文件系统符合性检查单RTSMS文档格式.docx

1、5.2.3 认证机构应有过程以持续地识别、分析、评估、处置、监视与认证活动引起的利益冲突相关的风险，并将其形成文件，包括认证机构的各种关系引起的冲突。当存在对公正性的威胁时，认证机构应将其如何消除或最大限度减小此类威胁形成文件，并予以证实，并将任何残留风险形成文件。所作的证实应包括所有已识别的潜在威胁，无论其产生于认证机构内部还是其他个人、机构或组织的活动。当某种关系对认证机构的公正性构成不可接受的威胁时（如认证机构的全资子公司向其申请认证），认证机构不应提供认证。最高管理层应审查任何残留风险并决定其是否处于可接受的水平。风险评估过程应包括识别适宜的利益相关方，并就影响公正性（包括公开性和公众

2、认知）的事宜向其征询意见。向适宜的利益相关方征询意见应以均衡的、任一方不处于支配地位的方式进行。注 1：认证机构公正性的威胁可能源自其所有权、法人治理结构、管理层、人员、共享资源、财务、合同、培训、营销以及给介绍新客户的人销售佣金或其他好处等。注 2：利益相关方可能包括：认证机构的人员和客户，获证客户的顾客，行业协会代表，政府监管机构或其他政府部门的代表，或非政府组织（包括消费者组织）的代表。注 3：满足本条征询意见要求的一种方式是使用一个由这些利益相关方组成的委员会。5.2.4 认证机构不应对另一认证机构的质量管理体系进行认证。5.2.5 认证机构及同一法律实体的任何其他部分以及处于认证机构

3、的组织控制（见 9.5.1.2 b）之下的任何实体不应提供或推荐管理体系咨询，也不应为管理体系咨询提供报价。本条款同样适用于政府中被识别为认证机构的那一部分。本条不排除认证机构与其客户之间交流信息的可能性（例如解释发现或澄清要求）。5.2.6 认证机构及同一法律实体的任何其他部分向认证机构的获证客户提供内部审核是对公正性的严重威胁。因此，认证机构及同一法律实体的任何其他部分以及处于认证机构的组织控制（见 9.5.1.2 b）之下的任何实体不应向获证客户提供内部审核。一种公认的减轻这种威胁的方式是，如果认证机构对某个管理体系提供了内部审核，则不应在内部审核结束后至少两年内对该管理体系进行认证。见

4、 5.2.3 注 1。5.2.7 如果客户接受了与认证机构有关系的机构的管理体系咨询，这是对公正性的严重威胁。一种公认的减轻这种威胁的方式是，认证机构在咨询结束后至少两年内不应对该管理体系进行认证。5.2.8 认证机构不应将审核外包给管理体系咨询机构，因为这一做法将对认证机构的公正性构成不可接受的威胁（见 7.5）。本条款不适用于 7.3 所述的作为签约审核员的个人。5.2.9 认证机构活动的营销或报价不应与管理体系咨询机构的活动有联系。如果任何咨询机构的链接或声明宣称或暗示选择某认证机构将使认证更为简单、容易、迅速或廉价，则该认证机构应采取措施纠正这种不当表述。认证机构不应宣称或暗示选择某咨

5、询机构将使认证更为简单、容易、迅速或廉价。5.2.10 为确保没有利益冲突，参与了对客户管理体系咨询的人员（包括管理人员）不应被认证机构用于针对该客户的审核或其他认证活动。一种公认的减轻该威胁的方式是在咨询结束后至少两年内不应使用该人员。5.2.11 认证机构应采取措施，以应对其他人员、机构或组织的行为对其公正性产生的威胁。5.2.12 认证机构所有可以影响认证活动的人员（内部或外部的）或委员会应公正行事，且不应允许商业、财务或其他方面的压力损害公正性。5.2.13 认证机构应要求内部和外部的人员告知他们所了解的任何可以使其或认证机构陷入利益冲突的情况。认证机构应记录并 利用这些信息识别他们或

6、其所在单位的活动对公正性产生的威胁，且应在他们能够证明没有利益冲突之后再使用这些内部或外部人员。5.3 责任和财力 5.3.1 认证机构应能证明已对认证活动引发的风险进行了评估，并对各个活动领域和运作地域的业务引发的责任作了充分的安排（如保险或储备金）。5.3.2 认证机构应评估其财务状况和收入来源，并证明其公正性始终没有受到商业、财务和其他方面压力的损害。6 结构结构 要要求求 6.1 组织结构和最高管理层 6.1.1 认证机构应将其组织结构、管理层和其他认证人员及各委员会的职责、责任和权力形成文件。当认证机构是一个法律实体内有明确界定的一部分时，该文件应说明认证机构与该法律实体间的权力关系

7、以及与同一法律实体内其他部分的关系。6.1.2 认证机构的结构和管理方式应维护认证活动的公正性。6.1.3 认证机构应确定对下列各项具有全部权力和责任的最高管理层（委员会、小组或个人）：a）与认证机构运作有关的政策的制定以及过程和程序的建立；b）政策、过程和程序实施的监督；c）确保公正性；d）认证机构财务的监督；e）管理体系认证服务和认证方案的开发；f）审核与认证的实施和对投诉的回应；g）认证决定；h）在需要时，授权委员会或个人代表最高管理层开展规定的活动；i）合同安排；j）为认证活动提供充分的资源。6.1.4 认证机构应有关于任何参与认证活动的委员会的任命、权限和运行的正式规则。6.2 运行

8、控制 6.2.1 认证机构应有过程对其分支办公室、合伙人、代理、特许经营者等交付的认证活动进行有效控制，不论其法律地位、关系或地理位置如何。认证机构应考虑这些活动给认证机构的能力、一致性和公正性带来的风险。6.2.2 认证机构应考虑与所从事活动相适宜的控制水平和方法，包括其过程、运作的技术领域、人员能力、管理控制和报告关系以及对操作系统（包括记录）的远程访问。7 资源资源 要要求求 7.1 人员能力人员能力 7.1.1 总体考虑 认证机构应有过程来确保其人员对其运作涉及的管理体系类型（例如质量管理体系、环境管理体系、信息安全管理体系）和地域有适宜的相关知识与技能。7.1.2 能力准则的确定 认

9、证机构应有过程，以确定参与管理和实施审核及其他认证活动的人员的能力准则。应根据每类管理体系标准的要求，针对每个技术领域和认证过程中的每项职能确定能力准则。该过程的输出应是形成文件的所要求知识和技能的准则，这些知识和技能是有效地实施审核与认证任务以实现预期结果所必需的。附录 A明确了认证机构应为特定职能确定的知识和技能。如果已经为特定的标准或认证方案建立了附加的特定能力准则（例如 ISO/IEC TS 17021-2（CNAS-CC121），ISO/IEC TS 17021-3（CNAS-CC131）或 ISO/TS 22003（CNAS-CC18），这些附加的特定能力准则应得到应用。取决于不同

10、的管理体系标准，术语“技术领域”的应用方式可以有所不同。对于任何管理体系，该术语都与管理体系标准范围内的产品、过程和服务有关。技术领域可由特定认证方案（例如 ISO/TS 22003（CNAS-CC18）定义；或者可以由认证机构定义。该术语用于涵盖不同管理体系领域传统使用的一些其他术语，例如“范围”、“类别”、“行业”等。7.1.3 评价过程 认证机构应有形成文件的过程，以应用所确定的能力准则，对所有参与管理和实施审核及其他认证活动的人员进行初始能力评价，并持续监视其能力和绩效。认证机构应证实其评价方法是有效的。这些过程的输出应是识别出有能力的人员，即被证实具有审核与认证过程不同职能所需的能力

11、水平的人员。在认证机构内，人员为其活动绩效承担责任前，能力应得到证实。附录 B介绍了一些可用于能力评价的评价方法。附录 C 提供了一个能力确定和保持流程的示例。7.1.4 其他考虑 认证机构应有获取必要的专业知识与技能的途径，以在其运作涉及的所有技术领域、管理体系类型和地域等方面获得与认证活动直接相关的建议。这些建议可由外部人员或认证机构人员提供。7.2 参与认证活动的人员 7.2.1 认证机构应有足够的、有能力的人员以对其各种类型与范围的审核方案以及其他认证工作进行管理和支持。7.2.2 认证机构应聘用或有途径获得足够数量的审核员（包括审核组长）和技术专家，以覆盖 其所有活动并满足审核工作量

12、的需要。7.2.3 认证机构应使所有相关人员清楚自己的任务、责任和权力。7.2.4 认证机构应有过程来选择、培训、正式任用审核员，选择并培养认证活动使用的技术专家。审核员的初始能力评价应包括在审核中应用所需知识与技能的本领的证实。在审核中应用所需知识与技能的本领应由有能力的评价者在对审核员审核的见证中确定。在上述的选择和培训过程中可以考虑所期望的个人行为。所期望的个人行为是影响一个人实施特定职能的能力的特性。对个人行为的了解能使认证机构能够发挥人员的强项并尽可能减小其弱点的影响。附录 D介绍了所期望的个人行为，它们对参与认证活动的人员是重要的。7.2.5 认证机构应有实现和证实有效审核的过程。

13、该过程应确保所使用的审核员和审核组长具备通用的审核知识与技能以及特定技术领域审核所需的知识与技能。7.2.6 认证机构应确保审核员（需要时，包括技术专家）充分了解其审核过程、认证要求和其他相关要求。认证机构应使审核员和技术专家有途径获取指导审核和提供认证活动所有相关信息的现行有效的文件化程序。7.2.7 认证机构应识别培训需求，并向审核员、技术专家和其他参与认证活动的人员提供或使 其有机会参加特定的培训，以确保他们胜任所从事的工作。7.2.8 做出授予、拒绝、保持、更新、暂停、恢复或撤销认证或者扩大或缩小认证范围等决定的小组或个人应理解适用的标准和认证要求，并经证实有能力评价审核过程的结果，包

14、括审核组的相关推荐意见。7.2.9 认证机构应确保所有参与审核和其他认证活动的人员均有令人满意的表现。认证机构应有形成文件的过程，以根据这些人员的使用频率及其活动的风险水平来监视他们的能力和表现。认证机构尤其应根据人员的表现来复核并记录他们的能力，以识别培训需求。7.2.10 认证机构应在监视每个审核员时考虑该审核员被认为有能力的每个管理体系类型。形成文件的审核员监视过程应把现场评价、审核报告复核及客户或市场反馈相结合。认证机构应在文件要求中详细说明该程序。在设计监视方式时，应使正常认证过程所受干扰最小（尤其是从客户角度来看）。7.2.11 认证机构应定期对每位审核员的表现进行现场评价。现场评

15、价的频率应取决于根据所有可获得的监视信息确定的现场见证需求。7.3 外部审核员和外部技术专家的使用 认证机构应要求外部审核员和外部技术专家通过书面协议承诺其遵守认证机构适用的政策并按照认证机构的规定实施相关过程。该协议应含有关于保密及公 正性的条款，并要求外部审核员和外部技术专家向认证机构说明现在或以前与可能派其审核的组织的关系。使用个人或另一组织的单个雇员作为外部审核员或技术专家不构成外包。7.4 人员记录 认证机构应保持人员（包括认证活动实施人员、管理人员和行政人员）的最新记录，包括相关的资格、培训、经历、隶属关系、专业状况和能力的记录。7.5 外包 7.5.1 认证机构应说明可以进行外包

16、（即向另一个组织分包，由其代表认证机构提供部分认证服务）的条件。认证机构应与每个承担外包服务的机构就相关安排（包括保密和利益冲突）签订在法律上具有强制实施力的协议。7.5.2 授予、拒绝、保持认证，扩大或缩小认证范围，更新、暂停、恢复或者撤销认证的决定不应外包。7.5.3 认证机构应：a）对外包给另一机构的所有活动负责；b）确保外包服务承担机构及其使用的人员符合认证机构的要求和本文件的适用要求，包括能力、公正性和保密；c）确保外包服务承担机构及其使用的人员与拟审核的组织没有可能损害公正性的关系（无论 是直接的还是通过任何其他雇主发生的关系）。7.5.4 认证机构应有过程，以对认证活动的所有外包

17、服务承担机构进行批准和监视，且应确保其参与认证活动的所有人员的能力记录得到保持。对于 7.5.1 至 7.5.4，当认证机构聘用个人或其他组织的雇员来补充资源或专业能力时，如果认证机构与个人签约，以使其在认证机构的管理体系下运作（见 7.3），不构成外包。对于 7.5.1 至 7.5.4，“外包”与“分包”视为同义词。8 信息信息 要要求求 8.1 公开信息 8.1.1 认证机构应在其运营的所有地理区域中保持（通过出版物、电子介质或其他方式）并主动公布下列方面的信息：a）审核过程；b）授予、拒绝、保持、更新、暂停、恢复或撤销认证或者扩大或缩小认证范围的过程；c）其运作涉及的管理体系类型和认证方

18、案；d）认证机构的名称和认证标志或徽标的使用；e）对索要信息的请求、投诉和申诉的处理过程；f）公正性政策。8.1.2 认证机构应在有请求时提供下列方面的信息：a）其运作涉及的地理区域；b）特定认证的状态；c）特定获证客户的名称、相关的规范性文件、认证范围和地理位置（国家和城市）。在特殊情况下，可以根据客户的请求（如出于安全原因）对某些信息的公开程度做出限制。认证机构也可以通过任何方式主动公开 8.1.2 中的信息，例如在其网站上。8.1.3 认证机构向客户或市场提供的信息（包括广告）应准确且不使人产生误解。8.2 认证文件 8.2.1 认证机构应以其选择的任何方式向获证客户提供认证文件。8.2

19、.2 认证文件应标明：a）每个获证客户的名称和地理位置（或多场所认证范围内总部和所有场所的地理位置）；b）授予认证、扩大或缩小认证范围、更新认证的生效日期，生效日期不应早于相关认证决定的日期；当证书失效一段时间时，认证机构在满足下列条件时，可以在证书上保留原始的认证日期：-清晰标示了当前认证周期的开始时间和截止时间；-把上一认证周期截止时间连同再认证审核的时间一起标示。c）认证有效期或与认证周期一致的应进行再认证的日期；d）唯一的识别代码；e）审核获证客户时所用的管理体系标准和（或）其他规范性文件，包括发布状态的标示（例如修订时间或编号）；f）与活动、产品和服务类型等相关的认证范围，适用时，包

20、括每个场所相应的认证范围，且没有误导或歧义；g）认证机构的名称、地址和认证标志；可以使用其他标识（如认可标识、客户的徽标），但不能产生误导或含混不清；h）认证用标准和（或）其他规范性文件所要求的任何其他信息；i）在颁发经过修改的认证文件时，区分新文件与任何已作废文件的方法。8.3 认证资格的引用和标志的使用 8.3.1 认证机构对其授权获证客户使用的任何管理体系认证标志应有管理规则。这些规则应确保可以从标志追溯到认证机构。标志或所附文字不应使人对认证对象和授予认证的认证机构产生歧义。标志不应用于产品或产品包装之上，或以任何其他可解释为表示产品符合性的方式使用。GB/T 27030 对使用第三方

21、标志提供了补充信息。8.3.2 认证机构不应允许其标志被获证客户用于实验室检测、校准或检验的报告或证书。8.3.3 认证机构应对在产品包装上或附带信息中声明获证客户的管理体系通过认证有管理规则。产品包装的判别标准是其可从产品上移除且不会导致产品分解、碎裂或损坏。附带信息的判别标准是其可分开获得或易于分离。型号标签或铭牌被视为产品的一部分。声明决不应暗示产品、过程或服务以这种方式得到了认证。声明应包含对下列的引用：-获证客户的标识（例如品牌或名称）；-管理体系的类型（例如质量、环境）和适用标准；-颁发证书的认证机构。8.3.4 认证机构应通过在法律上具有强制实施力的安排，要求获证客户：a）在传播

22、媒介（如互联网、宣传册或广告）或其他文件中引用认证状态时，应符合认证机构的要求；b）不做出或不允许有关于其认证资格的误导性说明；c）不以或不允许以误导性方式使用认证文件或其任何部分；d）在其认证被撤销时，按照认证机构的指令立即停止使用所有引用认证资格的广告材料（见9.6.5）；e）在认证范围被缩小时，修改所有的广告材料；f）不允许在引用其管理体系认证资格时，暗示认证机构对产品（包括服务）或过程进行了认证；g）不得暗示认证适用于认证范围以外的活动和场所；h）在使用认证资格时，不得使认证机构和（或）认证制度声誉受损，失去公众信任。8.3.5 认证机构应正确地控制其所有权，并采取措施处理认证状态的错

23、误引用或认证文件、标志或审核报告的误导性使用。此类措施可以包括要求纠正或采取纠正措施、暂停认证、撤销认证、公告违规行为以及必要的法律措施。8.4 保密 8.4.1 认证机构应通过在法律上具有强制实施力的协议，对在其各个层次（包括代表其活动的委员会、外部机构或个人）从事认证活动时获得或产生的所有信息的管理负责。8.4.2 认证机构应将其拟对公众公开的信息提前告知客户。所有其他信息均应视为保密信息，客户自己公开的信息除外。8.4.3 除本文件有要求外，关于特定获证客户或个人的信息，未经其书面同意，不应向第三方披露。8.4.4 当法律要求认证机构或者合同安排（例如与认可机构签订的）授权认证机构提供保

24、密信息时，除法律禁止外，认证机构应将拟提供的信息提前通知有关客户或个人。8.4.5 从其他来源（如投诉人、监管机构）获得的关于客户的信息应根据认证机构的政策按保密信息处理。8.4.6 认证机构的人员，包括代表认证机构工作的任何委员会成员、合同方、外部机构人员或个人，除法律有要求外，应对从事认证机构的活动时获得或产生的所有信息予以保密。8.4.7 认证机构应有确保保密信息得到安全处理的过程以及适用的设备和设施。8.5 认证机构与其客户间的信息交换 8.5.1 认证过程和要求的信息 认证机构应向客户提供并为其更新以下信息：a）对认证活动整个过程的详细说明，包括申请、初次审核、监督审核和授予、拒绝、

25、保持认证、扩大或缩小认证范围、更新、暂停或恢复或者撤销认证的过程；b）认证依据的规范性要求；c）申请、初次认证和保持认证资格所需费用的信息；d）认证机构对客户的要求：1）遵守认证要求；2）为实施审核做出所有必要的安排，包括在初次认证、监督、再认证和解决投诉时，为检查文件和接触所有过程与区域、记录及人员提供条件；3）适用时，为接纳到场的观察员（如认可评审员或实习审核员）提供条件。e）对获证客户根据 8.3 的要求在各类沟通中引用认证资格时的权利和责任（包括要求）予以说明的文件；f）投诉和申诉处理过程的信息。8.5.2 认证机构的变更通知 认证机构应以适当方式将其认证要求的任何变更通知获证客户。认

26、证机构应验证每个获证客户符合新的要求。8.5.3 获证客户的变更通知 认证机构应做出在法律上具有强制实施力的安排，以确保获证客户即时将可能影响管理体系持续满足认证标准要求的能力的 事宜通知认证机构，包括（但不限于）与下列方面有关的变更：a）法律地位、经营状况、组织状态或所有权；b）组织和管理层（如关键的管理、决策或技术人员）；c）联系地址和场所；d）获证管理体系覆盖的运作范围；e）管理体系和过程的重大变更。认证机构应采取适当的行动。9 过程过程 要要求求 9.1 认证前的活动 9.1.1 申请 认证机构应要求申请组织的授权代表提供必要的信息，以便认证机构确定：a）申请认证的范围；b）特定认证方

27、案所要求的申请组织的相关详细情况，包括其名称、场所的地址、过程和运作的重要方面、人力资源和技术资源、职能、关系以及任何相关的法律义务；c）识别申请组织采用的所有影响符合性的外包过程；d）申请组织寻求认证的标准或其他要求；e）是否接受过与拟认证的管理体系有关的咨询，如果接受过，由谁提供咨询。9.1.2 申请评审 9.1.2.1 认证机构应对认证申请及补充信息进行评审，以确保：a）关于申请组织及其管理体系的信息足以建立审核方案（见9.1.3）；b）解决了认证机构与申请组织之间任何已知的理解差异；c）认证机构有能力并能够实施认证活动；d）考虑了申请的认证范围、申请组织的运作场所、完成审核需要的时间和

28、任何其他影响认证活动的因素（语言、安全条件、对公正性的威胁等）；9.1.2.2 在申请评审后，认证机构应接受或拒绝认证申请。当认证机构基于申请评审的结果拒绝认证申请时，应记录拒绝申请的原因并使客户清楚拒绝的原因。9.1.2.3 根据上述评审，认证机构应确定审核组及进行认证决定需要具备的能力。9.1.3 审核方案 9.1.3.1 应对整个认证周期制定审核方案，以清晰地识别所需的审核活动，这些审核活动用以证实客户的管理体系符合认证所依据标准或其他规范性文件的要求。认证周期的审核方案应覆盖全部的管理体系要求。9.1.3.2 初次认证审核方案应包括两阶段初次审核、认证决定之后的第一年与第二年的监督审核

29、和第三年在认证到期前进行的再认证审核。第一个三年的认证周期从初次认证决定算起。以后的周期从再认证决定（见 9.6.3.2.3）算起。审核方案的确定和任何后续调整应考虑客户的规模，其管理体系、产品和过程的范围与复杂程度，以及经过证实的管理体系有效性水平和以前审核的结果。附录 E提供了一个典型的审核与认证过程的流程图。下面列举了建立或修改审核方案时可能需要考虑的其他事项，在确定审核范围和编制审核计划时可能也需要考虑这些事项：-认证机构收到的对客户的投诉；-结合、一体化或联合审核；-认证要求的变化；-法律要求的变化；-认可要求的变化；-组织的绩效数据（例如缺陷水平、关键绩效指标（KPI）数据等）；-利益相关方的关注。如果特定的行业认证方案有规定，认证周期可以不为 3年 9.1.3.3 监督审核应至少每个日历年（应进行再认证的年份除外）进行一次。初次认证后的第一次监督审核应在认证决定日期起 12 个月内进行。为了考虑诸如季节或有限时段的管理体系认证（例如临时施工场所）等因素，可能有必要调整监督审核的频次。9.1.3.4 如果认证机构考虑客户已获的认证或由另一认证机构实施的审核，则应获取并保留充足的证据，例如报告和对不符合采取的纠正措施的文件。所获取的文件应为满足本文件要求提供支持。认证机构应根据获取的信息证