ISO27001認(rèn)證信息風(fēng)險(xiǎn)評(píng)估 目的：實(shí)施風(fēng)險(xiǎn)評(píng)估，識(shí)別不可接受風(fēng)險(xiǎn)，明確管理目標(biāo)。 內(nèi)容：風(fēng)險(xiǎn)評(píng)估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ)，本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評(píng)估方法。 包括：a. 根據(jù)業(yè)務(wù)要求及信息的密級(jí)劃分，對(duì)信息資產(chǎn)的重要程度進(jìn)行判定，識(shí)別對(duì)關(guān)鍵核心業(yè)務(wù)具有關(guān)鍵 作用的信息資產(chǎn)清單;對(duì)重要信息資產(chǎn)從內(nèi)部及外部識(shí)別其所面臨的威脅; b. 根據(jù)威脅，從管理和技術(shù)兩方面識(shí)別重要信息資產(chǎn)所存在的薄弱點(diǎn); c. 根據(jù)風(fēng)險(xiǎn)評(píng)估的方法指南，對(duì)威脅利用薄弱點(diǎn)對(duì)重要信息資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)在保密性、完整性、可 用性三方面所造成的影響進(jìn)行評(píng)價(jià);評(píng)價(jià)威脅利用薄弱點(diǎn)引發(fā)風(fēng)險(xiǎn)事件的可能性; d. 根據(jù)風(fēng)險(xiǎn)影響及發(fā)生的可能性評(píng)價(jià)風(fēng)險(xiǎn)等級(jí); e. 根據(jù)信息方針，各核心業(yè)務(wù)流程的要求，與管理層進(jìn)行溝通，確定不可接受風(fēng)險(xiǎn)等級(jí)的標(biāo) 準(zhǔn); f. 針對(duì)不可接受的高風(fēng)險(xiǎn)，制定風(fēng)險(xiǎn)處理計(jì)劃，從ISO27002及顧問(wèn)的行業(yè)經(jīng)驗(yàn)來(lái)選擇適宜的風(fēng)險(xiǎn)管 控措施;實(shí)施所選擇的控制措施，降低、轉(zhuǎn)移或風(fēng)險(xiǎn); g. 編寫風(fēng)險(xiǎn)評(píng)估報(bào)告。

HSE認(rèn)證管理體系建立過(guò)程 南陽(yáng)（濮陽(yáng)）HSE認(rèn)證企業(yè)開展HSE體系認(rèn)證工作通常要進(jìn)行兩階段工作：建 立和運(yùn)行HSE管理體系； HSE管理體系認(rèn)證審核。 (一)南陽(yáng)（濮陽(yáng)）HSE認(rèn)證建立和運(yùn)行HSE管理體系 1．領(lǐng)導(dǎo)決策和準(zhǔn)備 首先需要 管理者做出承諾，即遵守有關(guān)法律、法規(guī)和其它要求的承諾和 實(shí)現(xiàn)持續(xù)改進(jìn)的承諾。在體系建立和實(shí)施期間 管理者必須為此提供必要的資 源保障。 建立和實(shí)施HSE管理體系是一個(gè)十分復(fù)雜的系統(tǒng)工程， 管理者應(yīng)任命HSE管理 者代表，來(lái)具體負(fù)責(zé)HSE管理體系的日常工作。 管理者還應(yīng)授權(quán)管理者代表成立一個(gè)專門的工作小組，來(lái)完成企業(yè)的初始狀 態(tài)評(píng)審以及建立HSE管理體系的各項(xiàng)任務(wù)。 2.教育培訓(xùn) HSE管理體系標(biāo)準(zhǔn)的教育培訓(xùn)，是開始建立HSE管理體系十分重要的工作。培 訓(xùn)工作要分層次、分階段、循序漸進(jìn)地進(jìn)行，并且必須是全員培訓(xùn)。 3．?dāng)M訂工作計(jì)劃 通常情況下，建立HSE管理體系需要一年以上的時(shí)間，因此需要擬訂詳細(xì)的 工作計(jì)劃。在擬訂工作計(jì)劃時(shí)要注意：目標(biāo)明確、控制進(jìn)程、突出重點(diǎn)。總計(jì)劃 表批準(zhǔn)后，就可制定每項(xiàng)具體工作的分計(jì)劃。與此同時(shí)，還要注意制定計(jì)劃的另 一項(xiàng)重要內(nèi)容是提出資源的需求，報(bào) 管理層批準(zhǔn)。 4．初始狀態(tài)評(píng)審 初始狀態(tài)評(píng)審是建立HSE管理體系的基礎(chǔ)，其主要目的是了解企業(yè)的HSE管理 現(xiàn)狀，為企業(yè)建立HSE管理體系搜集信息并提供依據(jù)。 5．危險(xiǎn)辨識(shí)和風(fēng)險(xiǎn)評(píng)價(jià) 危險(xiǎn)辨識(shí)是整個(gè)HSE管理體系建立的基礎(chǔ)。主要分為：危害識(shí)別、風(fēng)險(xiǎn)評(píng)價(jià) 和隱患治理。 6．體系的策劃和設(shè)計(jì) 主要任務(wù)是依據(jù)初始評(píng)審的結(jié)論，制定HSE方針、目標(biāo)、指標(biāo)和管理方案， 并補(bǔ)充、完善、明確或重新劃分組織機(jī)構(gòu)和職責(zé)。 7．編寫體系文件 HSE管理體系是一套文件化的管理制度和方法，因此，編寫體系文件是企業(yè) 建立HSE管理體系不可缺少的內(nèi)容，是建立并保持HSE管理體系重要的基礎(chǔ)工作， 也是企業(yè)達(dá)到預(yù)定的HSE方針、評(píng)價(jià)和改進(jìn)HSE管理體系、實(shí)現(xiàn)持續(xù)改進(jìn)和事故預(yù) 防必不可少的依據(jù)。 8．體系的試運(yùn)行和正式運(yùn)行 體系文件編制完成以后，HSE管理體系將進(jìn)入試運(yùn)行階段。試運(yùn)行的目的就 是要在實(shí)踐中檢驗(yàn)體系的充分性、適用性和有效性。試運(yùn)行階段，企業(yè)應(yīng)加大運(yùn) 作力度，特別是要加強(qiáng)體系文件的宣貫力度，使全體員工了解如何按照體系文件 的要求去做，并且通過(guò)體系文件的實(shí)施，及時(shí)發(fā)現(xiàn)問(wèn)題，找出問(wèn)題的根源，采取 措施予以糾正，及時(shí)對(duì)體系文件進(jìn)行修改。 經(jīng)過(guò)一段時(shí)間的試運(yùn)行后，體系文件得到了進(jìn)一步完善，這時(shí)就可以進(jìn)入正 式運(yùn)行階段了。在正式運(yùn)行階段發(fā)現(xiàn)的體系文件不適宜之處，就需要按照規(guī)定的 程序要求來(lái)進(jìn)行。 9．內(nèi)部審核 內(nèi)部審核是企業(yè)對(duì)其自身的HSE管理體系所進(jìn)行的審核，是對(duì)體系是否正常 運(yùn)行以及是否達(dá)到預(yù)定的目標(biāo)等所做的系統(tǒng)性的驗(yàn)證過(guò)程，是HSE管理體系的一 種自我保證手段。內(nèi)部審核一般是對(duì)體系全部要素進(jìn)行的審核，可采用集中 式和滾動(dòng)式兩種方式。應(yīng)有與被審核對(duì)象無(wú)直接責(zé)任的人員來(lái)實(shí)施，以保證審核 的客觀、公正和獨(dú)立性。 10．管理評(píng)審 管理評(píng)審是由企業(yè)的 管理者定期對(duì)HSE管理體系進(jìn)行的系統(tǒng)評(píng)價(jià)，一般 每年進(jìn)行一次，通常發(fā)生在內(nèi)部審核之后和第三方審核之前，目的在于確保管理 體系的持續(xù)適用性、充分性和有效性，并提出新的要求和方向，以實(shí)現(xiàn)HSE管理 體系的持續(xù)改進(jìn)。 (二)HSE管理體系的認(rèn)證 對(duì)于建立了HSE管理體系的企業(yè)，經(jīng)過(guò)一段時(shí)間的運(yùn)作后，企業(yè)可以根據(jù)內(nèi) 部需要開展HSE管理體系認(rèn)證，由于HSE管理體系認(rèn)證可以與 職業(yè)衛(wèi)生管 理體系認(rèn)證一并進(jìn)行，企業(yè)則可依據(jù) 經(jīng)貿(mào)委第983號(hào)文件《關(guān)于開展職業(yè)安 全衛(wèi)生管理體系認(rèn)證工作的通知》的有關(guān)精神，開始策劃HSE管理體系的認(rèn)證工 作。 申請(qǐng)認(rèn)證企業(yè)首先向集團(tuán)公司HSE管理部門提出認(rèn)證審批報(bào)告，下面就認(rèn)證 審核過(guò)程中的具體要求予以介紹。 1．HSE管理體系認(rèn)證前的準(zhǔn)備 為了保證順利通過(guò)HSE管理體系認(rèn)證，除要按照HSE認(rèn)證中心的要求準(zhǔn)備一系 列技術(shù)文件外，還需進(jìn)行認(rèn)證前的迎檢培訓(xùn)和組織安排等工作。認(rèn)證前的充分準(zhǔn) 備，可以穩(wěn) 定組織各級(jí)員工的情緒，做到胸有成竹，忙而不亂，是審核人員感 受到一種良好的合作氣氛，這也是通過(guò)認(rèn)證的一個(gè)重要因素。 2．HSE管理體系認(rèn)證審核過(guò)程 根據(jù)審核的層次和深度上的差異，可以將認(rèn)證審核的過(guò)程大體分為兩個(gè)階段 ：即初始審核和正式審核。 對(duì)審核通過(guò)的企業(yè)，HSE認(rèn)證中心向其頒發(fā)認(rèn)證和認(rèn)證標(biāo)志。 認(rèn)證的有效期為三年，獲證企業(yè)應(yīng)在認(rèn)證有效期屆滿時(shí)，重新提出 認(rèn)證申請(qǐng)，HSE認(rèn)證中心受理后，重新對(duì)企業(yè)進(jìn)行復(fù)評(píng)