管理评审控制程序
XXXX股份有限公司
2017年12月
ISMS-9.3-A1-V1.0 密级:一般
文档信息
1文档的保存
主控文档（master document）存放在文件服务器上。
2文档修订信息
3文档的审批
4文档的分发
该文档的主控版本存放于文件服务器上，该文档的打印版本仅用作参考并且不在控制范围内。该文档的使用者有责任确保使用的是最新版本。
管理评审控制程序
1目的和范围
1.1通过最高管理者对公司信息安全管理体系的持续适宜性、充分性、有效性的评审，不断改善体系及其运行效果，给公司带来更多利润。
1.2确保信息安全管理体系持续满足ISO27001标准要求。
1.3确保信息安全管理体系能够实现管理方针、目标的要求，提高市场竞争力。
1.4适用于公司工作体系的评审，原则也适用于各部门所管辖范围内的管理体系评审。
2引用文件
下列文件中的条款通过本规定的引用而成为本规定的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
1)ISO/IEC 27001:2013《信息技术-安全技术-信息安全管理体系要求》
2)ISO/IEC 27002:2013《信息技术-安全技术-信息安全管理实施细则》
3)《纠正和预防措施控制程序》
3职责和权限
3.1最高管理者按期进行管理评审；主持管理评审活动；批准管理评审报告。
3.2管理者代表向最高管理者报告体系运行情况，提出关于管理评审建议，协助最高管理者做好有关管理评审的各项工作。负责管理评审实施计划的落实和组织协调工作。审查《管理评审报告》。负责评审后的跟踪的检查及报告并协调落实改进措施中的问题。
3.3最高管理者委托人事行政部负责编制《管理评审计划》，并协助实施管理评审工作，对评审后的跟踪活动具体实施管理。
3.4各部门负责提供评审资料并制定和实施纠正预防措施。
4工作程序
4.1管理评审的时机和频度
1）管理评审的时间每年最少一次，一般在每年年初进行。
2）下特殊情况，可增加评审频度：
a）方针、目标之修改；
b）组织机构之重大调整；
c）公司经营战略、市场环境发生重大变化；
d）信息安全管理体系文件之重大修改或补充；
e）客户投诉/退货，影响重大；
f）事故之重大发生；
a)最高管理者认为需要的其它情况。
4.2管理评审的输入
4.2.1评审输入是为管理评审提供充分和准确的信息，是管理评审有效实施的前提条件。一般而言，管理评审应输入如下信息：
a）审核的结果；
b）顾客反馈；
c）过程的业绩，即一个过程通过资源的投入和活动的开展将输入转化为输出，从而实现增值或间接增值，并达到预期结果的程度的情况，如果某一服务管理体系的过程完全实现了增值并达到了预期的结果，则这一过程的业绩就是令人满意的；
d）产品符合性；
e）预防和纠正措施的状况；
f）以往管理评审的跟踪措施的实施情况；
g）可能影响管理体系的各种变更（包括外界环境的变化而引起的体系的变更，例如出现了新技术、质量概念、社会、相关法律法规的变化，从而导致组织相应的体系变更，也包括自身的变化，例如产品、工艺、组织结构、财务状况等的变更而导致的体系的重大变更）；
h）由于各种原因而引起的有关组织的产品、过程和体系改进的建议。
4.2.2所需评审资料由相关部门负责收集和提供。
4.3管理评审的实施
4.3.1管理评审准备
1）人事行政部制定《管理评审计划》，由管理者代表审核，最高管理者批准后，提前一周下发至相关部门和人员。
2）相关部门根据《管理评审计划》收集整理相应的评审材料，并在三天以内上报技术支持中心。
3）人事行政部将各部门提供的资料收集、整理，确定评审输入的具体内容，编制《管理评审通知单》，并至少提前三天下发，通知参加管理评审的相关人员。4.3.2管理评审会议
1）由最高管理者主持管理评审会议，并确定主题报告人。报告人应简短地说明主要观点、结论及建议。
2）与会者根据评审输入的背景材料、主题报告和本组的实际，对管理体系做出评价。
3）由最高管理者作总结性发言。
4）由指定人员做好管理评审《会议记录》。
4.4管理评审输出
4.4.1管理评审的输出应包括与以下方面有关的任何决定和措施：
1)管理体系及其过程有效性的改进；
2)与顾客要求有关的产品的改进；
3)资源需求；
4)过程、产品的审核。
4.4.2管理评审的输出应形成《管理评审报告》；《管理评审报告》由管理者代表根据《会议记录》组织编写，管理者代表审核，经最高管理者批准后下发到各相关部门。
4.5管理评审的跟踪
4.5.1根据管理评审中发现的问题或需改进的方面，由人事行政部在《管理评审报告》中提出纠正和改进措施。
4.5.2各相关部门根据《纠正预防措施控制程序》进行改进。
4.5.3人事行政部负责改进情况的监督与结果的验证。
4.6记录的保存
管理评审的相关记录由人事行政部负责保存。
5相关记录
5.1ISMS-9.3-D1管理评审通知单
5.2ISMS-9.3-D2管理会议签到表
5.3ISMS-9.3-D3管理评审计划
5.4ISMS-9.3-D4管理评审报告
5.5ISMS-9.3-D5管理体系运行情况报告
