昌江县ISO体系认证审核员在当地快15天出证

iso9001:2015认证中的外部供方有哪些要求? ISO 9001：2015标准中给出的例子包括为组织提供产品或服务的供应商、承包方、生产商、分销商、零售商或小商小贩。外包机构是执行组织的部分职能或过程的外部组织。 ISO 9001：2015的8.4条款是有关外部提供过程、产品和服务控制的相关要求。但与外部供方的相关活动在本标准的其他条款也有提及或意指。 4.1条款“理解组织及其所处环境”要求“组织应确定与其宗旨和战略方向相关并影响其实现质量管理体系预期结果的能力的各种外部和内部因素”。 这个条款指出的情况可能是个问题，也可能是个积极的因素。组织的关键外部供方可能处于整合、能力扩张或探索新领域的不同发展阶段。这种情况可能是积极的，因为它可能有助于组织的发展或顾客满意度。 如果您的组织在技术发展和收入上长期依赖外部供方，那么您的组织必须对相关的因素保持适当的关注和评价。因为这是4.1条款的要求。 外部供方也可能是4.2条款涉及的相关方，“组织应对相关方及其要求的相关信息进行监控和评审”。 有些人会问，“对外部供方有哪些要求”？这方面应考虑诸如是否有公正而透明的招标及付款程序，供方的产品和服务的质量，或者它的生命周期管理等内容。 5.2.2.C条款要求组织所制定的质量方针“可为相关方所获取”。许多组织在与其相关方签署的合约中包括了对外部供方的质量要求。组织的质量方针可以在这些文件中明确，也可以在其官网上显示。这仅是满足本条款要求的两种可参考方法。 这个条款旨在确保外部供方了解组织的质量追求和组织的意图，因此，如果您的组织在方针中提出“世界 品质”或“卓越绩效”之类的方向，那么外部供方就更理解在双方协议中强调的质量、可靠性和按时交货的高期望值。 外部供方要求 ISO 9001：2015 8.4.1条款要求“组织应确保由外部供方提供的过程、产品和服务符合要求”。这意味着组织在做出采购决定时，组织已经进行了全盘的考虑，对需要采购的商品或外购的服务非常清楚，并且明白使用外部供方的风险和机遇。 供方的风险和机遇可能因交付产品或服务方式的不同而有所区别。可能有以下情形： 供方的产品或服务作为组织的整体报价一部分的，比如，作为产品清单中的一部分零部件，或作为咨询服务，或第三储服务； 以组织的名义将产品或服务直接提供给客户，比如现场产品安装服务，或运营服务，或维修服务； 向客户提供的过程，比如维修服务的过程之一——在保修替换服务时回收有缺陷零部件的工作。 识别并应用准则 在编制对外部供方的评价和选择准则时，考虑的重要因素宜包括诸如质量、按时交货、成本或供方的环境可持续性等内容。决定使用一个供方时，应考虑在整个生命周期的使用成本而不仅仅是初始成本，这是非常重要的。 在外购产品或服务的时候考虑相关的风险和机遇，可以思考以下问题：“对哪些外部供方需要采取这种控制措施？”“不采取任何措施的风险是否可接受？”“与该供方建立长期的合作关系是否能带来机遇，比如能够带来技术的进步或者有合作创新的潜力？” 评价和选择 可以用一个跨部门的团队对外部供方进行现场评价，去判定供方是否具备满足当前和未来需求的能力。 在评价未来需求时一定要考虑灵活性。在满足需求方面大部分的外部供方都有一定的弹性，但是有可能他们的产品或服务质量会受到很大影响。 进行评价的结果应体现在对外部供方的选择或资格状态做出的结论，如批准，有条件的批准或不批准。评价小组可能需要完成其他的尽职调查工作，比如由客户要求的或由于商品的特殊性决定的生产件批准程序。 绩效监视 对外部供方的先期评价和选择需要明确供方是否具备交付组织需要的产品或服务的能力并建立了相关流程。对供方绩效的监视则将之前的评价和实际结果联系起来。没有结果的流程是无用的，而没有流程的结果则是不可持续的。 对供方进行的定期绩效评价能确保一致的表现和持续改进。这种评价不能仅仅停留在文件审核上。在评价时组织必须深入了解供方，并提供切实有助于供方改进的反馈信息。对风险和机遇进行定期评价以确保及时采取相关措施也是必要的，这样能够确保及时发现新情况并纳入监视范围。这种的监视有助于确保减少风险、有效改进并且避免因供方组织内部原因造成产品和服务质量的下降。 再评价 供方的情况可能发生各种变化。供方的管理、工作优先重点可能会有变化，有时产品或者流程方面的调整也可能未及时与组织沟通。根据绩效指标，供方的业务成熟度以及产品或服务的关键急迫程度，组织可以选择对供方实施再评价的安排；再评价可以是完整的评价，也可以是针对某些领域的评价。 新版标准8.4.2 D条款要求组织“确定必要的验证或其他活动，以确保外部提供的过程、产品和服务满足要求”。为了满足这项要求，组织需要实施定期的现场审核，控制进货质量，实行持续的可靠性测试，采用严谨的变更批准制度并确保持续和有效的沟通。 财产控制 8.5.3 条款扩展了财产控制的外延，现在的范围已不仅仅包括组织的顾客，也将外部供方包括在内。 这种控制可以是双向的， 可以是外部供方对发包方组织财产的控制，也可以是组织对外部供方财产的控制。组织可能把以下财产委托给外部供方：原料；专有工具的运输；组织的产品或服务使用到的软件。 外部供方的财产可以是有形的，比如设备、原料、工具、装置或图纸；也可以是无形的，比如提供知识产权类信息。组织必须按照合同约定明确责任和义务，并且妥善保管外部供方的财产。 对于安装或使用在组织的产品或服务上的外部供方财产，组织也需要明确对其进行识别、核查、保护并保全的责任，这也包括明确定期维修的责任。组织还要确保制定了财产丢失、财产损毁或发现不合用情况下的报告流程。 9.1.3条款和9.3条款的“分析与评价”及“管理评审”也涉及了外部供方的内容。9.1.3要求进行适当的数据信息分析与评价，且这些数据和信息是来自对供方绩效的监视与测量活动。9.3.2.C7管理评审应考虑将关注外部供方的绩效作为输入内容之一，这方面信息可以包括基于对供方的监视和测量得到的风险与机遇的相关信息。

在制定和实施食品管理体系和提高其有效性时鼓励采用过程方法，以获得食品和服务的活动得以加强，并满足适用的要 求。过程方法包括按照组织的食品方针和战略方向，对各过程及其相互作用，系统地进行规定和管理，从而实现预期结果。可 通过采用 PDCA 循环以及基于风险的思维对过程和体系进行整体管理，从而有效利用机遇并防止发生非预期结果。 一、策划过程 策划过程可分成若干个子过程，这些子过程是建立食品管理体系必须要加以识别和管理的，可分为以下七点。 一是，组织环境的识别和评审过程，其包括组织内外部环境和相关方需求识别与评审过程，食品管理体系范围的确定过程。 二是，管理体系策划过程，包括方针、目标、组织框架及职责权限、应对风险的措施等。 三是，人力资源管理过程。食品行业的人力资源管理有别于其他行业，注重员工管理，食品意识及食品小组的能力要 求。 四是，基础设施和工作环境管理过程。根据食品行业类别，按不同的食品法规要求，对基础设施和工作环境加以管理。 五是，外部提供的过程、产品和服务控制过程。供方的考核评价及原辅料进厂验收要求，包括对外部供方许可资质管理等内容。 六是，内外部信息沟通过程。着重食品链上下游组织在食品方面的信息沟通，包括与监管部门、供方、顾客等相关组织的信息 沟通。 七是，成文信息控制过程。关注记录保存期限与法律法规要求的符合性。 二、运行过程 运行过程该本标准的核心过程，存在另一个PDCA循环，包含了标准第8章所述的FSMS内的各种运行过程，可分为以下若干个子过程。 前提方案建立实施过程，依据组织所处的食品链的位置，确定相应的前提方案，如良好操作规范、良好兽医规范、良好分销规范可 追溯性过程。根据标准要求，追溯系统应能够 地识别供应商来料和终产品的初始分配路线应急准备与响应过程，组织首先应识 别出那些与食品相关的潜在的紧急情况，并制订出相应的应急方案，并要求对方案进行测试危害分析与评价及控制计划的建立 过程，根据HACCP七个基本原理的要求建立实施该过程。值得特别关注的是，新标准要求关键限值应可测量，操作性前提方案（OPRP ）的行动标准可测量或可观察。另外还包括控制措施确认过程、危害控制计划的实施与监视过程、验证过程、不合格产品控制过程 （包括产品撤回），这些过程与旧标准要求无太多变化。 三、食品管理体系的绩效评价过程 食品管理体系的绩效评价过程包括对监视和测量、验证活动结果所获取的数据和信息，以及对前提方案和危害控制计划实施情 况的监测结果的分析与评价，同时包括内部审核和管理评审活动，以确定FSMS的绩效情况。该过程可分为：分析与评价过程、内部 审核过程、管理评审过程。 四、改进过程 组织应持续改进食品管理体系的适宜性、充分性和有效性，并根据与相关方沟通的结果、验证活动结果分析的输出以及管理评 审的输出更新FSMS，该过程可分为持续改进过程、食品管理体系更新过程。综合上述分析，基本已识别食品管理体系的主 要过程，组织可以按过程方法的要求，形成过程清单，如附表所示，以便管理食品管理体系。 除上述过程外，组织还应考虑基于风险的思维，识别食品管理体系其他过程。基于风险的思维也分为两个层次，组织层面的和 认证运行层面的。运行层面的过程识别已包含上述第二大过程（运行过程）中。组织层面的过程识别，可参照标准6.1.1条款之规定：“ 策划食品管理体系时，组织应考虑到4.1中涉及的事项”。同时，标准4.1指出：“考虑各种内外部因素，包括但不限于国际、 国内、地区和当地的各种法律法规、技术、竞争、市场、文化、社会、经济因素、网络和食品掺假、食品防护和故意污染”。 因此，还需识别非传统食品危害控制过程：食品防欺诈过程、人为破坏和蓄意污染过程

ISO27001认证信息风险评估 目的：实施风险评估，识别不可接受风险，明确管理目标。 内容：风险评估是整个风险管理的基础，本阶段将根据前期策划的风险评估方法。 包括：a. 根据业务要求及信息的密级划分，对信息资产的重要程度进行判定，识别对关键核心业务具有关键 作用的信息资产清单;对重要信息资产从内部及外部识别其所面临的威胁; b. 根据威胁，从管理和技术两方面识别重要信息资产所存在的薄弱点; c. 根据风险评估的方法指南，对威胁利用薄弱点对重要信息资产所产生的风险在保密性、完整性、可 用性三方面所造成的影响进行评价;评价威胁利用薄弱点引发风险事件的可能性; d. 根据风险影响及发生的可能性评价风险等级; e. 根据信息方针，各核心业务流程的要求，与管理层进行沟通，确定不可接受风险等级的标 准; f. 针对不可接受的高风险，制定风险处理计划，从ISO27002及顾问的行业经验来选择适宜的风险管 控措施;实施所选择的控制措施，降低、转移或风险; g. 编写风险评估报告。

1. 由于外包是由外部组织完成的，对外包组织的控制相对于组织内部，较为困难。这些控制包括资源保障（包括设备、人力资源、信息等）、过程策划、过程控制、监视和测量、产品标识和可追溯性等。 2. 外包方作为一种资源，受限于地理区域或其它原因，有时是稀缺的，如电镀厂。一个区域可能仅存在一家电镀厂，产品需要电镀只能选择这一家，电镀厂就缺乏动力来迎合组织提出的管理或协作要求。组织很难通过自身努力来改善这些现状。 3. 外包的过程、产品和服务虽然对组织很重要，但外包费用不高，无法引起外包方的重视。如快递一台仪器，虽然运输过程中的产品防护非常重要，但由于快递费用有限，承运方对产品防护的要求仅能按其快递规范来执行，企业很难对承运方施加足够的控制。这一现象在中小企业当中更为明显。 4. 现代经济是分工和协作的经济，一个组织的外包活动通常非常多。认证审核组在有限的工作时间内对挑出的重要外程中进行检查，通常只能查个皮毛，仅对控制的形式和结果作评价，对有效性和适宜性无法深入检查。 5. 外包的运作和控制有时分布在采购部门之外，在其它部门检查时容易忽视对外包的审核。 6. 认证准则中关于外包的要求描述的很抽象，审核组很难作出外程控制是否适宜、有效的结论。 四）常见的外包形式和控制方法。 1）常见的外程及存在形式： 过程外包：设计外包、生产外包、工序（加工）外包、运输外包、售后外包等； 职能外包：培训外包、食堂管理外包、计量管理外包、设备维保外包、厂区物业外包等； 2）外包活动控制的方法及分析： A）控制外包方整个管理体系的控制，参与外包方管理体系的策划和监视，如PPAP。 相关概念： Production Part Approval Process 生产件批准程序，即生产件认可过程要求按照事先批准的程序生产制造出的样件用于验证生产能力。 需要提交的保证材料主要有生产件尺寸检验报告外观检验报告功能检验报告 材料检验报告;还包括零件控制方法和供应商控制方法; 主要是制造型企业要求供应商在提交产品时做PPAP文件及首件，只有当ppap文件全部合格后才能提交；当工程变更后还须提交报告。 B）组织二方审核。以组织的名义对其供方实施现场审核并出具审核结论，审核准则由组织策划决定。外包方需对审核出具的不符合实施整改，并获得组织的认可。审核组可以由组织直接派出，也可以外聘审核员或外包。 C）体系或产品要求通过第三方认证或检测。要求外包方在承包前需获得指定或不指定认证机构的第三方管理体系认证，或要求外包方的产品通过第三方检测机构的委托试验或产品认证，如RoHS认证。 D）合同，质量保证和附加义务约定。一般情况下，组织均会与外包方签订有法律约束力的经济合同。通过合同来约束外包方的责任和义务。关键是看这些合同的条款，是否能保护组织的预期和利益。如果仅仅是外包方的格式合同，通常不能满足体系有效性的要求。 E）驻厂监造/质检/工程师。在外程非常重要，而外包方没有能力保证绩效时，可采用这种比较实用的措施。组织派出的人员，在现场参与策划，批准工艺，参与监视和测量等等，能有力保证外包方的外程满足预期的要求。 F）供应商调查、评价和业绩监视。外包方在承接外包业务之前，需要获得组织的认可。这个认可活动包括外包方的资质能力调查和评价、产品试制或试用，以及持续的外包绩效监视等。必要时，由组织委派审查组对外包方现场实施审查或（专业的、系统的、独立的）二方审核。这些是质量管理体系标准所要求的。环境管理体系则要求组织考虑将外包方的环境义务列入评价准则之中，对确保对外包方实施足够的影响。 G）检验和验证。无论是外包还是采购，检验和验证是有保证力的手段。检验需要投入检验所需资源，涉及管理成本，是组织考虑采用检验还是验证的主要因素。 五）认证审核应考虑的风险和有效性评价准则。 认证机构对申请组织实施认证审核并且颁发认证，是一种信用担保行为。认证机构根据经营环境和自身定位，以及相关方的期望和要求，制定认证评定的准则，对申请组织质量和环境管理体系运行符合性和有效性实施审核和评价，终作出认证决定。也就是说，对于不同的认证机构，不同的申请组织，会有不同的认证评定准则。而不能仅仅是符合法定要求。 评价外包的风险和外包控制的有效性，可以考虑以下几个方面： 1）外包的产品、服务和过程，对组织质量和环境管理体系的影响有多大。 A）如果外包涉及相关方的强制性要求，如法律法规、与组织的顾客签订的合同等，当外包控制失效，就会涉及违法违规或违反合同等恶性事故发生。某些外包的产品、服务和过程涉及性要求，比如说危化品运输，一旦失控，会造成对相关方（包括认证机构）带来很大的风险。 上述这些外包如果失控，应该成为认证评定的否决项。 B）有些外程虽然不涉及强制性要求，但对其公开申明的方针目标有较大的影响，或无法履行对相关方（如顾客）的承诺，或显著影响组织的体系运行（如因外包方未按时交付而导致停产）。这些外包失控产生的风险，主要是会对相关方（顾客、员工、股东、社会等）的利益造成侵害。审核组应在现场评价其风险等级，并出具不符合报告或观察项。 C）实践中，有很多外包对管理体系的影响比较小。组织没有识别或没有实施严格的管理，并不会对管理体系的有效性带来比较大的影响。审核时应抓大放小，或仅与受审核方作适当的交流。 2）外包控制方法的选择。前文已经描述了外包的几种常见的控制方法。实践中，组织常常是根据需要综合利用其中方法。每一种方法，对外包控制均有一定的效果（收益），但同时也均需投入一定的资源（成本）。将收益与成本相比较，就是效率。 以下几种情况，可以认为外包的控制方法或控制效果未达到认证要求： A）不符合GB/T19001-2016《质量管理体系 要求》和GB/T24001-2016《环境管理体系 要求及使用指南》二个标准关于外包控制的条款要求； B）外包的控制程度无法保证产品（和服务）的质量符合规定的要求，如产品的质量特性无法得到验证，无法向相关方证明外包质量受控； C）外包的实际控制效果影响了与相关方签订的合同（如销售订单或与社区签订的环保约定）的履行，如交付时间； D）外包产生的经济损失和运营风险，使组织无法保证具备稳定地履行与相关方签订合同的能力； E）外包的控制效果无法保证组织各层次目标指标的实现。 综上所述，认证审核组应在组织选择外包控制方法所考虑的效率，和认证风险之间取得一个适当的平衡。既不能片面强调组织的资源能力或经济效益，也不能妄顾认证机构的认证风险。