9.3 管理评审

ISO/IEC 27001:2022　9 绩效评价

条款正文

9.3.1 总则
最高管理层应按计划的时间间隔评审组织的信息安全管理体系,以确保其持续的适宜
性、充分性和有效性。

9.3.2 管理评审输入
管理评审应考虑:
a) 以往管理评审提出的措施的状态;
b) 与信息安全管理体系相关的外部和内部事项的变化;
c) 与信息安全管理体系相关的相关方需求和期望的变化；
d) 有关信息安全绩效的反馈,包括以下方面的趋势:
1）不符合和纠正措施;
2）监视和测量结果;
3）审核结果;
4）信息安全目标完成情况;
e) 相关方反馈;
f) 风险评估结果及风险处置计划的状态;
g) 持续改进的机会。

9.3.3 管理评审输出
管理评审的输出应包括与持续改进机会相关的决定以及变更信息安全管理体系的任
何需求。
组织应保留文件化信息作为管理评审结果的证据。

审核要点

• 定期实施管理评审
• 最高管理者参与
• 输入内容完整
• 输出内容完整
• 评价体系绩效
• 评价风险变化
• 评价目标完成情况
• 确定资源需求
• 确定改进机会
• 保留评审记录

审核证据示例

• 管理评审程序
• 管理评审计划
• 管理评审会议纪要
• 管理评审报告
• 风险评估报告
• 安全事件分析报告
• 内审报告
• 目标完成情况统计
• 资源需求分析报告
• 改进措施跟踪记录

审核记录示例

查阅管理评审程序1份。
查阅管理评审计划1份。
查阅管理评审会议纪要1份。
查阅管理评审报告1份。
查阅风险评估报告1份。
查阅信息安全目标完成情况统计表1份。
查阅内部审核报告1份。
查阅安全事件分析报告1份。
查阅资源需求分析报告1份。
访谈最高管理者1名。
经核实，组织定期开展管理评审，对信息安全管理体系的适宜性、充分性和有效性进行评价，并确定改进措施和资源需求。

高频问题清单

• 未开展管理评审
• 最高管理者未参加
• 输入内容不完整
• 风险评估未纳入评审
• 安全事件未纳入评审
• 内审结果未纳入评审
• 输出内容不完整
• 改进措施未落实
• 资源需求未评审
• 评审流于形式

审核公式

管理评审高层抓，
体系绩效来评价；
风险机遇全考虑，
持续改进再出发。

审核链条

绩效评价 → 内部审核 → 管理评审输入 → 管理评审会议 → 决策输出 → 改进落实 → 持续提升

不符合项（NC）格式

审核抽查管理评审活动，发现组织本审核周期未开展信息安全管理体系管理评审。
无法证实最高管理者已按照策划要求开展管理评审。
不符合ISO/IEC 27001:2022第9.3条有关：
“最高管理者应按计划的时间间隔评审组织的信息安全管理体系。”
的要求。
审核抽查管理评审活动，发现管理评审未包含风险评估结果、安全事件统计等输入内容。
无法证实管理评审覆盖标准规定的输入要求。
不符合ISO/IEC 27001:2022第9.3条有关：
“管理评审应考虑信息安全管理体系绩效信息。”
的要求。
审核抽查管理评审活动，发现管理评审未评价信息安全目标完成情况。
无法证实最高管理者已评价信息安全管理体系绩效。
不符合ISO/IEC 27001:2022第9.3条有关：
“管理评审应考虑信息安全目标实现程度。”
的要求。
审核抽查管理评审活动，发现管理评审提出的改进措施长期未落实。
无法证实组织已落实管理评审输出要求。
不符合ISO/IEC 27001:2022第9.3条有关：
“管理评审输出应包括持续改进机会和变更需求的决策。”
的要求。
审核抽查管理评审活动，发现组织无法提供管理评审记录和会议纪要。
无法证实组织已保持管理评审结果相关成文信息。
不符合ISO/IEC 27001:2022第9.3条有关：
“组织应保留管理评审结果的成文信息。”
的要求。
审核抽查管理评审活动，发现管理评审仅对信息安全体系运行情况进行汇报，未形成改进决策和资源配置决策。
无法证实最高管理者已评价信息安全管理体系持续适宜性、充分性和有效性。
不符合ISO/IEC 27001:2022第9.3条有关：
“管理评审应评价信息安全管理体系持续适宜性、充分性和有效性。”
的要求。
审核抽查管理评审活动，发现组织虽召开管理评审会议，但未覆盖风险评估结果、内部审核结果及改进机会等输入内容。
无法证实组织已按照标准要求开展管理评审。
不符合ISO/IEC 27001:2022第9.3条有关：
“最高管理者应按计划的时间间隔评审组织的信息安全管理体系。”
的要求。

常见问题清单

• 是否定期开展管理评审？
• 管理评审由谁主持？
• 是否评价ISMS适宜性？
• 是否评价ISMS充分性？
• 是否评价ISMS有效性？
• 是否评审风险变化情况？
• 是否评审安全事件情况？
• 是否评审目标完成情况？
• 是否确定改进措施？
• 是否形成评审记录？

加入检查表 →