GJB9001C認證-2017質量管理體系之4 組織環境 ? 4.1 理解組織及其環境 ? 范圍、程度 ? 如何收集、監視和評審 ? 環境變化，質量管理體系如何反應 ? 時機：1）在確定QMS范圍、邊界和適用性時；2）策劃關鍵過程、通用質量特性的應用時；3）風險和機遇管理；4）產品運行過程策劃時；5）管理評審 ? 4.2 理解相關方的需求和期望 ? 對象和范圍：本組織有哪些重要相關方？（注 中已經明確） ? 這些相關方有哪些要求：歸類 ? 不滿足相關方要求的后果：風險 ? 何時、如何監視和評審：溝通 ? 記錄要求：《相關方需求及期望確定表》 ? 4.3確定質量管理體系的范圍 ? 邊界：地理位置和區域、組織單元和職能、覆蓋的產品和服務范圍等 ? 適用性：允許不適用部分要求的前提條件 ? （確實不適用，比如說不存在相關活動或狀態；） ? （法律法規要求；） ? 不影響產品和服務合格（，或滿足訂單要求）； ? 不影響增強顧客滿意（，顧客和市場對此無需求和期望）——應征得顧客同意。 ? 某些要求不適用或某些部門游離于質量管理體系之外，均有可能影響整個質量管理體系的有效性。 ? 4.4 質量管理體系及其過程 ? 4.4.1總要求：按本標準要求建立、實施、保持和持續改進質量管理體系 ? 體系由過程構成，應細化到過程，按過程方法建立體系； ? 建立質量管理體系的一般過程（、流程、思路） a-h) ? 建立GJB體系過程的特殊要求（i-k） ? 質量管理體系過程清單 ? 4.4.2 體系文件化要求： ? 必要的文件；必要的記錄 ? 外來文件清單、體系文件清單、記錄清單

ISO27001認證信息風險評估 目的：實施風險評估，識別不可接受風險，明確管理目標。 內容：風險評估是整個風險管理的基礎，本階段將根據前期策劃的風險評估方法。 包括：a. 根據業務要求及信息的密級劃分，對信息資產的重要程度進行判定，識別對關鍵核心業務具有關鍵 作用的信息資產清單;對重要信息資產從內部及外部識別其所面臨的威脅; b. 根據威脅，從管理和技術兩方面識別重要信息資產所存在的薄弱點; c. 根據風險評估的方法指南，對威脅利用薄弱點對重要信息資產所產生的風險在保密性、完整性、可 用性三方面所造成的影響進行評價;評價威脅利用薄弱點引發風險事件的可能性; d. 根據風險影響及發生的可能性評價風險等級; e. 根據信息方針，各核心業務流程的要求，與管理層進行溝通，確定不可接受風險等級的標 準; f. 針對不可接受的高風險，制定風險處理計劃，從ISO27002及顧問的行業經驗來選擇適宜的風險管 控措施;實施所選擇的控制措施，降低、轉移或風險; g. 編寫風險評估報告。