發(fā)布的職業(yè)管理體系規(guī)范。也經(jīng)我國(guó)有關(guān)部門(mén)轉(zhuǎn)化成相應(yīng)的認(rèn)證試行標(biāo)準(zhǔn)。兩個(gè)標(biāo)準(zhǔn)均為規(guī)范化的管理體系，由17個(gè)管理要素構(gòu)成，并對(duì)各管理要素提出了明確的要求。這些要求絕大部分也是相似的。由于這二個(gè)體系從形式到內(nèi)容均有非常多的共同性，對(duì)實(shí)現(xiàn)體系的一體化具有很好的基礎(chǔ)。 2、兩個(gè)體系都遵循相同的管理模式：兩個(gè)體系都共同遵循策劃（P）—實(shí)施（D）—檢查與糾正（C）—評(píng)審改進(jìn)（A）的管理模式，通過(guò)PDCA的循環(huán)，實(shí)現(xiàn)管理體系和績(jī)效的持續(xù)改進(jìn)。 3、兩個(gè)體系均強(qiáng)調(diào)方針、目標(biāo)、運(yùn)行控制與環(huán)境因素（或危險(xiǎn)源）的一致性。即方針要符合環(huán)境影響（或風(fēng)險(xiǎn)）的性質(zhì)與規(guī)模，而所評(píng)價(jià)出的重要環(huán)境因素（或重大風(fēng)險(xiǎn)）均應(yīng)通過(guò)目標(biāo)、管理方案及運(yùn)行控制程序進(jìn)行控制。 4、兩個(gè)體系的管理要素極為相似：兩個(gè)體系均包括五個(gè)部分、共17個(gè)管理要素，從方針到管理評(píng)審要素的設(shè)置完全相同。雖然個(gè)別要素的名稱(chēng)略有差別，但管理功能基本相同。兩個(gè)體系的17個(gè)管理要素的對(duì)照見(jiàn)下表。 要素號(hào) ISO14001 iso45001 4.2 環(huán)境方針 職業(yè)方針 4.3.1 環(huán)境因素 危險(xiǎn)源辨識(shí)、風(fēng)險(xiǎn)評(píng)價(jià)和風(fēng)險(xiǎn)控制、策劃 4.3.2 法律及其他要求 法律及其他要求 4.3.3 目標(biāo)和指標(biāo) 目標(biāo) 4.3.4 環(huán)境管理方案 職業(yè)管理方案 4.4.1 組織結(jié)構(gòu)和職責(zé) 機(jī)構(gòu)和職責(zé) 4.4.2 培訓(xùn)、意識(shí)和能力 培訓(xùn)、意識(shí)與能力 4.4.3 信息交流 協(xié)商與交流 4.4.4 環(huán)境管理體系文件 文件 4.4.5 文件控制 文件與資料控制 4.4.6 運(yùn)行控制 運(yùn)行控制 4.4.7 應(yīng)急準(zhǔn)備和響應(yīng) 應(yīng)急準(zhǔn)備與響應(yīng) 4.5.1 監(jiān)測(cè)和測(cè)量 績(jī)效測(cè)量與監(jiān)測(cè) 4.5.2 不符合、糾正與措施 事故、事件、不符合、糾正與措施 4.5.3 記錄 記錄及記錄管理 4.5.4 環(huán)境管理體系審核 審核 4.6 管理評(píng)審 管理評(píng)審 體系的共同性為實(shí)現(xiàn)二個(gè)體系的一體化提供了基本條件。 另外從企業(yè)實(shí)際管理中，環(huán)境管理和職業(yè)管理也存在著很多共通性，例如：①環(huán)境管理和管理的任務(wù)相似，即改善環(huán)境或績(jī)效以及環(huán)境或事故；②環(huán)境管理和管理涉及到企業(yè)中所有部門(mén)和活動(dòng)并與全體員工有關(guān)；③在相當(dāng)多的企業(yè)中，將環(huán)境與管理設(shè)在同一個(gè)部門(mén)（例如：環(huán)保處），這些均能體現(xiàn)出這二種管理的共通性。 由于上述管理和環(huán)境管理的共通性，以致很多企業(yè)在建立上述兩個(gè)體系時(shí)，就把建立、推進(jìn)體系的任務(wù)放在了同一個(gè)部門(mén)；又由于ISO14001和OHSAS18001兩個(gè)管理體系的共同性，很多企業(yè)在建立體系時(shí)就把兩個(gè)體系整合為一個(gè)體系（例如：稱(chēng)為環(huán)境與管理體系）。建立了一套體系文件，同時(shí)實(shí)施運(yùn)行，完全實(shí)現(xiàn)了二種體系的一體化。這樣就對(duì)認(rèn)證機(jī)構(gòu)提出了ISO14001環(huán)境管理體系和OHSAS18001職業(yè)管理體系實(shí)施一體化審核的要求。 二、體系文件的一體化 OHSAS18001職業(yè)管理體系ISO14001環(huán)境管理體系的文件體系相同，一般都由手冊(cè)、程序文件和作業(yè)指導(dǎo)書(shū)（或操作規(guī)程）三級(jí)文件所構(gòu)成。在建立一體化的管理體系時(shí)，能否將兩個(gè)體系的文件融合成一套體系文件，是大家比較關(guān)心的問(wèn)題。在我們審核的企業(yè)中，不少均已成功地實(shí)現(xiàn)了兩個(gè)體系文件的整合。取得了成功的經(jīng)驗(yàn)?，F(xiàn)將一體化文件的主要結(jié)構(gòu)和編寫(xiě)時(shí)的注意事項(xiàng)分述如下： 1、管理手冊(cè) 二個(gè)體系的管理手冊(cè)可以編成一本手冊(cè)（例如稱(chēng)為：環(huán)境與管理手冊(cè)）。實(shí)現(xiàn)文件的一體化。只是在每個(gè)要素的描述中，要注意覆蓋18001和14001兩個(gè)體系的要求，二個(gè)體系的要求有的是相同的，但也有不少不同點(diǎn)，編寫(xiě)時(shí)不能忽視。例如： （1）在4.2職業(yè)方針中，就有“傳達(dá)到全體員工，使其每個(gè)人都認(rèn)識(shí)到其在職業(yè)方面的義務(wù)”和“定期進(jìn)行評(píng)審，確保其適宜性”等規(guī)定，這在環(huán)境方針中是沒(méi)有的。 （2）在4.3.1中，兩個(gè)體系的描述有很大區(qū)別，應(yīng)分別寫(xiě)成二個(gè)部分以覆蓋二個(gè)體系的不同要求。例如：對(duì)識(shí)別范圍的要求，對(duì)評(píng)價(jià)結(jié)果分級(jí)的要求和對(duì)控制策劃的要求都很難用同一段文字覆蓋二個(gè)體系的不同要求。 （3）在4.4.1中，增加了對(duì)管理者代表的職務(wù)級(jí)別的規(guī)定；并規(guī)定：對(duì)組織的活動(dòng)、設(shè)施和過(guò)程實(shí)施管理，操作和驗(yàn)證的人員均要規(guī)定作用職責(zé)和權(quán)限；所有承擔(dān)管理職責(zé)的人員都應(yīng)實(shí)現(xiàn)其對(duì)職業(yè)績(jī)效持續(xù)改進(jìn)的承諾。 （4）在4.4.3中，OHSAS18001增加了員工（或員工代表）在體系建立和實(shí)施中應(yīng)參與的活動(dòng)。 另外在4.3.2、4.3.4、4.4.6、4.5.1和4.5.2中，iso45001和ISO14001也有很多不同的要求。所以在編制一本“一體化”的管理手冊(cè)時(shí)，除了要在不同的要素中對(duì)兩個(gè)體系共同的部分進(jìn)行描述外，還應(yīng)該體現(xiàn)出兩個(gè)體系的不同要求。 2、程序文件 （1）對(duì)于標(biāo)準(zhǔn)中要求建立程序的多數(shù)要素，可以編成一體化的程序。例如：4.3.2、4.4.2、4.4.3、4.4.5、4.4.7、4.5.1、4.5.2、4.5.3和 4.5.4等要素。與手冊(cè)編寫(xiě)一樣，在程序中也要注意覆蓋兩個(gè)體系的所有要求。 （2）對(duì)于4.3.1“環(huán)境因素識(shí)別和評(píng)價(jià)”與“危險(xiǎn)源辨識(shí)，風(fēng)險(xiǎn)評(píng)價(jià)和風(fēng)險(xiǎn)控制策劃”應(yīng)該分別編寫(xiě)二個(gè)程序文件，以使其具有較好的可操作性。 （3）對(duì)于4.4.6運(yùn)行控制程序 A) ISO14001環(huán)境管理體系中要求，對(duì)與所認(rèn)定的重要環(huán)境因素相 關(guān)的運(yùn)行與活動(dòng)，制定運(yùn)行控制程序。對(duì)一個(gè)生產(chǎn)型企業(yè)來(lái)說(shuō)， 一般應(yīng)包括下列運(yùn)行控制程序。 a. 水污染控制程序 b. 大氣污染控制程序 c. 噪聲控制程序 d. 固體廢棄物管理程序 e. 能源管理程序 f. 原材料管理程序 g. 油品、化學(xué)品管理程序 h. 環(huán)保設(shè)施管理程序 i. 新建、改建、擴(kuò)建項(xiàng)目環(huán)境保護(hù)管理程序 j. 供方、承包方管理程序 k. 新產(chǎn)品開(kāi)發(fā)設(shè)計(jì)管理程序，等。 B) OHSAS18001職業(yè)管理體系在4.4.6運(yùn)行控制中則要求，對(duì)所認(rèn)定的風(fēng)險(xiǎn)有關(guān)的、需要采取控制措施的運(yùn)行與活動(dòng)，制定運(yùn)行控制文件。對(duì)一個(gè)生產(chǎn)型企業(yè)而言，大體包括： a. 工藝管理程序； b. 設(shè)備與設(shè)施管理程序； c. 化學(xué)品、油品管理程序； d. 員工管理程序； e. 女工保護(hù)管理程序； f. 勞動(dòng)防護(hù)用品管理程序； g. 供方和承包方管理程序； h. 特殊工種管理程序； i. 危險(xiǎn)作業(yè)管理程序； j. 新、改、擴(kuò)建工程管理程序； k. 檢修維護(hù)工作管理程序； l. 電氣管理程序； m. 管網(wǎng)管理程序； n. 廠內(nèi)交通運(yùn)輸管理程序； o. 管理或作業(yè)變更管理程序等。 從上述兩份典型的運(yùn)行控制程序目錄可以看出：兩個(gè)體系能共用的程序只有3-4個(gè)，其余大多數(shù)程序所管理的內(nèi)容不同。所以對(duì)二個(gè)體系的運(yùn)行控制程序而言不要勉強(qiáng)合并。要根據(jù)二個(gè)體系的要求，編制具有可操作性的控制文件。這對(duì)于實(shí)現(xiàn)重要環(huán)境因素與風(fēng)險(xiǎn)的有效控制是必需的。 3、作業(yè)指導(dǎo)書(shū)（或操作規(guī)程） 作業(yè)指導(dǎo)書(shū)（或操作規(guī)程）是指操作崗位所執(zhí)行的作業(yè)文件。對(duì)一個(gè)具體的崗位而言，文件應(yīng)盡量統(tǒng)一， 能實(shí)現(xiàn)文件的單一化。對(duì)于環(huán)境和兩方面是如此，甚至包括質(zhì)量方面的要求都可以變成一份作業(yè)指導(dǎo)書(shū)，使操作者一目了然。例如：對(duì)于一個(gè)電子工廠的波峰焊接機(jī)操作崗位，在一份作業(yè)指導(dǎo)書(shū)上可以先寫(xiě)如何啟動(dòng)運(yùn)行設(shè)備，保障波峰焊的質(zhì)量；又可寫(xiě)明如何避免燙傷等事故；還可寫(xiě)明如何控制含鉛煙塵的排放和妥善處理含鉛廢物等，一個(gè)文件覆蓋三個(gè)體系的管理內(nèi)容。所以對(duì)于第三級(jí)文件，完全可以實(shí)現(xiàn)整合，即對(duì)同一崗位整合成為一份單一的文件。 綜上所述，實(shí)現(xiàn)二個(gè)體系文件的一體化是完全可行的。但要注意既要分別滿足二個(gè)體系的要求，又要適合實(shí)際管理和操作的需要。在這個(gè)前提下使文件盡量簡(jiǎn)化。 三、一體化審核 兩個(gè)體系的審核也具有很多共同性。例如： 1、采用同樣的審核程序 ISO14001環(huán)境管理體系審核的審核程序是按照ISO14011《環(huán)境審核指南—審核程序—環(huán)境管理體系審核》進(jìn)行的。在OHSAS18001職業(yè)管理體系的審核中，同樣遵循了類(lèi)似的程序。并且在審核的策劃和準(zhǔn)備、審核的實(shí)施、糾正措施的跟蹤等，都規(guī)定了基本相同的要求。兩個(gè)體系審核采用同樣程序，是實(shí)現(xiàn)二個(gè)體系審核一體化的基礎(chǔ)。 這里需要指出的是：根據(jù) 環(huán)認(rèn)委發(fā)布的環(huán)境管理體系認(rèn)證機(jī)構(gòu)認(rèn)可基本要求（CACEB：EA-110）的規(guī)定：環(huán)境管理體系的審核分為二個(gè)階段進(jìn)行。即： 階段審核和第二階段審核。而 職業(yè)衛(wèi)生管理體系認(rèn)證指導(dǎo)委員會(huì)規(guī)定的職業(yè)管理體系的審核分為：初始審核和正式審核二個(gè)階段。二個(gè)體系審核所采用的名稱(chēng)不同。但仔細(xì)研究每個(gè)階段的審核任務(wù)和審核內(nèi)容后則不難發(fā)現(xiàn)，職業(yè)管理體系審核中的初始審核和正式審核，分別與環(huán)境管理體系的 階段審核和第二階段審核是基本相同的。下面以初始審核為例加以說(shuō)明。 初始審核的目的為： （1）收集組織職業(yè)狀況及與體系有關(guān)的必要的信息； （2）確定正式審核的可行性及條件； （3）確定審核范圍。 初始審核的內(nèi)容：包括： （1）文件審核； （2）危險(xiǎn)源的識(shí)別、風(fēng)險(xiǎn)評(píng)價(jià)及基本控制情況； （3）法律法規(guī)的獲取和相關(guān)法規(guī)的符合情況； （4）方針、目標(biāo)和管理方案的合理性； （5）機(jī)構(gòu)和職責(zé)的設(shè)置； （6）內(nèi)審和管理評(píng)審的有效性。 以上職業(yè)管理體系初始審核的目的和內(nèi)容與環(huán)境管理體系 階段審核的目的和內(nèi)容幾乎是完全相同的。所以在實(shí)施審核時(shí)，完全可以實(shí)現(xiàn)二個(gè)體系審核的一體化。 2、采用同樣的審核方法 職業(yè)管理體系審核的審核方式和審核方法與環(huán)境管理體系也是相同的。均采取以部門(mén)審核為主線、結(jié)合要素審核的方式；現(xiàn)場(chǎng)審核則同樣采用詢(xún)問(wèn)交談，查閱文件和記錄，以及現(xiàn)場(chǎng)查證的方法。因此在審核員實(shí)施審核時(shí)也很容易地將二個(gè)體系的審核融合在一起。 3、一體化審核的實(shí)施 （1）審核員的配置 實(shí)施一體化審核的審核員應(yīng)同時(shí)具備二個(gè)體系注冊(cè)審核員的資格。即同一個(gè)審核員既是環(huán)境管理體系 注冊(cè)審核員，又是職業(yè)管理體系的 注冊(cè)審核員。 （2）審核計(jì)劃的編制 二個(gè)體系的一體化審核應(yīng)該編制同一的審核計(jì)劃，即同一個(gè)審核員在審核每個(gè)部門(mén)時(shí)，同時(shí)審核二個(gè)體系。 在確定每個(gè)部門(mén)所需的審核時(shí)間時(shí)，既要考慮到該部門(mén)的環(huán)境影響的大小，也要考慮到重大風(fēng)險(xiǎn)的多少。對(duì)于審核員任務(wù)的分配也要同時(shí)考慮到二個(gè)體系的需要； （3）現(xiàn)場(chǎng)審核檢查表的編制 審核員所準(zhǔn)備的現(xiàn)場(chǎng)檢查表應(yīng)覆蓋兩個(gè)體系的要求。在17個(gè)要素中雖然大部分要求是相同的，但在審核時(shí)也有不少區(qū)別。例如：對(duì)要素4.3.1環(huán)境因素（危險(xiǎn)源辨識(shí)、風(fēng)險(xiǎn)評(píng)價(jià)與風(fēng)險(xiǎn)控制策劃）審核時(shí)，既要審核環(huán)境因素的識(shí)別評(píng)價(jià)又要審核危險(xiǎn)源的識(shí)別評(píng)價(jià)；又如：在對(duì)4.4.6審核時(shí)，既要審核有關(guān)環(huán)境方面的運(yùn)行控制程序的執(zhí)行，又要審核職業(yè)方面的運(yùn)行控制的情況，不能有任何偏廢。 （4）不符合項(xiàng)的確定 審核員應(yīng)充分理解ISO14001和OHSAS18001兩個(gè)體系在各個(gè)要素上的要求，要根據(jù)兩個(gè)體系的要求，分別確定不符合項(xiàng)。如果一個(gè)事實(shí)僅不符合14001（或18001）某條款的要求，則開(kāi)14001（或18001）的不符合項(xiàng)；如果同一事實(shí)既不符合14001的要求又不符合18001的要求，也可以開(kāi)為一個(gè)共用的不符合項(xiàng)。分別注明不符合兩個(gè)標(biāo)準(zhǔn)的要素號(hào)。 （5）審核報(bào)告 由于目前我國(guó)對(duì)于二個(gè)管理體系的認(rèn)證的管理分屬于二個(gè)認(rèn)可委員會(huì)。所以審核組長(zhǎng)在編寫(xiě)體系的審核報(bào)告時(shí)，應(yīng)根據(jù)二個(gè)認(rèn)可委員會(huì)的要求，分別編寫(xiě)環(huán)境管理體系審核報(bào)告和職業(yè)管理體系審核報(bào)告。 四、OHSAS18001與ISO14001審核中的區(qū)別 由于OHSAS18001與ISO14001體系具有很多共同性，而且審核程序也相同，因此可以實(shí)現(xiàn)兩個(gè)體系的一體系化審核。但在實(shí)施一體化審核時(shí)也不能忽視兩個(gè)體系在審核中的區(qū)別。 首先我們應(yīng)該充分重視兩個(gè)體系各個(gè)管理要素要求的區(qū)別。雖然兩個(gè)體系要素的設(shè)置是相同的，每個(gè)要素的功能也基本相同。但仔細(xì)研究后，你會(huì)發(fā)現(xiàn)，在一部分要素中仍然存在著差別，有的差別甚至還比較大。關(guān)于這方面的內(nèi)容，準(zhǔn)備在另外的文章中討論。 在這里，我們僅討論在一體化體系審核中有關(guān)職業(yè)審核方面應(yīng)注意的問(wèn)題。 1、要更加重視對(duì)現(xiàn)場(chǎng)狀況的審核 由于職業(yè)管理體系中的重大風(fēng)險(xiǎn)分布面廣，可能分布在很多作業(yè)場(chǎng)所，所以審核中要更加重視現(xiàn)場(chǎng)的審核，在現(xiàn)場(chǎng)審核中應(yīng)充分重視以下幾方面的狀況： （1）各類(lèi)危險(xiǎn)源是否已被辨識(shí)出來(lái)，是否有遺漏；重大風(fēng)險(xiǎn)的評(píng)價(jià)結(jié)果是否合理； （2）高風(fēng)險(xiǎn)場(chǎng)所的設(shè)施是否妥善，例如：防火、防爆、防化學(xué)傷害，防機(jī)械傷害的設(shè)施、設(shè)備是否完善；管理程序和作業(yè)文件是否健全，檢測(cè)、報(bào)警、消防以及其他應(yīng)急措施是否處在正常狀態(tài)； （3）危險(xiǎn)作業(yè)及其相關(guān)的控制是否有效，例如：對(duì)高空作業(yè)的管理，對(duì)動(dòng)火作業(yè)的管理等； （4）作業(yè)環(huán)境與個(gè)人防護(hù)是否符合法規(guī)或程序文件的要求。 2、要更加重視員工意識(shí)和對(duì)作業(yè)規(guī)程掌握程度的審核 造成事故的原因有兩類(lèi)：一是物的不狀態(tài)，二是人的不行為，所以既使設(shè)施、設(shè)備方面的不狀態(tài)被控制了，而人的不行為也常常會(huì)造成事故。例如：高空作業(yè)時(shí)不系帶，在有高空墜物的危險(xiǎn)場(chǎng)所不戴帽，機(jī)動(dòng)車(chē)輛的疲勞駕駛等。所以審核中要更加重視對(duì)作業(yè)人員的審核，特別是與高風(fēng)險(xiǎn)作業(yè)有關(guān)的作業(yè)人員。 3、職業(yè)管理體系的適用范圍 ISO14001環(huán)境管理體系的范圍包括組織的活動(dòng)、產(chǎn)品和服務(wù)；而在OHSAS18001職業(yè)管理體系的適用范圍中，明確規(guī)定“本標(biāo)準(zhǔn)僅適用于職業(yè)，而不適用于產(chǎn)品和服務(wù)。”所以在審核時(shí)要注意：對(duì)于企業(yè)所生產(chǎn)的產(chǎn)品在使用中的性能，不包括在范圍之中。在審核時(shí)應(yīng)該注意這一要求。 OHSAS18001和ISO14001是完全能夠?qū)崿F(xiàn)一體化及一體化審核的。這樣做可以為組織節(jié)省管理資源和迎審工作量，對(duì)認(rèn)證機(jī)構(gòu)也可以節(jié)省審核工作量，降低審核費(fèi)用，并便于企業(yè)實(shí)現(xiàn)管理上的一體化。因此，兩個(gè)體系的一體化審核有很重要的意義。