P01 体系策划与管理

责任部门：最高管理者、体系管理部门

过程流程

组织环境；相关方需求；体系范围；过程识别；方针；职责权限；风险和机遇；质量目标；变更策划；资源策划；绩效评价；管理评审；持续改进

审核要点

组织是否结合自身经营活动、组织环境及发展情况，对管理体系进行总体策划。
是否明确管理体系覆盖的业务、产品和服务、部门、场所及相关活动。
是否识别与组织管理体系有关的内外部因素及相关方需求。
是否根据实际业务确定管理体系所需的主要过程及其相互关系。
是否明确各过程、部门和岗位的职责、权限及接口。
是否结合组织实际确定质量、环境、职业健康安全、IT服务及信息安全等方面的管理目标。
是否针对目标确定相应的实施措施、责任部门、人员及资源。
是否识别和评价组织活动、产品和服务涉及的质量、环境、职业健康安全及信息安全等方面的风险和影响。
是否根据风险识别和评价结果确定相应的控制措施。
是否考虑法律法规、合同、客户及其他相关方要求，并将有关要求纳入体系策划。
是否考虑人员、设备、设施、技术、业务、信息系统、工作场所等发生变化时对管理体系的影响。
新业务、新产品、新项目、新设备、新系统投入或发生重大变化时，是否重新进行相关策划和风险评价。
是否对外包、供应商、承包商、服务商及其他外部提供方涉及的管理活动进行策划。
是否能够根据实际工作变化及时调整体系文件、职责、流程及控制措施。
是否通过日常管理、目标监视、内部审核、数据分析、事件处理及管理评审评价体系运行情况。
对管理体系运行中发现的问题，是否采取相应措施并推动持续改进。
管理体系策划是否与组织实际经营管理相协调，避免体系文件与实际工作“两张皮”。

审核记录示例

现场与管理人员沟通组织管理体系策划及运行情况，结合组织机构、主要业务、产品和服务以及实际管理活动进行了解。组织能够结合自身经营管理情况建立相应管理体系，明确体系覆盖的主要业务、部门、场所及相关活动，现行体系范围与实际经营活动基本一致，未发现明显未纳入管理的主要业务活动。
现场查看组织主要管理过程及部门职责，结合业务开展情况了解各过程之间的关系和接口。组织能够根据实际工作确定主要管理过程及支持过程，各部门能够按照职责开展相关工作，部门之间能够通过工作流程、内部沟通及相关管理要求进行衔接，实际工作流程与现行管理要求基本协调。
结合组织经营活动及近期业务变化情况，抽查相关策划、目标及风险管理资料。组织能够根据实际业务发展、产品和服务变化以及相关方要求确定相应管理目标，并通过工作计划、部门职责、人员培训、资源配置及相关控制措施推动实施。对业务、设备、人员及工作方式发生变化的情况，能够结合实际对相关管理要求进行调整。
现场结合实际工作了解风险及影响管理情况，组织能够针对主要业务活动识别相关风险，并根据实际情况采取相应控制措施。对于涉及产品和服务质量、环境影响、人员职业健康安全、IT服务及信息安全等方面的管理要求，能够结合实际工作分别采取相应的管理措施。抽查相关资料，风险识别及控制措施与实际业务基本相符。
结合供应商、外部服务、承包商及其他相关方管理情况进行了解，组织能够根据实际业务需要对外部提供的产品和服务进行相应管理，并结合合同要求、服务要求及内部管理要求实施控制。相关部门能够对外部提供方的工作情况进行沟通和跟踪，未发现明显的管理失控情况。
结合内部审核、目标监视、管理评审及日常管理情况进行了解，组织能够通过内部审核、目标完成情况分析、相关数据、客户反馈、事件及问题处理等方式评价管理体系运行情况。对于发现的问题能够采取相应措施进行处理，并根据实际情况调整相关管理要求，推动管理体系持续改进。
总体来看，组织能够结合自身经营管理实际对管理体系进行策划，体系范围、过程、职责、目标、风险及相关控制措施基本明确，管理体系与实际业务运行基本协调。

高频问题

管理体系范围与企业实际经营活动不一致。
新增业务、产品、项目或服务没有及时纳入体系管理。
组织机构调整后，部门职责和体系文件没有同步调整。
实际工作流程发生变化，但体系文件仍沿用原有规定。
管理目标制定后缺少具体措施、责任人员或资源保障。
目标长期未完成，但没有进行原因分析和改进。
过程识别不完整，实际存在的管理过程没有纳入体系。
各部门职责接口不清，出现工作交叉或管理空档。
风险识别与实际业务脱节，存在“照表评价”的情况。
新项目、新设备、新系统上线后没有重新进行风险识别。
环境因素、危险源、信息资产及业务风险识别更新不及时。
法律法规、客户要求、合同要求等外部要求识别不充分。
供应商、外包方、承包商等相关方风险考虑不足。
重大变化发生后没有进行体系变更策划。
内审、管理评审发现的问题没有形成有效改进。
管理体系主要停留在文件层面，与实际经营管理结合不够。
不同管理体系之间各自独立运行，缺少统一策划和协调。