ISO27001認證體系建設分為四個階段：實施風險評估、規(guī)劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環(huán)PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業(yè)信息系統(tǒng)的，確保信息的持續(xù)發(fā)展。 　　1、確立范圍 　　首先是確立項目范圍，從機構(gòu)層次及系統(tǒng)層次兩個維度進行范圍的劃分。從機構(gòu)層次上，可以考慮 內(nèi)部機構(gòu)：需要覆蓋公司的各個部門，其包括總部、事業(yè)部、制造本部、技術(shù)本部等;外部機構(gòu)：則包括 公司信息系統(tǒng)相連的外部機構(gòu)，包括供應商、中間業(yè)務合作伙伴、及其他合作伙伴等。 　　從系統(tǒng)層次上，可按照物理環(huán)境：即支撐信息系統(tǒng)的場所、所處的周邊環(huán)境以及場所內(nèi)保障計算機 系統(tǒng)正常運行的設施。包括機房環(huán)境、門禁、監(jiān)控等;網(wǎng)絡系統(tǒng)：構(gòu)成信息系統(tǒng)網(wǎng)絡傳輸環(huán)境的線路介質(zhì) ，設備和軟件;服務器平臺系統(tǒng)：支撐所有信息系統(tǒng)的服務器、網(wǎng)絡設備、客戶機及其操作系統(tǒng)、數(shù)據(jù)庫 、中間件和Web系統(tǒng)等軟件平臺系統(tǒng);應用系統(tǒng)：支撐業(yè)務、辦公和管理應用的應用系統(tǒng);數(shù)據(jù)：整個信息 系統(tǒng)中傳輸以及存儲的數(shù)據(jù);管理：包括策略、規(guī)章制度、人員組織、開發(fā)、項目管理 和系統(tǒng)管理人員在日常運維過程中的合規(guī)、審計等。 　　2、風險評估 　　企業(yè)信息是指保障企業(yè)業(yè)務系統(tǒng)不被非法訪問、利用和篡改，為企業(yè)員工提供、可信的服 務，保證信息系統(tǒng)的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內(nèi)容： 　　2.1、企業(yè)管理類的評估 　　通過企業(yè)的控制現(xiàn)狀調(diào)查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業(yè)的經(jīng)驗上 進行“差距分析”，檢查企業(yè)在控制層面上存在的弱點，從而為措施的選擇提供依據(jù)。 　　評估內(nèi)容包括ISO27001所涵蓋的與信息管理體系相關(guān)的11個方面，包括信息策略、組 織、資產(chǎn)分類與控制、人員、物理和環(huán)境、通信和操作管理、訪問控制、系統(tǒng)開發(fā)與維護、安 全事件管理、業(yè)務連續(xù)性管理、符合性。 　　2.2、企業(yè)技術(shù)類評估 　　基于資產(chǎn)等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現(xiàn)有網(wǎng)絡 設備、服務器系統(tǒng)、終端、網(wǎng)絡架構(gòu)的現(xiàn)狀和存在的弱點，為加固提供依據(jù)。 　　針對企業(yè)具有代表性的關(guān)鍵應用進行評估。關(guān)鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統(tǒng)的威脅、弱點進行識別，分析其和應用系統(tǒng)的目標之間的差距，為后期改造提 供依據(jù)。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優(yōu)點 ，同時結(jié)合企業(yè)自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產(chǎn)、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產(chǎn)的屬性是資產(chǎn)價值，弱點的屬性是弱點在現(xiàn)有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產(chǎn)帶來影響的嚴重程度，威脅的屬性是威脅發(fā)生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規(guī)劃體系建設方案 　　企業(yè)信息問題根源分布在技術(shù)、人員和管理等多個層面，須統(tǒng)一規(guī)劃并建立企業(yè)信息體系 ，并終落實到管理措施和技術(shù)措施，才能確保信息。 　　規(guī)劃體系建設方案是在風險評估的基礎(chǔ)上，對企業(yè)中存在的風險提出建議，增強系統(tǒng)的安 全性和抗攻擊性。 　　在未來1-2年內(nèi)通過信息體系制的建立與實施，建立組織，技術(shù)上進行審計、內(nèi)外網(wǎng)隔 離的改造、產(chǎn)品的部署，實現(xiàn)以流程為導向的轉(zhuǎn)型。在未來的 3-5 年內(nèi)，通過完善的信息體系 和相應的物理環(huán)境改造和業(yè)務連續(xù)性項目的建設，將企業(yè)建設成為一個注重管理，為主，防治結(jié)合 的先進型企業(yè)。 　　4、企業(yè)信息體系建設 　　企業(yè)信息體系建立在信息模型與企業(yè)信息化的基礎(chǔ)上，建立信息管理體系核心可以更 好的發(fā)揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內(nèi)的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術(shù)。首先，針對管理制 度涉及的主要內(nèi)容包括企業(yè)信息系統(tǒng)的總體方針、技術(shù)策略和管理策略等?？傮w方針 涉及組織機構(gòu)、管理制度、人員管理、運行維護等方面的制度。技術(shù)策略涉 及信息域的劃分、業(yè)務應用的等級、保護思路、說以及進一步的統(tǒng)一管理、系統(tǒng)分級、網(wǎng)絡互 聯(lián)、容災備份、集中監(jiān)控等方面的要求。 　　其次，信息技術(shù)按其所在的信息系統(tǒng)層次可劃分為物理技術(shù)、網(wǎng)絡技術(shù)、系統(tǒng)技 術(shù)、應用技術(shù)，以及基礎(chǔ)設施平臺;同時按照技術(shù)所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術(shù)。結(jié)合主流的技術(shù)以及未來信息系統(tǒng)發(fā)展的要求，規(guī)劃信息 技術(shù)包括：

IATF16949：2016認證審核攻略 1、顧客特殊要求和體系關(guān)系矩陣必須建立，顧客特殊要求不是技術(shù)和圖紙要求；如果沒有，審核時企業(yè)需提供顧客出具的書面證據(jù)； 2、產(chǎn)品滿足13項要求，如，作業(yè)指導書有標識，追溯性必須有批次號，F(xiàn)MEA和CP必須有顧客的特殊批準，變更需經(jīng)顧客批準等； 3、員工舉報電話必須建立，郵箱不接受； 4、應急計劃含常發(fā)自然災害， 管理者每年評審； 5、風險分析不能按部門來做，必須按照過程，按照事件分析，風險需建立等級，制定措施； 6、基礎(chǔ)設施評價，須體現(xiàn)精益的原則； 7、內(nèi)部實驗室，必須形成范圍清單，標準清單和實驗設備清單； 8、內(nèi)審員能力滿足5項要求，包含培訓老師資格（IATF授權(quán)機構(gòu)的培訓合格證明）必須保留； 9、SQE除滿足內(nèi)審員5項要求，還需滿足FMEA和CP的能力要求； 10、記錄保存：生產(chǎn)件批準文件、工裝記錄（包括維護和所有權(quán)）、產(chǎn)品和過程設計記錄、采購訂單（如適用）或者合同和修正，保存時間為產(chǎn)品在現(xiàn)行生產(chǎn)和服務中要求的有效期，再加一個日歷年； 11、軟件開發(fā)應有質(zhì)量保證過程，并納入內(nèi)審方案； 12、供應商必須爬坡，審核計劃形成文件； 13、TPM形成文件化的目標，如：OEE\MTBF\MTTR; 14、返工和返修必須有作業(yè)指導書，F(xiàn)MEA的分析； 15、不合格品報廢前，確保其喪失物理上的使用價值； 16、控制計劃必須結(jié)合FMEA更新； 17、審核前須按照IATF16949標準要求，進行一次完整的內(nèi)審和管理評審； 18、轉(zhuǎn)版審核須提供按新版運行的至少3個月的績效指標。 各個章節(jié)容易發(fā)生的問題 IATF16949標準第四章容易發(fā)生的問題 1.有些外部支持場所認證機構(gòu)納入了審核的范圍，但在組織的質(zhì)量體系的范圍里沒有描述； 2.對于一些集團審核的案子，特別是有多個支持場所的，由于在質(zhì)量體系范圍沒有清晰的定義清楚，導致有些支持場所沒有覆蓋； 3.未識別產(chǎn)品的要求； 4.顧客特殊要求識別不充分。 IATF16949標準第五章容易發(fā)生的問題 1.管理者的職責、權(quán)限和責任沒有形成書面聲明； 2.管理者沒有執(zhí)行其職責和權(quán)限； 3.應用組織結(jié)構(gòu)圖的地方，沒有體系或接口支持信息； 4.人員和部門之間的接口和聯(lián)系不存在或沒有定義； 5.不存在方針聲明； 6.方針聲明書面化，但沒有在所有層次被理解或?qū)嵤?，尤其在車間現(xiàn)場。 IATF16949標準第六章容易發(fā)生的問題 1.沒有清晰定義目標； 2.質(zhì)量目標控制系統(tǒng)實際不存在； 3.目標未層層分解，沒有分配人員職責； 4.應急計劃未定期評審。 IATF16949標準第七章容易發(fā)生的問題 1.缺少足夠資源； 2.缺少經(jīng)過培訓的人員。（組織制定了需要的培訓，但沒有執(zhí)行）； 3.對執(zhí)行”影響產(chǎn)品要求符合性工作”人員的定義過于狹窄； 4.臨時工沒有受到足夠培訓； 5.沒有培訓記錄，或記錄不充分； 6.員工缺少適當?shù)慕逃⑴嘤柣蚪?jīng)驗； 7.對培訓需求沒有進行評估； 8.培訓計劃不充分； 9.沒有考慮培訓在工作執(zhí)行中的效果； 10.企業(yè)環(huán)境不鼓勵創(chuàng)新和改進； 11.沒有人負責操作監(jiān)視和測量系統(tǒng)； 12.應該包含在監(jiān)視和測量系統(tǒng)中的設備沒有在系統(tǒng)中（尤其在研究和開發(fā)領(lǐng)域）； 13.監(jiān)視和測量無法溯源到國際或內(nèi)部標準； 14.無法確保可調(diào)試設備沒有被改為無效校準； 15.當設備沒有校準時，沒有評估之前結(jié)果的影響； 16.內(nèi)部實驗室沒有被正確闡明并設立； 17.外部實驗室不符合ISO/IEC17025或 等同標準。 IATF16949標準第八章容易發(fā)生的問題 8.1章節(jié)容易發(fā)生的問題 1.對5M1E缺少證實的策劃； 2.沒有設立產(chǎn)品或項目目標； 3.確認和驗證策劃不充分。 8.2章節(jié)容易發(fā)生的問題 1.不存在合同程序； 2.程序不或錯誤理解（經(jīng)常是故意的），或相互矛盾（如：設計、銷售和生產(chǎn)之間）； 3.記錄不充分或不存在； 4.顧客的要求未完全考慮； 5.沒有處理訂單的文件化程序； 6.顧客經(jīng)驗的反饋不充分； 7.沒有考慮交付和交付后活動的要求。 8.3章節(jié)容易發(fā)生的問題 1.設計職責/權(quán)限/接口沒有以書面形式指定或執(zhí)行； 2.團隊沒有協(xié)調(diào)，尤其在產(chǎn)品責任和過程責任之間； 3.圖紙沒有控制，因為：公差不合理；圖紙沒有被檢查或驗證；圖紙未經(jīng)認可，或者沒有使用更改控制系統(tǒng)；圖紙出現(xiàn)主觀描述。 4.缺少實際設計評審，例如個人（自愿選擇伙伴的人）操作的一個系統(tǒng)； 5.一個系統(tǒng)出現(xiàn)在書面文件中，但未使用； 6.指定的公差不可能實現(xiàn)（如：缺少生產(chǎn)介入）； 7.原型樣件不符合關(guān)鍵檢查項目； 8.用戶手冊的要求，設計幾乎完成時才開始； 9.用于實驗工作的量具和試驗設備沒有校準； 10.抽樣系統(tǒng)有缺陷或沒有被客戶同意； 11.一個具體產(chǎn)品或項目缺少質(zhì)量計劃，該產(chǎn)品或項目要求質(zhì)量手冊中的標準程序發(fā)生偏差或增加。 12.太多的設計沒有被生產(chǎn)介入，這導致生產(chǎn)不能執(zhí)行這些無法實現(xiàn)的規(guī)范。 8.4章節(jié)容易發(fā)生的問題： 1.缺少或沒有證據(jù)顯示外部提供方得到控制； 2.沒有可接受外部提供方的記錄； 3.違背了“僅從批準的供應商采購”的規(guī)則； 4.采購文件里沒有足夠的數(shù)據(jù)； 5.簽訂合同時，沒有通知供應商質(zhì)量管理體系要求； 6.沒有執(zhí)行自己的體系（如，電話訂單沒有確認）。 8.5章節(jié)容易發(fā)生的問題 1.滿足顧客要求的要素被忽略，例如足夠的設備和人員培訓要求，被忽略； 2.對人員、機器、材料、工作方法、環(huán)境等的控制，缺少可證實的策劃； 3.產(chǎn)品或項目的目標沒有設立； 4.確認和驗證策劃不夠充足； 5.書面的工作/職位指導書或程序不夠充分，缺少該指導書或程序會影響質(zhì)量； 6.零部件、原材料，或產(chǎn)品沒有標記； 7.批次標識有要求時，批次零件彼此疊加； 8.在追溯性必要時，缺少一個階段或操作。 9.顧客/外部供方財產(chǎn)項目被損壞或沒有被正確存放； 10.顧客/外部供方財產(chǎn)沒有被充分識別； 11.顧客/外部供方已經(jīng)提供材料、設備等，但是對此沒有驗證。 8.6章節(jié)容易發(fā)生的問題 1.物料接收缺少控制（如，要求試驗/檢驗的材料直接轉(zhuǎn)到存貨）； 2.分配給生產(chǎn)的材料沒有標識，也沒有被完全控制； 3.指定的檢驗或試驗沒有執(zhí)行； 4.檢驗或試驗記錄丟失； 5.終檢驗或試驗被繞過，或者公司產(chǎn)品批準程序沒有執(zhí)行； 6.返工產(chǎn)品沒有完全重新檢查。 8.7章節(jié)容易發(fā)生的問題 1.不合格材料未被識別或放置在未指定的地方； 2.沒有定義返工的評審和處理職責； 3.沒有規(guī)定返工要求； 4.返修或返工沒有重新檢查。 IATF16949標準第九章容易發(fā)生的問題 1.內(nèi)審按要素審核，而不是按過程方法審核； 2.企業(yè)不存在審核系統(tǒng)； 3.對審核發(fā)現(xiàn)沒有采取糾正措施； 4.使用審核員沒有充分培訓； 5.沒有獨立的人員執(zhí)行審核； 6.內(nèi)審文件和記錄不完整； 7.不存在管理評審系統(tǒng)； 8.內(nèi)部審核結(jié)果的糾正措施沒有執(zhí)行； 9.評審作為一個“事件”而不是作為一個持續(xù)過程； 10.不能保證定期評審整個體系。持續(xù)的績效和體系評審是管理評審過程的一部分。 IATF16949標準第十章容易發(fā)生的問題 1.書面糾正措施計劃沒有被執(zhí)行； 2.糾正措施的職責沒有被指派； 3.強調(diào)“問題解答”勝于和持續(xù)改進； 4.產(chǎn)品失效重復發(fā)生的能力不充足； 5.只有應用失效再發(fā)生的糾正措施，沒有應用防止問題不發(fā)生的實際措施（如，未正確應用FMEA)。 需提供審核證據(jù)清單 4.1 組織環(huán)境，4.2理解相關(guān)方需求 證據(jù)：環(huán)境因素識別清單、組織發(fā)展規(guī)劃、內(nèi)外部環(huán)境變化對質(zhì)量體系的影響分析報告、組織宏觀分析報告、SWOT矩陣分析報告、組織內(nèi)外部環(huán)境定期監(jiān)視、評審報告、應對措施，相關(guān)方清單，相關(guān)方需求分析。 4.3確定質(zhì)量體系的范圍： 證據(jù)：組織簡介與產(chǎn)品簡介、體系范圍（如橡膠管、油封、密封條的設計、制造及銷售所包含的人員、場所及班次）、不適用條款說明、公司確認的所有過程的清單、文件化信息清單、顧客要求及特殊要求清單、顧客特殊要求評審記錄。 4.4質(zhì)量管理體系及其過程： 證據(jù)： 1.公司組織機構(gòu)圖/管理體系機構(gòu)圖。 2.公司各過程職能分配表。 3.公司顧客導向過程與支持過程相互關(guān)系矩陣圖。 4.過程順序及相互作用圖。 5.顧客導向過程－COP清單。 6.支持過程－SP清單。 7.管理過程－MP)清單 。 8.外程清單。 9.外包風險可行性分析報告。 10.過程績效指標一覽表。 11.程序文件及管理文件清單。 12.章魚圖/烏龜圖 證據(jù)： 新舊版本標準差距分析報告、換版行動計劃、過程清單、烏龜圖、過程分析清單及措施、過程績效一覽表及其過程績效統(tǒng)計表、過程相互作用圖、內(nèi)外部環(huán)境對質(zhì)量管理體系的影響分析報告。 證據(jù)： 質(zhì)量體系過程網(wǎng)絡圖、烏龜圖、 管理者對過程效率的思路與要求、程序文件、作業(yè)文件、檢驗文件、操作規(guī)程、產(chǎn)品標準管理制度、過程流程圖、樣本、績效指標統(tǒng)計表、糾正措施/8D報告 組織是否確定過程所需的資源并確保其可用性？ 證據(jù)： 員工花名冊、設備、工裝清單、監(jiān)視測量設備清單、廠區(qū)平面布置圖、知識清單、員工素質(zhì)矩陣表。 組織是否分派過程的職責和權(quán)限？ 證據(jù)：部門職責、崗位說明書、組織機構(gòu)圖、部門結(jié)構(gòu)圖、組織部門任命書、部門績效考核標準。 組織如何應對確定的風險和機遇？ 證據(jù)：風險與機遇措施控制流程、風險與機遇清單、風險與機遇分析矩陣、風險與機遇的措施。 組織如何改進過程和質(zhì)量管理體系？ 證據(jù)：數(shù)據(jù)分析報告、內(nèi)部審核、過程審核、管理評審、糾正措施、8D報告、合理化建議方案、持續(xù)改進記錄、過程變更信息。 組織是否保留文件化信息？ 證據(jù)：文件清單、記錄清單、文件發(fā)放記錄、文件更改記錄。 管理者應如何確保以顧客為關(guān)注焦點的領(lǐng)導作用和承諾？ 證據(jù)：顧要求清單 、顧客特殊要求客清單、顧客合同、顧客質(zhì)量協(xié)議/技術(shù)協(xié)議/保密協(xié)議、顧客圖紙 、法律法規(guī)、顧客滿意度分析報告、顧客要求評審記錄。 組織如何確定和應對影響產(chǎn)品符合性以及增強顧客滿意度的能力的風險和機遇？ 證據(jù)：與外部供方簽訂的供貨合同、質(zhì)量協(xié)議、外部供方業(yè)績監(jiān)控記錄、第二方審核計劃及記錄、產(chǎn)品設計輸入、輸出的評審記錄、設備能力計算、過程能力指數(shù)、過程風險辨識清單、信息反饋與糾正措施、產(chǎn)品放行制度、質(zhì)量職責。 組織如何始終致力于增強顧客滿意度？ 證據(jù)：持續(xù)改進方案、培訓記錄與評估、設備改進和先進設備引進清單、顧客滿意度測量與分析報告、顧客業(yè)績監(jiān)控記錄、顧客信息反饋與糾正措施。 管理者如何制定、實施和和保持質(zhì)量方針？ 證據(jù)：質(zhì)量方針及含義解釋、質(zhì)量目標、質(zhì)量方針的宣貫記錄。 組織如何溝通質(zhì)量方針？ 證據(jù)：質(zhì)量方針宣貫記錄、宣貫方式、總經(jīng)理辦公會議記錄、現(xiàn)場提問3-5名員工回答質(zhì)量方針、官方網(wǎng)站宣傳質(zhì)量方針的信息或宣傳資料。 管理者如何確保組織內(nèi)部崗位的職責和權(quán)限得到分派、溝通和理解？ 證據(jù)：公司組織機構(gòu)圖、公司質(zhì)量管理體系組織機構(gòu)圖、各部門組織機構(gòu)圖、各部門人員工作崗位職責/權(quán)限/資格說明書、 質(zhì)量體系運行報告、 影響管理體系的變更報告、 總經(jīng)理辦公會議記錄 、抽查現(xiàn)場員工理解職責的理解程度。 管理者如何分派組織權(quán)限，以確保質(zhì)量管理體系符合標準要求，并確保各過程獲得其預期輸出？ 證據(jù)：崗位考核標準、績效指標一覽和統(tǒng)計表、公司各過程職能分配表。 管理者如何在分派職責和權(quán)限過程中，以規(guī)定報告質(zhì)量管理體系的績效及其改進機會，特別是 管理者的報告？ 證據(jù)：管理評審會議記錄、溝通記錄、授權(quán)書、體系變報告、 管理者的批復。 管理者如何在分派職責和權(quán)限，以確保組織內(nèi)推動以顧客為關(guān)注焦點？ 證據(jù)：以顧客為關(guān)注焦點意識的培訓記錄、顧客信息傳遞記錄。 管理者如何在分派職責和權(quán)限，以確保在策劃和實施質(zhì)量管理體系變更時保持其完整性？ 證據(jù)：變更通知單、結(jié)構(gòu)、流程、規(guī)范、產(chǎn)品和交付方式變更時的風險評估報告及措施。 組織在策劃管理體系時如何考慮風險與機遇，以滿足體系要求的? 證據(jù)：環(huán)境因素清單、風險與機遇分析和措施。 組織策劃的風險與機遇措施是否進行評價其有效性？是否對產(chǎn)品的符合性影響相適應？ 證據(jù)：風險改善計劃（包括風險描述、風險區(qū)域、改善目標、改善周期、改善步驟、責任擔當、資源需求、檢查擔當、檢查結(jié)果）、風險措施（包括規(guī)避風險、承擔風險、風險源、改變風險的可能性和后果、分擔風險）、風險與機遇控制的績效指標及評價報告、風險與機遇措施對產(chǎn)品影響分析。 組織是否在相關(guān)職能、層次和質(zhì)量管理體系所需過程建立質(zhì)量目標？ 注：按質(zhì)量方針所確定的目標框架制定質(zhì)量目標 證據(jù)：公司級目標、部門級目標、過程目標、質(zhì)量目標實施統(tǒng)計表、質(zhì)量目標的更新記錄、目標未達成的措施 組織是否保持有關(guān)質(zhì)量目標文件化信息？ 證據(jù)：質(zhì)量目標文件、質(zhì)量目標實現(xiàn)的方案與計劃、質(zhì)量目標實現(xiàn)的評價記錄。 當組織確定需要質(zhì)量管理體系進行變更時，變更是否按策劃的方式實施？ 證據(jù)：變更信息清單、 政策的變更對質(zhì)量管理體系的影響分析（企管部）、組織的變更對質(zhì)量管理體系的影響分析(企管部)、設備和工藝變更對質(zhì)量管理體系影響預測分析（技術(shù)、質(zhì)管部)、供應變更對質(zhì)量管理體系的影響分析(采購部)、 市場的變更對質(zhì)量管理體系影響預測分析(銷售部)。 組織是否確定并提供為建立、實施。保持和持續(xù)改進質(zhì)量管理體系所需資源? 證據(jù)：1.資源清單（人力資源、基礎(chǔ)設施資源、過程運行環(huán)境資源、監(jiān)視和測量資源、組織的知識資源等）；2.資源年度預算。 組織如何確保并配備所需的人員，以有效實施質(zhì)量管理體系并運行和控制其過程？ 證據(jù)：年度招聘計劃、部門人員需求報告、培訓計劃、培訓記錄、崗位說明書（學歷、技能、培訓、經(jīng)驗）、人力資源規(guī)劃、員工名冊、特殊工序及特殊特性人員、特種崗位人員持證率（天車司機、電工、電焊工、機動車司機、叉車司機、電梯工、壓力容器）、工程技術(shù)人員資格、內(nèi)審員和質(zhì)檢員資格。 組織如何確定、提供并維護所需基礎(chǔ)設施，以及運行過程并獲得合格產(chǎn)品？ 證據(jù)：設備申請購置單、設備臺帳及檔案、設備工裝定期保養(yǎng)維護計劃與記錄、設備維修單、主要設備日常點檢、運轉(zhuǎn)情況記錄、設備履歷表、設備工裝處置申請單、設備驗收報告、設備工裝易損件 庫存定額、設備效率統(tǒng)計表、設備完好率統(tǒng)計表、特種設備準用證及檢定合格證和上崗證（如行車/叉車/壓力容器/鍋爐等）、組織發(fā)展規(guī)劃。 組織如何確定、提供并維護其所需的環(huán)境，以運行過程并獲得合格產(chǎn)品？ 證據(jù)：過程環(huán)境清單及管理方案、作業(yè)文件 、設備操作規(guī)程、工藝流程卡 、產(chǎn)品、狀態(tài)標識、現(xiàn)場定置圖及制度 、通道及區(qū)域線、員工應知應會內(nèi)容 、5S檢查記錄、應急計劃、危險源、污染源識別清單及管理方案。 審核各階段需準備材料 一階段審核 顧客資料 包括汽車顧客清單、汽車顧客特殊要求清單、與顧客簽訂的合同/協(xié)議等以及合同或協(xié)議的評審、連續(xù)12個月的訂單。 體系策劃 過程控制清單、過程矩陣圖、過程關(guān)系圖、風險控制方案、程序文件清單、手冊、記錄清單。 內(nèi)部審核 包括體系審核、所有涉及到汽車產(chǎn)品制造的過程審核、所有汽車產(chǎn)品的產(chǎn)品審核；如年度計劃、審核計劃、審核報告等。 管理評審 評審計劃、評審報告等。 過程績效指標 連續(xù)12個月的績效指標統(tǒng)計及趨勢，包括業(yè)務計劃中規(guī)定內(nèi)容、質(zhì)量目標、質(zhì)量成本分析、過程指標。 與顧客有關(guān)的績效 顧客抱怨/投訴/退貨處理資料（匯總表、登記表、8D報告/PPM指標及趨勢、超額運費等）、顧客滿意度評價。 與供方有關(guān)的績效 供方的PPM指標及趨勢、超額運費等。 汽車產(chǎn)品標準、顧客圖紙、APQP資料、對產(chǎn)品的顧客確認記錄/第三方檢測報告等。 二階段審核 管理層 公司內(nèi)外部環(huán)境因素分析：SWOT分析（競爭對手、行業(yè)標桿等）、宏觀因素分析（政治、經(jīng)濟、文化等）、微觀分析（行業(yè)、產(chǎn)品結(jié)構(gòu)/定位、發(fā)展趨勢等）； 企業(yè)風險分析：產(chǎn)品、生產(chǎn)、環(huán)保、財務、設計、制造、供應、行業(yè)等； 公司戰(zhàn)略：未來3~5年的公司總體戰(zhàn)略規(guī)劃及目標，戰(zhàn)略展開（職能戰(zhàn)略）及戰(zhàn)略目標展開； 年度業(yè)務計劃/經(jīng)營計劃制訂及統(tǒng)計：按照公司總體戰(zhàn)略目標制訂本年度公司級業(yè)務計劃并落實到各部門，建立公司各部門的KPI指標，按規(guī)定周期收集和統(tǒng)計目標達成結(jié)果并進行趨勢分析，提出改進措施。需提交連續(xù)12個月的統(tǒng)計結(jié)果。業(yè)務計劃包括每個顧客及供應商的業(yè)績監(jiān)控、質(zhì)量成本、質(zhì)量目標、經(jīng)營性指標、管理性指標、過程指標等； 管理評審：管理評審計劃→各部門匯報資料匯總→管理評審會議簽到→管理評審報告→持續(xù)改進計劃→實施結(jié)果； 內(nèi)部審核： 體系審核：內(nèi)部審核實施計劃→審核實施記錄→體系審核報告→不符合項報告（含原因分析、糾正措施及驗證）→不符合項分布表→首/末次會議簽到表； 過程審核：過程審核年度計劃→過程審核實施計劃→審核實施記錄→過程審核報告→不符合項報告（含原因分析、糾正措施及驗證）→不符合匯總表→首/末次會議簽到表； 產(chǎn)品審核：產(chǎn)品審核年度計劃→產(chǎn)品審核實施計劃→實施記錄（含：全尺寸報告、各項功能和性能實驗報告、材料報告）→產(chǎn)品審核報告。 生產(chǎn) 生產(chǎn)計劃：客戶訂單/銷售計劃→制造可行性評審→生產(chǎn)計劃→生產(chǎn)指令→生產(chǎn)統(tǒng)計；包括產(chǎn)能分析； 生產(chǎn)工藝管理：作業(yè)準備驗證（首檢）、工藝參數(shù)監(jiān)控記錄（如生產(chǎn)不負責則由質(zhì)量負責）； 生產(chǎn)過程控制：交接班記錄、生產(chǎn)動態(tài)記錄（設備維修、模具/工裝維修、刀具/工具更換、產(chǎn)品更換、物料更換等）； 現(xiàn)場管理：區(qū)域劃分（生產(chǎn)區(qū)、合格區(qū)、來料放置區(qū)、待檢區(qū)、不合格區(qū)、發(fā)貨區(qū)、通道等）、產(chǎn)品標識、現(xiàn)場應保持干凈整潔。 設備 臺帳→設備卡→年度保養(yǎng)計劃→保養(yǎng)記錄→日常點檢記錄→維修記錄→績效指標統(tǒng)計；滿足預測性維修要求； 新設備或大修后→設備驗收記錄→臺賬→設備履歷； 設備標識：環(huán)境保護設備/防護設備/關(guān)鍵設備的標識及狀態(tài)標識（待修、停用、正常等）； 特種設備管理：清單、備案資料、年檢記錄；包括：行車、叉車、電梯、壓力容器、鍋爐等。 工裝 新工裝：開發(fā)計劃→工裝設計（圖紙、標準等）→采購訂單/自制計劃→驗收單（檢驗記錄等）→臺帳 日常管理：臺帳→庫存定期檢查記錄→維修記錄→定期精度檢查報告報→工裝履歷→廢申請單（要填上處置記錄） 工裝標識：編號、產(chǎn)權(quán)及狀態(tài)標識（待修、停用、正常、報廢等）； 注：工裝包括工具、專用檢具、模具、夾具、刀具（含磨具）、可重復利用的物流器具等。 質(zhì)量 新的原料或新零件→樣品報告（公司的檢驗和試驗記錄、生產(chǎn)試用報告等；供方提供的材料報告、功能性能報告、可靠性試驗報告及第三方的檢測報告等）； 常規(guī)采購的產(chǎn)品→報檢單→進貨檢驗記錄； 生產(chǎn)過程：工藝參數(shù)監(jiān)控記錄（如質(zhì)量不負責則由生產(chǎn)負責）、產(chǎn)品檢驗報告書、過程質(zhì)量記錄（自檢、首件檢驗、巡檢、轉(zhuǎn)序檢、入庫檢、現(xiàn)場控制圖、定期Cpk分析報告等）、成品檢驗記錄（檢驗記錄單、報告書）、標識（現(xiàn)場要有即可）、顧客來料檢驗記錄； 退貨或顧客抱怨：顧客投訴登記表→匯總→8D報告→變更通知單+文件更改通知單→相關(guān)文件修訂（控制計劃、FMEAs、工藝、檢驗規(guī)程等）；該項由營銷或質(zhì)量提供； 不合格控制：不合格處置單、如報廢則有報廢通知單、返工有返工復檢記錄、不合格匯總表→定期的不合格優(yōu)先減免計劃→糾正/措施驗證記錄→變更通知單+文件更改通知單→相關(guān)文件修訂（控制計劃、FMEAs、工藝、檢驗規(guī)程等） ； 針對重大不合格項目→糾正/措施驗證記錄 →變更通知單+文件更改通知單→相關(guān)文件修訂（控制計劃、FMEAs、工藝、檢驗規(guī)程等）； 監(jiān)視和測量裝置：臺帳→校準/檢定計劃→校準/檢定記錄（內(nèi)外部的校準記錄、偏離記錄、校準履歷等）→有效期標識→試用前的校正記錄→試驗設備的日常點檢記錄→定期巡查記錄；該類裝置包含產(chǎn)品的檢驗和試驗設備/儀器儀表/檢具和監(jiān)控過程參數(shù)的儀器儀表（如壓力表、溫控器、電壓表、電流表、流量計、時間繼電器、熱電偶等）等；定期的MSA分析報告； 實驗室：標準樣品一覽表→樣品標識卡；實驗室環(huán)境條件監(jiān)控記錄（溫濕度、清潔度等）； 試驗樣品登記→試驗原始記錄→試驗報告→試驗樣品處理記錄等。 技術(shù) 新品開發(fā)：每個系列產(chǎn)品至少一套完整的APQP資料；關(guān)注產(chǎn)品標準、顧客要求、開發(fā)目標、產(chǎn)品設計驗證/評審/確認記錄、階段性驗證報告等； 所有汽車產(chǎn)品的PPAP資料，包括所有產(chǎn)品的圖紙、控制計劃、工藝文件； 過程驗證：工藝驗證記錄（PPK、MSA、特殊過程、產(chǎn)能、成本、合格率等）； 設計更改：申請單→變更前的評審→變更方案→變更記錄→變更后的評審→技術(shù)通知單/文件更改通知單→ 相關(guān)文件修訂（圖紙、標準、FMEAs、控制計劃、工藝、檢驗規(guī)程等）→變更履歷； 技術(shù)文件管理：技術(shù)文件清單→文件歸檔記錄→復印分發(fā)記錄→修訂記錄→修訂后的收發(fā)記錄→借閱記錄；外來文件清單（與產(chǎn)品有關(guān)的標準）→文件歸檔記錄→復印分發(fā)記錄→有效性檢查及更新記錄→借閱記錄。 營銷 市場營銷：市場分析、行業(yè)分析、市場定位、業(yè)務分析、競爭對手與行業(yè)標桿分析、SOWT分析、營銷策略、營銷規(guī)劃等； 顧客檔案：顧客清單→顧客特殊要求清單； 合同管理（包括銷售合同、技術(shù)協(xié)議、質(zhì)量協(xié)議、圖紙等）→合同評審表； 訂單管理：顧客訂單/銷售計劃→可制造性評審記錄→月度訂單登記→發(fā)貨計劃→訂單執(zhí)行跟蹤記錄→發(fā)貨記錄→銷售業(yè)績統(tǒng)計； 退貨或顧客抱怨：顧客投訴登記表→匯總→8D報告→變更通知單+文件更改通知單→相關(guān)文件修訂（控制計劃、FMEAs、工藝、檢驗規(guī)程等）；該項由質(zhì)量或營銷提供； 滿意度管理：顧客滿意度調(diào)查表（發(fā)給客戶）/顧客滿意度測評（內(nèi)部評價）→顧客滿意度評價報告； 顧客文件管理：顧客文件清單（顧客標準、圖紙、合同、技術(shù)要求、相關(guān)協(xié)議等）→文件歸檔記錄→復印分發(fā)記錄→更新記錄→修訂后的收發(fā)記錄→借閱記錄。 采購 供應商資料：可接受供應商清單→供應商資料（基本信息調(diào)查表、營業(yè)執(zhí)照復印件、機構(gòu)代碼證復印件、體系復印件（含質(zhì)量體系、環(huán)境體系等）、特殊行業(yè)生產(chǎn)許可證/運輸證復印件、危險廢棄物處理資質(zhì)等）； 供方評價：供方開發(fā)計劃→資料收集→潛在供方清單→評審計劃→供應商評審記錄→可接受供應商清單→采購協(xié)議（新品開發(fā)協(xié)議、技術(shù)協(xié)議、質(zhì)量協(xié)議、保密協(xié)議、價格協(xié)議、框架采購合同、物流/包裝協(xié)議、環(huán)保協(xié)議等）； 樣件管理：新品開發(fā)→技術(shù)文件簽訂和發(fā)放（各類協(xié)議、圖紙、標準等）→OTS送樣→樣件認可→PPAP提交（必要時）→PPAP認可（必要時）→量采； 變更管理：更新后的文件→文件收發(fā)記錄（舊文件回收、新文件發(fā)放）→零件更改后送樣送樣→樣件認可→PPAP提交→PPAP認可→量采切換； 采購管理：物料需求計劃→采購計劃→采購訂單→報檢單→進貨檢驗記錄→入庫單→供應商業(yè)績評定； 不合格控制：不合格處置單→處置記錄（退貨、挑選等）→供方整改→整改驗證記錄→供應商業(yè)績考核； 供方文件管理：與供方有關(guān)的文件清單（標準、圖紙、合同、技術(shù)要求、相關(guān)協(xié)議等）→文件歸檔記錄→復印分發(fā)記錄→更新記錄→修訂后的收發(fā)記錄。 倉庫 賬卡物一致、標識清楚、堆放整齊、防護符合環(huán)境要求、出入庫記錄齊全、先進先出方式明確、庫房區(qū)域劃分/布局、出貨檢查記錄等； 相關(guān)方財產(chǎn)管理（硬件：設備、工裝/模具/檢具/物流器具、材料或零件等）：相關(guān)方財產(chǎn)清單→到貨通知→檢查記錄→產(chǎn)權(quán)標識→入庫管理→出貨記錄/消耗記錄/周轉(zhuǎn)記錄→定期檢查/保養(yǎng)/維護或維修記錄→損壞記錄（如有）→報告相關(guān)方的記錄（如有）；具體管理按公司的設備、工裝/模具/檢具/物流器具、材料或零件等的管理要求進行。 人力資源 培訓：培訓需求（各部門提出、公司戰(zhàn)略、崗位能力評價、新員工/轉(zhuǎn)崗員工、/環(huán)保、新品開發(fā)等）→年度培訓計劃→月度培訓計劃→培訓記錄（簽到表、培訓記錄）→培訓效果評價； 人力資源管理：員工名冊、新員工試用考核、特殊工種人員情況表、技能矩陣及能力評價、員工績效考核、頂崗計劃、職業(yè)規(guī)劃及晉升通道、合理化建議/自主改善/QC小組活動。 滿意度評價：員工滿意度調(diào)查→員工滿意度調(diào)查匯總分析→改進措施及驗證。 文控/記錄 受控文件清單（管理性清單）→文件審批→分發(fā)記錄→修訂記錄→修訂后的收發(fā)記錄→借閱記錄； 記錄清單（含規(guī)定的保存周期）→分發(fā)記錄→修訂記錄→修訂后的收發(fā)記錄； 說明： 1、管理性文件包括手冊、方針目標、年度經(jīng)營計劃、程序文件、記錄格式、管理制度、操作規(guī)程、作業(yè)指導書等。 2、操作規(guī)程及作業(yè)指導書不包括產(chǎn)品制造工藝類文件。 財務 成本核算：至少核算到各工序產(chǎn)品成本； 收集生產(chǎn)過程的不合格品、廢品數(shù)據(jù)，核算內(nèi)部損失。 收集顧客退貨數(shù)據(jù)和索賠數(shù)據(jù)，核算外部損失。 終形成質(zhì)量成本分析報告，關(guān)注質(zhì)量損失的趨勢。