P13 绩效评价

责任部门：最高管理者、体系管理部门、各职能部门

过程流程

数据收集；监视测量；统计分析；绩效评价；趋势分析

审核要点

是否明确绩效评价过程的职责、权限及工作流程。
是否确定需要监视、测量、分析和评价的对象。
是否根据组织实际业务和管理体系要求确定绩效评价指标。
是否明确各项绩效指标的评价方法、评价频次、责任部门及评价标准。
是否确定产品和服务质量相关的绩效指标。
是否确定顾客满意度及客户反馈相关的评价方法。
是否对产品质量、服务质量、交付及时性等进行监视和评价。
是否对过程运行情况进行监视和评价。
是否对过程目标和管理目标的完成情况进行评价。
是否对质量目标的实现情况进行评价。
是否对环境目标及环境绩效进行评价。
是否对职业健康安全目标及职业健康安全绩效进行评价。
是否对信息安全目标及信息安全绩效进行评价。
是否对IT服务目标及服务绩效进行评价。
是否根据适用要求确定相应的统计、分析和评价方法。
监视和测量所使用的数据是否真实、准确并具有代表性。
是否确保监视和测量结果具有必要的可靠性。
是否对关键过程和关键绩效指标进行持续监视。
是否对产品和服务不合格、客户投诉、退货、服务故障等数据进行统计分析。
是否对环境排放、能源消耗、资源利用等相关数据进行监视和评价。
是否对事故、事件、未遂事件及职业健康安全绩效进行监视和评价。
是否对信息安全事件、漏洞、违规访问、系统安全状态等相关数据进行分析和评价。
是否对IT服务可用性、事件响应、故障恢复、服务级别等指标进行评价。
是否对监视和测量结果进行趋势分析。
是否关注异常数据、重大波动及长期趋势。
是否对绩效未达到目标的原因进行分析。
是否对绩效评价结果与组织目标进行比较。
是否对绩效评价结果进行必要的内部报告。
是否将重要绩效信息提交相关管理人员进行评价。
是否向最高管理者报告管理体系绩效及其有效性。
是否对顾客满意程度进行监视和评价。
是否综合利用投诉、满意度调查、回访、客户评价、服务记录等信息评价顾客满意度。
是否关注客户需求变化及客户反馈趋势。
是否对供应商绩效进行评价并将结果用于供应商管理。
是否对外部提供过程的绩效进行监视和评价。
是否对内部审核结果进行分析和评价。
是否对管理体系运行中发现的不符合、纠正措施及改进情况进行评价。
是否对法律法规及其他要求的符合性进行评价。
是否对环境、职业健康安全及信息安全相关合规情况进行评价。
是否评价信息安全控制措施的有效性。
是否评价IT服务管理过程及服务结果是否达到预期要求。
是否评价服务级别协议或相关服务要求的达成情况。
是否对重大质量、环境、职业健康安全、信息安全及IT服务事件进行专项分析。
是否将绩效评价结果与风险和机遇、目标管理及改进活动相结合。
是否根据绩效评价结果确定改进需求。
是否对绩效指标长期未达标的情况采取相应措施。
是否根据业务变化及时调整绩效评价指标。
是否避免绩效指标设置过多、重复或与实际业务脱节。
是否通过绩效评价发现过程运行中的薄弱环节。
是否利用数据分析支持管理决策。
是否通过绩效评价持续改进管理体系及相关过程。

审核记录示例

现场与相关管理人员沟通绩效评价过程，结合年度目标、绩效指标、统计报表及评价记录了解组织对过程和管理体系绩效的监视、测量、分析和评价情况。组织能够根据实际业务及管理要求确定相关绩效指标，并通过统计、分析及评价了解过程运行情况。
现场抽查质量目标及过程绩效评价资料，组织能够根据产品质量、服务质量、交付及时性及过程运行情况确定相应指标，定期对指标完成情况进行统计和评价。抽查××过程绩效数据，相关数据能够反映过程实际运行情况。
抽查顾客满意度评价资料，组织能够通过客户回访、满意度调查、客户评价、投诉及服务反馈等方式收集顾客满意信息，并对相关信息进行汇总和分析。结合××客户反馈进行追溯，相关意见能够反馈至有关部门进行处理。
现场查看产品和服务质量绩效评价情况，组织能够对不合格、返工、退货、客户投诉及交付情况等进行统计，并根据统计结果分析质量变化趋势。抽查××月份质量数据，相关统计结果能够与实际质量管理活动相对应。
结合环境管理绩效进行了解，组织能够根据环境目标及实际环境管理要求，对能源消耗、资源使用、污染物排放及其他相关环境指标进行监视和评价，并根据评价结果了解环境绩效变化情况。
抽查职业健康安全绩效评价资料，组织能够对事故、事件、未遂事件、安全检查及职业健康安全目标完成情况进行统计和分析。结合××安全事件进行追溯，相关事件能够纳入职业健康安全绩效分析，并根据分析结果采取相应措施。
现场抽查信息安全绩效评价资料，组织能够根据实际信息安全管理要求对信息安全事件、漏洞、违规访问、系统安全状态及相关目标进行监视和评价。抽查××信息安全事件记录，相关信息能够纳入信息安全绩效分析。
结合信息安全控制措施有效性评价进行了解，组织能够通过安全检查、技术监测、事件统计及内部审核等方式获取相关信息，并根据结果评价信息安全控制措施的实际运行情况。
现场与IT服务管理人员沟通服务绩效评价情况，组织能够根据服务目标及客户要求对服务可用性、事件响应、故障处理、服务恢复及服务级别等指标进行监视和评价。
抽查××IT服务月度绩效报告，相关数据能够反映服务事件数量、响应情况、故障处理及服务目标完成情况。对于未达到服务要求的情况，组织能够进行原因分析并采取相应处理措施。
结合近期重大IT服务故障进行追溯，组织能够对故障发生、响应、处理及恢复情况进行统计分析，并将相关结果纳入服务绩效评价，对重复发生的问题能够进一步分析原因。
现场抽查供应商绩效评价资料，组织能够根据产品质量、交付及时性、服务质量及问题处理情况对主要供应商进行评价，并将评价结果用于后续供应商管理。
抽查内部审核结果及管理体系绩效评价资料，组织能够将内部审核发现的问题、客户反馈、过程绩效及纠正措施等信息作为绩效评价的输入，并根据评价结果识别管理体系运行中的薄弱环节。
结合法律法规及其他要求的符合性评价进行了解，组织能够按照规定对适用的法律法规及其他要求进行符合性评价，并将评价结果作为相关管理绩效评价的输入。
现场查看绩效数据分析情况，组织能够对关键指标的历史数据进行比较，关注指标变化趋势及异常情况。对于部分未达到目标的指标，能够结合实际情况分析原因并制定相应措施。
抽查××绩效指标未达标情况，组织未简单通过调整统计口径或降低目标解决问题，而是结合过程运行情况分析原因，并采取人员培训、设备维护、流程调整或管理改进等措施。
现场了解绩效评价结果向管理层报告情况，组织能够定期将质量、环境、职业健康安全、信息安全及IT服务等方面的绩效信息进行汇总，并通过管理会议、绩效报告等方式向相关管理人员报告。
结合管理层对绩效评价结果的使用情况进行了解，相关绩效数据能够作为目标调整、资源配置、风险控制及改进措施制定的依据，管理层能够根据绩效评价结果对有关问题进行决策。
现场抽查绩效评价过程总体运行情况，组织能够根据业务过程及五个管理体系要求确定相关绩效指标，通过监视、测量、统计、分析和评价了解质量、环境、职业健康安全、信息安全及IT服务管理绩效，并将评价结果用于目标管理、问题处理及持续改进，绩效评价过程总体运行基本符合实际管理要求。

高频问题

绩效指标没有结合组织实际业务确定。
指标设置过多，实际使用过程中无人关注。
指标与过程目标之间缺乏对应关系。
绩效指标多年不调整，与业务发展不匹配。
只统计数据，不进行分析和评价。
只看当期数据，不分析长期趋势。
指标全部“达标”，但现场实际情况与数据明显不一致。
绩效数据来源不清楚。
数据统计口径不一致。
不同部门提供的数据存在明显差异。
监视和测量结果缺少必要的真实性和可靠性验证。
过程绩效没有得到有效监视。
质量目标没有进行定期评价。
环境目标完成情况没有进行有效评价。
职业健康安全目标完成情况没有进行有效评价。
信息安全目标只有指标，没有实际评价。
IT服务指标只统计，不分析服务趋势。
客户满意度调查流于形式。
客户投诉没有纳入顾客满意度评价。
客户满意度结果长期较好，但客户投诉明显增加。
产品不合格率、返工率、退货率等数据没有进行趋势分析。
环境排放、能源消耗等数据只有记录，没有绩效评价。
事故、事件及未遂事件没有进行统计分析。
信息安全事件发生后没有纳入信息安全绩效评价。
信息安全漏洞长期存在，但没有通过绩效评价反映出来。
IT服务故障频繁发生，但服务绩效评价仍然显示“达标”。
IT服务可用性、响应时间等指标统计不完整。
服务级别未达到要求，但没有进行原因分析和改进。
供应商绩效没有进行定期评价。
内部审核发现的问题没有纳入体系绩效评价。
纠正措施长期未关闭，但绩效评价没有体现相关问题。
法律法规符合性评价没有按规定开展。
重大环境、安全、信息安全事件没有进行专项绩效评价。
绩效评价结果没有向管理层报告。
管理层会议只讨论经营指标，没有讨论管理体系绩效。
绩效评价结果没有与目标、风险及改进措施建立联系。
指标未达标时只修改指标或降低目标，没有分析实际原因。
为了“完成指标”人为调整统计口径。
绩效评价只关注结果，没有分析过程原因。
数据分析与实际管理决策脱节。
绩效评价报告内容形式化，缺少实际结论。
绩效评价发现的问题没有转化为改进措施。
五个体系分别统计大量指标，但相互之间缺少综合分析。