ISO22301形成文件信息清单
ISO22301：2019程序文件-预警沟通管理程序
文件编号 BCM8.4-08
版本号 修改号
A
0
1 目的
通过预警反馈沟通的管理，确保信息传递顺畅，及时沟通各环节管理情况，促进经营不断提高
2 适用范围
适用于公司预警、信息反馈沟通的收集、汇总、分析、回馈。
3 职责
3.1 业务部是具体负责事件日常监理、威胁预警体系建立、信息的收集、传递和回馈工作，确保信
BCM7.5-01《归档信息控制程序》
BR8.4- 12 《顾客反馈信息单》 BR8.4- 13 《纠正预防措施表》
BR8.5-01 《沟通预警演练测试计划》 BR8.5-02 《沟通预警演练测试记录》 BR8.5-03 《沟通预警演练测试总结报告》 BR10.1-01 《纠正措施预防措施表》
8、 修改栏
一类信息：对公司有重大影响，需要企业最高领导做出决策，并由公司各部门协同配合处理的信息。
二类信息：涉及公司内部两个以上部门，需由公司领导或管理部门协调处理的信息。
三类信息：只涉及一个部门，需由部门主管协 助。
4.5 各类反馈信息，需制定相应的纠正措施、预防措施。
5.沟通信息管理：
5.1 业务部将将顾客投诉和顾客满意度状况进行统计并填写“顾客满意度调查统计分析表”加以分
4.4 信息的传递和回馈处理
Hale Waihona Puke 4.4.1 建立以业务部为中心，以全体员工为兼职信息员的信息回馈系统，各部门互相协调、配合。
业务部在接到信息报告后，应及时对信息进行评估处理，并回馈有关部门，确保信息传递准确、及
时、通畅、便利化，从而使信息得到最有效的利用。
4.4.2 信息经评估，按其重要程度实行分级管理。
息的真实可靠，中断事件沟通。
ISO22301：2019程序文件-核心信息安全管理程序
文件编号版本号修改号核心信息安全管理程序BCM7.5-02A01.目的为控制公司的核心信息安全，明确岗位职责，规范操作流程，维护网络正常运行，确保计算机等核心信息安全，特制订本办法。
2.适用范围在企业中组织建立、实施、运行、监视、评审、保持和改进文件化的核心信息安全管理程序，提供必要的技术条件和设备设施保障，识别和管理可能存在的信息安全风险，确保信息安全事件的有效处理。
3.职责信息中心负责公司核心信息安全管理工作，核心信息安全主要包括网络安全、终端安全、数据安全、机房安全和第三方人员管理。
3.1负责公司网络安全和运维工作，对公司信息网络的运行管理进行维护和检查。
3.2负责公司终端安全管理，为公司终端安全管理建设提供指导，提高对于分散终端的安全管理能力，规范系统中终端用户的行为，降低来自终端的安全威胁。
3.3负责公司电子数据安全管理，其中特指对主要信息系统相关的重要数据，采取适当的保护措施。
3.4负责机房安全管理，对可能影响机房安全的各种因素进行控制，确保机房内计算机系统、网络设备以及其他设施的正常运行，保障机房工作人员的人身安全。
3.5负责第三方人员安全管理，减少第三方人员对信息系统带来的安全风险。
4.工作内容4.1 运行4.1.1信息安全风险评估计划和控制信息中心对信息安全风险评估工作进行规划和控制，并实施风险处置计划，确保信息安全目标的达成。
4.1.2 信息安全风险评估实施公司每年开展1次信息资产识别和信息安全风险评估的工作，当出现下列情况时，管理者代表可以决定增加风险评估的次数：公司的信息安全风险评估工作在公司整体风险管理的框架下进行，与公司整体风险管理的年度工作同步进行，评估所发现的风险作为公司整体风险的一部分。
4.1.3 信息安全风险控制措施实施公司针对评估出的信息安全风险应制定并实施信息安全风险处置计划，并保留信息安全风险处置结果文档化信息以作为证据。
4.2安全管控4.2.1网络安全管理信息网络指公司的网络系统和网络应用系统等，包括网络服务系统、网络安全设施、网络存储系统等。
ISO22301：2019程序文件-存档信息控制程序
5.3.6 回收的作废文件由行政人员销毁,作废文件如需保留,应在该文件上加盖“作废留 用”章后方可保留；作废文件保存日期为：自作废日起 12 个月后销毁。每年定期检查一 次作废文件控制情况。 5.3.7 文件信息经评审需要修订或换版后，原有版本即时作废，相关部门或岗位应及时将 作废版本交回主控部门统一处置或销毁。文件主控部门应识别作废文件的司法价值和合同 风险，适当保留作废文件信息，并加以标识。 5.3.8 文件的正本由行政人员负责保存，并对文件进行标识、编目、归档，在适宜的环境 中保存，以减少变质，损坏并防丢。各类记录由各部门负责保存，年底归档办公室。 5.3.9 文件资料的保存期限
5.5 外来文件的控制 5.5.1 收到外来文件的部门，需由对口管理部门评审识别其适用性，交行政人员控制分发 以确保其有ห้องสมุดไป่ตู้。 5.5.2 将所有外来文件分类编目填入“存档信息清单”并存档。
3/5
5.6 记录证据的填写、收集和保存 记录由相关的执行人员填写，记录内容应正确、完整，字迹要清晰，不得随意涂改；
存档信息控制程序
文件编号 BCM7.5-01
版本号 修改号
A
1
1 目的 本标准规定了存档信息控制的要求，以确保与标准相关的文件信息都得到有效控制。
2 范围 本标准适用于公司与 BCMS 体系运行有关的程序、规范、外来文件和证据记录的控
制。 3 定义
存档信息：指内部程序、规范、记录、外来文件记录等。 3.1 管理类文件
由综合部负责对各类文件的统一编号、登记、发放、回收、销毁归档管理工作。 具体存档信息的归口部门负责文件的编制、修订、实施、维护等工作。 5 程序内容
存档信息的总控制流程图见附件 1. 5.1 编写与审批 5.1.1 管理规范文件由各相关职能部门编制，部门负责人审核，总经理批准。 5.1. 2 记录空白表格由各部门负责编制，部门负责人审核批准。报体系归口部门-综合部 进行备案。 5.1.3 存档信息的载体格式
ISO22301业务连续性管理体系
体系简介
“业务连续性”的概念来源于计算机技术中的“容灾”和“恢复计划”，是一个组织整体或部分过程持续运 行能力的指标。经过多年发展，“业务连续性”已广泛应用于各种规模的生产型和服务型组织，并进一步发展成 为“业务连续性管理体系”（简称BCMS），成为各个组织整体管理体系中的核心部分。BCMS采用PDCA的过程方法， 通过对风险的识别、分析和预警来帮助组织规避潜在事件的发生，并且制定完备的“业务连续性计划“，有效的 应对中断发生后的快速恢复，保持核心功能正常运行，将损失和恢复成本降至最低。
（3）适用的法律法规的标准的清单；
（4）取得相关法规规定的行政许可文件(适用时)；
（5）业务影响分析报告、风险评估报告和业务连续性计划；
（6）BCMS体系文件，包括：方针、目标、范围、组织为过程运行及沟通而保持的信息，必须提供：组织简 介、组织结构（组织机构图）、人员情况和职能分工、过程路线图/工艺流程图/过程描述（应明确说明关键过程 和特殊过程）及其有关的过程文件；
BCMS是多个过程的集合，它将组织管理体系中的各个环节连系并统一起来，为识别的风险制定适宜的风险策 略和风险计划，并且为组织制定一套有效的业务连续性计划演练和测量方案。BCMS广泛适用于信息安全、信息技 术服务、公共服务、社会组织等社会服务行业，同时还适用于各种规模的商业、金融业、加工制造业等风险级别 较高的组织。
ISO22301业务连续性管理体 系
国内同等转换ISO业务连续性管理体系 的国家标准
01 体系简介
03 必备条件 05 注意事项
目录
02 认证机构 04 资料清单
GB/T -2013/ISO ：2012业务连续性管理体系（BCMS——Business Continuity Management System）是 国内同等转换ISO业务连续性管理体系的国家标准。
iso22301管理手册
iso22301管理手册【正文】ISO 22301是一种国际标准，用于指导组织在面临各种紧急情况和业务中断时，建立、实施、维护和改进有效的业务连续性管理系统。
本文旨在提供一份ISO 22301管理手册，以帮助组织了解和应用该标准。
一、引言ISO 22301管理手册是为了帮助组织了解和应用ISO 22301标准而编写的指导文件。
通过按照手册的要求来规划和实施业务连续性管理系统，组织能够有效应对紧急情况和业务中断，从而保护其利益、存续和声誉。
二、范围本管理手册适用于所有希望建立、实施、维护和改进业务连续性管理系统的组织。
手册内容包括了系统的规划、实施、运营和监视，以及与其相关的文件和记录。
三、管理承诺组织的高层管理应该给予业务连续性管理系统的建立和实施以坚定的支持，并确保资源的提供。
他们应该促使全体员工了解和遵守该管理系统，并定期评审和改进系统的有效性。
四、业务连续性管理体系4.1 领导和组织该章节描述了如何确保组织的高层管理对业务连续性管理的有效性负责，并明确各级责任和权限的分工。
4.2 策略和计划该章节阐述了制定和实施组织在业务连续性方面的策略和计划的重要性。
包括风险评估、业务影响分析和制定应对紧急情况的应急预案等内容。
4.3 实施和运营该章节描述了如何在组织内部有效地实施和运营业务连续性管理系统。
主要包括培训、意识提高、沟通和记录管理等方面的内容。
4.4 性能评估和监控该章节讲述了如何定期评估和监控业务连续性管理系统的绩效，以及如何进行内部审核和管理评审，确保系统的持续改进。
五、文件和记录5.1 体系文件该章节详细说明了业务连续性管理系统的各类文件，包括政策、操作程序、风险评估报告等等。
同时，需要确保这些文件的编制、审查、批准和控制。
5.2 记录管理该章节介绍了如何管理和控制与业务连续性管理系统相关的各类记录，如培训记录、内部审核记录和紧急情况响应记录等。
六、术语和定义本章节列出了与业务连续性管理相关的术语和定义，确保在整个管理手册中的术语使用一致性和准确性。
ISO22301标准要求的文件清单
Documents and Records
Determining the context of the organization Procedure for identification of applicable legal and regulatory requirements List of legal, regulatory and other requirements Scope of the BCMS (Business Continuity Management System) and explanation of exclusions Business continuity policy Business continuity objectives Competences of personnel Communication with interested parties Process for business impact analysis and risk assessment Results of business impact analysis Results of risk assessment Business continuity procedures Incident response procedures Decision whether the risks and impacts are to be communicated externally Communication with interested parties, including the national or regional risk advisory system Records of important information about the incident, actions taken and decisions made Procedures for responding to disruptive incidents
最新ISO22301：2019业务连续性管理体系一整套程序文件
XXX有限公司程序规范ISO22301:2019文件编号: 4.2— 10.2版本/状态: A/0生效日期: 2020年2月21日编制：日期: 2020-2-21 审核: 日期：2020-2-21 批准：日期：2020-2-21目录过程名称标准条款号程序规范归口部门4.1 理解组织及其环境4.2 理解利益相关方的需求和期望4.3 确定业务连续性管理体系的范围P1-组织环境4.4 业务连续性管理体系4.2-01法律法规相关方要求控制程序综合部5.1 领导力和承诺.5.2管理承诺5.3方针P2-领导力5.4组织角色职责和权限5.3-01《业务连续性承诺方针》5.4-01《体系及各岗位职责权限分配》综合部P3-风险机会 6.1 应对风险和机会措施 6.1-01风险和机会控制程序综合部P4-目标计划.6.2 业务连续性目标及实现计划.BR6.2-01 S目标展开计划综合部P5-资源7.1 资源7.1-01资源控制程序综合部7.2 能力7.3 意识P6-人力资源7.4 沟通7.2-01人力资源控制程序7.4-01信息交流沟通控制程序综合部7.5 存档信息7.5.1 总则7.5.2 创建和更新P7-存档信息7.5.3 存档信息管理7.5-01存档信息控制程序综合部P8-实施策划控制8.1 实施的策划和控制.8.1-01实施策划和控制程序业务部P9-影响分析评估8.2 业务影响分析和风险评估8.2-01业务影响分析控制程序8.2-02信息化风险评估控制程序业务部P10-连续性策略8.3 业务连续性策略BR8.3-01业务连续性策略业务部P11-连续性程序8.4 建立和实施业务连续性程序8.4-01业务连续性管理程序8.4-02灾害灾难紧急预案8.4-03消防安全管理制度8.4-04危险化学品管理制度8.4-05供应商管理程序8.4-06外部提供过程产品服务控制程序8.4-07顾客反馈投诉控制程序8.4-08预警沟通管理程序8.4-09备份和恢复管理程序业务部等P12-演练和测试8.5 演练和测试8.5-01应急准备响应管理程序业务部P13-监测量分析评价9.1 监视、测量、分析和评价9.1-01监测分析评价程序综合部P14-内部审核9.2 内部审核9.2-01内部审核控制程序综合部P15-管理评审9.3 管理评审9.3-01管理评审控制程序综合部P16-改进10.1 总则10.1-01不合格纠正措施控制程序综合部10.2 不合格和纠正措施10.2-01持续改进控制程序10.3 持续改进。
22301标准
22301标准
22301标准是国际标准化组织（ISO）发布的《社会安全——业务连续性管理系统》标准。
该标准提供了一个框架，用于帮助组织建立、实施、维护和改进业务连续性管理系统，以应对和恢复各种内外部风险和灾难。
以下是22301标准的一些主要要点：
1. 上下文和利益相关方：要求组织了解其上下文，包括内外部因素、利益相关方和相关法律法规等，并进行相关的风险评估。
2. 领导和承诺：要求组织的高层管理层对业务连续性管理系统进行承诺，并提供所需的资源和支持。
3. 规划：要求组织制定和实施业务连续性策略、目标和计划。
4. 支持：要求组织提供必要的资源、培训和意识提高，并确保有效的沟通和信息管理。
5. 运作：要求组织建立和实施业务连续性计划，包括风险管理、恢复策略和措施、应急响应和业务恢复等。
6. 性能评估和监督：要求组织进行监测、测量和评估业务连续性系统的性能，并进行持续改进。
7. 其他要素：标准还包括文件控制、记录管理、内部审核和管理审查等要素。
22301标准为组织提供了一个体系化的方法来管理业务连续性，帮助组织建立应对各种灾难和风险的能力，保障其关键业务的连续运行。
注意，具体的标准文件包含更详细和具体的要求，建议参考最新版本的22301标准文件以获取完整的信息。
ISO22301：2019组织环境和相关方需求分析清单
制定：
日期：
审核：
日期：
相关法律法规及行业标准规范不定时更新
外部问题
社会因素
国家和政府对企业环保要求提高；
供应链情况
现有供应商暂时没有发现有环保不达标或违 规；但通过ISO14001认证的供应商较少
客户
现有客户对环保的普遍要求，如符合 ROHS,REACH等减排，多 安排就业，多交税
考虑的层面
组织环境和相关方需求分析清单
组织环境和相关方 当前现状
风险或机遇
生产中需要使用各种化学品，涉及到化学品储 存，搬运，使用，报废等问题；
存放、搬运或处理不当，会导致化学 品泄漏导致污染；使用不当会导致人 身伤害.
法律法规（如有涉及，请列出法规名 称）
内部因素
员工 股东 投资方
法律法规、行业规范 和标准情况
流行性病毒预防
政府公共事务机构 消防
相关方的
银行等
需求和期
望
供应商（包括物料供 应商，工程合同方， 废弃物处理者等）
1、稳定、持续的进行双赢合作； 2、通过深度合作降低双方成本以提高；
第三方检测和认证 体系每年持续改进，运行有效；保证工厂各项
机构
排放达标，通过相关检测。
周围居民或工厂 暂时没有发生过因环境影响而不满意的事件
ISO22301：2019程序文件-供应商管理程序
5.1.6采购应按《外部供应商体系现场评审表-报告》的内容对供应商进行每年一次的定期再评价，将评价结果记录于该表。
5.1.7供应商的定期再评价，主要有产品质量、供货信誉、价格和服务等内容，填写《供方业绩评价记录》。
5.1.7.1评价评分方法：a)产品质量（60%）：合格批数/进料批数×60分b)供货信誉（30%）：准时批数/进料批数×30分c)服务（10%）：(100分-总扣分)/100分×10分5.1.7.2供应商的再评价数据由技术部、质量部、生产部以及相关部门提供。
5.1.7.3A类产品的供应商:a)95-100分，优先考虑订货；b)85-94分，不采取措施；c)70-84分，要求有书面改进措施(甚至减少订货)。
5.1.7.4B类产品的供应商:a)85-100分，优先考虑；b)75-84分，可不采取措施；c)65-74分，需要改进。
5.1.7.5C类产品的供应商:a) 80分以上优先考虑；b） 60分以上表示许可。
5.1.8采购应保持《合格供方名录》的最新正确资料和评价结果及评价所引起的任何必要措施的记录。
5.1.9在合格的供应商交易过程中，如果出现品质不良状况，由质量部提出处理方案，采购发出供方质量问题整改通知书，供应商予以改善，如若经告知后仍无法达到预期效果，则由质量部提议采购部取消其合格供应商资格。
若该供应商需要重新评价，则按5.1条款重新评价合格后方可再次列入《合格供方名录》。
品质影响严重者，则永久取消其供应商资格。
5.1.10采购应对所有供应商的供货业绩（供应商提供的产品质量、价格、交付、售后退货等）进行统计考核，作为再评价的重要输入。
当供方发生批量性质量事故和按时交付困难时等情况，质量部门起草经总经理批准，发出向顾客通报书。
5.2 提供给外部供方的信息组织应确保在与外部供方沟通之前所确定的要求是充分和适宜的。
组织应与外部供方沟通以下要求a) 需提供的过程、产品和服务；b) 对下列内容的批准：。
iso22301条文
iso22301条文ISO 22301标准是关于业务连续性管理体系的国际标准，旨在帮助组织建立和维护有效的业务连续性计划，以确保在面临突发事件和灾难时，能够维持重要业务活动的连续性。
本文将对ISO 22301中的关键条文进行解读和分析。
ISO 22301标准共包括10个主要章节，每个章节涵盖了不同方面的业务连续性要求和指导。
以下是对其中几个重要条文的介绍和解读。
首先，ISO 22301的第4章涵盖了组织的背景和范围。
该章节要求组织明确规定和文档化其业务连续性管理的范围、政策和目标。
这些规定将成为组织制定和实施业务连续性计划的基础。
组织应该清楚了解其关键业务活动和流程，并根据此信息确定其业务连续性管理的边界和可行性。
第5章要求组织制定和实施业务连续性管理体系。
这一章节的关键要求是建立和维护一个基于风险管理的方法来确定和满足业务连续性需求。
风险评估和风险处理是业务连续性管理的核心，组织需要识别潜在的威胁和脆弱性，采取适当的控制措施来降低风险和增强业务的弹性。
接下来的第6章要求组织建立和实施业务连续性策略。
该章要求组织在威胁和脆弱性的基础上确定业务连续性策略，并为实施这些策略制定详细的计划。
策略的制定应考虑到不同时间和地点的可能的灾难情景，并确保在灾难发生时能够恢复关键业务活动的连续性。
在第7章中，ISO 22301要求组织建立和实施业务连续性计划。
业务连续性计划是指为了应对突发事件和灾难而制定的具体行动计划。
组织需要定义并记录关键业务活动的恢复目标和时间表，制定详细的业务连续性程序和指南，以确保关键业务活动的快速恢复和连续运行。
第8章着重强调建立和维护业务连续性管理的能力。
组织需要制定和实施培训和意识提升计划，确保员工了解业务连续性的重要性和自己在计划中的角色和职责。
此外，组织还需要进行定期的业务连续性演练和测试，以验证计划的有效性，并根据演练结果进行修正和改进。
最后，在第10章中，ISO 22301要求组织进行业务连续性管理体系的审核和监督。
ISO22301：2019程序文件-应急准备响应管理程序
七、应急预案编制与管理业务系统情况：应急管理需求、应急响应责任部门和人员应急场景分析：每个场景分析包含-故障现象、业务影响分析、故障原因分析应急处置：每个场景的处置包括-预案启动条件说明、应急处置目标、应急人员工作分配、应急处置流程、应急处置流程操作说明八、应急演练四个方面：演练计划、演练方案、演练执行、演练总结演练方式：桌面演练（纸面或模拟系统）、单项演练（如切存储）、全面演练（多场景多部门，从底层到业务）演练方案包括：演练目的、演练组织、演练方式、演练场景、演练时间和地点、演练步骤、演练过程、演练总结等（实战结论，要演练3次左右才能保证RTO,RPO）事件流程：记录，分派，处理，验证，关闭跟用户沟通紧急事件流程：跟业务部门沟通紧急到应急：人为的判断，看优先级极高；RPO（业务恢复时间）,RTO（数据丢失的时间点）会被突破应急场景：可能原因，表象，影响的优先级，人员处置。
做流程过程：1-抽象出各个角色；流程活动，流向，输入输出，甬道图2-角色：领导组（听报告），指挥组（流程领导，主任），实施组（具体处置人），沟通组，保障组（后勤，物业）3-风险评价：定义指导思想，业务影响度，（识别资产，弱点，威胁，漏洞）DIA:单位时间的损失4-应急场景：梳理场景两类：一类是紧急事件就能响应，常规；5-应急管理流程：应急需要领导小组审批，应急启动子流程(召开应急会议，召集人员，)，判定事件的紧急度。
九、相关存档信息BP8.4-02 灾害灾难紧急预案BR8.4-02 业务连续性计划BR8.5-01 演练测试计划BR8.5-02 演练测试记录BR8.5-03 演练测试总结评审报告BR8.5-04 应急响应通信录BR8.5-05 应急响应记录7修改栏。