P11 文件与信息管理

责任部门：体系管理部门、行政部

过程流程

文件编制；审批；发布；使用；更改；保存；作废

审核要点

是否明确文件与信息管理过程的职责、权限及工作流程。
是否识别管理体系运行所需的文件、信息及记录。
是否根据管理体系要求确定需要形成和保持的文件化信息。
是否明确文件和信息的编制、审核、批准、发布、修改、废止等管理要求。
文件发布前是否经过适当的审核和批准。
是否确保使用场所能够获得适用的有效文件。
是否防止使用失效或作废文件。
文件发生变化时，是否能够识别文件的修订状态或版本。
是否对外来文件进行识别、确认和适当控制。
是否对法律法规、标准、行业规范、客户要求等外来文件进行有效管理。
是否确保文件内容清晰、准确、完整并便于使用。
是否根据文件的重要程度和使用要求确定适当的保存方式。
是否规定文件和记录的保存期限。
是否对文件和记录的查阅、复制、下载、分发及使用进行必要控制。
是否根据岗位职责确定人员对文件和信息的访问权限。
是否防止未经授权的人员获取、修改、删除或传播重要信息。
是否对涉及质量、环境、职业健康安全、信息安全及IT服务管理的文件进行分类管理。
是否对技术文件、设计文件、工艺文件、检验文件、服务文件等进行有效控制。
是否对客户提供的文件、资料、数据及其他信息进行适当管理。
是否对合同、订单、技术协议及客户要求等信息进行保存和追溯。
是否对涉及环境管理的运行控制文件进行有效管理。
是否确保相关岗位能够获得适用的环境管理要求和操作文件。
是否对职业健康安全相关制度、操作规程、应急预案及安全技术资料进行有效控制。
是否确保相关人员能够获得与其工作有关的职业健康安全信息。
是否对信息安全方针、制度、程序、操作规程及相关技术文件进行有效控制。
是否对信息安全相关文件进行版本和权限管理。
是否对程序源代码、系统配置文件、技术架构资料等重要信息实施适当保护。
是否根据业务需要对客户数据、业务数据及敏感信息进行分类和管理。
是否对信息的存储、传输、共享、复制及销毁实施必要控制。
通过邮件、即时通信工具、移动存储介质等传递敏感信息时，是否采取适当的安全控制措施。
是否对信息系统中的重要电子文件和数据实施访问控制。
是否对重要信息进行备份，并根据需要验证备份的有效性。
是否对重要信息的修改、删除及恢复实施必要控制。
是否对IT服务管理所需的服务目录、服务级别、运行记录、事件记录、变更记录等信息进行有效管理。
是否确保IT服务相关人员能够及时获得适用的服务管理文件和操作信息。
是否对服务管理过程中产生的记录进行完整保存和追溯。
是否对信息系统产生的日志、监控数据及其他重要信息进行适当管理。
是否对文件与信息的保密性、完整性和可用性进行必要考虑。
是否对重要文件和信息设置适当的访问权限。
是否定期检查文件和信息的适宜性、充分性和有效性。
文件内容发生变化时，是否及时更新相关文件和信息。
管理体系标准、法律法规及外部要求发生变化时，是否及时识别并更新相关文件。
组织机构、职责、业务流程、系统及技术发生变化时，是否及时更新相关文件。
是否及时回收、撤销或停止使用失效文件。
是否对保留的作废文件进行适当标识，防止误用。
是否对需要保密的文件和信息明确保密要求。
人员离职、转岗时，是否及时调整其文件及信息访问权限。
是否对文件和信息管理过程中发现的问题采取纠正和改进措施。
是否通过审核、检查、事件分析及实际使用情况持续改进文件与信息管理过程。

审核记录示例

现场与文件及信息管理相关人员沟通文件与信息管理过程，结合管理体系文件、业务文件及实际工作资料了解文件的编制、审核、批准、发布、修改、使用和保存情况。组织能够根据管理体系运行及实际业务需要建立和保持相应的文件化信息，并按照规定实施文件管理。
现场抽查管理制度及业务操作文件，抽查××管理制度、××操作规程等文件，相关文件能够明确文件名称、版本及审批信息，文件发布前经过相关人员审核和批准，实际使用文件与现行有效版本基本一致。
结合现场实际工作查看文件使用情况，相关岗位能够获得与工作有关的制度、操作规程、技术文件及其他信息，现场使用文件能够与实际工作要求相对应，未发现明显使用作废文件的情况。
抽查文件修改情况，组织在管理要求、业务流程或工作方法发生变化时能够对相关文件进行修订，修订后的文件能够重新履行审核和批准程序，并通过版本或修订状态进行识别。
现场抽查外来文件管理情况，组织能够对适用的法律法规、标准、行业规范及客户要求等外来文件进行识别和管理，并根据实际工作需要获取和使用相关文件。抽查××标准及相关资料，能够确认现行使用版本。
结合管理体系标准变化情况进行了解，组织能够关注适用标准及外部要求的变化，并根据变化情况对相关管理制度、工作文件及操作要求进行调整和更新。
现场抽查技术资料管理情况，组织能够对产品、项目、系统及服务相关技术文件进行管理。抽查××项目技术资料，相关文件能够根据项目实施需要提供给有关人员，并通过版本、权限或其他方式进行相应控制。
结合信息安全要求查看技术资料和程序源代码管理情况，组织能够根据人员工作职责对相关技术资料、程序文件及源代码设置相应的访问权限，对重要技术信息实施必要的保密管理。
抽查人员离职及岗位调整后的信息访问管理情况，组织能够根据人员职责变化及时调整相关系统及信息访问权限，对离职人员能够按照规定停止或撤销相关访问权限。
现场了解客户资料和业务数据管理情况，组织能够对客户提供的文件、数据及相关资料进行管理，并根据客户要求和组织管理规定控制资料的使用、保存及传递。
抽查××客户项目资料，客户提供的数据及技术资料能够按照项目要求进行使用和保存，相关资料能够与项目实施过程建立对应关系，具备一定的追溯性。
结合敏感信息传递情况进行了解，组织对涉及客户信息、技术资料、业务数据及其他敏感信息的传递提出相应管理要求，相关人员能够说明信息传递过程中应遵守的保密和信息安全要求。
现场抽查职业健康安全相关文件，组织能够根据现场作业及岗位风险提供相应的安全操作规程、应急预案及安全管理要求，相关岗位人员能够获得与自身工作有关的安全信息。
现场抽查环境管理相关文件，组织能够对环境管理制度、运行控制要求及相关操作文件进行管理，相关岗位能够获得与其工作有关的环境管理要求。
抽查IT服务管理相关文件及记录，组织能够对服务目录、服务要求、服务级别、事件处理、变更管理及服务运行记录等信息进行管理，相关人员能够依据适用文件开展IT服务活动。
结合近期IT服务事件进行追溯，抽查××服务故障记录，能够从事件发现、处理、恢复及关闭等环节查阅相关记录，相关服务信息能够形成基本的追溯链。
现场查看重要电子信息的备份管理情况，组织能够根据业务重要程度对相关数据及文件实施备份，对重要信息的备份周期及保存方式进行了相应安排，并能够提供相关备份记录。
抽查记录管理情况，组织能够根据业务及管理要求保存采购、合同、检验、培训、服务、事件及其他相关记录。抽查××记录，记录内容基本完整，能够追溯相关业务活动的实施情况。
结合电子记录管理情况进行了解，组织能够根据人员职责设置相关系统的访问权限，对重要电子记录的修改和删除进行相应控制，相关记录能够按照规定进行保存。
现场抽查文件与信息管理过程总体运行情况，组织能够根据管理体系运行及实际业务需要对文件、记录、技术资料、客户信息、业务数据及IT服务信息实施相应管理，对文件的编制、审核、批准、发布、修改、使用和保存进行了规定，并结合信息安全要求对重要信息实施访问和保护控制，文件与信息管理过程总体运行基本符合实际管理要求。

高频问题

文件没有经过审核、批准就直接发布使用。
制度文件与实际工作流程不一致。
文件多年没有评审和更新，已经不适应实际工作。
文件版本混乱，同一文件存在多个有效版本。
现场使用的文件无法确认是否为最新版本。
作废文件没有及时回收或撤销。
电子文件与纸质文件内容不一致。
外来标准、法律法规等没有进行有效识别和管理。
标准换版后相关管理文件没有及时更新。
文件修改后没有留下修改记录或版本信息。
文件审批人员与实际职责不匹配。
重要技术文件没有明确访问权限。
普通员工可以随意访问与其工作无关的技术资料。
离职人员的信息系统账号及文件访问权限没有及时关闭。
技术资料、客户资料等通过微信、个人邮箱等方式随意传递。
敏感信息传递没有采取必要的保护措施。
程序源代码没有进行权限控制。
程序源代码可以由无关人员随意复制、下载或修改。
系统配置文件没有进行版本控制。
重要数据没有备份，或者备份无法有效恢复。
客户提供的数据、文件及资料没有明确管理要求。
客户资料使用结束后没有按照要求返还、删除或销毁。
重要文件和信息没有明确保存期限。
记录保存时间与实际业务需求不匹配。
记录填写不完整，关键内容无法追溯。
记录修改没有留下必要的修改痕迹。
电子记录可以随意修改或删除，没有相应权限控制。
IT服务事件、故障、变更等记录不完整。
服务台记录与实际故障处理情况不一致。
IT系统日志保存时间不能满足管理要求。
信息安全制度已经建立，但相关人员不知道具体要求。
环境、职业健康安全及信息安全相关文件没有及时传达到相关岗位。
应急预案长期未更新，与现有组织机构和系统情况不一致。
文件发布后没有确保相关人员能够获得和使用。
文件管理只关注“有没有制度”，没有关注实际使用效果。
文件数量过多，重复文件较多，实际工作人员难以找到有效文件。
文件与信息管理职责不清，出现问题后相互推诿。
文件和记录存储分散，无法形成完整的业务追溯链。
对重要信息的保密性、完整性和可用性没有进行综合考虑。